AI-Mitarbeiter
Unsere Bezeichnung, auf den Wissensseiten auch KI-Mitarbeiter, für ein KI-System, das im Betrieb eine Stelle mit abgegrenztem Aufgabengebiet besetzt. Die Stelle hat einen eigenen Zugang, einen Vorgesetzten im Haus, Weisungsgrenzen und eine Personalakte. Rechtlich bleibt sie ein KI-System, kein Arbeitnehmer. Hinter dem Vornamen steht (AI), damit nach Art. 50 KI-VO erkennbar ist, dass ein KI-System arbeitet.
Anbieter
Art. 3 Nr. 3 KI-VO
Wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder das KI-System so in Betrieb nimmt, entgeltlich oder unentgeltlich. Auch ein Betreiber kann nach Art. 25 Abs. 1 zum Anbieter eines Hochrisiko-KI-Systems werden, etwa durch eine wesentliche Veränderung, nach der das System hochriskant bleibt.
Auftragsverarbeitung
Art. 28 DSGVO
Ein Dienstleister verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Eingesetzt werden nur Auftragsverarbeiter mit hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 1). Grundlage ist in der Regel ein Vertrag nach Abs. 3; weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung, gesondert oder allgemein (Abs. 2).
Auswahlrichtlinie
§ 95 BetrVG
Eine Richtlinie über die personelle Auswahl bei Einstellungen, Versetzungen, Umgruppierungen und Kündigungen. Sie bedarf nach § 95 Abs. 1 BetrVG der Zustimmung des Betriebsrats; ohne Einigung entscheidet auf Antrag des Arbeitgebers die Einigungsstelle. Nach Abs. 2a gilt das auch, wenn bei der Aufstellung KI zum Einsatz kommt. In Betrieben mit mehr als 500 Arbeitnehmern kann der Betriebsrat sie verlangen.
Automatisierte Einzelentscheidung
Art. 22 DSGVO
Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die der Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Art. 22 Abs. 1 DSGVO gibt das Recht, ihr nicht unterworfen zu werden, außer in den Fällen des Abs. 2. Nach EuGH C-634/21 kann schon ein automatisch ermittelter Wert genügen, dem der Entscheider maßgebliche Bedeutung beimisst.
Beschäftigtendaten
Art. 88 DSGVO
Personenbezogene Daten von Beschäftigten im Beschäftigungskontext, einschließlich Bewerbern (§ 26 Abs. 8 Satz 2 BDSG). Art. 88 DSGVO lässt spezifischere Vorschriften durch Gesetz oder Kollektivvereinbarung zu, wozu Betriebsvereinbarungen zählen. Seit EuGH C-34/21 gilt § 26 Abs. 1 Satz 1 BDSG nach überwiegender Auffassung nicht mehr als eigenständige Rechtsgrundlage; herangezogen wird Art. 6 Abs. 1 DSGVO.
Betreiber
Art. 3 Nr. 4 KI-VO
Eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Setzt ein Betrieb eine Stelle für einen eigenen Vorgang ein, ist der Betrieb Betreiber. Pflichten des Betreibers stehen unter anderem in Art. 4, in Art. 26 für Hochrisiko-KI-Systeme und in Art. 50 Abs. 3 und 4.
Betriebsvereinbarung
§ 77 BetrVG
Eine Vereinbarung zwischen Arbeitgeber und Betriebsrat, die beide gemeinsam beschließen und schriftlich niederlegen; unterzeichnet wird von beiden Seiten oder elektronisch im selben Dokument (§ 77 Abs. 2 BetrVG). Sie gilt unmittelbar und zwingend (Abs. 4) und ist, wenn nichts anderes vereinbart ist, mit drei Monaten Frist kündbar (Abs. 5). Beim Einsatz von KI regelt sie etwa Zweck und Grenzen der Auswertung.
Datenschutz-Folgenabschätzung
Art. 35 DSGVO
Die vorherige Abschätzung der Folgen einer Verarbeitung für den Schutz personenbezogener Daten, wenn diese, insbesondere bei neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Sie obliegt dem Verantwortlichen, der den Rat eines benannten Datenschutzbeauftragten einholt. Die Aufsichtsbehörden listen Vorgänge, für die sie durchzuführen ist (Abs. 4).
