Eine KI-Richtlinie ist zuerst ein Beweismittel. Sie hält fest, welche Werkzeuge im Betrieb erlaubt sind, welche Daten dort nicht hineingehören und wer wofür geradesteht. Kommt es zu einer Datenpanne, einem Streit mit dem Betriebsrat oder einer Anfrage der Aufsichtsbehörde, ist sie das Papier, das Sie vorlegen. Dieser Beitrag sortiert, welche Rechtsquellen dahinterstehen, was davon echte Pflicht ist und was Sie freiwillig dokumentieren sollten.
Wer eine fertige Gliederung zum Ausfüllen sucht, findet sie in unserer Muster-Gliederung für KI-Richtlinien mit acht Bausteinen. Hier geht es um die Frage davor: Welche Anforderungen muss der Text erfüllen?
Vom Fachartikel zur eigenen Anwendung
Über Digitalisierung zu lesen ist das eine, sie im Arbeitsalltag umzusetzen das andere. Der KI-Schnupperkurs zeigt in fünf kurzen Lektionen, wie Prozesse mit KI und Automatisierung konkret aussehen. Wer danach tiefer einsteigen will, findet im Digitalisierungsmanager die Weiterbildung dazu, bei bewilligtem Bildungsgutschein ohne Kosten für dich.
Kostenlos reinschnuppernWas die KI-Verordnung seit dem Omnibus verlangt
Die KI-Verordnung (EU) 2024/1689 wurde durch die Verordnung (EU) 2026/1744 vom 8. Juli 2026 geändert, in Kraft seit dem 27. Juli 2026. Für die meisten Betriebe sind drei Punkte relevant.
Art. 4 regelt die KI-Kompetenz. In der alten Fassung sollten Anbieter und Betreiber „nach besten Kräften sicherstellen“, dass ihr Personal ausreichend kompetent ist. Die neue Fassung verlangt nur noch Maßnahmen, die diese Kompetenz fördern. Ein bestimmtes Niveau muss niemand garantieren, und eine Pflicht, Schulungen nachzuweisen, steht nicht im Verordnungstext. Wer Ihnen einen „vorgeschriebenen Schulungsnachweis nach Art. 4“ verkaufen will, beschreibt die Rechtslage falsch.
Art. 50 regelt Transparenz und gilt seit dem 2. August 2026. Wer ein System anbietet, das direkt mit Menschen spricht, etwa einen Chatbot auf der Website, muss dafür sorgen, dass die Nutzer erkennen, dass sie mit einer KI kommunizieren. Wer als Betreiber Deepfakes erzeugt, muss offenlegen, dass Bild, Ton oder Video künstlich erzeugt oder verändert wurden. Für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, gilt dasselbe, außer ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung.
Die Pflichten für Hochrisiko-Systeme nach Anhang III, dazu zählen KI-Anwendungen im Personalbereich wie die Vorauswahl von Bewerbungen, gelten nach dem Omnibus erst ab dem 2. Dezember 2027. Wer heute ein Bewerbermanagement mit KI-Ranking einführt, sollte trotzdem jetzt festlegen, wer die Ergebnisse prüft. Umbauen ist später teurer.
Datenschutz: die Pflichten, die schon lange gelten
Die DSGVO kennt keine Sonderregeln für KI, sie greift aber bei fast jedem Einsatz. Verarbeitet ein externer Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei regelmäßiger Verarbeitung gehört sie in der Regel ins Verzeichnis nach Art. 30. Birgt sie voraussichtlich ein hohes Risiko für die Betroffenen, ist vorab eine Datenschutz-Folgenabschätzung nach Art. 35 fällig. Und landet eine Kundenliste versehentlich in einem privaten Chat-Konto, läuft die Frist aus Art. 33: Meldung an die Aufsichtsbehörde binnen 72 Stunden, sofern die Verletzung voraussichtlich zu einem Risiko führt.
