Rechtslage zur Nutzung von KI im Unternehmen

Doch während die Fachabteilungen bereits mit ChatGPT texten, DeepL übersetzen oder KI-gestützte Prozessoptimierungstools nutzen, stehen Sie als Geschäftsführer vor einer diffusen Rechtslage und einer neuen Welle an Compliance-Anforderungen.

Wer haftet, wenn die KI falsche Konstruktionsdaten liefert? Darf der Vertrieb Kundendaten in ein US-Tool eingeben? Und was genau kommt mit dem EU AI Act im Jahr 2025 auf Sie zu?

Dieser Artikel liefert Ihnen keine juristischen Paragraphen-Wüsten, sondern einen vertieften strategischen Handlungsrahmen. Er zeigt auf, wie Sie Ihr Unternehmen konform und zukunftssicher aufstellen, ohne die dringend notwendige Innovationskraft abzuwürgen.

Wichtiger Hinweis: Dieser Artikel dient der allgemeinen Information und Sensibilisierung ("Legal Awareness"). Er ersetzt keine individuelle Rechtsberatung durch einen Anwalt.

1. Der EU AI Act: Klassifizierung, Risiken und die neuen Pflichten ab 2025

Der EU AI Act (KI-Verordnung) wird die Nutzung von KI in der EU fundamental neu regeln. Er verfolgt einen strengen risikobasierten Ansatz und definiert vier Hauptkategorien. Der Schlüssel zur Compliance liegt für Sie als Entscheider in der korrekten Risikoklassifizierung Ihrer genutzten oder geplanten KI-Systeme.

1.1 Die vier Risikoklassen im Detail

A. Unzulässige KI-Systeme (Verboten)

Systeme, die gegen die Grundrechte der EU-Bürger verstoßen, sind verboten. Dazu gehören KI-Systeme zum Social Scoring durch staatliche Stellen (wie in China), die missbräuchliche Nutzung von biometrischen Daten oder Techniken zur unterschwelligen Beeinflussung von Verhalten. Ein Einsatz dieser Systeme im Unternehmen ist strafbar und mit den höchsten Bußgeldern belegt.

B. Hochrisiko-KI (Hohe Anforderungen und massiver Compliance-Overhead)

Hier beginnt der administrative Aufwand. Systeme, die weitreichende Entscheidungen mit potenziell schweren Konsequenzen für Personen treffen, gelten als Hochrisiko-KI. Im industriellen und unternehmerischen Kontext betrifft dies typischerweise:

• Produktionssicherheit und kritische Infrastrukturen: KI zur Steuerung von Fertigungsanlagen, die ein signifikantes Verletzungsrisiko bergen, oder die maßgeblich die Sicherheit kritischer Infrastrukturen (Energie, Wasser) beeinflusst.

• HR-Management: KI zur automatisierten Analyse von Bewerbungen (Recruiting-Systeme) oder zur Leistungsbewertung, die über Einstellungen, Beförderungen oder Kündigungen entscheidet.

• Kredit- und Risikobewertung: Systeme, die die Kreditwürdigkeit von Privatpersonen beurteilen.

Implikation für Geschäftsführer: Wenn Ihr Unternehmen Hochrisiko-KI betreibt, müssen Sie umfangreiche Compliance-Pflichten erfüllen, die einer Zertifizierung gleichen:

1. Risikomanagement-System (RMS): Etablierung eines kontinuierlichen Prozesses zur Identifizierung und Minderung von Risiken.

2. Daten-Governance: Strenge Anforderungen an die Qualität, Bereinigung und Relevanz der Trainingsdaten, um Diskriminierung (Bias) zu vermeiden.

3. Technische Dokumentation: Erstellung detaillierter Unterlagen über das Design, die Entwicklung und die Funktionsweise des Systems (Verständlichkeit, Robustheit).

