KI-Leitplanken: die Betriebsregelung

Dieser Artikel beschreibt betriebliche Praxis und ersetzt keine Rechtsberatung. Ob eine konkrete Regelung mitbestimmungspflichtig ist oder arbeitsrechtlich trägt, gehört an einen Fachanwalt.

Warum eine Richtlinie ohne benannte Person wertlos ist

Der häufigste Fehler bei KI-Richtlinien ist nicht ein falscher Inhalt, sondern eine fehlende Unterschrift. Das Dokument wird erstellt, verteilt, abgeheftet – und benennt niemanden, der Werkzeuge freigibt, Zweifelsfälle entscheidet, Meldungen entgegennimmt und die Regelung fortschreibt. Damit passiert das Vorhersehbare: Ein halbes Jahr später steht in der Richtlinie ein Werkzeug, das niemand mehr nutzt, und die drei Werkzeuge, die tatsächlich im Einsatz sind, stehen nicht darin.

Zuständigkeit heißt hier nicht Vollzeitstelle. In einem Betrieb mit 60 Beschäftigten genügt eine Person mit etwa zwei Stunden im Monat – häufig jemand aus der kaufmännischen Leitung, der Qualitätssicherung oder der Organisation, nicht zwingend aus der IT. Ihre Aufgaben sind eng umrissen: die Liste der freigegebenen Werkzeuge pflegen, neue Anfragen innerhalb einer zugesagten Frist beantworten, gemeldete Fehler sammeln und einmal im Halbjahr eine Überprüfung ansetzen.

Wer diese Person nicht benennen will oder kann, sollte die Richtlinie gar nicht erst schreiben. Eine unverbindliche Empfehlung erzeugt bei Beschäftigten den Eindruck, man habe die Sache geregelt, und genau dieser Eindruck ist das Risiko.

Freigegebene Werkzeuge: eine kurze Liste statt einer Grundsatzentscheidung

Der praktisch wichtigste Teil ist eine Liste mit Namen. Nicht „KI-Werkzeuge mit angemessenem Datenschutzniveau", sondern: dieses Produkt, in dieser Fassung, über diesen Zugang. Zu jedem Eintrag gehören drei Angaben – wofür es freigegeben ist, welche Datenklasse hinein darf, und ob ein Auftragsverarbeitungsvertrag vorliegt.

Zwei Dinge erleichtern die Pflege. Erstens: Die Liste sollte kurz sein. Zwei bis vier Einträge decken in den meisten Mittelständlern das gesamte Feld ab, und jeder weitere Eintrag erzeugt Prüf- und Vertragsaufwand. Zweitens: Ein Zugang über die Firma ist einem privaten Konto immer vorzuziehen, selbst wenn er Geld kostet. Über den Firmenzugang lassen sich Trainingsnutzung ausschließen, Zugriffe entziehen und Einstellungen zentral setzen – über ein privates Konto nichts davon.

Die Liste muss auch sagen, was nicht freigegeben ist, und zwar ohne Grauzone. Der Satz „Werkzeuge, die hier nicht aufgeführt sind, sind für dienstliche Inhalte nicht zugelassen" ist unbeliebt und notwendig. Gleichzeitig braucht er ein Ventil: einen benannten Weg, auf dem ein Mitarbeiter ein neues Werkzeug vorschlagen kann, mit einer Zusage, wie schnell er Antwort bekommt. Ohne dieses Ventil entsteht Schatten-IT.

Erlaubte und verbotene Daten

Der zweite Kernteil beantwortet die Frage, die im Alltag tatsächlich gestellt wird: Darf das hier hinein? Bewährt hat sich eine Einteilung in wenige Klassen – frei verwendbare Inhalte ohne Personenbezug, geschäftliche Inhalte nur im freigegebenen Werkzeug, und ein gesperrter Bereich für besondere Kategorien personenbezogener Daten, Beschäftigtendaten mit Bewertungsbezug, Zugangsdaten und fremde Betriebsgeheimnisse. Die rechtlichen Hintergründe dazu stehen in Datenschutz beim KI-Einsatz.

Zwei Punkte werden dabei regelmäßig vergessen. Der erste sind fremde Geheimnisse: Zeichnungen eines Auftraggebers, Rezepturen, Lastenhefte unter Geheimhaltungsvereinbarung. Hier drohen nicht Aufsichtsbehörden, sondern Vertragsstrafen – ein Sondermaschinenbauer, dessen Mitarbeiter eine Kundenzeichnung in einen frei zugänglichen Dienst lädt, verletzt womöglich eine NDA, unabhängig von jeder Datenschutzfrage.

Der zweite ist der Umkehrfall: Was darf aus dem Werkzeug heraus und in ein Kundendokument hinein? Eine KI-formulierte Norminterpretation in einem Prüfbericht, eine erfundene Artikelnummer in einem Angebot, eine geglättete Einschränkung in einer Deckungsauskunft – das sind die teuren Fälle, und sie stehen in den meisten Richtlinien gar nicht.

Prüfpflicht und Kennzeichnung

Die Prüfpflicht ist der Kern der ganzen Regelung, und sie lässt sich in einem Satz formulieren: Nichts, was ein KI-Werkzeug erzeugt hat, verlässt den Betrieb oder wird zur Entscheidungsgrundlage, ohne dass eine fachlich zuständige Person es gelesen und verantwortet hat.

