Der Einsatz Künstlicher Intelligenz gehört inzwischen zum Unternehmensalltag. Generative KI-Systeme wie ChatGPT, Microsoft Copilot oder Gemini unterstützen Mitarbeitende bei der Erstellung von Texten, der Analyse großer Datenmengen oder der Automatisierung wiederkehrender Prozesse. In vielen Unternehmen erfolgt diese Nutzung jedoch dezentral und ohne einheitliche Vorgaben.
Während sich die öffentliche Diskussion derzeit vor allem auf den europäischen AI Act konzentriert, reicht der rechtliche Handlungsbedarf deutlich weiter. Der Einsatz von KI berührt zahlreiche Rechtsgebiete – insbesondere das Datenschutzrecht, den Schutz von Geschäftsgeheimnissen, das Urheberrecht sowie bestehende vertragliche Verpflichtungen gegenüber Kunden, Lieferanten und sonstigen Geschäftspartnern.
Eine unternehmensinterne KI-Richtlinie dient daher nicht allein der Umsetzung des AI Acts. Sie schafft einen verbindlichen organisatorischen Rahmen für den rechtskonformen Einsatz von KI-Systemen und hilft Unternehmen, rechtliche Risiken frühzeitig zu erkennen sowie den KI-Einsatz unternehmensweit einheitlich und nachvollziehbar zu gestalten.
Was sollte eine KI-Richtlinie regeln?
Eine KI-Richtlinie sollte den Einsatz von KI im Unternehmen nicht nur allgemein beschreiben, sondern konkrete Vorgaben für den Arbeitsalltag schaffen. Ziel ist es, Mitarbeitenden einen klaren Handlungsrahmen zu geben, Verantwortlichkeiten festzulegen und rechtliche sowie organisatorische Risiken zu reduzieren.
Hierzu gehören insbesondere Regelungen zu folgenden Punkten:
-
welche KI-Systeme im Unternehmen zugelassen oder ausgeschlossen sind,
-
für welche Zwecke sie eingesetzt werden dürfen,
-
welche Daten verarbeitet und welche Informationen nicht oder nur unter bestimmten Voraussetzungen eingegeben werden dürfen,
-
wer neue KI-Anwendungen prüft und freigibt,
-
wie KI-generierte Ergebnisse kontrolliert und verwendet werden,
-
welche Dokumentationspflichten bestehen und
-
an wen sich Mitarbeitende bei rechtlichen oder technischen Fragen wenden können.
Je nach Einsatzbereich und Risikoklasse kann zudem eine wirksame menschliche Aufsicht erforderlich sein. Unabhängig davon empfiehlt sich für wesentliche Entscheidungen eine nachvollziehbare menschliche Prüfung.
Art. 4 AI Act verpflichtet Anbieter und Betreiber von KI-Systemen seit dem 2. Februar 2025, Maßnahmen zu treffen, um ein ausreichendes Maß an KI-Kompetenz der mit der Nutzung und dem Betrieb befassten Personen sicherzustellen. Unternehmen sollten ihre KI-Richtlinie daher durch geeignete Schulungs- und Sensibilisierungsmaßnahmen ergänzen.
Ab dem 2. August 2026 sind zudem die Transparenzpflichten des Art. 50 AI Act zu beachten. Unternehmen sollten daher prüfen, ob für die eingesetzten KI-Systeme Transparenz- oder Kennzeichnungspflichten bestehen und diese gegebenenfalls in ihrer KI-Richtlinie berücksichtigen.
Datenschutz – Risiken entstehen bereits bei der Dateneingabe
Datenschutzrechtliche Fragestellungen entstehen nicht erst durch die Nutzung KI-generierter Ergebnisse. Bereits die Eingabe personenbezogener Daten in ein KI-System stellt eine Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung dar.
Vor dem Einsatz einer KI-Anwendung sollte geprüft werden, ob eine geeignete Rechtsgrundlage für die Verarbeitung besteht, welche datenschutzrechtliche Rolle der Anbieter einnimmt, ob ein Auftragsverarbeitungsvertrag erforderlich ist und ob personenbezogene Daten in Drittstaaten übermittelt werden. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen, kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.
