KI-Richtlinie im Unternehmen – mehr als nur die Umsetzung des AI Acts

Der Einsatz Künstlicher Intelligenz gehört inzwischen zum Unternehmensalltag. Generative KI-Systeme wie ChatGPT, Microsoft Copilot oder Gemini unterstützen Mitarbeitende bei der Erstellung von Texten, der Analyse großer Datenmengen oder der Automatisierung wiederkehrender Prozesse. In vielen Unternehmen erfolgt diese Nutzung jedoch dezentral und ohne einheitliche Vorgaben.

Während sich die öffentliche Diskussion derzeit vor allem auf den europäischen AI Act konzentriert, reicht der rechtliche Handlungsbedarf deutlich weiter. Der Einsatz von KI berührt zahlreiche Rechtsgebiete – insbeson­dere das Datenschutzrecht, den Schutz von Geschäftsgeheimnissen, das Urheberrecht sowie bestehende ver­tragliche Verpflichtungen gegenüber Kunden, Lieferanten und sonstigen Geschäftspartnern.

Eine unternehmensinterne KI-Richtlinie dient daher nicht allein der Umsetzung des AI Acts. Sie schafft einen verbindlichen organisatorischen Rahmen für den rechtskonformen Einsatz von KI-Systemen und hilft Un­ternehmen, rechtliche Risiken frühzeitig zu erkennen sowie den KI-Einsatz unternehmensweit einheitlich und nachvollziehbar zu gestalten.

Was sollte eine KI-Richtlinie regeln?

Eine KI-Richtlinie sollte den Einsatz von KI im Unternehmen nicht nur allgemein beschreiben, sondern konkrete Vorgaben für den Arbeitsalltag schaffen. Ziel ist es, Mitarbeitenden einen klaren Handlungsrahmen zu geben, Verantwortlichkeiten festzulegen und rechtliche sowie or­ganisatorische Risiken zu reduzieren.

Hierzu gehören insbesondere Regelungen zu folgenden Punkten:

• welche KI-Systeme im Unternehmen zugelassen oder ausgeschlossen sind,

• für welche Zwecke sie eingesetzt werden dürfen,

• welche Daten verarbeitet und welche Informationen nicht oder nur unter bestimmten Vo­raussetzungen eingegeben werden dürfen,

• wer neue KI-Anwendungen prüft und freigibt,

• wie KI-generierte Ergebnisse kontrolliert und verwendet werden,

• welche Dokumentationspflichten bestehen und

• an wen sich Mitarbeitende bei rechtlichen oder technischen Fragen wenden können.

Je nach Einsatzbereich und Risikoklasse kann zudem eine wirksame menschliche Aufsicht erforderlich sein. Unabhängig davon empfiehlt sich für wesentliche Entscheidungen eine nachvollziehbare menschliche Prüfung.

Art. 4 AI Act verpflichtet Anbieter und Betreiber von KI-Systemen seit dem 2. Februar 2025, Maßnahmen zu treffen, um ein ausreichendes Maß an KI-Kompetenz der mit der Nutzung und dem Betrieb befassten Personen sicherzustellen. Unternehmen sollten ihre KI-Richtlinie daher durch geeignete Schulungs- und Sensibilisierungsmaßnahmen ergänzen.

Ab dem 2. August 2026 sind zudem die Transparenzpflichten des Art. 50 AI Act zu beachten. Unternehmen sollten daher prüfen, ob für die eingesetzten KI-Systeme Transparenz- oder Kennzeichnungspflichten bestehen und diese gegebenenfalls in ihrer KI-Richtlinie berück­sichtigen.

Datenschutz – Risiken entstehen bereits bei der Dateneingabe

Datenschutzrechtliche Fragestellungen entstehen nicht erst durch die Nutzung KI-generierter Ergebnisse. Bereits die Eingabe personenbezogener Daten in ein KI-System stellt eine Verar­beitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung dar.

