Welche Rechtsgebiete geraten unter Druck, wenn deutsche Unternehmen KI-Systeme einführen? Die Antwort lässt sich nicht auf ein einzelnes Gesetz reduzieren. Zwischen AI Act, DSGVO, Urheberrecht und Betriebsverfassungsgesetz entsteht ein regulatorisches Geflecht, dessen praktische Auswirkungen sich erst jetzt zeigen. Dieser Artikel vergleicht die zentralen Rechtsfelder und analysiert, wo die Reibungspunkte für Unternehmen am größten sind.
AI Act, DSGVO und Urheberrecht im Vergleich: Pflichten und Sanktionsrisiken
Die Regulierung künstlicher Intelligenz in Deutschland speist sich aus mehreren Rechtsquellen gleichzeitig. Für Unternehmen stellt sich die Frage, welche Pflichten sich überschneiden und wo eigenständige Anforderungen bestehen.
Auch interessant: Automobilindustrie in Deutschland: Elektromobilität und Zukunftsperspektiven bis 2026
| Rechtsrahmen | Kernpflicht | Betroffene KI-Anwendungen | Durchsetzung |
|---|---|---|---|
| EU AI Act | Risikoklassifizierung, Transparenz, Konformitätsbewertung | Hochrisiko-Systeme (HR, Kreditvergabe, Strafverfolgung) | Nationale Marktüberwachung, abgestufte Fristen |
| DSGVO | Rechtsgrundlage für Datenverarbeitung, Betroffenenrechte, DSFA | Alle Systeme mit personenbezogenen Daten | Datenschutzbehörden, Bußgelder |
| Urheberrecht (UrhG) | Lizenzpflicht für Trainingsdaten, Kennzeichnung von Outputs | Generative KI (Text, Bild, Musik) | Zivilgerichte, Unterlassungs- und Schadensersatzklagen |
| BetrVG (§ 87) | Mitbestimmung bei Systemen mit Überwachungseignung | Interne Assistenzsysteme, HR-Plattformen | Betriebsrat, Einigungsstelle, Arbeitsgerichte |
Was auffällt: AI-Act-Transparenzpflichten ersetzen keine urheberrechtlichen Lizenzen. Das LG München I hat das im Zusammenhang mit generativer Musik-KI klargestellt. Wer Compliance nur auf den AI Act beschränkt, übersieht die zivilrechtliche Flanke.
Gerade bei generativer KI überschneiden sich die Pflichten am stärksten. Ein System, das Texte oder Bilder erzeugt, unterliegt gleichzeitig den Transparenzanforderungen des AI Act, den Datenschutzpflichten der DSGVO und den Lizenzanforderungen des Urheberrechts. Jede dieser Ebenen verlangt eigene Dokumentation und eigene Ansprechpartner im Unternehmen.
Auch lesenswert: Start-ups in Deutschland: Erfolgsfaktoren und Herausforderungen 2026
Betriebliche Mitbestimmung bei KI: der unterschätzte Engpass
In den meisten internationalen Debatten über KI-Regulierung kommt ein Thema kaum vor, das in Deutschland operative Relevanz hat: die Mitbestimmung des Betriebsrats nach § 87 BetrVG. Sobald ein System objektiv zur Verhaltens- oder Leistungskontrolle geeignet ist, greifen Mitbestimmungsrechte. Das gilt unabhängig davon, ob das Unternehmen diese Kontrolle tatsächlich beabsichtigt.
Konkret betrifft das nicht nur klassische HR-Plattformen mit KI-gestütztem Recruiting. Auch interne Assistenzsysteme, deren Logdaten Rückschlüsse auf Arbeitsverhalten zulassen, können mitbestimmungspflichtig sein. Das BAG hat die Schwelle der „Überwachungseignung“ zuletzt weiter konkretisiert.
- HR-Plattformen mit KI-Modulen dürfen ohne Betriebsratsbeteiligung nicht eingeführt werden, selbst wenn die KI-Funktion nur ein Nebenfeature ist.
- Logdaten von Copilot-Systemen und internen Chatbots können als technische Überwachungseinrichtung gelten, wenn sie personenbezogene Nutzungsmuster speichern.
