Schatten-KI im Unternehmen: warum eine Richtlinie allein nicht reicht
Hinweis zum Inhalt: Die Informationen in diesem Artikel wurden nach bestem Wissen zum Zeitpunkt der Veröffentlichung zusammengestellt. Technische Details, Preise, Versionen, Lizenzmodelle und externe Inhalte können sich ändern. Bitte prüfen Sie die genannten Angaben eigenständig, insbesondere vor geschäftskritischen oder sicherheitsrelevanten Entscheidungen. Dieser Artikel ersetzt keine individuelle Fach-, Rechts- oder Steuerberatung.
Beschäftigte nutzen KI längst, nur nicht über freigegebene Werkzeuge? WZ-IT richtet einen internen KI-Assistenten mit Firmen-Login, freigegebenen Modellen und Quellenangaben ein, lokal im eigenen Netz oder auf einem Managed GPU-Server. Mehr im KI-Hub. Termin vereinbaren
In vielen Unternehmen wird KI genutzt, bevor jemand darüber entschieden hat. Beschäftigte formulieren E-Mails mit einem privaten Chat-Konto, lassen Verträge zusammenfassen oder übersetzen Kundenkorrespondenz über einen kostenlosen Dienst. Das nennt man Schatten-KI: KI-Nutzung außerhalb geprüfter und freigegebener Werkzeuge.
Die übliche Reaktion ist eine KI-Richtlinie. Sie ist notwendig, aber sie ändert wenig, solange es kein Werkzeug gibt, das die Richtlinie erlaubt. Dieser Beitrag ordnet ein, was die KI-Verordnung nach dem Digital Omnibus zur KI-Kompetenz verlangt, welche Risiken Schatten-KI tatsächlich trägt und wie eine freigegebene Alternative aussieht. Die rechtlichen Abschnitte sind eine technische und organisatorische Einordnung, keine Rechtsberatung. Stand September 2026.
Inhaltsverzeichnis
- Was unter Schatten-KI fällt
- Wie verbreitet private KI-Werkzeuge sind
- Die eigentlichen Risiken
- Artikel 4 nach dem Digital Omnibus
- Artikel 50 und der eigene Assistent
- Warum eine Richtlinie allein Schatten-KI nicht beendet
- Drei Wege zu einer freigegebenen Alternative
- Technische Leitplanken statt Verbotslisten
- Betriebsrat und Datenschutz früh einbinden
- Ein Ablauf in fünf Schritten
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
Was unter Schatten-KI fällt
Schatten-KI ist nicht auf den Chat im Browser beschränkt. Die Formen unterscheiden sich darin, wie sichtbar sie für die IT sind und welche Daten sie berühren.
| Form | Beispiel | Sichtbarkeit für die IT |
|---|---|---|
| Privates Konto bei einem Chat-Dienst | Vertrag einfügen und zusammenfassen lassen | gering, oft auf privaten Geräten |
| Browser-Erweiterung | Schreibassistent, der Webformulare und E-Mails mitliest | gering, wenn Erweiterungen nicht verwaltet werden |
| KI-Funktion in genutzter Software | neu aktivierte Zusammenfassung im CRM oder Ticketsystem | mittel, abhängig von den Admin-Einstellungen |
| Meeting-Transkription | externer Bot nimmt an Videokonferenzen teil | mittel, erkennbar an Teilnehmerlisten |
| API-Schlüssel in Skripten | Auswertung von Kundendaten über eine Modell-API mit privatem Schlüssel | sehr gering |
Gemeinsam ist allen Formen, dass Unternehmensdaten an einen Dienst gehen, für den weder Vertrag noch Datenklassen noch Verantwortlichkeit geklärt sind.
Wie verbreitet private KI-Werkzeuge sind
Belastbare Zahlen zu Schatten-KI sind rar, weil Befragte ungern unerlaubte Nutzung angeben. Zwei Primärquellen geben eine Größenordnung:
| Erhebung | Ergebnis | Basis |
|---|---|---|
| Microsoft und LinkedIn, Work Trend Index, Mai 2024 | 78 Prozent der KI-Nutzenden bringen eigene KI-Werkzeuge zur Arbeit mit, in kleinen und mittleren Unternehmen 80 Prozent | 31.000 Wissensarbeitende in 31 Ländern |
| Bitkom, September 2025 | 36 Prozent der Unternehmen nutzen KI; 8 Prozent bieten allen Beschäftigten KI-Schulungen an, 43 Prozent haben keine entsprechenden Angebote | 604 Unternehmen ab 20 Beschäftigten in Deutschland |
Die Zahlen stammen aus unterschiedlichen Jahren und Grundgesamtheiten und sind nicht direkt vergleichbar. Sie zeigen aber zwei Dinge, die zusammenpassen: Die Nutzung eigener Werkzeuge ist verbreitet, und die Mehrheit der Unternehmen hat ihre Beschäftigten bisher nicht systematisch darauf vorbereitet.
