Rechtsanwalt Carl Christian Müller
KI wird in vielen Unternehmen längst eingesetzt. Häufig fehlen jedoch verbindliche Regeln dafür, welche KI-Tools Mitarbeiter nutzen dürfen, welche Daten eingegeben werden können und wer Ergebnisse kontrollieren oder freigeben muss.
Mueller.legal erfasst gemeinsam mit Ihnen die relevanten KI-Tools und Anwendungsfälle und erstellt eine individuelle KI-Richtlinie für Ihr Unternehmen. Die Vorgaben werden auf Ihre Arbeitsabläufe, Daten, Mitarbeitergruppen und rechtlichen Risiken abgestimmt.
Unsere Erstberatung ist kostenfrei!
![Erfahrungen [&] Bewertungen zu SOS Recht](https://images.provenexpert.com/62/bf/19116be1c6c963140846ea619bb8/widget_square_180_de_0.png)
Rechtsanwalt Carl Christian Müller, LL.M. Fachanwalt für Urheber- und Medienrecht
Eine KI-Richtlinie, häufig auch AI Policy genannt, legt verbindlich fest, wie künstliche Intelligenz im Unternehmen eingesetzt werden darf. Sie richtet sich insbesondere an Beschäftigte, die ChatGPT, Microsoft Copilot, Gemini, Claude, Perplexity oder andere KI-Anwendungen für ihre Arbeit nutzen.
Die Richtlinie kann unter anderem bestimmen:
Eine allgemeine gesetzliche Pflicht, in jedem Unternehmen eine schriftliche KI-Richtlinie einzuführen, enthält der AI Act nicht. Eine solche Richtlinie kann jedoch dabei helfen, Anforderungen aus AI Act, Datenschutz, Geheimnisschutz, Urheberrecht und Arbeitsrecht in verständliche Vorgaben für den Unternehmensalltag zu übersetzen.
Sie schildern uns über das Kontaktformular, welche KI-Tools in Ihrem Unternehmen eingesetzt werden und welche Fragen oder Unsicherheiten bestehen. Dazu können ChatGPT, Copilot, Gemini, Bildgeneratoren, Chatbots oder eigene KI-Anwendungen gehören.
Einer unserer Rechtsanwälte bespricht mit Ihnen die eingesetzten Tools, Mitarbeitergruppen und Anwendungsfälle. Dabei klären wir, welche Daten verarbeitet werden, welche internen Regeln bereits bestehen und welche rechtlichen Risiken berücksichtigt werden sollten. Das Erstgespräch ist kostenfrei.
Nach der Erstberatung erhalten Sie ein transparentes Angebot. Darin halten wir fest, welche Tools, Prozesse und Rechtsfragen einbezogen werden und welche Dokumente Sie von uns erhalten.
Wir erstellen Ihre individuelle KI-Richtlinie und stimmen die Vorgaben auf Ihre Arbeitsabläufe ab. Wo erforderlich, unterstützen wir bei der arbeitsrechtlichen Umsetzung, bei einer Betriebsvereinbarung und bei der Vermittlung der Regeln an Ihre Mitarbeiter.
KI-Anwendungen werden häufig eingeführt, bevor Datenschutz, Vertragsbedingungen und interne Zuständigkeiten vollständig geprüft wurden. Einzelne Mitarbeiter verwenden teilweise eigene Accounts oder nicht freigegebene Tools, weil diese schnell verfügbar sind und die Arbeit erleichtern.
Dadurch können unterschiedliche Risiken entstehen:
Eine individuelle KI-Richtlinie schafft einen einheitlichen Rahmen. Sie legt nicht nur Verbote fest, sondern zeigt Mitarbeitern auch, wie KI zulässig und sinnvoll genutzt werden kann.
Von Shadow AI oder Schatten-KI spricht man, wenn Beschäftigte KI-Anwendungen ohne Wissen oder Freigabe des Unternehmens einsetzen. Das kann etwa geschehen, wenn ein privater ChatGPT-Account für geschäftliche Texte verwendet oder ein vertrauliches Dokument in ein frei zugängliches KI-Tool hochgeladen wird.
Ein pauschales KI-Verbot verhindert Shadow AI häufig nicht. Mitarbeiter benötigen verständliche Regeln dazu:
Eine KI-Richtlinie verbindet diese Vorgaben mit einem nachvollziehbaren Freigabeprozess und klaren Ansprechpartnern.
Eine KI-Richtlinie sollte den Beschäftigten konkrete Antworten für den Arbeitsalltag geben. Allgemeine Hinweise wie „KI verantwortungsvoll nutzen“ oder „keine sensiblen Daten eingeben“ reichen dafür meist nicht aus. Die Vorgaben müssen so eindeutig sein, dass Mitarbeiter erkennen können, welche Anwendungen erlaubt sind und wann eine vorherige Prüfung erforderlich ist.
