KI und der Betriebsrat: rechtssicher einführen.

Es ist das klassische Dilemma des deutschen Mittelstands: Sie wissen, dass Sie automatisieren müssen, um wettbewerbsfähig zu bleiben. Aber sobald das Wort „KI“ fällt, gehen im Unternehmen die Alarmglocken an.

Der Betriebsrat fürchtet Überwachung, die Rechtsabteilung fürchtet Datenschutzverstöße, und die Mitarbeiter fürchten um ihre Jobs. Wir nennen diesen Zustand das „Tal des Todes“. Auf der einen Seite steht die technologische Vision, auf der anderen die Realität deutscher Regulierung (BetrVG, DSGVO, EU AI Act). Viele Projekte sterben hier, noch bevor sie begonnen haben.

Unsere Erfahrung aus Mittelstandsprojekten: Das Problem ist fast nie die Technologie. Es sind die Ängste, berechtigte Ängste, die von Führungskräften oft unterschätzt werden. Eine beeindruckende Demo vor dem Vorstand löst noch kein einziges Compliance-Problem.

Warum so viele KI-Projekte im Mittelstand scheitern

Immer mehr Mittelständler starten KI-Initiativen, doch viele kommen über die Pilotphase nicht hinaus. Die Gründe wiederholen sich:

• Regulatorische Unsicherheit: Der EU AI Act ist in Kraft, aber viele Unternehmen wissen nicht, welche Risikoklasse ihre geplante Anwendung hat.
• Betriebsrat-Blockade: Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung geeignet sind.
• Datenschutz-Sorge: Die Angst, dass personenbezogene Daten auf US-Servern landen, führt zu einem reflexartigen „Nein“ der Rechtsabteilung.
• Fehlende Strategie: Viele Unternehmen starten mit dem Tool statt mit dem Problem.

Wir lösen juristische Probleme nicht mit Anwälten, sondern mit Technik.

Ein KI-System ist aus Sicht der Arbeitnehmervertretung eine Black Box. Deshalb müssen Systeme so gebaut werden, dass Missbrauch technisch ausgeschlossen ist: nicht durch Versprechen oder Verträge, sondern durch eine Architektur, die keine andere Option lässt.

Souveränität durch Architektur: drei Sicherheits-Layer

1. Der Digitale Pförtner (Privacy by Proxy)

Bevor die KI eine Frage liest, wird sie anonymisiert. Namen, Adressen und Telefonnummern werden entfernt. Der Pförtner arbeitet regelbasiert, nicht KI-gestützt, und kann vom Betriebsrat jederzeit geprüft werden.

2. Der Datentresor (On-Premise)

Die KI läuft auf Hardware, die physisch bei Ihnen steht, ohne Verbindung nach außen. Ein „Digitaler Schredder“ löscht das Kurzzeitgedächtnis nach jedem Prompt, damit keine Gesprächsinhalte auf dem Server liegen bleiben.

3. Ethische Sicherung (Compliance-Regeln)

Wir definieren Regeln wie: „Die KI darf keine Leistungsbeurteilung von Mitarbeitern schreiben.“ Das System blockiert solche Anfragen technisch. Jede Regel wird gemeinsam mit dem Betriebsrat festgelegt und ist im System nicht deaktivierbar.

Beispielszenario: Die blockierte Kanzlei

Eine Wirtschaftskanzlei möchte die Aktenanalyse automatisieren. Mandanten schicken Hunderte Seiten Verträge, die ein Associate in tagelanger Arbeit durcharbeitet. Eine KI könnte die Kernpunkte extrahieren. Doch das Projekt steht still, weil der Betriebsrat zwei Bedenken hat:

• „Die KI misst, welcher Anwalt am langsamsten liest“: die Angst vor verdeckter Leistungsüberwachung.
• „Mandantendaten landen auf einem Server in den USA“: die Angst vor dem CLOUD Act.

Beide Bedenken sind nicht unberechtigt. Viele Cloud-KI-Lösungen protokollieren, welcher Nutzer welche Anfrage stellt. Die Lösung besteht nicht darin, den Betriebsrat zu überreden, sondern die Risiken technisch auszuschließen:

• Die KI läuft auf einem dedizierten Server im eigenen Serverraum, ohne Cloud und ohne Internet.
• Der Digitale Pförtner entfernt Mandantennamen und Aktenzeichen vor der Analyse.
• Nutzungsstatistiken werden nur aggregiert erfasst. Niemand sieht, wer wann welche Anfrage gestellt hat.

Auf dieser Grundlage kann eine Betriebsvereinbarung verhandelt werden.