Die eigentlichen Risiken
Das Risiko von Schatten-KI liegt selten im Modell selbst. Es liegt darin, dass Daten und Ergebnisse den geregelten Rahmen verlassen.
| Risiko | Worum es geht | Grundlage |
|---|---|---|
| Personenbezogene Daten ohne Vertrag | Wer Kundendaten in ein privates Konto eingibt, übermittelt sie an einen Dienst ohne Vertrag zur Auftragsverarbeitung | Art. 28 DSGVO |
| Training mit Eingaben | Bei kostenlosen Verbraucherangeboten können Eingaben je nach Anbieter und Einstellung zum Training genutzt werden; Mistral etwa erlaubt das im kostenlosen Modus mit Opt-out (Mistral Help Center) | Nutzungsbedingungen des Anbieters |
| Schutz von Geschäftsgeheimnissen | Als Geschäftsgeheimnis geschützt ist nur, was Gegenstand angemessener Geheimhaltungsmaßnahmen ist | § 2 Nr. 1 GeschGehG |
| Berufsgeheimnisse | Kanzleien, Praxen und Steuerberatung dürfen fremde Geheimnisse nur unter engen Voraussetzungen offenbaren | § 203 StGB |
| Ungeprüfte Ergebnisse | Halluzinierte Fakten, Zahlen oder Rechtsangaben gelangen in Angebote, Verträge oder Kundenkommunikation | Haftung des Unternehmens für eigene Aussagen |
| Fehlender Überblick | Niemand weiß, welche Werkzeuge mit welchen Daten genutzt werden; ein Vorfall lässt sich nicht eingrenzen | Meldepflichten nach Art. 33 DSGVO |
Der Punkt zu Geschäftsgeheimnissen wird oft unterschätzt. Wenn ein Unternehmen duldet, dass vertrauliche Unterlagen in beliebige externe Dienste eingegeben werden, kann es im Streitfall schwerer werden, angemessene Geheimhaltungsmaßnahmen nachzuweisen.
Artikel 4 nach dem Digital Omnibus
Artikel 4 der KI-Verordnung regelt die KI-Kompetenz. Er gehört zu Kapitel I und gilt deshalb seit dem 2. Februar 2025. Mit der Verordnung (EU) 2026/1744, dem Digital Omnibus zur KI, wurde er neu gefasst. Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.
| Fassung 2024 | Fassung seit 27. Juli 2026 | |
|---|---|---|
| Adressaten | Anbieter und Betreiber von KI-Systemen | Anbieter und Betreiber von KI-Systemen |
| Pflicht | Maßnahmen, um nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt | Maßnahmen, um die Entwicklung der KI-Kompetenz des Personals zu unterstützen |
| Garantie eines Niveaus | ausreichendes Maß gefordert | ausdrücklich keine Garantie eines bestimmten Niveaus für einzelne Personen |
| Rolle von Kommission und Mitgliedstaaten | nicht geregelt | unterstützen Unternehmen, insbesondere KMU; Kommission veröffentlicht Praxisbeispiele |
| Zu berücksichtigen | Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext, betroffene Personen | unverändert |
Quellen: Verordnung (EU) 2024/1689, Artikel 4, und Verordnung (EU) 2026/1744, Artikel 1 Nummer 5.
Die Pflicht ist also abgeschwächt, aber nicht entfallen. Wer Betreiber eines KI-Systems ist, muss weiterhin Maßnahmen ergreifen. Der Begriff Betreiber umfasst jede Person oder Organisation, die ein KI-System unter ihrer Befugnis verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit.
Für Schatten-KI ist eine Aussage der EU-Kommission besonders relevant. In ihren Fragen und Antworten zur KI-Kompetenz nennt sie ausdrücklich ein Unternehmen, dessen Beschäftigte ChatGPT für Werbetexte oder Übersetzungen nutzen: Auch dieses Unternehmen soll Artikel 4 einhalten, die Beschäftigten sollen etwa über Halluzinationen informiert werden. Ein Zertifikat ist laut Kommission nicht erforderlich; eine interne Dokumentation der Schulungen genügt. Die Aufsicht liegt bei den nationalen Marktüberwachungsbehörden.
