KI rechtssicher nutzen – Praxistipps für KMU

Montag, 08.30 Uhr im HR: Eine Mitarbeiterin kopiert Auszüge aus einem Bewerbungsdossier sowie Interview-Notizen in ein kostenloses KI-Tool und promptet: «Formuliere mir eine Absage für diese Bewerbung. Hier ist ein Mustertext aus dem Internet. Begründe professionell, aber klar und beziehe dich auf die Gesprächsnotizen und den Mustertext.»

Ein kurzer Prompt, in dem bereits mehrere rechtliche Themen stecken:

• Datenschutz: Bewerbungsunterlagen und Interview-Notizen sind Personendaten. Je nach Tool werden Daten an Dritte weitergegeben und unter Umständen ins Ausland bekannt gegeben. 
• Geheimhaltung und Vertraulichkeit: HR-Notizen sind häufig sensibel. Diese Problematik ist jedoch keineswegs nur auf den HR-Bereich beschränkt. Auch in anderen Bereichen werden KI-Tools oft mit vertraulichen Unternehmensinformationen oder vertraulichen Kundendaten gefüttert. 
• Urheber-/Lizenzrechte: «Im Internet gefunden» bedeutet nicht, dass das Gefundene frei verwendet werden darf. Urheberrechtlich geschützte Inhalte (z. B. Texte oder Bilder) können schon bei der Eingabe (Input) problematisch werden, wenn keine entsprechenden Nutzungsrechte bestehen oder der Anbieter Inhalte weiterverwenden darf.
• Haftungsrisiken: Sobald ein KI-Output nach aussen geht, wird daraus eine Erklärung des KMU. Die rechtliche Verantwortung verbleibt beim KMU, auch wenn der Inhalt KI-generiert wurde. 

Rechtlicher Rahmen

Diese Konstellation ist für KMU typisch. Fehlen freigegebene Tools, weichen Mitarbeitende auf privat genutzte oder kostenlose KI-Versionen aus, die zur sogenannten «Schatten-IT» gehören und vom Unternehmen weder geprüft noch kontrolliert werden. Das erhöht die Risiken von Datenabfluss, fehlender Nachvollziehbarkeit und intransparenten Vertragsgrundlagen. 

Der Einsatz von KI erfolgt jedoch nicht in einem rechtsfreien Raum. Auch ohne eigenständige KI-Gesetzgebung gelten bereits heute Normen, insbesondere aus dem Datenschutz-, Urheber-, Vertrags-, Arbeits- und Haftungsrecht. Je nach Geschäftsmodell, Zielmarkt, Datenbearbeitung und Einsatzkontext können zusätzlich europäische Vorgaben relevant werden, wie etwa die KI-Verordnung der Europäischen Union (EU AI Act) oder die Datenschutz-Grundverordnung (DSGVO).

Damit rückt ein risikobasierter Ansatz in den Vordergrund. Je stärker Personen, vertrauliche Informationen, Aussenwirkung oder Entscheidungen über Personen betroffen sind und je weniger das KMU die Datenflüsse und den Output kontrollieren kann, desto vertiefter haben Prüfung, Freigabe und Kontrolle zu erfolgen.

Der Quick-Check für die Praxis

Ein praktikabler Prüfprozess hilft, den Einsatz von KI im Betrieb einzuordnen. Der folgende Quick-Check zeigt, welche Daten eingegeben werden dürfen, wie Ergebnisse zu kontrollieren sind, welche Punkte beim Anbieter abzusichern sind und wie die Nutzung organisatorisch eingebettet werden kann.

Stufe 1: Use-Case-Check

Startpunkt ist stets der konkrete Anwendungsfall. Wofür soll das KI-Tool eingesetzt werden, in welchem Bereich (z. B. HR, Support, Marketing) und mit welcher Aussenwirkung? Zu unterscheiden ist zwischen interner Unterstützung (z. B. Entwurf/Brainstorming) und Anwendungen mit Aussenwirkung oder Entscheidungsbezug. Je näher der Use Case an Personen, sensiblen Themen oder Aussenwirkung liegt, desto höher sollten die Anforderungen an Review und Freigabe sein. 

Besondere Vorsicht ist dort angezeigt, wo KI Aussagen über Personen beeinflusst oder Entscheidungen vorbereitet. Im HR kann die Auswertung oder Vor­selektion von Bewerberdaten mit KI datenschutzrechtlich heikle Fragen auslösen, insbesondere mit Blick auf Profiling, Transparenz, Verhältnismässigkeit und automatisierte Einzelentscheidungen. Bei ausschliesslich automatisierten Einzelentscheidungen mit Rechtsfolge oder erheblicher Beeinträchtigung können zudem besondere Informationspflichten gelten. Ausserdem kann ein Anspruch auf Überprüfung durch eine natürliche Person bestehen. Im Arbeitsverhältnis gilt zudem, dass Personendaten nur in dem Umfang bearbeitet werden dürfen, der für das Arbeitsverhältnis erforderlich ist. Für solche Anwendungsfälle empfiehlt sich deshalb vorab eine kurze Risikoanalyse, die Datenschutz und Informationssicherheit gemeinsam betrachtet.

Stufe 2: Input-Check

Sobald Zweck und Einsatzbereich des KI-Tools feststehen, sollte das KMU festlegen, welche Datenkategorien in das Tool eingegeben werden dürfen und welche nicht. In der Praxis wird häufig unterschätzt, dass bereits ein scheinbar harmloser Prompt Personendaten, vertrauliche Geschäfts- oder Kundendaten oder urheberrechtlich geschützte Inhalte enthalten kann. Der Input ist deshalb nicht nur datenschutzrechtlich, sondern auch urheber- und lizenzrechtlich zu prüfen. Wird mit Texten, Bildern oder Vorlagen gearbeitet, müssen die erforderlichen Nutzungsrechte vorliegen und die Bearbeitung im Tool muss von diesen Rechten abgedeckt sein. 

Ohne klare Vorgaben weichen Mitarbeitende in der Praxis oft auf private oder kostenlose KI-Tools aus, die vom KMU weder geprüft noch freigegeben wurden. Statt pauschaler Verbote braucht es deshalb freigegebene Tools und klare Regeln für die Nutzung. Das KMU sollte freigegebene Tools definieren, klare Richtlinien festlegen und Mitarbeitende zu zulässigen Datenkategorien schulen. So lässt sich die Nutzung besser steuern, ohne den praktischen Einsatz unnötig zu erschweren. Für den Alltag empfiehlt sich eine einfache Einteilung in zulässige, heikle und gesperrte Inhalte. Als erster Anhaltspunkt kann die «Prompt-Ampel» dienen (siehe Abb. 2). Sind Use Case, Input und Datenkategorien definiert, stellt sich die Frage, was mit den Ergebnissen passieren darf.