(Un)erlaubte Nutzung von KI in Unternehmen

Die Nutzung von künstlicher Intelligenz (KI) hat sich mit rasanter Geschwindigkeit zu einem festen Bestandteil des Alltags und der Arbeitswelt entwickelt. Die Frage nach dem „Ob“ ihrer Verwendung stellt sich somit nicht mehr. Mit dieser schnellen und flächendeckenden Entwicklung haben die rechtlichen Rahmenbedingungen in den meisten Unternehmen jedoch nicht Schritt gehalten. Um die rechtlichen Risiken zu minimieren, müssen Unternehmen die Nutzung von KI rechtskonform ausgestalten, was angesichts der Vorgaben der KI-Verordnung (KI-VO) und des Datenschutzrechts keineswegs trivial ist.

Risiken der unternehmensinternen Nutzung von KI-Systemen

Eine KI-Nutzung für berufliche Zwecke durch Arbeitnehmer ohne ausdrückliche Weisung des Arbeitgebers ist grundsätzlich nicht verboten, sofern keine gesetzlichen Verbote oder interne Richtlinien entgegenstehen. Vielmehr kann dem Arbeitgeber die KI-Nutzung zugerechnet werden, wenn er Kenntnis davon hat und die Nutzung duldet. Der Arbeitgeber gilt dann als Betreiber im Sinne von Art. 3 Nr. 4 KI-VO und Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO, womit sämtliche Pflichten, Verbote und Regelungen der KI-VO und der datenschutzrechtlichen Vorgaben auf ihn Anwendung finden. Bei einem Mitarbeiterexzess, also dem weisungswidrigen Einsatz von KI-Systemen, ist der Arbeitnehmer Betreiber in diesem Sinne, was allerdings den Ausnahmefall darstellen dürfte. Betreiber ist der Arbeitgeber selbstverständlich auch da, wo er die KI-Systeme selbst einsetzt oder dies aufgrund seiner ausdrücklichen Weisung geschieht.

Für die Zurechnung kommt es dabei nicht allein darauf an, wer die konkrete Eingabeaufforderung bzw. den Befehl („Prompt“) eingibt. Maßgeblich ist vielmehr, ob die Nutzung in den betrieblichen Verantwortungsbereich fällt und vom Arbeitgeber veranlasst, erlaubt oder trotz Kenntnis geduldet wird. Der Arbeitgeber kann sich seiner Verantwortung daher nicht ohne Weiteres dadurch entziehen, dass die Nutzung technisch durch einzelne Arbeitnehmer erfolgt. Umgekehrt kann ein weisungswidriger und außerhalb des betrieblichen Aufgabenkreises liegender Einsatz einen Mitarbeiterexzess darstellen, der dem Arbeitgeber grundsätzlich nicht zugerechnet wird.

Bei der arbeitsrechtlichen Bewertung der KI-Nutzung ist die Höchstpersönlichkeit der Arbeitsleistung nach § 613 Satz 1 BGB zu beachten. Der Einsatz technischer Hilfsmittel bleibt zulässig, solange der Arbeitnehmer weiterhin eine eigene und verantwortete Arbeitsleistung erbringt. Dies ist etwa bei der Nutzung von KI zur Recherche, Strukturierung oder Formulierung der Fall, sofern der Arbeitnehmer die Ergebnisse eigenständig steuert und inhaltlich prüft. Anders kann die Bewertung ausfallen, wenn der Arbeitnehmer die Arbeitsaufgabe vollständig auf ein KI-System überträgt und dessen Ergebnis ungeprüft als eigene Leistung verwendet. Maßgeblich sind dabei die konkrete Tätigkeit, der Umfang der KI-Nutzung und die erforderliche Prüfungsintensität. Die Verantwortung für das Arbeitsergebnis verbleibt grundsätzlich beim Arbeitnehmer.