Vor dem Einsatz einer KI-Anwendung sollte geprüft werden, ob eine geeignete Rechtsgrundlage für die Verarbeitung besteht, welche datenschutzrechtliche Rolle der Anbieter einnimmt, ob ein Auftragsverarbeitungsvertrag erforderlich ist und ob personenbezogene Daten in Drittstaaten übermittelt werden. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten be­troffener Personen, kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Ebenso sollte geprüft werden, ob eingegebene Daten ausschließlich im Auftrag des Un­ternehmens verarbeitet oder vom Anbieter auch zu eigenen Zwecken, etwa zum Training seiner Modelle, verwendet werden.

Eine KI-Richtlinie sollte daher eindeutig festlegen, welche Daten in welche Systeme eingegeben werden dürfen, wann Daten anonymisiert oder pseudonymisiert werden müssen und welche Anwendungen im Unternehmen zugelassen sind. Ebenso empfiehlt sich ein klarer Prüf- und

Freigabeprozess für neue Systeme, um den unkontrollierten Einsatz nicht genehmigter KI-An­wendungen („Shadow AI“) zu vermeiden.

Schutz von Geschäftsgeheimnissen

Besondere praktische Bedeutung kommt dem Schutz vertraulicher Unternehmensinformatio­nen zu.

Vertragsentwürfe, Kalkulationen, technische Zeichnungen, Entwicklungsunterlagen oder interne Strategiepapiere werden häufig in generative KI-Systeme eingegeben, um Inhalte zu überar­beiten oder zusammenzufassen. Werden solche Informationen in nicht freigegebene oder un­zureichend abgesicherte Anwendungen eingegeben, können sie den kontrollierten Bereich des Unternehmens verlassen und erhebliche rechtliche sowie wirtschaftliche Risiken auslösen.

Der Schutz des Geschäftsgeheimnisgesetzes setzt voraus, dass Unternehmen angemessene Geheimhaltungsmaßnahmen treffen und diese im Streitfall nachweisen können. Das Bundesar­beitsgericht hat mit Urteil vom 17. Oktober 2024 verdeutlicht, dass die Anforderungen von der Art der Information und den konkreten Umständen ihrer Nutzung abhängen. Im entschiedenen Fall fehlte es an hinreichend dargelegten angemessenen Schutzmaßnahmen. Zudem hielt das Gericht die konkret vereinbarte, zeitlich unbegrenzte und sämtliche internen Vorgänge er­fassende nachvertragliche Catch-all-Geheimhaltungsklausel für unwirksam.

Für Unternehmen bedeutet das: Eine KI-Richtlinie sollte festlegen, welche Informationen beson­ders schutzbedürftig sind, in welchen KI-Systemen sie verarbeitet werden dürfen und welche technischen sowie organisatorischen Schutzmaßnahmen einzuhalten sind. Ebenso sollten klare Freigabe- und Eskalationsprozesse sowie regelmäßige Schulungen vorgesehen werden.

Eine dokumentierte und tatsächlich umgesetzte KI-Richtlinie kann einen wichtigen Bestandteil eines umfassenden Geheimnisschutzkonzepts bilden und dazu beitragen, angemessene organ­isatorische Schutzmaßnahmen nachzuweisen. Sie ersetzt jedoch nicht die weiteren erforder­lichen technischen, organisatorischen und vertraglichen Maßnahmen.

Urheberrecht – KI ersetzt keine rechtliche Prüfung

Auch urheberrechtliche Fragestellungen sollten in einer KI-Richtlinie berücksichtigt werden.

Rein KI-generierte Inhalte genießen nach derzeitiger Rechtslage grundsätzlich keinen eigenen urheberrechtlichen Schutz, da das Urheberrecht eine persönliche geistige Schöpfung eines Men­schen voraussetzt. Leistet ein Mensch hingegen einen hinreichend eigenständigen kreativen Beitrag, kann die rechtliche Bewertung im Einzelfall anders ausfallen.

Unabhängig davon können KI-generierte Texte, Bilder, Programmierungen oder sonstige Inhalte Rechte Dritter verletzen, etwa wenn geschützte Bestandteile übernommen werden oder das Ergebnis einem bestehenden Werk zu nahekommt.