Die Richtlinie übersetzt das in Anweisungen, die ein Sachbearbeiter versteht. Welche Konten sind dienstlich freigegeben? Welche Datenarten dürfen nie in ein Eingabefeld? An wen meldet man einen Fehler, und zwar sofort?
Wann der Betriebsrat mitredet
Mehrere Vorschriften des Betriebsverfassungsgesetzes sprechen KI inzwischen ausdrücklich an. Nach § 90 Abs. 1 Nr. 3 BetrVG muss der Arbeitgeber den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen unterrichten, einschließlich des Einsatzes von Künstlicher Intelligenz. Muss der Betriebsrat die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen nach § 80 Abs. 3 BetrVG als erforderlich.
Das stärkste Recht ist die Mitbestimmung bei technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Wie weit das bei generativer KI reicht, hat das Arbeitsgericht Hamburg am 16. Januar 2024 (24 BVGa 1/24) für einen engen Fall entschieden: Der Arbeitgeber hatte ChatGPT über private Konten im Browser erlaubt und dazu Nutzungsregeln erlassen. Ein Mitbestimmungsrecht sah das Gericht dort nicht, weil nichts auf Firmenrechnern installiert war und der Arbeitgeber keinen Zugriff auf die Nutzungsdaten hatte. Stellen Sie dagegen eigene Firmenkonten mit Admin-Konsole und Protokollen bereit, sieht die Lage anders aus.
Unsere Einschätzung aus der Praxis: Wer den Betriebsrat erst einbindet, wenn die Lizenzen bezahlt sind, verliert Monate. Ein gemeinsamer Entwurf, der Protokollauswertungen zur Leistungskontrolle ausdrücklich ausschließt, geht meist schneller durch als jede juristische Auseinandersetzung darüber, ob das Recht überhaupt besteht.
Geschäftsgeheimnisse brauchen angemessene Maßnahmen
Dieser Punkt wird oft übersehen. Nach § 2 Nr. 1 GeschGehG ist eine Information nur dann ein geschütztes Geschäftsgeheimnis, wenn ihr Inhaber angemessene Geheimhaltungsmaßnahmen getroffen hat. Kopieren Mitarbeiter Kalkulationen, Angebotspreise oder Quellcode ungeregelt in öffentliche KI-Dienste, wird es schwer, später vor Gericht zu belegen, dass Sie diese Informationen geschützt haben.
Ein schriftliches Eingabeverbot für vertrauliche Unterlagen, bekanntgemacht und quittiert, ist genau so eine Maßnahme. Es kostet wenig und kann im Streitfall entscheiden.
Was Sie dokumentieren sollten, auch ohne Pflicht
Weil Art. 4 keinen Nachweis verlangt, fragen manche Geschäftsführer, warum sie überhaupt etwas ablegen sollen. Die Antwort liegt bei den anderen Rechtsquellen. Kommt ein Datenschutzvorfall auf den Tisch, will die Aufsichtsbehörde wissen, welche Anweisungen galten. Streiten Sie mit einem ausgeschiedenen Mitarbeiter über mitgenommene Daten, zählen die Geheimhaltungsmaßnahmen. Fragt ein Kunde im Audit nach Ihrer KI-Governance, hilft eine Mappe mehr als eine mündliche Zusicherung.
