KI und Compliance: Rechtliche Rahmenbedingungen bei KI-Einsatz im Unternehmen

Künstliche Intelligenz (KI) hat sich von einer technologischen Nische zu einem unaufhaltbaren Treiber für Effizienz, Innovation und Wettbewerbsfähigkeit entwickelt. Ob automatisierte Datenanalyse, generative Texterstellung oder intelligente Prozesssteuerung – die Einsatzszenarien sind vielfältig und revolutionieren sämtliche Abteilungen vom Marketing über das Personalwesen bis hin zur Softwareentwicklung.

Parallel zu den enormen Potenzialen erwachsen aus diesen Technologien jedoch auch komplexe rechtliche Fragestellungen. Die Integration von KI-Systemen in den unternehmerischen Alltag darf daher nicht im rechtsfreien Raum erfolgen. Organisationen müssen eine Brücke zwischen technologischer Innovation und regulatorischer Konformität schlagen, um erhebliche Haftungsrisiken, Reputationsschäden und finanzielle Sanktionen abzuwenden.

Der europäische Rechtsrahmen und der AI Act

Das Fundament der rechtlichen Rahmenbedingungen für den Einsatz künstlicher Intelligenz in Europa wird maßgeblich durch den sogenannten AI Act (EU-KI-Verordnung) geprägt. Diese Verordnung stellt den weltweit ersten umfassenden Versuch dar, die Risiken von KI-Systemen durch ein verbindliches Gesetz zu regulieren.

Der AI Act verfolgt einen risikobasierten Ansatz, der Technologien in verschiedene Risikoklassen einteilt. Das reicht von Systemen mit unannehmbarem Risiko, die strikt verboten sind, über Hochrisiko-Systeme bis hin zu Systemen mit minimalem Risiko. Unternehmen müssen demnach vor der Implementierung einer KI-Lösung die Software analysieren und klassifizieren.

“Zu den Hochrisiko-Systemen zählen beispielsweise Anwendungen, die im Bereich der HR-Abteilungen für die Vorauswahl von Bewerbern, die Leistungsbeurteilung oder die Beförderung von Mitarbeitern eingesetzt werden.“

Die Nutzung solcher Systeme knüpft der europäische Gesetzgeber an strenge compliance-relevante Auflagen. Dazu gehören der Aufbau eines robusten Risikomanagementsystems, die Gewährleistung einer hohen Qualität der verwendeten Trainingsdaten sowie die Sicherstellung einer menschlichen Aufsicht (Human-in-the-Loop). Die lückenlose Dokumentation und die Einhaltung von Transparenzpflichten sind dabei keine rein bürokratischen Hürden, sondern zwingende Voraussetzungen, um den operativen Betrieb legal aufrechtzuerhalten.

Haftungsfragen und die Sorgfaltspflichten der Geschäftsführung

Aus Sicht der Corporate Compliance steht die Geschäftsführung in der unmittelbaren Verantwortung, die KI-Technologien im Unternehmen zu überwachen und zu steuern. Gemäß den allgemeinen Grundsätzen des Gesellschaftsrechts trifft die Organmitglieder eine weitreichende Sorgfalts- und Überwachungspflicht.

Das blinde Vertrauen in die Richtigkeit von KI-generierten Ergebnissen kann schließlich auch als Pflichtverletzung gewertet werden. Da KI-Systeme zu sogenannten „Halluzinationen“ – also der Generierung von plausibel klingenden, aber sachlich völlig falschen Informationen – neigen, müssen Kontrollmechanismen etabliert werden.

Wird eine strategische Fehlentscheidung auf Basis fehlerhafter KI-Analysen getroffen oder entsteht einem Dritten durch ein fehlerhaftes KI-Produkt ein Schaden, drohen persönliche Haftungsszenarien für die Verantwortlichen sowie Schadensersatzforderungen gegen das Unternehmen selbst.

Die Implementierung einer klaren Governance-Struktur ist daher unerlässlich. Es müssen verbindliche Leitlinien definiert werden, die festlegen, welche KI-Tools für welche Zwecke genutzt werden dürfen, wie die Validierung der Ergebnisse erfolgt und wer die Letztverantwortung für die Freigabe trägt.

Urheberrechtliche Herausforderungen beim Einsatz generativer KI

Die Nutzung generativer KI-Systeme wie ChatGPT, Midjourney oder Stable Diffusion wirft fundamentale Fragen im Bereich des geistigen Eigentums auf. Unternehmen bewegen sich hier in einem ständigen Spannungsfeld, das sowohl die Input- als auch die Output-Seite der Technologie betrifft.

Auf der Input-Seite geht es vor allem darum, ob die zum Training der KI genutzten Daten urheberrechtlich geschützte Werke enthalten und ob dieses Datenscraping rechtmäßig erfolgt ist. Obwohl europäische Regelungen zum Text und Data Mining gewisse Ausnahmen vorsehen, verbleiben erhebliche Unsicherheiten, insbesondere wenn Rechteinhaber dem Mining explizit widersprochen haben.

Noch gravierender für die tägliche Praxis ist die rechtliche Bewertung der generierten Ergebnisse. Nach geltendem deutschem und europäischem Urheberrecht können nur menschliche Schöpfungen Schutz genießen. Reine KI-Generate sind somit gemeinfrei und können von Wettbewerbern frei kopiert werden, es sei denn, ein Mensch hat das Werk durch eine tiefgreifende eigene Bearbeitung maßgeblich geprägt.

Zudem besteht das immanente Risiko, dass die KI geschützte Fragmente aus ihren Trainingsdaten reproduziert. Verwendet ein Unternehmen ein solches Design, einen Text oder einen Programmcode im kommerziellen Kontext, kann das unbeabsichtigt zu kostspieligen Abmahnungen wegen Urheberrechtsverletzungen führen. Die genaue Analyse von Urheberrecht und Persönlichkeitsrecht im KI-Zeitalter ist daher ein kritischer Baustein jeder unternehmerischen Compliance-Strategie.

