Recht und Sicherheit

Recht ist für viele der Grund, mit KI zu warten. Laut Bitkom (2026) nennen 66 Prozent der Unternehmen, die noch ohne KI arbeiten, Rechtsunsicherheit als Hemmnis. Die gute Nachricht: Für die allermeisten Anwendungen im Mittelstand sind die Regeln überschaubar. Mit einer Richtlinie auf einer Seite, freigegebenen Werkzeugen, einer Datenampel und dokumentierter Schulung seid ihr gut aufgestellt.

Wichtig: Diese Seite gibt einen Überblick nach dem Stand vom November 2026. Sie ersetzt keine Rechtsberatung. Vor wichtigen Entscheidungen, etwa einer Betriebsvereinbarung oder einem Einsatz bei Personalentscheidungen, holt euch fachlichen Rat von Anwalt, Datenschutzbeauftragten oder Verband.

Der AI Act nach dem Omnibus

Der AI Act ist die europäische Verordnung über Künstliche Intelligenz. Er ordnet KI nach Risiko: Verbotenes, Hochrisiko, Systeme mit Transparenzpflichten und alles andere mit geringem Risiko. Im Juli 2026 hat die EU ihn mit dem sogenannten Omnibus nachgebessert (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026). Omnibus heißt hier: ein Paket, das mehrere Regeln auf einmal ändert. Die Pflicht zur KI-Kompetenz wurde milder gefasst, die Fristen für Hochrisiko-Systeme wurden verschoben, Erleichterungen für kleine und mittlere Unternehmen gelten jetzt auch für etwas größere Mittelständler.

Die Fristen im Überblick

Neu verboten sind seit dem Omnibus Anwendungen, die Menschen ohne Zustimmung entkleidet darstellen, und Darstellungen von Kindesmissbrauch.

Was das für euch heißt: Die meisten Betriebe sind „Betreiber”, sie setzen also KI ein, die andere gebaut haben. Für Texte, Mails, Recherche, Protokolle, Automatisierung im Büro oder ein Wissenssystem gelten vor allem Art. 4 und die Transparenz. Genau hinschauen müsst ihr, sobald KI über Menschen urteilt: Bewerbungen vorsortieren, Leistung bewerten, Schichten nach Personenprofilen vergeben. Das ist die häufigste Hochrisiko-Falle im Mittelstand. Ein Telefonagent und ein Chatbot auf der Website müssen sich als KI zu erkennen geben.

Artikel 4 praktisch

Artikel 4 verlangt, dass ihr Maßnahmen ergreift, um die KI-Kompetenz eurer Leute zu fördern, passend zu ihrer Rolle und dazu, wofür sie KI einsetzen. Eine Prüfung, eine Zertifizierung oder ein bestimmtes Niveau ist laut EU-Kommission nicht verlangt. So setzt ihr es um:

1. Inventar: Eine Liste, welche KI-Werkzeuge ihr wofür nutzt und wer Zugang hat.
2. Richtlinie: Eine Seite mit Regeln und Beispielen (siehe unten).
3. Schulung nach Rolle: Grundlagen für alle, mehr für alle, die tiefer einsteigen.
4. Nachweis: Teilnehmende, Datum, Inhalt, Ziel. Ein kurzer Vermerk je Rolle genügt, etwa „Maßnahmen zur Förderung der KI-Kompetenz, Vertrieb, November 2026”.
5. Auffrischen: Einmal im Jahr und bei jedem neuen Werkzeug.

Wie gute Schulung aussieht, steht auf der Seite „Schulen”.

Datenschutz je Werkzeug-Klasse

Die Datenschutz-Grundverordnung (DSGVO) gilt, sobald personenbezogene Daten in ein KI-Werkzeug gehen: Namen, Mailadressen, Kundendaten, Bewerbungen, Gesprächsmitschnitte. Entscheidend sind drei Fragen. Gibt es einen Vertrag zur Auftragsverarbeitung (AVV), in dem der Anbieter zusagt, eure Daten nur nach euren Weisungen zu verarbeiten? Wird mit euren Eingaben trainiert? Wo werden die Daten verarbeitet, in der EU oder anderswo?

Die Datenschutzkonferenz (DSK, das Gremium der deutschen Datenschutzbehörden) hat 2024 eine Orientierungshilfe zu KI veröffentlicht. Daraus lässt sich eine einfache Checkliste ableiten: Zweck festlegen, Rechtsgrundlage klären, geschlossene Systeme vorziehen, Training und Speicherung der Eingaben abschalten, dienstliche statt privater Konten, datenschutzfreundliche Voreinstellungen, Ergebnisse auf Richtigkeit und Benachteiligung prüfen, Entscheidungen über Menschen beim Menschen lassen, Datenschutzbeauftragte und Betriebsrat früh einbinden. Bei Daten besonderer Art (Gesundheit, Religion, Gewerkschaft) seid besonders vorsichtig. Einen praxisnahen Leitfaden für kleine und mittlere Betriebe hat der Landesdatenschutz in Mecklenburg-Vorpommern im Juli 2026 herausgegeben.