| Beleg | Rechtlicher Hintergrund | Pflicht oder Empfehlung |
|---|---|---|
| Liste freigegebener KI-Werkzeuge mit Vertragsstatus | Art. 28 und 30 DSGVO | Empfehlung; Vertrag und Verzeichnis sind Pflicht, sobald personenbezogene Daten im Auftrag verarbeitet werden |
| Datenschutz-Folgenabschätzung | Art. 35 DSGVO | Pflicht bei voraussichtlich hohem Risiko |
| Unterrichtung des Betriebsrats, ggf. Betriebsvereinbarung | § 90, § 87 Abs. 1 Nr. 6 BetrVG | Pflicht, wo ein Betriebsrat besteht und die Voraussetzungen vorliegen |
| Kenntnisnahme der Richtlinie durch jeden Mitarbeiter | § 2 Nr. 1 GeschGehG, Weisungsrecht | Empfehlung |
| Schulungsteilnahmen und Inhalte | Art. 4 KI-Verordnung (Förderpflicht) | Empfehlung, kein Nachweis vorgeschrieben |
| Kennzeichnungsregeln für Chatbot und KI-Medien | Art. 50 KI-Verordnung | Pflicht in den dort genannten Fällen |
Mehr braucht ein kleiner oder mittlerer Betrieb in der Regel nicht. Eine Mappe mit diesen sechs Positionen, einmal im Jahr durchgesehen, ist belastbarer als ein vierzigseitiges Regelwerk, das niemand liest.
Schulung als Förderung der KI-Kompetenz
Die neue Fassung von Art. 4 lässt offen, welche Maßnahmen genügen. Kurze Einweisungen, interne Lernpfade und externe Weiterbildungen kommen alle in Frage. Wer einzelne Mitarbeiter tiefer qualifizieren will, etwa für die Rolle des internen KI-Ansprechpartners, kann eine längere Weiterbildung wählen. Der KI-Prozessmanager als berufsbegleitende Weiterbildung läuft in Teilzeit halbtags über rund 29 Wochen, komplett online, und kann über das Qualifizierungschancengesetz nach § 82 SGB III gefördert werden; den Antrag stellt in der Regel der Arbeitgeber vor Beginn. Der Träger stellt einen dokumentierten Teilnahmenachweis aus. Er unterstützt damit die Kompetenzentwicklung, die Art. 4 verlangt, ohne dass daraus ein amtlicher Nachweis würde.
Häufige Fragen
Muss ich nachweisen, dass meine Mitarbeiter KI-kompetent sind?
Nein. Art. 4 der KI-Verordnung verlangt, auch in der Fassung der Verordnung (EU) 2026/1744, keinen Nachweis. Sie müssen Maßnahmen ergreifen, welche die KI-Kompetenz fördern, eine Dokumentationspflicht enthält der Verordnungstext nicht. Eine Liste der Schulungen ist trotzdem sinnvoll, weil sie bei Datenschutz- oder Kundenaudits hilft.
Darf der Betriebsrat für die KI-Einführung einen Sachverständigen hinzuziehen?
Ja. Muss der Betriebsrat die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen, gilt die Hinzuziehung eines Sachverständigen nach § 80 Abs. 3 BetrVG als erforderlich. Die Einzelheiten, etwa Person und Kosten, werden mit dem Arbeitgeber vereinbart.
Was muss seit August 2026 gekennzeichnet werden?
Seit dem 2. August 2026 gilt Art. 50 der KI-Verordnung. Chatbots müssen so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI sprechen, und Deepfakes müssen als künstlich erzeugt offengelegt werden. KI-Texte zu Themen von öffentlichem Interesse sind ebenfalls kennzeichnungspflichtig, außer sie wurden redaktionell geprüft und verantwortet.
Kann eine KI-Richtlinie Geschäftsgeheimnisse schützen?
Sie ist ein Baustein dafür. Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn angemessene Geheimhaltungsmaßnahmen getroffen wurden. Ein schriftliches, bekanntgemachtes Verbot, vertrauliche Unterlagen in öffentliche KI-Dienste einzugeben, zählt zu solchen Maßnahmen.
KI-Kompetenz für Ihr Team aufbauen?
Der KI-Prozessmanager unterstützt die von Art. 4 geforderte Entwicklung der KI-Kompetenz in Ihrem Team. DEKRA-zertifizierte AZAV-Maßnahme, förderbar nach § 82 SGB III auf Antrag des Arbeitgebers, die Höhe hängt von der Betriebsgröße ab.