KI-Richtlinie im Unternehmen

Unternehmen, die KI für Texte, Auswertungen oder Personalentscheidungen einsetzen, brauchen klare Regeln: Welche Werkzeuge sind zugelassen, welche Daten dürfen Beschäftigte eingeben und wer prüft die Ergebnisse? Eine KI-Richtlinie hält diese Regeln fest. Sie ersetzt nicht die Prüfung des konkreten Einsatzes. Datenschutz-, Arbeits-, Urheber- und Geheimnisschutzrecht gelten weiterhin.

Die EU-KI-Verordnung gilt grundsätzlich seit dem 2. August 2026. Einige Pflichten für Hochrisiko-KI greifen wegen einer Fristverschiebung später. Weitere Vorgaben, etwa zum Datenschutz und zur KI-Kompetenz der Beschäftigten, gelten für viele Unternehmen bereits. Rechtsstand: 13. November 2026.

Fristen der EU-KI-Verordnung

Die EU-KI-Verordnung ordnet KI-Systeme nach ihrem Risiko und ihrem vorgesehenen Zweck ein. Je nach Einsatz gelten Verbote oder Anforderungen an Transparenz, menschliche Aufsicht und Dokumentation. Hochrisiko-KI ist dabei nicht automatisch verboten. Sie muss besondere Anforderungen erfüllen, wenn die entsprechenden Vorschriften gelten.

Seit dem 2. Februar 2025 gelten Verbote bestimmter KI-Praktiken sowie Vorgaben zur KI-Kompetenz. Unternehmen sollen Maßnahmen ergreifen, damit Beschäftigte und andere Personen, die KI in ihrem Auftrag nutzen, über passende Kenntnisse und Erfahrung verfügen. Welche Schulung sinnvoll ist, hängt von der Tätigkeit und dem eingesetzten Werkzeug ab. Die Verordnung schreibt nicht vor, dass jede Person eine bestimmte Kompetenzstufe erreichen muss.

Für bestimmte Hochrisiko-Systeme in Bereichen wie Beschäftigung und Personalmanagement gelten die zentralen Anforderungen nach der 2026 beschlossenen Verschiebung erst ab dem 2. Dezember 2027. Bei Hochrisiko-KI als Bestandteil bestimmter regulierter Produkte nach Anhang I beginnt die Frist am 2. August 2028. Diese Fristen verschieben nicht die Pflichten aus anderen Rechtsgebieten.

In Deutschland trat am 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz in Kraft. Die Bundesnetzagentur beaufsichtigt den Markt und dient als zentrale Anlauf- und Beschwerdestelle. In einzelnen regulierten Bereichen bleiben Fachbehörden zuständig.

Nur freigegebene Werkzeuge nutzen

Eine Unternehmensrichtlinie sollte festlegen, welche KI-Werkzeuge für welche Aufgaben zugelassen sind. Vor der Freigabe prüft eine zuständige Stelle, wofür das Werkzeug eingesetzt werden soll, welche Daten es verarbeitet, welche Bedingungen der Anbieter stellt und welche Risiken bestehen. Ein Werkzeug, das für die Formulierung interner Entwürfe freigegeben ist, ist damit nicht automatisch auch für Bewerberauswahl oder Kundenberatung geeignet.

Beschäftigte sollten keine neuen KI-Dienste für Unternehmenszwecke einsetzen, bevor eine zuständige Stelle sie geprüft hat. Das ist eine sinnvolle organisatorische Regel, aber keine eigenständige gesetzliche Pflicht, die jedes Unternehmen in genau dieser Form erfüllen muss. Auch die Datenschutzkonferenz empfiehlt, zuerst den konkreten Einsatz und seinen Zweck festzulegen und dann zu prüfen, ob er rechtmäßig ist.

Personenbezogene Daten schützen

Sobald ein KI-Dienst personenbezogene Daten verarbeitet, gilt die Datenschutz-Grundverordnung. Das Unternehmen braucht eine Rechtsgrundlage und muss den Zweck festlegen, die Daten auf das Nötige beschränken, betroffene Personen informieren und angemessene Sicherheitsmaßnahmen treffen. Vor der Nutzung eines externen Dienstes ist außerdem zu klären, welche Daten der Anbieter erhält und wofür er sie verwenden darf.

Für Beschäftigtendaten gilt zusätzlich § 26 Bundesdatenschutzgesetz. Die Verarbeitung muss für einen Zweck des Beschäftigungsverhältnisses erforderlich sein. Eine Einwilligung von Beschäftigten ist nicht automatisch freiwillig, weil sie vom Arbeitgeber abhängig sind. Wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt, kann eine Datenschutz-Folgenabschätzung nötig sein.

Eine klare Richtlinie untersagt deshalb, Kunden-, Bewerber- oder Beschäftigtendaten in nicht freigegebene KI-Dienste einzugeben. Auch scheinbar nebensächliche Angaben können eine Person erkennbar machen. Ob sich ein Anbieter als Auftragsverarbeiter einsetzen lässt, also als Dienstleister, der Daten im Auftrag des Unternehmens verarbeitet, und welche vertraglichen oder technischen Schutzmaßnahmen nötig sind, hängt vom konkreten Angebot und Einsatz ab.

Personalentscheidungen menschlich prüfen

KI kann Bewerbungen sortieren, Leistungen bewerten oder Personalentscheidungen vorbereiten. Je nach Zweck und Ausgestaltung fällt ein solcher Einsatz unter die Hochrisiko-Kategorien der KI-Verordnung. Die dafür geltenden zentralen Pflichten greifen in bestimmten Fällen erst ab dem 2. Dezember 2027. Datenschutz- und Arbeitsrecht gelten bereits vorher.

