KI-Richtlinie im Unternehmen 2026: ChatGPT, Betriebsrat und EU-KI-Verordnung rechtssicher regeln

Eine KI-Richtlinie im Unternehmen ist für Arbeitgeber 2026 kein Randthema mehr. Viele Beschäftigte nutzen ChatGPT, Copilot oder andere KI-Tools bereits im Alltag. Ohne klare Regeln drohen Datenschutzprobleme, Unsicherheit bei vertraulichen Daten und Konflikte mit dem Betriebsrat. Wer den KI-Einsatz nicht aktiv steuert, überlässt ein relevantes Compliance-Thema dem Zufall.

Transkript zum Video aufklappen

Hinweis: Das folgende Transkript wurde redaktionell geglättet und sprachlich überarbeitet, damit die Inhalte leichter lesbar sind.

Ausgangslage: KI-Nutzung läuft oft längst ohne klare Regeln

Stellen Sie sich folgende Situation vor: Ein Mitarbeiter nutzt seit Monaten täglich ChatGPT, um Angebote für Kunden zu erstellen. Dabei gibt er interne Preislisten, Kundendaten und vertragliche Konditionen in das System ein. Kein Vorgesetzter weiß davon, eine klare Regelung fehlt, der Betriebsrat wurde nicht eingebunden und eine KI-Richtlinie gibt es nicht.

Genau das ist in vielen Unternehmen bereits Realität. Deshalb stellt sich für Arbeitgeber, HR-Verantwortliche und Betriebsräte die Frage, wie der KI-Einsatz im Unternehmen rechtssicher organisiert werden muss.

Was ab 2025 und 2026 rechtlich gilt

Die EU-KI-Verordnung ist bereits am 1. August 2024 in Kraft getreten. Sie gilt jedoch nicht vollständig auf einmal, sondern stufenweise. Seit dem 2. Februar 2025 gelten bereits die Verbote bestimmter unzulässiger KI-Praktiken nach Artikel 5 sowie die Pflicht zur KI-Kompetenz nach Artikel 4.

Grundsätzlich gilt die Verordnung ab dem 2. August 2026. Für Unternehmen ist deshalb wichtig, die einzelnen Anwendungsstufen zu kennen und nicht erst kurz vor dem Stichtag zu reagieren.

Kein eigenes KI-Arbeitsgesetz – aber klare arbeitsrechtliche Regeln

In Deutschland gibt es bislang kein spezielles KI-Arbeitsgesetz. Maßgeblich bleiben deshalb das Betriebsverfassungsgesetz, die DSGVO, das Bundesdatenschutzgesetz, das Allgemeine Gleichbehandlungsgesetz und die Gewerbeordnung. Die KI-Verordnung kommt nicht an die Stelle dieser Regelungen, sondern ergänzt sie.

Gerade deshalb ist der Einsatz von KI im Unternehmen kein bloß technisches Thema. Es geht zugleich um Datenschutz, Mitbestimmung, Arbeitsorganisation und Haftungsrisiken.

Private KI-Nutzung durch Beschäftigte

Besonders häufig ist die private oder informelle Nutzung von KI-Tools durch Beschäftigte. Mitarbeitende verwenden etwa ChatGPT, Perplexity oder andere Systeme über eigene Accounts, ohne dass der Arbeitgeber dies technisch verwaltet oder ausdrücklich freigegeben hat.

Arbeitsrechtlich ist dabei zuerst das Weisungsrecht des Arbeitgebers wichtig. Nach § 106 GewO kann der Arbeitgeber festlegen, welche Arbeitsmittel erlaubt sind und welche nicht. Er kann den Einsatz bestimmter KI-Tools daher untersagen oder auf freigegebene Systeme beschränken.

Zugleich bleibt die Arbeitsleistung grundsätzlich persönlich geschuldet. KI darf daher als Hilfsmittel genutzt werden, wenn Beschäftigte Ergebnisse prüfen, einordnen und verantworten. Problematisch wird es, wenn Arbeit faktisch vollständig an ein KI-System ausgelagert und das Ergebnis ungeprüft als eigene Leistung ausgegeben wird.

