KI-Ethik im Mittelstand: was sie im Betrieb praktisch bedeutet

Wenn Sie als Geschäftsführung eines mittelständischen Betriebs KI einsetzen, treffen Sie ethische Entscheidungen, ob Sie sie so nennen oder nicht. Wer festlegt, dass ein Assistent Bewerbungen vorsortiert oder Kundenanfragen beantwortet, legt damit auch fest, wer bei einem Fehler einsteht und was Betroffene davon erfahren. KI-Ethik heißt im Betrieb, diese Entscheidungen bewusst zu treffen und so festzuhalten, dass sie auch dann gelten, wenn Sie nicht im Raum sind.

Ethik beginnt dort, wo das Gesetz nichts mehr vorschreibt und Sie trotzdem entscheiden müssen.

Ein Betrieb, der diese Entscheidungen nicht trifft, überlässt sie dem Werkzeug oder dem Anbieter.

Was KI-Ethik für ein Unternehmen ist

KI-Ethik ist ein Teil der angewandten Ethik und fragt, wie KI-Systeme entwickelt und eingesetzt werden sollen, damit sie Menschen nicht schaden. Für einen Betrieb, der KI nutzt statt sie zu bauen, verdichtet sich das auf vier Fragen:

Nachvollziehbarkeit

Können Sie erklären, wie ein Ergebnis zustande kam, wenn ein Kunde oder eine Mitarbeiterin nachfragt? Ein System, dessen Antworten niemand begründen kann, eignet sich nicht für Entscheidungen über Menschen.

Fairness

Benachteiligt das System bestimmte Gruppen, weil die Daten, aus denen es gelernt hat, verzerrt sind? Diese Verzerrung heißt Bias und ist im einzelnen Ergebnis nicht zu sehen; sichtbar wird sie erst im Vergleich vieler Ergebnisse.

Verantwortung

Wer steht ein, wenn das System falsch liegt? Die Antwort muss ein Name sein, nicht „die KI“ und nicht „der Anbieter“.

Datenschutz

Welche personenbezogenen Daten fließen in das System, wohin gehen sie und wer kann sie später einsehen?

Diese Fragen stellen sich nicht erst bei selbst entwickelten Systemen. Ein eingekaufter Chatbot wirft sie genauso auf, nur dass die Antworten zum Teil im Vertrag mit dem Anbieter stehen müssen.

Welche Grundsätze sich abzeichnen

Eine 2019 veröffentlichte Auswertung von 84 Ethik-Leitlinien durch Anna Jobin, Marcello Ienca und Effy Vayena („The global landscape of AI ethics guidelines“) fand eine Annäherung an fünf Grundsätze: Transparenz, Gerechtigkeit und Fairness, Schadensvermeidung, Verantwortung und Privatsphäre. Einig waren sich die Leitlinien bei den Begriffen, nicht darin, wie sie auszulegen und umzusetzen sind. Die vier Fragen oben greifen vier dieser Grundsätze auf; den fünften, Schadensvermeidung, lesen wir als Maßstab hinter allen vieren: Jede fragt, wie ein bestimmter Schaden vermieden wird.

Für Ihren Betrieb heißt das: Eine eigene Liste von Werten müssen Sie nicht erfinden. Die OECD-Grundsätze für KI, 2019 verabschiedet und im Mai 2024 aktualisiert, sind ein brauchbarer Ausgangspunkt. Ihre Arbeit liegt in der Übersetzung: Was heißt „Fairness“ bei der Tourenplanung, was „Transparenz“ im Kundenservice? Eine Leitlinie, die diese Übersetzung nicht leistet, hängt an der Wand und ändert nichts.

Ethik als Bremse

Ein Grundsatzpapier, das nach dem Projekt geprüft wird. Jede Rückfrage verzögert den Start, und wenn der Termin drängt, liegt es nahe, die Prüfung zu überspringen.