Ebenso sollte geprüft werden, ob eingegebene Daten ausschließlich im Auftrag des Unternehmens verarbeitet oder vom Anbieter auch zu eigenen Zwecken, etwa zum Training seiner Modelle, verwendet werden.
Eine KI-Richtlinie sollte daher eindeutig festlegen, welche Daten in welche Systeme eingegeben werden dürfen, wann Daten anonymisiert oder pseudonymisiert werden müssen und welche Anwendungen im Unternehmen zugelassen sind. Ebenso empfiehlt sich ein klarer Prüf- und
Freigabeprozess für neue Systeme, um den unkontrollierten Einsatz nicht genehmigter KI-Anwendungen („Shadow AI“) zu vermeiden.
Schutz von Geschäftsgeheimnissen
Besondere praktische Bedeutung kommt dem Schutz vertraulicher Unternehmensinformationen zu.
Vertragsentwürfe, Kalkulationen, technische Zeichnungen, Entwicklungsunterlagen oder interne Strategiepapiere werden häufig in generative KI-Systeme eingegeben, um Inhalte zu überarbeiten oder zusammenzufassen. Werden solche Informationen in nicht freigegebene oder unzureichend abgesicherte Anwendungen eingegeben, können sie den kontrollierten Bereich des Unternehmens verlassen und erhebliche rechtliche sowie wirtschaftliche Risiken auslösen.
Der Schutz des Geschäftsgeheimnisgesetzes setzt voraus, dass Unternehmen angemessene Geheimhaltungsmaßnahmen treffen und diese im Streitfall nachweisen können. Das Bundesarbeitsgericht hat mit Urteil vom 17. Oktober 2024 verdeutlicht, dass die Anforderungen von der Art der Information und den konkreten Umständen ihrer Nutzung abhängen. Im entschiedenen Fall fehlte es an hinreichend dargelegten angemessenen Schutzmaßnahmen. Zudem hielt das Gericht die konkret vereinbarte, zeitlich unbegrenzte und sämtliche internen Vorgänge erfassende nachvertragliche Catch-all-Geheimhaltungsklausel für unwirksam.
Für Unternehmen bedeutet das: Eine KI-Richtlinie sollte festlegen, welche Informationen besonders schutzbedürftig sind, in welchen KI-Systemen sie verarbeitet werden dürfen und welche technischen sowie organisatorischen Schutzmaßnahmen einzuhalten sind. Ebenso sollten klare Freigabe- und Eskalationsprozesse sowie regelmäßige Schulungen vorgesehen werden.
Eine dokumentierte und tatsächlich umgesetzte KI-Richtlinie kann einen wichtigen Bestandteil eines umfassenden Geheimnisschutzkonzepts bilden und dazu beitragen, angemessene organisatorische Schutzmaßnahmen nachzuweisen. Sie ersetzt jedoch nicht die weiteren erforderlichen technischen, organisatorischen und vertraglichen Maßnahmen.
Urheberrecht – KI ersetzt keine rechtliche Prüfung
Auch urheberrechtliche Fragestellungen sollten in einer KI-Richtlinie berücksichtigt werden.
Rein KI-generierte Inhalte genießen nach derzeitiger Rechtslage grundsätzlich keinen eigenen urheberrechtlichen Schutz, da das Urheberrecht eine persönliche geistige Schöpfung eines Menschen voraussetzt. Leistet ein Mensch hingegen einen hinreichend eigenständigen kreativen Beitrag, kann die rechtliche Bewertung im Einzelfall anders ausfallen.
Unabhängig davon können KI-generierte Texte, Bilder, Programmierungen oder sonstige Inhalte Rechte Dritter verletzen, etwa wenn geschützte Bestandteile übernommen werden oder das Ergebnis einem bestehenden Werk zu nahekommt.