Beispielszenario: Der skeptische Fertigungsbetrieb

Ein Automobilzulieferer will eine visuelle KI-Inspektion einführen, die Oberflächenfehler an Metallteilen erkennt. Der Werksleiter stoppt das Projekt mit einer Frage: „Können wir sicherstellen, dass die KI nicht eines Tages entscheidet, ob ein Mitarbeiter gut genug arbeitet?“

Die Frage ist berechtigt. Vision-Systeme könnten theoretisch auch Arbeitsgeschwindigkeit, Pausenverhalten und Bewegungsmuster erfassen. Die Antwort ist eine Begrenzung durch Bauweise: Die Kamera erfasst ausschließlich den Prüfbereich am Ende des Förderbands und ist so verbaut, dass sie sich nicht umrichten lässt, ohne ein Siegel zu brechen. Das System hat keinen Zugang zum Firmennetzwerk, speichert keine Bilder und gibt nur Gut/Schlecht-Signale an die SPS weiter.

Überzeugend ist nicht das Versprechen, dass die KI nur Teile prüft, sondern dass sie sichtbar nichts anderes kann.

Der EU AI Act: Was der Mittelstand jetzt wissen muss

Die Verbote und die Pflicht zur KI-Kompetenz gelten seit 2. Februar 2025, die Transparenzpflichten seit 2. August 2026. Mit dem Digital-Omnibus (Verordnung (EU) 2026/1744) hat die EU die Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für Anwendungen nach Anhang III, etwa im Personalbereich, und auf den 2. August 2028 für KI in regulierten Produkten. Für den Mittelstand bedeutet das:

• Risikoklassifizierung: Jedes KI-System muss einer Risikoklasse zugeordnet werden. Viele Unternehmensanwendungen fallen in die Kategorie „begrenztes Risiko“, aber die Grenzen sind fließend.
• Transparenzpflicht: Menschen müssen erkennen können, dass sie mit einer KI interagieren, etwa mit einem Chatbot, und KI-generierte Inhalte müssen gekennzeichnet sein (Art. 50 KI-VO).
• Hochrisiko im Personalbereich: KI für Bewerberauswahl, Beförderung oder Leistungsbewertung ist Hochrisiko-KI. Arbeitgeber müssen dann unter anderem menschliche Aufsicht sicherstellen und Arbeitnehmervertretung und Beschäftigte vorab informieren (Art. 26 KI-VO). Mit der richtigen Architektur ist das von Anfang an beherrschbar.
• KI-Kompetenz: Unternehmen müssen Maßnahmen ergreifen, damit ihr Personal KI sachkundig einsetzt (Art. 4 KI-VO).

Der häufigste Fehler: die Verschiebung als Entwarnung zu lesen. Verbote, KI-Kompetenz und Transparenz gelten schon heute, und wer jetzt die richtige Architektur aufbaut, muss 2027 nicht hektisch nachbessern. Stand: 29. Oktober 2026, keine Rechtsberatung.

Beispielszenario: Der Gesundheitsdienstleister

Ein ambulanter Pflegedienst mit mehreren Standorten plant seine Touren in Excel. Bei Krankmeldungen wird morgens improvisiert. Eine KI-gestützte Tourenplanung soll Routen, faire Verteilung und Umplanung bei Ausfällen übernehmen.

Das Problem: Die KI braucht Zugang zu sensiblen Daten wie Patientenadressen, Pflegegraden und medizinischen Besonderheiten. Diese unterliegen der DSGVO und dem Sozialgeheimnis nach § 35 SGB I.

Die Lösung ist ein zweistufiges System: Die KI arbeitet nur mit pseudonymisierten Datensätzen. Statt „Frau Schmidt, Hauptstraße 15, Pflegegrad 3“ sieht sie „Patient 4711, Zone Nord-7, Versorgungsstufe C“. Die Rückauflösung findet ausschließlich auf dem lokalen System der Disponentin statt. So kann der Datenschutzbeauftragte die Datensicherheit selbst prüfen.

Was bringt Ihnen das?

• Entlastung bei wiederkehrenden Analyseaufgaben wie Aktenprüfung, Qualitätskontrolle und Dokumentenverarbeitung.
• Ein strukturierter Weg zur Betriebsvereinbarung statt monatelanger Grundsatzdiskussionen.
• Mögliche Förderung: siehe unsere Übersicht Förderprogramme Digitalisierung 2026.
• Datenschutz von Anfang an mitgedacht: Privacy by Design statt nachträglicher Absicherung.

Der vielleicht wichtigste Wert lässt sich nicht in Euro messen: Souveränität. Die Gewissheit, dass Ihre Daten Ihnen gehören, und dass Ihre Mitarbeiter die KI als Werkzeug sehen, nicht als Bedrohung.