Viele Unternehmen wissen nicht genau, welche KI-Anwendungen ihre Mitarbeiter bereits für geschäftliche Aufgaben verwenden. Neben freigegebenen Tools kommen häufig private Accounts, kostenlose Versionen oder Anwendungen zum Einsatz, deren Vertrags- und Datenschutzbedingungen zuvor nicht geprüft wurden.
Unternehmen sollten deshalb verbindlich entscheiden, welche KI-Tools für welche Aufgaben eingesetzt werden dürfen und welche Voraussetzungen dabei gelten. Genau diese Entscheidungen werden in einer KI-Richtlinie festgehalten.
Die Richtlinie kann beispielsweise zwischen allgemein freigegebenen Tools, eingeschränkt nutzbaren Anwendungen und vollständig ausgeschlossenen Diensten unterscheiden. Außerdem kann sie bestimmen, ob nur Business- oder Enterprise-Accounts verwendet werden dürfen und welche Einstellungen verbindlich zu aktivieren sind.
So erkennen Mitarbeiter unmittelbar, welches Tool sie für welche Aufgabe und unter welchen Bedingungen einsetzen dürfen.
Sie möchten zunächst nur ein bestimmtes KI-Tool für einen konkreten geschäftlichen Einsatz prüfen lassen?
Mueller.legal bewertet einzelne Anwendungen unter anderem im Hinblick auf:
Sie erhalten eine rechtliche Einsatzempfehlung mit den Voraussetzungen, unter denen das Tool genutzt werden kann, und einer Einordnung verbleibender Risiken.
Beim Einsatz von KI im Unternehmen können personenbezogene Daten, vertrauliche Unterlagen und Geschäftsgeheimnisse verarbeitet werden. Mitarbeiter können häufig nicht selbst beurteilen, welche Informationen in ein KI-System eingegeben werden dürfen. Eine KI-Richtlinie sollte deshalb klare Vorgaben für unterschiedliche Datenarten, Tools und Anwendungsfälle enthalten.
Die Richtlinie sollte verständlich festlegen, welche Informationen uneingeschränkt, nur unter bestimmten Voraussetzungen oder überhaupt nicht verarbeitet werden dürfen. Bestimmte Daten können beispielsweise vollständig ausgeschlossen werden, während andere erst nach einer Anonymisierung oder Pseudonymisierung genutzt werden dürfen.
Auch der Upload vollständiger Verträge, Bewerbungsunterlagen, Kundenlisten oder interner Präsentationen kann beschränkt werden. Für sensible Anwendungsfälle kann eine vorherige Abstimmung mit Datenschutz, Rechtsabteilung oder Informationssicherheit vorgesehen werden. So müssen Mitarbeiter die rechtliche Zulässigkeit nicht bei jeder Eingabe selbst bewerten.
Diese Frage lässt sich nicht pauschal beantworten. Entscheidend sind insbesondere der konkrete Zweck, die Art der Daten, der verwendete Tarif, die Anbieterbedingungen und die verfügbaren Schutzmaßnahmen.
Vor einer Freigabe sollte geprüft werden:
Die Ergebnisse dieser Prüfung werden in klare Vorgaben der KI-Richtlinie übertragen. Mitarbeiter erkennen dadurch, welche Eingaben zulässig sind und wann sie vorab Rücksprache halten müssen.
Vertragsentwürfe, Kalkulationen, Kundenlisten, technische Informationen und interne Strategien können besonders schutzbedürftig sein. Eine KI-Richtlinie kann festlegen, welche Informationen nicht in externe Systeme eingegeben werden dürfen, wann Dokumente vor der Nutzung bereinigt werden müssen und welche Anwendungen für sensible Inhalte freigegeben sind.
Ebenso wichtig ist ein geregelter Umgang mit Fehlern. Wurde eine vertrauliche Information versehentlich hochgeladen, sollte eindeutig feststehen, an wen der Vorfall zu melden ist und welche weiteren Schritte eingeleitet werden.
Eine KI-Richtlinie ist besonders sinnvoll, wenn mehrere der folgenden Punkte auf Ihr Unternehmen zutreffen:
☐ Mitarbeiter nutzen ChatGPT, Copilot oder andere KI-Tools
☐ Nicht alle verwendeten KI-Anwendungen sind zentral bekannt
☐ Personenbezogene oder vertrauliche Daten können eingegeben werden
☐ KI-Ergebnisse werden veröffentlicht oder für Entscheidungen genutzt
☐ Es fehlen verbindliche Prüfungs- und Freigabeprozesse
☐ Neue KI-Tools werden ohne einheitliches Verfahren eingeführt
Welche Regeln in Ihrem Unternehmen erforderlich sind, klären wir mit Ihnen in einer kostenfreien Erstberatung.