Ethik als Bauvorgabe

Die Fragen stehen im Lastenheft, bevor ein Anbieter angefragt wird. Was nicht erfüllt ist, fällt bei der Auswahl auf und nicht erst im Betrieb, wo ein Umbau teurer ist.

Wo der AI Act aufhört und Ihre Entscheidung beginnt

Der AI Act legt eine Untergrenze fest; was darüber liegt, entscheiden Sie. Wer eingekaufte KI-Systeme in eigener Verantwortung verwendet, ist dabei Betreiber, nicht Anbieter (Art. 3 Nr. 4). Wer die Zweckbestimmung eines eingekauften Systems so ändert, dass es hochriskant wird, etwa einen allgemeinen Assistenten zum Sichten von Bewerbungen einsetzt (Anhang III Nr. 4 Buchst. a), gilt selbst als Anbieter und trägt die Anbieterpflichten nach Art. 16 (Art. 25 Abs. 1 Buchst. c, ab 2. Dezember 2027). Für Betreiber sieht die Abgrenzung so aus:

Thema	Was der AI Act von Betreibern verlangt	Was darüber hinaus Ihre Entscheidung ist
Kompetenz	Maßnahmen, die die Entwicklung der KI-Kompetenz des Personals unterstützen; ein bestimmtes Niveau muss nicht garantiert werden (Art. 4 Abs. 1, gilt seit 2. Februar 2025, neu gefasst seit 27. Juli 2026)	Ob Ihre Leute die Grenzen eines Systems gut genug kennen, um einem Ergebnis zu widersprechen
Grenzen	Verbotene Praktiken, etwa Emotionserkennung aus biometrischen Daten am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f mit Art. 3 Nr. 39, gilt seit 2. Februar 2025)	Was Sie nicht einsetzen, obwohl der AI Act es nicht verbietet
Offenlegung	Deepfakes als künstlich erzeugt offenlegen; ebenso KI-erzeugte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, außer sie wurden von Menschen geprüft und jemand trägt die redaktionelle Verantwortung (Art. 50 Abs. 4, gilt seit 2. August 2026)	Ob Sie Kunden sagen, wo KI an Antworten oder Angeboten mitwirkt, auch wo keine Pflicht besteht
Aufsicht	Bei Hochrisiko-Systemen menschliche Aufsicht durch Personen mit Kompetenz, Ausbildung und Befugnis (Art. 26 Abs. 2, für Systeme nach Anhang III ab 2. Dezember 2027)	Wer bei einem gewöhnlichen System Ergebnisse prüft und stoppen darf
Belegschaft	Vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz Arbeitnehmervertretung und Betroffene informieren (Art. 26 Abs. 7, ab 2. Dezember 2027)	Ob Sie die Belegschaft auch bei Systemen ohne Hochrisiko-Einstufung einbeziehen, auch wo kein Betriebsrat besteht

Die rechte Spalte verlangt der AI Act nicht; andere Gesetze wie das Betriebsverfassungsgesetz können dort Pflichten setzen. Gibt es einen Betriebsrat, ist er über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von KI rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG), und bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, bestimmt er mit, soweit keine gesetzliche oder tarifliche Regelung besteht (§ 87 Abs. 1 Nr. 6 BetrVG). Zur Überwachung „bestimmt“ ist eine Einrichtung nach der Rechtsprechung des Bundesarbeitsgerichts schon dann, wenn sie objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben und aufzuzeichnen; auf die Absicht kommt es nicht an (BAG, Beschluss vom 13. Dezember 2016, 1 ABR 7/15, Rn. 22). Was danach an Spielraum bleibt, ist Ethik. Ein Betrieb, der sich nur an der linken Spalte ausrichtet, erfüllt den AI Act und hat trotzdem keine Antwort, wenn ein Kunde fragt, warum der Chatbot ihm eine falsche Auskunft gegeben hat. Ob einzelne Ihrer Systeme unter die Hochrisiko-Regeln fallen, lässt sich mit unserem AI-Act-Check anhand Ihrer Angaben vorab einschätzen.

