KI-Richtlinie für Unternehmen: Muster für kleine Betriebe

Wozu eine KI-Richtlinie

In vielen Betrieben nutzen Mitarbeitende längst Chatbots, Übersetzer oder Transkriptionsdienste, oft mit privaten Konten und ohne dass die Geschäftsführung es weiß. Die Datenschutzkonferenz geht in ihrer Orientierungshilfe zu KI davon aus, dass das in vielen Unternehmen Realität ist, und rät zu klaren internen Regeln. Eine schriftliche Richtlinie ist dafür der einfachste Weg. Sie hilft an vier Stellen:

• AI Act: Nach Art. 4 in der Fassung des KI-Omnibus ergreifen Betriebe, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihres Personals. Ein bestimmtes Niveau ist nicht vorgeschrieben, ein Nachweis aber sinnvoll. Klare Regeln plus Einweisung sind eine solche Maßnahme, die Sie belegen können.
• Datenschutz: Wer personenbezogene Daten in ein KI-Werkzeug eingibt, verarbeitet sie. Die DSGVO verlangt dafür eine Rechtsgrundlage, meist einen Vertrag zur Auftragsverarbeitung und geeignete Schutzmaßnahmen. Die Datenschutzkonferenz empfiehlt außerdem, dass Arbeitgeber Konten und Geräte stellen, damit niemand mit privaten Konten arbeiten muss.
• Geschäftsgeheimnisse: Preise, Kalkulationen oder Konstruktionsdaten sind nach § 2 Nr. 1 GeschGehG nur geschützt, wenn Sie angemessene Geheimhaltungsmaßnahmen treffen. Eine Regel, was nie in fremde Werkzeuge gehört, gehört zu diesen Maßnahmen.
• Haftung: Gegenüber Kunden steht in der Regel der Betrieb für Fehler seiner Beschäftigten ein (§ 278 BGB), auch wenn ein falsches Angebot oder eine falsche Auskunft aus einer KI stammt. Die Regel, Ergebnisse vor der Weitergabe zu prüfen, ist deshalb vor allem Selbstschutz.

Warum ein eigenes Muster für kleine Betriebe

Es gibt gute Muster, etwa von der IHK Schwaben, vom Deutschen Steuerberaterverband für Kanzleien oder von Anwaltskanzleien. Viele davon setzen Strukturen voraus, die ein Betrieb mit zwölf Leuten nicht hat: KI-Beauftragte, Gremien, Risikoklassen für Daten, Freigabeprozesse über mehrere Stufen.

Unser Muster ist bewusst kurz, etwa zwei bis drei Seiten, in einfacher Sprache und in der Sie-Form. Jeder Abschnitt ist so geschrieben, dass Mitarbeitende ihn ohne Vorwissen verstehen. Zwei Dinge fehlen absichtlich: Strafandrohungen und Überwachungsklauseln. Arbeitsrechtliche Folgen ergeben sich ohnehin aus Vertrag und Gesetz, und eine Richtlinie, die nach Misstrauen klingt, führt eher dazu, dass Fehler verschwiegen werden. Wer Fehler schnell meldet, hilft dem Betrieb mehr als jede Drohung.

So passen Sie das Muster an

Alles in eckigen Klammern ersetzen Sie durch Ihre Angaben. Drei Stellen brauchen echte Entscheidungen:

Prüfen Sie außerdem, ob die Liste der Daten, die nie eingegeben werden, zu Ihrem Betrieb passt. Ein Pflegedienst hat andere sensible Daten als ein Metallbauer. Streichen Sie Abschnitte, die bei Ihnen nicht vorkommen, statt sie leer stehen zu lassen.

• Werkzeugliste: Welche Dienste sind erlaubt, mit welchem Konto und für welche Daten? Machen Sie vorher eine kurze Bestandsaufnahme und fragen Sie offen, was schon genutzt wird. Für personenbezogene Daten kommen nur Werkzeuge mit Vertrag zur Auftragsverarbeitung in Frage, bei denen das Training mit Ihren Eingaben abgeschaltet ist.
• Freigabe: Wer entscheidet über neue Werkzeuge? In kleinen Betrieben ist das meist die Geschäftsführung, gegebenenfalls zusammen mit dem Datenschutzbeauftragten.
• Ansprechpartner: Eine Person mit Namen und Erreichbarkeit, an die sich alle mit Fragen und Fehlern wenden. Sie muss keine Expertin sein, aber wissen, wen sie im Zweifel fragt.