Datenschutzkonformität und die Vorgaben der DSGVO

Die Datenschutz-Grundverordnung (DSGVO) formuliert strikte Regeln für die Verarbeitung personenbezogener Daten, die beim Einsatz von KI-Systemen konsequent beachtet werden müssen. Viele cloudbasierte KI-Dienste verarbeiten Eingaben (Prompts) auf externen Servern, die sich nicht selten in Drittstaaten außerhalb der Europäischen Union befinden. Sobald Mitarbeiter personenbezogene Daten von Kunden, Partnern oder Kollegen in ein solches System eingeben, liegt eine Datenübermittlung vor, die einer tragfähigen Rechtsgrundlage bedarf.

Unternehmen müssen sicherstellen, dass die Grundsätze der Zweckbindung und der Datenminimierung gewahrt bleiben. Die Eingabe von vertraulichen Informationen in öffentliche KI-Modelle stellt einen schweren Verstoß dar.

Zu den zwingenden datenschutzrechtlichen Maßnahmen gehören:

• Durchführung einer Datenschutz-Folgenabschätzung (DSFA): Bei der Einführung von KI-Systemen, die aufgrund des Einsatzes neuer Technologien ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen aufweisen, ist eine systematische Untersuchung der Risiken und der geplanten Abhilfemaßnahmen gesetzlich vorgeschrieben.
• Abschluss von Verträgen zur Auftragsverarbeitung (AVV): Soweit externe Dienstleister mit der Bereitstellung von KI-Infrastrukturen beauftragt werden, müssen rechtlich bindende Vereinbarungen getroffen werden, die die Einhaltung des Datenschutzniveaus garantieren.
• Wahrung der Betroffenenrechte: Die DSGVO garantiert Individuen das Recht auf Auskunft, Löschung und das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO). KI-Architekturen müssen so konzipiert sein, dass Daten korrigiert oder gelöscht werden können, was technisch oft eine erhebliche Herausforderung darstellt.

Arbeitsrechtliche Aspekte und die Einbindung des Betriebsrates

Der interne Rollout von KI-Lösungen berührt unmittelbar die kollektiv- und individualarbeitsrechtlichen Rahmenbedingungen. So verändert solche Software die Arbeitsabläufe und die Überwachungspotenziale am Arbeitsplatz grundlegend. Nach dem Betriebsverfassungsgesetz (BetrVG) verfügt der Betriebsrat über weitreichende Mitbestimmungsrechte, insbesondere wenn es um die Einführung und Anwendung von technischen Einrichtungen geht, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG).

“Da KI-Systeme kontinuierlich Leistungsdaten erfassen und analysieren können, ist die Beteiligung des Betriebsrats in der Regel zwingend erforderlich.“

Ein Verstoß gegen diese Mitbestimmungsrechte kann zu gerichtlichen Unterlassungsverfügungen führen, die das gesamte KI-Projekt im Unternehmen blockieren. Darüber hinaus müssen arbeitsvertragliche Regelungen und betriebliche Vereinbarungen angepasst werden, um Missbrauch vorzubeugen und Rechtssicherheit für die Belegschaft zu schaffen.

Praktische Umsetzung einer KI-Compliance-Struktur

Um die rechtlichen Risiken wirksam zu minimieren und gleichzeitig von den Vorteilen der künstlichen Intelligenz zu profitieren, empfiehlt sich der Aufbau einer strukturierten und interdisziplinären Governance-Architektur. Das bloße Verbieten von KI-Tools führt in der Praxis meist nur zu einer riskanten „Schatten-IT“, bei der Mitarbeiter unautorisierte Werkzeuge auf privaten Geräten oder am offiziellen Sicherheitsnetzwerk vorbei nutzen. Ein proaktiver Ansatz schützt das Unternehmen weitaus effektiver.

Folgende strategische Schritte unterstützen den Aufbau einer rechtssicheren Struktur:

• Erstellung einer unternehmensweiten KI-Richtlinie (AI Policy): Ein verbindliches Regelwerk definiert erlaubte und verbotene Anwendungen, regelt den Umgang mit sensiblen Unternehmens- und Kundendaten beim Prompting und legt klare Freigabeprozesse für neue Softwaretools fest.
• Einrichtung eines fächerübergreifenden KI-Compliance-Gremiums: Die Komplexität des Themas verlangt die enge Zusammenarbeit von IT-Sicherheit, Datenschutzbeauftragten, Rechtsabteilung, HR und Vertretern des Betriebsrats, um Risiken frühzeitig und ganzheitlich zu bewerten.
• Regelmäßige Schulungen und Sensibilisierung der Mitarbeiter: Das Bewusstsein für urheberrechtliche Risiken, Datenschutzverstöße und die Gefahr von Fehlinformationen durch KI-Systeme muss durch zielgerichtete Fortbildungen kontinuierlich geschärft werden.
• Systematische Inventarisierung und Risikoanalyse: Sämtliche im Unternehmen genutzten KI-Anwendungen müssen in einem zentralen Register erfasst, dokumentiert und regelmäßig im Hinblick auf regulatorische Änderungen überprüft werden.

Mithilfe solcher organisatorischen Maßnahmen gelingt es Organisationen, gesetzliche Anforderungen nicht als Innovationsbremse, sondern als Qualitätsmerkmal und Schutzschild zu begreifen. Ein transparenter und rechtlich abgesicherter Einsatz fördert zudem das Vertrauen von Kunden, Investoren und der eigenen Belegschaft in die Zukunftsfähigkeit des Unternehmens.