KI-Nutzung durch Mitarbeitende: Welche Regeln Arbeitgeber intern schaffen sollten

Schatten-KI entsteht selten aus böser Absicht.

Meist entsteht sie, weil Mitarbeitende ein Problem lösen wollen. Eine E-Mail muss besser klingen. Ein Angebot soll schneller geschrieben werden. Eine Tabelle soll verständlicher werden. Eine Präsentation braucht Struktur. Eine Bewerbung soll zusammengefasst werden. Ein Protokoll soll lesbar werden.

KI hilft.

Aber sie hilft oft schneller, als das Unternehmen Regeln formuliert.

Dann entscheidet jeder selbst: welches Tool genutzt wird, welche Daten eingegeben werden, welche Ergebnisse übernommen werden, welche Quellen geprüft werden und was vertraulich bleibt.

Das ist der kritische Punkt.

Nicht die Nutzung von KI ist das eigentliche Problem. Das Problem ist ungeregelte Nutzung.

KI-Nutzung durch Mitarbeitende ist nicht nur IT.

Sie betrifft Arbeitgeberpflichten, Arbeitsorganisation, Datenschutz, Geschäftsgeheimnisse, Betriebsrat, Urheberrecht, Kundenschutz, Haftung und Führung.

Zu klären sind insbesondere:

Arbeitgeber müssen KI nicht erst dann ordnen, wenn ein Fehler passiert.

Dann ist aus Regelungsbedarf meistens schon Schadensbegrenzung geworden.

Eine gute interne KI-Regel unterscheidet nicht nur zwischen erlaubt und verboten. Sie unterscheidet nach Risiko.

Bestimmte Anwendungen können unproblematischer sein, etwa allgemeine Formulierungshilfe ohne vertrauliche Informationen. Andere Anwendungen können riskant sein, etwa die Eingabe von Kundendaten, Beschäftigtendaten, Geschäftsgeheimnissen, Vertragsentwürfen, Kalkulationen, Gesundheitsdaten oder personenbezogenen Leistungsinformationen.

Zu regeln sind insbesondere:

Eine KI-Regel, die alles verbietet, wird im Alltag umgangen.

Eine KI-Regel, die alles erlaubt, ist keine Regel.

Die Kunst liegt in der brauchbaren Grenze.

KI-Nutzung kann Datenschutzfragen auslösen, wenn personenbezogene Daten verarbeitet werden.

Das betrifft nicht nur Kundendaten. Auch Beschäftigtendaten können betroffen sein: Bewerbungsunterlagen, Krankheitsdaten, Leistungsnotizen, Gesprächsprotokolle, Zielerreichung, Arbeitszeit, Personalakten, Feedback, E-Mails oder interne Konflikte.

Je nach Verarbeitung können DSGVO, Art. 88 DSGVO und Paragraph 26 BDSG relevant werden. Paragraph 26 BDSG regelt Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Art. 28 DSGVO kann bei Auftragsverarbeitung relevant werden. Art. 32 DSGVO betrifft die Sicherheit der Verarbeitung.

Zu prüfen sind insbesondere:

Der Satz "Ich habe nur schnell etwas in die KI kopiert" ist datenschutzrechtlich selten eine gute Verteidigung.

Schnell ist kein Zweck. Praktisch ist keine Rechtsgrundlage.

KI-Tools werden besonders gern mit Informationen gefüttert, die eigentlich besonders geschützt werden müssten.

Kalkulationen. Kundenlisten. Strategiepapiere. Vertragsentwürfe. Produktideen. Technische Dokumentationen. Quellcode. M&A-Unterlagen. Bewerberprofile. Interne Konfliktvermerke. Angebote. Preislisten. Prozesswissen.

Paragraph 2 GeschGehG definiert Geschäftsgeheimnisse unter anderem als Informationen, die geheim sind, von wirtschaftlichem Wert sind, Gegenstand angemessener Geheimhaltungsmaßnahmen sind und bei denen ein berechtigtes Interesse an Geheimhaltung besteht.

Für Arbeitgeber bedeutet das: Interne KI-Regeln können Teil angemessener Schutzmaßnahmen sein. Ohne klare Vorgaben wird es schwieriger zu erklären, wie vertrauliche Informationen geschützt werden.

Geschäftsgeheimnisse verlieren ihren Schutz nicht erst, wenn jemand sie verkauft.

Manchmal beginnt das Problem mit einem gut gemeinten Prompt.

KI wird häufig für Texte, Bilder, Präsentationen, Code, Übersetzungen, Konzepte, Marketingmaterial, Schulungsunterlagen oder Kundenkommunikation genutzt.

Dabei können urheberrechtliche und nutzungsrechtliche Fragen entstehen.

Zu prüfen sind insbesondere:

Ein KI-Ergebnis kann überzeugend klingen und trotzdem falsch, ungeprüft oder rechtlich riskant sein.

Schöne Sprache ist keine Rechteklärung.

Besteht ein Betriebsrat, sollten Mitbestimmungsrechte früh geprüft werden.

