KI-Richtlinien für die Belegschaft

Was eine Richtlinie leisten kann und was nicht

Eine Nutzungsregelung ändert nicht, was ein KI-Werkzeug kann. Sie ändert, wer es wofür einsetzt, welche Angaben hineingelangen und wer die Folgen trägt.

Sie macht sichtbar, was ohnehin geschieht. Die deutsche Datenschutzaufsicht beschreibt den Ausgangszustand ungewöhnlich direkt: Ohne klare Regelungen bestehe das Risiko, dass Beschäftigte KI-Anwendungen „eigenmächtig und unkontrolliert“ nutzen, und es sei davon auszugehen, dass dies „derzeit Realität in vielen Unternehmen und Behörden“ sei. Eine Regelung, die dienstliche Werkzeuge benennt und Meldewege eröffnet, holt diese Nutzung aus dem Unsichtbaren.

Sie verlagert Entscheidungen dorthin, wo sie hingehören. Ohne Regelung entscheidet jede Mitarbeiterin im Einzelfall selbst, ob eine Kundenanschrift in ein fremdes System darf. Mit Regelung entscheidet das der Betrieb — einmal, vorab und für alle gleich. Die österreichische Wirtschaftskammer formuliert denselben Gedanken für die Werkzeugauswahl: Über die Zulässigkeit einer Anwendung entscheide allein die Unternehmensleitung.

Sie kann selbst eine Schutzmaßnahme sein, an die Rechtsfolgen anknüpfen. Nach dem Unionsrecht ist eine Information nur dann ein Geschäftsgeheimnis, wenn sie unter anderem „Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person“ ist, „die die rechtmäßige Kontrolle über die Informationen besitzt“. Der Schutz hängt damit an einer Handlung des Inhabers, nicht allein am Wert der Information.

Eine schriftliche, bekannt gemachte und durchgesetzte Regel darüber, was in fremde Dienste eingegeben werden darf, ist der Sache nach eine solche Maßnahme. Eine gerichtliche Entscheidung, die eine KI-Nutzungsregelung ausdrücklich unter diesen Buchstaben fasst oder ihr Fehlen zum Verlust des Geheimnisschutzes führen lässt, wurde nicht gefunden. Der Zusammenhang bleibt deshalb eine Frage, die ein Betrieb für sich beantworten muss, und keine belegte Rechtsfolge (Abschnitt 13).