Jakob Friedrich
Krüger, RA, FAArbR

KI & Datenschutz – Ein Praxisleitfaden für Compliance-Verantwortliche

Für Compliance-Verantwortliche ist KI kein technisches Projekt, sondern ein Thema der Corporate Governance. Sie müssen Risiken für Grundrechte, Diskriminierungsgefahren, Transparenzpflichten, Mitbestimmungsrechte und Haftungsfragen verstehen und in bestehende Compliance-Strukturen integrieren – ohne selbst KI-Entwickler oder Datenschützer sein zu müssen. Die rechtliche Prüfung sollte mit einfachen Leitfragen beginnen: Welche KI wird eingesetzt? Welche Daten fließen ein? Wer entscheidet am Ende? Wer kontrolliert das Ergebnis? Ist der Betriebsrat zu beteiligen? Wer trägt die Verantwortung, wenn etwas schiefläuft? Auch Pilotprojekte, Tests und „Proofs of Concept“ sind keine rechtsfreien Experimentierräume, sobald personenbezogene Daten verwendet werden oder Beschäftigteninteressen berührt sind. Dieser Beitrag soll Compliance-Verantwortlichen dabei helfen, mit den richtigen Fragen, klaren Zuständigkeiten, einer dokumentierten Risikobewertung und – im Beschäftigtenkontext – der frühzeitigen Klärung der Mitbestimmung die Anforderungen der KI-Compliance zu bewältigen.

I. Grundlagen von KI

Ein KI-System ist aus Unternehmenssicht eine besondere Form von Software. Im Gegensatz zu klassischer Software, bei der Entwickler alle Regeln explizit programmieren, „lernt“ ein KI-System Muster aus Daten und wendet sie auf neue Daten an, um Vorhersagen oder Entscheidungen zu treffen. Für die Compliance-Praxis ist weniger entscheidend, wie beeindruckend ein System technisch ist, sondern ob es aufgrund seiner Datenbasis, seines Einsatzkontexts und seiner Wirkung auf Menschen rechtliche Risiken auslöst.

Die KI-VO (KI-Verordnung / EU AI Act)1 ist die europäische Verordnung für Künstliche Intelligenz. Sie verfolgt einen risikobasierten Ansatz und regelt insbesondere Verbote, Transparenzpflichten sowie Anforderungen an Hochrisiko-KI-Systeme.

Sie definiert KI-Systeme als softwarebasierte Systeme, die mit bestimmten Techniken, etwa maschinellem Lernen, entwickelt werden und aus Eingabedaten ableiten, wie sie zur Erreichung eines vorgegebenen Ziels Ergebnisse erzeugen, Art. 3 Nr. 1 KI-VO.2

Vereinfacht gesagt: Ein KI-System arbeitet nicht nur starr nach vorher festgelegten Wenn-dann-Regeln, sondern leitet aus Daten Muster ab und nutzt diese Muster für Prognosen, Empfehlungen, Inhalte oder Entscheidungen. Umgekehrt ist nicht jede Automatisierung bereits KI: Eine Excel-Auswertung, ein fest programmierter Workflow oder eine einfache Wenn-dann-Regel können zwar datenschutzrechtlich relevant sein, fallen aber nicht automatisch unter den KI-Begriff der KI-VO.

In der Praxis lassen sich drei wichtige Kategorien unterscheiden. Für Compliance-Verantwortliche genügt meist eine grobe Einordnung; entscheidend ist, welche Risiken und Pflichten mit dem konkreten Einsatz verbunden sind:

• Systeme des „Machine Learning“ erkennen Muster in historischen Daten, zum Beispiel bei der Erkennung von Betrugsversuchen im Zahlungsverkehr.3
• Systeme des „Deep Learning“ nutzen besonders komplexe neuronale Netze, etwa für die Erkennung von Bildern, Sprache oder Textmustern.4
• Generative KI („Basismodelle“ oder „General Purpose AI“) erzeugt neue Inhalte wie Texte, Bilder oder Quellcode und kann für sehr unterschiedliche Aufgaben eingesetzt werden.5

In Unternehmen kommen solche Systeme vor allem in folgenden Bereichen vor:

• Im Personalbereich unterstützen sie die Vorselektion von Bewerbungen, die Auswertung von Leistungskennzahlen oder die Kommunikation mit Bewerberinnen und Bewerbern.
• Im Vertrieb und Marketing erstellen sie Kundenscores, schlagen ähnliche Zielgruppen vor oder personalisieren Werbemaßnahmen.
• Im Bereich Risk & Compliance überwachen sie Transaktionen, erkennen Auffälligkeiten im Hinblick auf Geldwäsche oder Betrug und analysieren Hinweise in Meldesystemen. Gerade bei Hinweisgebersystemen ist besondere Sensibilität geboten, weil neben den Daten der hinweisgebenden Person regelmäßig auch Daten beschuldigter oder dritter Personen verarbeitet werden und Fehlbewertungen erhebliche Folgen für Beschäftigte haben können.
• In Produktion und Logistik prognostizieren sie Ausfälle von Maschinen, optimieren Routen oder planen Bestände.

All diesen Anwendungen ist gemeinsam, dass sie in aller Regel personenbezogene Daten verarbeiten oder zumindest die Möglichkeit besteht, Personen zu identifizieren. Damit ist die DSGVO fast immer unmittelbar anwendbar, Art. 2 Abs. 1, Art. 4 Nr. 1 und Nr. 2 DSGVO.6 Als einfache Prüfregel gilt: Sobald ein KI-System Daten über Kunden, Beschäftigte, Bewerber, Nutzer, Lieferantenkontakte oder sonstige natürliche Personen verwendet, sollte von einem Datenschutzthema ausgegangen werden. Vorsicht ist auch bei pseudonymisierten, anonymisierten oder synthetischen Daten geboten: Ihre Erstellung kann selbst eine Verarbeitung personenbezogener Daten sein und sie schließen Personenbezug nicht automatisch aus.7

II. Die DSGVO als rechtlicher Rahmen für KI

Die DSGVO (Datenschutz-Grundverordnung) ist die zentrale EU-Verordnung für den Schutz personenbezogener Daten. Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und welche Rechte betroffene Personen haben.