Einführen mit Betriebsrat

Gibt es einen Betriebsrat, muss er über den geplanten Einsatz von KI in Arbeitsverfahren und Arbeitsabläufen rechtzeitig und mit den nötigen Unterlagen unterrichtet werden (§ 90 Abs. 1 Nr. 3 BetrVG). Binden Sie ihn also ein, bevor die Richtlinie fertig ist, nicht danach.

Ob er mitbestimmt, hängt vom Inhalt ab. § 87 Abs. 1 Nr. 1 BetrVG betrifft Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer, Nr. 6 technische Einrichtungen, die Verhalten oder Leistung überwachen können. Das Arbeitsgericht Hamburg hat im Eilverfahren (Beschluss vom 16. Januar 2024, 24 BVGa 1/24) Regeln zur Nutzung von ChatGPT über private Konten als mitbestimmungsfreies Arbeitsverhalten eingeordnet. Das ist eine Einzelentscheidung. Stellt der Betrieb eigene Konten, die speichern, wer was eingegeben hat, liegt Nr. 6 nahe. Eine Betriebsvereinbarung, die Richtlinie, Werkzeuge und Auswertungen regelt, schafft dann Klarheit für beide Seiten. Für die Gestaltung im Einzelfall wenden Sie sich an eine Kanzlei.

Einführen ohne Betriebsrat

Ohne Betriebsrat können Sie die Richtlinie als Weisung erlassen. Nach § 106 GewO bestimmt der Arbeitgeber Inhalt, Ort und Zeit der Arbeit sowie Ordnung und Verhalten im Betrieb nach billigem Ermessen näher, soweit Arbeitsvertrag, Betriebsvereinbarung, Tarifvertrag oder Gesetz nichts anderes regeln. Billiges Ermessen heißt: Die Regeln müssen sachlich begründet und für die Beschäftigten zumutbar sein. Das spricht für ein kurzes, faires Muster.

Machen Sie die Richtlinie allen bekannt, etwa in einer Teambesprechung, per E-Mail oder als Aushang, und legen Sie sie dort ab, wo jeder sie wiederfindet. Lassen Sie sich die Kenntnisnahme bestätigen, mit Unterschrift oder einer Antwort per E-Mail. Das gilt auch für Aushilfen und freie Mitarbeitende. Freie Mitarbeitende sind an Weisungen nicht gebunden. Vereinbaren Sie mit ihnen deshalb im Vertrag oder Auftrag, dass die Regeln zu Daten, Geheimhaltung und Kennzeichnung in der Fassung bei Vertragsschluss gelten; spätere Änderungen vereinbaren Sie neu. Vorgaben zu Arbeitsweise, Einweisung oder Arbeitszeit gehören dort nicht hinein, sonst wirkt die Zusammenarbeit schnell wie ein Arbeitsverhältnis.

Einweisung und Auffrischung

Eine Richtlinie, die nur verschickt wird, wirkt selten. Gehen Sie sie einmal mit allen durch, am besten mit Beispielen aus dem eigenen Alltag: Was darf in den Chatbot, was nicht, und wie prüft man ein Ergebnis? Eine Stunde reicht in kleinen Betrieben oft. Wer regelmäßig mit einem Werkzeug arbeitet, bekommt zusätzlich eine Einweisung in genau dieses Werkzeug.

Halten Sie Datum, Thema und Teilnehmende fest. Ein Zertifikat ist nicht nötig, das bestätigt auch die EU-Kommission. Frischen Sie auf, wenn ein neues Werkzeug dazukommt, wenn sich die Richtlinie ändert und sonst etwa einmal im Jahr. Neue Beschäftigte bekommen die Einweisung vor der ersten Nutzung.

Typische Fehler

Diese Fehler sehen wir am häufigsten:

• Verbot ohne Alternative: Wer KI ganz verbietet, aber keine erlaubten Werkzeuge stellt, fördert private Konten im Verborgenen.
• Keine Werkzeugliste: Ohne konkrete Namen weiß niemand, ob ein bestimmter Dienst erlaubt ist.
• Zu abstrakt: Sätze wie „sensible Daten sind zu schützen“ helfen im Alltag nicht. Nennen Sie Beispiele.
• Kein Ansprechpartner: Wer nicht weiß, wen er fragen kann, entscheidet allein oder meldet einen Fehler nicht.
• Einmal geschrieben, nie gepflegt: Werkzeuge und Rechtslage ändern sich. Prüfen Sie die Richtlinie mindestens einmal im Jahr.
• Betriebsrat übergangen: Eine Richtlinie, die an ihm vorbei eingeführt wird, ist angreifbar und kostet Vertrauen.