Bußgeldbewehrt im Sinne von Artikel 99 Absatz 4 ist Artikel 4 nicht. Die Mitgliedstaaten regeln nach Artikel 99 Absatz 1 Sanktionen und andere Durchsetzungsmaßnahmen. Für die Praxis ist die Frage nach dem Bußgeld ohnehin nachrangig: Ohne Schulung und ohne freigegebenes Werkzeug lässt sich kaum belegen, dass ein Unternehmen den Umgang mit KI gesteuert hat.
Artikel 50 und der eigene Assistent
Seit dem 2. August 2026 gilt Artikel 50 mit seinen Transparenzpflichten. Absatz 1 verpflichtet Anbieter von KI-Systemen, die direkt mit Menschen interagieren, die Nutzer darüber zu informieren, sofern das nicht offensichtlich ist. Der Absatz unterscheidet nicht zwischen Kunden und Beschäftigten.
Das wird relevant, sobald ein Unternehmen die Schatten-KI durch einen eigenen Assistenten ersetzt. Wer ein System selbst aufbaut und unter eigenem Namen bereitstellt, kann dadurch Anbieter werden. Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt die maschinenlesbare Markierung nach Absatz 2 laut dem neuen Artikel 111 Absatz 4 erst ab dem 2. Dezember 2026. Die Einzelheiten und die Rollenabgrenzung behandelt der Beitrag zur KI-Kennzeichnungspflicht nach Artikel 50. In der Praxis ist ein Hinweis in der Oberfläche des Assistenten meist ausreichend.
Warum eine Richtlinie allein Schatten-KI nicht beendet
Eine KI-Richtlinie legt fest, was erlaubt ist. Sie beseitigt aber nicht den Grund, aus dem Beschäftigte zu privaten Werkzeugen greifen: Sie haben eine Aufgabe, die mit KI schneller erledigt ist, und kein freigegebenes Werkzeug dafür.
Daraus ergeben sich vier Muster, die in Unternehmen regelmäßig zu beobachten sind:
- Verbot ohne Alternative. Der Bedarf bleibt. Netz- oder DNS-Sperren greifen nur im Firmennetz und auf verwalteten Geräten. Die Nutzung wandert auf das private Smartphone, wo das Unternehmen weder Daten noch Ergebnisse sieht.
- Erlaubnis ohne Datenregel. Die Richtlinie erlaubt KI allgemein, sagt aber nicht, welche Daten in welches Werkzeug dürfen. Die Entscheidung liegt dann bei jeder einzelnen Person.
- Regel ohne Schulung. Beschäftigte kennen die Richtlinie, aber nicht die Risiken. Genau dort setzt Artikel 4 an.
- Werkzeug ohne Qualität. Ein freigegebenes Werkzeug, das spürbar schlechter ist als der private Dienst, wird umgangen.
Wirksam wird eine Richtlinie erst zusammen mit zwei weiteren Bausteinen:
| Baustein | Inhalt | Nachweis |
|---|---|---|
| Regel | erlaubte Werkzeuge, Datenklassen je Werkzeug, Prüfpflicht für Ergebnisse, Ansprechpartner | Richtlinie mit Stand-Datum, gegebenenfalls Betriebsvereinbarung |
| Werkzeug | freigegebener Assistent mit Firmen-Login und klarer Datenzuordnung | Systembeschreibung, Vertrag oder Eigenbetrieb, Modellliste |
| Kompetenz | Schulung nach Rolle: Grenzen der Modelle, Halluzinationen, Datenklassen, Prompt Injection | interne Dokumentation der Maßnahmen |
Drei Wege zu einer freigegebenen Alternative
Welche Alternative passt, hängt vor allem von den Datenklassen ab, die verarbeitet werden sollen.
| Weg | Datenweg | Passt, wenn | Zu prüfen |
|---|---|---|---|
| Business-Tarif eines Cloud-Anbieters | Anbieter-Infrastruktur, je nach Tarif und Region | allgemeine Texte, keine Berufsgeheimnisse, schneller Start ohne eigenen Betrieb | AVV, Speicherort, Unterauftragnehmer, aktivierte Funktionen |
| Europäische Modell-API hinter eigener Oberfläche | Frage und Kontext gehen an einen europäischen Anbieter | mittlerer Schutzbedarf, schwankende Last | Standort, Trainingsregel, Modellkatalog |
| Interner Assistent mit eigener Inferenz | nichts verlässt das eigene Netz oder den eigenen Server | vertrauliche Unterlagen, Berufsgeheimnisse, Antworten aus eigenen Dokumenten | Hardware, Betrieb, Updates |
Den Vergleich zwischen einem Cloud-Workspace und lokaler KI zeigt der Beitrag Lokale KI oder ChatGPT Business. Die europäischen Modell-APIs vergleicht der Beitrag zu europäischen LLM-APIs.
