"Mit klaren Regeln wird KI in Deutschland eine Erfolgsgeschichte"

Die Haftungsfrage bei KI-Fehlern, die Einbindung von Betriebsräten und die Einstufung von HR-Anwendungen als Hochrisiko-Technologie: Der Einsatz von Künstlicher Intelligenz wirft für Unternehmen zahlreiche rechtliche Fragen auf. Prof. Dr. Björn Gaul zeigt im Gespräch, warum Schulungen und Sensibilisierung der erste Schritt sind, wie ein interner "Digital Ethics Act" Vertrauen schafft und weshalb Unternehmen ihre Erfahrungen aus der IT-Einführung jetzt nutzen sollten.

Herr Professor Gaul, das Thema KI treibt Unternehmen um. Viele haben Bedenken wegen der rechtlichen Rahmenbedingungen und fürchten den Verlust von Geschäftsgeheimnissen. Wie unterstützt der EU-AI-Act das Einführen und Nutzen von KI in Unternehmen?

Prof. Dr. Björn Gaul: Der EU-AI-Act bringt eine wichtige Harmonisierung, die vor allem für grenzüberschreitend arbeitende Unternehmen von Vorteil ist. Unternehmen wissen nun besser, welche Regeln in anderen Ländern gelten. Allerdings entsteht durch den Act auch eine erhebliche Komplexität, ähnlich wie bei der DSGVO (Datenschutzgrundverordnung). Das betrifft nicht nur Anbieter, die sich um Zertifizierungen kümmern müssen, sondern auch Betreiber, die besondere Schranken bei der Nutzung von KI in der Praxis umsetzen. Die Herausforderung liegt darin, diese komplexen Anforderungen mit den betrieblichen Prozessen in Einklang zu bringen.

Ein besonderes Thema gerade im HR-Bereich ist die Einstufung von KI als Hochrisiko-Technologie. Was bedeutet das für Unternehmen?

Der Einsatz von KI im HR-Bereich fällt unter die Kategorie Hochrisiko-KI, was strenge Vorgaben der KI-Verordnung mit sich bringt. Ursprünglich sollte dies ab August 2026 gelten, aber derzeit wird in Brüssel über Anpassungen diskutiert, die die Pflicht zur Umsetzung auf 2028 oder später verschieben könnte. Das wäre vor allem für kleine und mittlere Unternehmen eine Erleichterung. Dennoch sollten sich Unternehmen frühzeitig auf diese Vorgaben einstellen, da die Harmonisierung und die klare Regelung langfristig Sicherheit schaffen. Ich gehe insoweit auch nur von einer Verschiebung aus. Wir dürfen nicht erwarten, dass die Schranken einer Nutzung von KI für Unternehmen beseitigt werden. Sie sind vor allem mit Transparenz, Überwachung und Dokumentation verbunden. Damit bleibt die Herausforderung bestehen, diese Regeln in der Praxis umzusetzen und gleichzeitig den Nutzen von KI zu realisieren.

KI-Schulung für Mitarbeitende

Viele Unternehmen fragen sich, wie sie KI nutzen können, ohne große rechtliche Risiken einzugehen. Wie sollten sie vorgehen, ohne riesige Rechtsabteilungen aufzubauen?

Der Einstieg beginnt mit Sensibilisierung und Schulung. Mitarbeitende müssen die Grundlagen von KI, mögliche Risiken und die Grenzen ihrer Nutzung verstehen. Datenschutz, Geschäftsgeheimnisse und Diskriminierung sind dabei die zentralen Themen. Unternehmen sollten Policies entwickeln, die den Umgang mit KI und den Daten regeln. Diese sollten gemeinsam mit den Arbeitnehmervertretungen erarbeitet werden, um Akzeptanz zu schaffen. Technische Lösungen wie APIs oder Enterprise-Lösungen können helfen, die Nutzung von KI sicher und effizient zu gestalten. Wichtig ist aber, dass Unternehmen nicht nur technische Maßnahmen ergreifen, sondern auch organisatorische Rahmenbedingungen schaffen, um den Mitarbeitenden Sicherheit im Umgang mit KI zu geben.