Aus der persönlichen Leistungspflicht folgt, dass KI-generierte Ergebnisse vor ihrer Verwendung angemessen auf Richtigkeit, Vollständigkeit und Eignung zu prüfen sind. Die Prüfungsintensität richtet sich nach der Tätigkeit und dem möglichen Schadensrisiko; bei fachlich anspruchsvollen oder risikobehafteten Inhalten gelten erhöhte Anforderungen. Der Arbeitgeber kann hierzu verbindliche Prüfungs- und Dokumentationspflichten vorgeben. Ihre Missachtung kann bei daraus entstehenden Fehlern oder Schäden eine arbeitsvertragliche Pflichtverletzung darstellen, deren Folgen nach den Umständen des Einzelfalls zu beurteilen und möglicherweise zu ahnden sind.

Die am 1.8.2024 in Kraft getretene „Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13.6.2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz)“ – KI-Verordnung (KI-VO) – verfolgt einen risikobasierten Ansatz. Je nachdem, welches Risiko ein KI-System birgt, sind unterschiedliche Auflagen und Pflichten als Betreiber zu erfüllen. Zunächst sind die generell verbotenen KI-Praktiken nach Art. 5 KI-VO zu beachten. Zu den insbesondere arbeitsrechtlich relevanten verbotenen Praktiken zählen diskriminierende Bewertungen durch KI-Systeme, die emotionale Analyse am Arbeitsplatz, außer diese ist medizinisch oder sicherheitsbedingt gerechtfertigt, sowie die Verarbeitung sensibler biometrischer Daten ohne ausdrückliche Einwilligung oder gesetzliche Grundlage. Solche Praktiken sollten insbesondere auch im Hinblick auf die erheblichen Sanktionen (Art. 99 Abs. 3 KI-VO) unterlassen werden und dies auch entsprechend im Betrieb durchgesetzt werden, da das Mitarbeiterverhalten, wie beschrieben, dem Arbeitgeber zugerechnet werden kann.

Darüber hinaus enthält die KI-VO strenge Betreiberpflichten beim Einsatz sog. Hochrisiko-KI-Systeme. Dazu zählen nach dem komplexen und unübersichtlichen Art. 6 KI-VO KI-Systeme, die entweder als Sicherheitsbauteil eines nach Anhang I der KI-VO regulierten Produkts oder in einem der in Anhang III genannten sensiblen Anwendungsbereiche eingesetzt werden. So gelten bspw. KI-Systeme, die im Beschäftigungs- und Personalmanagement oder der Arbeitsorganisation eingesetzt werden, als solche mit hohem Risiko. Als Betreiber eines solchen KI-Systems treffen den Arbeitgeber zahlreiche Pflichten gemäß Art. 26, 27 KI-VO. Der Arbeitgeber muss insbesondere eine sachgerechte Nutzung, angemessene menschliche Aufsicht, geeignete Daten, erforderliche Dokumentation und die notwendige Qualifikation der Anwender sicherstellen. Automatisierte Entscheidungen dürfen die menschliche Verantwortung und Kontrolle nicht ersetzen. Ein Verstoß gegen diese Pflichten kann zu Sanktionen in Form von Bußgeldern führen (Art. 99 Abs. 4 KI-VO), auch eine sonstige zivilrechtliche Haftung ist möglich.

Zuletzt sind KI-Systeme mit besonderem Risiko zu berücksichtigen, die nach Art. 50 KI-VO besonderen Transparenz- und Informationspflichten für Betreiber unterfallen. Dazu zählen bspw. „Chatbots“. Sofern Emotionserkennungssysteme oder Systeme zur biometrischen Kategorisierung eingesetzt werden, sind die betroffenen Personen darüber zu informieren. Werden Bild-, Ton- oder Videoinhalte mittels KI erzeugt oder manipuliert, so ist dies offenzulegen, es sei denn, die Inhalte sind erkennbar fiktional. Auch Verstöße gegen diese Vorschriften können Bußgelder nach sich ziehen (Art. 99 Abs. 4 KI-VO).

