{"id":28455,"date":"2026-08-18T22:14:25","date_gmt":"2026-08-18T20:14:25","guid":{"rendered":"https:\/\/www.ulclegal.com\/?p=28455"},"modified":"2026-08-18T22:25:00","modified_gmt":"2026-08-18T20:25:00","slug":"chatgpt-im-unternehmen-regeln-mitarbeiter-ki-verordnung","status":"publish","type":"post","link":"https:\/\/www.ulclegal.com\/de\/chatgpt-im-unternehmen-regeln-mitarbeiter-ki-verordnung\/","title":{"rendered":"ChatGPT im Unternehmen: Was Mitarbeiter nicht eingeben d\u00fcrfen und wof\u00fcr der Arbeitgeber haftet"},"content":{"rendered":"\n

1. ZUSAMMENFASSUNG<\/h2>\n\n\n\n

Generative k\u00fcnstliche Intelligenz wurde in vielen Unternehmen bereits eingesetzt, bevor daf\u00fcr interne Regeln geschaffen wurden. Ein Mitarbeiter kann innerhalb weniger Sekunden einen Vertragsentwurf, eine Kundenliste, den Lebenslauf eines Bewerbers oder Gesch\u00e4ftsergebnisse in ein \u00f6ffentlich zug\u00e4ngliches Tool einf\u00fcgen und deren Verarbeitung anfordern. Ein Vorgang, der wie blo\u00dfes Kopieren erscheint, kann jedoch eine Verarbeitung personenbezogener Daten, die Offenlegung vertraulicher Informationen gegen\u00fcber einem externen Anbieter oder eine Gef\u00e4hrdung von Gesch\u00e4ftsgeheimnissen darstellen.<\/p>\n\n\n\n

Die Verordnung \u00fcber k\u00fcnstliche Intelligenz enth\u00e4lt kein allgemeines Verbot der Nutzung von Tools wie ChatGPT, Microsoft Copilot, Google Gemini oder Claude. Sie bringt Unternehmen jedoch neue Pflichten und bildet gemeinsam mit den bestehenden Vorschriften zum Datenschutz, Arbeitsrecht und Urheberrecht einen Rechtsrahmen, der nicht durch die einfache Anweisung \u201eKI vorsichtig verwenden\u201c ersetzt werden kann.<\/p>\n\n\n\n

Dieser Beitrag befasst sich insbesondere damit, (A) wann ein Unternehmen Betreiber eines KI-Systems ist, (B) welche Informationen Mitarbeiter nicht in nicht genehmigte Tools eingeben sollten, (C) wer f\u00fcr fehlerhafte KI-Ausgaben haftet, (D) unter welchen Voraussetzungen der Arbeitgeber die KI-Nutzung durch Mitarbeiter kontrollieren darf und (E) was eine interne KI-Richtlinie enthalten sollte.<\/p>\n\n\n\n

2. EINSCHL\u00c4GIGE RECHTSVORSCHRIFTEN<\/h2>\n\n\n\n

F\u00fcr den Einsatz generativer KI am Arbeitsplatz sind insbesondere folgende Vorschriften ma\u00dfgeblich:<\/p>\n\n\n\n

(A) die Verordnung (EU) 2024\/1689 des Europ\u00e4ischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften f\u00fcr k\u00fcnstliche Intelligenz (im Folgenden \u201eKI-Verordnung\u201c), in der durch die Verordnung (EU) 2026\/1744 des Europ\u00e4ischen Parlaments und des Rates ge\u00e4nderten Fassung (im Folgenden \u201eDigital-Omnibus-Verordnung zur KI\u201c), durch die bestimmte Vorschriften der KI-Verordnung vereinfacht und ge\u00e4ndert sowie die Anwendung eines Teils der Pflichten f\u00fcr Hochrisikosysteme verschoben wurde,<\/p>\n\n\n\n

(B) die Verordnung (EU) 2016\/679 des Europ\u00e4ischen Parlaments und des Rates (im Folgenden \u201eDSGVO\u201c),<\/p>\n\n\n\n

(C) das slowakische Gesetz Nr. 18\/2018 Slg. \u00fcber den Schutz personenbezogener Daten,<\/p>\n\n\n\n