Ein interner Textentwurf ist anders zu bewerten als eine automatisierte Kundenantwort, die Analyse von Bewerberdaten oder die Veröffentlichung eines KI-generierten Videos.
Die Richtlinie kann deshalb vier Kategorien vorsehen:
Damit müssen Beschäftigte nicht für jede alltägliche Nutzung eine Einzelentscheidung einholen. Gleichzeitig bleiben besonders sensible Einsatzfälle unter Kontrolle.
Neue Anwendungen werden häufig aus einem konkreten Bedarf heraus eingeführt. Eine Abteilung möchte Texte übersetzen, der Vertrieb Gespräche zusammenfassen oder das Personalteam Bewerbungen vorsortieren.
Ohne einheitlichen Freigabeprozess werden bei jeder Anwendung dieselben Fragen neu und oft unter Zeitdruck geklärt.
Eine KI-Richtlinie kann folgenden Ablauf festlegen:
So lassen sich neue Anwendungen strukturiert einführen, ohne sinnvolle Innovationen unnötig zu blockieren.
Der Einsatz von KI betrifft häufig mehrere Unternehmensbereiche. Geschäftsleitung, IT, Datenschutz, Personalabteilung und Rechtsabteilung können unterschiedliche Aufgaben übernehmen.
Eine KI-Richtlinie sollte eindeutig bestimmen, wer:
Nicht alle Aufgaben müssen bei einer einzigen Person liegen. Entscheidend sind eindeutige Zuständigkeiten und bekannte Eskalationswege.
ChatGPT kann bei Textentwürfen, Übersetzungen, Zusammenfassungen und Recherchen unterstützen. Vor der geschäftlichen Nutzung sollte jedoch feststehen, unter welchen Bedingungen das Tool eingesetzt werden darf.
Eine KI-Richtlinie kann regeln, welcher Tarif verwendet wird, wer Accounts verwaltet und welche Daten eingegeben werden dürfen. Sie kann außerdem festlegen, für welche Aufgaben ChatGPT zugelassen ist und wann Ergebnisse kontrolliert oder freigegeben werden müssen.
Auch Änderungen der Anbieterbedingungen und verfügbaren Einstellungen sollten berücksichtigt werden. Eine einmalige Freigabe muss daher nicht unbegrenzt gelten.
Eine KI-Richtlinie ist mehr als eine interne Bedienungsanleitung. Sie trifft rechtlich relevante Entscheidungen darüber, welche Anwendungen freigegeben werden, wie sensible Daten geschützt bleiben und wer bei Fehlern oder Rechtsverletzungen handeln muss.
Mueller.legal verbindet AI Act, Datenschutz, Geschäftsgeheimnisrecht, Urheberrecht, Vertragsrecht und Arbeitsrecht in einem einheitlichen Regelwerk. Sie erhalten nicht nur einen Richtlinientext, sondern einen rechtlich geprüften Rahmen für Freigaben, Ausnahmen und neue KI-Anwendungen.
So entsteht eine Richtlinie, die der Geschäftsleitung verlässliche Prozesse gibt und Mitarbeitern verständlich zeigt, was im Arbeitsalltag erlaubt ist.
Ein Muster oder eine Vorlage kann typische Regelungspunkte zeigen. Es kennt jedoch weder Ihre tatsächlichen Tools noch Ihre Daten, Zuständigkeiten und Arbeitsabläufe.
Eine allgemeine Vorlage weiß nicht, ob Ihre Mitarbeiter kostenlose Accounts nutzen, ob Bewerberdaten verarbeitet werden oder ob KI-generierte Inhalte veröffentlicht werden. Sie berücksichtigt auch nicht automatisch bestehende Freigaben, Betriebsvereinbarungen oder besondere Risiken Ihres Geschäftsmodells.
Dadurch kann ein Muster zu streng, zu unbestimmt oder unvollständig sein. Es kann sinnvolle Anwendungen untersagen, während tatsächlich riskante Nutzungen ungeregelt bleiben.
Mueller.legal erstellt deshalb eine individuelle KI-Richtlinie, die konkrete Entscheidungen trifft und sich in Ihren bestehenden Unternehmensprozessen umsetzen lässt.
Ob der Betriebsrat bei einer KI-Richtlinie oder der Einführung eines KI-Systems zu beteiligen ist, hängt von der konkreten Anwendung und den vorgesehenen Regeln ab.
Beteiligungsrechte können insbesondere relevant werden, wenn KI Arbeitsabläufe verändert, für personelle Auswahlentscheidungen eingesetzt wird oder eine Kontrolle von Verhalten und Leistung ermöglicht. Das Betriebsverfassungsgesetz berücksichtigt den Einsatz Künstlicher Intelligenz ausdrücklich, unter anderem bei der Hinzuziehung von Sachverständigen durch den Betriebsrat.