Rechtsstand dieses Artikels: 14. Oktober 2026

Grundlage sind die KI-Verordnung (EU) 2024/1689 in der Fassung des Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026), der unter anderem Artikel 4 neu gefasst, Artikel 4a eingefügt und die Hochrisiko-Fristen verschoben hat, die Datenschutz-Grundverordnung (EU) 2016/679 sowie das Betriebsverfassungsgesetz in der Fassung auf gesetze-im-internet.de. Für Hochrisiko-Systeme nach Anhang III, die vor dem 2. Dezember 2027 in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nur, wenn sie danach in ihrer Konzeption erheblich verändert werden; die Verbote nach Artikel 5 gelten unabhängig davon (Art. 111 Abs. 2). Die Angaben ersetzen keine Rechtsberatung.

KI-Governance in der Größe eines Mittelständlers

KI-Governance ist die Ordnung, in der ein Betrieb festlegt, welche KI-Systeme er einsetzt, wer für sie zuständig ist und wie sie geprüft werden. Ein Konzern richtet dafür Gremien ein; ein Betrieb mit achtzig Beschäftigten braucht eine zuständige Person mit direktem Draht zur Geschäftsführung und eine kleine Runde, die sie bei Bedarf hinzuzieht: jemand aus dem Fachbereich, jemand mit Blick auf Datenschutz und, wo es einen gibt, der Betriebsrat.

Was diese Runde verantwortet, lässt sich in sechs Bausteinen fassen:

Baustein	Was er im Betrieb heißt	Wann
KI-Verzeichnis	Eine Liste aller eingesetzten Systeme mit Zweck, Anbieter, zuständiger Person und den Daten, die hineinfließen	Vor jedem neuen Einsatz ergänzt
Risikoeinschätzung	Die Frage, was im schlimmsten Fall passiert und wen es trifft; bei Entscheidungen über Menschen gründlicher als bei Textentwürfen	Vor dem Start
Dokumentation	Festgehalten, wofür das System gedacht ist und wofür nicht	Vor dem Start, bei jeder Änderung
Prüfung	Echte Fälle aus Ihrem Betrieb, an denen das System zeigen muss, dass es taugt	Vor dem Start und bei jedem Modellwechsel
Überwachung	Stichproben im laufenden Betrieb und ein Weg, auf dem Beschäftigte Fehler melden	Laufend
Rückschau	Was hat sich bewährt, was muss sich ändern, welches System kann weg	In festem Abstand, nach Vorfällen sofort

An der Prüfung zeigt sich, ob ein System für den eigenen Fall taugt; wie sie aufgebaut wird, beschreibt unser Artikel zu Evals für KI-Anwendungen. Wer selbst KI-Module entwickelt oder entwickeln lässt, findet eine Orientierung für die Qualitätsseite in der DIN SPEC 92001-1 vom April 2019; ihr Schwerpunkt ist die Qualität von KI-Modulen über den ganzen Lebenszyklus. Sie nennt Leistung und Funktionalität, Robustheit sowie Verständlichkeit als Qualitätsmerkmale und enthält eine Risikobewertung für KI-Module.

Entscheidend ist, dass die Ordnung schneller ist als die Projekte. Ein Freigabeverfahren, das länger dauert als das Projekt selbst, lädt zum Umgehen ein; eine Prüfung, die in den Projektablauf eingebaut ist, gehört einfach dazu.

Was Werkzeuge leisten und was nicht

Technische Schutzmechanismen setzen Regeln im laufenden Betrieb durch; ob die Regeln die richtigen sind, entscheiden sie nicht. Drei Arten von Werkzeugen sind für einen Betreiber von Belang:

Filter für Ein- und Ausgaben

Sogenannte Guardrails prüfen, was in ein Sprachmodell hineingeht und was herauskommt, und blockieren etwa unzulässige Themen oder beleidigende Antworten. Frei verfügbare Beispiele sind Llama Guard von Meta und NeMo Guardrails von NVIDIA. Beim Anbieter lässt sich erfragen, welche Filter er einsetzt und ob eigene Regeln hinterlegt werden können.

