Viele Unternehmen stellen ihren Mitarbeitenden heute generative KI-Anwendungen (GenAI) zur Verfügung – etwa für Texte, Recherchen oder Auswertungen. Was dabei häufig übersehen wird: Mit dieser Freigabe wird das Unternehmen rechtlich zum Betreiber („Deployer“) im Sinne der EU-KI-Verordnung (kurz: KI-VO). Diese Rolle ist mit konkreten Pflichten verbunden und macht eine betriebliche KI-Nutzungsrichtlinie zwingend erforderlich.
Betreiber im Sinne der KI-VO – mehr als nur Technik
Nach Art. 3 KI-VO ist Betreiber, wer ein KI-System im eigenen Verantwortungsbereich einsetzt oder dessen Einsatz organisiert. Entscheidend ist nicht, wer das KI-System entwickelt hat, sondern wer über Zweck und Rahmen der Nutzung entscheidet. Gibt ein Unternehmen GenAI-Tools offiziell für Mitarbeitende frei, steuert es den Einsatz – und übernimmt damit Verantwortung.
Das bedeutet: Das Unternehmen muss sicherstellen, dass die Nutzung der KI rechtskonform, transparent und kontrolliert erfolgt. Diese Verantwortung kann nicht auf einzelne Mitarbeitende abgewälzt werden.
Warum eine KI-Nutzungsrichtlinie rechtlich notwendig ist
Die KI-VO verpflichtet Betreiber unter anderem zu:
- angemessener menschlicher Aufsicht (Art. 14 KI-VO),
- Transparenz gegenüber Nutzenden (Art. 50 KI-VO),
- Sicherstellung ausreichender KI-Kompetenz der Mitarbeitenden (Art. 4 KI-VO).
Ohne klare interne Regeln lassen sich diese Pflichten kaum erfüllen. Eine betriebliche KI-Nutzungsrichtlinie schafft hier den notwendigen Rahmen. Sie legt verbindlich fest,
- für welche Zwecke GenAI eingesetzt werden darf,
- welche Einsatzbereiche ausgeschlossen sind (z. B. automatisierte Personalentscheidungen),
- welche Daten eingegeben werden dürfen – insbesondere im Hinblick auf personenbezogene Daten und Geschäftsgeheimnisse,
- welche Prüf- und Freigabeprozesse gelten,
- und wer verantwortlich ist.
Damit unterstützt die Richtlinie zugleich die Rechenschaftspflicht, die sowohl aus der KI-VO als auch aus Art. 5 Abs. 2 DSGVO bekannt ist.
Schutz für Unternehmen und Mitarbeitende
Eine KI-Richtlinie ist kein Ausdruck von Misstrauen, sondern ein Schutzinstrument. Sie reduziert Haftungs- und Reputationsrisiken und gibt Mitarbeitenden Sicherheit im Umgang mit neuen Technologien. Wer klare Leitplanken kennt, kann KI effizienter und verantwortungsvoller nutzen.
Zugleich bildet die Richtlinie eine wichtige Grundlage für weitere Pflichten, etwa Dokumentation, interne Kontrollen und Schulungsnachweise – alles zentrale Bausteine einer funktionierenden KI-Governance.
Fazit
Die Freigabe von GenAI-Anwendungen macht Unternehmen automatisch zum Betreiber im Sinne der KI-VO. Eine betriebliche KI-Nutzungsrichtlinie ist daher keine freiwillige Maßnahme, sondern rechtlich geboten.
Richtig gestaltet, ist sie kein Innovationshemmnis, sondern ein Enabler:
Sie schafft Klarheit, Vertrauen und die Basis für einen souveränen, rechtssicheren und zukunftsfähigen KI-Einsatz im Unternehmen.
Abschließende Frage: Haben Sie schon eine solche Richtlinie veröffentlicht? Oder wünschen Sie Unterstützung bei der Ausarbeitung, um die Anforderungen des AI Act und der DSGVO zu erfüllen? Gindat bietet auch hierzu umfassenden Support.