KI-Richtlinie erstellen

Zweck und Geltungsbereich

Diese Richtlinie regelt den verbindlichen Einsatz von Systemen der künstlichen Intelligenz (KI-Systeme) im Unternehmen. Sie gilt für alle Beschäftigten sowie für alle im Auftrag des Unternehmens tätigen Personen und erstreckt sich auf jede geschäftliche oder dienstliche Nutzung von KI-Systemen — unabhängig davon, ob diese durch das Unternehmen bereitgestellt oder auf privaten Endgeräten und Benutzerkonten aufgerufen werden.

Ziel dieser Richtlinie ist es, die rechtssichere, qualitätsorientierte und verantwortungsvolle Nutzung von KI-Technologien zu gewährleisten, Risiken für Betriebs- und Geschäftsgeheimnisse sowie den Datenschutz zu minimieren und sicherzustellen, dass die Letztverantwortung für Entscheidungen und Arbeitsergebnisse stets bei den handelnden Personen verbleibt.

Rollen und Zuständigkeiten

Für jeden im Unternehmen dauerhaft oder produktiv eingesetzten KI-gestützten Prozess ist eine fachlich verantwortliche Person (Prozessverantwortliche/r) namentlich zu benennen. Diese Person definiert die fachlichen Qualitätsstandards, überwacht die Korrektheit der Ergebnisse im laufenden Betrieb und ist befugt, den KI-Einsatz bei Fehlfunktionen oder Risiken jederzeit unverzüglich zu stoppen.

Die Übernahme der Prozessverantwortung durch eine unbestimmte Organisationseinheit ist unzulässig. Für jede verantwortliche Person ist eine qualifizierte Stellvertretung zu bestimmen sowie ein adäquater Zeitanteil zur Wahrnehmung der Überwachungs- und Kontrollaufgaben verbindlich festzulegen.

[Zu ergänzen: Zentrale Ansprechstelle bzw. KI-Beauftragte/r für Grundsatzfragen und Auslegungen dieser Richtlinie, inkl. Name, Abteilung und Kontaktdaten.]

Freigegebene Werkzeuge

Bis zur Veröffentlichung eines formellen Verzeichnisses freigegebener Werkzeuge gilt folgende Übergangsregelung: Die Nutzung allgemein zugänglicher KI-Dienste ist ausschließlich für unkritische Aufgaben ohne Verarbeitung vertraulicher Unternehmensdaten oder personenbezogener Daten gestattet. Alle generierten Arbeitsergebnisse sind vor einer Verwendung einer vollständigen menschlichen Prüfung zu unterziehen. Eine regelmäßige oder automatisierte Nutzung ist der zuständigen internen Stelle unverzüglich anzuzeigen.

[Zu ergänzen: Verbindliches Zieldatum zur Einführung des Katalogs freigegebener Werkzeuge. Nach Ablauf dieser Frist ist die Nutzung nicht freigegebener Dienste unzulässig.]

Was nicht zulässig ist

• Die Nutzung privater Benutzerkonten für dienstliche Zwecke sowie die Eingabe von Betriebs- und Geschäftsgeheimnissen, vertraulichen Kundendaten, Zugangsdaten (Passwörter, API-Schlüssel) oder rechtlich geschützten Unterlagen Dritter in nicht freigegebene KI-Dienste ist streng untersagt.
• Die ungeprüfte Übernahme von durch KI generierten Arbeitsergebnissen als eigene fachliche Arbeitsleistung oder verbindliche Unternehmensentscheidung ist unzulässig. Wer Arbeitsergebnisse weitergibt oder veröffentlicht, trägt die uneingeschränkte inhaltliche Verantwortung.
• Ausdrücklich untersagt ist der Einsatz von KI-Systemen für Praktiken, die nach Art. 5 der Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act) verboten sind — insbesondere die Erkennung oder Ableitung von Emotionen von Beschäftigten am Arbeitsplatz sowie Systeme zur Bewertung oder Einstufung von Personen anhand ihres Sozialverhaltens (Social Scoring).
• Vollautomatisierte Entscheidungen durch KI-Systeme ohne vorherige menschliche Prüfung und Freigabe sind unzulässig, sofern sie Rechtswirkungen gegenüber Beschäftigten, Kunden oder Dritten entfalten oder diese in ähnlicher Weise erheblich beeinträchtigen.

Umgang mit Daten

Vor jeder Eingabe von Daten in ein KI-System (Prompts, Dateiuploads) ist eigenverantwortlich zu prüfen, ob die betreffenden Informationen für die Eingabe freigegeben sind. Die unternehmensinternen Regelungen zur Informationssicherheit und Vertraulichkeit gelten uneingeschränkt.

[Vorbehalt: Die datenschutzrechtliche Zulässigkeit der Verarbeitung personenbezogener Daten in den eingesetzten Systemen ist noch nicht abschließend geprüft. Bis zum Vorliegen einer formellen Freigabe durch die/den Datenschutzbeauftragte/n ist die Eingabe personenbezogener Daten in KI-Systeme untersagt. Zuständig für die Prüfung: Name/Funktion, Frist zur Klärung: Datum.]

Eingaben und Arbeitsergebnisse dürfen nicht für das Training oder die Weiterentwicklung von Modellen des KI-Anbieters oder sonstiger Dritter zur Verfügung gestellt werden. Bei der Beschaffung oder Freigabe von Systemen ist der Ausschluss des Modelltrainings vertraglich bzw. technisch (z. B. Opt-out) verbindlich zu vereinbaren.