Warum Datenschutz hier das größte Praxisrisiko ist

Besonders kritisch ist die Eingabe vertraulicher Daten in externe KI-Systeme. Dazu gehören etwa Kundendaten, Personaldaten, Vertragsdetails, interne Preislisten oder strategische Informationen. Werden solche Daten unkontrolliert in frei zugängliche Systeme eingegeben, drohen Datenschutzverstöße und Verletzungen von Geheimhaltungspflichten.

Genau deshalb brauchen Unternehmen klare Regeln. Schon ohne Betriebsrat ist eine schriftliche KI-Richtlinie meist der erste sinnvolle Schritt.

Wann der Betriebsrat bei KI mitbestimmen muss

Bei privater Nutzung über private Accounts ohne Zugriffsmöglichkeit des Arbeitgebers greift die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG regelmäßig nicht. Denn dann fehlt das objektive Überwachungspotenzial. So hat es das Arbeitsgericht Hamburg für private ChatGPT-Accounts entschieden.

Anders ist es, wenn das Unternehmen selbst KI-Systeme einführt, Firmenlizenzen verwaltet oder technische Protokolle und Nutzungsdaten einsehen kann. Dann besteht regelmäßig ein objektives Überwachungspotenzial, sodass Mitbestimmung zu prüfen ist.

Für Arbeitgeber ist das ein zentraler Punkt: Ein KI-System darf nicht einfach ausgerollt und erst später mit dem Betriebsrat besprochen werden. Die Mitbestimmung muss vor der Einführung geprüft und gegebenenfalls umgesetzt werden.

Welche KI-Systeme besonders kritisch sind

Die KI-Verordnung arbeitet mit verschiedenen Risikoklassen. Verbotene KI-Systeme nach Artikel 5 dürfen nicht eingesetzt werden. Im Arbeitskontext ist besonders relevant, dass Emotionserkennung am Arbeitsplatz auf biometrischer Grundlage grundsätzlich verboten ist.

Daneben gibt es Hochrisiko-Systeme, etwa bei bestimmten Anwendungen im Beschäftigungsbereich. Außerdem gelten Transparenzpflichten, wenn Nutzer mit KI interagieren oder künstlich erzeugte Inhalte als solche kenntlich zu machen sind.

Was in eine KI-Richtlinie gehört

Eine gute KI-Richtlinie sollte mindestens festlegen, welche Tools erlaubt sind, welche verboten sind und welche Daten nicht in KI-Systeme eingegeben werden dürfen. Ebenso wichtig sind Regeln zu menschlicher Kontrolle, Freigaben, Zuständigkeiten, Schulungen und zum Umgang mit Unsicherheiten.

Sinnvoll ist außerdem eine klare Aussage dazu, dass KI-Ergebnisse nicht ungeprüft übernommen werden dürfen. Beschäftigte müssen wissen, dass KI unterstützen kann, die Verantwortung für die Arbeit aber beim Menschen bleibt.

Sieben praktische Schritte für Arbeitgeber

Erstens sollten Unternehmen sofort eine Bestandsaufnahme durchführen: Welche KI-Tools werden bereits genutzt, von wem, auf welcher Grundlage und mit welchem Risiko? Zweitens sollte eine schriftliche KI-Richtlinie erstellt werden – auch dann, wenn kein Betriebsrat besteht.

Drittens müssen Beschäftigte und Führungskräfte geschult werden. Die Pflicht zur KI-Kompetenz gilt bereits seit dem 2. Februar 2025. Viertens sollte der Betriebsrat bei zentral eingeführten Systemen frühzeitig eingebunden werden.

Fünftens ist bei mitbestimmungspflichtigen Systemen regelmäßig eine Betriebsvereinbarung sinnvoll oder erforderlich. Sechstens müssen Datenschutz und DSGVO-Compliance geprüft werden. Siebtens sollten verbotene KI-Systeme identifiziert und ausgeschlossen werden.

Drei Kernbotschaften

Erstens: Die KI-Verordnung ist kein Zukunftsthema mehr. Zentrale Pflichten gelten bereits heute, weitere wesentliche Vorgaben greifen ab dem 2. August 2026.

Zweitens: Private KI-Nutzung und zentral eingeführte Unternehmens-KI sind rechtlich nicht dasselbe. Genau diese Unterscheidung ist für Arbeitgeber und Betriebsräte entscheidend.