4. Konformitätsbewertung (CE-Kennzeichnung): Das System muss vor dem Inverkehrbringen oder der Nutzung intern einer Konformitätsbewertung unterzogen werden.

C. KI mit Transparenzpflicht (Generative Modelle)

Hierzu zählen die gängigen generativen Modelle (LLMs wie ChatGPT oder Midjourney). Ihre Nutzung ist erlaubt, erfordert aber Transparenz beim Output: Nutzer müssen über die Interaktion mit einer KI informiert und KI-generierte Inhalte müssen als solche gekennzeichnet sein (Kennzeichnungspflicht).

Zudem müssen die Anbieter offenlegen, welche urheberrechtlich geschützten Werke zum Training der KI genutzt wurden.

D. Minimalrisiko-KI

Die meisten Standardanwendungen (Spamfilter, einfache Suchalgorithmen) fallen hierunter. Die Anforderungen sind minimal, sollten aber intern in Richtlinien eingebettet sein.

1.2 Die neue Schulungspflicht: KI-Kompetenz als Organisationspflicht

Die zentrale Anforderung des AI Act ist die KI-Kompetenz-Pflicht (Art. 4 AI Act). Dies ist ein unmittelbarer Auftrag an die Geschäftsführung, die Organisation entsprechend vorzubereiten.

Für Sie als Geschäftsführer bedeutet das, das Organisationsverschulden präventiv auszuschließen: Sie müssen sicherstellen, dass Ihre Mitarbeiter die Grenzen der genutzten KI kennen.

Das gilt besonders für die oft kritisierten "Halluzinationen" von LLMs oder die inhärente Bias (Verzerrung) mancher Analyse-Tools. Unwissenheit schützt nicht vor Haftung. Diese Vorgabe zur KI-Kompetenz-Sicherung muss durch einen dokumentierten Schulungsplan belegt werden und ist essenziell für die KI-Governance Mittelstand.

2. Datenschutz (DSGVO) und Geschäftsgeheimnisse: Das Blackbox-Problem

Unabhängig vom AI Act bleibt die Datenschutz-Grundverordnung (DSGVO) bei der KI-Nutzung rechtlich die wichtigste Leitplanke. Hier entstehen die meisten sofortigen Rechtsverstöße.

2.1 Eingabe von personenbezogenen Daten und Drittlandtransfer

Das größte Risiko liegt in der Eingabe von Daten in generative KI-Tools.

• Der DSGVO-Fallensteller: Verwenden Sie niemals Kundendaten, Mitarbeiterdaten oder andere personenbezogene Daten (auch scheinbar harmlose Daten wie die IP-Adresse oder die E-Mail-Signatur) in Public-Domain-Tools wie der kostenlosen Version von ChatGPT oder Google Gemini.

• Hintergrund Schrems II und AVV: Die Betreiber der Tools (oft in den USA) nutzen diese Eingaben zur Weiterentwicklung und Speicherung. Eine rechtskonforme Auftragsverarbeitungsvereinbarung (AVV) gemäß DSGVO KI Checkliste ist in der Regel nicht gegeben. Selbst wenn ein Datenverarbeitungsvertrag existiert, ist der Datentransfer in Drittländer (insbesondere die USA) durch die Rechtsprechung (Stichwort: Schrems II) hochproblematisch, da US-Behörden Zugriff auf die Daten erhalten können.

Ihre Lösung: Setzen Sie auf Enterprise-Lösungen der großen Anbieter, bei denen vertraglich der Verzicht auf das Training mit Ihren Daten zugesichert und ein europäischer Serverstandort (AVV) oder zumindest eine wirksame Transfer-Garantie gewährleistet werden kann. Alternativ sollten Sie über lokal gehostete KI-Lösungen nachdenken.

2.2 Schutz von Konstruktions- und Prozessdaten

Industrieunternehmen arbeiten mit Geschäftsgeheimnissen (Produktformeln, Konstruktionszeichnungen, strategische Preislisten). Wird eine vertrauliche Information in eine externe KI eingegeben, wird das Geschäftsgeheimnis im Sinne des Geschäftsgeheimnisgesetzes (GeschGehG) potenziell aufgehoben, da das Tool die Daten speichert und an Dritte weitergibt.

