KOMMENTAR VON JOHANNES M. HOLZ, RÖDL KI IM UNTERNEHMEN: PRODUKTIVITÄTSSCHUB MIT
NEUEN HAFTUNGSRISIKEN
15.04.2026 Von Johannes M. Holz 5 min Lesedauer
Anbieter zum Thema
Künstliche Intelligenz (KI) hat in vielen Unternehmen längst den Status eines
Experimentierfeldes verlassen. Sprachmodelle, Analysewerkzeuge und
Automatisierungssysteme werden in alltägliche Prozesse integriert. Der Nutzen
ist real: Entwürfe entstehen schneller, Informationen werden auffindbarer,
Routinearbeit wird reduziert. Gleichzeitig zeigt die Beratungspraxis ein
wiederkehrendes Muster: Die Einführung erfolgt häufig schneller als die
rechtliche und organisatorische Einordnung.
Genau daraus entstehen die typischen Problemfelder – nicht, weil die Technologie
„verboten“ wäre, sondern weil Verantwortlichkeiten, Grenzen und Kontrollen
fehlen.
HAFTUNG: KI IST EIN WERKZEUG – DIE VERANTWORTUNG BLEIBT BEIM UNTERNEHMEN
Generative Systeme können plausibel formulieren und dennoch falschen Output
generieren. Das Risiko liegt weniger in kleinen Schönheitsfehlern, sondern in
inhaltlichen Fehlentscheidungen: rechtlich unhaltbare Vertragsklauseln,
halluzinierte Quellen, unzutreffende Zahlen, fehlerhafte Produktversprechen oder
diskriminierende Aussagen im Recruiting. Rechtlich wird in der Regel als
Werkzeug eingeordnet. Wer KI-Ergebnisse ungeprüft übernimmt, bleibt
verantwortlich – intern wie extern. Praktisch heißt das: Unternehmen brauchen
definierte Prüf- und Freigabeprozesse („Human in the loop“), Qualitätsstandards
je Use Case sowie eine klare Dokumentation, wer wann was freigegeben hat.
BEWEIS- UND DOKUMENTENFRAGEN: WAS ZÄHLT ALS „VERLÄSSLICH“?
KI-generierte Inhalte werden zunehmend Teil von Entscheidungsakten: Protokolle,
Zusammenfassungen, Entscheidungsvorlagen oder auch E-Mails. Damit stellt sich
die Frage, wie Nachvollziehbarkeit und Beweiswert gesichert werden. Sinnvoll
sind Versionierung, Protokollierung von Prompts/Parametern (soweit möglich),
Kennzeichnung KI-unterstützter Inhalte und klare Regeln, wann Originalquellen
zwingend beizuziehen sind. Für rechtssichere Prozesse ist Transparenz wichtiger
als inhaltlich „perfekte“ Antworten.
DATENSCHUTZ: EINGABEN SIND DATENABFLÜSSE
Datenschutzprobleme entstehen oft nicht durch das KI-Modell an sich, sondern
durch die Nutzung: Wer personenbezogene Daten, Kundendaten, Gesundheitsdaten
oder interne HR-Informationen in externe Tools eingibt, erzeugt einen
Datenabfluss. Bei Cloud- und insbesondere US-basierten Diensten kommen
zusätzliche Fragen hinzu: internationale Datentransfers, Zugriffsmöglichkeiten,
Auftragsverarbeitung und technische Schutzmaßnahmen. Unternehmen sollten deshalb
festlegen, welche Datenklassen in welche Systeme eingespeist werden dürfen, und
für sensible Daten gegebenenfalls auf Enterprise-Varianten,
On-Prem/Private-Cloud oder abgeschirmte -Setups ausweichen.
Praktisch gehören dazu: Datenminimierung (nur das Nötigste eingeben), /, klare
Löschkonzepte, Rollen- und Rechtekonzepte („Need-to-know-Prinzip“) sowie die
Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist (insbesondere
bei Profiling, umfangreicher Verarbeitung oder besonderen Kategorien
personenbezogener Daten).
