Lernziele
- Du ordnest Daten in vier Klassen und weißt, was wohin darf.
- Du kennst die wichtigsten Fristen des AI Act.
- Du weißt, wann der Betriebsrat einzubeziehen ist.
- Du prüfst ein Tool auf Auftragsverarbeitung, Training und Speicherort.
Datenklassen und Lizenzstufen
Die wichtigste Regel im Alltag: Private Accounts und Business-Lizenzen sind nicht dasselbe. Business-Versionen bieten in der Regel einen Auftragsverarbeitungsvertrag und schließen das Training auf deinen Eingaben aus. Beim Speicherort gibt es Unterschiede: ChatGPT Business bietet laut OpenAI keine Datenspeicherung in Europa, ChatGPT Enterprise schon. Bei Google Workspace gibt es Datenregionen nur in Enterprise-Plänen.
Eine einfache Ampel hilft:
| Datenklasse | Beispiel | Erlaubt |
|---|---|---|
| Öffentlich | Pressemitteilung | alle freigegebenen Tools |
| Intern | Projektplan ohne Kundendaten | Business-Lizenz |
| Vertraulich | Kundendaten, Verträge | Business-Lizenz mit Auftragsverarbeitung, gegebenenfalls EU-Speicherung |
| Streng vertraulich | Personalakten, Gesundheitsdaten, Geschäftsgeheimnisse | nur nach gesonderter Freigabe |
Der AI Act nach dem Omnibus
Die Omnibus-Verordnung (EU) 2026/1744 gilt seit dem 27. Juli 2026. Sie hat Fristen verschoben, aber keine Pflicht gestrichen.
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbotene Praktiken, AI-Kompetenz nach Art. 4 |
| 02.08.2026 | Transparenzpflichten nach Art. 50, etwa Hinweis bei Chatbots |
| 02.12.2026 | Ende der Kennzeichnungs-Schonfrist für bestehende Systeme, zwei neue Verbote |
| 02.12.2027 | Hochrisiko-Systeme nach Anhang III, etwa Personalauswahl, Kredit, Bildung |
| 02.08.2028 | Hochrisiko-Systeme in regulierten Produkten nach Anhang I |
Art. 4 verlangt seit der Neufassung Maßnahmen zur Förderung der AI-Kompetenz, keine Garantie eines bestimmten Niveaus pro Person. Dieser Kurs kann eine solche dokumentierte Maßnahme sein.
DSGVO und Betriebsrat
Die Datenschutzkonferenz hat 2024 eine Orientierungshilfe zu AI veröffentlicht. Die Kernpunkte: Das Unternehmen ist für die Verarbeitung verantwortlich. Es braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, sollte Tools ohne Training auf Eingaben bevorzugen, interne Richtlinien festlegen und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Automatisierte Entscheidungen mit rechtlicher Wirkung sind nach Art. 22 DSGVO nur eingeschränkt zulässig.
Zum Betriebsrat: Das Arbeitsgericht Hamburg hat am 16. Januar 2024 entschieden (24 BVGa 1/24), dass die Erlaubnis privater ChatGPT-Accounts nicht mitbestimmungspflichtig ist. Stellt der Arbeitgeber ein Tool selbst bereit, sehen die meisten Kanzleien die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG berührt. Eine höchstrichterliche Klärung steht aus. Empfehlung: früh einbinden und eine Rahmen-Betriebsvereinbarung zu AI anstreben.
Diese Lektion ordnet ein und ersetzt keine Rechtsberatung.
Die Daten-Ampel
Erstelle eine Ampel für die Tools, die dein Team nutzt.
Aufgabe im Arbeitsalltag erledigen
Diese Aufgabe machst du in deinem Arbeitsalltag, nicht hier im Kurs. Hake die Schritte ab, wenn du sie erledigt hast.
Das kommt dabei heraus: Eine einseitige Daten-Ampel für dein Team.
Ergebnis hier eintragen
Trag ein, was bei der Aufgabe herausgekommen ist. Alles wird automatisch gespeichert. Deine Ergebnisse aus Modul 5 stehen dafür schon bereit.
Beispiel ansehen
So könnte ein ausgefülltes Ergebnis aussehen. Deine Einträge bleiben unverändert.
Deine Daten-Ampel
- n8nLizenzstufe: Pro (Cloud) · Auftragsverarbeitungsvertrag: ja · Training auf Eingaben: ausgeschlossen · Speicherort: EU · Höchste erlaubte Datenklasse: Vertraulich
- ClaudeLizenzstufe: Team · Auftragsverarbeitungsvertrag: ja · Training auf Eingaben: ausgeschlossen · Speicherort: außerhalb der EU · Höchste erlaubte Datenklasse: Intern
- DeepLLizenzstufe: Business · Auftragsverarbeitungsvertrag: ja · Training auf Eingaben: ausgeschlossen · Speicherort: außerhalb der EU · Höchste erlaubte Datenklasse: Intern
- ChatGPT mit privatem KontoLizenzstufe: Free · Auftragsverarbeitungsvertrag: nein · Training auf Eingaben: nicht ausgeschlossen · Speicherort: außerhalb der EU · Höchste erlaubte Datenklasse: Öffentlich
Aus Modul 5 Dein erster Workflow offen
In Modul 5 gibt es noch keine Einträge. Zu Modul 5 →
Wird in Modul 8 weiterverwendet
Dort erscheint dein Ergebnis automatisch, und du kannst es mit einem Klick übernehmen. Alle Ergebnisse findest du außerdem im Arbeitsheft.
Quiz
1. Seit wann gelten die Transparenzpflichten nach Art. 50 AI Act?
2. Ab wann gelten die Hochrisiko-Pflichten für AI in der Personalauswahl?
3. Was verlangt Art. 4 AI Act seit der Neufassung?
4. Was hat das Arbeitsgericht Hamburg 2024 entschieden?