Strategische Sofortmaßnahme: Implementieren Sie klare Interne KI Richtlinien. Diese müssen eindeutig definieren, welche Arten von Unternehmensdaten (insbesondere vertrauliche Informationen zum Geschäftsgeheimnis Schutz KI) niemals in externe KI-Tools eingegeben werden dürfen. Der Verstoß gegen diese Richtlinie muss arbeitsrechtliche Konsequenzen nach sich ziehen können.

3. Urheberrecht & Haftung: Das Risiko im Output

Die rechtliche Verantwortung für den Output und die Folgen von KI-Fehlern sind für die Geschäftsleitung von unmittelbarer Bedeutung.

3.1 Nutzung von KI-Output im Marketing und Vertrieb

Nach deutscher Rechtslage kann nur ein Mensch ein Urheber sein (Schöpfungshöhe). Das hat zwei wichtige Folgen:

1. Fehlender Schutz: KI-generierte Texte und Bilder genießen keinen eigenen urheberrechtlichen Schutz. Sie können sie frei nutzen, aber auch jeder Dritte darf dies. Das bedeutet, dass Sie auf KI basierende Logos oder Kerntexte nicht selbst urheberrechtlich verteidigen können.

2. Haftung für Fremdrechte: Das primäre Risiko liegt in der Verletzung fremder Rechte. Wurde die KI mit urheberrechtlich geschützten Werken trainiert, können die Ergebnisse (etwa ein KI-generiertes Bild im Stil eines berühmten Designers) eine Urheberrechtsverletzung darstellen, die zur Haftung für KI-Fehler führen kann. Die Beweislast, dass kein Plagiat vorliegt, liegt beim Nutzer.

Ihre Empfehlung: Nutzen Sie KI-Tools zur Inspiration und Beschleunigung, aber lassen Sie kritische, schutzwürdige Inhalte immer durch menschliche Experten finalisieren oder überarbeiten. Dokumentieren Sie den menschlichen Einfluss (z.B. durch signifikante Nachbearbeitung), um potenziell einen eigenen Schutzrechtsanspruch zu begründen.

3.2 Die Haftungsfalle: Organisationsverschulden

Die Haftung für KI-Fehler unterscheidet primär zwischen der Haftung des Entwicklers und des Nutzers. Als nutzendes Unternehmen haften Sie, wenn Sie die KI nicht sachgemäß einsetzen – Stichwort: Organisationsverschulden.

Konkrete Haftungsszenarien:

• Verletzung der Sorgfaltspflicht: Ein Mitarbeiter nutzt ein LLM (Large Language Model) ungeschult, um kritische Vertragsklauseln zu erstellen. Die KI "halluziniert" eine fehlerhafte Klausel, was dem Unternehmen einen Schaden zufügt.

• Fehlende Richtlinien: Der Vertrieb gibt unkontrolliert Kundendaten in eine Public-Cloud-KI ein, was zu einem DSGVO-Verstoß und Bußgeldern führt.

Der Schlüssel zur Minimierung der Haftung für KI-Fehler liegt in der lückenlosen Dokumentation des KI-Einsatzes und der Einhaltung der Schulungspflicht. Für Hochrisiko-Systeme könnte in Zukunft zusätzlich eine Art verschuldensunabhängige Haftung (ähnlich der Produkthaftung) gelten, was den Druck auf die Einhaltung der AI Act-Compliance weiter erhöht.

4. Checkliste: In 5 Schritten zur rechtssicheren KI-Strategie

Um die KI Nutzung rechtlich abzusichern und Risiken zu minimieren, sollten Sie folgende strategische Schritte sofort einleiten:

1. Interne KI-Nutzungsrichtlinie (Code of Conduct)

Erstellen Sie eine verbindliche Richtlinie. Sie muss die Mitbestimmung des Betriebsrats berücksichtigen und klar definieren:

• Welche KI im Unternehmen genutzt werden darf (White-List/Black-List).