Sobald ein KI-System Daten verarbeitet, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen, findet die DSGVO Anwendung. Dies gilt unabhängig davon, ob die Daten im Rahmen des Trainings, im laufenden Betrieb oder im Output des Systems verarbeitet werden, gem. Art. 2 Abs. 1, Art. 4 Nr. 1 und Nr. 2 DSGVO. Für die Praxis ist es hilfreich, KI nicht als einen einzigen Verarbeitungsvorgang zu betrachten, sondern nach Phasen zu unterscheiden: Datenerhebung, Training oder Feinabstimmung, Bereitstellung, Nutzung, Ausgabe von Ergebnissen und Weiterentwicklung. Für jede dieser Phasen kann eine eigene datenschutzrechtliche Bewertung erforderlich sein.

Im ersten Schritt müssen die Rollen geklärt werden. Typischerweise ist das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet, Verantwortlicher im Sinne der DSGVO. Nutzt dieses Unternehmen ein externes KI-Tool, ist der Anbieter häufig Auftragsverarbeiter. Dann ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, der insbesondere Gegenstand und Zweck der Verarbeitung, Datenkategorien, Sicherheitsmaßnahmen und Kontrollrechte regelt, Art. 4 Nr. 7 und Nr. 8, Art. 28 DSGVO.

Praktisch sollte Compliance mit der Frage beginnen: Entscheidet der Anbieter nur technisch über die Durchführung, oder nutzt er die Daten auch für eigene Zwecke, etwa zur Produktverbesserung oder zum Training eigener Modelle? Zusätzlich ist zu prüfen, ob sich Rollen im Projektverlauf ändern können, etwa wenn ein Unternehmen ein fremdes System wesentlich anpasst, mit eigenen Daten weitertrainiert oder unter eigenem Namen anbietet.

Verantwortlicher/Auftragsverarbeiter: Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

In manchen Konstellationen bestimmen Anbieter und Kunde gemeinsam, zu welchen Zwecken und mit welchen Mitteln das KI-System eingesetzt wird. Dann liegt eine gemeinsame Verantwortlichkeit vor, die nach Art. 26 DSGVO eine Vereinbarung zur Festlegung der jeweiligen Zuständigkeiten erfordert.

Die grundlegenden Prinzipien des Datenschutzes aus Art. 5 DSGVO bilden den rechtlichen Rahmen für jede KI-Anwendung, Art. 5 Abs. 1 und Abs. 2 DSGVO.8 Für Compliance-Verantwortliche empfiehlt es sich, diese Grundsätze in konkrete Prüffragen für jedes KI-Projekt zu übersetzen. Das bedeutet insbesondere:

• Die Verarbeitung muss rechtmäßig, transparent und fair sein.
• Die Daten dürfen nur für eindeutige, legitime Zwecke erhoben und nicht in unzulässiger Weise für andere Zwecke weiterverwendet werden.
• Es dürfen nur solche Daten verarbeitet werden, die für die Zwecke erforderlich sind (Datenminimierung).
• Die Daten müssen sachlich richtig und, soweit erforderlich, auf dem neuesten Stand sein.
• Die Speicherung darf nicht länger erfolgen, als es für die Zwecke notwendig ist.
• Es sind geeignete technische und organisatorische Maßnahmen zu treffen, um Sicherheit und Vertraulichkeit zu gewährleisten.
• Der Verantwortliche muss die Einhaltung dieser Grundsätze nachweisen können (Rechenschaftspflicht).

Gerade im Bereich der KI ist das Prinzip der Zweckbindung besonders wichtig. Wenn etwa historische Kundendaten ursprünglich zur Abwicklung von Verträgen erhoben wurden, dürfen diese nicht ohne Weiteres für das Training eines Modells zur Personalbewertung oder für andere, davon losgelöste Zwecke eingesetzt werden. Soll ein vorhandener Datenbestand nachträglich für KI-Training oder Modellverbesserung genutzt werden, ist zu prüfen und zu dokumentieren, ob der neue Zweck mit dem ursprünglichen Zweck vereinbar ist, oder eine neue Rechtsgrundlage benötigt wird, Art. 5 Abs. 1 lit. b DSGVO.

Besondere Vorsicht ist geboten, wenn es um sensible Daten geht. Art. 9 DSGVO regelt die Verarbeitung besonderer Kategorien personenbezogener Daten, etwa zur Gesundheit, zur ethnischen Herkunft oder zur politischen Meinung. Der Einsatz von KI im medizinischen Bereich, bei psychometrischen Analysen oder bei der Emotionserkennung berührt häufig diese Sphäre und ist nur in eng begrenzten Ausnahmefällen zulässig.9 Sensible Daten können nicht nur ausdrücklich eingegeben werden, sondern auch mittelbar aus scheinbar harmlosen Angaben abgeleitet werden, etwa wenn Verhaltensdaten Rückschlüsse auf Gesundheit, Religion oder politische Einstellung zulassen können.10

III. Spezifische Risiken von KI im Datenschutz

Der Einsatz von KI bringt einige Risiken mit sich, die über die „klassische“ Datenverarbeitung hinausgehen.

Ein zentrales Problem besteht darin, dass viele KI-Modelle nur schwer nachvollziehbar sind. Sie gelten als „Black Box“, weil selbst Fachleute im Einzelfall nicht genau erklären können, warum das System eine bestimmte Entscheidung getroffen hat. Aus datenschutzrechtlicher Sicht erschwert dies Transparenz- und Informationspflichten sowie die Kontrolle, ob die Verarbeitung fair und diskriminierungsfrei erfolgt.11 Erforderlich ist kein vollständig erklärbares System, aber ein angemessenes Verständnis der wesentlichen Einflussfaktoren, Grenzen und Kontrollmechanismen. Hinzu kommt bei generativer KI das Risiko sogenannter Halluzinationen: Das System kann falsche Informationen überzeugend formulieren. Werden solche Aussagen Personen zugeordnet, kann dies den Grundsatz der Richtigkeit und Berichtigungsansprüche berühren.

