Sicher arbeiten mit Recht, Datenampel und Richtlinie

Format: Inhouse-Tag 1, Nachmittag · Pfade: alle · Dauer: rund zwei Stunden im Raum, dazu eine halbe Stunde Vorbereitung im Kompass

Einstieg

Die häufigste Frage am ersten Tag lautet: „Darf ich das da reinkopieren?” Dahinter steckt eine berechtigte Sorge. Wer unsicher ist, nutzt KI entweder gar nicht oder heimlich mit dem privaten Konto. Beides ist schlecht für den Betrieb. Im ersten Fall verschenkt ihr Zeit, im zweiten wandern Firmendaten in Werkzeuge, die niemand geprüft hat.

Sicherheit entsteht durch klare, kurze Regeln, die jeder versteht. Lange Verbotslisten liest niemand. Deshalb arbeitet dieses Modul mit drei einfachen Werkzeugen: der Datenampel für die Frage „Darf das rein?”, einem Überblick über das, was das Recht heute wirklich verlangt, und einer Richtlinie auf einer Seite, die ihr noch am selben Nachmittag gemeinsam schreibt und die ab dem nächsten Morgen gilt.

Ihr braucht dafür kein Jurastudium. Wir zeigen euch, wo die echten Fallen liegen, und wo ihr gelassen bleiben könnt.

Was ihr danach könnt

• jede Information mit der Datenampel einordnen (grün darf rein, gelb nur in freigegebene Werkzeuge, rot bleibt draußen),
• sagen, welche Pflichten aus der europäischen KI-Verordnung (AI Act) euren Betrieb heute treffen und welche erst später,
• als Team den Entwurf eurer eigenen KI-Richtlinie auf einer Seite schreiben, die noch am selben Tag gilt.

Inhalte

Die Datenampel

Die Datenampel ordnet jede Information einer von drei Farben zu. Grün sind öffentliche und allgemeine Inhalte, gelb sind interne Inhalte, die nur in Werkzeuge mit Firmenvertrag gehören, rot sind besonders schützenswerte Daten, die in kein Chatprogramm gehören. Die vollständige Ampel mit Beispielen steht in der Säule Recht und Sicherheit.

Zwei Regeln machen die Ampel alltagstauglich. Erstens: Im Zweifel gilt die strengere Farbe. Zweitens: Eure Ampel braucht Beispiele aus eurem eigenen Betrieb. Eine Bäckerei hat andere rote Daten (die Rezeptur, die Kalkulation der Großkunden) als ein Pflegedienst (alles zur Gesundheit der Menschen, die er versorgt).

Für gelbe Daten braucht ihr ein Werkzeug mit Firmenvertrag. Darin steht die Zusage, dass eure Eingaben nicht zum Training genutzt werden, und es gibt einen AVV (Auftragsverarbeitungsvertrag nach der Datenschutz-Grundverordnung, wenn ein Dienstleister Daten für euch verarbeitet). Welche Werkzeuge das bieten und welche Einstellungen ihr prüfen solltet, steht im Werkzeugatlas und in der Säule Recht und Sicherheit unter „Datenschutz je Werkzeug-Klasse”.

Was der AI Act von euch will

Der AI Act ist die europäische Verordnung über Künstliche Intelligenz. Er sortiert KI nach Risiko. Für die allermeisten Betriebe im Mittelstand sind zwei Punkte wichtig:

1. KI-Kompetenz (Artikel 4): Wer KI im Betrieb einsetzt, sorgt dafür, dass die Menschen, die damit arbeiten, genug darüber wissen. Das gilt seit Februar 2025. Der Omnibus von 2026 hat die Pflicht milder gefasst, an der Sache ändert das wenig: Schulung und Nachweis gehören dazu. Das Programm selbst mit ihrer Bescheinigung ist ein solcher Nachweis.
2. Transparenz (Artikel 50): Seit August 2026 muss erkennbar sein, wenn jemand mit einer KI spricht, etwa mit einem Chatbot auf der Website oder einem Telefonassistenten.

Genau hinschauen müsst ihr, sobald KI über Menschen urteilt, etwa Bewerbungen vorsortiert oder Leistung bewertet. Das zählt als Hochrisiko und bekommt ab Dezember 2027 strenge Pflichten. Die vollständige Liste der Fristen nach dem Omnibus steht in der Säule Recht und Sicherheit.

Wem gehört das Ergebnis?

Texte und Bilder, die eine KI erzeugt, sind nach deutschem Recht in der Regel urheberrechtlich ungeschützt, selbst wenn der Prompt aufwendig war. Das Amtsgericht München hat das Anfang 2026 für KI-Logos entschieden. Für euch heißt das: Ein Logo oder ein Slogan, den ihr schützen wollt, braucht echten menschlichen Gestaltungsanteil. Für Mails, Angebote und interne Texte spielt das keine Rolle.

Die Richtlinie auf einer Seite

Eure Richtlinie beantwortet die Fragen, die im Alltag auftauchen: welche Werkzeuge erlaubt sind, was rein darf, wer prüft, was tabu ist, wohin man sich wendet, wenn etwas schiefgeht. Die Bausteine stehen in der Säule Recht und Sicherheit unter „Die KI-Richtlinie auf einer Seite”, eine Vorlage zum Ausfüllen in den Vorlagen.

