AUF EINEN BLICK: EU AI ACT & KI-RICHTLINIE
Die europäische KI-Verordnung (AI Act) verpflichtet mittelständische Betriebe zu einer risikobasierten Einstufung ihrer eingesetzten Algorithmen und stellt strenge Dokumentations-, Transparenz- sowie Schulungsanforderungen an den Einsatz von KI am Arbeitsplatz. Ohne klare interne Vorgaben drohen Geschäftsführern erhebliche Haftungsrisiken, Verstöße gegen die DSGVO und existenzbedrohende Bußgelder. Die Wirtschaftskanzlei BEISSE & RATH in Nürnberg unterstützt Arbeitgeber und Justiziare bei der Ausarbeitung rechtssicherer KI-Richtlinien, der Ausgestaltung von Betriebsvereinbarungen und der lückenlosen KI-Compliance im laufenden Betrieb.
Künstliche Intelligenz hat die betriebliche Realität im deutschen Mittelstand in Rekordzeit transformiert. Ob generative KI, algorithmische Datenanalysen im Controlling oder automatisierte Vorfilterungen im Personalwesen: Nahezu jedes Unternehmen setzt heute Software mit maschinellem Lernen ein. Ohne ein verbindliches Regelwerk drohen Betrieben jedoch erhebliche Gefahren – vom unbemerkten Abfluss geschäftskritischer Betriebsgeheimnisse über Datenschutzverstöße bis hin zur persönlichen Organhaftung der Geschäftsführung.
Unternehmen müssen jetzt handeln, um den regulatorischen Rahmen des europäischen AI Act operativ abzubilden. Als spezialisierte Anwälte im übergeordneten Bereich IT-Recht & Digitalisierung berät BEISSE & RATH mittelständische Arbeitgeber bei der Gestaltung einer praxisnahen Governance. Wir stellen sicher, dass Ihre Mitarbeiter die Potenziale moderner Tools wie ChatGPT oder Copilot voll ausschöpfen, während die Unternehmensleitung jederzeit AI Act konform und haftungsfrei agiert.
Warum jedes Unternehmen eine KI-Richtlinie benötigt: Risiko und Rechtssicherheit
Der unregulierte Einsatz von KI im Unternehmen führt in der Praxis fast ausnahmslos zu einer unkontrollierbaren Schatten-IT. Nutzen Beschäftigte eigenmächtig frei verfügbare Cloud-Dienste für dienstliche Aufgaben, drohen akute Compliance-Brüche. Eine fundierte KI-Richtlinie für Unternehmen schafft hier klare Regeln und messbare Handlungssicherheit.
Unkontrollierte Nutzung von KI und Schutz von Geschäftsgeheimnissen
Geben Mitarbeiter vertrauliche Firmendaten, Mandanteninformationen, Kalkulationen oder proprietären Software-Code in öffentlich zugängliche Prompts ein, fließen diese sensiblen Daten auf Server externer Anbieter ab. Plattformbetreiber behalten sich häufig vor, Nutzereingaben für das fortlaufende Modelltraining zu verwerten. Eine betriebliche KI-Richtlinie definiert unmissverständlich, welche sensiblen Daten keinesfalls in KI-Tools eingegeben werden dürfen, und schützt den betrieblichen Know-how-Schutz vor irreparablen Verlusten.
Datenschutz und DSGVO beim Umgang mit personenbezogenen Daten
Beim Einsatz von generativer KI kollidieren Sprachmodelle und Algorithmen regelmäßig mit den Grundsätzen der europäischen Datenschutz-Grundverordnung (DSGVO). Werden Beschäftigtendaten, Kundenkontakte oder Bewerberprofile unbedacht verarbeitet, drohen schwere Verstöße gegen Zweckbindungs- und Auskunftsrechte. Eine wirksame KI-Richtlinie regelt den rechtskonformen Umgang mit personenbezogenen Daten, setzt zwingende Prüfroutinen für Auftragsverarbeitungsverträge (AVV) durch und unterbindet unzulässige automatisierte Entscheidungsfindungen nach Art. 22 DSGVO.