Die Wege schließen sich nicht aus. Häufig ist eine Kombination sinnvoll: eine Oberfläche wie Open WebUI, dahinter ein Gateway, das lokale Modelle für vertrauliche Inhalte und eine freigegebene externe API für allgemeine Aufgaben bereitstellt. Entscheidend ist, dass für Beschäftigte sichtbar ist, welches Modell eine Anfrage verarbeitet.
Für den Betrieb im eigenen Haus bietet WZ-IT zwei Wege. Der AI Cube ist eine KI-Appliance im eigenen Netzwerk mit Open WebUI, zum Kaufpreis von 6.490 € netto einmalig plus AI Cube Care für 349,90 € netto / Monat. Managed GPU-Server von WZ-IT laufen in einem deutschen Rechenzentrum mit NVIDIA RTX PRO 4000 Blackwell (24 GB GDDR7 ECC) oder RTX PRO 6000 Blackwell Max-Q (96 GB GDDR7 ECC), ab 699 € netto / Monat. Stand September 2026.
Technische Leitplanken statt Verbotslisten
Ein freigegebener Assistent ersetzt Schatten-KI nur, wenn er die Regeln technisch abbildet, statt sie nur zu beschreiben.
| Leitplanke | Umsetzung | Wirkung |
|---|---|---|
| Firmen-Login | Anmeldung über den bestehenden Verzeichnisdienst, etwa mit Keycloak | Zugang endet mit dem Austritt, Gruppen steuern Rechte |
| Modell-Freigabe | Gateway wie LiteLLM mit Liste erlaubter Modelle je Gruppe | vertrauliche Bereiche erreichen nur lokale Modelle |
| Antworten aus eigenen Quellen | RAG mit Berechtigungsprüfung vor der Suche | weniger Halluzinationen, Fundstellen prüfbar |
| Datensparsame Protokollierung | Zeitpunkt, Modell, Tokenzahl, Fehler; Wortlaut nur nach Vereinbarung | Betrieb und Kosten messbar, keine Leistungskontrolle |
| Kennzeichnung | Hinweis in der Oberfläche, dass ein KI-System antwortet | Artikel 50 Absatz 1 abgedeckt |
| Verwaltete Erweiterungen | Browser-Erweiterungen über Richtlinien des Endgerätemanagements freigeben | weniger unbemerkte Datenabflüsse |
Wie die Berechtigungen im Assistenten greifen, beschreibt RAG mit Berechtigungen. Welche Prüfkriterien für den Datenschutz gelten, fasst DSGVO-konforme KI zusammen.
Betriebsrat und Datenschutz früh einbinden
Ein freigegebener Assistent ist eine technische Einrichtung, die Nutzungsdaten erzeugt. Damit kommen zwei Prüfungen hinzu, die bei Schatten-KI scheinbar entfallen, weil niemand davon weiß.
| Vorschrift | Inhalt |
|---|---|
| § 90 BetrVG | Unterrichtung und Beratung bei der Planung von Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz |
| § 87 Abs. 1 Nr. 6 BetrVG | Mitbestimmung bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind |
| § 87 Abs. 1 Nr. 1 BetrVG | Mitbestimmung bei Fragen der Ordnung des Betriebs und des Verhaltens der Beschäftigten, was Verhaltensregeln einer KI-Richtlinie berühren kann |
| § 80 Abs. 3 BetrVG | Muss der Betriebsrat den Einsatz von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich |
Der Protokollumfang ist der Punkt, an dem die meisten Verhandlungen hängen. Wer den Wortlaut der Anfragen nicht dauerhaft mit der Person verknüpft, hat eine deutlich einfachere Ausgangslage. Die Einzelheiten stehen im Artikel KI-Assistent und Betriebsrat. Ob im Einzelfall Mitbestimmungsrechte greifen, ist arbeitsrechtlich zu klären.
Ein Ablauf in fünf Schritten
- Bestand erheben. Anonyme Kurzbefragung oder Gespräche je Abteilung: Welche Werkzeuge werden genutzt, für welche Aufgaben, mit welchen Daten. Ziel ist ein Überblick, keine Sanktion.
