AUGUST/SEPTEMBER 2026

Mitbe- stimmung Wer KI im Betrieb einführt, muss in der Regel den Be- triebsrat beteili- gen. Im Alltag zen- tral ist § 87 Abs. 1 Nr. 6 BetrVG: Mit- bestimmungs- pflichtig ist jede technische Ein- richtung, die ob- jektiv geeignet ist, „das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“ – auf eine Über- wachungsabsicht kommt es nicht an. Hinzu kom- men Unterrich- tungs- und Bera- tungsrechte nach § 90 BetrVG. Rechtsanwalt Körlings empfiehlt Firmen Rahmen- Betriebsverein- barungen, die auch Updates und neue Funktionen abdecken. Änderungen sind zu erwarten: Im Juli 2026 hat die Bundesregierung die Sozialpartner aufgefordert, bis Mitte Oktober Vorschläge für eine praxisgerech- tere „Software- Mitbestimmung“ vorzulegen. Nabil el Berr, CEO der KI-Firma Indicium Technologies, warnt vor den rechtlichen Risiken durch das Speichern von Daten auf chinesischen Servern oder den Einsatz von Schatten-KI durch Mitarbeitende. Server in China – und für EU-Daten gibt es dort kei- nen Angemessenheitsbeschluss. Das ist daten- schutzrechtlich heikel.“ Besonders problematisch sei die verbreitete Pra- xis der „Shadow-KI“ („Schatten-KI“). Dabei nutzen Mitarbeitende heimlich private KI-Accounts oder -Tools, etwa auch KI-gestützte Browser-Erweiterun- gen. Sensible Daten können damit unkontrolliert das Unternehmen verlassen. „Worst Case war der Fall Samsung vor gut drei Jahren“, berichtet el Berr. Mitarbeiter des Konzerns hatten in die öffentlich zugängliche Consumer-Ver- sion von ChatGPT streng vertrauliche Interna wie Quellcode eingegeben. Die Firmengeheimnisse konnten damit ins Training der KI einfließen – und ber“ eines KI-Tools gilt – denn davon hängen die rechtlichen Pflichten ab. Die Einordnung ist nicht immer leicht: So kann die umfassende Anpassung ei- ner KI für den Eigenbedarf etwa dazu führen, dass man als Anbieter gilt. Hinzu kommt ein Risiko, das vielen nicht be- wusst ist: das Hosting bei US-Cloud-Anbietern. Der US Cloud Act verpflichtet amerikanische Unterneh- men dazu, Daten auf Verlangen an US-Behörden her- auszugeben – selbst dann, wenn sie auf Servern in der EU liegen. Die Handelskammer rät Unternehmen grund- sätzlich, mit KI-Anbietern eine Auftragsverar- beitungsvereinbarung (AVV) nach Artikel 28 der DSGVO abzuschließen. Nähere Informationen dazu finden Sie zumBeispiel unter www.handelskammer- hamburg.de/dsgvo . Die Gefahren der Schatten-KI Nabil el Berr, CEO des KI-Unternehmens Indicium Technologies, das KI-gestützte Background-Checks anbietet, kennt dieHerausforderungen aus der Praxis. „Es fängt damit an, dass viele Unternehmen gar nicht wissen, wo ihreDaten liegenundwie sie andiese über- haupt kommen“, erläutert der Volljurist. Riskant sei zudem der Griff zu den deutlich günstigeren chinesischen KI-Modellen, auf die aus Kostengründen oft gerade jüngere Unternehmen set- zen: „Wer sie über die Cloud-Schnittstelle des Anbie- ters nutzt, schickt die Eingaben in aller Regel auf Jacob Le ers, Mitgründer und CMO der Logicc GmbH HAMBURGER-WIRTSCHAFT.DE 54 FOTOS: INDICIUM, LOGICC GMBH RECHTS NORMEN