(D) das slowakische Gesetz Nr. 311\/2001 Slg., Arbeitsgesetzbuch (im Folgenden \u201eArbeitsgesetzbuch\u201c),<\/p>\n\n\n\n

(E) das slowakische Gesetz Nr. 513\/1991 Slg., Handelsgesetzbuch (im Folgenden \u201eHandelsgesetzbuch\u201c), und<\/p>\n\n\n\n

(F) das slowakische Gesetz Nr. 185\/2015 Slg., Urheberrechtsgesetz (im Folgenden \u201eUrheberrechtsgesetz\u201c).<\/p>\n\n\n\n

Welche Regelungen im Einzelnen gelten, kann zudem von sektorspezifischen Vorschriften, gesetzlichen Verschwiegenheitspflichten oder vertraglichen Verpflichtungen des Unternehmens abh\u00e4ngen. Strengere Anforderungen k\u00f6nnen beispielsweise f\u00fcr Banken, Versicherungsunternehmen, Gesundheitsdienstleister, Rechtsanw\u00e4lte, Steuerberater oder Betreiber wesentlicher Dienste gelten.<\/p>\n\n\n\n

3. DAS UNTERNEHMEN ALS BETREIBER EINES KI-SYSTEMS<\/h2>\n\n\n\n

Die KI-Verordnung unterscheidet zwischen mehreren Kategorien von Akteuren. F\u00fcr ein gew\u00f6hnliches Unternehmen ist insbesondere der Begriff \u201eBetreiber eines KI-Systems\u201c von Bedeutung. Darunter versteht man eine nat\u00fcrliche oder juristische Person, Beh\u00f6rde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das System wird im Rahmen einer pers\u00f6nlichen, nicht beruflichen T\u00e4tigkeit genutzt.<\/p>\n\n\n\n

Ein Unternehmen muss ein KI-System somit weder selbst entwickeln noch verkaufen, damit die KI-Verordnung auf das Unternehmen Anwendung findet. Es gen\u00fcgt, dass es das System im Rahmen seiner unternehmerischen T\u00e4tigkeit oder als Arbeitgeber nutzt. Typische Beispiele sind der Einsatz von KI zur Erstellung gesch\u00e4ftlicher Korrespondenz, zur Zusammenfassung von Dokumenten, im Kundendienst, zur Vorauswahl von Bewerbern oder zur Bewertung der Arbeitsleistung.<\/p>\n\n\n\n

Nicht jede Nutzung von ChatGPT ist jedoch eine Hochrisikoanwendung im Sinne der KI-Verordnung. Entscheidend sind der vom Anbieter festgelegte Verwendungszweck des Systems und die konkrete Art seines Einsatzes. Die sprachliche \u00dcberarbeitung einer allgemeinen E-Mail hat ein anderes rechtliches Risikoprofil als ein System, das Lebensl\u00e4ufe einstuft, die K\u00fcndigung eines Mitarbeiters empfiehlt oder Aufgaben anhand des Verhaltens und pers\u00f6nlicher Eigenschaften von Arbeitnehmern verteilt.<\/p>\n\n\n\n

KI-KOMPETENZ<\/h3>\n\n\n\n

Der Digitale Omnibus zu KI ersetzte die urspr\u00fcngliche Fassung von Artikel 4 der KI-Verordnung. Anbieter und Betreiber von KI-Systemen m\u00fcssen Ma\u00dfnahmen treffen, um die Entwicklung von KI-Kompetenz bei ihren Mitarbeitern und anderen Personen zu f\u00f6rdern, die in ihrem Auftrag KI-Systeme betreiben oder verwenden. Dabei sind die technischen Kenntnisse, Erfahrungen, Ausbildung und Schulung der betreffenden Personen, der Kontext der Nutzung sowie die Personen zu ber\u00fccksichtigen, in Bezug auf die die KI-Systeme eingesetzt werden.<\/p>\n\n\n\n