Damit dieser Satz nicht folgenlos bleibt, braucht er zwei Konkretisierungen. Erstens: Wer ist die zuständige Person je Dokumentart? Beim Arbeitsbericht der Monteur, beim Angebot der Vertriebsleiter, beim Protokoll die Person, die im Termin war. Zweitens: Woraufhin wird geprüft? Nützlich ist eine kurze Aufzählung dessen, was erfahrungsgemäß schiefgeht – Zahlen und Maße, Eigennamen und Artikelnummern, Normen- und Paragraphenangaben, Termine und Fristen, sowie Aussagen, die eine Zusage enthalten, wo im Ausgangsmaterial nur eine Möglichkeit stand. Warum gerade diese Punkte, erklärt Wie ein Sprachmodell arbeitet.

Bei der Kennzeichnung ist eine Unterscheidung wichtig, die viele Regelungen vermissen lassen. Nach außen bestehen Transparenzpflichten nur in bestimmten Konstellationen, etwa beim Chatbot oder bei künstlich erzeugten Bildern und Tönen – dazu Der EU AI Act im Mittelstand. Nach innen ist eine Kennzeichnung dagegen fast immer sinnvoll: Ein Vermerk, dass ein Entwurf maschinell erzeugt und noch nicht geprüft ist, verhindert, dass ungeprüftes Material weiterwandert. Diese interne Markierung ist keine Rechtspflicht, sondern Arbeitsschutz für den nächsten Kollegen.

Meldeweg, Schulung, Überprüfung

Ein Meldeweg für Fehler klingt nach Bürokratie und ist in Wahrheit die einzige Möglichkeit, überhaupt zu erfahren, wie gut die Werkzeuge arbeiten. Er muss drei Eigenschaften haben: einen Adressaten mit Namen, einen niedrigen Aufwand – ein Postfach, ein Formular mit vier Feldern –, und die klare Zusage, dass eine Meldung nicht zur Sanktion führt. Wer befürchtet, für einen gemeldeten Fehler belangt zu werden, meldet nicht, und der Fehler passiert dann eben noch fünfmal.

Bei der Schulung verlangt die KI-Verordnung ein dem Einsatz angemessenes Maß an KI-Kompetenz bei den Personen, die mit den Systemen arbeiten. Für die meisten Betriebe heißt das eine Unterweisung von ein bis zwei Stunden zu Grenzen der Technik, erlaubten Daten und Prüfpflicht, mit Teilnehmerliste und Datum, wiederholt bei neuen Werkzeugen und für neue Mitarbeiter. Die Dokumentation ist dabei kein Selbstzweck: Sie ist der einzige Nachweis, den Sie später haben.

Die Überprüfung braucht einen festen Termin, nicht einen Anlass. Halbjährlich ist ein brauchbarer Rhythmus. Auf die Tagesordnung gehören die Werkzeugliste, die eingegangenen Meldungen, geänderte Vertrags- oder Rechtslage und die Frage, welche Regel im Alltag umgangen wird – letzteres ist der ehrlichste Prüfpunkt, weil eine umgangene Regel meistens nicht an den Mitarbeitern liegt.

Die Rolle des Betriebsrats

Wo ein Betriebsrat besteht, ist er kein Hindernis im Verfahren, sondern Teil davon. Einschlägig sind typischerweise die Mitbestimmung bei Fragen der Ordnung des Betriebs und bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind. Der zweite Punkt wird unterschätzt: Es kommt nach verbreiteter Auslegung nicht darauf an, ob der Arbeitgeber überwachen will, sondern ob das System entsprechende Daten erzeugen kann. Ein Werkzeug, das protokolliert, wer wann welche Anfrage gestellt hat, erfüllt diese Bedingung leicht.

Hinzu kommen Unterrichtungs- und Beratungsrechte bei der Planung von Arbeitsverfahren sowie besondere Regelungen, die das Betriebsverfassungsrecht in den vergangenen Jahren ausdrücklich mit Blick auf künstliche Intelligenz ergänzt hat – etwa zur Hinzuziehung von Sachverständigen und zu Auswahlrichtlinien, bei denen KI mitwirkt. Welche Vorschrift in Ihrem Fall greift, gehört arbeitsrechtlich geprüft.

Praktisch ist der frühe Einbezug fast immer der schnellere Weg. Eine Betriebsvereinbarung, die Zweck, Umfang und ausdrückliche Grenzen der Auswertung festschreibt, schafft für beide Seiten Klarheit. Eine Regelung, die nach der Beschaffung vorgelegt wird, kostet Monate.

Was das im Mentoring bedeutet

Die Betriebsregelung ist der Gegenstand des Werkzeugs KI-Leitplanken in der Phase SKALIERUNG – dort, wo der Einsatz aus dem Pilotbereich in die Fläche geht und die informelle Absprache nicht mehr trägt. Das Werkzeug ist als ausfüllbare Vorlage angelegt: Werkzeugliste, Datenklassen, Prüfpflicht je Dokumentart, Meldeweg, Zuständigkeit, Überprüfungstermin. Die arbeitsrechtliche und datenschutzrechtliche Prüfung des Entwurfs bleibt Aufgabe Ihrer Beratung.