• Welche Datenkategorien (Kundendaten, Geschäftsgeheimnisse) unter keinen Umständen eingegeben werden dürfen.

• Regeln für die Überprüfung und Urheberrechts-Kennzeichnung des Outputs.

2. Datenschutz-Audit (DSGVO) und KI-Register

Überprüfen Sie alle genutzten KI-Tools auf ihren Standort und ihre Nutzungsbedingungen. Führen Sie ein KI-Register (ähnlich dem Verzeichnis von Verarbeitungstätigkeiten der DSGVO), in dem jede KI-Anwendung, ihr Zweck, ihre Datenbasis und ihr Risiko (nach AI Act) erfasst werden.

• Gibt es eine rechtskonforme Auftragsverarbeitungsvereinbarung (AVV)?

• Findet ein rechtswidriger Datentransfer in die USA statt?

3. Risikoklassifizierung der Anwendungsfälle

Bewerten Sie systematisch das Risiko jedes KI-System im Unternehmen. Stellen Sie fest, ob es sich um Hochrisiko-KI handelt. Wenn ja, müssen Sie die strengen Dokumentations- und Governance-Pflichten des EU AI Act umsetzen und externe Berater hinzuziehen.

4. Schulungs- und Kompetenzplan

Entwickeln Sie einen kontinuierlichen Schulungsplan, um die KI-Kompetenz-Pflicht zu erfüllen. Jeder Mitarbeiter, der generative KI nutzt, muss über Halluzinationen, Bias und die internen Nutzungsregeln informiert sein und dies dokumentiert bestätigen.

5. Menschliche Aufsicht (Human Oversight) etablieren

KI ist ein Werkzeug. Verankern Sie das Prinzip der menschlichen Aufsicht (Human-in-the-Loop) in allen kritischen Prozessen, die Entscheidungen mit hohem Schadenspotenzial betreffen.

5. Häufige Fragen zur Rechtslage von KI im Mittelstand

Welche Rolle spielt der Betriebsrat beim Einsatz von KI?

Der Einsatz von KI-Systemen, die zur Überwachung oder Leistungs- und Verhaltenskontrolle der Mitarbeiter dienen können, unterliegt der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG).

Dies ist oft der Fall bei Tools im Personalwesen (HR-Scoring) oder bei der automatisierten Arbeitszeit- und Leistungserfassung. Klären Sie die Einführung von KI-Anwendungen, die personenbezogene Daten verarbeiten, frühzeitig mit Ihrem Betriebsrat ab, um Verzögerungen und rechtliche Anfechtungen zu vermeiden.

Dürfen Mitarbeiter ChatGPT privat nutzen, wenn es über Firmen-Hardware läuft?

Das sollte zwingend in Ihren internen Richtlinien (Code of Conduct) geregelt sein. Eine strikte Trennung von privater und beruflicher Nutzung ist im Sinne des Datenschutzes und des Geschäftsgeheimnisses dringend zu empfehlen.

Definieren Sie, dass die Eingabe von Unternehmensdaten (auch scheinbar harmloser) unter allen Umständen untersagt ist, selbst wenn die Nutzung als privat deklariert wird.

Ab wann drohen uns Bußgelder nach dem EU AI Act?

Die Bußgelder sind drastisch und nach den Regelungen der DSGVO modelliert, jedoch höher angesetzt. Sie können bei Verstößen gegen verbotene KI-Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist.

Die Regeln treten gestaffelt in Kraft, wobei die Verbote und die Pflichten zur KI-Kompetenz bereits ab 2025 relevant werden. Ein proaktiver Aufbau einer KI-Governance ist die einzige Versicherung gegen dieses Risiko.