ChatGPT im Unternehmen: Was jetzt geregelt sein muss

Die ehrliche Bestandsaufnahme zum Thema ChatGPT im Unternehmen sieht meist so aus: Es gibt keine KI-Strategie, aber es gibt KI. Der Vertrieb lässt Angebote formulieren, die Personalabteilung Bewerbungen zusammenfassen, die Buchhaltung Verträge erklären – über private Accounts, auf privaten Geräten, ohne Freigabe. Das nennt sich Schatten-KI, und das Risiko daraus trägt nicht der Mitarbeiter, sondern das Unternehmen.

Was tatsächlich passiert – vier Fälle aus der Praxis

• Ein Vertriebsmitarbeiter lädt den Rahmenvertrag eines Großkunden hoch, um sich die Haftungsklausel erklären zu lassen. Der Vertrag enthält eine Vertraulichkeitsvereinbarung.
• Die Personalabteilung lässt Bewerbungsunterlagen zusammenfassen und vorsortieren – mit Namen, Lebenslauf, Foto und Gesundheitsangaben.
• Ein Entwickler fügt Quellcode ein, um einen Fehler zu suchen. Der Code stammt aus einem Kundenprojekt mit Rechteübertragungsklausel.
• Das Marketing erzeugt Bilder und Texte für die Website, die im Stil einer bekannten Marke gehalten sind, und veröffentlicht sie ohne Kennzeichnung.

Keiner dieser Fälle ist böswillig. Alle vier können teuer werden.

Risiko 1: Datenschutz

Sobald personenbezogene Daten in ein KI-Tool eingegeben werden – Kundennamen, Bewerberunterlagen, Krankmeldungen, E-Mail-Verläufe –, ist das eine Verarbeitung im Sinne der DSGVO. Zu klären sind dann:

• Rechtsgrundlage für die Verarbeitung und ihre Dokumentation im Verarbeitungsverzeichnis
• Auftragsverarbeitungsvertrag mit dem Anbieter – die Standardvorlage des Anbieters ist selten ausreichend
• Drittlandtransfer, wenn Server oder Konzernstrukturen außerhalb der EU liegen
• Training mit Ihren Eingaben: ob Inhalte zur Modellverbesserung genutzt werden, hängt vom Tarif ab. In kostenlosen Consumer-Zugängen ist das regelmäßig nicht ausgeschlossen.
• Betroffenenrechte: Sie müssen Auskunft und Löschung auch für Daten gewährleisten können, die in einem KI-Dienst gelandet sind
• Datenschutz-Folgenabschätzung, wenn das System bewertet, profiliert oder im Beschäftigtenkontext eingesetzt wird

Risiko 2: Geschäftsgeheimnisse – das unterschätzte Problem

Der Schutz nach dem Geschäftsgeheimnisgesetz setzt voraus, dass die Information durch angemessene Geheimhaltungsmaßnahmen geschützt wird. Genau hier entsteht ein Dominoeffekt: Wer nicht regelt, ob Kalkulationen, Kundenlisten, Quellcode oder Vertragsentwürfe in externe KI-Dienste eingegeben werden dürfen, riskiert, dass diese Informationen den Status als Geschäftsgeheimnis verlieren.

Die Folge ist nicht nur ein Datenabfluss. Sie verlieren die Grundlage, um gegen einen abgeworbenen Mitarbeiter, einen Wettbewerber oder einen ehemaligen Dienstleister vorzugehen – Unterlassung, Auskunft, Schadensersatz setzen den Schutzstatus voraus.

Risiko 3: Urheberrecht – an den Ergebnissen und an fremden Werken

Risiko 4: Haftung für falsche Ergebnisse

KI-Systeme erzeugen plausibel klingende, aber teils falsche Inhalte. Wenn ein solches Ergebnis in ein Angebot, eine Produktbeschreibung, eine Beratung oder eine Rechnung wandert, haftet Ihr Unternehmen nach den ganz normalen Regeln: Gewährleistung, Schadensersatz, wettbewerbsrechtliche Ansprüche wegen irreführender Angaben. „Das hat die KI so geschrieben“ ist kein Entlastungsgrund – im Gegenteil, es belegt fehlende Kontrolle.

Für die Geschäftsführung kommt eine zweite Ebene hinzu: Wer den Einsatz risikoreicher Technologie ohne Richtlinie, Schulung und Kontrolle laufen lässt, bewegt sich im Bereich der Organisationspflichten – mit entsprechender persönlicher Verantwortung.

Der AI Act: Was schon jetzt für Anwender gilt

Ein verbreiteter Irrtum lautet, der AI Act betreffe nur Hersteller von KI-Systemen. Tatsächlich ist auch Betreiber, wer KI im eigenen Unternehmen einsetzt. Bereits anwendbar sind insbesondere:

• Verbotene Praktiken: dazu zählen unter anderem Systeme zur Emotionserkennung am Arbeitsplatz sowie Social Scoring. Verstöße sind mit dem höchsten Bußgeldrahmen der Verordnung bewehrt – bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
• KI-Kompetenz: Unternehmen müssen dafür sorgen, dass die mit KI befassten Personen über ausreichende Kenntnisse verfügen. Das ist keine Empfehlung, sondern eine Pflicht – und sie lässt sich nur durch dokumentierte Schulungen nachweisen.
• Transparenz- und Kennzeichnungspflichten nach Art. 50 für Chatbots, synthetische Inhalte und Deepfakes.
• Gestaffelte Pflichten für Hochrisiko-Systeme, etwa in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur.

