Generative KI in Deutschland: Einführung mit dem Betriebsrat

In Deutschland beginnt ein Projekt mit generativer KI selten im Büro der IT-Leitung. Es beginnt am Tisch mit dem Betriebsrat. Solange er nicht zugestimmt hat, bleiben viele Werkzeuge liegen, auch wenn die Geschäftsführung längst überzeugt ist.

Das ist keine schlechte Nachricht. Gut vorbereitet, zwingt die Verhandlung dazu, früh die richtigen Fragen zu klären: Welche Daten dürfen an einen KI-Assistenten gehen, wer sieht was, und wie lässt sich belegen, dass die Regeln eingehalten werden? Genau hier hat KI-DLP ihren Platz.

Warum der Betriebsrat mitredet

Das Betriebsverfassungsgesetz (BetrVG) gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Die Rechtsprechung legt das weit aus: Es reicht, dass das Werkzeug solche Daten erzeugen kann. Eine Überwachungsabsicht ist nicht nötig.

Seit dem Betriebsrätemodernisierungsgesetz von 2021 nennt das BetrVG Künstliche Intelligenz auch ausdrücklich. Der Betriebsrat ist über Vorhaben mit KI zu unterrichten und kann einen Sachverständigen hinzuziehen, wenn er ein KI-System beurteilen muss.

Was der Hamburger Beschluss wirklich sagt

Im Januar 2024 wies das Arbeitsgericht Hamburg den Antrag eines Betriebsrats zurück, der ChatGPT im Unternehmen verbieten lassen wollte. Der Arbeitgeber hatte die Nutzung lediglich im Browser über private Konten der Beschäftigten erlaubt und Nutzungsrichtlinien veröffentlicht. Nach Ansicht des Gerichts erhielt das Unternehmen keine Nutzungsdaten. Ohne Überwachungsmöglichkeit gab es in diesem Punkt keine Mitbestimmung.

Daraus eine allgemeine Regel abzuleiten, wäre leichtsinnig. Der Beschluss erging im Eilverfahren zu einem konkreten Sachverhalt. Sobald ein Unternehmen dienstliche Konten, eine Enterprise-Version oder ein Werkzeug bereitstellt, das Prompts protokolliert, liegen Daten über die Tätigkeit der Beschäftigten vor. Dann ist die Mitbestimmung wieder im Spiel. Ein DLP-Werkzeug, das Vorfälle protokolliert, gehört eindeutig dazu.

Der Datenschutzrahmen: DSGVO, DSK und Landesbehörden

Für personenbezogene Daten gilt die DSGVO, ergänzt durch das Bundesdatenschutzgesetz (BDSG). Die Aufsicht teilen sich die Bundesbeauftragte für den Datenschutz (BfDI) und die Aufsichtsbehörden der Länder, die für die meisten privaten Unternehmen zuständig sind.

Im Mai 2024 veröffentlichte die Datenschutzkonferenz (DSK), das Gremium dieser Behörden, eine Orientierungshilfe zu KI und Datenschutz. Sie richtet sich an Organisationen, die KI-Anwendungen auswählen und einsetzen, vor allem große Sprachmodelle. Zu den Empfehlungen gehören:

• Einsatzzwecke vorab festlegen und prüfen, ob sie wirklich personenbezogene Daten erfordern;

• dienstliche Konten bereitstellen, statt private Konten der Beschäftigten zu dulden;

• prüfen, ob Eingaben zum Training genutzt werden, und dem nach Möglichkeit widersprechen;

• Datenschutzbeauftragte und Beschäftigte einbinden und klare interne Regeln schreiben.

Bereits im November 2023 hatte der Hamburgische Beauftragte für Datenschutz eine eigene Checkliste für LLM-basierte Chatbots veröffentlicht, mit sehr ähnlichen Hinweisen. Die Botschaft ist eindeutig: KI ist nutzbar, wenn man kontrolliert, was hineingeht.

Was eine Betriebsvereinbarung zu KI regeln sollte

Üblich ist die Betriebsvereinbarung zwischen Arbeitgeber und Betriebsrat. Für generative KI schließen viele Unternehmen eine Rahmenvereinbarung mit gemeinsamen Grundsätzen und ergänzen sie um eine Anlage je Werkzeug. Diese Punkte gehören hinein:

1. Die Liste freigegebener Werkzeuge und das Verfahren für neue.

2. Datenkategorien, die nicht in Prompts gehören: Gesundheitsdaten, Personaldaten, Geschäftsgeheimnisse, identifizierbare Kundendaten.

3. Was protokolliert wird, von wem, wie lange und wofür.

4. Ein klares Verbot, diese Daten zur individuellen Leistungsbewertung zu nutzen.

5. Der Zugang des Betriebsrats zu aggregierten Berichten.

6. Schulung der Beschäftigten und eine Ansprechperson bei Fragen.

Wo KI-DLP in die Mitbestimmung passt

ZeusLock läuft auf dem Endgerät oder im Browser. Es erkennt sensible Daten in einem Prompt oder einer Datei vor dem Versand und anonymisiert sie, warnt die Nutzerin oder blockiert den Upload, je nach festgelegter Regel. Jeder Vorfall wird als Compliance-Nachweis protokolliert.

Genau diese Protokolle wird der Betriebsrat regeln wollen. Eine gute Konfiguration berücksichtigt das von Anfang an:

• die formatbewahrende Anonymisierung ersetzt einen Namen oder eine IBAN durch einen fiktiven Wert gleicher Form, sodass die Beschäftigten weiterarbeiten, ohne den echten Wert preiszugeben;

• Berichte lassen sich nach Abteilung oder Datentyp statt nach Person darstellen;

• der Zugriff auf detaillierte Protokolle kann auf IT-Sicherheit und Datenschutzbeauftragte beschränkt werden, nach einem in der Vereinbarung festgelegten Verfahren.

So dargestellt, wird DLP zum Argument für die Vereinbarung. Sie schützt die Beschäftigten vor einem Copy-and-paste-Fehler ebenso wie das Unternehmen.

Die Verhandlung vorbereiten, ohne sechs Monate zu verlieren

Projekte, die zügig vorankommen, haben eines gemeinsam: Sie binden den Betriebsrat ein, bevor das Werkzeug ausgewählt ist, nicht danach. Eine Demo zeigen, genau erklären, welche Daten erfasst werden, und selbst Schutzmaßnahmen vorschlagen erspart endlose Schleifen. Unser 90-Tage-Rollout-Playbook für KI-DLP dient als erster Zeitplan. Für die europäische Seite hilft die Compliance-Checkliste zu KI-VO und DSGVO bei der Vorbereitung der Folgenabschätzung.

Schulung allein reicht nicht. Unter Zeitdruck vergessen Menschen Regeln, wie wir in warum KI-Sicherheitsschulungen nicht funktionieren erklären. Eine technische Sicherung im Moment des Absendens ergänzt die Vereinbarung sinnvoll.

Zusammenfassung

In Deutschland wird generative KI mit dem Betriebsrat eingeführt, nicht gegen ihn. Das BetrVG gibt ihm eine Rolle, sobald ein Werkzeug Daten über Beschäftigte erzeugen kann. Die DSK und die Landesbehörden erwarten klare Regeln für die eingegebenen Daten. KI-DLP mit aggregierten Berichten und transparenter Anonymisierung erfüllt beide Anforderungen zugleich.

Sie bereiten eine Betriebsvereinbarung zu KI vor? Vereinbaren Sie eine ZeusLock-Demo und sehen Sie, wie Sie DLP Ihrem Betriebsrat vorstellen.