MITBESTIMMUNG: KI VERÄNDERT ARBEITSBEDINGUNGEN
Arbeitsrechtlich relevant wird KI immer dann, wenn Arbeitsprozesse,
Leistungserwartungen oder Kontrollmöglichkeiten sich spürbar ändern. Systeme,
die Arbeitsschritte vorgeben, Tickets priorisieren, Output bewerten oder
Verhalten analysieren, können Mitbestimmungsrechte auslösen. Selbst „harmlose“
können mittelbar zur Leistungsverdichtung führen, wenn Taktung und Kennzahlen
angepasst werden. Frühzeitige Einbindung von Betriebsräten und transparente
Regeln schaffen Akzeptanz und reduzieren Konflikte mit der Belegschaft.
EU-AI-ACT: VON DER TOOL-NUTZUNG ZUR COMPLIANCE-ORGANISATION
Mit dem EU- entsteht ein risikobasierter Rahmen, der je nach
Risikoklassifizierung des Use Cases unterschiedlich greift. Für Unternehmen wird
entscheidend sein, überhaupt zu wissen, welche KI-Systeme eingesetzt werden und
wofür. Hier wird es oft zu bösen Überraschungen kommen, wenn klar wird, wie
viele unregulierte KI-Anwendungen bereits durch die Mitarbeiter genutzt werden
(sog. „Shadow-AI“). Ohne Use-Case-Inventar und Risikoklassifizierung ist
Compliance kaum möglich. Hochrisiko-Anwendungen (z. B. in Beschäftigung,
Kreditwürdigkeit oder kritischer Infrastruktur) können umfangreiche
Anforderungen auslösen: Risikomanagement, , technische Dokumentation,
Protokollierung, menschliche Aufsicht, Robustheit und Cybersicherheit. Hier
besonders brisant: Die für Hochrisiko-Anwendungen definierten Anforderungen
werden ab dem 2. August 2026 verbindlich.
Auch dort, wo kein Hochrisiko vorliegt, sind Transparenzpflichten relevant –
etwa, wenn Nutzer mit einem System interagieren oder Inhalte synthetisch erzeugt
werden. Unternehmen sollten daher Vorgaben zur Kennzeichnung und Kommunikation
entwickeln, bevor es zu externen Beschwerden oder regulatorischen Nachfragen
kommt. Auch Bußgelder werden in Zukunft denkbar sein.
JETZT NEWSLETTER ABONNIEREN
TÄGLICH DIE WICHTIGSTEN INFOS ZU BIG DATA, ANALYTICS & AI
Geschäftliche E-Mail
Bitte geben Sie eine gültige E-Mailadresse ein.
Abonnieren
Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und
Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details)
einverstanden und akzeptiere die . Weitere Informationen finde ich in unserer .
Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von
redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu
Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).
Aufklappen für Details zu Ihrer Einwilligung
Stand: 08.12.2025
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit
Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von
Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden
Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer .
EINWILLIGUNG IN DIE VERWENDUNG VON DATEN ZU WERBEZWECKEN
Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH,
Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im
Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel
Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und
Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen
können abgerufen werden.
Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen
aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und
Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und
Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere
(redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im
Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote.
Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die
Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der
vorgenannten Unternehmen und Marktforschung genutzt werden.
Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und
Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten
Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel
Communications Group die genannten Daten gehasht an Werbepartner übermitteln,
die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied
auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt
diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und
Kundenbindung), der Generierung von sog. Lookalike Audiences zur
Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen.
Weitere Informationen kann ich dem Abschnitt „“ in der Datenschutzerklärung
entnehmen.
Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich
deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte
Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen
Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu
redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die
hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu
Marketingzwecken.
Recht auf Widerruf
Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft
widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund
meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um
meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter abrufbare
Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht
mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters
eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem
Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde
ich in der .
LIEFERKETTE UND VERTRÄGE: VENDOR-MANAGEMENT WIRD ZENTRAL
Viele KI-Funktionen kommen über Drittanbieter: SaaS-Tools, Plug-ins, APIs,
Agent-Frameworks. Damit steigen die Anforderungen an Beschaffung und
Vertragsgestaltung. Wesentliche Punkte sind: Datenschutz (AV-Verträge,
Unterauftragsverarbeiter), Informationssicherheit, Audit-Rechte, Support- und
Incident-Pflichten, Haftungsregeln, Sicherheitsupdates, Exit-Szenarien sowie
klare Zusagen, ob Eingaben/Outputs zu Trainingszwecken genutzt werden. Gerade
letzteres ist in der Praxis oft ein Deal-Breaker, wenn es hierbei kein
Mitbestimmungsrecht für das Unternehmen gibt.
