Generative KI ist im Arbeitsalltag angekommen. Mitarbeiter nutzen sie für E-Mails, Präsentationen oder Code – oft ohne Wissen des Arbeitgebers und mit nicht freigegebenen Tools („Shadow AI“). Neben IT-Sicherheitsrisiken wirft dies arbeitsrechtliche Fragen auf. Arbeitgeber müssen klare Rahmenbedingungen schaffen, um rechtliche und organisatorische Risiken zu minimieren.

Was ist Shadow KI?
Shadow KI bezeichnet die Nutzung nicht genehmigter KI-Tools durch Mitarbeiter, z. B. private Accounts oder öffentlich zugängliche Systeme. Die Gründe: Produktivitätsgewinne, einfache Bedienbarkeit und fehlende betriebliche Alternativen. Browserbasierte KI-Anwendungen ermöglichen den Zugriff auf leistungsstarke Modelle mit wenigen Klicks – ohne Rückverfolgbarkeit für den Arbeitgeber.

Rechtliche Risiken
Der Einsatz nicht freigegebener KI-Anwendungen berührt mehrere Rechtsgebiete:

Datenschutzrecht (DSGVO): Werden personenbezogene Daten in öffentliche KI-Systeme eingegeben, fehlt oft eine Rechtsgrundlage oder ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Kostenlose KI-Anwendungen bieten in der Regel deutlich verringerten Datenschutz, und die eingegebenen Daten werden häufig zu Trainingszwecken verwendet. Zudem betreiben viele Anbieter ihre Server in Drittstaaten, was die Datenübermittlung nur unter strengen Voraussetzungen (Art. 44 ff. DSGVO) zulässt. Bei Verstößen drohen Bußgelder nach Art. 83 DSGVO. Bestimmte Berufe unterliegen zudem strengeren Geheimhaltungspflichten, die besondere Vereinbarungen mit den Anbietern erfordern. Dies fehlt beim Einsatz öffentlicher KI-Systemen.

Schutz von Geschäftsgeheimnissen: Interne Daten wie Verträge oder Kundendaten können Geschäftsgeheimnisse darstellen (§ 2 Nr. 1 GeschGehG). Ohne klare Vorgaben riskieren Unternehmen den Verlust dieses Schutzes.

Urheberrecht: Die urheberrechtliche Schutzfähigkeit von KI-generierten Inhalten ist ungeklärt. Zudem können Eingaben urheberrechtlich geschützte Werke betreffen.

Haftungsrisiken: KI kann fehlerhafte Ergebnisse („Halluzinationen“) produzieren. Werden diese ungeprüft übernommen, drohen Fehlentscheidungen mit Haftungsfolgen.

Kennzeichnungspflicht für KI-Inhalte: Unabhängig vom eingesetzten KI-System gilt ab August 2026 die Pflicht zur Kennzeichnung von KI-Inhalten für Anbieter und Betreiber. Unternehmen müssen dann sicherstellen, dass KI-erstellte Texte, Bilder oder andere Inhalte als solche erkennbar sind. Dies betrifft insbesondere die externe Kommunikation, z. B. Marketingmaterialien oder Kundenkorrespondenz.

Pflichten der Mitarbeiter

Auch ohne explizite KI-Richtlinie dürfen Mitarbeiter zwar keine internen Daten in externe KI-Systeme eingeben, wenn daduch berechtigte Interessen des Arbeitgebers beeinträchtigt werden. Verstöße können abgemahnt oder gekündigt werden. Ohne Regelung

Empfohlene Maßnahmen für Arbeitgeber

  1. KI-Richtlinie: Klare Vorgaben zu zugelassenen Systemen, verbotenen Datenkategorien (z. B. personenbezogene Daten, Geschäftsgeheimnisse) und Kennzeichnungspflichten für KI-generierte Inhalte.
  2. Dokumentation: Nachweis des KI-Einsatzes bei sensiblen Tätigkeiten, um Haftungsrisiken zu minimieren.
  3. Schulungen: Vermittlung von KI-Kompetenz, insbesondere zu Datenschutz, Urheberrecht, Grenzen der Technologie und der bevorstehenden Kennzeichnungspflicht.
  4. Betriebsrat einbinden: Mitbestimmungspflichtig sind Regelungen zur Nutzung von KI-Tools (§ 87 Abs. 1 BetrVG), insbesondere bei Überwachungsfunktionen.
  5. Organisatorische Verantwortung: Bereitstellung genehmigter KI-Tools und regelmäßige Überprüfung der Compliance-Strukturen.

Fazit
Shadow KI ist kein reines IT-Problem, sondern eine organisatorische und rechtliche Herausforderung, aber auch Chance. Ein risikobasierter Ansatz mit klaren Regeln und praktikablen Lösungen ist erfolgversprechender als pauschale Verbote.

Mit der Welt teilen