EU AI Act und KI-Verordnung: Wie das Gesetz KI-Systeme in Risikoklassen teilt
Die europäische KI-Verordnung (EU AI Act) trat im August 2024 in Kraft und entfaltet bis 2026 ihre vollständige Verbindlichkeit. Das Gesetz teilt KI-Systeme in Risikoklassen ein, an die abgestufte Kontroll-, Prüf- und Dokumentationspflichten geknüpft sind.
Verbotene Praktiken und Hochrisiko-KI-Systeme
Bestimmte KI-Praktiken sind im europäischen Markt ausnahmslos verboten – darunter verhaltensmanipulierende Systeme, Social Scoring sowie automatisierte Emotionserkennungen am Arbeitsplatz. Als Hochrisiko-KI-Systeme stuft das Regelwerk Software ein, die erhebliche Auswirkungen auf Grundrechte und Lebensentscheidungen hat:
Personalwesen & HR: Algorithmen zur automatisierten Filterung von Bewerbungen, Leistungsbewertung oder Beförderungsentscheidungen.
Kredit- und Risikobewertung: Automatisierte Scoring-Verfahren zur Bonitätsprüfung oder Betrugserkennung.
Kritische Infrastrukturen: Steuerungssysteme in sensiblen Versorgungsprozessen und Betriebsabläufen.
Betreiber solcher Systeme müssen strenge Qualitäts- und Risikomanagement-Standards, lückenlose Protokollierungen sowie die ständige menschliche Aufsicht (Human-in-the-Loop) nachweisen.
Transparenzpflichten für generative KI und Deepfakes
Für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI) sowie dialogbasierte Chatbots gelten stringente Informationspflichten. Nutzer müssen wissen, wann sie mit einer künstlichen Intelligenz kommunizieren. Erzeugt ein Betrieb synthetische Bild-, Video- oder Tonaufnahmen (Deepfakes), greift eine gesetzliche Kennzeichnungspflicht, um wettbewerbs- und medienrechtliche Abmahnungen zu verhindern.
KI am Arbeitsplatz: Betriebsvereinbarung für künstliche Intelligenz und Mitbestimmung
Die Einführung von Algorithmen berührt unmittelbar das kollektive Arbeitsrecht. Existiert im Unternehmen eine Mitarbeitervertretung, kann eine Direktive für KI am Arbeitsplatz nicht als reine Anweisung der Geschäftsleitung durchgesetzt werden.
Mitbestimmungsrechte des Betriebsrats nach § 87 BetrVG
Führt ein Betrieb digitale Werkzeuge ein, die objektiv geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, greift das zwingende Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Moderne Algorithmen erfassen Prompt-Verläufe, Reaktionszeiten und Produktivitätsparameter. Eine rechtssichere Betriebsvereinbarung künstliche Intelligenz fixiert den konkreten Zweck der Werkzeuge, schließt missbräuchliche Überwachungen verbindlich aus und vermeidet kostenintensive Verfahren vor der Einigungsstelle.
Gesetzliche Schulung und KI-Kompetenz nach Artikel 4 KI-VO
Gemäß Artikel 4 KI-VO sind Arbeitgeber gesetzlich verpflichtet, den Aufbau ausreichender KI-Kompetenz (AI Literacy) im Kollegium sicherzustellen. Arbeitgeber müssen gewährleisten, dass Mitarbeiter, die beruflich mit Algorithmen arbeiten, deren Funktionsweise, Grenzen und Fehlerquellen verstehen. Eine nachweisbare Schulung der Mitarbeiter minimiert Bedienfehler, verhindert Urheberrechtsverletzungen durch KI-generierten Output und entlastet das Management bei externen Prüfungen.
Schritt für Schritt zum Regelwerk: Wirksame KI-Richtlinien für Ihr Unternehmen erstellen
Eine praxistaugliche Leitlinie darf Innovationen nicht blockieren, sondern muss Mitarbeitern klare Handlungsleitfäden an die Hand geben. Im Rahmen strategischer Mandate in Compliance & Risikomanagement begleitet BEISSE & RATH mittelständische Betriebe bei der strukturierten Einführung passgenauer Vorgaben.