Über die KI-VO hinaus sind als gesetzliche Risiken der KI-Nutzung die datenschutzrechtlichen Vorgaben zu beachten. Soweit in KI-Systemen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DS-GVO verwendet werden, findet das Datenschutzrecht Anwendung. Insbesondere bei frei verfügbaren KI-Cloud-Lösungen werden die Daten regelmäßig an den KI-Anbieter als Auftragsverarbeiter übermittelt. Damit trifft den Verantwortlichen eine Vielzahl von Pflichten. Regelmäßig bedarf es dann eines Erlaubnistatbestands nach Art. 6 DS-GVO, es müssen die Transparenzpflichten nach Art. 13, 14 DS-GVO eingehalten werden, etc.; hervorzuheben ist zudem noch das Verbot automatisierter Entscheidungen nach Art. 22 DS-GVO. Beim Verstoß gegen solche Pflichten kann es zu Bußgeldern und Schadensersatzansprüchen gemäß Art. 82 DS-GVO kommen. Dokumente mit Klarnamen oder personenbezogenen oder -beziehbaren Daten in die freie Version von ChatGPT oder anderen Anbietern einzustellen, verbietet sich damit.

Sofern man in einem entsprechenden Beruf tätig ist oder dies im Unternehmen relevant wird, sind zusätzlich die standesrechtlichen Vorgaben sowie der besondere Schutz von Geschäftsgeheimnissen zu beachten.

Lösungsmaßnahmen im Unternehmen

Diesen rechtlichen Risiken zu begegnen und sie zu kontrollieren, ist somit unerlässlich. Im ersten Schritt ist dazu eine Risikobewertung und Einstufung der verwendeten KI-Systeme erforderlich, insbesondere ob es sich bei einem solchen um ein Hochrisiko-KI-System im Sinne von Art. 6 KI-VO handelt. Diese Einschätzung obliegt dem Betreiber selbst, der somit auch das Risiko einer Fehleinschätzung zu tragen hat. Eine Fehleinschätzung birgt – je nachdem, in welche Richtung sie erfolgt – entweder ein Sanktionsrisiko oder aber ein Kostenrisiko durch unnötig verursachten Aufwand. Da der Aufwand im Zweifel geringer als ein entsprechendes Bußgeld sein wird, kann der Rat nur dahin gehen, im Zweifel das jeweilige KISystem als Hochrisiko-KISystem einzustufen (Müller/Becker/Funke, KI im Arbeitsverhältnis/Funke, 1. Aufl. 2026, § 1 Rn 92).

Im Anschluss sollten durch entsprechende verbindliche interne Richtlinien die verbotenen KI-Praktiken nach Art. 5 KI-VO untersagt und die Einhaltung der Betreiberpflichten nach Art. 26, 27 und 50 KI-VO sichergestellt werden. Dazu ist insbesondere die Sicherstellung einer menschlichen Aufsicht und Kontrolle der KI-Ergebnisse sowie die Dokumentation und Protokollierung der Nutzung von KI-Systemen notwendig. Personen, die vom Einsatz von KI-Systemen betroffen sind, sollten darüber und über ihre Rechte informiert werden. Eine Information sowie Offenlegung der Verwendung von KI-Systemen bei Chatbots, Emotionserkennung oder Bild-, Text- und Videogenerierung ist ebenso empfehlenswert.

Die internen Richtlinien sollten außerdem ausdrücklich regeln, ob, in welchem Umfang und zu welchen Zwecken Beschäftigte KI-Systeme verwenden dürfen. Dabei bietet sich eine Kombination aus einer Positivliste zugelassener Systeme und einer Negativliste verbotener Nutzungsarten an. Zu regeln sind insbesondere der Umgang mit personenbezogenen Daten, Geschäftsgeheimnissen und sonstigen vertraulichen Informationen, die Pflicht zur menschlichen Prüfung, die Dokumentation relevanter Nutzungsvorgänge sowie die Zuständigkeit für Freigaben und Kontrollen.

