Audit-Log ohne Personenbezug: So gestalten Sie KI-Systeme betriebsratsfest

Ein KI-System wird betriebsratsfest, wenn sein Audit-Log technisch keine Leistungs- oder Verhaltenskontrolle einzelner Mitarbeiter zulässt. Nicht die Zusage „wir werten das nicht aus“ überzeugt Betriebsrat und Datenschutzbeauftragte, sondern eine Architektur, in der die Auswertung gar nicht geht.

Warum ein personenbezogenes Audit-Log die Einführung stoppt

Das Betriebsverfassungsgesetz gibt dem Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Arbeitnehmern geeignet sind. Entscheidend ist die Eignung, nicht die tatsächliche Nutzung. Ein Audit-Log, das festhält, welcher Mitarbeiter wann welche Freigabe erteilt hat, ist zur Leistungskontrolle geeignet, auch wenn niemand das vorhat. Damit ist die Mitbestimmung ausgelöst, und die Einführung hängt.

Die Konsequenz: Das Audit-Log darf keine direkten Rückschlüsse auf einzelne Personen zulassen. Aktivitäten werden auf Rollen- oder Teamebene erfasst, personenbezogene Felder durch Referenzen und Hashes ersetzt. Die EU-KI-Verordnung behandelt KI am Arbeitsplatz zusätzlich streng; ein System, das von vornherein keine Mitarbeiter bewertet, hält sich diesen Ärger vom Hals.

KI-Entscheidungen nachvollziehbar dokumentieren, ohne Personen zu protokollieren

Der wichtigste Hebel ist der Wechsel von personenbezogener zu rollenbasierter Protokollierung. Statt „welcher Mitarbeiter hat freigegeben“ steht im Log „welche Rolle hat freigegeben“. Rollen sind Funktionen wie „Vertrieb“ oder „Support“, keine natürlichen Personen. Die Nachvollziehbarkeit für Prüfer bleibt vollständig erhalten: Auslöser, verwendete Quellen, Modellversion, Entwurf, Freigabe, Versand. Nur die Frage „wer genau“ beantwortet das Log nicht.

Beispiel Anfragebearbeitung: Protokolliert wird, dass die Rolle „Vertrieb“ den Antwortentwurf freigegeben hat, nicht der Name. Wer die Rolle gerade besetzt, steht in der Zugriffsverwaltung mit kurzer Aufbewahrung, getrennt vom Audit-Log. Der Betriebsrat kann sicher sein, dass keine Verhaltensprofile entstehen; die Compliance-Verantwortliche kann trotzdem jede KI-Entscheidung zurückverfolgen.

Technische Umsetzung: nur anhängen, nie ändern

Ein betriebsratsfestes Audit-Log ist ein Append-only-Log: Einträge werden angehängt, nie aktualisiert oder gelöscht. In PostgreSQL erzwingt das ein Datenbank-Trigger, der UPDATE und DELETE auf die Audit-Tabelle blockiert. Sensible Inhalte stehen nicht im Klartext, sondern als Prüfsumme oder als Verweis auf ein Objekt, das separat und mit kurzer Aufbewahrungsfrist geführt wird.

Zwei Effekte: Das Log ist manipulationssicher, nachträgliches Schönen ist ausgeschlossen. Und es enthält weniger Daten, weil Volltexte fehlen, was dem Grundsatz der Datenminimierung der DSGVO entspricht.

Was ein Eintrag enthalten muss, damit er Prüfern reicht

Ein Audit-Eintrag ohne Personenbezug ist nicht leer. Er enthält Zeitstempel, Vorgangsnummer, auslösendes Ereignis, die beteiligte Rolle, die Version des verwendeten Sprachmodells, Referenzen auf die Wissensquellen, mit denen der Entwurf erstellt wurde, Prüfsummen von Eingabe und Ausgabe sowie den Freigabestatus. Ein Prüfer kann damit jede Antwort bis zur Quelle zurückverfolgen und feststellen, ob eine Freigabe vorlag. Was er nicht kann: nachsehen, wie schnell eine bestimmte Kollegin ihre Freigaben erledigt. Diese Trennung ist der ganze Trick, und sie kostet keine Nachvollziehbarkeit.