Hinzu kommt, dass KI-Systeme aus Daten lernen und damit auch bestehende Vorurteile und Ungleichbehandlungen übernehmen können. Wenn ein Modell zum Beispiel aus historischen Bewerbungsdaten lernt, dass bestimmte Gruppen in der Vergangenheit seltener eingestellt wurden, besteht die Gefahr, dass es diese Ungleichbehandlung reproduziert oder verstärkt. Ähnliches gilt für Anwendungen wie Gesichtserkennung, bei denen Studien gezeigt haben, dass die Fehlerraten bei bestimmten Bevölkerungsgruppen höher sein können. Für die Unternehmenspraxis kommt ein weiteres Risiko hinzu: Menschen neigen dazu, einem technisch erzeugten Ergebnis besonderes Gewicht beizumessen. Dieser „Automation Bias“ kann dazu führen, dass Mitarbeitende KI-Vorschläge weniger kritisch prüfen als menschliche Einschätzungen.

Im Datenschutzrecht werden Profiling und automatisierte Entscheidungsfindung besonders kritisch betrachtet. Art. 22 DSGVO schützt Betroffene davor, Entscheidungen zu unterliegen, die ausschließlich automatisiert erfolgen, rechtliche Wirkungen entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.12 Ein typisches Beispiel ist die automatisierte Ablehnung eines Kredits oder einer Bewerbung. Wenn KI hier zum Einsatz kommt, muss sichergestellt sein, dass eine wirksame menschliche Überprüfung stattfindet und der Mensch nicht nur formal die Entscheidung „abnickt“. Eine wirksame menschliche Kontrolle setzt voraus, dass die prüfende Person das Ergebnis tatsächlich hinterfragt, zusätzliche Informationen berücksichtigt und vom KI-Vorschlag abweichen darf.13

Zudem besteht die Gefahr eines sogenannten „Function Creep“. Ein KI-System, das ursprünglich für einen eng umgrenzten Zweck eingesetzt wurde, wird später aus Bequemlichkeit oder Kostengründen für andere Zwecke „mitverwendet“. So kann etwa ein System zur Marketing-Analyse später für Personalentscheidungen genutzt werden, ohne dass Rechtsgrundlage, Informationspflichten oder Risikobewertung angepasst wurden. Dies verstößt gegen die Zweckbindung und kann erhebliche Bußgelder auslösen.

Ein weiteres Spannungsfeld betrifft den Datenhunger der Systeme. Viele Anbieter argumentieren, dass Modelle nur dann gut funktionieren, wenn sie möglichst viele Daten und Merkmale verarbeiten. Die DSGVO verlangt dagegen, dass nur solche Daten verarbeitet werden dürfen, die für den Zweck erforderlich sind. Compliance-Verantwortliche müssen daher ein Gegengewicht zur Tendenz „alles sammeln, was verfügbar ist“ bilden und kritisch hinterfragen, ob alle geplanten Daten und Attribute notwendig sind.14 Anonymisierung, Pseudonymisierung und synthetische Daten können Risiken reduzieren, ersetzen aber nicht die datenschutzrechtliche Prüfung. Pseudonymisierte Daten bleiben personenbezogene Daten, solange eine Zuordnung mit Zusatzinformationen möglich ist, Art. 4 Nr. 5 DSGVO.15

Schließlich bringt KI neue Arten von Sicherheitsrisiken mit sich. Angriffe wie „Prompt Injection“ können dazu führen, dass ein generatives System vertrauliche Informationen preisgibt oder unerwünschte Aktionen ausführt. Andere Angriffe zielen darauf ab, Teile des Modells auszulesen oder aus dem Verhalten des Systems Rückschlüsse auf verwendete Trainingsdaten zu ziehen. Solche Risiken berühren die Pflicht zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO. Unternehmen sollten deshalb ihre Prozesse für Datenschutzvorfälle auf KI-Szenarien erweitern, etwa unbeabsichtigte Offenlegung durch Prompts, fehlerhafte Berechtigungen, Datenabfluss über Schnittstellen oder diskriminierende automatisierte Entscheidungen. Je nach Risiko können Melde- und Benachrichtigungspflichten ausgelöst werden, Art. 33, Art. 34 DSGVO.

IV. Rechtsgrundlagen für den KI-Einsatz

Jede Verarbeitung personenbezogener Daten durch KI benötigt eine Rechtsgrundlage. Für Compliance-Verantwortliche ist wichtig, typische Konstellationen zu erkennen und sauber zu begründen. Praktisch sollte die Prüfung mit dem konkreten Zweck beginnen: Welches Problem soll die KI lösen, welche personenbezogenen Daten werden dafür benötigt, und welche Folgen kann das Ergebnis für Betroffene haben? Außerdem sollte die Rechtsgrundlage nicht pauschal für „die KI“ bestimmt werden. Häufig sind Datenerhebung, Training, Betrieb, Output-Nutzung und Weiterentwicklung getrennt zu betrachten, weil sich Zwecke, Betroffenengruppen und Risiken unterscheiden können.

In vielen Fällen wird der Einsatz von KI zur Erfüllung eines Vertrags im Sinne von Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt werden können. Das ist etwa der Fall, wenn eine Bank KI zur Betrugsprävention im Onlinebanking einsetzt, um den Kundenvertrag sicher abzuwickeln.

Häufig stützen Unternehmen KI-Verarbeitungen auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Dies kommt für interne Optimierungen, Risikoanalysen oder Marketingauswertungen in Betracht. Zulässig ist eine solche Verarbeitung nur, wenn in einer Interessenabwägung festgestellt wird, dass die Unternehmensinteressen die Interessen und Grundrechte der Betroffenen überwiegen. Je intensiver die KI in die Privatsphäre eingreift und je stärker sie Profiling-Elemente enthält, desto strenger fällt diese Abwägung aus.16 Im Beschäftigungskontext ist zudem § 26 BDSG zu prüfen, wenn KI zur Verarbeitung von Beschäftigtendaten eingesetzt wird. In der Praxis hilft ein dreistufiges Vorgehen: Zunächst wird das berechtigte Interesse konkret beschrieben, dann die Erforderlichkeit der Datenverarbeitung geprüft und schließlich eine Abwägung mit den Interessen der Betroffenen dokumentiert.

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist ebenfalls möglich, aber gerade im Beschäftigungskontext problematisch. Im Arbeitsverhältnis wird häufig bezweifelt, dass die Einwilligung freiwillig erteilt wird, da ein Abhängigkeitsverhältnis besteht. Zudem kann die Einwilligung jederzeit widerrufen werden, was technische und organisatorische Herausforderungen für die weitere Nutzung des Systems mit sich bringt. Compliance-Verantwortliche sollten Einwilligungen daher nicht als einfache Universallösung betrachten, sondern prüfen, ob sie praktisch widerrufsfest, transparent und ohne Drucksituation eingeholt werden können.

