Die Legalitätspflicht duldet keine blinden Flecken
Die Grauzone ist kein reines IT-Thema, sondern eine Frage der Organisationspflicht an der Spitze. Wer eine GmbH führt, schuldet nach § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmanns; dazu zählt, den Betrieb so aufzustellen, dass Rechtsverstöße unterbleiben. Fehlt die Aufsicht, kommt § 130 OWiG hinzu. Der Hinweis, von der Nutzung nichts gewusst zu haben, wirkt in Aufsichts- und Bußgeldverfahren regelmäßig belastend statt entlastend.
Datenschutzrechtlich ist die Bewertung klar: Wandern Bewerbungsunterlagen, Kundenlisten oder Gesundheitsdaten in ein frei zugängliches Modell, fehlt es an Rechtsgrundlage, Zweckbindung und Datenminimierung, häufig auch an einem Auftragsverarbeitungsvertrag. Der Bußgeldrahmen der DSGVO reicht bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Parallel droht ein Verlust, den keine Behörde verhängen muss: Geschäftsgeheimnisse sind nach dem Geschäftsgeheimnisgesetz nur geschützt, solange sie durch angemessene Maßnahmen gesichert werden. Landen Kalkulationen, Rezepturen oder Konstruktionsdaten in einem öffentlichen Dienst, kann dieser Schutzstatus entfallen - mit Folgen für jeden späteren Rechtsstreit gegen Nachahmer.
Hinzu kommt die europäische KI-Verordnung. Die Anforderung, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen, gilt bereits seit Februar 2025. Die Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte greifen ab dem 2. August 2026; der sogenannte Digital Omnibus hat lediglich die Anforderungen an Hochrisiko-Systeme auf Dezember 2027 verschoben. Beide Pflichten setzen voraus, dass im Unternehmen bekannt ist, wo KI überhaupt zum Einsatz kommt - ein Nachweis, der bei verdeckter Nutzung nicht zu führen ist.
Der eigenständige Bußgeldrahmen der Verordnung reicht je nach Verstoß bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Wo ein Betriebsrat besteht, kommt eine weitere Ebene hinzu: Werkzeuge, die zur Verhaltens- oder Leistungskontrolle geeignet sind, unterliegen nach § 87 Absatz 1 Nummer 6 BetrVG der Mitbestimmung. Eine unabgestimmte Einführung ist daher nicht nur ein Datenschutzthema, sondern kann die Nutzung im Nachhinein angreifbar machen.
Das dritte Risiko ist fachlicher Natur. Erfundene Fundstellen, falsch berechnete Fristen und veraltete Rechtsstände führen in Personal-, Finanz- und Vertragsfragen zu Entscheidungen, deren Korrektur ein Vielfaches der eingesparten Arbeitszeit kostet.
So bekommen Unternehmen die unregulierte KI-Nutzung in den Griff. Bildquelle: Depositphotos.com
Verbote verlagern das Risiko, sie beseitigen es nicht
Die naheliegende Reaktion, ein pauschales Nutzungsverbot, scheitert in der betrieblichen Praxis regelmäßig. Ein solches Verbot verschiebt die Nutzung auf private Endgeräte und entzieht sie damit endgültig jeder Beobachtung. Wirksamer sind Leitplanken: freigegebene Werkzeuge, verbindlich definierte Datenklassen und ein Prüfweg, der neue Anwendungsfälle in Tagen statt in Quartalen bewertet. Am Anfang steht dabei eine nüchterne Bestandsaufnahme. Welche Aufgaben werden bereits mit KI erledigt, in welchen Abteilungen, mit welchen Daten? Als Schuldzuweisung angelegt, liefert eine solche Erhebung keine belastbaren Antworten; als Grundlage für ein besseres Angebot kommuniziert, zeigt sie die Stellen mit der größten Reibung im Tagesgeschäft.
Ein häufig unterschätzter Risikofaktor in mittelständischen Betrieben ist das Fehlen klarer Freigabe- und Prüfstrukturen für moderne Werkzeuge. Wer den Übergang von inoffiziellen Wegen zu kontrollierten Abläufen schaffen möchte, findet im digitalen KI-Guide von Haufe eine praktische Unterstützung, um KI-Einsatzszenarien hinsichtlich Datenschutz, Regulierung und fachlicher Verantwortung systematisch zu bewerten.
Der Ertrag liegt in der Rückgewinnung der Kontrolle über Datenflüsse. Für die Geschäftsführung wird nachvollziehbar, welche Anwendungen erlaubt, welche prüfpflichtig und welche ausgeschlossen sind - und diese Einordnung lässt sich im Ernstfall belegen.
Vier Bausteine, die im Alltag tragen
- Freigegebene Werkzeuge. Ein offizielles Angebot muss mindestens so schnell verfügbar sein wie der private Weg. Geschäftskundentarife mit Auftragsverarbeitungsvertrag, europäischem Hosting und vertraglich ausgeschlossener Trainingsnutzung entziehen dem Ausweichen die Grundlage.
- Definierte Datenklassen. Statt allgemeiner Appelle braucht es eine Aufstellung, die konkret benennt, was eingegeben werden darf, etwa öffentliche Produkttexte oder anonymisierte Fallbeispiele, und was nicht: Personalakten, Gehaltsdaten, Mandanten- und Patienteninformationen, ungeschwärzte Verträge.
- Menschliche Letztkontrolle. Für jeden Einsatzbereich ist festzulegen, wer Ergebnisse fachlich prüft, bevor sie in Angebote, Bescheide oder Kundenkommunikation einfließen. In Personalauswahl, Bonitätsbewertung und Vertragsgestaltung ist diese Entscheidung nicht delegierbar.
- Nachweisbare Qualifizierung. Rollenbezogene Kurzschulungen mit dokumentierter Teilnahme bedienen nicht nur die Kompetenzanforderung der KI-Verordnung. Zugleich liefern sie das Material, mit dem sich eine erfüllte Aufsichtspflicht belegen lässt.
Steuerung schlägt Blockade
Ein Verbot kostet Wettbewerbsfähigkeit, ungesteuerte Nutzung kostet im Schadensfall deutlich mehr. Wer Einsatzszenarien früh nach Risiko sortiert, Zuständigkeiten benennt und Entscheidungen dokumentiert, überführt eine diffuse Haftungslage in ein kalkulierbares Restrisiko. Sicherer wird die Technologie dadurch nicht, aber steuerbar - und erst das macht ihren Einsatz in der Breite vertretbar.