Unternehmen sollten KI-generierte Inhalte daher vor ihrer externen Verwendung, etwa in Angeboten, Marketingunterlagen, Präsentationen oder Softwaredokumentationen, fachlich und bei entsprechendem Risiko auch rechtlich überprüfen. Die Nutzung eines KI-Systems entbindet nicht von der Verantwortung für die Rechtmäßigkeit der späteren Verwendung.
NDAs sowie Verträge mit Kunden und Lieferanten
Neben gesetzlichen Vorgaben sind auch bestehende vertragliche Verpflichtungen zu berücksichtigen.
Geheimhaltungsvereinbarungen, Entwicklungs- und Lieferverträge sowie Informationssicherheitsanforderungen von Kunden enthalten häufig Vorgaben für den Umgang mit vertraulichen Informationen. Werden solche Daten in ein externes KI-System eingegeben, kann dies nicht nur datenschutz- oder geschäftsgeheimnisrechtliche Folgen haben, sondern zugleich eine Verletzung vertraglicher Pflichten darstellen.
Vor der Verarbeitung von Kunden-, Lieferanten- oder Projektdaten in KI-Systemen sollte daher geprüft werden, welche vertraglichen Vorgaben gelten.
Eine KI-Richtlinie sollte festlegen, dass vertrauliche Informationen nur in ausdrücklich freigegebenen und angemessen abgesicherten Anwendungen verarbeitet werden dürfen. Bestehen Zweifel oder sehen Verträge besondere Einschränkungen vor, sollte vor der Nutzung eine Freigabe durch die zuständigen Fachbereiche oder die Rechtsabteilung eingeholt werden.
Darüber hinaus sollte auch der Einsatz von KI durch Lieferanten und externe Dienstleister berücksichtigt werden. Unternehmen können beispielsweise vertraglich regeln,
-
ob und für welche Leistungen KI eingesetzt werden darf,
-
ob vor dem Einsatz eine Information oder Zustimmung erforderlich ist,
-
welche Daten nicht für das Training von Modellen verwendet werden dürfen,
-
welche Datenschutz- und Sicherheitsanforderungen gelten und
-
welche Nachweis-, Kontroll- oder Auditmöglichkeiten bestehen.
Gerade bei datenintensiven Dienstleistungen, Entwicklungsprojekten und internationalen Lieferketten kann eine solche vertragliche Absicherung dazu beitragen, Risiken entlang der gesamten Leistungskette zu reduzieren.
Fazit
Der Einsatz Künstlicher Intelligenz ist längst gelebte Unternehmenspraxis. Mit der zunehmenden Verbreitung generativer KI steigen jedoch auch die rechtlichen und organisatorischen Anforderungen.
Eine unternehmensinterne KI-Richtlinie dient nicht allein der Umsetzung des AI Acts.
Sie unterstützt Unternehmen dabei, datenschutzrechtliche Risiken zu reduzieren, Geschäftsgeheimnisse zu schützen, urheberrechtliche Anforderungen zu berücksichtigen und vertragliche Verpflichtungen gegenüber Kunden, Lieferanten und sonstigen Geschäftspartnern einzuhalten.
Gleichzeitig schafft sie klare Verantwortlichkeiten und unterstützt die Umsetzung der Anforderungen an die KI-Kompetenz.
Unternehmen sollten bestehende KI-Richtlinien daher regelmäßig überprüfen und an die aktuellen rechtlichen Anforderungen sowie die tatsächlichen Einsatzszenarien im Unternehmen anpassen. Empfehlenswert ist zudem, die KI-Richtlinie mit bestehenden Datenschutz-, Informationssicherheits-, Geheimnisschutz- und Vertragskonzepten abzustimmen, um eine konsistente KI-Governance sicherzustellen.
Ihre Ansprechpartner zu diesem Thema
Thomas Sedlmayr
Rechtsanwalt
Betriebswirt (IWW)
sedlmayr@sws-p.de
Katharina Sigl
Betriebswirtin (B. A.)
Wirtschaftsjuristin (LL. M.)
sigl@sws-p.de