Wenn besondere Kategorien personenbezogener Daten betroffen sind, müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO erfüllt sein. Das betrifft insbesondere KI-Anwendungen im Gesundheitsbereich, in der biometrischen Identifikation oder in der Emotionserkennung. Der Gesetzgeber hat nur wenige Ausnahmen vorgesehen, etwa wenn die betroffene Person ausdrücklich eingewilligt hat oder wenn die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich ist.

Im Beschäftigtenkontext sind neben der DSGVO auch arbeitsrechtliche Regelungen, das Allgemeine Gleichbehandlungsgesetz (AGG) und die Beteiligungsrechte des Betriebsrats zu beachten. Der Einsatz von KI im Recruiting kann Effizienzvorteile bringen, erhöht aber das Risiko der Diskriminierung; zudem sind die Grenzen durch Art. 22 DSGVO zu beachten. Eine KI darf insbesondere nicht autonom darüber entscheiden, wer eine Zu- oder Absage erhält; die endgültige Entscheidung muss bei einem menschlichen Verantwortlichen liegen. Hinzu kommt die Mitbestimmung: Soweit KI-Systeme geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, ist regelmäßig § 87 Abs. 1 Nr. 6 BetrVG berührt. Je nach Ausgestaltung können außerdem Beteiligungsrechte, etwa bei der Ordnung des Betriebs, bei Beurteilungsgrundsätzen, Auswahlrichtlinien, Qualifizierungsmaßnahmen oder der Personalplanung, einschlägig sein. Deshalb sollten HR-, Compliance- und Datenschutzverantwortliche den Betriebsrat frühzeitig einbinden, statt die Beteiligung erst kurz vor dem Roll-out nachzuholen.

V. Betroffenenrechte und Transparenz

Die DSGVO gewährt den betroffenen Personen umfangreiche Rechte, die auch beim Einsatz von KI uneingeschränkt gelten.

Zunächst besteht eine Informationspflicht nach Art. 13 und 14 DSGVO. Unternehmen müssen verständlich erklären, dass sie KI einsetzen, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage die Verarbeitung beruht und welche Folgen der Einsatz für die Betroffenen hat. Bei komplexen Systemen reicht eine pauschale Erwähnung „wir nutzen KI“ in der Datenschutzerklärung nicht aus. Vielmehr muss zumindest in allgemeinen Worten die Funktionsweise beschrieben werden.17 Die Information muss so formuliert sein, dass ein durchschnittlicher Betroffener versteht, ob die KI ihn nur unterstützt, ob sie ihn bewertet oder ob sie Grundlage einer Entscheidung über ihn wird. Für Compliance empfiehlt sich ein zweistufiger Ansatz: eine kurze, verständliche Erklärung für Betroffene und eine ausführlichere interne Dokumentation für Datenschutz, Audit und Aufsichtsbehörden.

Betroffene haben außerdem ein Recht auf Auskunft nach Art. 15 DSGVO. Sie können verlangen zu erfahren, welche Daten über sie verarbeitet werden und welche „Logik“ bei einer automatisierten Entscheidung zugrunde liegt. Daraus ergibt sich die Pflicht, Entscheidungen von KI-Systemen zumindest in einer für Laien nachvollziehbaren Weise zu erklären. Es ist nicht erforderlich, den Programmcode oder alle Parameter des Modells offenzulegen, aber Betroffene müssen verstehen können, welche wesentlichen Faktoren zu der Entscheidung beigetragen haben.18

Wenn Entscheidungen ausschließlich automatisiert getroffen werden und rechtliche Wirkung entfalten oder Betroffene erheblich beeinträchtigen, kommen zusätzlich die besonderen Rechte nach Art. 22 DSGVO zum Tragen. Betroffene haben dann das Recht, einen menschlichen Entscheidungsträger einzuschalten, ihren Standpunkt darzulegen und die Entscheidung anzufechten. Damit diese Rechte nicht nur auf dem Papier bestehen, müssen Unternehmen organisatorische Prozesse etablieren, in denen Beschwerden geprüft und Entscheidungen gegebenenfalls korrigiert werden. Praktisch setzt dies voraus, dass wesentliche Eingaben, Systemversionen, Entscheidungsschritte, menschliche Prüfungen und Abweichungen vom KI-Vorschlag nachvollziehbar dokumentiert werden. Ohne solche Protokolle lässt sich eine Entscheidung später kaum erklären oder korrigieren.

Schließlich steht Betroffenen das Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch zu. Die praktische Umsetzung ist bei KI-Anwendungen oft anspruchsvoll, insbesondere wenn Daten als Teil eines Trainingsdatensatzes in ein Modell eingeflossen sind. Es stellt sich dann die Frage, ob eine Löschung einzelner Datenpunkte aus der Datenbasis genügt oder ob das Modell neu trainiert werden muss. Absolut perfekte Lösungen sind hier in der Praxis selten möglich. Wichtig ist, dass Unternehmen ein nachvollziehbares Konzept vorlegen können, wie sie mit solchen Anforderungen umgehen und in welchen Intervallen Modelle überprüft und gegebenenfalls neu trainiert werden. Für Compliance bedeutet dies: Betroffenenrechte sollten nicht erst im Beschwerdefall improvisiert werden, sondern bereits vor Freigabe des KI-Systems als Prozess beschrieben sein.

VI. Datenschutz-Folgenabschätzung und Risikomanagement

Wenn eine KI-Anwendung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich.

Eine DSFA ist die strukturierte Prüfung einer Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Sie dient dazu, Risiken frühzeitig zu erkennen und geeignete Schutzmaßnahmen festzulegen.

Typische Fälle sind umfangreiches Profiling, automatisierte Entscheidungen mit erheblichen Auswirkungen, die Verarbeitung sensibler Daten oder Überwachungsanwendungen.19 Die DSFA ist kein Datenschutzformular, sondern ein Managementinstrument: Sie zwingt dazu, Zweck, Daten, Risiken, Schutzmaßnahmen und Verantwortlichkeiten vor dem Einsatz systematisch zu klären. Auch wenn am Ende keine DSFA durchgeführt wird, sollte die Schwellenprüfung dokumentiert werden, damit nachvollziehbar ist, warum das Unternehmen ein hohes Risiko verneint hat.

