Governance für Citizen Development

Citizen Developer sind Beschäftigte aus Fachabteilungen, die ohne Entwicklerausbildung eigene Anwendungen bauen, heute meist mit KI-Unterstützung. Schult man sie, ohne vorher Regeln festzulegen, beschleunigt man genau die Schatten-IT, die man eigentlich vermeiden will. Legt man Regeln fest, ohne zu schulen, werden sie umgangen, weil niemand weiß, wie es richtig geht.

Deshalb wären Leitplanken im Programm kein Anhang, sondern Lerninhalt: Teilnehmende lernen in jeder Stufe, was sie bauen dürfen und welcher Weg zur Freigabe führt. Die IT, der Datenschutz und der Betriebsrat stimmen diese Regeln vor dem Start mit ab.

Ein einfaches Drei-Stufen-Modell ordnet jedes selbstgebaute Werkzeug nach Reichweite und Daten ein. Das Modell ist ein Vorschlag und würde an bestehende Freigabeprozesse in Ihrem Haus angepasst.

Die DSGVO gilt unabhängig davon, ob ein Werkzeug von der IT oder von einer Sachbearbeiterin gebaut wurde. Für Citizen Developer lassen sich die wichtigsten Grundsätze in wenige Regeln übersetzen:

Datenminimierung

Nur die Daten verwenden, die für den Zweck wirklich nötig sind. Zum Bauen und Testen reichen fast immer Beispieldaten oder anonymisierte Auszüge.

Zweckbindung

Daten, die für einen Zweck erhoben wurden, nicht ungeprüft für ein neues Werkzeug weiterverwenden.

Freigegebene Dienste

Nur KI-Werkzeuge nutzen, für die das Unternehmen die Verarbeitung geregelt hat, etwa über einen Vertrag zur Auftragsverarbeitung. Private Konten sind tabu.

Vertrauliches bleibt draußen

Geschäftsgeheimnisse, Personalakten, Gesundheitsdaten und Kundendaten gehören nicht in Eingabefelder öffentlicher KI-Dienste.

Früh fragen

Bei Zweifeln vor dem Bauen den Datenschutz einbeziehen, nicht erst vor dem Einsatz.

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz ihres Personals und anderer Personen zu ergreifen, die in ihrem Auftrag mit KI-Systemen umgehen. Ein festes oder „ausreichendes“ Niveau schreibt die Verordnung seit dem Digital Omnibus, der laut EU-Kommission Mitte Juli 2026 in Kraft getreten ist, nicht mehr vor. Sinnvoll bleibt, technische Kenntnisse, Erfahrung, Ausbildung und den Einsatzkontext zu berücksichtigen.

Die Vorschrift nennt kein bestimmtes Format und kein Zertifikat. Für Unternehmen heißt das in der Praxis: Maßnahmen sollten zur jeweiligen Rolle passen und intern nachvollziehbar dokumentiert sein. Ein gestuftes Programm mit Teilnahmedokumentation hilft Ihnen, die Schulungspflicht nachvollziehbar zu dokumentieren.

Diese Hinweise dienen der Orientierung und sind keine Rechtsberatung. Für die rechtliche Bewertung Ihres Einzelfalls wenden Sie sich bitte an Ihre Rechtsabteilung oder eine Anwältin bzw. einen Anwalt.

KI-Werkzeuge und Qualifizierungsmaßnahmen berühren in Unternehmen mit Betriebsrat mehrere Beteiligungsrechte nach dem Betriebsverfassungsgesetz, unter anderem:

• § 90 BetrVG – Unterrichtung und Beratung bei der Planung von Arbeitsverfahren und -abläufen, ausdrücklich auch beim Einsatz von KI.
• § 87 Abs. 1 Nr. 6 BetrVG – Mitbestimmung bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen.
• §§ 96 bis 98 BetrVG – Beteiligung bei der betrieblichen Berufsbildung, einschließlich der Durchführung von Bildungsmaßnahmen.
• § 80 Abs. 3 BetrVG – Hinzuziehung von Sachverständigen, wenn der Betriebsrat die Einführung oder Anwendung von KI beurteilen muss.

Konstruktiv wird es, wenn der Betriebsrat nicht erst um Zustimmung gebeten wird, sondern Lernziele, Freigabeampel und Datenregeln mitgestaltet. Oft entsteht daraus eine Rahmenvereinbarung, die künftige Werkzeuge vereinfacht, statt jedes einzeln zu verhandeln.

Orientierung, keine Rechtsberatung.

Bevor eine erste Gruppe von Fachanwendern startet, sollten diese Punkte geklärt sein:

1. Interne KI-Richtlinie liegt vor und benennt die für Fachanwender freigegebenen Werkzeuge.
2. Freigabeampel (grün, gelb, rot) ist beschrieben, inklusive der Frage, wer jeweils entscheidet.
3. Die IT stellt eine Sandbox bereit: getrennt von Produktivsystemen, mit Unternehmenskonten statt privater Zugänge.
4. Datenregeln sind formuliert: welche Datenkategorien in KI-Tools erlaubt sind, welche nur anonymisiert, welche nie.
5. Für eingesetzte Cloud-Dienste ist geklärt, ob ein Vertrag zur Auftragsverarbeitung besteht und wo Daten verarbeitet werden.
6. Datenschutzbeauftragte sind einbezogen, insbesondere für Werkzeuge der roten Stufe.
7. Der Betriebsrat ist früh informiert; Bedarf an einer Betriebsvereinbarung ist geprüft.
8. Rollen sind besetzt: Programmverantwortliche, Champions, IT-Paten, Fachanwender.
9. Jedes Teamtool hat eine verantwortliche Person und eine Vertretung.
10. Es gibt ein einfaches Verzeichnis der freigegebenen selbstgebauten Werkzeuge.
11. Die Teilnahme an Qualifizierungsmaßnahmen wird intern dokumentiert.
12. Es ist festgelegt, wann ein Werkzeug überprüft, an die IT übergeben oder stillgelegt wird.