Rechtsgrundlage für entsprechende arbeitsvertragliche Weisungen ist grundsätzlich das Weisungsrecht des Arbeitgebers nach § 106 GewO. Danach kann der Arbeitgeber Inhalt, Ort und Zeit der Arbeitsleistung sowie die Ordnung und das Verhalten der Arbeitnehmer im Betrieb nach billigem Ermessen näher bestimmen, soweit diese Arbeitsbedingungen nicht bereits durch Arbeitsvertrag, Betriebsvereinbarung, Tarifvertrag oder Gesetz festgelegt sind. Auf dieser Grundlage kann der Arbeitgeber die Nutzung bestimmter KI-Systeme anordnen, beschränken oder untersagen und Vorgaben für die Überprüfung der Ergebnisse machen.

Wenn auf die Verwendung von personenbezogenen und -beziehbaren Daten bei der KI-Nutzung nicht vollständig verzichtet werden kann, sind mit dem jeweiligen KI-Anbieter Auftragsdatenverarbeitungsverträge (Art. 28 DS-GVO) zu vereinbaren und auf die entsprechenden datenschutzkonformen Business- oder Enterprise- Versionen der KI-Anbieter zurückzugreifen. Darüber hinaus können den Verantwortlichen zahlreiche weitere Verpflichtungen nach der DS-GVO treffen, deren detaillierte Erläuterung hier den Rahmen sprengen würde. Bei einem entsprechenden Umfang der Nutzung von KI-Systemen und der Verarbeitung personenbezogener Daten kann es deshalb sinnvoll sein, den Datenschutzbeauftragten, soweit vorhanden, mit der Überprüfung der Einhaltung dieser Pflichten zu beauftragen.

Nach Art. 4 KI-VO ist der Arbeitgeber als Betreiber von KI-Systemen verpflichtet, die KI-Kompetenz seines Personals und anderer Personen zu unterstützen, die in seinem Auftrag mit dem Betrieb und der Nutzung von KISystemen befasst sind. Sanktioniert ist ein Verstoß gegen diese Norm zwar (bisher) nicht, jedoch ist es ratsam, diese Personengruppen durch interne Schulungen, Merkblätter und regelmäßige Sensibilisierung in ihrer KI-Kompetenz fortzubilden. Dies wirkt ebenso als Antidot gegen die zuvor beschriebenen Risiken der KI-Nutzung durch Arbeitnehmer, die im Zweifelsfall auf das Unternehmen als Ganzes zurückfallen.

Besteht ein Betriebsrat, so sind weitere Pflichten zu beachten. Die Einführung und Anwendung von KI-Systemen, die das Verhalten oder die Leistung der Arbeitnehmer zu überwachen oder personenbezogene Daten zu verarbeiten geeignet sind, ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Der Betriebsrat ist bei der arbeitgeberseitigen Implementierung von KI-Anwendungen frühzeitig zu informieren, insbesondere bei Hochrisiko-KI-Systemen (Art. 26 Abs. 7 KI-VO), und er kann die Hinzuziehung von Sachverständigen verlangen (§ 80 Abs. 3 BetrVG). Bei einer betriebsweiten KI-Nutzung kann eine Betriebsvereinbarung sinnvoll sein, die die zulässige Nutzung der KI-Systeme, Kontrollmechanismen und Datenschutzvorgaben regelt. Zu KI-Systemen mangelt es zwar bisher an Rechtsprechung, jedoch wurde für die unternehmenseinheitliche Nutzung von Microsoft (Office) 365 mit der Möglichkeit einer zentralen Kontrolle von Verhalten und Leistung der Arbeitnehmer schon eine betriebsübergreifende Regelung unter Beteiligung des (Gesamt-)Betriebsrats gefordert (BAG, Beschl. v. 8.3.2022 – 1 ABR 20/21). Ähnliche Forderungen sind bei der unternehmenseinheitlichen Nutzung von KI-Systemen keinesfalls auszuschließen.