Viele Anwendungsfälle, die die KI-VO als Hochrisiko-Systeme einstuft, dürften daher gleichzeitig DSFA-pflichtig sein, jedoch sollte es immer eine Einzelfallprüfung geben. Die DSFA dient dazu, die geplante Verarbeitung strukturiert zu beschreiben, Risiken zu identifizieren und geeignete Maßnahmen zu ihrer Eindämmung festzulegen.20

Im Rahmen einer DSFA für ein KI-Projekt sollten Unternehmen zunächst das System, seine Zwecke, die betroffenen Personengruppen und die Kategorien der verarbeiteten Daten beschreiben. Anschließend ist zu prüfen, welche datenschutzrechtlichen Risiken bestehen, etwa im Hinblick auf Diskriminierung, Intransparenz, Zweckänderungsgefahren oder Sicherheitsrisiken. Das Unternehmen muss dann bewerten, wie wahrscheinlich diese Risiken eintreten und welche Auswirkungen sie haben könnten. Auf dieser Grundlage sind technische, organisatorische und vertragliche Maßnahmen zu entwerfen, etwa Pseudonymisierung, Einschränkung von Datenfeldern, zusätzliche menschliche Kontrollschritte oder verstärkte Sicherheitsmaßnahmen.

Eine DSFA ist keine rein juristische Übung. Sie erfordert die Zusammenarbeit zwischen Datenschutzbeauftragtem, IT-Sicherheit, Fachabteilungen und Management. Für Compliance-Verantwortliche ist dabei wichtig, die Fachabteilung in die Verantwortung zu nehmen: Sie kennt den Zweck, die Datenquellen und die tatsächliche Nutzung des Systems meist besser als die Rechts- oder Datenschutzfunktion. Bei KI-Systemen im Beschäftigtenkontext sollte zudem früh geprüft werden, ob und in welchem Umfang der Betriebsrat einzubeziehen ist. Das gilt insbesondere bei Systemen, die Auswahlentscheidungen vorbereiten, Verhalten oder Leistung auswerten, Qualifizierungsbedarfe verändern oder Auswirkungen auf Arbeitsabläufe und Arbeitsbelastung haben können. Praktisch empfiehlt es sich, Datenschutzprüfung, arbeitsrechtliche Bewertung und Beteiligungsverfahren nicht nacheinander, sondern parallel zu organisieren, damit Freigaben, DSFA und Mitbestimmung nicht auseinanderlaufen.

VII. Organisatorische Verankerung von KI-Compliance

Damit KI- und Datenschutzanforderungen nicht nur punktuell, sondern dauerhaft erfüllt werden, sollten Unternehmen eine strukturierte KI-Governance21 etablieren.

Ein erster Schritt besteht darin, ein KI-Register zu führen. In diesem Inventar werden alle KI-Systeme erfasst, die im Unternehmen eingesetzt werden, einschließlich Angaben zu Anbieter, Einsatzbereich, verarbeiteten Daten, Risikoklasse nach KI-VO, Datenschutzstatus und verantwortlichen Personen. Dieses Register bildet die Basis für Risikoanalysen, interne Audits und die Priorisierung von Maßnahmen.22 Für die Praxis genügt zu Beginn eine Leitfrage: Welche Systeme im Unternehmen erzeugen automatisiert Bewertungen, Empfehlungen, Inhalte oder Entscheidungen, die Menschen betreffen können? Sinnvolle Mindestfelder sind: Systemname, Fachbereich, Zweck, Anbieter, Nutzergruppe, Datenkategorien, Betroffenengruppen, Rechtsgrundlage, Drittlandbezug, Risikoklasse, DSFA-Status, Vertragsstatus, verantwortliche Person und nächster Review-Termin.

Darüber hinaus ist es sinnvoll, klare Rollen und Verantwortlichkeiten festzulegen. Viele Unternehmen benennen eine koordinierende Stelle, etwa einen „KI-Verantwortlichen“ oder ein interdisziplinäres „AI Board“, in dem Compliance, Datenschutz, IT, Fachbereiche und gegebenenfalls der Betriebsrat vertreten sind. Dieses Gremium kann neue Projekte prüfen, Risiken bewerten und den Freigabeprozess steuern. Wichtig ist, dass ein solches Gremium nicht nur beratend existiert, sondern klare Eskalations- und Entscheidungsbefugnisse erhält, etwa bei Hochrisiko-Anwendungen. Soweit förmliche Beteiligungsrechte des Betriebsrats bestehen, kann ein solches Gremium die Mitbestimmung jedoch nicht ersetzen; es kann sie nur vorbereiten und strukturieren.

Für neue KI-Projekte empfiehlt sich ein standardisierter Ablauf. Zunächst sollte die Fachabteilung eine Projektidee mit einer ersten Beschreibung der Zwecke und der verwendeten Daten einreichen. Danach prüft eine kleine Runde aus Compliance, Datenschutz und IT, ob die KI-VO einschlägig ist, welche Risikoklasse vorliegt, ob eine DSFA erforderlich ist und ob Beteiligungsrechte des Betriebsrats ausgelöst werden. Erst auf dieser Basis wird entschieden, ob das Projekt fortgesetzt, angepasst oder verworfen wird. Nach der Freigabe sollten regelmäßige Reviews und Monitoring vorgesehen werden, um Veränderungen in der Risikolage oder in den rechtlichen Anforderungen zu berücksichtigen.

Besonders hilfreich sind einfache „Gatekeeper-Fragen“:

• Gibt es personenbezogene Daten?
• Gibt es sensible Daten?
• Gibt es automatisierte Entscheidungen?
• Gibt es externe Anbieter?
• Gibt es Datenübermittlungen in Drittländer?
• Gibt es Auswirkungen auf Beschäftigte oder Kunden?
• Ist eine Mitbestimmung nach dem BetrVG auszulösen?

Zusätzlich sollte ein Änderungsmanagement vorgesehen werden: Wenn Zweck, Datenquellen, Anbieter, Modellversion, Nutzerkreis oder Entscheidungswirkung wesentlich geändert werden, muss die Freigabeprüfung erneut angestoßen werden.

