Brauchen Sie eine KI-Richtlinie?
Art. 4 der KI-Verordnung verlangt Maßnahmen, die die KI-Kompetenz Ihres Personals unterstützen, und nennt keine Richtlinie. Die Datenschutzkonferenz warnt aber: Ohne klare Regeln besteht das Risiko, dass Beschäftigte KI-Anwendungen eigenmächtig und unkontrolliert nutzen. Das kann zu Datenschutzverstößen und anderen Schäden führen. Sie empfiehlt deshalb klare, dokumentierte Weisungen, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche Anwendungen erlaubt sind. Der Hamburgische Datenschutzbeauftragte ergänzt, dass für eigenmächtige Nutzung unter Umständen der Arbeitgeber haftet.
Eine Richtlinie ersetzt keine Schulung. Die EU-Kommission schreibt, es könne wirkungslos sein, sich auf Anleitungen zu verlassen oder Beschäftigte sie nur lesen zu lassen. Neben der Schulung kann die Richtlinie aber zu Ihren dokumentierten Maßnahmen gehören: Die Kommission nennt interne Aufzeichnungen zu Schulungen und anderen Initiativen und führt selbst Leitlinien für ihr Personal.
Was sollte in einer KI-Richtlinie stehen?
Diese zehn Punkte halte ich für den Kern. Sie folgen der Orientierungshilfe der Datenschutzkonferenz und der Hamburger Checkliste, ergänzt um Informationssicherheit.
- Geltungsbereich: alle Beschäftigten und Personen in Ihrem Auftrag, auch KI-Funktionen in Bürosoftware, Browser-Erweiterungen und Apps
- Erlaubte Werkzeuge: eine Liste mit Tarif, Zweck und zulässigen Daten, nur mit Firmenkonto
- Beispiele: erlaubte und untersagte Einsatzszenarien, wie sie die Datenschutzkonferenz empfiehlt
- Daten: welche Datenklasse in welches Werkzeug darf, Passwörter und Zugangsdaten nie
- Prüfpflicht: Ergebnisse vor der Verwendung auf Richtigkeit prüfen, wer sie nutzt, verantwortet sie
- Entscheidungen über Menschen: keine automatisierte Letztentscheidung (Art. 22 DSGVO), KI bei Bewerbung, Beförderung oder Leistungsbewertung nur nach vorheriger Prüfung
- Offenlegung: wann Inhalte als KI-erzeugt gekennzeichnet werden und wann KI im Kundenkontakt erkennbar sein muss
- Rechte Dritter: Urheberrecht und Geschäftsgeheimnisse, auch Vorgaben und Geheimhaltungsvereinbarungen Ihrer Kunden
- Zuständigkeiten: Ansprechperson, Freigabe durch die Geschäftsführung, Datenschutz, Informationssicherheit, Betriebsrat
- Schulung, Meldeweg und Überprüfung: wer geschult wird, wohin Fehler gemeldet werden und wann die Richtlinie wieder auf den Tisch kommt
Welche Daten dürfen in ein KI-Werkzeug?
Das hängt am Werkzeug und am Vertrag, nicht am Produktnamen. Räumt sich der Anbieter die Verwendung für eigene Zwecke ein, dürfen laut Hamburger Checkliste keine personenbezogenen Daten eingegeben werden. Arbeitet er als Auftragsverarbeiter, braucht es eine Vereinbarung nach Art. 28 DSGVO. Namen zu entfernen reicht laut Datenschutzkonferenz regelmäßig nicht, weil sich der Personenbezug aus dem Zusammenhang ergeben kann. Bei Geschäftsgeheimnissen kommt hinzu, dass sie nur bei angemessenen Geheimhaltungsmaßnahmen gesetzlich geschützt sind (§ 2 Nr. 1 GeschGehG).
In der Richtlinie hilft aus meiner Sicht eine einfache Ampel:
- Grün: öffentliche Texte, allgemeine Fachfragen, selbst formulierte Entwürfe ohne Namen. Erlaubt in jedem Werkzeug auf der Liste.
- Gelb: interne Abläufe und Vorlagen ohne Personen- und Kundenbezug. Nur in dafür freigegebenen Werkzeugen.