Die neue Fassung stellt ausdr\u00fccklich klar, dass ein Unternehmen kein bestimmtes Niveau der KI-Kompetenz jedes Einzelnen gew\u00e4hrleisten muss. Die Pflicht l\u00e4sst sich dennoch nicht allein durch den Versand einer allgemeinen E-Mail erf\u00fcllen. Umfang und Inhalt von Schulungen und internen Regeln sollten dem jeweiligen Risiko entsprechen. Ein Mitarbeiter, der KI zur sprachlichen Korrektur eines anonymen Textes nutzt, ben\u00f6tigt eine andere Unterweisung als ein Personalverantwortlicher, der KI bei der Auswahl von Bewerbern einsetzt, oder ein Mitarbeiter, der Gesundheits- oder Finanzdaten verarbeitet.<\/p>\n\n\n\n

Als geeignete Ma\u00dfnahmen kommen insbesondere (A) eine interne Richtlinie, (B) regelm\u00e4\u00dfige Schulungen, (C) eine Liste genehmigter Tools und Zwecke, (D) Regeln zur \u00dcberpr\u00fcfung von Ausgaben und (E) ein einfaches Verfahren zur Meldung von Vorf\u00e4llen in Betracht.<\/p>\n\n\n\n

VERBOTENE PRAKTIKEN<\/h3>\n\n\n\n

Die KI-Verordnung verbietet bestimmte Praktiken unabh\u00e4ngig von der Gr\u00f6\u00dfe des Unternehmens. Im Arbeitsumfeld ist insbesondere das Verbot wichtig, KI zur Ableitung von Emotionen einer nat\u00fcrlichen Person am Arbeitsplatz einzusetzen, sofern die Nutzung nicht f\u00fcr medizinische oder sicherheitsbezogene Zwecke bestimmt ist. Auch manipulative Techniken oder Social Scoring k\u00f6nnen verboten sein, wenn die gesetzlichen Voraussetzungen erf\u00fcllt sind.<\/p>\n\n\n\n

Unternehmen sollten daher auch Funktionen von Tools pr\u00fcfen, die lediglich als Produktivit\u00e4tsl\u00f6sungen vermarktet werden. Eine Stimmanalyse w\u00e4hrend eines Bewerbungsgespr\u00e4chs, die automatisierte Auswertung der Mimik in einer Videokonferenz oder die Einsch\u00e4tzung des \u201eEngagements\u201c eines Mitarbeiters kann einem wesentlich strengeren Regime unterliegen als eine gew\u00f6hnliche Textassistenz.<\/p>\n\n\n\n

4. WAS MITARBEITER NICHT OHNE WEITERES IN KI EINGEBEN D\u00dcRFEN<\/h2>\n\n\n\n

Es gibt keine einheitliche Liste von Daten, die f\u00fcr jedes Unternehmen und jedes Tool gleicherma\u00dfen gilt. Aus praktischer Sicht sollten Mitarbeiter insbesondere folgende Informationen nicht in ein nicht genehmigtes externes KI-System eingeben:<\/p>\n\n\n\n

(A) personenbezogene Daten von Mandanten, Kunden, Mitarbeitern oder Bewerbern,<\/p>\n\n\n\n

(B) besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, biometrische Daten, politische Meinungen oder Angaben zur Gewerkschaftszugeh\u00f6rigkeit,<\/p>\n\n\n\n

(C) Personenkennzahlen, Ausweisnummern, Zugangsdaten, Passw\u00f6rter, Zahlungsinformationen oder Authentifizierungscodes,<\/p>\n\n\n\n

(D) Vertr\u00e4ge, Rechtsanalysen, interne Korrespondenz und Dokumente, die einer Verschwiegenheitspflicht unterliegen,<\/p>\n\n\n\n

(E) Gesch\u00e4ftspl\u00e4ne, Preiskalkulationen, Quellcode, technische Dokumentation, Kundendatenbanken und sonstige Gesch\u00e4ftsgeheimnisse,<\/p>\n\n\n\n

(F) urheberrechtlich gesch\u00fctzte Werke oder Datenbanken, f\u00fcr deren Nutzung das Unternehmen nicht \u00fcber die erforderliche Berechtigung verf\u00fcgt, und<\/p>\n\n\n\n

(G) Informationen, deren Offenlegung gegen\u00fcber einem externen Anbieter durch einen Vertrag mit einem Mandanten, Kunden oder Gesch\u00e4ftspartner untersagt ist.<\/p>\n\n\n\n

