KI-Richtlinie im Unternehmen: Was rein muss

In vier von zehn Unternehmen nutzen Beschäftigte private KI-Programme, oder die Firma geht zumindest davon aus. Das hat der Digitalverband Bitkom im Oktober zweitausendfünfundzwanzig veröffentlicht.

Knapp ein Viertel, genau dreiundzwanzig Prozent. Die übrigen lassen ihre Leute mit Kundendaten, Angeboten und Zeichnungen allein.

Nein. Niemand weiß, was vertraulich ist, welches Programm erlaubt ist und wer ein Ergebnis prüft.

Dann wird sie oft inoffiziell eingesetzt. Laut derselben Umfrage stellen nur sechsundzwanzig Prozent der Unternehmen ihren Beschäftigten überhaupt einen eigenen Zugang bereit.

Was in eine KI-Richtlinie hineingehört und was das Gesetz dazu verlangt. Wir gehen drei typische Fehler im Mittelstand durch, jeweils mit dem Weg, der funktioniert.

Dann passiert es auf dem Handy. Der Vertrieb lässt sich die Angebotsmail trotzdem formulieren, nur eben mit dem privaten Konto.

Ja, sobald Firmendaten drinstecken. Dann haben Sie ein Problem mit Datenschutz und Geschäftsgeheimnissen, und Sie sehen nicht einmal, was abgeflossen ist.

Die Datenschutzkonferenz, also das Gremium der deutschen Aufsichtsbehörden, hat im Mai zweitausendvierundzwanzig eine Orientierungshilfe zu KI veröffentlicht. Darin steht: Der Arbeitgeber soll dienstliche Geräte und Konten stellen.

Weil dabei Profile über einzelne Beschäftigte entstehen können. Und weil Sie bei einem privaten Konto keinen Vertrag mit dem Anbieter haben.

Den Vertrag zur Auftragsverarbeitung nach Artikel achtundzwanzig der DSGVO. Darin verpflichtet sich der Anbieter, Daten nur nach Ihrer dokumentierten Weisung zu verarbeiten.

Die Datenschutzkonferenz nennt zwei Schalter. Eingaben werden nicht zum Training des Modells genutzt, und der Verlauf wird nicht über die Sitzung hinaus gespeichert.

Dann geht es um Übermittlungen in Drittstaaten nach Kapitel fünf der DSGVO. Fragen Sie vor der Freigabe, wo die Daten verarbeitet werden, und lassen Sie es sich vertraglich zusichern.

Zuerst eine Liste der freigegebenen Programme, mit Zweck. Die Behörden empfehlen ausdrücklich Beispiele, was erlaubt ist und was nicht.

Eine zuständige Person, etwa aus der IT, zusammen mit dem Datenschutzbeauftragten. Neue Programme kommen nur über sie auf die Liste, nicht auf Zuruf.

Mit drei Stufen statt einem Satz. Grün sind öffentliche Informationen, etwa Texte von Ihrer Website, die dürfen in jedes freigegebene Werkzeug.

Interne Unterlagen wie Protokolle oder Angebotsentwürfe, nur im Firmenkonto mit Vertrag. Rot sind Personaldaten, Gesundheitsdaten und Konstruktionszeichnungen, die gehen nur mit ausdrücklicher Freigabe.

Aber Geschäftsgeheimnisse. Nach dem Geschäftsgeheimnisgesetz ist eine Information nur geschützt, wenn Sie angemessene Maßnahmen zur Geheimhaltung getroffen haben.

Sie ist ein Baustein davon. Wer gar nichts regelt, hat es im Streit mit einem abgewanderten Mitarbeiter schwerer, den Schutz überhaupt zu begründen.

Eine Prüfpflicht. Die Datenschutzkonferenz schreibt, dass Ergebnisse mit Personenbezug vor der Weiterverwendung geprüft werden müssen, weil die Programme falsche Angaben erzeugen können.

Der Mensch, der das Ergebnis verwendet. Das schreiben Sie so hinein: Wer KI nutzt, verantwortet das Ergebnis wie einen eigenen Text.

Da fehlen zwei Dinge, die das Gesetz verlangt. Der Betriebsrat und die Schulung.

Paragraf neunzig des Betriebsverfassungsgesetzes verlangt, den Betriebsrat schon über die Planung von Arbeitsabläufen zu unterrichten. Seit zweitausendeinundzwanzig steht der Einsatz von Künstlicher Intelligenz dort ausdrücklich drin.

Bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, ja. Das regelt Paragraf siebenundachtzig, Absatz eins, Nummer sechs.

Das Arbeitsgericht Hamburg hat im Januar zweitausendvierundzwanzig in einem Eilverfahren entschieden: nicht, wenn Beschäftigte freiwillig private Konten nutzen. Der Arbeitgeber konnte dort nämlich gar nichts auswerten.

Genau dann können Administratoren Nutzungsdaten sehen. Nach dem Bundesarbeitsgericht genügt schon, dass Software zur Überwachung geeignet ist, deshalb ist Mitbestimmung dann sehr wahrscheinlich.

Nein, holen Sie ihn vorher an den Tisch. Die Datenschutzkonferenz schlägt selbst eine Betriebsvereinbarung vor, und darin regeln Sie Nutzung und Auswertung verbindlich für beide Seiten.

Paragraf achtzig regelt: Muss der Betriebsrat KI beurteilen, gilt ein Sachverständiger als erforderlich. Planen Sie das also gleich mit ein, statt darüber zu streiten.