Unternehmen sollten zudem interne Richtlinien zum Umgang mit KI erlassen. Eine „AI Use Policy“ kann regeln, welche Systeme verwendet werden dürfen, welche Daten nicht in externe Dienste eingegeben werden dürfen, wie mit vertraulichen Informationen umzugehen ist und welche Genehmigungen vor dem Einsatz neuer Tools erforderlich sind. Ergänzend kann eine Policy zu „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ festlegen, wie Datenschutzanforderungen von Beginn an in KI-Projekte integriert werden. Für Mitarbeitende sollte die Richtlinie möglichst konkret formuliert sein, etwa mit Beispielen für zulässige und unzulässige Prompts, Vorgaben zur Prüfung von KI-Ergebnissen und klaren Ansprechpartnern für Zweifelsfälle. Ein besonderer Fokus sollte auf „Schatten-KI“ liegen, also auf nicht freigegebenen Tools, die Mitarbeitende eigenständig nutzen. Die Richtlinie sollte hierfür praktikable Alternativen und einen einfachen Freigabeweg anbieten. Soweit solche Vorgaben das Ordnungsverhalten im Betrieb betreffen oder mit technischen Überwachungsmöglichkeiten verbunden sind, ist zu prüfen, ob der Betriebsrat mitzubestimmen hat.

Ein weiterer wichtiger Baustein ist die Schulung der Mitarbeitenden. Die KI-VO schreibt vor, dass Anbieter und Betreiber von KI-Systemen dafür sorgen müssen, dass die Mitarbeitenden über ausreichende KI-Kompetenz verfügen, Art. 4 KI-VO23. Für Compliance bedeutet das, dass Führungskräfte und Mitarbeitende, die mit KI-Systemen arbeiten, grundlegendes Wissen über Chancen und Risiken, Haftungsfragen, Diskriminierungsgefahren und Datenschutzanforderungen erhalten sollten. Die Schulung sollte rollenbezogen erfolgen: Die Personalabteilung benötigt andere Beispiele als der Vertrieb, die IT oder das Management. Im Beschäftigtenkontext sind zudem die Beteiligungsrechte des Betriebsrats bei Qualifizierungsmaßnahmen mitzudenken; KI-Kompetenz ist deshalb nicht nur ein Regulierungs-, sondern auch ein arbeitsorganisatorisches Thema.

VIII. Zusammenarbeit mit KI-Anbietern

Viele Unternehmen werden KI nicht selbst entwickeln, sondern externe Lösungen nutzen, so kommt den Vertragsbeziehungen zu Anbietern besondere Bedeutung zu. Für Compliance-Verantwortliche ist dabei entscheidend, nicht nur die allgemeinen Vertragsbedingungen zu prüfen, sondern die praktische Frage zu stellen, ob der Anbieter die Informationen liefert, die das Unternehmen für seine eigene DSGVO- und KI-VO-Compliance benötigt.

In der Vertragsgestaltung müssen zunächst die Rollen klar definiert werden. Ist der Anbieter lediglich Auftragsverarbeiter, muss ein Vertrag nach Art. 28 DSGVO geschlossen werden. Dieser sollte detaillierte Regelungen zu den technischen und organisatorischen Maßnahmen enthalten, die der Anbieter ergreift, um die Sicherheit der Daten zu schützen. Zudem sollte der Kunde Kontroll- und Auditrechte erhalten, um die Einhaltung der Vereinbarung zu überprüfen. Ergänzend ist ein Exit-Szenario zu regeln: Was geschieht mit Trainingsdaten, Prompts, Outputs, Logdaten und kundenspezifischen Anpassungen bei Vertragsende, Anbieterwechsel oder Deaktivierung des Systems?

Darüber hinaus sollte die vertragliche Dokumentation Transparenzpflichten des Anbieters vorsehen. Der Anbieter sollte Informationen zur Funktionsweise des Systems, zu den verwendeten Datenkategorien, zu den Risikobewertungen und zu etwaigen bekannten Bias-Risiken bereitstellen. Dies ist notwendig, damit der Kunde seine eigenen datenschutzrechtlichen Pflichten erfüllen und etwa DSFAen durchführen kann. Praktisch sollten Unternehmen insbesondere fragen, ob Kundendaten zum Training verwendet werden, wo Daten gespeichert werden, welche Unterauftragnehmer eingesetzt werden, wie Lösch- und Auskunftsersuchen unterstützt werden und welche Nachweise im Auditfall verfügbar sind. Vertraglich sollte außerdem geregelt werden, ob Eingaben und Outputs für Training, Produktverbesserung oder Qualitätssicherung genutzt werden dürfen, ob ein Opt-out besteht und welche Löschfristen für Prompts, Logs und Supportdaten gelten.

Im Hinblick auf die KI-VO ist zu berücksichtigen, dass Anbieter von Hochrisiko-KI-Systemen zahlreiche zusätzliche Pflichten tragen, etwa im Risikomanagement, bei der Datenqualität, der Dokumentation, der menschlichen Aufsicht und der Techniksicherheit.24 Unternehmen sollten vertraglich absichern, dass der Anbieter diese Verpflichtungen erfüllt und ihnen entsprechende Nachweise zur Verfügung stellt. Gleichzeitig dürfen Betreiber ihre eigene Rolle nicht unterschätzen: Sie müssen Hochrisiko-KI-Systeme entsprechend der Betriebsanleitung verwenden, menschliche Aufsicht sicherstellen, Eingabedaten kontrollieren, relevante Protokolle aufbewahren und den Anbieter über Auffälligkeiten informieren.

IX. Die KI-VO und ihr Zusammenspiel mit der DSGVO

Die KI-VO ist seit dem 1. 8. 2024 in Kraft und gilt schrittweise, Art. 113 KI-VO. Seit dem 2. 2. 2025 sind KI-Systeme mit unvertretbarem Risiko – etwa bestimmte Formen des Social Scoring, manipulative Systeme oder emotionserkennende Systeme am Arbeitsplatz – verboten, Art. 5 KI-VO. Außerdem besteht seit diesem Zeitpunkt eine Pflicht zur Sicherstellung ausreichender KI-Kompetenz bei Anbietern und Betreibern, Art. 4 KI-VO. Ab dem 2. 8. 2025 gelten weitere Regelungen, insbesondere für KI-Modelle mit allgemeinem Verwendungszweck (Basismodelle). Weitere Pflichten der KI-VO werden stufenweise bis 2027 wirksam.