Digital Omnibus
Verordnung (EU) 2026/1744
Die Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung, in Kraft seit dem 27. Juli 2026. Sie fasst Art. 4 zur KI-Kompetenz neu, verschiebt die Hochrisikopflichten für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028, gibt Art. 50 Abs. 2 für vorher in Verkehr gebrachte Systeme einen Übergang bis 2. Dezember 2026 und ergänzt Art. 5 um neue Verbote.
Drittlandübermittlung
Art. 44 ff. DSGVO
Die Übermittlung personenbezogener Daten in ein Land außerhalb von EU und EWR oder an eine internationale Organisation. Sie ist nach Art. 44 DSGVO nur zulässig, wenn die Bedingungen des Kapitels V eingehalten sind, auch bei einer Weiterübermittlung. Grundlage ist meist ein Angemessenheitsbeschluss der Kommission (Art. 45) oder geeignete Garantien wie Standarddatenschutzklauseln (Art. 46).
Hochrisiko-KI-System
Art. 6, Anhang III KI-VO
Ein KI-System, das nach Art. 6 KI-VO als hochriskant gilt: als Produkt oder Sicherheitsbauteil nach Anhang I, das eine Konformitätsbewertung durch Dritte braucht, oder als System aus Anhang III, etwa für die Bewerbervorauswahl. Art. 6 Abs. 3 nimmt Systeme aus Anhang III unter engen Bedingungen aus, nie aber bei Profiling. Die Pflichten gelten für Anhang III ab dem 2. Dezember 2027, für Anhang I ab dem 2. August 2028.
Kennzeichnungspflicht
Art. 50 KI-VO
Die Pflichten nach Art. 50 KI-VO, seit 2. August 2026 verbindlich, Abs. 2 für Altsysteme ab 2. Dezember 2026. Anbieter gestalten Systeme für die direkte Interaktion so, dass Menschen erfahren, dass sie mit einem KI-System interagieren, falls nicht offensichtlich, und kennzeichnen synthetische Inhalte maschinenlesbar, außer bei bloß unterstützender Bearbeitung. Für Betreiber gelten Abs. 3 und 4, etwa bei Deepfakes.
KI-Agent
Ein Programm, in dem ein Sprachmodell einen Auftrag Schritt für Schritt abarbeitet. Das Modell liest den Eingang, wählt den nächsten Schritt und fordert eine Abfrage oder einen Eintrag in einem angebundenen System an; das Programm führt die Anforderung aus und gibt das Ergebnis zurück, bis der Auftrag erledigt oder eine Grenze erreicht ist. Rechtlich ist ein KI-Agent ein KI-System nach Art. 3 Nr. 1 KI-VO.
KI-Kompetenz
Art. 4 KI-VO
Nach Art. 3 Nr. 56 die Fähigkeiten, Kenntnisse und das Verständnis, um KI-Systeme sachkundig einzusetzen und sich ihrer Chancen und Risiken bewusst zu sein. Art. 4 gilt seit 2. Februar 2025; seit der Verordnung (EU) 2026/1744 verlangt er von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz ihres Personals und der in ihrem Auftrag mit den Systemen befassten Personen fördern, kein garantiertes Niveau je Person.
KI-System
Art. 3 Nr. 1 KI-VO
Ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach der Betriebsaufnahme anpassungsfähig sein kann und aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Ein Ablauf nach allein von Menschen festgelegten Regeln ist keines (Erwägungsgrund 12).
Kontextfenster
Die Höchstmenge an Token, die ein Sprachmodell in einer Anfrage zugleich berücksichtigen kann, meist Eingabe und Ausgabe zusammen. Was nicht hineinpasst, sieht das Modell nicht; über die Anfrage hinaus behält es nichts, soweit keine Ablage besteht. Weil nach Token abgerechnet wird, sucht eine Stelle zuerst die passenden Abschnitte und liest dann, statt ganze Bestände in das Kontextfenster zu legen.
Mitbestimmung bei technischen Einrichtungen
§ 87 Abs. 1 Nr. 6 BetrVG
Der Betriebsrat bestimmt bei Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, soweit keine gesetzliche oder tarifliche Regelung besteht. Nach ständiger Rechtsprechung des BAG genügt, dass die Einrichtung dazu objektiv geeignet ist. Ohne Einigung entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG).
