Vor zweieinhalb Jahren lag dem Arbeitsgericht Hamburg ein ungewöhnlicher Fall vor. Ein Arbeitgeber hatte seinen Beschäftigten erlaubt, den KI-Chatbot ChatGPT bei der Arbeit zu nutzen – allerdings nur über private Accounts, die sie selbst angelegt hatten.
Auf der Unternehmens-IT war ChatGPT nicht installiert. Der Zugang lief über den Browser, für den bereits eine Konzernbetriebsvereinbarung bestand. Auf die eingegebenen Daten hatte der Arbeitgeber keinen Zugriff.
Der Konzernbetriebsrat rügte Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1, 6 und 7 Betriebsverfassungsgesetz (BetrVG) und beantragte im einstweiligen Rechtsschutz ein vollständiges Nutzungsverbot. Das Gericht wies alle Anträge zurück.
„Wer Beschäftigten lediglich den freiwilligen Rückgriff auf öffentlich zugängliche Tools über private Accounts gestattet und dabei selbst keine Kontrolle über die verarbeiteten Daten erlangt, löst kein Mitbestimmungsrecht aus“, ordnet der Fachanwalt für Arbeitsrecht Dr. Peter Körlings aus der Hamburger Kanzlei KLIEMT.Arbeitsrecht den Beschluss ein. Die Mitbestimmung sei eben keine abstrakte Auffangkategorie, die jede Berührung mit KI erfasse.
Mitbestimmung Wer KI im Betrieb einführt, muss meist den Betriebsrat beteiligen. In der Praxis zentral ist § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmungspflichtig ist jede technische Einrichtung, die objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen – auf eine Überwachungsabsicht kommt es nicht an. Hinzu kommen Unterrichtungs- und Beratungsrechte nach § 90 BetrVG. Rechtsanwalt Körlings empfiehlt Rahmen-Betriebsvereinbarungen, die auch Updates und neue Funktionen abdecken. Im Juli 2026 hat die Berliner Regierungskoalition die Sozialpartner aufgefordert, bis Mitte Oktober Vorschläge für eine praxisgerechtere „Software-Mitbestimmung“ vorzulegen.
Ein breites Regelgeflecht
Doch wer auf private Accounts setzt, gibt die Kontrolle darüber auf, welche Daten in fremde Systeme fließen – von Kundendaten bis hin zu Geschäftsgeheimnissen.
Neben Sicherheitsrisiken besteht bei einer solchen unkontrollierten Nutzung also auch die Gefahr, eine Reihe anderer Rechtsnormen zu verletzen – und unabhängig von Mitbestimmungsfragen gilt: Für Rechtsverstöße muss das Unternehmen haften.
Das BetrVG ist dabei nur eine Norm unter vielen. „Für KMU sind beim KI-Einsatz vor allem der EU AI Act, die Datenschutz-Grundverordnung (DSGVO), Mitbestimmungs- sowie Haftungs- und Produkthaftungsfragen relevant; Urheberrecht und Geschäftsgeheimnisse sollten mitgedacht werden“, fasst Fabian Fritsch, Rechtsanwalt in der Hamburger Kanzlei Hafencity, die einschlägigen Vorschriften zusammen.
Besonders kritisch seien Chatbots und Sprachmodelle mit personenbezogenen oder vertraulichen Daten, KI-gestützte Auswahlprozesse und ungeprüft übernommene KI-Inhalte. Eine weitere Herausforderung: „Die Vorgaben greifen nicht immer nahtlos ineinander.“ Beherrschbar werde KI-Compliance durch klare Nutzungsregeln, Datenschutzprüfung, Zuständigkeiten und menschliche Kontrolle.
Wohin die Daten fließen
Obwohl sich die Anforderungen also recht klar zusammenfassen lassen, werfen sie im Alltag viele Fragen auf. Vor allem zwei Regelwerke treiben die Unternehmen um: die DSGVO mit der Frage nach dem rechtskonformen Umgang mit personenbezogenen Daten – und die Vorschriften des EU AI Acts.
Schwer fällt dabei oft bereits die Einordnung, ob eine Firma „Anbieter“ oder „Betreiber“ eines KI-Tools ist, was die regulatorischen Anforderungen (insbesondere bei Hochrisiko-KI) deutlich verändert. Die umfassende Anpassung einer KI für den Eigenbedarf etwa führt dazu, dass man als Anbieter gilt.
Hinzu kommt ein Risiko, das vielen nicht bewusst ist: das Hosting bei US-Cloud-Anbietern. Der US Cloud Act verpflichtet amerikanische Unternehmen dazu, Daten auf Verlangen an US-Behörden herauszugeben – selbst dann, wenn sie auf Servern in der EU liegen. Die Handelskammer rät Unternehmen grundsätzlich, mit KI-Anbietern eine Auftragsverarbeitungsvereinbarung (AVV) abzuschließen. Diese ist gesetzlich verpflichtend, sobald externe Dienstleister – wie Cloud-Anbieter – genutzt werden, die personenbezogene Daten verarbeiten.
Verantwortung In der „Responsible AI Alliance“ setzen sich zahlreiche Unternehmen und gesellschaftliche Akteure für einen verantwortungsvollen KI-Einsatz zum Wohle der Gesellschaft ein. Neben Werten wie Fairness, Robustheit, Sicherheit, Transparenz und Erklärbarkeit setzt die Hamburger Initiative auf Networking und Innovation.