Drittens: Eine KI-Richtlinie und – wo erforderlich – eine Betriebsvereinbarung sind kein bürokratisches Hindernis, sondern ein wichtiger Baustein für Rechtssicherheit, Transparenz und einen kontrollierten KI-Einsatz im Unternehmen.

Praxis-Hinweis: Unternehmen sollten nicht auf spätere Stichtage warten, sondern jetzt mit Bestandsaufnahme, Richtlinie, Schulung und Beteiligung beginnen.

Was ist eine KI-Richtlinie im Unternehmen?

Eine KI-Richtlinie im Unternehmen ist eine verbindliche interne Regelung für den Einsatz von Systemen wie ChatGPT, Copilot oder DeepL im Arbeitsalltag. Sie legt rechtssicher fest, welche KI-Tools genutzt werden dürfen, welche Unternehmensdaten gesperrt sind und welche Prüfpflichten für KI-generierte Ergebnisse gelten.

Damit ist die KI-Richtlinie kein bloßes IT-Dokument, sondern ein zentraler Baustein der betrieblichen Organisation, der Compliance und des Arbeitsrechts. Arbeitgeber schaffen damit klare Erwartungen und Haftungsgrenzen für Führungskräfte, Beschäftigte und externe Dienstleister.

Gerade auf Arbeitgeberseite gehört das Thema fest in den größeren Kontext der Unternehmenssteuerung. Die passende Einordnung dazu bietet unsere Übersichtsseite zum Thema Arbeitsrecht für Arbeitgeber: Verträge, Abmahnung und Kündigung.

Warum Arbeitgeber jetzt handeln müssen

Die EU-KI-Verordnung (AI Act) ist längst keine Zukunftsmusik mehr. Nach Artikel 113 gelten zentrale Teile der Verordnung bereits seit dem 02.02.2025. Unternehmen dürfen daher nicht bis zum generellen Geltungsbeginn im August 2026 warten, sondern müssen ihre internen Regeln jetzt aufbauen.

Welche Pflichten schon heute gelten

Die Pflicht zur KI-Kompetenz (AI Literacy) nach Artikel 4 gilt bereits seit dem 02.02.2025. Arbeitgeber müssen sicherstellen, dass Beschäftigte und andere eingesetzte Personen wissen, wie KI-Systeme sachgerecht und verantwortungsvoll genutzt werden. Dazu gehören zwingend Kenntnisse zu Risiken, Grenzen und möglichen Schäden.

Ebenfalls seit Februar 2025 gelten die KI-Verbote nach Artikel 5. Bestimmte KI-Praktiken dürfen in der Europäischen Union ab sofort nicht mehr eingesetzt werden.

Welche KI-Systeme sofort problematisch sein können

Verbotene Praktiken im Arbeitskontext sind besonders sensibel und sanktionsbewehrt. Dazu gehört etwa die Emotionserkennung am Arbeitsplatz auf Basis biometrischer Daten. Unternehmen sollten deshalb nicht nur neue Tools prüfen, sondern auch bestehende Software und Anbieter kritisch hinterfragen.

Genau deshalb gehört das Thema KI in die allgemeine Compliance-Struktur des Unternehmens. Inhaltlich passt das eng zu unserer Themenseite zur rechtssicheren Compliance bei der Arbeitszeiterfassung, wo ähnliche Überwachungsfragen relevant sind.

Was ab dem 2. August 2026 zusätzlich wichtig wird

Ab dem 02.08.2026 greifen weitere zentrale Vorschriften, insbesondere weitreichende Transparenzpflichten. In bestimmten Fällen müssen Nutzer künftig klar erkennen können, dass sie mit einem KI-System interagieren oder künstlich erzeugte Inhalte sehen.

Für Unternehmen bedeutet das praktisch: Ohne klare interne Regeln wird der KI-Einsatz schnell unübersichtlich. Eine KI-Richtlinie ist deshalb die Grundlage für geordnete Prozesse, klare Verantwortlichkeiten und nachvollziehbare Entscheidungen bei Verstößen.

Private KI-Nutzung durch Beschäftigte: Wo liegt das Risiko?