- Rot: Personaldaten, Kundendaten, Verträge, Preise, Zeichnungen, Daten unter Geheimhaltung. Nur in ausdrücklich freigegebenen Werkzeugen mit passendem Vertrag.
- Nie: Passwörter, Schlüssel und Zugangsdaten.
Wie geben Sie ein Werkzeug frei?
Geben Sie einen bestimmten Tarif für bestimmte Daten und Zwecke frei, nicht das Produkt an sich. Neue KI-Funktionen in vorhandener Software behandeln Sie aus meiner Sicht wie ein neues Werkzeug. Die Behörden nennen mehrere Prüfpunkte:
- Konto: Firmenkonten statt privater Konten, weil sonst Profile zu den Beschäftigten entstehen können
- Anmeldung: starke Passwörter und ein weiterer Faktor, denn über ein übernommenes Konto lassen sich gegebenenfalls frühere Eingaben einsehen
- Training: Verwendung der Eingaben zum Training ablehnen, was teils nur in einem bestimmten Vertragsmodell geht
- Verlauf: gespeicherte Eingaben prüfen und bei gemeinsam genutzten Konten abschalten
- Offenes oder geschlossenes System: ob Eingaben den eigenen Bereich verlassen
- Datenschutz-Folgenabschätzung: Laut Datenschutzkonferenz wird sie beim Einsatz von KI-Anwendungen vielfach erforderlich sein, wenn personenbezogene Daten verarbeitet werden
Was gilt für Betriebsrat und Datenschutzbeauftragten?
Beide gehören früh an den Tisch. Die Hamburger Checkliste rät, den Datenschutzbeauftragten immer einzubinden, wenn interne Weisungen entstehen. Laut Datenschutzkonferenz kann die Einführung auch einen Mitbestimmungstatbestand erfüllen, und neben einer Anweisung bietet sich eine Betriebsvereinbarung an.
Das Betriebsverfassungsgesetz nennt KI ausdrücklich. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat über geplante Arbeitsverfahren einschließlich des Einsatzes von KI zu unterrichten. Muss er KI beurteilen, gilt die Hinzuziehung eines Sachverständigen insoweit als erforderlich (§ 80 Abs. 3 Satz 2). Bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung kommt § 87 Abs. 1 Nr. 6 hinzu.
Was verlangt die KI-Verordnung darüber hinaus?
Art. 4 ist die Grundpflicht, dazu steht mehr in meinem Artikel zur KI-Kompetenz. Für die Richtlinie sind drei weitere Stellen wichtig. Das Ableiten von Emotionen am Arbeitsplatz ist seit dem 2. Februar 2025 verboten, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f). Seit dem 2. August 2026 müssen Betreiber Deepfakes offenlegen, ebenso Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse, außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung (Art. 50 Abs. 4). KI in Beschäftigung und Personalmanagement kann unter die Hochrisiko-Regeln fallen (Anhang III Nr. 4). Diese Pflichten gelten nach der Änderung von 2026 ab dem 2. Dezember 2027, die DSGVO gilt schon heute.
Wie führen Sie die Richtlinie ein?
Diese Reihenfolge empfehle ich:
- Erfassen, was schon genutzt wird, am besten anonym, damit ehrliche Antworten kommen.
- Entwurf schreiben, kurz genug, dass er gelesen wird, und die Werkzeuge mit Status in eine Liste aufnehmen.
- Datenschutz, Informationssicherheit und Betriebsrat beteiligen.
- Durch die Geschäftsführung freigeben lassen und im Betrieb bekannt machen.
- Schulen und dokumentieren. Die Bundesnetzagentur empfiehlt, Art, Umfang und Teilnehmende festzuhalten.
- Regelmäßig überprüfen, wie es auch die Hamburger Checkliste rät, denn Werkzeuge und Anbieterbedingungen ändern sich. Ich empfehle mindestens einmal im Jahr.
Wichtiger Hinweis
Dieser Artikel ist keine Rechtsberatung. Ich berate zu Organisation, Informationssicherheit und Technik. Für eine verbindliche Einschätzung ziehen Sie bitte Ihren Datenschutzbeauftragten oder eine Kanzlei hinzu.