Pragmatische Ausgestaltung

Die vielfältigen und umfangreichen Verbote und Pflichten bei der KI-Nutzung durch KI-VO und DS-GVO sind, wenn man sich rechtlich absichern möchte, kaum schnell zu erfüllen. Sofern man als Arbeitgeber keinen Überblick über die KI-Nutzung im eigenen Unternehmen hat, ist es zunächst möglich, durch entsprechende Weisungen, die die Nutzung von „Schatten-KI“ verbieten, sich der Zurechnung zu entziehen. Schon allein aus wirtschaftlichen Gründen ist es aber sinnvoll, mittel- und langfristig KI-Anwendungen im Unternehmen zu implementieren und dabei die rechtlichen Vorgaben einzuhalten. Ein Vorschlag, wie dies möglich ist, wird im folgenden Leitfaden gemacht.

Ein Verbot sog. Schatten-KI sollte klar, verständlich und nachweisbar kommuniziert werden. Es sollte insbesondere festlegen, dass nicht freigegebene KI-Systeme nicht für dienstliche Zwecke verwendet werden dürfen und dass personenbezogene Daten, Geschäftsgeheimnisse sowie sonstige vertrauliche Informationen nicht in öffentliche oder nicht freigegebene Systeme eingegeben werden dürfen. Das Verbot sollte zugleich benennen, welche zugelassenen Systeme alternativ verwendet werden können.

Das Verbot von Schatten-KI entbindet den Arbeitgeber jedoch nicht von seiner Verantwortung, wenn er die Nutzung eines Systems kennt und duldet oder wenn die Nutzung organisatorisch in den betrieblichen Verantwortungsbereich aufgenommen wurde. Es sollte daher mit einem positiven Angebot zulässiger Systeme, klaren Nutzungsregeln und angemessenen Schulungsmaßnahmen verbunden werden.

• Zunächst sollte eine Bestandsaufnahme durchgeführt werden, welche KI-Systeme – mit oder ohne Weisung – im Unternehmen verwendet werden.

• Die KI-Systeme müssen dann entsprechend der KI-VO in die verschiedenen Risikostufen anhand einer eigenständigen Bewertung eingeordnet werden. Dabei ist zu empfehlen, großzügig ein höheres Risiko anzunehmen.

• In einer verbindlichen Richtlinie oder Betriebsvereinbarung sollten die verbotenen KI-Praktiken untersagt und festgelegt werden, welche Systeme zu welchen Zwecken genutzt werden dürfen.

• Die Kontroll- und Dokumentationspflichten nach Art. 26, 27 KI-VO sowie die Transparenz- und Informationspflichten nach Art. 50 KI-VO sind einzuhalten.

• Auf DS-GVO-konformen Einsatz ist zu achten.

• HR und alle weiteren Personen, die im Auftrag des Arbeitgebers mit KI-Systemen befasst sind, müssen durch interne Schulungen, Merkblätter und regelmäßige Sensibilisierung fortgebildet werden.

Fazit

KI ist bereits heute fester Bestandteil des beruflichen und privaten Alltags und aus Unternehmen nicht mehr wegzudenken. Angesichts der rasanten technologischen Entwicklung nimmt ihre Bedeutung gefühlt täglich weiter zu. Das damit verbundene Pflichtenprogramm für Arbeitgeber und Beschäftigte ist bereits jetzt umfangreich und wird voraussichtlich weiter wachsen. Umso wichtiger ist es, frühzeitig klare Regeln und rechtssichere Strukturen zu schaffen, um Bußgeld- und Haftungsrisiken zu begrenzen und die Chancen der KI verantwortungsvoll zu nutzen. Besteht ein Betriebsrat, sollten Arbeitgeber dieses Thema gemeinsam mit ihm partnerschaftlich und frühzeitig angehen.