Eine KI-Richtlinie legt fest, welche Anwendungen künstlicher Intelligenz Beschäftigte für welche Zwecke nutzen dürfen und welche Regeln dabei gelten. Gesetzlich vorgeschrieben ist ein solches Dokument nicht. Es ist aber ein naheliegendes Instrument, um Pflichten aus der europäischen KI-Verordnung (Verordnung (EU) 2024/1689), der Datenschutz-Grundverordnung (DSGVO) und dem Betriebsverfassungsgesetz (BetrVG) umzusetzen. Seit Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen zur KI-Kompetenz ihres Personals ergreifen, und bestimmte Praktiken wie Emotionserkennung am Arbeitsplatz sind verboten.

Welche Pflichten der KI-Verordnung gelten schon?

Die KI-Verordnung gilt gestaffelt. Seit dem 2. Februar 2025 sind die allgemeinen Bestimmungen und die Verbote anwendbar. Dazu gehört Artikel 4, wonach Anbieter und Betreiber von KI-Systemen Maßnahmen zur KI-Kompetenz ihres Personals ergreifen müssen. Mit der sogenannten Digital-Omnibus-Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, wurde Artikel 4 neu gefasst: Die Maßnahmen sollen die Entwicklung von KI-Kompetenz unterstützen; ein bestimmtes Kompetenzniveau einzelner Personen muss nicht garantiert werden. Die Pflicht, tätig zu werden, bleibt bestehen.

Lesen Sie auch Bausteine einer KI-Nutzungsrichtlinie: Vorlage zum Anpassen

Zu den seit Februar 2025 geltenden Verboten zählt nach Artikel 5 der Einsatz von KI zur Erkennung von Emotionen am Arbeitsplatz, sofern er nicht medizinischen oder Sicherheitsgründen dient. Die übrigen Regeln der Verordnung gelten grundsätzlich seit dem 2. August 2026.

Was gilt für KI im Personalbereich?

Die KI-Verordnung stuft bestimmte Anwendungen im Beschäftigungskontext als hochriskant ein, etwa Systeme zur Auswahl von Bewerbern oder zur Unterstützung von Entscheidungen über Beförderung, Kündigung oder Leistungsbewertung. Für diese Hochrisiko-Systeme nach Anhang III gelten die umfangreichen Pflichten nach der Änderung durch die Verordnung (EU) 2026/1744 erst ab dem 2. Dezember 2027. Ursprünglich war der August 2026 vorgesehen. Zu den Betreiberpflichten gehört nach Artikel 26 unter anderem, Arbeitnehmervertreter und betroffene Beschäftigte vor dem Einsatz eines solchen Systems am Arbeitsplatz zu informieren.

Unabhängig davon gilt die DSGVO. Werden personenbezogene Daten mit KI verarbeitet, braucht es eine Rechtsgrundlage; bei hohem Risiko ist nach Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich. Artikel 22 DSGVO begrenzt Entscheidungen, die ausschließlich automatisiert getroffen werden und Betroffene erheblich beeinträchtigen.

Wie ist der Betriebsrat zu beteiligen?

Nach § 90 Abs. 1 BetrVG muss der Arbeitgeber den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren unterrichten, ausdrücklich auch beim Einsatz künstlicher Intelligenz. Muss der Betriebsrat die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen nach § 80 Abs. 3 BetrVG als erforderlich. Sind KI-Werkzeuge geeignet, Verhalten oder Leistung zu überwachen, greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Regeln zum Verhalten der Beschäftigten können zudem unter § 87 Abs. 1 Nr. 1 BetrVG fallen. In Betrieben mit Betriebsrat wird eine KI-Richtlinie deshalb häufig als Betriebsvereinbarung abgeschlossen.

Welche Bausteine gehören in die Richtlinie?

  • Geltungsbereich und Begriffe: Für wen die Richtlinie gilt und welche Werkzeuge als KI im Sinne des Dokuments gelten.
  • Zugelassene Anwendungen: Eine Liste freigegebener Tools und ein Verfahren, wie neue Anwendungen geprüft und freigegeben werden.
  • Datenklassen: Welche Informationen in welche Systeme eingegeben werden dürfen. Personenbezogene Daten, Geschäftsgeheimnisse und vertrauliche Kundendaten gehören nicht in Werkzeuge ohne entsprechende vertragliche und technische Absicherung.
  • Verantwortung für Ergebnisse: KI-Ausgaben sind vor der Verwendung fachlich zu prüfen; die Verantwortung bleibt beim Menschen.
  • Verbotene Einsätze: Etwa Emotionserkennung am Arbeitsplatz oder vollautomatisierte Personalentscheidungen.
  • Kennzeichnung und Urheberrecht: Wann KI-generierte Inhalte offenzulegen sind und wie mit Rechten Dritter umzugehen ist.
  • Schulung: Wie das Unternehmen die KI-Kompetenz nach Artikel 4 KI-Verordnung fördert.
  • Zuständigkeiten und Meldewege: Ansprechpartner, Umgang mit Fehlern und Vorfällen, regelmäßige Überprüfung der Richtlinie.

Was Arbeitgeber jetzt wissen sollten

  • Eine Bestandsaufnahme, welche KI-Werkzeuge im Unternehmen bereits genutzt werden, ist ein sinnvoller erster Schritt, auch mit Blick auf nicht freigegebene Anwendungen.
  • Schulungsmaßnahmen zur KI-Kompetenz sollten dokumentiert werden, da die Pflicht nach Artikel 4 KI-Verordnung bereits gilt.
  • Wer KI im Recruiting oder zur Leistungsbewertung einsetzt oder plant, sollte die Hochrisiko-Pflichten ab Dezember 2027 jetzt in die Planung einbeziehen.
  • Betriebsrat, Datenschutzbeauftragter und IT-Sicherheit sollten von Beginn an beteiligt werden.
  • Die Richtlinie sollte regelmäßig überprüft werden, weil sich Technik und Rechtslage weiter ändern. Im Einzelfall empfiehlt sich fachkundiger Rat.