Das Verbot muss nicht absolut gelten. Eine Verarbeitung kann in einem Tool zul\u00e4ssig sein, das das Unternehmen ordnungsgem\u00e4\u00df gepr\u00fcft, vertraglich abgesichert und technisch f\u00fcr den betreffenden Zweck konfiguriert hat. Ein Mitarbeiter sollte jedoch nicht selbst entscheiden, dass ein Privatkonto oder die kostenlose Version eines Dienstes ein ausreichendes Schutzniveau bietet.<\/p>\n\n\n\n

PERSONENBEZOGENE DATEN IN EINEM PROMPT<\/h3>\n\n\n\n

Die Eingabe personenbezogener Daten in ein KI-System stellt eine Verarbeitung personenbezogener Daten dar. Der Verantwortliche muss \u00fcber eine Rechtsgrundlage und einen konkreten Verarbeitungszweck verf\u00fcgen, den Grundsatz der Datenminimierung einhalten, die Rolle des Anbieters bestimmen, den erforderlichen Auftragsverarbeitungsvertrag schlie\u00dfen, etwaige \u00dcbermittlungen in Drittl\u00e4nder pr\u00fcfen und angemessene Sicherheitsma\u00dfnahmen treffen.<\/p>\n\n\n\n

Dass die Daten lediglich zur Erstellung einer Zusammenfassung oder eines Antwortentwurfs verwendet werden, schlie\u00dft diese Pflichten nicht aus. Ebenso reicht es nicht aus, nur den Namen zu entfernen, wenn die betreffende Person anhand der \u00fcbrigen Angaben identifiziert werden kann. Pseudonymisierte Daten bleiben personenbezogene Daten, wenn sie mithilfe zus\u00e4tzlicher Informationen einer bestimmten Person zugeordnet werden k\u00f6nnen.<\/p>\n\n\n\n

Bei besonderen Kategorien personenbezogener Daten muss neben einer Rechtsgrundlage nach Artikel 6 DSGVO auch eine der Voraussetzungen des Artikels 9 DSGVO erf\u00fcllt sein. Bei umfangreichen, systematischen oder anderweitig risikoreichen Verarbeitungen kann eine Datenschutz-Folgenabsch\u00e4tzung nach Artikel 35 DSGVO erforderlich sein.<\/p>\n\n\n\n

Der Arbeitgeber sollte zwischen dem Privatkonto eines Mitarbeiters, einem betrieblichen Benutzerkonto und einer Unternehmensl\u00f6sung oder Programmierschnittstelle unterscheiden. Vertragsbedingungen, die Verwendung von Inhalten zur Verbesserung von Modellen, Aufbewahrungsfristen, administrative Kontrollm\u00f6glichkeiten und der Ort der Verarbeitung k\u00f6nnen je nach Dienst und Konfiguration unterschiedlich sein. Die blo\u00dfe Bezeichnung eines Produkts als \u201eBusiness\u201c ersetzt daher keine rechtliche und sicherheitstechnische Pr\u00fcfung der konkreten Konfiguration.<\/p>\n\n\n\n

GESCH\u00c4FTSGEHEIMNISSE UND VERSCHWIEGENHEIT<\/h3>\n\n\n\n

Nach \u00a7 17 Abs. 1 des slowakischen Handelsgesetzbuchs bilden ein Gesch\u00e4ftsgeheimnis Tatsachen gesch\u00e4ftlicher, produktionstechnischer oder technischer Art, die mit einem Unternehmen zusammenh\u00e4ngen, einen tats\u00e4chlichen oder potenziellen Wert haben, in den betreffenden Gesch\u00e4ftskreisen nicht allgemein verf\u00fcgbar sind, nach dem Willen ihres Inhabers geheim bleiben sollen und deren Geheimhaltung der Inhaber angemessen sicherstellt.<\/p>\n\n\n\n

Die unkontrollierte Eingabe sensibler Informationen in externe KI-Tools kann nicht nur eine Verschwiegenheitspflicht verletzen, sondern auch das Argument schw\u00e4chen, das Unternehmen habe seine Gesch\u00e4ftsgeheimnisse angemessen gesch\u00fctzt. Eine interne Richtlinie, ein geregeltes Zugriffsmanagement, die Klassifizierung von Informationen und nachweisbare Mitarbeiterschulungen sind daher zugleich Ma\u00dfnahmen zum Schutz von Gesch\u00e4ftsgeheimnissen.<\/p>\n\n\n\n