Private KI-Nutzung am Arbeitsplatz liegt vor, wenn Beschäftigte Tools wie ChatGPT über eigene Accounts oder ohne explizite zentrale Unternehmensfreigabe verwenden. Das eigentliche rechtliche Problem ist dabei nicht die Nutzung selbst, sondern die fehlende vertragliche und technische Steuerung.

Warum ungeregelte Nutzung gefährlich ist

Fehlen klare Regeln, werden im Arbeitsalltag schnell Personaldaten, Vertragsentwürfe oder interne Kalkulationen in externe KI-Systeme eingegeben. Wer vertrauliche Informationen unkontrolliert hochlädt, riskiert massive Datenschutzverstöße und die Verletzung von Geheimhaltungspflichten. Eine KI-Richtlinie muss daher ausdrücklich festlegen, welche Daten niemals in externe Systeme eingegeben werden dürfen.

Welche Daten in KI tabu sein sollten

Typische Tabubereiche für offene KI-Systeme sind Personaldaten, Bewerbungsunterlagen, Gesundheitsdaten, Kundendaten, Vertragsinhalte, interne Preislisten und noch nicht veröffentlichte Unternehmenskennzahlen. Je sensibler die Daten, desto klarer muss das Verbot formuliert sein.

Um solche Pflichten rechtssicher durchzusetzen, müssen interne Vorgaben und Vertragsklauseln präzise ineinandergreifen. Mehr dazu lesen Sie in unserem Ratgeber, wie Sie als Arbeitgeber sichere Arbeitsverträge erstellen und wichtige Klauseln regeln.

Wann die Nutzung arbeitsrechtlich problematisch wird

Die Auslagerung der eigenen Arbeitsleistung an eine KI ist rechtlich kritisch, da Beschäftigte ihre Arbeitsleistung grundsätzlich persönlich schulden (§ 613 BGB). Wird das ungeprüfte KI-Ergebnis als eigene Leistung dargestellt, liegt je nach Einzelfall eine erhebliche Pflichtverletzung vor.

Auf Arbeitgeberseite ist dieses Fehlverhalten dann relevant für Abmahnungen oder Trennungen. Inhaltlich anschlussfähig ist dazu unsere Themenseite zur Klageabwehr, falls Sie nach einem solchen Vorfall eine Kündigungsschutzklage vom Arbeitnehmer erhalten.

Darf der Arbeitgeber ChatGPT im Unternehmen verbieten?

Ein Arbeitgeber darf den Einsatz bestimmter KI-Tools wie ChatGPT für dienstliche Zwecke aufgrund seines arbeitsrechtlichen Weisungsrechts (§ 106 GewO) regeln und auch vollständig verbieten. Der Arbeitgeber bestimmt allein, welche Arbeitsmittel im Unternehmen eingesetzt werden dürfen.

Ein Verbot ist besonders naheliegend, wenn Datenschutz, Vertraulichkeit, IT-Sicherheit oder Qualitätsanforderungen gefährdet sind. Ebenso kann der Arbeitgeber die Nutzung auf bestimmte freigegebene Unternehmensaccounts beschränken oder die Nutzung von kostenlosen Consumer-Versionen untersagen.

Verbot oder Freigabe mit Regeln?

Ein vollständiges KI-Verbot ist in der Praxis oft nicht die beste Lösung. Sinnvoller ist eine kontrollierte Freigabe mit klaren Vorgaben zu zugelassenen Tools, verbotenen Eingaben, Prüfpflichten und festen Ansprechpartnern im Unternehmen.

Entscheidend ist, dass die Regelung klar dokumentiert und im Unternehmen nachweisbar bekannt gemacht wird. Nur dann lässt sie sich im Arbeitsalltag und im Streitfall durchsetzen.

Wann der Betriebsrat bei KI mitbestimmen muss

Die Mitbestimmung des Betriebsrats bei KI-Systemen richtet sich fast immer nach § 87 Abs. 1 Nr. 6 BetrVG. Diese Vorschrift greift zwingend, wenn eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen.