Die KI-VO verfolgt einen risikobasierten Ansatz und unterscheidet zwischen unvertretbarem, hohem, begrenztem und minimalem Risiko, Art. 6 KI-VO. KI-Systeme mit unvertretbarem Risiko sind verboten. Hochrisiko-Systeme, etwa im Bereich Kreditwürdigkeit, Personalmanagement oder kritische Infrastruktur, unterliegen strengen Anforderungen. Systeme mit begrenztem Risiko müssen bestimmte Transparenzpflichten erfüllen, etwa die Kennzeichnung von Chatbots, während Systeme mit minimalem Risiko keine zusätzlichen Pflichten über die allgemeinen Grundsätze hinaus auslösen.25

Die KI-VO ergänzt die DSGVO, ersetzt sie aber nicht. Während die DSGVO Fragen des Datenschutzes, der Rechtsgrundlagen, der Betroffenenrechte und der Datensicherheit regelt, konzentriert sich die KI-VO auf Produktsicherheit, Risikomanagement, Transparenz und Konformitätsbewertung von KI-Systemen. In der Praxis überlagern sich beide Regime insbesondere bei Hochrisiko-KI-Systemen. Vereinfacht: Die DSGVO regelt, ob und wie personenbezogene Daten verarbeitet werden dürfen; die KI-VO, ob das KI-System als solches sicher, beherrschbar und transparent betrieben wird. Besondere Aufmerksamkeit verdient die Veränderung bestehender Systeme: Wer ein KI-System wesentlich ändert, anders einsetzt oder unter eigenem Namen bereitstellt, kann zusätzliche Pflichten entlang der KI-Wertschöpfungskette auslösen.

Die KI-VO sieht zudem vor, dass Anbieter schwerwiegende Vorfälle im Zusammenhang mit Hochrisiko-KI-Systemen melden müssen, Art. 73 KI-VO. Die EU-Kommission hat dazu Leitlinien und ein Reporting-Template angekündigt, die den Unternehmen helfen sollen, diese Pflichten zu erfüllen.

X. Praxisbeispiele

Ein praktisches Beispiel ist die Nutzung eines KI-gestützten Recruiting-Tools. Ein solches System bewertet Bewerbungen vor und schlägt der Personalabteilung geeignete Kandidatinnen und Kandidaten vor. Aus Sicht der Compliance müssen mehrere Punkte geprüft werden: Welche Daten fließen in das System ein und haben sensible Merkmale – etwa Herkunft, Geschlecht oder Gesundheitsangaben – direkt oder indirekt Einfluss auf die Bewertung? Zudem muss geklärt werden, ob die Entscheidung ausschließlich automatisiert erfolgt oder ob ein Mensch sie überprüft. Ein KI-Tool darf nicht autonom darüber entscheiden, wer eine Zu- oder Absage erhält; die Entscheidung muss beim Arbeitgeber verbleiben. Arbeitsrechtlich ist zu prüfen, ob das System Auswahlrichtlinien, Beurteilungsgrundsätze oder Mitbestimmungsrechte des Betriebsrats berührt. Das gilt erst recht, wenn das Tool Rankings, Scores oder vergleichende Bewertungen erzeugt oder wenn interne Bewerbungen betroffen sind.26

Für Compliance-Verantwortliche bieten sich Kontrollfragen an:

• Welche Kriterien nutzt das Tool?
• Können Bewerber die Entscheidung nachvollziehen?
• Wird das Ergebnis dokumentiert?
• Darf die Personalabteilung begründet vom Vorschlag abweichen?
• Und ist der Betriebsrat rechtzeitig eingebunden?

Schließlich setzen viele Unternehmen generative KI-Tools ein, etwa zur Erstellung von Texten oder Präsentationen. Schon hier stellt sich die Frage, ob Mitarbeitende vertrauliche Informationen oder personenbezogene Daten in externe Systeme eingeben, wie die Ergebnisse verwendet werden dürfen und ob urheberrechtliche Vorgaben eingehalten werden. Auch Fragen im Zusammenhang mit dem Urheberrecht sind noch zu klären.27

Eine interne Policy sollte deshalb klar regeln, dass keine Geschäftsgeheimnisse, personenbezogenen Daten, Mandanteninformationen, Kundendaten oder unveröffentlichten Unternehmensunterlagen in frei verfügbare KI-Dienste eingegeben werden dürfen, sofern hierfür keine Freigabe besteht. Ebenso sollte geregelt werden, dass KI-Outputs vor externer Verwendung fachlich geprüft werden müssen, insbesondere wenn sie personenbezogene Aussagen, rechtliche Bewertungen, Produktversprechen oder vertrauliche Informationen enthalten.

XI. Handlungsempfehlungen für Compliance-Verantwortliche

Aus den dargestellten Anforderungen lassen sich konkrete Schritte für die Praxis ableiten. Gerade für Unternehmen, die noch am Anfang stehen, empfiehlt sich ein pragmatisches Reifegradmodell:

Zuerst Transparenz über vorhandene KI-Anwendungen schaffen, dann besonders riskante Anwendungen priorisieren, anschließend Richtlinien und Freigabeprozesse einführen und schließlich Monitoring, Schulungen und Audits verstetigen.

Zu Beginn bietet sich ein überschaubares Maßnahmenpaket an:

• verantwortliche Stelle benennen,
• KI-Register starten,
• besonders riskante Anwendungen identifizieren,
• Nutzung öffentlicher generativer KI regeln,
• Anbieter mit Drittlandbezug prüfen,
• Beteiligungsrechte des Betriebsrats frühzeitig klären und
• einen klaren Freigabeprozess für neue KI-Tools einführen.

Im Rahmen einer Bestandsaufnahme ist zu klären, in welchen Bereichen KI eingesetzt wird, welche Daten verarbeitet werden und ob die jeweiligen Systeme in den Anwendungsbereich der KI-VO fallen. Auf dieser Grundlage kann ein KI-Register erstellt werden. Zugleich sollten für relevante Anwendungen einfache Lösch- und Berechtigungskonzepte erstellt werden: Wer darf Prompts, Outputs, Trainingsdaten und Protokolle einsehen, wie lange werden sie gespeichert und wie werden sie gelöscht oder gesperrt? Bei Anwendungen mit Beschäftigtenbezug sollte die Bestandsaufnahme erfassen, ob das System Verhaltens- oder Leistungsdaten verarbeitet, Personalentscheidungen vorbereitet oder Arbeitsabläufe steuert, weil hiervon regelmäßig die arbeitsrechtliche Bewertung und die Mitbestimmung abhängen.