Prüfpflicht vor Verwendung

Jedes durch ein KI-System generierte Ergebnis ist vor seiner weiteren geschäftlichen Nutzung oder Weitergabe durch eine fachlich qualifizierte Person sorgfältig zu überprüfen (Prinzip der menschlichen Aufsicht / Human Oversight). Der Prüfumfang richtet sich nach dem Schadens- und Fehlerrisiko des jeweiligen Einsatzbereichs.

Ergebnisse, die finanzielle Transaktionen auslösen, rechtserhebliche Erklärungen darstellen oder unmittelbar an Kunden, Behörden oder die Öffentlichkeit übermittelt werden, unterliegen einer vollumfänglichen Prüfung und Freigabe. Eine rein stichprobenartige Kontrolle ist in diesen Fällen unzureichend.

Die prüfende Person muss über das erforderliche Fachwissen verfügen, um Fehler, Verzerrungen (Bias) oder unzutreffende Ausgaben („Halluzinationen“) zuverlässig zu erkennen. Eine rein formale Bestätigung der Plausibilität genügt der Prüfpflicht nicht.

Kennzeichnung

Inhalte (Texte, Bilder, Audio, Videos), die maßgeblich oder vollständig durch ein KI-System generiert wurden und für Kunden oder die Öffentlichkeit bestimmt sind, sind gemäß Art. 50 Abs. 2 und 4 der KI-Verordnung in geeigneter und gut sichtbarer Weise als KI-generiert zu kennzeichnen. Die Kennzeichnung erfolgt unmittelbar am Inhalt und nicht versteckt in Fußnoten.

Kommen KI-Systeme im direkten Kontakt mit Dritten zum Einsatz (z. B. Chatbots, Sprachdialogsysteme), sind die Nutzer zu Beginn der Interaktion unmissverständlich darüber zu informieren, dass sie mit einem KI-System kommunizieren (Art. 50 Abs. 1 KI-Verordnung). Verantwortlich ist die Stelle, die das System betreibt.

Von der Kennzeichnungspflicht ausgenommen sind rein interne Arbeitsergebnisse sowie Entwürfe, die vor der Weitergabe durch Beschäftigte substanziell redaktionell oder fachlich überarbeitet wurden und von diesen inhaltlich verantwortet werden.

Einsatz im Personalbereich

KI-Systeme werden nicht für Entscheidungen über Bewerbung, Auswahl, Beförderung oder Beendigung von Beschäftigungsverhältnissen eingesetzt. Eine etwaige Einführung bedarf eines gesonderten Beschlusses der Geschäftsführung und einer vorherigen Prüfung der Anforderungen an Hochrisiko-Systeme.

Eigene Entwicklung und Weitergabe

Das Unternehmen setzt KI-Systeme ausschließlich als Betreiber („Deployer“) ein und vertreibt keine KI-Systeme unter eigenem Namen. Sollte sich dies ändern, ist die regulatorische Einstufung als Anbieter vor der ersten Weitergabe zwingend vorzunehmen.

Beteiligung des Betriebsrats

Die Einführung und wesentliche Änderung von KI-Systemen, die objektiv geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG), erfolgt in Abstimmung mit dem Betriebsrat. Maßgeblich ist die technische Eignung zur Überwachung, unabhängig von einer tatsächlichen Überwachungsabsicht.

Nutzungsdaten und Protokolle einzelner Beschäftigter werden nicht zur Verhaltens- oder Leistungskontrolle erhoben, gespeichert oder ausgewertet. Auswertungen erfolgen ausschließlich in anonymisierter oder aggregierter Form.

[Zu ergänzen: Verweis auf die bestehende bzw. in Vorbereitung befindliche Betriebsvereinbarung. Bis zu deren Abschluss gelten die Bestimmungen dieser Richtlinie als vorläufige Regelung.]

Meldung von Fehlern

Auffällige, fehlerhafte oder sicherheitskritische Ergebnisse von KI-Systemen sind unverzüglich der zuständigen Stelle zu melden. Beschäftigten, die im guten Glauben Unregelmäßigkeiten oder Fehler melden, entstehen hieraus keinerlei Nachteile.

Bei Verdacht auf einen systematischen Fehler oder schwerwiegende Fehlfunktionen wird der betroffene KI-gestützte Ablauf unverzüglich angehalten oder unter vollständige manuelle Prüfpflicht gestellt, bis die Ursache behoben ist.

[Zu ergänzen: Meldeweg mit Name und Erreichbarkeit sowie Kriterien, ab wann Geschäftsführung, Datenschutz und IT-Sicherheit zwingend einzubinden sind.]

Kompetenz und Schulung

Gemäß Art. 4 der KI-Verordnung stellt das Unternehmen nach besten Kräften sicher, dass alle Beschäftigten, die KI-Systeme nutzen oder überwachen, über ein ihrer Rolle und dem Einsatzrisiko angemessenes Maß an KI-Kompetenz verfügen.

Wer ein freigegebenes Werkzeug erstmals nutzt, erhält zuvor eine fundierte Einweisung. Personen, die Ergebnisse fachlich verantworten, erhalten vertiefende Unterweisungen zur Prüfung von Ausgaben, Datenschutz und zu typischen Fehlerquellen der eingesetzten Modelle.

Die ergriffenen Schulungs- und Sensibilisierungsmaßnahmen werden mit Datum, Inhalt und Teilnehmerkreis nachvollziehbar dokumentiert.

Geltung und Überprüfung

Diese Richtlinie tritt mit ihrer Bekanntgabe im Unternehmen in Kraft. Sie wird mindestens jährlich sowie anlassbezogen bei Freigabe neuer Werkzeuge oder wesentlichen regulatorischen Änderungen überprüft und fortgeschrieben.

[Zu ergänzen: Fassung, Datum des Inkrafttretens, beschließendes Organ und Datum der nächsten turnusmäßigen Überprüfung.]