Eine Betriebsvereinbarung ist nicht bei jeder KI-Nutzung automatisch erforderlich. Wir prüfen, welche Rechte bestehen, welche Inhalte abgestimmt werden müssen und wie Richtlinie und Betriebsvereinbarung sinnvoll ineinandergreifen.
Der AI Act schreibt keine gesetzlich definierte Pflichtstelle mit der Bezeichnung AI Officer oder KI-Beauftragter vor. Eine zentrale Verantwortung kann dennoch sinnvoll sein, wenn mehrere Abteilungen KI einsetzen, regelmäßig neue Anwendungen geprüft werden oder die Umsetzung der KI-Richtlinie koordiniert werden muss.
Ein interner oder externer AI Officer kann insbesondere Freigabeprozesse begleiten, Verantwortlichkeiten bündeln und dafür sorgen, dass neue Tools und veränderte Risiken rechtzeitig bewertet werden.
Mueller.legal unterstützt Unternehmen bei der Einrichtung dieser Funktion, begleitet einen internen AI Officer rechtlich oder übernimmt klar definierte Aufgaben im Rahmen einer externen KI-Governance.
Weitere Informationen zu KI-Schulungen, Kennzeichnungspflichten und der rechtlichen Prüfung von KI-Tools finden Sie in unserem Überblick zum KI-Recht.
Bei KI-generierten oder manipulierten Bildern, Texten, Videos und Stimmen können Transparenzpflichten nach Art. 50 AI Act sowie Urheber-, Marken- und Persönlichkeitsrechte relevant werden. Der AI Act enthält unter anderem besondere Vorgaben für bestimmte KI-generierte Inhalte, Deepfakes und Systeme, die unmittelbar mit Personen interagieren.
Die KI-Richtlinie kann festlegen, welche Inhalte vor der Veröffentlichung geprüft werden, wer über eine Kennzeichnung entscheidet und wann eine Freigabe erforderlich ist.
Ob im konkreten Fall tatsächlich gekennzeichnet werden muss, lässt sich jedoch nicht allein durch eine allgemeine Richtlinie beantworten.
Der AI Act schreibt nicht jedem Unternehmen ausdrücklich eine schriftliche KI-Richtlinie vor. Sie kann jedoch ein wichtiges organisatorisches Mittel sein, um rechtliche Anforderungen, Zuständigkeiten und Kontrollprozesse nachvollziehbar umzusetzen.
Eine Richtlinie ist besonders sinnvoll, wenn mehrere Beschäftigte oder Abteilungen KI einsetzen, personenbezogene oder vertrauliche Daten verarbeitet werden oder KI-Ergebnisse veröffentlicht und für Entscheidungen verwendet werden.
Ja. Eine KI-Richtlinie kann den Einsatz von ChatGPT, Microsoft Copilot, Gemini und weiteren KI-Tools regeln. Entscheidend sind Anbieter, Tarif, Account, Anwendungszweck und die verarbeiteten Daten.
Das hängt vom konkreten Einsatz ab. Maßgeblich sind unter anderem der Zweck, die Rechtsgrundlage, die Datenarten, die Anbieterbedingungen und die getroffenen Schutzmaßnahmen.
Private Accounts können zusätzliche Risiken verursachen. Unternehmen sollten verbindlich festlegen, welche Konten und Tarife zugelassen sind, wer sie verwaltet und welche Daten verarbeitet werden dürfen.
Wichtig sind geeignete freigegebene Alternativen, verständliche Regeln, ein einfacher Freigabeprozess für neue Tools und klare Ansprechpartner. Ein pauschales Verbot allein reicht häufig nicht aus.
Eine Vorlage kann als Orientierung dienen. Für verbindliche Regeln muss sie jedoch an die tatsächlich eingesetzten Tools, Daten, Zuständigkeiten und Beteiligungsrechte des Unternehmens angepasst werden.
Das hängt vom Inhalt der Richtlinie und den eingesetzten Systemen ab. Beteiligungsrechte können insbesondere bei Überwachungsmöglichkeiten, personellen Entscheidungen und Veränderungen von Arbeitsabläufen relevant werden.
Rechtsanwalt Carl Christian Müller, Fachanwalt für Urheber- und Medienrecht, berät Sie zum rechtssicheren Einsatz von KI im Unternehmen und zur Erstellung einer individuellen KI-Richtlinie.
Wir klären, welche Tools, Daten und Prozesse berücksichtigt werden müssen und wie sich klare Freigaben und Verantwortlichkeiten in Ihrem Unternehmen organisieren lassen.