Betriebsrat

Wo es einen Betriebsrat gibt, ist er bei KI fast immer gefragt. Das Betriebsverfassungsgesetz (BetrVG) gibt ihm mehrere Rechte:

• § 87 Abs. 1 Nr. 6: Mitbestimmung bei technischen Einrichtungen, die Leistung oder Verhalten überwachen können. Es reicht, dass sie es technisch könnten. Ein KI-Werkzeug, das der Betrieb bereitstellt und das Nutzung protokolliert, fällt regelmäßig darunter.
• § 90: Der Betriebsrat wird rechtzeitig unterrichtet und beraten, wenn sich Arbeitsabläufe durch neue Technik ändern. Ein Vetorecht ergibt sich daraus allein nicht.
• § 80 Abs. 3: Bei KI darf der Betriebsrat einen Sachverständigen hinzuziehen, die Kosten trägt der Arbeitgeber.
• § 95 Abs. 2a: Richtlinien zur Auswahl von Personal, auch mit KI, brauchen seine Zustimmung.

Das Arbeitsgericht Hamburg hat Anfang 2024 entschieden, dass die bloße Erlaubnis, ChatGPT über private Konten zu nutzen, nicht mitbestimmungspflichtig ist. Das ist ein Einzelfall und lässt sich auf firmeneigene Werkzeuge nicht übertragen.

Unsere Erfahrung: Holt den Betriebsrat vor dem ersten Test an den Tisch, schult ihn mit und regelt den Test in einer Rahmenvereinbarung. Der Kern einer guten Vereinbarung ist ein Satz, der auch die Belegschaft beruhigt: Nutzungsdaten der KI dienen nie zur Leistungskontrolle.

Die KI-Richtlinie auf einer Seite

Eine Richtlinie gibt Sicherheit. Am besten entsteht sie in einer kleinen Runde aus Geschäftsführung, Betriebsrat, Datenschutz, IT und zwei bis drei Leuten aus der Praxis. Sie passt auf eine Seite und enthält:

• Freigegebene Werkzeuge mit Namen und wofür sie gedacht sind
• Die Datenampel mit Beispielen aus dem eigenen Betrieb
• Prüfpflicht: Ein Mensch liest jedes Ergebnis, bevor es nach außen geht
• Kennzeichnung: Wann ihr sagt, dass KI mitgewirkt hat
• Was tabu ist: etwa Entscheidungen über Menschen allein durch KI, Daten besonderer Art, private Konten für Firmendaten
• Neue Werkzeuge: wer sie prüft und freigibt
• Leistungskontrolle: ausgeschlossen
• Meldeweg: wohin man sich wendet, wenn etwas schiefgeht
• Ansprechperson und Schulungsangebot

Die Datenampel

Die Datenampel beantwortet die häufigste Frage im Alltag: „Darf ich das eingeben?”

• Grün, frei: öffentliche Informationen, eigene Texte ohne Namen, allgemeine Fragen, Produktbeschreibungen, Stellenanzeigen. Geht in jedes freigegebene Werkzeug.
• Gelb, nur im Firmenwerkzeug: interne Abläufe, Angebote, Kundenkorrespondenz, Protokolle mit Namen. Nur in Werkzeuge mit AVV und abgeschaltetem Training.
• Rot, draußen lassen: Gesundheitsdaten, Personalakten, Bewerbungen, Zugangsdaten, Geschäftsgeheimnisse wie Rezepturen oder Kalkulationsgrundlagen. Gehört in kein Chatprogramm, höchstens in eigens geprüfte Systeme im eigenen Haus.

Hängt die Ampel mit drei Beispielen je Farbe aus eurem Betrieb sichtbar auf. Im Zweifel gilt die strengere Farbe.

Urheberrecht am Ergebnis

Was eine KI allein erzeugt, ist in Deutschland in der Regel urheberrechtlich ungeschützt. Das Amtsgericht München hat im Februar 2026 entschieden, dass drei KI-Logos keinen Schutz genießen, obwohl lange Prompts und viele Korrekturschleifen dahinterstanden. Für euch heißt das: Logo, Slogan und wichtige Kerntexte selbst gestalten oder nachweisbar überarbeiten, ein Logo zusätzlich als Marke anmelden. Bezahlte Geschäftstarife einiger Anbieter versprechen Rückendeckung, falls Dritte wegen eines Ergebnisses klagen. Bei kostenlosen und privaten Konten fehlt diese Zusage.

Gesprächsfragen für den Termin

• Welche KI-Werkzeuge sind bei euch im Einsatz, auch inoffiziell?
• Habt ihr für jedes einen AVV?
• Setzt ihr KI irgendwo bei Bewerbungen oder Personalentscheidungen ein?
• Gibt es einen Betriebsrat und einen Datenschutzbeauftragten?
• Wie dokumentiert ihr heute Schulungen?
• Welche drei Beispiele gehören bei euch in die rote Spalte der Ampel?