SCHUTZ VON GESCHÄFTSGEHEIMNISSEN UND IP
Neben personenbezogenen Daten sind Geschäftsgeheimnisse gefährdet:
Strategiepapiere, Quellcode, Preiskalkulationen, Forschungsergebnisse. Ohne
klare Regeln landen solche Informationen schnell in Prompt-Logs oder externen
Systemen. Unternehmen benötigen daher eine Policy, welche Informationen nie in
externe Modelle eingegeben werden dürfen und welche technischen Sperren (DLP,
Proxy-Lösungen) sinnvoll sind. Zudem sollte geprüft werden, wie mit
urheberrechtlich relevanten Inhalten umzugehen ist – insbesondere bei
automatisierter Content-Erstellung.
GOVERNANCE: WENIGER PAPIER, MEHR FUNKTIONIERENDE LEITPLANKEN
Wirksam ist eine pragmatische KI-Governance, die den Produktivitätsgewinn nicht
abwürgt, aber Risiken steuert. Bewährt haben sich: ein unternehmensinternes
KI-Register (Tools und Use Cases), abgestufte Freigaben nach Risikoklasse,
Standard-Prompts und Qualitätschecklisten, Schulungen („was darf ich
eingeben?“), sowie ein klarer Incident-Prozess für Fehlverhalten, Data Leaks
oder diskriminierende Outputs. Zu beachten ist hier insbesondere, dass die
Vermittlung von KI-Kompetenzen im Unternehmen seit dem 2. Februar 2025 Pflicht
ist, sofern KI-Anwendungen im Unternehmen eingesetzt werden.
BETRIEB UND MONITORING: MODELLE ALTERN, RISIKEN WANDERN
KI-Systeme verhalten sich nicht statisch. Prompts ändern sich, Datenquellen
werden erweitert, Modelle werden aktualisiert, und damit ändern sich Qualität
und Fehlerrisiken. Sinnvoll sind daher regelmäßige Reviews: Stichproben zur
Output-Qualität, Bias-Checks in sensiblen Prozessen, Security-Tests
(Prompt-Injection, Datenexfiltration), sowie Monitoring, ob sich Ergebnisse über
Updates hinweg verändern. Wo KI automatisiert Entscheidungen vorbereitet, sollte
es Eskalationswege geben – inklusive der Möglichkeit, den Use Case schnell zu
stoppen („Kill Switch“).
UMSETZUNG IN 30 TAGEN: EIN PRAGMATISCHER STARTPLAN
Wer schnell Ordnung schaffen will, kann mit einem überschaubaren Paket beginnen:
(a) Inventar aller genutzten Tools und Use Cases, (b) Ampel-Klassifizierung nach
Risiko (niedrig/mittel/hoch), (c) klare Eingaberegeln für Daten und Geheimnisse,
(d) Standard-Freigabeprozess für externe Kommunikation, (e) Vendor-Checkliste
für Einkauf und IT, (f) kurze Pflichtschulung für Mitarbeiter. Damit entstehen
handhabbare Leitplanken, ohne die Nutzung zu blockieren.
SCHNITTSTELLEN ZU IT-SECURITY UND REGULIERUNG
KI-Einführungen sind auch ein Security-Projekt. Zugriffsrechte, Protokollierung,
Schlüsselmanagement für APIs und die Absicherung von Integrationen in
Ticketsysteme, CRM oder Code-Repos gehören von Beginn an dazu. In regulierten
Branchen kommen zusätzliche Rahmenwerke hinzu (z. B. Anforderungen der Aufsicht,
Informationssicherheitsstandards oder branchenspezifische Compliance). Wer KI
als Teil des ISMS betrachtet, reduziert Reibungsverluste.
Unterm Strich gilt: KI ist inzwischen Alltagstechnologie. Die eigentliche
Differenzierung entsteht durch professionelle Umsetzung – technisch,
organisatorisch und rechtlich.
ARTIKELFILES UND ARTIKELLINKS
Link:
(ID:50776375)