Paragraph 87 Abs. 1 Nr. 6 BetrVG kann relevant werden, wenn technische Einrichtungen eingeführt oder angewendet werden, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Je nach Tool können auch weitere Mitbestimmungstatbestände betroffen sein, etwa Ordnung des Betriebs oder Arbeitszeitfragen.

Das bedeutet nicht, dass jede KI-Nutzung automatisch mitbestimmungspflichtig ist. Es bedeutet: Unternehmen sollten die konkrete Nutzung prüfen.

Zu klären sind insbesondere:

Der Betriebsrat wird nicht dadurch unzuständig, dass ein Tool modern aussieht.

Modernität ersetzt keine Mitbestimmungsprüfung.

Art. 4 AI Act zur KI-Kompetenz gilt nach Angaben der EU-Kommission seit 2. Februar 2025. Anbieter und Betreiber von KI-Systemen müssen danach nach besten Kräften für ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sorgen, die in ihrem Auftrag mit KI-Systemen umgehen. Die EU-Kommission weist außerdem darauf hin, dass Aufsichts- und Durchsetzungsregeln hierzu ab 3. August 2026 gelten.

Für Arbeitgeber bedeutet das: Schulung ist nicht nur ein netter Begleiter der KI-Einführung. Sie ist ein zentraler Baustein verantwortlicher Nutzung.

Zu klären sind insbesondere:

KI-Kompetenz bedeutet nicht, dass alle Prompt-Künstler werden.

Sie bedeutet, dass Mitarbeitende verstehen, wann KI hilft, wann sie irrt und wann sie gefährlich praktisch wird.

KI erstellt Ergebnisse. Verantwortlich bleibt das Unternehmen.

Wenn Mitarbeitende KI-Ergebnisse ungeprüft verwenden, können Fehler in Kundenkommunikation, Fachtexten, Verträgen, Angeboten, Personalentscheidungen, Datenanalysen oder internen Prozessen entstehen.

Zu klären sind insbesondere:

KI haftet nicht.

Sie formuliert vielleicht überzeugend. Sie entschuldigt sich gelegentlich sehr höflich. Aber sie sitzt nicht im Gerichtssaal und erklärt, warum ein Unternehmen ein falsches Ergebnis übernommen hat.

Arbeitgeber können die Nutzung von Arbeitsmitteln grundsätzlich über Arbeitsanweisungen und interne Richtlinien ordnen. Paragraph 106 GewO kann als Ausgangspunkt für das Weisungsrecht des Arbeitgebers relevant werden.

Eine KI-Richtlinie sollte aber nicht nur verbieten. Sie muss im Alltag verständlich sein.

Zu regeln sind insbesondere:

Eine interne KI-Regel muss nicht dick sein.

Sie muss nur so klar sein, dass niemand behaupten kann, er habe sie ernsthaft missverstanden.

Nicht jedes KI-Tool eignet sich für Unternehmensnutzung.

Arbeitgeber sollten prüfen, welche Anbieterbedingungen gelten, ob Eingaben zum Training genutzt werden, wo Daten verarbeitet werden, welche Sicherheitsstandards bestehen, ob Unterauftragnehmer eingebunden sind und welche Rechte an Ergebnissen eingeräumt werden.

Zu prüfen sind insbesondere:

Ein Tool ist nicht deshalb geeignet, weil es schnell gute Antworten liefert.

Geeignet ist es erst, wenn Leistung, Vertrag, Daten und Verantwortung zusammenpassen.

Der letzte Fehler ist der entscheidende.

Nur weil alle KI nutzen, hat das Unternehmen noch keine KI-Praxis. Es hat erst einmal nur viele Einzelentscheidungen mit gemeinsamem Risiko.

Der bessere Zeitpunkt für rechtliche Begleitung ist nicht der Moment, in dem ein KI-Fehler bereits passiert ist.

Der bessere Zeitpunkt ist davor. Dann, wenn Nutzung, Daten, Tool-Auswahl, Betriebsrat, Schulung und Verantwortung noch geordnet werden können.

KI-Nutzung durch Mitarbeitende ist längst Realität.

Die Frage ist nicht, ob Unternehmen diese Entwicklung mögen. Die Frage ist, ob sie sie ordnen.

Aus anwaltlicher Sicht lautet die entscheidende Frage deshalb nicht: Dürfen Mitarbeitende KI nutzen?

Die bessere Frage lautet: Welche Regeln braucht das Unternehmen, damit KI-Nutzung im Arbeitsalltag rechtlich, organisatorisch und menschlich tragfähig bleibt?

Dafür müssen Tools, Daten, Geschäftsgeheimnisse, Betriebsrat, Datenschutz, Urheberrecht, Schulung, Kontrolle und Verantwortung früh geklärt werden.

KI muss nicht dramatisiert werden.

Aber sie sollte auch nicht unbeaufsichtigt durch die Personalakte, den Kundenvertrag und die Kalkulation spazieren.