Wissen · Stand 29.10.2026

    KI im Betrieb: Regeln für Mitarbeitende

    Ohne klare Regeln nutzen Beschäftigte KI-Werkzeuge eigenmächtig und unkontrolliert. Die Datenschutzkonferenz hält das in vielen Unternehmen für Realität und warnt vor Datenschutzverstößen. Hier steht, was eine Hausregel enthalten sollte und wie Sie sie aufbauen.

    Stand 29.10.2026. Zusammenfassung der Orientierungshilfe der Datenschutzkonferenz (Version 1.0 vom 06.05.2024) und der Hinweise der Bundesnetzagentur, keine Rechtsberatung. Wortlaute sind Paraphrasen; prüfen Sie, ob es eine neuere Fassung gibt.

    Warum

    Eine Regel schützt den Betrieb und die Mitarbeitenden

    Nach der Datenschutzkonferenz sollten Betriebe klare interne Weisungen erteilen und dokumentieren, ob, unter welchen Voraussetzungen und zu welchen Zwecken welche KI-Anwendungen eingesetzt werden dürfen. Die KI-Verordnung verlangt nach Art. 4 Maßnahmen, die die KI-Kompetenz des Personals unterstützen. Ein bestimmtes Niveau für einzelne Personen schreibt sie nicht vor. Eine Hausregel ist der naheliegende Anfang für beides.

    Was die Regel klären sollte

    Sieben Fragen

    • Welche Werkzeuge sind erlaubt? Stellen Sie betriebliche Accounts und Geräte bereit. Nach der Datenschutzkonferenz sollen Beschäftigte nicht mit privaten Accounts und Geräten arbeiten müssen, weil dabei Profile der Einzelnen entstehen können. Die Accounts sollen nicht die Namen einzelner Beschäftigter enthalten, als E-Mail-Adresse bietet sich eine Funktionsadresse des Betriebs an.
    • Wofür dürfen sie genutzt werden, wofür nicht? Nennen Sie Beispiele für zugelassene und für untersagte Einsätze. Die Datenschutzkonferenz empfiehlt solche Beispiele ausdrücklich, weil sie die Regel verständlich machen.
    • Welche Daten gehören nicht hinein? Personenbezogene Daten und vertrauliche Betriebsinformationen nur, wenn das Werkzeug dafür freigegeben ist. Namen und Anschriften zu entfernen reicht nach der Datenschutzkonferenz meist nicht, weil sich der Personenbezug aus dem Zusammenhang ergeben kann. Besondere Vorsicht gilt bei sensiblen Daten wie Gesundheitsdaten.
    • Wer prüft die Ergebnisse? Ergebnisse einer KI müssen von Menschen auf Richtigkeit geprüft werden. Die Anbieter selbst weisen darauf hin, dass man sich nicht auf die Antworten verlassen soll.
    • Wer entscheidet? Entscheidungen mit Rechtswirkung für Personen, etwa bei Bewerbungen, dürfen nicht allein der KI überlassen werden (Art. 22 DS-GVO). Eine nur formale Beteiligung eines Menschen genügt laut Datenschutzkonferenz nicht.
    • Wer ist Ansprechperson? Legen Sie eine Verantwortliche oder einen Verantwortlichen fest, bei dem Fragen und Fehler gemeldet werden.
    • Wie werden Mitarbeitende unterwiesen? Die Datenschutzkonferenz empfiehlt Schulungen, Leitfäden und Gespräche. Die Bundesnetzagentur verlangt nach Art. 4 KI-Verordnung Maßnahmen zur KI-Kompetenz des Personals, aber keine Zertifikate und keinen KI-Beauftragten. Halten Sie fest, was Sie getan haben.

    Bei einer Dienstanweisung oder Betriebsvereinbarung kann der Betriebsrat mitzubestimmen haben. Die Datenschutzkonferenz empfiehlt, Datenschutzbeauftragte und Beschäftigtenvertretung bei der Einführung von KI-Anwendungen einzubinden. Ob das bei Ihnen ein Mitbestimmungstatbestand ist, klären Sie im Einzelfall.

    Gliederung als Anregung

    Eine Hausregel auf einer Seite

    Das ist unsere Empfehlung, keine Rechtsvorlage. Eine gute Hausregel passt auf eine bis zwei Seiten und ist ohne Juristendeutsch verständlich.

    • Zweck und Geltung: für wen die Regel gilt und warum es sie gibt.
    • Erlaubte Werkzeuge: Liste mit Namen und dem Zweck, den der Betrieb freigegeben hat.
    • Daten in drei Gruppen: erlaubt, nur nach Rücksprache, verboten. Mit je zwei Beispielen aus Ihrem Alltag.
    • Prüfpflicht: Ergebnisse werden vor der Weitergabe geprüft, bei Texten an Kunden zusätzlich gegengelesen.
    • Fehler und Zweifel: an wen man sich wendet, und dass Melden keine Folgen hat.
    • Stand und Überprüfung: Datum, nächste Überprüfung, wer die Regel pflegt.

    Was wir nicht beurteilen

    Offene Punkte für Jurist oder Datenschutzbeauftragte

    • Ob eine Dienstanweisung oder eine Betriebsvereinbarung für Ihren Betrieb nötig und rechtlich wirksam ist.
    • Ob die Einführung einer KI-Anwendung bei Ihnen einen Mitbestimmungstatbestand erfüllt.
    • Ob ein bestimmtes Werkzeug für bestimmte Daten zulässig ist.

    Quellen

    Mehr: AI-Act-Kurzcheck · Datenschutz und KI im Betrieb · Prozessanalyse erklärt

    Der erste Schritt

    Offene Fragen? Sprechen wir 15 Minuten.

    Kostenlos und ohne Verkaufsdruck. Wir hören zu und sagen Ihnen ehrlich, ob sich ein Termin für Sie lohnt.

    Erstgespräch vereinbaren