Kernbestandteile und Verantwortlichkeiten einer verbindlichen Richtlinie
Geltungsbereich & Rollen: Klare Definition der Zuständigkeiten für Abteilungen, Führungskräfte und externe Dienstleister.
Whitelisting von KI-Tools: Freigabekatalog für geprüfte Enterprise-Software und striktes Verbot unautorisierter Web-Dienste.
Datensicherheits-Regeln: Verbindliche Anweisungen zum Schutz von Betriebs- und Geschäftsgeheimnissen vor dem Zugriff externer Cloud-Anbieter.
Kennzeichnung & Faktencheck: Verpflichtung zur menschlichen Plausibilitätsprüfung, um Halluzinationen und Falschinformationen im operativen Betrieb auszuschließen.
Sanktionen: Arbeitsrechtlich durchsetzbare klare Konsequenzen bei Verstößen, um die Verbindlichkeit der Richtlinie im Betrieb abzusichern.
Kontinuierliches Risikomanagement und Audits
Technologische Frameworks entwickeln sich mit hoher Dynamik. Eine statische Leitlinie veraltet innerhalb kürzester Zeit. Wir stellen sicher, dass Ihre KI-Richtlinie regelmäßig überprüft und aktualisiert wird, sobald Software-Updates greifen, neue Rechtsakte verabschiedet oder behördliche Leitlinien veröffentlicht werden. Periodische Audits sichern den dauerhaften Haftungsschutz der Organe.
Haftungsrisiken und Bußgelder: Verantwortung der Geschäftsleitung bei Pflichtverletzungen
Unterlassen Geschäftsführer und Vorstände die ordnungsgemäße Organisation und Überwachung des KI-Einsatzes, greifen weitreichende Sanktionen der Aufsichtsbehörden und zivilrechtliche Regressmechanismen.
Drakonische Bußgelder nach dem EU AI Act
Die europäischen Sanktionsrahmen übersteigen die Bußgeldsätze der DSGVO erheblich:
| Art des Verstoßes | Gesetzlicher Bußgeldrahmen |
| Einsatz verbotener KI-Praktiken (z. B. unzulässige Verhaltensmanipulation) | Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes |
| Verstöße gegen Vorgaben für Hochrisiko-KI-Systeme | Bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes |
| Falsche, unvollständige oder irreführende Angaben gegenüber Behörden | Bis zu 7,5 Mio. Euro oder 1,5 % des weltweiten Jahresumsatzes |
Zivilrechtliche Organhaftung und Exkulpation
Wird das Unternehmen mit behördlichen Bußgeldern oder Schadensersatzforderungen Dritter belegt, haften Geschäftsführer im Innenverhältnis nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 AktG persönlich und unbeschränkt mit ihrem Privatvermögen. Aufgrund der Beweislastumkehr müssen Organmitglieder lückenlos nachweisen, dass sie ihren Überwachungspflichten durch eine formalisierte Compliance-Struktur nachgekommen sind. Fehlt eine dokumentierte Richtlinie, gilt das Organisationsverschulden als indiziert.
Ihr Fachanwalt für IT-Recht und Arbeitsrecht in Nürnberg
Die rechtssichere Einführung moderner Technologien erfordert eine nahtlose Schnittstelle zwischen technischem Datenschutzrecht und kollektivem Arbeitsrecht. Bei BEISSE & RATH berät Sie Dominic Baumüller mit fundierter Doppel-Expertise.
Rechtsanwalt,
Fachanwalt für Arbeitsrecht,
Fachanwalt für Informations-
technologierecht
Häufig gestellte Fragen zu KI-Richtlinie und EU AI Act
Ein strukturierter Umgang mit KI-Systemen erfordert im unternehmerischen Alltag oft schnelle, verlässliche Antworten auf technische Detailfragen.