Prüfung auf Verzerrung

Werkzeuge wie das offene Projekt Fairlearn vergleichen, ob ein System für verschiedene Gruppen unterschiedlich gut arbeitet. Ein solcher Vergleich braucht Gruppenmerkmale, darunter auch Angaben wie ethnische Herkunft oder Gesundheit, die zu den besonderen Kategorien personenbezogener Daten zählen; deren Verarbeitung zur Erkennung und Korrektur von Verzerrungen erlaubt der durch den Digital Omnibus eingefügte Artikel 4a nur ausnahmsweise und unter strengen Bedingungen. Der Vergleich setzt außerdem voraus, dass Sie wissen, welche Gruppen zu vergleichen sind; diese Entscheidung nimmt Ihnen kein Werkzeug ab.

Protokolle

Ein System, das festhält, welche Eingabe zu welchem Ergebnis geführt hat, lässt sich im Nachhinein prüfen. Ohne Protokoll bleibt bei einer Beschwerde nur die Erinnerung der Beteiligten.

Ein Filter erkennt eine beleidigende Antwort, aber nicht, ob eine Absage an einen Bewerber gerecht war. Werkzeuge ersetzen deshalb weder die Risikoeinschätzung noch den Menschen, der Ergebnisse prüft. Wer sie einkauft, sollte sich zeigen lassen, was sie tatsächlich tun; ein Anbieter, der „ethische KI“ verspricht, ohne das Verfahren zu benennen, verspricht nichts Prüfbares.

Ethik als Teil der Unternehmenskultur

Ob Leitlinien wirken, hängt auch davon ab, ob die Geschäftsführung sie selbst einhält. Wer eine Regel aufstellt, dass KI-Ergebnisse vor dem Versand geprüft werden, und dann selbst ungeprüft weiterleitet, hat die Regel abgeschafft.

Eine tragfähige Kultur baut sich sinnvoll in dieser Reihenfolge auf:

Bewusstsein schaffen

Alle, die mit KI arbeiten, wissen, wo die Systeme Fehler machen und warum das zählt. Maßnahmen dafür verlangt Artikel 4 ohnehin.

Leitlinien gemeinsam entwickeln

Fachbereiche, Datenschutz und Belegschaftsvertretung schreiben mit. Eine Leitlinie, die nur die Geschäftsführung kennt, gilt nur für sie.

In Abläufe einbauen

Die Leitlinie steht dort, wo gearbeitet wird: als Prüfpunkt im Ablauf, als Frage im Lastenheft, als Feld im KI-Verzeichnis.

Regelmäßig nachschärfen

Neue Systeme und geänderte Rechtslagen fließen in die nächste Fassung. Wer meldet, dass etwas schiefgeht, bekommt Dank, keinen Ärger.

Dazu gehört, offen über Grenzen zu sprechen, nach innen wie nach außen. Ein Betrieb, der seinen Kunden sagt, wofür er KI einsetzt und wofür bewusst nicht, muss im Streitfall nichts erklären, was er vorher verschwiegen hat.

Wo Sie anfangen

Der erste Schritt ist das KI-Verzeichnis, weil sich alles andere darauf bezieht. Wer weiß, welche Systeme im Haus laufen, kann einschätzen, welche davon über Menschen mitentscheiden, und dort zuerst Zuständigkeit und Prüfung festlegen. Ein eigenes Ethikgremium braucht es dafür nicht; entscheidend ist eine zuständige Person mit festen Terminen, an denen Verzeichnis und Prüfungen durchgesehen werden.

Wie weit Ihre Systeme selbstständig handeln und was das für die Aufsicht bedeutet, beschreibt unser Artikel zu den Reifegraden von KI-Systemen. Wie Sie Verzeichnis, Zuständigkeiten und Leitlinien für Ihren Betrieb aufsetzen, klären wir in einer Beratung. Die KI-Kompetenz Ihres Teams bauen wir in unseren Workshops auf.