Nach \u00a7 81 Buchst. e und f des slowakischen Arbeitsgesetzbuchs ist ein Mitarbeiter verpflichtet, das Verm\u00f6gen des Arbeitgebers zu sch\u00fctzen, nicht entgegen dessen berechtigten Interessen zu handeln und \u00fcber Tatsachen Verschwiegenheit zu wahren, die im Interesse des Arbeitgebers anderen Personen nicht mitgeteilt werden d\u00fcrfen. Je nach den Umst\u00e4nden kann die unbefugte Eingabe vertraulicher Daten in ein externes System eine Verletzung der Arbeitsdisziplin darstellen und eine Schadenersatzpflicht begr\u00fcnden. Die Folgen sind jedoch stets im Einzelfall zu beurteilen, insbesondere nach Art der Daten, Verschulden, Bestehen klarer Regeln und Schwere des Risikos oder Schadens.<\/p>\n\n\n\n

5. WER F\u00dcR FEHLERHAFTE KI-AUSGABEN HAFTET<\/h2>\n\n\n\n

Ein KI-System ist keine Person, auf die sich die Verantwortung f\u00fcr eine unternehmerische Entscheidung \u00fcbertragen l\u00e4sst. \u00dcbermittelt ein Mitarbeiter einem Mandanten oder Kunden eine falsche Rechtsauskunft, verwendet er in einem Angebot eine nicht existierende technische Norm oder trifft er eine Entscheidung auf Grundlage einer fehlerhaften, von KI erstellten Berechnung, entlastet der Hinweis \u201eChatGPT hat den Fehler gemacht\u201c das Unternehmen grunds\u00e4tzlich nicht.<\/p>\n\n\n\n

Generative KI erstellt Ausgaben mittels probabilistischer Verarbeitung. Auch eine \u00fcberzeugend formulierte Antwort kann eine nicht existierende Gerichtsentscheidung, eine falsche Zahl, veraltete Informationen oder eine verzerrte Zusammenfassung des Ausgangsdokuments enthalten. Das Risiko steigt, wenn der Nutzer eine Antwort au\u00dferhalb der verf\u00fcgbaren Quellen verlangt oder nicht \u00fcber die zur Kontrolle erforderliche Fachkenntnis verf\u00fcgt.<\/p>\n\n\n\n

Interne Regeln sollten daher festlegen, in welchen F\u00e4llen eine menschliche \u00dcberpr\u00fcfung zwingend erforderlich ist. Ohne qualifizierte Kontrolle sollte eine KI-Ausgabe insbesondere nicht als abschlie\u00dfende fachliche Stellungnahme, Vertragsklausel, lohn- oder preisrelevante Berechnung, Entscheidung gegen\u00fcber einem Mitarbeiter oder als Information verwendet werden, auf die sich ein Mandant oder Kunde verlassen soll.<\/p>\n\n\n\n

Die menschliche Kontrolle darf nicht lediglich formaler Natur sein. Die pr\u00fcfende Person muss \u00fcber ausreichende Kenntnisse und Zugang zu den Unterlagen verf\u00fcgen und tats\u00e4chlich befugt sein, die Ausgabe abzulehnen oder zu \u00e4ndern.<\/p>\n\n\n\n

6. URHEBERRECHT AN EINGABEN UND AUSGABEN<\/h2>\n\n\n\n

Ein Nutzer kann Texte, Fotografien, Quellcode oder andere kreative Inhalte in ein KI-System eingeben, zu deren Verwendung das Unternehmen in dieser Form nicht berechtigt ist. Im Einzelfall kann dies eine Vervielf\u00e4ltigung oder andere Nutzung eines Werks darstellen, die der Zustimmung des Rechtsinhabers bedarf, sofern keine gesetzliche Ausnahme eingreift.<\/p>\n\n\n\n

