KI-Coding-Agenten im deutschen Unternehmen: die Ebene, die alle vergessen

Warum diese Ebene international unter den Tisch fällt

Der Großteil der Inhalte über KI-Coding-Agenten kommt aus dem angloamerikanischen Raum, wo ein Entwickler ein Werkzeug ausprobiert und loslegt. In einem deutschen Unternehmen mit Betriebsrat, DSGVO und einer Rechtsabteilung, die mitliest, sieht der Weg in die Produktion anders aus. Nicht schwieriger, aber mit Stationen, die niemand überspringt, ohne es später zu bereuen.

Das ist keine Bremse, es ist der eigentliche Unterschied zwischen einer beeindruckenden Demo und etwas, das dein Unternehmen wirklich einsetzen darf. Und es ist genau die Ebene, an der man erkennt, ob ein Anbieter schon einmal in Deutschland ausgeliefert hat oder nur ein Tool vorführt.

Die drei Stationen

1. Der AVV: wer verarbeitet hier eigentlich welche Daten?

Sobald in deinem Auftrag personenbezogene Daten verarbeitet werden, verlangt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag mit dem Verarbeiter. Bei KI-Coding-Agenten ist die entscheidende Frage nicht "nutzen wir KI", sondern worauf greift der Agent tatsächlich zu. Läuft er über eine Codebasis, die Kundendaten enthält? Schickt er Ausschnitte an ein Modell eines Drittanbieters? Wer ist in dieser Kette Verantwortlicher, wer Auftragsverarbeiter?

Das ist klärbar, und es gehört vor den ersten Zugriff geklärt, nicht danach. Ein sauberer Aufbau grenzt oft schon technisch ein, welche Daten ein Agent überhaupt sieht, was die Datenschutzfrage kleiner und die Antwort einfacher macht.

2. Der Betriebsrat: Mitbestimmung bei überwachungsfähigen Systemen

Das ist die Station, die international am häufigsten übersehen wird, weil es in vielen Ländern nichts Vergleichbares gibt. Nach dem Betriebsverfassungsgesetz hat der Betriebsrat ein echtes Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Entscheidend ist das Wort "geeignet": Es kommt nicht darauf an, ob du überwachen willst, sondern ob das System es könnte.

Ein agentisches Entwicklungssystem, das protokolliert, wer welche Aufgabe wann angestoßen hat, kann in diesen Bereich fallen. Der Reflex, das zu verstecken oder zu übergehen, ist der teuerste Fehler hier: Ein übergangener Betriebsrat kann ein fertiges Projekt zum Stillstand bringen. Der schnelle Weg ist der offene. Binde den Betriebsrat früh ein und sei in der Lage, ihm genau zu sagen, was das System erfasst und was nicht.

Hier lohnt der Blick auf die Aufsichtsleiter, unser Modell der fünf Autonomie-Stufen von KI-Coding-Agenten. Wo ein System auf dieser Leiter arbeitet, hängt eng damit zusammen, welche Daten über die Arbeit von Menschen überhaupt anfallen. Ein Team, das seine eigene Stufe klar benennen kann, kann dem Betriebsrat eine klare Antwort geben, statt ins Schwimmen zu geraten. Klarheit über die Stufe ist zugleich Klarheit im Mitbestimmungsgespräch.

3. Das geistige Eigentum: wem gehört der Code?

Die schnelle Reihenfolge

Die ganze Ebene wirkt nur dann wie eine Bremse, wenn man sie ans Ende schiebt. Vorne angestellt, ist sie in wenigen Tagen erledigt und danach nie wieder im Weg. Eine einfache Reihenfolge, bevor der erste Agent irgendetwas anfasst:

1. Datenzugriff festlegen. Worauf darf der Agent zugreifen, worauf nicht? Das beantwortet die halbe Datenschutzfrage, bevor sie gestellt wird.
2. AVV klären. Wer verarbeitet was, und liegt der Vertrag vor? Mit euren Datenschutzverantwortlichen, nicht im Nachhinein.
3. Betriebsrat einbinden. Früh, offen, mit einer klaren Beschreibung dessen, was das System erfasst. Nicht am Ende um Erlaubnis bitten.
4. IP im Vertrag festschreiben. Alle Ergebnisse gehören dir. Ein Satz, der später viel Ärger spart.
5. Dann bauen. Auf einer bewusst gewählten Stufe der Aufsichtsleiter, mit Leitplanken, die zu dieser Stufe passen.

Das ist keine Bürokratie um ihrer selbst willen. Es ist die Reihenfolge, in der ein KI-Projekt in Deutschland tatsächlich in Produktion kommt, statt in einer Schleife aus Rückfragen zu versanden.

Die Frage, die einen Anbieter entlarvt

Wenn dir jemand anbietet, mit KI Software für dich zu bauen, stell ihm eine deutsche Frage: Wie geht ihr mit AVV, Betriebsrat und der IP-Frage um? Eine gute Antwort ist konkret und klingt nach Erfahrung: Datenzugriff wird eingegrenzt, ein AVV liegt vor oder wird gestellt, der Betriebsrat wird früh eingebunden, und alle Ergebnisse gehören dir. Eine schlechte Antwort ist ein leerer Blick oder ein "das regeln wir dann". Das erste ist ein Partner, der in Deutschland schon geliefert hat. Das zweite ist ein Tool mit einer Rechnung.

(Hinweis: Dieser Text informiert, er ersetzt keine Rechtsberatung. AVV-Pflicht, Mitbestimmung und Vertragsgestaltung hängen vom Einzelfall ab. Kläre die konkrete Lage mit euren Datenschutzverantwortlichen, eurem Betriebsrat und eurer Rechtsabteilung.)

Wir bauen KI-Software in Produktion, auch in deutschen Unternehmen mit Betriebsrat und DSGVO. Diese Ebene gehört bei uns zum Handwerk, nicht zur Überraschung am Ende. Wenn du wissen willst, wie sich das auf ein konkretes Vorhaben überträgt, ist das der Stoff für ein erstes Gespräch.