Eine Richtlinie wirkt, wenn sie von denen kommt, die sie einhalten. Deshalb schreibt ihr sie gemeinsam, mit der Geschäftsführung im Raum, und wenn es ihn gibt, mit dem Betriebsrat. Die ausführliche Arbeit mit dem Betriebsrat folgt in Modul 4. Heute reicht ein Entwurf, der bis dahin als vorläufige Regel gilt.

Übungen am eigenen Betrieb

Übung 1: Eure Ampel mit euren Beispielen

Ziel: eine Ampel, die zu eurem Betrieb passt.

1. Spielt zum Aufwärmen das Datenampel-Quiz in der Werkstatt. Wo wart ihr euch uneinig? Sprecht kurz darüber.
2. Jede Person schreibt auf Karten zehn Arten von Informationen, mit denen sie in einer normalen Woche arbeitet: „Aufmaß vom Kunden”, „Lieferantenpreisliste”, „Krankmeldung”, „Stellenanzeige”, „Reklamationsmail”.
3. Legt alle Karten auf drei Felder: grün, gelb, rot. Wer anderer Meinung ist, sagt es. Bei Streit gilt die strengere Farbe.
4. Wählt je Farbe die drei Beispiele aus, die bei euch am häufigsten vorkommen.

Ergebnis: eure Datenampel mit neun Beispielen aus dem eigenen Betrieb. Sie kommt in die Richtlinie und hängt ab morgen sichtbar am Arbeitsplatz.

Übung 2: Die Richtlinie in 45 Minuten

Ziel: eine Richtlinie, die ab dem nächsten Tag gilt.

1. Teilt euch in drei Gruppen. Gruppe A schreibt „Erlaubte Werkzeuge und wofür”, Gruppe B „Datenampel, Prüfpflicht und Kennzeichnung”, Gruppe C „Was tabu ist, Meldeweg und Ansprechperson”.
2. Jede Gruppe hat 20 Minuten und höchstens acht Sätze.
3. Die Gruppen lesen sich ihre Teile vor. Die Geschäftsführung fragt nach, wo etwas unklar ist.
4. Eine Person führt die Teile in der Vorlage zusammen. Die KI darf beim Glätten helfen, entschieden wird im Raum.
5. Die Geschäftsführung unterschreibt den Entwurf mit dem Datum und dem Satz „Gilt vorläufig bis zur Abstimmung mit dem Betriebsrat” oder „gilt ab sofort”.

Ergebnis: eure KI-Richtlinie auf einer Seite, unterschrieben.

Übung 3 (für Geschäftsführung und Builder): Werkzeuge im Haus

Schreibt alle KI-Werkzeuge auf, die im Betrieb laufen, auch die eingebauten Funktionen in Office, Branchensoftware, Telefonanlage und Buchhaltung. Fragt in der Runde offen und ohne Vorwurf nach, wer private Konten nutzt. Für jedes Werkzeug haltet ihr fest: Firmenvertrag ja oder nein, AVV ja oder nein, für welche Ampelfarbe freigegeben. Diese Liste ist zusammen mit der Bescheinigung euer Nachweis für Artikel 4.

Ein Fall aus dem Mittelstand

Das Beispiel ist aus Situationen zusammengesetzt, wie sie uns in ähnlicher Form begegnen. Namen und Zahlen sind erfunden.

Ein Großhandel für Haustechnik mit 80 Beschäftigten hatte KI anfangs verboten. Das Ergebnis zeigte sich bei Übung 3: In der offenen Runde gaben elf Menschen zu, private Konten zu nutzen, für Angebote, für Übersetzungen mit dem tschechischen Lieferanten, sogar für eine Abmahnung. Niemand hatte böse Absichten, alle wollten schneller sein.

Statt die Leute zu rügen, drehte die Geschäftsführung das Verbot um. Ein Firmenzugang für alle, die Ampel mit Beispielen aus dem Lager und dem Verkauf, und eine Seite Regeln. Rot wurden vor allem die Einkaufskonditionen und alles aus der Personalabteilung. Der Betriebsrat war am Nachmittag dabei und hat die Richtlinie mitgeschrieben. Zwei Monate später nutzten deutlich mehr Menschen KI als vorher, und alle im selben, geprüften Werkzeug.

Checkliste

• Eure Datenampel hat je Farbe drei Beispiele aus dem eigenen Betrieb.
• Die Ampel hängt sichtbar und steht in der Richtlinie.
• Die KI-Richtlinie auf einer Seite ist geschrieben, datiert und unterschrieben.
• Alle freigegebenen Werkzeuge haben einen Firmenvertrag; der AVV liegt vor, wo gelbe Daten verarbeitet werden.
• Die Liste aller KI-Werkzeuge im Haus ist angelegt, mit Ampelfarbe je Werkzeug.
• Ihr wisst, ob ein geplanter Einsatz über Menschen urteilt und damit genauer geprüft werden muss.
• Eine Ansprechperson für KI-Fragen ist benannt und allen bekannt.
• Der Termin für die Abstimmung mit dem Betriebsrat oder der Belegschaft steht (Modul 4).

Hinweis: Diese Unterlage erklärt die Lage im November 2026 und ersetzt keine Rechtsberatung im Einzelfall.