Die KI-Verordnung der EU verlangt in Artikel vier KI-Kompetenz. Das gilt seit dem zweiten Februar zweitausendfünfundzwanzig für jedes Unternehmen, das KI beruflich einsetzt.

Ja, durch eine Änderungsverordnung, in Kraft seit dem siebenundzwanzigsten Juli zweitausendsechsundzwanzig. Jetzt heißt es, Sie ergreifen Maßnahmen, um die Kompetenz Ihres Personals zu fördern.

Früher sollten Sie ein ausreichendes Maß an Kompetenz sicherstellen. Jetzt steht ausdrücklich drin, dass Sie kein bestimmtes Niveau für jede Person garantieren müssen.

Die Pflicht zu handeln bleibt. Die Verordnung sagt auch, worauf es ankommt: Vorwissen, Erfahrung und der Zusammenhang, in dem jemand die KI einsetzt.

Die Personalabteilung braucht etwas anderes als die Konstruktion. Eine Stunde je Rolle, an echten Aufgaben aus dem Alltag, ist ein vernünftiger Anfang.

Was die freigegebenen Programme können und wo sie Fehler machen. Dazu die drei Datenstufen, wer Ergebnisse prüft und die roten Linien aus der Richtlinie.

Das Gesetz nennt keinen Takt. Sinnvoll ist eine Auffrischung, sobald ein neues Programm dazukommt, und Neue bekommen die Stunde in der ersten Woche.

Mit einer einfachen Liste: wer, wann, zu welchem Programm. Fragt nach einem Vorfall jemand nach, ist das Ihre Antwort.

Das ist der heikelste Fall, und er gehört als eigene Regel in die Richtlinie. Programme zur Auswahl von Bewerbern stuft die KI-Verordnung als hohes Risiko ein.

Maßgeblich ist der Zweck, für den es bestimmt ist. Soll es Bewerbungen sichten, filtern oder Bewerber bewerten, nennt Anhang drei der Verordnung genau das.

Pflichten als sogenannter Betreiber. Sie müssen eine fachkundige Person mit der Aufsicht betrauen und die Protokolle mindestens sechs Monate aufbewahren.

Ursprünglich ab August zweitausendsechsundzwanzig. Die Änderungsverordnung hat das für diese Systeme auf den zweiten Dezember zweitausendsiebenundzwanzig verschoben.

Ab dann verlangt die Verordnung das ausdrücklich. Vor dem Einsatz informieren Sie Arbeitnehmervertreter und betroffene Beschäftigte, und Bewerber erfahren, dass ein solches System über sie mitentscheidet.

Für diese Pflichten ja. Aber die DSGVO gilt heute schon, und Artikel zweiundzwanzig verbietet grundsätzlich erhebliche Entscheidungen über Menschen, die allein eine Maschine trifft.

Die Datenschutzkonferenz sagt: Eine nur formelle Beteiligung reicht nicht. Der Mensch braucht echten Spielraum und darf den Vorschlag nicht ungeprüft übernehmen.

Die Behörden nennen genau diesen Fall. Ein Programm wertet alle Bewerbungen aus und verschickt selbst die Einladungen zum Gespräch, das ist ein Verstoß.

Sie lernt aus alten Entscheidungen. Hat die Firma früher fast nur Männer eingestellt, kann das Programm genau das empfehlen, und wer dem folgt, verstößt gegen das Gleichbehandlungsgesetz.

Indem jemand regelmäßig prüft, wen das Programm aussortiert hat. Die Datenschutzkonferenz verlangt, Ergebnisse auf Benachteiligung zu prüfen, auch wenn sie im einzelnen Ergebnis nicht erkennbar ist.

Ja, seit Februar zweitausendfünfundzwanzig. Programme, die am Arbeitsplatz Gefühle von Menschen erkennen sollen, sind verboten, außer aus medizinischen oder Sicherheitsgründen.

Denken Sie an ein Programm, das im Videointerview Nervosität messen soll oder im Callcenter die Stimmung der Mitarbeiter. Ein Verstoß gegen die Verbote kann bis fünfunddreißig Millionen Euro kosten oder sieben Prozent des weltweiten Umsatzes.

Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Die Liste der verbotenen Praktiken gehört trotzdem als rote Linie in Ihre Richtlinie.

Die Kennzeichnung. Seit dem zweiten August zweitausendsechsundzwanzig müssen Sie offenlegen, wenn Bild, Ton oder Video mit KI täuschend echt erzeugt oder verändert wurden.

Für Texte, die die Öffentlichkeit über Fragen von öffentlichem Interesse informieren. Hat ein Mensch den Text geprüft und trägt redaktionell die Verantwortung, entfällt die Pflicht.

Kommt darauf an, ob es echten Dingen ähnelt und täuschend echt wirkt. Regeln Sie es einfach: Erzeugte Bilder von Menschen, Orten und Ereignissen werden gekennzeichnet, im Zweifel immer.

Erstens: Geben Sie ein oder zwei Programme mit Firmenkonto frei, Training und Verlauf aus. Legen Sie dazu die drei Stufen grün, gelb und rot für Daten fest.

Holen Sie den Betriebsrat vor dem Start an den Tisch. Und schulen Sie jede Rolle eine Stunde, mit einer Liste als Nachweis.

Schreiben Sie die roten Linien auf: Keine Entscheidung über Menschen allein durch KI, keine Erkennung von Gefühlen, täuschend echte Inhalte werden gekennzeichnet.

Zwei bis drei Seiten reichen, wenn sie konkret sind. Eine Vorlage für die Richtlinie und die Schulung nach Artikel vier finden Sie bei frag.hugo.