Die Datenschutz-Grundverordnung begrenzt Entscheidungen, die ohne menschliche Beteiligung getroffen werden und rechtliche oder ähnlich erhebliche Auswirkungen haben. Der Europäische Gerichtshof hat im SCHUFA-Verfahren 2023 klargestellt: Auch ein automatisch berechneter Wahrscheinlichkeitswert kann als relevante Entscheidung gelten, wenn er die spätere Entscheidung maßgeblich bestimmt. Ein bloßes Abzeichnen einer KI-Empfehlung genügt daher nicht als echte menschliche Prüfung.

Die Richtlinie sollte festhalten, wer Personalentscheidungen verantwortet und wie diese Person die Empfehlung prüft. Sie sollte außerdem verbieten, eine KI-Ausgabe allein als Grundlage für eine folgenreiche Entscheidung zu verwenden. Zusätzliche Anforderungen richten sich nach dem konkreten Verfahren.

Betriebsrat rechtzeitig einbeziehen

Ein Betriebsrat hat ein Mitbestimmungsrecht, wenn eine technische Einrichtung dazu bestimmt ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Das regelt § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz. Daraus folgt keine pauschale Mitbestimmung bei jedem KI-Werkzeug. Entscheidend sind Zweck, Funktionen und tatsächliche Nutzung.

Wer etwa ein Werkzeug einführen will, das Arbeitsabläufe oder Beschäftigtenleistung auswertet, sollte die Mitbestimmungsrechte vor der Einführung prüfen und den Betriebsrat frühzeitig einbeziehen. Auch bei Personalplanung und Auswahlrichtlinien bestehen gesetzliche Informations-, Beratungs- oder Mitbestimmungsrechte, deren Voraussetzungen vom Betrieb und Vorhaben abhängen.

Geschäftsgeheimnisse und Urheberrecht beachten

Vertrauliche Informationen gehören nur dann in ein KI-Werkzeug, wenn die Freigabe und die Schutzmaßnahmen den Umgang damit erlauben. Dazu zählen beispielsweise Passwörter, Kundendaten, unveröffentlichte Geschäftszahlen und vertrauliche Vertragsunterlagen. Das Geschäftsgeheimnisgesetz setzt angemessene Geheimhaltungsmaßnahmen voraus. Eine Richtlinie sollte daher konkret benennen, welche Inhalte gesperrt sind und welche geschützten Werkzeuge Beschäftigte stattdessen verwenden dürfen.

Auch bei urheberrechtlich geschützten Inhalten ist eine Freigabe nicht selbstverständlich. § 44b Urheberrechtsgesetz erlaubt bestimmte Vervielfältigungen für Text und Data Mining, also die automatisierte Analyse von Texten und Daten, sofern die Werke rechtmäßig zugänglich sind und Rechteinhaber die Nutzung nicht wirksam vorbehalten haben. Diese Regel ist keine allgemeine Erlaubnis, beliebige Texte oder Bilder in beliebige KI-Dienste einzuspeisen. Vor einer Veröffentlichung sollten Beschäftigte KI-Ausgaben außerdem auf mögliche Rechte Dritter prüfen. Wem die Rechte an einer konkreten KI-Ausgabe zustehen, lässt sich nicht pauschal beantworten.

Ausgaben prüfen und kennzeichnen

KI-generierte Texte können Fehler enthalten. Beschäftigte sollten deshalb Aussagen, Zahlen, Quellen und Schlussfolgerungen prüfen, bevor sie eine Ausgabe veröffentlichen oder für eine wichtige Entscheidung verwenden. Die Richtlinie sollte festlegen, wer diese Prüfung übernimmt und wer externe Inhalte freigibt. Eine allgemeine gesetzliche Pflicht, jede intern genutzte KI-Ausgabe von einem Menschen gegenlesen zu lassen, besteht nicht.

Die KI-Verordnung verlangt in bestimmten Fällen Transparenz, zum Beispiel bei bestimmten künstlich erzeugten Audio-, Bild- und Videoinhalten. Für Anbieter bestimmter Systeme, die bereits vor dem 2. August 2026 auf den Markt gekommen sind, sieht die geänderte Verordnung für erforderliche Maßnahmen zu Artikel 50 Absatz 2 den 2. Dezember 2026 als Frist vor. Daraus folgt keine pauschale Pflicht, jedes intern KI-unterstützte Dokument zu kennzeichnen. Unternehmen sollten festlegen, wann eine Offenlegung gesetzlich vorgeschrieben ist und ob sie darüber hinaus eine eigene Kennzeichnungspraxis wünschen.

Was eine KI-Richtlinie festlegt

Eine kurze Richtlinie sollte Zuständigkeiten und Entscheidungen im Betriebsalltag klären. Dazu gehören insbesondere:

• zugelassene Werkzeuge und erlaubte Einsatzbereiche
• gesperrte Daten und vertrauliche Inhalte
• Grenzen für Personalentscheidungen und andere folgenreiche Entscheidungen
• Zuständigkeit für Ergebnisprüfung und externe Veröffentlichung
• Fälle, in denen eine Kennzeichnung oder Offenlegung nötig ist
• Wege für Freigaben, Dokumentation und Meldung von Vorfällen
• Schulungen, die zu den verwendeten Werkzeugen und Tätigkeiten passen

Diese Punkte helfen bei der Orientierung. Sie bilden keinen einheitlichen gesetzlichen Pflichtenkatalog für jedes Unternehmen. Ein Unternehmen sollte die Richtlinie außerdem aktualisieren, wenn sich der Einsatzzweck, die Datenverarbeitung oder die geltenden Anforderungen ändern.