Bevor KI vollumfänglich zum Einsatz kommt, sollten Mitarbeitende Gelegenheit bekommen, die technischen Möglichkeiten kennenzulernen. Wie schafft man sichere Experimentierräume für KI?

Experimentierräume sind eine hervorragende Möglichkeit, Mitarbeitende mit KI vertraut zu machen. Dabei sind jedoch einige Punkte zu beachten. Zunächst müssen Mitarbeitende sensibilisiert und geschult werden, damit sie wissen, welche Risiken auch bei kurzzeitiger Nutzung von KI bestehen, wie KI sicher eingesetzt werden kann und dass KI nicht die eigene Arbeit ersetzt. Wir brauchen also menschliche Aufsicht und zusätzlich auch die Kontrolle der Ergebnisse.

Wichtig ist auch, dass jede Nutzung von Künstlicher Intelligenz Beteiligungsrechte des Betriebsrats auslöst. Unternehmen müssen die Arbeitnehmervertretungen frühzeitig einbinden, um eine rechtssichere Grundlage zu schaffen. Auch hier bieten technische Lösungen wie Enterprise-Lösungen eine gute Möglichkeit, Experimente in einem geschützten Raum durchzuführen. So können Mitarbeitende KI ausprobieren, ohne dass sensible Daten gefährdet werden. Die Einbindung der Arbeitnehmervertretungen und die Schaffung klarer Regeln sind entscheidend, um Akzeptanz und Sicherheit zu gewährleisten.

Verstöße gegen die KI-Verordnung

Der Umgang mit KI bringt rechtliche Risiken mit sich. Wer haftet bei Fehlern im Umgang mit KI?

Mitarbeitende genießen im Arbeitsrecht eine sogenannte Haftungsprivilegierung. Das bedeutet, dass sie grundsätzlich nur bei grober Fahrlässigkeit oder Vorsatz haftbar gemacht werden können. In den meisten Fällen ist die Haftung der Mitarbeitenden also stark eingeschränkt. Der Arbeitgeber hingegen haftet uneingeschränkt für Fehler, die im Zusammenhang mit der Nutzung von KI entstehen. Das gilt auch bei einfacher Fahrlässigkeit. Verstöße gegen die KI-Verordnung oder die DSGVO können außerdem zu erheblichen Bußgeldern führen – bis zu 7 Prozent des Jahresumsatzes bei der KI-Verordnung und ähnlich hohen Beträgen bei der DSGVO. Daher ist es entscheidend, frühzeitig Schranken zu setzen und diese konsequent umzusetzen.

Was sind die wichtigsten Punkte für eine Betriebsvereinbarung zu KI?

Eine Betriebsvereinbarung zu KI sollte gut durchdacht und umfassend sein. Zunächst muss geklärt werden, ob der Betriebsrat, der Gesamtbetriebsrat oder der Konzernbetriebsrat zuständig ist. Eine Rahmen-Betriebsvereinbarung ist sinnvoll, um den Beteiligungsprozess zu regeln. Sie sollte festlegen, wie neue KI-Anwendungen eingeführt werden, welche Informationen der Betriebsrat benötigt und in welchen Zeiträumen Entscheidungen getroffen werden. Ich empfehle, verschiedene Kategorien zu definieren: Updates ohne zusätzliche Datenverarbeitung, mittlere Risiken und die Einführung von Hochrisiko-KI, etwa bei der Verarbeitung von gesundheitsrelevanten Daten. Zudem sollten sowohl der Umgang mit leistungs- und verhaltensbezogenen Daten als auch Schulungen und Pilotprojekte in der Vereinbarung berücksichtigt werden. Pilotprojekte bieten die Möglichkeit, KI in einem begrenzten Rahmen zu testen und Erfahrungen zu sammeln, bevor sie unternehmensweit eingeführt wird.