- Die bloße Dokumentation von AI-Act- und DSGVO-Compliance reicht nicht aus, um die betriebsverfassungsrechtliche Pflicht zu erfüllen.
Ohne Betriebsvereinbarung keine Einführung – dieser Grundsatz wird in der Praxis oft erst erkannt, wenn die technische Implementierung bereits läuft. Der Zeitverlust und die Kosten für nachträgliche Verhandlungen sind erheblich.
Ein typisches Szenario: Die IT-Abteilung testet ein KI-Tool im Pilotbetrieb, ohne den Betriebsrat einzubinden. Sobald das Tool in den Regelbetrieb übergeht, stellt der Betriebsrat fest, dass Nutzungsdaten protokolliert werden. Das Ergebnis ist ein Einführungsstopp, bis eine Betriebsvereinbarung verhandelt ist. Dieser Ablauf kostet in der Regel mehrere Monate.
Urheberrecht und KI-Training: deutsche Gerichte setzen Maßstäbe
Die Frage, ob das Training generativer KI mit urheberrechtlich geschützten Werken zulässig ist, wird in Deutschland zunehmend vor Gericht verhandelt. Das LG München I hat im Zusammenhang mit generativer Musik-KI klargestellt, dass KI-Training mit geschützter Musik urheberrechtliche Lizenzen erfordert.
Für Unternehmen, die generative KI einsetzen oder selbst trainieren, ergeben sich daraus zwei getrennte Haftungsebenen. Anbieter haften für die Zusammensetzung der Trainingsdaten. Nutzer können haften, wenn sie KI-Outputs verwenden, die erkennbar geschützte Werke reproduzieren. Diese Trennung der Verantwortlichkeiten ist ein Spezifikum der jüngeren deutschen Rechtsprechung.
Bias-Erkennung mit sensiblen Daten: ein regulatorischer Graubereich
Die EU-Änderungsverordnung von 2026 hat eine Debatte ausgelöst, die für deutsche Unternehmen besonders heikel ist. Unter engen Voraussetzungen soll es zulässig sein, besondere Kategorien personenbezogener Daten zur Verzerrungserkennung in KI-Systemen zu verwenden. Das kollidiert mit dem strengen deutschen Verständnis des Art. 9 DSGVO.
In der Praxis bedeutet das: Wer ein KI-System auf diskriminierende Muster prüfen will, braucht möglicherweise genau die Datenkategorien (Ethnie, Gesundheit, politische Überzeugung), deren Verarbeitung die DSGVO grundsätzlich verbietet. Eine zusätzliche Abstimmung zwischen AI Act und DSGVO wird erforderlich, deren genaue Ausgestaltung noch offen ist.
KI-Durchführungsgesetz: Deutschlands nationale Umsetzung des AI Act
Deutschland hat ein Durchführungsgesetz zum AI Act vorgelegt, das die nationale Marktüberwachung und die Zuständigkeiten der Behörden regelt. Für Unternehmen verschiebt sich damit die Frage von „Was fordert Brüssel?“ zu „Wer kontrolliert in Deutschland?“.
Die Fristen des AI Act treten abgestuft in Kraft. Hochrisiko-Systeme im Personalwesen und in der Kreditvergabe unterliegen verschärften Konformitätsanforderungen. Unternehmen müssen parallel mehrere Fristen im Blick behalten, die sich je nach Risikokategorie unterscheiden.
Entscheidend für die Umsetzung ist die Frage der Behördenzuständigkeit. Das Durchführungsgesetz regelt, welche Stelle die nationale Marktüberwachung übernimmt, während Datenschutzaufsichtsbehörden weiterhin für DSGVO-Verstöße zuständig bleiben. Diese parallele Zuständigkeit mehrerer Behörden für dasselbe KI-System erhöht den Abstimmungsaufwand auf Unternehmensseite.
Die gleichzeitige Geltung von AI Act, DSGVO, UrhG und BetrVG macht eine isolierte Betrachtung einzelner Rechtsgebiete für Unternehmen riskant. Wer ein KI-System einführt, muss die Compliance-Prüfung über alle vier Rechtsrahmen hinweg durchführen. Die größte Lücke in der aktuellen Unternehmenspraxis liegt nicht im Wissen über einzelne Gesetze, sondern in deren koordinierter Anwendung auf dasselbe System.