Personalakte (einer Stelle)
Das Dokument, das eine Stelle beschreibt: Stammdaten mit Datenklasse, Aufgaben, Weisungsgrenzen, Arbeitsplatz, Zugriff mit Rechtsgrundlage, Einstufung nach der KI-Verordnung und Mitbestimmung. Sie entsteht bei jedem Start aus der Konfiguration und der echten Werkzeugliste; passt ein Werkzeug nicht zur Akte, startet die Stelle nicht. Unterlage für Betriebsrat und Datenschutzbeauftragten; Änderungen mit Datum.
Profiling
Art. 4 Nr. 4 DSGVO
Jede Art der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten verwendet werden, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten, etwa um ihre Arbeitsleistung, Gesundheit, Zuverlässigkeit oder ihr Verhalten zu analysieren oder vorherzusagen. Ein KI-System aus Anhang III KI-VO, das Profiling vornimmt, gilt nach Art. 6 Abs. 3 immer als hochriskant.
Protokollierung
Art. 12, Art. 26 Abs. 6 KI-VO
Die Technik eines Hochrisiko-KI-Systems muss die automatische Aufzeichnung von Ereignissen im Lebenszyklus ermöglichen (Art. 12 KI-VO). Betreiber bewahren die Protokolle unter ihrer Kontrolle für einen angemessenen Zeitraum von mindestens sechs Monaten auf, vorbehaltlich anderen Unions- oder nationalen Rechts (Art. 26 Abs. 6). Für Anhang III gilt das ab 2. Dezember 2027; jede Stelle protokolliert jede Aktion.
RPA
Robotic Process Automation: ein Programm, das nach einem vorher aufgezeichneten oder beschriebenen Klickpfad Werte in Masken überträgt und Schaltflächen betätigt. Weicht ein Eingang von diesem Pfad ab, bricht der Ablauf ab oder meldet einen Fehler. Ein reiner RPA-Ablauf ist in der Regel kein KI-System nach Art. 3 Nr. 1 KI-VO; ein eingebundener Baustein mit maschinellem Lernen oder mit einem Sprachmodell ist es.
Sprachmodell
Ein KI-Modell, das an großen Textmengen trainiert wurde und zu einer Eingabe den wahrscheinlich passenden Text erzeugt. Im KI-Agenten liest es unstrukturierte Eingänge wie Belege und Mails und schlägt den nächsten Schritt vor; ausführen kann es selbst nichts. Eine falsche Angabe formuliert ein Sprachmodell ebenso sicher wie eine richtige, deshalb wird gegen die Daten der angebundenen Systeme geprüft.
Token
Die Einheit, in die ein Sprachmodell Text zerlegt, meist ein Wortteil, bei häufigen Wörtern ein ganzes Wort. Die Modellanbieter rechnen nach Token ab, in der Regel getrennt nach Eingabe und Ausgabe. Bei einem KI-Agenten zählt jeder Zwischenschritt mit, deshalb wächst der Verbrauch mit der Länge der gelesenen Texte und mit der Zahl der Schritte bis zum Ergebnis.
TOM
Art. 32 DSGVO
Technische und organisatorische Maßnahmen, mit denen Verantwortlicher und Auftragsverarbeiter nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau gewährleisten. Maßstab sind unter anderem Stand der Technik, Implementierungskosten und Art, Umfang, Umstände und Zwecke der Verarbeitung. Genannt werden etwa die Verschlüsselung personenbezogener Daten und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Verbotene Praktiken
Art. 5 KI-VO
Seit 2. Februar 2025 verbotene KI-Praktiken, etwa soziale Bewertung mit ungerechtfertigter Schlechterstellung und die Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen. Die Verordnung (EU) 2026/1744 verbietet zusätzlich Systeme, die nicht einvernehmliche intime Inhalte oder Darstellungen von Kindesmissbrauch erzeugen, Übergang bis 2. Dezember 2026.
Weisungsgrenze
Der Punkt, ab dem die Stelle vorlegt, statt zu entscheiden. Die Grenzen stehen im Klartext in der Personalakte, mit Datum und Entscheider; der letzte Eintrag nennt, was die Stelle nie tut. Beispiel Rechnungseingang: Gutschriften und Stornos legt die Stelle grundsätzlich vor, eine Zahlung löst sie nie aus.