Nabil el Berr, CEO des KI-Unternehmens Indicium, das KI-gestützte Background-Checks anbietet, kennt die Herausforderungen aus der Praxis. „Es fängt damit an, dass viele Unternehmen gar nicht wissen, wo ihre Daten liegen und wie sie an diese überhaupt kommen“, erläutert der Volljurist. Riskant sei zudem der Griff zu den deutlich günstigeren chinesischen KI-Modellen, auf die aus Kostengründen oft gerade jüngere Unternehmen setzen: „Wer sie über die Cloud-Schnittstelle des Anbieters nutzt, schickt die Eingaben in aller Regel auf Server in China – und für EU-Daten gibt es dort keinen Angemessenheitsbeschluss. Das ist datenschutzrechtlich heikel.“
Besonders problematisch sei die verbreitete Praxis der „Shadow-KI“ („Schatten-KI“). Dabei nutzen Mitarbeitende heimlich private KI-Accounts oder -Tools, etwa auch KI-gestützte Browser-Erweiterungen. Sensible Daten können damit unkontrolliert das Unternehmen verlassen.
„Worst Case war der Fall Samsung vor gut drei Jahren“, berichtet el Berr. Mitarbeiter hatten in die öffentlich zugängliche Consumer-Version von ChatGPT streng vertrauliche Interna wie Quellcode eingegeben. Die Firmengeheimnisse konnten damit ins Training der KI einfließen – und vom Anbieter unkontrolliert verarbeitet und gespeichert werden.
„Ein KMU, das ChatGPT & Co. direkt nutzt, trägt das volle Compliance-Risiko selbst: unklare AVV, US-Datenübermittlung, keine Kontrolle über Trainingsdaten“, betont Co-Gründer und CMO Jacob Leffers vom Hamburger KI-Start-up Logicc. Dessen Plattform bündelt führende KI-Modelle wie ChatGPT, Claude und Gemini, verarbeitet die Daten aber ausschließlich in ISO-27001-zertifizierten Rechenzentren in Deutschland.
Mit allen Modellanbietern sei Zero Data Retention vereinbart. Das bedeutet: „Anfragen werden nach der Verarbeitung nicht beim Modellanbieter gespeichert und fließen nicht ins Training ein“, erläutert der CMO. Damit erfülle die Lösung auch die Anforderungen für Berufsgeheimnisträger wie Anwälte, Ärzte oder Steuerberater, deren Mandats- und Patientendaten besonders geschützt sind.
Lokal statt in der Cloud
Wie ein Mittelständler mit den Anforderungen bei der Nutzung von KI umgeht, zeigt Gebr. Runde. Der Hamburger Anbieter für Arbeits- und Schutzbekleidung nutzt KI vor allem im E-Commerce: für das Erstellen und die Korrektur von Texten, Präsentationen und Schulungsinhalten sowie für die Bildgenerierung. Dazu hatte sich der Händler von seinem IT-Dienstleister beraten lassen.
Um Rechtssicherheit zu garantieren, entschied sich das Unternehmen bewusst gegen die Nutzung einer Cloud. In einem aktuellen, mit mehreren Partnern aufgesetzten KI-Projekt kommen weder ein Cloud-LLM noch Cloud-Embeddings zum Einsatz. So bleiben die Daten im Haus. Es gelten klare Nutzungsregeln: Personenbezogene Daten dürfen nicht eingegeben werden, jedes KI-Ergebnis muss auf Plausibilität geprüft werden.
Zudem gilt ein Vier-Augen-Prinzip: „KI-generierter Inhalt wird zusätzlich von der Geschäftsleitung geprüft, bevor er verwendet oder veröffentlicht wird“, sagt Geschäftsführer Lars Lübbert. Mittelständlern, die mit KI gerade erst anfangen, rät er dazu, zunächst genau zu analysieren, für welche Prozesse sie sich tatsächlich lohnt und ob eine Cloudlösung reicht. „Danach würde ich mich etwa bei IT-Dienstleistern, Verbänden um Unterstützung bei der Umsetzung dieser Anforderungen bemühen.“ Seine Formel: „Analysieren, Probieren, Hinterfragen.“
Doch jenseits aller Alltags- und Rechtsfragen sollten alle, die KI einsetzen, sich auch ihrer gesellschaftlichen Verantwortung bewusst sein. Davon ist etwa auch die „Responsible AI Alliance“ überzeugt. Es gelte, „Ethik als Innovationsmotor zu nutzen“, so die Hamburger Initiative.
EU AI Act Die KI-Verordnung reguliert seit August 2024 den KI-Einsatz in der EU. Um sie korrekt umzusetzen, empfiehlt die Handelskammer, systematisch vorzugehen. Nach einer Erfassung aller eingesetzten KI-Anwendungen sollten Unternehmen prüfen, ob möglicherweise eine verbotene Praktik (Art. 5) oder ein Hochrisiko-KI-System (Art. 6) vorliegt – und die eigene Rolle klären: Wer Fremd-KI nur nutzt, gilt als Betreiber (Deployer) und hat andere Pflichten als Anbieter (Provider), die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen. Grundsatz der KI-Verordnung: Je höher das Risiko, desto strenger die Vorgaben. Wichtig sind auch regelmäßige Mitarbeiterschulungen (Art. 4) und die Festlegung klarer KI-Einsatzregeln. Weitere Infos unter www.handelskammer-hamburg.de/eu-ai-act und im Webinar „KI im Unternehmen rechtskonform nutzen“ am 6. August.
Hinweis: Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