Warum zentrale KI-Systeme besonders sensibel sind

Betriebliche KI-Systeme werden oft mit Unternehmenslizenzen (z. B. Copilot für Microsoft 365) eingeführt, zentral verwaltet und technisch protokolliert. Wer Nutzungsdaten, Eingaben oder Protokolle auswerten kann, schafft damit ein objektives Überwachungspotenzial.

Genau das erklärt, warum der Betriebsrat bei der Einführung solcher zentralen KI-Systeme zwingend einzubinden ist. Dies betrifft auch Vorgaben, die oft erst bei der Vermeidung von Formfehlern bei Kündigungen relevant werden, wenn Daten aus Überwachungssystemen als Beweis dienen sollen.

Wann private Accounts anders zu bewerten sind

Das Arbeitsgericht Hamburg hat mit Beschluss vom 16.01.2024 (Az. 24 BVGa 1/24) entschieden, dass bei der Nutzung privater ChatGPT-Accounts ohne Zugriffsmöglichkeit des Arbeitgebers kein Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 6 BetrVG besteht.

Diese Ausnahme ist aber sehr eng auszulegen. Sobald das Unternehmen Lizenzen bereitstellt, Regeln zentral verwaltet oder Nutzungsdaten auf Unternehmensgeräten einsehen kann, ist die Lage arbeitsrechtlich völlig neu zu bewerten.

Braucht es zusätzlich eine Betriebsvereinbarung?

Gibt es einen Betriebsrat und wird eine KI-Software zentral im Unternehmen eingeführt, reicht eine bloße Arbeitgeber-Richtlinie nicht aus. Dann ist regelmäßig zwingend eine rechtssichere Betriebsvereinbarung erforderlich.

Diese sollte den Anwendungsbereich, zulässige Zwecke, Verbote, Datenschutzvorgaben, Transparenz, Kontrollgrenzen, Schulungen und Verantwortlichkeiten regeln. Gerade dadurch entsteht für Arbeitgeber und Beschäftigte mehr Rechtssicherheit beim KI-Einsatz.

Was in eine KI-Richtlinie im Unternehmen gehört

Eine gute KI-Richtlinie beantwortet nicht nur die Frage, ob KI erlaubt ist, sondern regelt den praktischen Einsatz im Alltag detailgenau. Je konkreter sie formuliert ist, desto besser schützt sie das Unternehmen vor Haftungsrisiken.

Diese Inhalte sollten immer enthalten sein

Eine KI-Richtlinie muss mindestens festlegen, welche Tools erlaubt sind, welche Tools explizit verboten sind und welche Dateneingaben strikt ausgeschlossen bleiben. Ebenso wichtig sind Regeln zu Freigaben, menschlicher Kontrolle, Prüfpflichten und rechtssicherer Dokumentation.

Beschäftigte müssen außerdem wissen, an wen sie sich bei Unsicherheiten wenden können. Sinnvoll sind auch klare Vorgaben zu Schulungen, Verantwortlichkeiten und den arbeitsrechtlichen Konsequenzen bei Verstößen.

Welche Regelung oft vergessen wird

Der wichtigste Satz, der in KI-Richtlinien häufig fehlt, betrifft die menschliche Kontrolle: KI-generierte Ergebnisse dürfen niemals ungeprüft in den Arbeitsablauf oder zum Kunden übernommen werden. Beschäftigte müssen klar erkennen, dass KI nur unterstützt, aber die persönliche inhaltliche Verantwortung nicht ersetzt.

Checkliste für Arbeitgeber: Was jetzt sofort zu tun ist

Arbeitgeber sollten zuerst durch ein Audit erfassen, welche KI-Tools im Unternehmen (auch als "Schatten-IT") tatsächlich genutzt werden. Danach braucht es eine schriftliche KI-Richtlinie, dokumentierte Schulungen, eine datenschutzrechtliche Prüfung und eine frühzeitige Beteiligung des Betriebsrats bei zentral eingeführten Systemen.

Wer diese Schritte proaktiv aufsetzt, reduziert rechtliche Risiken, vermeidet Bußgelder und schafft zugleich mehr Akzeptanz im Unternehmen. Die grundsätzliche arbeitsrechtliche Einordnung solcher strategischen Arbeitgeberthemen finden Sie bei Bedarf auf unserer Brückenseite zum Fachanwalt für Arbeitsrecht.