- Datenklassen festlegen. Öffentlich, intern, vertraulich, Berufsgeheimnis. Je Klasse wird festgelegt, welcher Weg zulässig ist.
- Werkzeug bereitstellen. Ein freigegebener Assistent, der die häufigsten Aufgaben aus der Erhebung abdeckt, mit Firmen-Login und Modell-Freigaben.
- Regel und Schulung zusammen einführen. Die Richtlinie verweist auf das freigegebene Werkzeug. Die Schulung erklärt Grenzen der Modelle und die Datenklassen und wird intern dokumentiert.
- Nachsteuern. Nach einigen Wochen prüfen, welche Aufgaben noch außerhalb laufen, und das Werkzeug oder die Regel anpassen.
Die Reihenfolge ist wichtig: Wer die Richtlinie vor dem Werkzeug einführt, schafft eine Regel, die im Alltag nicht einzuhalten ist. Die Pflichten der KI-Verordnung insgesamt fasst EU AI Act für Unternehmen zusammen.
Unser Vorgehen bei WZ-IT
- Einordnung. Aufgaben, Datenklassen, Nutzerzahl und vorhandene Systeme. Daraus ergibt sich, ob ein lokaler Betrieb, eine europäische API oder ein Mischbetrieb passt.
- Aufbau. Open WebUI als Oberfläche, Anmeldung über Ihren Verzeichnisdienst, LiteLLM als Gateway mit freigegebenen Modellen, auf Wunsch Antworten aus Ihren Dokumenten mit Quellenangabe.
- Betrieb im eigenen Netz oder im Rechenzentrum. AI Cube als Appliance bei Ihnen oder Managed GPU-Server von WZ-IT in einem deutschen Rechenzentrum.
- Dokumentation. Datenflussdiagramm, Feldliste der Protokollierung, Rollen und Aufbewahrungsfristen als Grundlage für Datenschutz und Betriebsrat.
- Betrieb. Updates, Modellwechsel mit Regressionstest, Monitoring sowie Support, Beratung und Implementierung durch WZ-IT.
Die rechtliche Bewertung von Rollen, Pflichten und Mitbestimmung bleibt beim Unternehmen und seiner Rechtsberatung. Wir setzen die vereinbarten Grenzen technisch um.
Weiterführende Guides
- KI-Kennzeichnungspflicht nach Artikel 50, wer kennzeichnen muss und was bis zum 2. Dezember 2026 gilt.
- Lokale KI oder ChatGPT Business, Kosten, Kontrolle und Einsatz im Vergleich.
- Europäische LLM-APIs im Vergleich, Standort, AVV und Modelle von fünf Anbietern.
- EU AI Act: Hochrisiko-Pflichten, die Fristen nach dem Digital Omnibus.
- KI-Assistent und Betriebsrat, Mitbestimmung und Protokollumfang.
- Interner KI-Assistent, das Angebot von WZ-IT für Antworten aus eigenen Dokumenten.
- KI-Lösungen von WZ-IT, der Hub mit allen Angeboten zu lokaler KI.
Schatten-KI durch ein freigegebenes Werkzeug ersetzen? Wir richten einen internen Assistenten mit Firmen-Login, freigegebenen Modellen und dokumentierten Datenwegen ein, im eigenen Netz oder im deutschen Rechenzentrum. Termin vereinbaren
Quellen
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung)
- EUR-Lex: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI)
- EU-Kommission: AI Literacy, Questions and Answers
- EU-Kommission: Living Repository zur KI-Kompetenz
- EUR-Lex: Verordnung (EU) 2016/679 (DSGVO)
- Gesetze im Internet: § 2 GeschGehG
- Gesetze im Internet: § 203 StGB
- Gesetze im Internet: § 80 BetrVG
- Gesetze im Internet: § 87 BetrVG
- Gesetze im Internet: § 90 BetrVG
- Microsoft und LinkedIn: 2024 Work Trend Index
- Bitkom: Presseinformation zur KI-Nutzung in Unternehmen, September 2025
- Mistral Help Center: Nutzung von Daten zum Training
Eine freigegebene KI-Alternative für Ihre Beschäftigten
Wir richten einen internen KI-Assistenten mit Anmeldung, freigegebenen Modellen und datensparsamer Protokollierung ein, lokal im eigenen Netz oder auf einem Managed GPU-Server von WZ-IT.