Als nächstes sollten die Anwendungen nach Risikogesichtspunkten sortiert werden. Systeme, die in den Hochrisikobereich fallen oder große Datenmengen über sensible Bereiche verarbeiten, sollten prioritär geprüft werden. Für diese Systeme ist oft eine DSFA notwendig. Nach der Einführung sollte die Risikoeinstufung nicht statisch bleiben. Unternehmen sollten regelmäßig kontrollieren, ob das System noch für denselben Zweck eingesetzt wird, ob sich Datenquellen oder Anbieter geändert haben, ob Beschwerden oder Fehlentscheidungen auftreten und ob die dokumentierten Schutzmaßnahmen tatsächlich funktionieren.

Parallel dazu sollten Unternehmen ihre vertraglichen Beziehungen zu KI-Anbietern überprüfen und sicherstellen, dass die datenschutzrechtlichen Anforderungen, insbesondere nach Art. 28 DSGVO, erfüllt sind. Im Lichte der KI-VO ist zu prüfen, ob Anbieter die dort vorgesehenen Pflichten – etwa zu Risikomanagement, Datenqualität und menschlicher Aufsicht – erfüllen und wie sie dies dokumentieren.

Unternehmen sollten außerdem eine KI-Richtlinie erarbeiten, die klare Regeln zur Nutzung von KI, insbesondere von generativen Tools, enthält. Diese Richtlinie sollte festlegen,

• welche Daten nicht in externe Dienste eingegeben werden dürfen,
• welche Freigabeprozesse gelten und
• wie mit KI-generierten Inhalten rechtlich umzugehen ist.
• Als Mindestinhalte bieten sich an:
• zulässige und unzulässige Tools,
• verbotene Datenkategorien,
• Freigabe neuer Anwendungen,
• Umgang mit KI-Outputs,
• Kennzeichnungspflichten,
• Verantwortlichkeiten,
• Meldewege bei Vorfällen und
• Sanktionen bei Verstößen.

Im Beschäftigtenkontext sollten außerdem Kontrollverbote, Grenzen der Leistungs- und Verhaltensauswertung, Anforderungen an die menschliche Überprüfung sowie die Beteiligung des Betriebsrats ausdrücklich mitgedacht werden.

Schließlich sind Schulungen ein zentraler Baustein. Mitarbeitende, die KI einsetzen oder mit den Ergebnissen arbeiten, müssen die Grundzüge der Technologie, die rechtlichen Rahmenbedingungen und die typischen Risiken kennen. Die Pflicht zur Sicherstellung ausreichender KI-Kompetenz ist ausdrücklich in der KI-VO verankert und gilt seit dem 2. 2. 2025, Art. 4 KI-VO.

Schulungen sollten nicht nur abstrakte Rechtsgrundlagen vermitteln, sondern typische Alltagssituationen behandeln:

• Welche Daten dürfen in ein Tool eingegeben werden?
• Wann muss ein KI-Ergebnis überprüft werden?
• Wann liegt eine automatisierte Entscheidung vor?
• Wie werden Fehler oder Datenschutzvorfälle gemeldet?

XII. Fazit

KI bietet Unternehmen große Chancen zur Effizienzsteigerung und Innovation, führt aber zugleich zu erheblichen Herausforderungen im Bereich Datenschutz, Arbeitsrecht und Compliance. Die DSGVO und die KI-VO bilden zusammen einen umfassenden Rechtsrahmen, der sowohl die Verarbeitung personenbezogener Daten als auch die technische und organisatorische Ausgestaltung von KI-Systemen regelt. Im Beschäftigtenkontext treten daneben die Vorgaben des Arbeitsrechts und die Beteiligungsrechte der betrieblichen Mitbestimmung hinzu.

Compliance-Verantwortliche sollten KI nicht als reines IT-Thema betrachten, sondern als Bestandteil eines ganzheitlichen Compliance-Management-Systems. Wer frühzeitig ein KI-Inventar aufbaut, klare Prozesse für KI-Projekte etabliert, DSFAs durchführt, Verträge mit Anbietern anpasst, arbeitsrechtliche Auswirkungen prüft, den Betriebsrat rechtzeitig einbindet und Mitarbeitende schult, kann rechtliche Risiken und Reputationsschäden erheblich reduzieren und zugleich den verantwortungsvollen Einsatz von KI im Unternehmen ermöglichen. Entscheidend ist ein verständlicher und risikobasierter Ansatz: Nicht jedes KI-Tool verlangt denselben Prüfaufwand, aber jedes KI-Tool sollte sichtbar, eingeordnet und einer verantwortlichen Stelle zugeordnet sein.

Für Compliance-Verantwortliche lässt sich die Kernaussage auf eine einfache Formel bringen: KI-Compliance beginnt nicht mit perfektem technischem Verständnis, sondern mit den richtigen Fragen, klaren Zuständigkeiten, einer dokumentierten Risikobewertung und – im Beschäftigtenkontext – der frühzeitigen Klärung der Mitbestimmung. Wer zusätzlich dafür sorgt, dass KI-Systeme inventarisiert, verständlich erklärt, regelmäßig überprüft und bei Bedarf gestoppt oder angepasst werden können, schafft die Grundlage für einen rechtssicheren und zugleich innovationsfreundlichen KI-Einsatz.

Jakob F. Krüger, seit 2018 Rechtsanwalt bei KLIEMT.Arbeitsrecht, ist ein aktives Mitglied der International Practice Group für Data Privacy bei Ius Laboris, dem Zusammenschluss der international führenden Arbeitsrechtskanzleien, und berät häufig an der Schnittstelle zwischen Arbeitsrecht und Datenschutz, z. B. bei der Einführung von IT-Systemen. Aufgrund dieser Expertise ist er Mitglied der Fokusgruppe „Digitalisierung von Unternehmen“. Ferner unterstützt er die Entwicklung von Legal Tech Anwendungen als Mitglied des Innovation Teams.

---

---