ChatGPT, Copilot und Co. im Unternehmen: Diese Regeln gelten

ChatGPT, Copilot und vergleichbare Sprachmodelle sind im Arbeitsalltag angekommen. Ihr Einsatz ist rechtlich möglich. Unternehmen brauchen jedoch klare Nutzungsregeln, geeignete Zugänge und eine auf den konkreten Einsatz zugeschnittene Schulung der Beschäftigten.

Worum geht es rechtlich?

Beim Einsatz von Sprachmodellen greifen mehrere Regelungsbereiche ineinander. Besonders wichtig sind die KI-Kompetenz nach der europäischen KI-Verordnung, der Datenschutz, das Verbot bestimmter automatisierter Entscheidungen und die Beteiligungsrechte des Betriebsrats. Die KI-Verordnung gilt seit dem 2. August 2026 grundsätzlich. Für einzelne Vorgaben, insbesondere für Hochrisiko-KI-Systeme, gelten spätere Übergangsfristen.

Was gilt aktuell und warum?

KI-Kompetenz muss zum Einsatz passen

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten und weiterer Personen ergreifen, die in ihrem Auftrag mit KI arbeiten. Nach der Änderung durch den Digital Omnibus ist kein bestimmtes Kompetenzniveau vorgeschrieben. Auch ein Zertifikat oder ein festes Schulungsformat verlangt die KI-Verordnung nicht. Die Maßnahmen müssen aber zum eingesetzten System, zum Vorwissen der Beschäftigten und zu den konkreten Risiken passen. Eine reine Aufforderung, die Bedienungsanleitung zu lesen, wird häufig nicht ausreichen.

Datenschutz beginnt vor der ersten Eingabe

Unternehmen sollten vorab festlegen, für welche Aufgaben ein Sprachmodell genutzt werden darf. Werden personenbezogene Daten verarbeitet, braucht jeder Verarbeitungsschritt eine Rechtsgrundlage. Zudem ist zu klären, welche Rolle der Anbieter einnimmt. Verarbeitet er Daten im Auftrag des Unternehmens, ist grundsätzlich ein Vertrag nach Art. 28 DSGVO erforderlich. Eine Datenschutz-Folgenabschätzung ist durchzuführen, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen verursacht. Nach Einschätzung der Datenschutzkonferenz kann dies beim Einsatz von KI häufig der Fall sein.

Für die berufliche Nutzung sollten Unternehmen betriebliche Geräte und Accounts bereitstellen. Datenschutzfreundliche Einstellungen sollten verhindern, dass Eingaben für Trainingszwecke verwendet oder über die jeweilige Sitzung hinaus gespeichert werden.

Namen zu löschen genügt häufig nicht

Personenbezogene Daten, vertrauliche Unternehmensinformationen und Geschäftsgeheimnisse gehören nicht ungeprüft in offene KI-Systeme. Das bloße Entfernen von Namen und Anschriften reicht häufig nicht aus. Ein Personenbezug kann sich weiterhin aus dem Zusammenhang ergeben. Beispieldaten sollten daher möglichst anonymisiert, zumindest aber wirksam pseudonymisiert und auf das erforderliche Maß beschränkt werden.

Der Mensch muss tatsächlich entscheiden

Art. 22 DSGVO schützt Personen vor Entscheidungen, die ausschließlich automatisiert getroffen werden und rechtliche oder ähnlich erhebliche Auswirkungen haben. In Bewerbungs-, Bewertungs- oder vergleichbaren Entscheidungsprozessen darf ein Mensch daher nicht lediglich formal das Ergebnis der KI bestätigen. Die entscheidende Person muss den Vorschlag prüfen, abändern oder ablehnen können und einen echten Entscheidungsspielraum behalten.

Der Betriebsrat kann zu beteiligen sein

Kann ein KI-System das Verhalten oder die Leistung von Beschäftigten überwachen, besteht ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Auch interne Nutzungsregeln, Schulungsmaßnahmen oder Veränderungen von Arbeitsabläufen können weitere Beteiligungsrechte auslösen. Der Betriebsrat sollte deshalb bereits vor der Einführung einbezogen werden.

Nicht jeder KI-Text braucht eine Kennzeichnung

Die Transparenzpflichten des Art. 50 KI-Verordnung gelten seit dem 2. August 2026. Nutzerinnen und Nutzer müssen insbesondere erkennen können, wenn sie unmittelbar mit bestimmten KI-Systemen kommunizieren. Kennzeichnungspflichten gelten außerdem für Deepfakes und für KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse, wenn keine inhaltliche menschliche Prüfung oder redaktionelle Kontrolle erfolgt ist. Wer ein Sprachmodell intern als Schreib- oder Recherchehilfe nutzt, muss deshalb nicht automatisch jeden bearbeiteten Text als KI-Inhalt kennzeichnen.

Typische Fehler in der Praxis

Problematisch sind vor allem unkontrollierte private Accounts, unklare oder zu weit gefasste Nutzungszwecke, Eingaben mit vertraulichen Daten und die ungeprüfte Übernahme von KI-Ergebnissen. Ebenso riskant ist eine allgemeine Kurzunterweisung, die weder das eingesetzte System noch die Aufgaben der Beschäftigten berücksichtigt.

Was heißt das für die Praxis?

Unternehmen sollten zulässige und unzulässige Anwendungsfälle schriftlich festlegen. Sie sollten sichere Unternehmenszugänge bereitstellen, Datenschutz- und Speicheroptionen kontrollieren und Verantwortlichkeiten bestimmen. Die Schulung muss sich an Tätigkeit und Risiko orientieren. Beschäftigte im Personalwesen oder in der Compliance benötigen regelmäßig andere Kenntnisse als Personen, die ein Sprachmodell lediglich zur sprachlichen Überarbeitung von Texten nutzen. Die getroffenen Maßnahmen sollten dokumentiert und bei technischen oder rechtlichen Änderungen überprüft werden.

Wichtigste Erkenntnisse und konkrete Tipps

Sprachmodelle müssen nicht verboten werden. Ihr Einsatz braucht aber einen verbindlichen Rahmen. Unternehmen sollten klare Leitlinien erlassen, Beschäftigte passend schulen, sensible Daten schützen und sicherstellen, dass Menschen wichtige Entscheidungen tatsächlich selbst treffen.

Sie können ein kostenloses Muster für einen internen KI-Leitfaden von uns anfordern. Schreiben Sie uns einfache eine Mail. Sie erhalten dann den KI-Leitfaden zugeschickt.