Unternehmen sollten KI-generierte Inhalte daher vor ihrer externen Verwendung, etwa in Ange­boten, Marketingunterlagen, Präsentationen oder Softwaredokumentationen, fachlich und bei entsprechendem Risiko auch rechtlich überprüfen. Die Nutzung eines KI-Systems entbindet nicht von der Verantwortung für die Rechtmäßigkeit der späteren Verwendung.

NDAs sowie Verträge mit Kunden und Lieferanten

Neben gesetzlichen Vorgaben sind auch bestehende vertragliche Verpflichtungen zu berück­sichtigen.

Geheimhaltungsvereinbarungen, Entwicklungs- und Lieferverträge sowie Informationssicher­heitsanforderungen von Kunden enthalten häufig Vorgaben für den Umgang mit vertraulichen Informationen. Werden solche Daten in ein externes KI-System eingegeben, kann dies nicht nur datenschutz- oder geschäftsgeheimnisrechtliche Folgen haben, sondern zugleich eine Verlet­zung vertraglicher Pflichten darstellen.

Vor der Verarbeitung von Kunden-, Lieferanten- oder Projektdaten in KI-Systemen sollte daher geprüft werden, welche vertraglichen Vorgaben gelten.

Eine KI-Richtlinie sollte festlegen, dass vertrauliche Informationen nur in ausdrücklich freigegebenen und angemessen abgesicherten Anwendungen verarbeitet werden dürfen. Beste­hen Zweifel oder sehen Verträge besondere Einschränkungen vor, sollte vor der Nutzung eine Freigabe durch die zuständigen Fachbereiche oder die Rechtsabteilung eingeholt werden.

Darüber hinaus sollte auch der Einsatz von KI durch Lieferanten und externe Dienstleister berücksichtigt werden. Unternehmen können beispielsweise vertraglich regeln,

• ob und für welche Leistungen KI eingesetzt werden darf,

• ob vor dem Einsatz eine Information oder Zustimmung erforderlich ist,

• welche Daten nicht für das Training von Modellen verwendet werden dürfen,

• welche Datenschutz- und Sicherheitsanforderungen gelten und

• welche Nachweis-, Kontroll- oder Auditmöglichkeiten bestehen.

Gerade bei datenintensiven Dienstleistungen, Entwicklungsprojekten und internationalen Liefer­ketten kann eine solche vertragliche Absicherung dazu beitragen, Risiken entlang der gesamten Leistungskette zu reduzieren.

Fazit

Der Einsatz Künstlicher Intelligenz ist längst gelebte Unternehmenspraxis. Mit der zunehmenden Verbreitung generativer KI steigen jedoch auch die rechtlichen und organ­isatorischen Anforderungen.

Eine unternehmensinterne KI-Richtlinie dient nicht allein der Umsetzung des AI Acts.

Sie unterstützt Unternehmen dabei, datenschutzrechtliche Risiken zu reduzieren, Geschäftsge­heimnisse zu schützen, urheberrechtliche Anforderungen zu berücksichtigen und vertragliche Verpflichtungen gegenüber Kunden, Lieferanten und sonstigen Geschäftspartnern einzuhalten.

Gleichzeitig schafft sie klare Verantwortlichkeiten und unterstützt die Umsetzung der An­forderungen an die KI-Kompetenz.

Unternehmen sollten bestehende KI-Richtlinien daher regelmäßig überprüfen und an die ak­tuellen rechtlichen Anforderungen sowie die tatsächlichen Einsatzszenarien im Unternehmen anpassen. Empfehlenswert ist zudem, die KI-Richtlinie mit bestehenden Datenschutz-, Informa­tionssicherheits-, Geheimnisschutz- und Vertragskonzepten abzustimmen, um eine konsistente KI-Governance sicherzustellen.

Ihre Ansprechpartner zu diesem Thema

Thomas Sedlmayr
Rechtsanwalt
Betriebswirt (IWW)

sedlmayr@sws-p.de

Katharina Sigl
Betriebswirtin (B. A.)
Wirtschaftsjuristin (LL. M.)

sigl@sws-p.de