Welche gesetzlichen Pflichten habe ich als Geschäftsführer bei der Einführung von KI?

Sobald eine KI personenbezogene Daten verarbeitet — zum Beispiel aus Kunden-E-Mails, Bewerbungsunterlagen oder Personalakten — greift die Datenschutz-Grundverordnung (DSGVO). Dies ist keine neue, sondern eine bekannte unternehmerische Aufgabe, die nun auf den Einsatz von KI übertragen wird.

Die Verantwortung für eine datenschutzkonforme Verarbeitung liegt grundsätzlich beim Unternehmen. Es muss sichergestellt werden, dass für die Nutzung der Daten eine gültige Rechtsgrundlage besteht, die Grundsätze der Datenminimierung und Zweckbindung eingehalten und die Betroffenenrechte gewahrt werden. Bei Systemen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen, kann eine Datenschutz-Folgenabschätzung (DSFA) erforderlich werden.

Die Einführung von KI-Systemen kann die Mitbestimmungsrechte des Betriebsrats berühren. So sieht § 87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes (BetrVG) ein Mitbestimmungsrecht vor, wenn technische Einrichtungen eingeführt werden, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.

Ein KI-Mitarbeiter, der eingehende E-Mails im Kundenservice analysiert, um sie dem richtigen Teammitglied zuzuweisen, könnte potenziell Leistungsdaten erfassen. Selbst wenn dies nicht das primäre Ziel ist, kann hier ein Mitbestimmungstatbestand berührt sein. Eine frühzeitige und transparente Einbindung des Betriebsrats ist daher nicht nur für die Klärung der rechtlichen Rahmenbedingungen, sondern auch für die Akzeptanz im Team ratsam.

Die Verantwortung für die Handlungen und Ergebnisse eines KI-Systems liegt nach gängiger Rechtsauffassung beim Unternehmen und damit bei der Geschäftsführung. Eine KI wird rechtlich in der Regel als Werkzeug eingestuft. Verursacht dieses Werkzeug einen Schaden — etwa durch eine falsche Bestellung, eine fehlerhafte Rechnung oder eine beleidigende E-Mail —, haftet grundsätzlich das Unternehmen.

Als Geschäftsführer obliegt Ihnen eine unternehmerische Organisationspflicht. Sie sollten dafür Sorge tragen, dass das KI-System sorgfältig ausgewählt, implementiert und überwacht wird. Dazu gehört auch, klare Prozesse für die menschliche Kontrolle zu etablieren, besonders bei kritischen Entscheidungen. Ein Versäumnis, solche Kontrollmechanismen einzurichten, könnte im Schadensfall als Organisationsverschulden gewertet werden.

Der AI Act der Europäischen Union ist das erste umfassende KI-Gesetz weltweit, dessen Regelungen schrittweise in Kraft treten. Er verfolgt einen risikobasierten Ansatz und teilt KI-Systeme in verschiedene Risikoklassen ein.

Die meisten KI-Anwendungen zur Prozessautomatisierung im Mittelstand — wie die automatisierte Rechnungsbearbeitung oder Datenextraktion — werden voraussichtlich in die Kategorie mit geringem oder minimalem Risiko fallen. Für diese Systeme sind vor allem Transparenzpflichten vorgesehen. Nutzer müssen erkennen können, dass sie mit einer KI interagieren. Systeme mit hohem Risiko, etwa im Bereich der Personaleinstellung oder Kreditwürdigkeitsprüfung, unterliegen hingegen strengen Auflagen.

Ein allgemeines KI-Tool oder eine Plattform überlässt die Einhaltung dieser gesetzlichen Pflichten vollständig Ihnen. Sie müssen selbst prüfen, wo Daten fließen, ob der Betriebsrat zustimmen muss und wie die Haftung geregelt ist.

Ein maßgeschneiderter KI-Mitarbeiter wird hingegen für einen konkreten, abgegrenzten Prozess in Ihrem Unternehmen entwickelt. Dabei werden diese Fragen von Beginn an berücksichtigt. Die Datenverarbeitung ist klar definiert, die Aufgaben sind exakt zugeschnitten und Mechanismen zur menschlichen Kontrolle sind fester Bestandteil des Systems. So wird der KI-Mitarbeiter zu einer Lösung, die rechtliche Rahmenbedingungen bereits in ihrer Konzeption abbildet, anstatt sie zu einem nachgelagerten Problem zu machen.