Gründlichkeit vor Schnelligkeit …

Ja, aber wir dürfen dabei keine Zeit verlieren, da KI rasant auf den Markt drängt. Oft ist nicht einmal klar, ob eine Technologie bereits KI enthält – manchmal wird IT als KI verkauft, manchmal steckt KI drin, ohne dass es explizit gekennzeichnet ist. Mein Rat ist, aus den Erfahrungen mit IT zu lernen. KI ist letztlich eine Weiterentwicklung von IT. Wir haben bei IT bereits Datenschutzvorgaben beachtet und Maßnahmen gegen Diskriminierung ergriffen. Genau diese Prinzipien gelten auch für KI, nur sensibler, da KI Daten nicht nur verarbeitet, sondern auch weiterverarbeitet werden. Alles, was wir in der Vergangenheit mit IT umgesetzt haben, lässt sich auf KI übertragen – mit einem besonderen Fokus auf den eigenständigen Umgang mit Daten.

"Digital Ethics Act" stärkt das Vertrauen in KI

Ethische Fragen spielen bei KI eine große Rolle. Brauchen Unternehmen einen internen "Digital Ethics Act"?

Absolut. Ein interner "Digital Ethics Act" ist eine sinnvolle Ergänzung, um ethische Leitlinien für den Umgang mit KI festzulegen. Diese können entweder in einer Rahmen-Betriebsvereinbarung verankert oder in einem separaten Dokument festgehalten werden. Wichtige Themen sind Transparenz, Aufsicht, die Frage, in welchen Bereichen KI eingesetzt wird, und die Einhaltung ethischer Grenzen. Mitarbeitende sollten wissen, dass ihre Daten durch KI verarbeitet werden, und Führungskräfte sollten diese Regeln vorleben. Ein solcher "Digital Ethics Act" stärkt nicht nur das Vertrauen der Mitarbeitenden, sondern auch das der Kunden und Partner.

Ein Punkt, der besonders im Zusammenhang mit der Nutzung von KI im Kundenbereich immer wieder diskutiert wird, betrifft die Zustimmung zur Verarbeitung ihrer Daten. Müssen Kunden der KI-Datenverarbeitung zustimmen?

Das hängt vom Einzelfall ab. Die DSGVO, insbesondere Artikel 22, gibt klare Vorgaben für die automatisierte Verarbeitung von Daten. Je nach Anwendung und Art der Daten kann eine Einwilligung erforderlich sein. Wichtig ist, die Erforderlichkeit der Verarbeitung zu prüfen und sicherzustellen, dass die rechtlichen Vorgaben eingehalten werden.

Zum Abschluss: Wie sehen Sie die Zukunft von KI in deutschen Unternehmen?

KI ist keine Zukunftstechnologie mehr – sie wird bereits von fast allen Unternehmen genutzt. Es ist eine neue Technik, die sich durchsetzen wird, ähnlich wie es bei IT der Fall war. Unternehmen sollten die Erfahrungen, die sie mit IT gesammelt haben, auf KI übertragen. Angst vor der Technologie ist der falsche Ansatz. Mit klaren Regeln und einer transparenten Umsetzung kann KI positiv und gewinnbringend eingesetzt werden. Ich bin überzeugt, dass KI in Deutschland eine Erfolgsgeschichte wird.

Vielen Dank, Herr Professor Gaul, für das Gespräch!

Das Interview ist Teil des Schwerpunkts KI in DW 5/26 und entstand im Rahmen der Haufe KI-Online-Konferenz 2026.

Hier finden Sie alle Aufzeichnungen. 

Entdecken Sie die Vorteile der DW Die Wohnungswirtschaft jetzt im Mini-Abonnement.

Das könnte Sie auch interessieren:

Zehn Thesen zur KI

KI in der Wohnungswirtschaft: Nicht ob, sondern wie

Wie man die Belegschaft ins KI-Zeitalter führt