Ablauf

Eine KI-Richtlinie, die im Alltag hält

Nach dem EuGH haftet eine juristische Person auch für Verstöße, die eine Person im Rahmen der unternehmerischen Tätigkeit begeht. Ein Verbot ohne freigegebene Alternative verlagert den Einsatz auf private Konten und nimmt ihm die Sichtbarkeit. Und eine Richtlinie über das Verhalten im Betrieb ist nach § 87 Abs. 1 Nr. 1 BetrVG mitbestimmt, unabhängig von Nummer 6.

Ein Werkzeug, das niemand eingeführt hat

In einer Fachabteilung entstehen Angebotstexte seit Monaten mit einem Sprachmodell. Das Konto läuft auf eine private Adresse, bezahlt wird aus der Portokasse. Die Kundendaten stehen in den Eingaben. In der Datenschutzorganisation ist davon nichts bekannt. Im Verzeichnis der Verarbeitungstätigkeiten steht es nicht.

Für unbekannte Werkzeuge steht der Betrieb gleichwohl ein

Was daraus folgt, dass Beschäftigte Werkzeuge nutzen, von denen niemand weiß, wird häufig als privates Verhalten Einzelner abgetan. Der EuGH hat am 05.12.2023 anders entschieden.

Aus der Verantwortlichkeit folgen drei Pflichten, die ohne Kenntnis des Werkzeugs nicht zu erfüllen sind.

Drei Pflichten, die an der Kenntnis hängen

Nachweis
Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung. Über eine Verarbeitung, die niemand kennt, lässt er sich nicht führen.
Verzeichnis
Art. 30 Abs. 1 DSGVO verlangt einen Eintrag je Tätigkeit. Ein fehlender Eintrag ist nach der Rechtsprechung eine eigenständige Pflichtverletzung.
Sicherheit
Art. 32 Abs. 1 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Das Risiko eines unbekannten Dienstes lässt sich nicht bemessen.

3 von 3

Ein Verbot verlagert den Einsatz und beendet ihn nicht

Was eine Richtlinie enthalten muss, damit sie benutzt wird, entscheidet sich an einer einzigen Eigenschaft. Sie muss eine Antwort auf die Aufgabe geben, die zur Nutzung geführt hat. Ein Verbotssatz gibt sie nicht. Deshalb ist er nach Art. 24 Abs. 1 DSGVO auch keine geeignete Maßnahme.

Zwei Fassungen derselben Regelung

Verbotssatz	Merkmal	Freigabe mit Grenzen
Nicht erlaubt	Was die Beschäftigte liest	Diese drei sind freiMit Nennung der Werkzeuge, der zulässigen Datenarten und der Stelle, die neue Werkzeuge prüft.
Privates KontoDie Aufgabe bleibt, also bleibt die Nutzung. Sie verlässt den Bereich, in dem sie sichtbar wäre.	Was danach geschieht	Bekannter Weg
VerlorenOhne Kenntnis kein Eintrag im Verzeichnis und kein Nachweis nach Art. 5 Abs. 2 DSGVO.	Nachweisbarkeit	Gegeben
KeineEin privates Konto hat keinen Vertrag nach Art. 28 Abs. 3 DSGVO. Die Eingaben unterliegen den Verbraucherbedingungen des Anbieters.	Vertragslage	Geregelt

Der Unterschied ist keine Frage der Strenge. Die zweite Fassung ist die strengere, weil sie den Einsatz an Bedingungen bindet, die tatsächlich eingehalten werden können.

Fünf Angaben, ohne die eine Richtlinie nicht benutzt wird

Welche Werkzeuge freigegeben sind

Namentlich und mit dem Datum der Prüfung. Eine Gattungsangabe wie „Sprachmodelle“ gibt keine Antwort, weil die Bedingungen der Anbieter verschieden sind.

Welche Datenarten hinein dürfen

In den Kategorien, die im Betrieb ohnehin verwendet werden. Eine eigene Systematik allein für diese Richtlinie wird nicht gelernt und deshalb nicht angewandt.

Was mit den Ausgaben geschieht

Für eine Ausgabe steht eine benannte Person ein. Der Weg der Prüfung ist festgelegt. Ohne diese Angabe verschiebt sich die Verantwortung auf das Werkzeug. Dort ist niemand, der sie übernehmen könnte.

Wer ein neues Werkzeug freigibt

Mit einer Frist für die Antwort. Eine Freigabestelle ohne Frist ist der häufigste Grund, weshalb der geregelte Weg wieder verlassen wird.

Was bei einem Fehler zu tun ist

Und dass die Meldung selbst keine Folgen hat. Ohne diesen Satz erfährt die Datenschutzorganisation von einem Fehler erst über die betroffene Person.

Die Richtlinie ist mitbestimmt, nicht erst über Nummer 6

Welche Beteiligung die Richtlinie selbst braucht, wird meistens am eingesetzten System geprüft. Das ist die zweite Frage. Die erste ist, dass eine Regelung über das Verhalten der Beschäftigten nach § 87 Abs. 1 Nr. 1 BetrVG in die Mitbestimmung fällt, ohne dass es auf eine Überwachungseignung ankäme.

Daneben steht seit dem 02.02.2025 eine eigene Pflicht aus Art. 4 KI-VO. Betreiber haben nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Eine Richtlinie ohne begleitende Unterweisung erfüllt das nicht. Umgekehrt ist die Unterweisung der wirksamste Weg, die Richtlinie bekannt zu machen.

So unterstützen wir Sie bei der KI-Richtlinie

Am Anfang steht eine Abfrage ohne Sanktion. Sie nennt die Aufgabe und nicht den Verstoß, also die Frage, wofür ein Werkzeug gebraucht wird. Zugleich kündigt sie an, dass genannte Werkzeuge geprüft werden. Aus den Antworten entsteht die Liste der freizugebenden Werkzeuge und erst daraus die Richtlinie. In dieser Reihenfolge steht am Ende eine Regelung, die einen bekannten Bedarf abbildet, nicht eine, die ihn verbietet.

Häufige Fragen

Genügt ein Verbot?

Selten. Ein Verbot ohne freigegebene Alternative verlagert den Einsatz auf private Geräte und private Konten. Damit verschwindet er aus der Sicht des Betriebs, während die Verantwortlichkeit bleibt und der Nachweis nach Art. 5 Abs. 2 DSGVO nicht mehr zu führen ist.

Braucht die Richtlinie den Betriebsrat?

In einem Betrieb mit Betriebsrat regelmäßig ja. Sie regelt das Verhalten der Beschäftigten im Betrieb und fällt damit unter § 87 Abs. 1 Nr. 1 BetrVG. Ob daneben Nummer 6 einschlägig ist, hängt am eingesetzten System und nicht an der Richtlinie.

Ist die Richtlinie eine Rechtsgrundlage für den Einsatz?

Nein. Sie ist eine Maßnahme nach Art. 24 Abs. 1 DSGVO und legt fest, wie im Betrieb gearbeitet wird. Die Rechtsgrundlage für die Verarbeitung folgt aus Art. 6 DSGVO und bei Beschäftigtendaten aus § 26 BDSG oder einer Vereinbarung nach Art. 88 DSGVO.

Wie erfährt der Betrieb, welche Werkzeuge im Umlauf sind?

Am schnellsten durch eine Abfrage ohne Sanktion, verbunden mit der Ankündigung, dass genannte Werkzeuge geprüft und ggf. freigegeben werden. Technische Auswertungen des Netzverkehrs erfassen private Geräte nicht und wären ihrerseits an § 87 Abs. 1 Nr. 6 BetrVG und an Art. 6 DSGVO zu messen.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.