Für sonstige Verstöße sieht die Verordnung Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor. Der AI Act tritt dabei neben die DSGVO – er ersetzt sie nicht.

Mitbestimmung: Der Betriebsrat sitzt mit am Tisch

Sobald ein KI-Tool geeignet ist, Leistung oder Verhalten von Beschäftigten zu überwachen – und das ist bei vielen Assistenz-, Analyse- und Kommunikationswerkzeugen der Fall –, greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Auf die Absicht kommt es nicht an, die technische Eignung genügt.

Hinzu kommen Unterrichtungs- und Beratungsrechte bei Änderungen von Arbeitsverfahren sowie die erleichterte Hinzuziehung eines Sachverständigen für die Beurteilung von KI. Wer ohne Beteiligung einführt, riskiert Unterlassungsverfahren und im Ergebnis den Stopp des Projekts – meist nachdem die Lizenzen bereits bezahlt sind. Der saubere Weg ist eine Betriebsvereinbarung zur KI-Nutzung, die zugleich datenschutzrechtliche Fragen mitregelt.

Die KI-Richtlinie: Was hineingehört

1. Anwendungsbereich: für wen, für welche Geräte, auch für private Accounts im dienstlichen Kontext.
2. Freigegebene Tools und Tarife – abschließende Liste statt allgemeiner Erlaubnis, mit benanntem Freigabeprozess für neue Tools.
3. Ampelsystem für Daten: was nie eingegeben werden darf (Personaldaten, Gesundheitsdaten, Mandanten- und Kundengeheimnisse, Quellcode aus Kundenprojekten, Vertragsentwürfe), was nur anonymisiert, was unbedenklich ist.
4. Pflicht zur inhaltlichen Prüfung jedes Ergebnisses vor Verwendung, mit klarer Verantwortlichkeit.
5. Kennzeichnung von KI-Inhalten intern und extern.
6. Umgang mit Urheber- und Markenrechten: keine Prompts, die auf konkrete geschützte Werke, Stile oder Marken abzielen.
7. Dokumentation: welche Ergebnisse in welchen Prozessen genutzt werden.
8. Schulung und Nachweis – zugleich Erfüllung der KI-Kompetenzpflicht.
9. Meldewege bei Fehlern, Datenabfluss oder auffälligen Ergebnissen.
10. Arbeitsrechtliche Konsequenzen bei Verstößen, sauber und verhältnismäßig formuliert.
11. Verzahnung mit Datenschutzdokumentation, Verarbeitungsverzeichnis und Geheimhaltungsvereinbarungen.
12. Review-Zyklus – Tools und Rechtslage ändern sich schneller als jede Richtlinie.

Acht Fehler, die ich regelmäßig sehe

1. Pauschales Verbot ohne Alternative – erzeugt Schatten-KI statt Sicherheit.
2. Kostenlose Consumer-Zugänge für dienstliche Zwecke.
3. Keine Prüfung der Anbieterbedingungen, insbesondere zu Training, Speicherort und Rechteeinräumung.
4. KI in HR-Prozessen ohne Folgenabschätzung und ohne AGG-Blick.
5. Betriebsrat übergangen.
6. Ungeprüfte Veröffentlichung von KI-Texten und -Bildern auf Website und Social Media.
7. Keine Schulung – und damit auch kein Nachweis der KI-Kompetenz.
8. Vorlage aus dem Internet als KI-Richtlinie, die zu keinem der tatsächlich genutzten Tools passt.

In fünf Schritten zur rechtssicheren KI-Nutzung

1. Bestandsaufnahme: Welche Tools werden tatsächlich genutzt – anonym erhoben, ohne Schuldzuweisung. Das Ergebnis überrascht fast jede Geschäftsführung.
2. Risikoeinstufung je Anwendungsfall: Datenkategorien, Rolle nach AI Act, Mitbestimmung, Branchenpflichten.
3. Tool- und Vertragsauswahl: Unternehmens-Tarife mit Auftragsverarbeitungsvertrag, geklärtem Speicherort und ausgeschlossenem Training.
4. Regelwerk: KI-Richtlinie, Betriebsvereinbarung, Anpassung von Datenschutzdokumentation und Geheimhaltungsvereinbarungen.
5. Schulung und Kontrolle mit Dokumentation – und ein fester Termin für die Überprüfung.

Warum das kein reines IT-Thema ist

Die Auswahl des Tools ist eine IT-Entscheidung. Alles, was daran hängt, ist es nicht: Rechtsgrundlagen, Vertragsgestaltung mit dem Anbieter, Geheimnisschutz, Mitbestimmung, Kennzeichnungspflichten, Haftungsverteilung und die Frage, wer im Ernstfall geradesteht. Diese Fragen greifen ineinander – eine Regelung, die den Datenschutz löst und den Geheimnisschutz vergisst, hilft im Streitfall wenig.

In der Praxis kommt hinzu: Eine KI-Richtlinie muss gelebt werden können. Zu strenge Vorgaben werden umgangen, zu weiche schützen nicht. Der Zuschnitt auf Ihre tatsächlichen Arbeitsabläufe entscheidet darüber, ob das Dokument wirkt oder nur im Intranet liegt.

Häufige Fragen

Dieser Beitrag gibt den Rechtsstand zum Zeitpunkt der Veröffentlichung wieder und stellt eine allgemeine Information dar, keine Rechtsberatung im Einzelfall. Die Anwendungszeitpunkte des AI Act sind gestaffelt und die Bedingungen der Anbieter ändern sich laufend; maßgeblich ist der jeweils aktuelle Stand.