Ebenso wenig kann automatisch angenommen werden, dass jede KI-Ausgabe frei von Rechten Dritter ist oder das Unternehmen daran ausschlie\u00dfliche Urheberrechte erworben hat. Nach \u00a7 3 Abs. 1 des slowakischen Urheberrechtsgesetzes ist ein Werk das einzigartige Ergebnis der kreativen geistigen T\u00e4tigkeit eines Urhebers. Eine rein automatisch erzeugte Ausgabe ohne hinreichenden kreativen Beitrag einer nat\u00fcrlichen Person erf\u00fcllt daher m\u00f6glicherweise nicht die Voraussetzungen des urheberrechtlichen Schutzes. Bei KI-unterst\u00fctzter Sch\u00f6pfung kann dagegen das Ergebnis menschlicher kreativer Entscheidungen gesch\u00fctzt sein.<\/p>\n\n\n\n

Vor der kommerziellen Nutzung einer wesentlichen Ausgabe empfiehlt es sich, (A) die Lizenzbedingungen des Tools, (B) die Herkunft der Ausgangsmaterialien, (C) \u00c4hnlichkeiten mit bestehenden Werken, Marken oder Designs und (D) Umfang und Dokumentation des menschlichen kreativen Beitrags zu pr\u00fcfen.<\/p>\n\n\n\n

7. DARF DER ARBEITGEBER DIE KI-NUTZUNG KONTROLLIEREN?<\/h2>\n\n\n\n

Der Arbeitgeber darf bestimmen, welche Arbeitsmittel verwendet werden d\u00fcrfen, nicht genehmigte Dienste im Unternehmensnetzwerk sperren und die Einhaltung von Sicherheitsregeln verlangen. Die Kontrolle der konkreten T\u00e4tigkeit eines Mitarbeiters muss jedoch dessen Privatsph\u00e4re, Datenschutzrechte und \u00a7 13 Abs. 4 des slowakischen Arbeitsgesetzbuchs beachten.<\/p>\n\n\n\n

Ohne schwerwiegende Gr\u00fcnde, die in der besonderen Art seiner T\u00e4tigkeit liegen, darf der Arbeitgeber nicht durch \u00dcberwachung oder Kontrolle der betrieblichen E-Mail ohne vorherige Information in die Privatsph\u00e4re eines Mitarbeiters eingreifen. F\u00fchrt der Arbeitgeber einen Kontrollmechanismus ein, muss er dessen Umfang, Art und Dauer mit den Arbeitnehmervertretern er\u00f6rtern und die Mitarbeiter dar\u00fcber informieren.<\/p>\n\n\n\n

Daraus folgt, dass selbst das berechtigte Ziel, einen Datenabfluss zu verhindern, den Arbeitgeber nicht automatisch dazu berechtigt, s\u00e4mtliche Prompts und Gespr\u00e4che der Mitarbeiter mitzulesen. Die Kontrolle muss erforderlich, verh\u00e4ltnism\u00e4\u00dfig und transparent sein. Vor einer Inhaltskontrolle sollten weniger eingriffsintensive Ma\u00dfnahmen gepr\u00fcft werden, etwa die Sperrung nicht genehmigter Domains, ein technischer Warnhinweis vor der Eingabe sensibler Daten, die Erkennung von Datenkategorien ohne Lesen des gesamten Inhalts oder die Kontrolle anonymisierter Betriebsprotokolle.<\/p>\n\n\n\n

8. KI BEI EINSTELLUNG UND PERSONALF\u00dcHRUNG<\/h2>\n\n\n\n

Besondere Aufmerksamkeit erfordern KI-Systeme, die bei der Einstellung und Auswahl von Bewerbern, bei Entscheidungen \u00fcber Arbeitsbedingungen, Bef\u00f6rderung oder Beendigung des Arbeitsverh\u00e4ltnisses, bei der Zuweisung von Aufgaben anhand individuellen Verhaltens oder pers\u00f6nlicher Eigenschaften sowie bei der \u00dcberwachung oder Bewertung von Arbeitnehmern eingesetzt werden. Unter den gesetzlichen Voraussetzungen stuft die KI-Verordnung solche Systeme als Hochrisikosysteme ein.<\/p>\n\n\n\n