Häufig gestellte Fragen
Antworten auf wichtige Fragen zu diesem Thema
Schatten-KI bezeichnet KI-Werkzeuge, die Beschäftigte für dienstliche Aufgaben nutzen, ohne dass das Unternehmen sie geprüft und freigegeben hat. Typisch sind private Konten bei Chat-Diensten, Browser-Erweiterungen, KI-Funktionen in bereits genutzter Software, Meeting-Transkription über externe Dienste und API-Schlüssel in selbst geschriebenen Skripten.
Nein. Die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat Artikel 4 neu gefasst. Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, und zwar zur Unterstützung der Entwicklung der KI-Kompetenz ihres Personals. Neu ist, dass sie kein bestimmtes Kompetenzniveau einzelner Personen garantieren müssen. Kommission und Mitgliedstaaten sollen die Unternehmen dabei unterstützen. Das ist eine Einordnung, keine Rechtsberatung.
Nach den Fragen und Antworten der EU-Kommission zur KI-Kompetenz ja. Die Kommission nennt ausdrücklich ein Unternehmen, dessen Beschäftigte ChatGPT für Werbetexte oder Übersetzungen einsetzen. Die Beschäftigten sollen über die spezifischen Risiken informiert werden, etwa über Halluzinationen.
Nein. Die EU-Kommission stellt klar, dass kein Zertifikat erforderlich ist und Unternehmen eine interne Dokumentation der Schulungen und sonstigen Maßnahmen führen können. Ein festes Format für Schulungen schreibt die Verordnung nicht vor.
In der Regel nicht. Ein Verbot ohne freigegebene Alternative lässt den Bedarf bestehen, und Netzsperren greifen nur im Firmennetz und auf verwalteten Geräten. Die Nutzung verlagert sich dann auf private Geräte, wo das Unternehmen weder Daten noch Ergebnisse sieht. Wirksamer ist eine Kombination aus klarer Regel, freigegebenem Werkzeug und Schulung.
Ein Business-Tarif mit Auftragsverarbeitungsvertrag löst die vertragliche Lücke privater Konten, beantwortet aber nicht jede Frage zu Speicherort, Unterauftragnehmern, aktivierten Funktionen und zulässigen Datenarten. Für Berufsgeheimnisse oder besonders schutzbedürftige Daten ist ein Betrieb im eigenen Netz oder auf einem dedizierten Server oft die klarere Lösung.
Häufig ja. § 90 BetrVG nennt den Einsatz von Künstlicher Intelligenz ausdrücklich bei der Planung von Arbeitsverfahren, und § 87 Absatz 1 Nummer 6 BetrVG kann greifen, sobald ein System objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Eine KI-Richtlinie mit Verhaltensregeln kann zudem die Ordnung des Betriebs berühren. Die konkrete Rechtslage sollte arbeitsrechtlich geprüft werden.
Artikel 50 gilt seit dem 2. August 2026. Absatz 1 verpflichtet Anbieter von KI-Systemen, die direkt mit Menschen interagieren, und unterscheidet nicht zwischen Kunden und Beschäftigten. Wer einen internen Assistenten selbst baut und unter eigenem Namen bereitstellt, kann Anbieter sein. Ein Hinweis in der Oberfläche genügt in der Praxis meist, sofern die KI-Interaktion nicht ohnehin offensichtlich ist.
Artikel 99 Absatz 4 der KI-Verordnung nennt Artikel 4 nicht in der Liste der bußgeldbewehrten Pflichten. Die Mitgliedstaaten legen nach Artikel 99 Absatz 1 Sanktionen und andere Durchsetzungsmaßnahmen fest, zu denen auch Verwarnungen gehören können. Die Aufsicht liegt bei den nationalen Marktüberwachungsbehörden. Unabhängig davon kann fehlende Schulung bei einem Schaden oder Datenschutzvorfall eine Rolle spielen.
Geschrieben von
Timo Wevelsiep
Co-Founder & CEO
Co-Founder von WZ-IT. Spezialisiert auf Cloud-Infrastruktur, Open-Source-Plattformen und Managed Services für KMUs und Enterprise-Kunden weltweit.
LinkedInLassen Sie uns über Ihre Idee sprechen
Ob konkrete IT-Herausforderung oder einfach eine Idee - wir freuen uns auf den Austausch. In einem kurzen Gespräch prüfen wir gemeinsam, ob und wie Ihr Projekt zu WZ-IT passt.
Rückruf vereinbaren
Unternehmen weltweit vertrauen WZ-IT