Datenschutzbeauftragte fragen an dieser Stelle nach dem Löschkonzept. Weil Volltexte nicht im Log liegen, sondern nur Referenzen, lassen sich personenbezogene Inhalte im Quellsystem löschen, ohne die Integrität des Logs zu verletzen. Der Eintrag bleibt, der Inhalt ist weg.

Der Betriebsrats-Modus: aggregierte Sichten als Standard

Der Betriebsrats-Modus ist eine technisch erzwungene Einstellung, die jede Auswertung des Audit-Logs auf aggregierte, personenfreie Sichten beschränkt. Verfügbar sind nur vordefinierte Ansichten: Anzahl der Vorgänge, Bearbeitungszeiten, Korrekturquoten je Team. Freie Abfragen, die personenbezogene Daten liefern könnten, sind blockiert. Im System, nicht in einer Richtlinie, die jemand umgehen kann.

Was bleibt, reicht für die Rechenschaftspflicht: Wie eine KI-Entscheidung zustande kam, mit welchen Quellen und welcher Freigabe, lässt sich jederzeit zeigen. Wer sie ausgeführt hat, nicht.

Organisatorisch: Betriebsvereinbarung vor dem Start

Technik allein reicht nicht. Eine Betriebsvereinbarung regelt verbindlich, wer unter welchen Bedingungen auf das Log zugreift, welche Auswertungen erlaubt sind und was bei Verstößen passiert. Stimmen Sie sie vor der Einführung ab, nicht danach; ein nachgeschobenes Papier wirkt wie ein Eingeständnis.

Schulen Sie außerdem alle, die mit dem Log arbeiten: Es dient der Nachvollziehbarkeit von KI-Entscheidungen, nicht der Kontrolle von Kollegen. Bieten Sie dem Betriebsrat an, die Einhaltung stichprobenartig selbst zu prüfen. Das nimmt der Diskussion die Schärfe.

So baut dataso das

In den KI-Systemen, die dataso für Kunden baut, sind Audit-Einträge auf Rollenebene erfasst, die Auswertung läuft ausschließlich über den Betriebsrats-Modus, und die Komponenten, die Wissensseiten automatisch aktualisieren, verarbeiten keine personenbezogenen Daten. Die Haltung dahinter: Die KI ist Zuarbeiter der Mitarbeiter, nicht ihr Aufseher. Das lässt sich einem Betriebsrat offen vorlegen. Wie Agenten dabei eine Rolle mit menschlichem Verantwortlichen bekommen, beschreibt KI-Agenten im Organigramm.

Häufige Fragen

Welche technischen Maßnahmen braucht ein betriebsratsfestes Audit-Log?

Ein Append-only-Log ohne Updates und Löschungen, Referenzen und Hashes statt Volltexten, rollenbasierte Protokollierung und einen Betriebsrats-Modus, der nur aggregierte Auswertungen zulässt. Zugriffe auf das Log werden selbst protokolliert.

Wie überzeugen Sie den Betriebsrat?

Mit früher Einbindung und Vorführung statt Versprechen: Zeigen Sie, dass eine Personenauswertung technisch nicht möglich ist, schließen Sie eine Betriebsvereinbarung und bieten Sie regelmäßige Prüfungen an.

Welche Rolle spielt die DSGVO?

Die DSGVO verlangt Datenminimierung und die Wahrung der Betroffenenrechte. Ein Audit-Log ohne Personenbezug speichert weniger personenbezogene Daten und senkt damit das Risiko einer Datenschutzverletzung. Rechtsberatung ersetzt das nicht; die Architektur macht sie aber deutlich kürzer.

Wenn bei Ihnen ein KI-Projekt am Betriebsrat oder am Datenschutz hängt, bringen Sie den geplanten Ablauf und die offenen Einwände mit. Im kostenlosen halbstündigen Potenzial-Check zeigen wir, wie ein rollenbasiertes Audit-Log dafür aussähe: Potenzial-Check buchen