Die Digital-Omnibus-Verordnung zur KI verschob die Anwendung der einschl\u00e4gigen Anforderungen und Pflichten f\u00fcr Hochrisikosysteme nach Anhang III der KI-Verordnung auf den 2. Dezember 2027. Der Aufschub bedeutet jedoch kein rechtliches Vakuum. DSGVO, Antidiskriminierungsrecht, das slowakische Arbeitsgesetzbuch und die Verbote ausgew\u00e4hlter Praktiken nach der KI-Verordnung gelten bereits heute.<\/p>\n\n\n\n

Verarbeitet ein System personenbezogene Daten und trifft es eine ausschlie\u00dflich auf automatisierter Verarbeitung beruhende Entscheidung, die gegen\u00fcber einer Person rechtliche Wirkung entfaltet oder sie in \u00e4hnlicher Weise erheblich beeintr\u00e4chtigt, ist zus\u00e4tzlich Artikel 22 DSGVO zu beachten. Die formale Best\u00e4tigung einer KI-Empfehlung durch einen Menschen stellt m\u00f6glicherweise keine echte menschliche Mitwirkung dar, wenn die pr\u00fcfende Person weder die M\u00f6glichkeit noch die fachliche Bef\u00e4higung hat, die Entscheidung zu \u00e4ndern.<\/p>\n\n\n\n

Vor dem Einsatz eines solchen Systems sollte das Unternehmen insbesondere den Zweck, Qualit\u00e4t und Herkunft der Eingabedaten, m\u00f6gliche diskriminierende Auswirkungen, die Erkl\u00e4rbarkeit der Ergebnisse, die menschliche Aufsicht, Informationspflichten und die Notwendigkeit einer Datenschutz-Folgenabsch\u00e4tzung pr\u00fcfen.<\/p>\n\n\n\n

9. SIEBEN SCHRITTE F\u00dcR ARBEITGEBER<\/h2>\n\n\n\n

BESTANDSAUFNAHME<\/h3>\n\n\n\n

Das Unternehmen sollte feststellen, welche KI-Tools die Mitarbeiter tats\u00e4chlich nutzen, zu welchen Zwecken, mit welchen Eingaben und \u00fcber welche privaten oder betrieblichen Konten. Ein Verbot ohne Bestandsaufnahme verlagert die KI-Nutzung h\u00e4ufig lediglich in einen unkontrollierten Bereich.<\/p>\n\n\n\n

RISIKOKLASSIFIZIERUNG<\/h3>\n\n\n\n

Die einzelnen Anwendungsf\u00e4lle sollten nach ihrem Risiko eingestuft werden. Die sprachliche Korrektur eines anonymen Textes unterliegt nicht demselben Regime wie die Verarbeitung von Gesundheitsdaten, die Auswahl von Bewerbern oder die Erstellung einer fachlichen Stellungnahme f\u00fcr einen Mandanten oder Kunden.<\/p>\n\n\n\n

GENEHMIGTE TOOLS UND VERTR\u00c4GE<\/h3>\n\n\n\n

Das Unternehmen sollte zul\u00e4ssige Tools bestimmen und deren Vertragsbedingungen, Datenschutz, Speicherung von Ein- und Ausgaben, Unterauftragnehmer, Sicherheitsma\u00dfnahmen und etwaige Daten\u00fcbermittlungen pr\u00fcfen. Bei der Verarbeitung personenbezogener Daten sind die Rollen der Parteien festzulegen und die erforderlichen Vertr\u00e4ge abzuschlie\u00dfen.<\/p>\n\n\n\n

INTERNE KI-RICHTLINIE<\/h3>\n\n\n\n

Die Richtlinie sollte zul\u00e4ssige und verbotene Verwendungen, Datenkategorien, die nicht eingegeben werden d\u00fcrfen, Anonymisierungsregeln, die Pflicht zur menschlichen Kontrolle, die Kennzeichnung von KI-Inhalten, die Genehmigung neuer Tools und die Folgen von Verst\u00f6\u00dfen klar festlegen.<\/p>\n\n\n\n

RISIKOBASIERTE SCHULUNG<\/h3>\n\n\n\n

Mitarbeiter ben\u00f6tigen praktische Beispiele aus ihrem Arbeitsalltag. Schulungen sollten nicht nur die Bedienung des Tools erkl\u00e4ren, sondern auch die Grenzen von Ausgaben, den Schutz personenbezogener Daten und von Gesch\u00e4ftsgeheimnissen, das Urheberrecht und das Verfahren zur Meldung von Vorf\u00e4llen.<\/p>\n\n\n\n

MENSCHLICHE KONTROLLE UND DOKUMENTATION<\/h3>\n\n\n\n

Bei wesentlichen Ausgaben sollten die verantwortliche Person, der Umfang der Pr\u00fcfung und die Art der Dokumentation festgelegt werden. Bei Entscheidungen \u00fcber Menschen muss die menschliche Mitwirkung tats\u00e4chlich, qualifiziert und wirksam sein.<\/p>\n\n\n\n

MELDUNG VON VORF\u00c4LLEN<\/h3>\n\n\n\n

Mitarbeiter m\u00fcssen wissen, wem und auf welche Weise sie melden sollen, dass sie versehentlich personenbezogene Daten, ein Gesch\u00e4ftsgeheimnis oder ein falsches Dokument in ein KI-System eingegeben haben. Eine rasche Meldung kann es erm\u00f6glichen, die L\u00f6schung zu veranlassen, Zugangsdaten zu \u00e4ndern, etwaige Meldepflichten zu erf\u00fcllen und den Schaden zu begrenzen.<\/p>\n\n\n\n

10. ANWENDUNG UND FAZIT<\/h2>\n\n\n\n

Die KI-Verordnung findet schrittweise Anwendung. Ihre ersten Bestimmungen, darunter die Regelungen zur KI-Kompetenz und die Verbote ausgew\u00e4hlter Praktiken, gelten seit dem 2. Februar 2025. Der \u00fcberwiegende Teil der weiteren Bestimmungen gilt seit dem 2. August 2026. Die Digital-Omnibus-Verordnung zur KI \u00e4nderte jedoch bestimmte Pflichten und verschob die Anwendung des Hochrisikoregimes f\u00fcr Systeme nach Anhang III auf den 2. Dezember 2027 sowie f\u00fcr ausgew\u00e4hlte Hochrisikosysteme, die in regulierte Produkte eingebettet sind, auf den 2. August 2028.<\/p>\n\n\n\n

Das gr\u00f6\u00dfte rechtliche Risiko der gew\u00f6hnlichen Nutzung von ChatGPT in einem Unternehmen ergibt sich daher derzeit nicht zwingend aus der KI-Verordnung selbst. H\u00e4ufig entsteht es bereits fr\u00fcher: durch die Eingabe personenbezogener Daten ohne Rechtsgrundlage, die Offenlegung eines Gesch\u00e4ftsgeheimnisses gegen\u00fcber einem nicht genehmigten Anbieter, die Verwendung einer ungepr\u00fcften Ausgabe oder eine unverh\u00e4ltnism\u00e4\u00dfige \u00dcberwachung von Mitarbeitern.<\/p>\n\n\n\n

Ein Unternehmen, das KI nutzt, ben\u00f6tigt mehr als ein Verbot oder eine einmalige Schulung. Es muss die tats\u00e4chlichen Anwendungsf\u00e4lle kennen, geeignete Tools genehmigen, Grenzen f\u00fcr den Umgang mit Daten festlegen und gew\u00e4hrleisten, dass hinter jeder wesentlichen Entscheidung ein identifizierbarer und qualifizierter Mensch steht.<\/p>\n\n\n\n

\"Mitarbeiter<\/figure>\n\n","protected":false},"excerpt":{"rendered":"

Was d\u00fcrfen Mitarbeiter nicht in ChatGPT eingeben, wer haftet f\u00fcr fehlerhafte KI-Ausgaben und was sollte eine interne KI-Richtlinie des Arbeitgebers enthalten?<\/p>\n","protected":false},"author":6,"featured_media":28450,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[42],"tags":[],"class_list":["post-28455","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news-de"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/posts\/28455","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/comments?post=28455"}],"version-history":[{"count":2,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/posts\/28455\/revisions"}],"predecessor-version":[{"id":28484,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/posts\/28455\/revisions\/28484"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/media\/28450"}],"wp:attachment":[{"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/media?parent=28455"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/categories?post=28455"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ulclegal.com\/de\/wp-json\/wp\/v2\/tags?post=28455"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}