KI-Compliance im Arbeitsumfeld: Der Weg zu einer rechtssicheren KI-Nutzungsrichtlinie
KI-Systeme sind in der Unternehmenspraxis angekommen. Die Anwendungsbereiche im unternehmerischen Kontext sind dabei äußerst vielseitig. Im achten Artikel unserer Beitragsreihe erklären wir, welche rechtlichen Bestimmungen beim Einsatz von KI im Arbeitsumfeld gelten und wie Unternehmen diese in einer KI-Nutzungsrichtlinie rechtskonform umsetzen können.
Mitbestimmungsrechte des Betriebsrates nach dem BetrVG
KI-Systeme greifen regelmäßig auf eine Vielzahl von Mitarbeiterdaten zu. Datenerfassung und Bewertung durch KI-Systeme ermöglichen dabei Schlussfolgerungen auf die Qualität der Arbeit, die ein Arbeitnehmer leistet. Die meisten KI-Systeme sind hierdurch objektiv zur Verhaltens- und Leistungskontrolle geeignet, sodass bei der betrieblichen Einführung und Nutzung von KI-Systemen der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen ist. Werden durch den Einsatz von KI-Systemen Betriebsänderungen wie beispielsweise der Stellenabbau derart durchgeführt, dass die Schwellen gemäß § 17 Abs. 1 KSchG überschritten werden, liegt zudem eine mitbestimmungspflichtige Betriebseinschränkung nach § 111 S. 3 Nr. 1 BetrVG vor. Die Einführung von KI-Systemen kann auch als grundlegende Änderung der Betriebsorganisation, des Betriebszwecks und der Betriebsanlagen zu qualifizieren sein, sodass auch § 111 S. 3 Nr. 4 BetrVG regelmäßig das Mitbestimmungsrecht auslöst. Schließlich wird oftmals eine mitbestimmungspflichtige Betriebsänderung im Sinne des § 111 S. 3 Nr. 5 BetrVG vorliegen, weil sich die Einführung von KI-Systemen auf eine Vielzahl von Mitarbeitenden auswirkt und die Arbeitsmethoden in erheblichem Umfang verändert. Die Einführung von KI-Systemen sollte daher von Anfang an in enger Abstimmung mit dem Betriebsrat erfolgen.
Vermeidung von Diskriminierung (AGG-Konformität, Bias-Kontrolle)
KI-Systeme basieren meist auf maschinellem Lernen, sie leiten also aus einer Vielzahl an Daten selbstständig Regeln ab. Die möglicherweise in Trainingsdatensätzen enthaltenen Diskriminierungen können sich daher in den Regeln, die das KI-System aus ihnen ableitet, fortsetzen. Dies kann zu Benachteiligungen von Bewerbern oder Arbeitnehmern gerade im Personalwesen und damit zu Konflikten mit dem Allgemeinen Gleichbehandlungsgesetz (AGG) führen. Können Betroffene Indizien für eine Benachteiligung durch das KI-System glaubhaft machen, trägt der Unternehmer die Beweislast und es drohen Schadensersatz- und Entschädigungsansprüche nach § 15 Abs. 1 und 2 AGG. Der Nachweis von Indizien dürfte jedoch mangels Einblicks in Entscheidungsprozesse der KI (Blackbox-Effekt) regelmäßig nicht möglich sein, sodass eine erfolgreiche Anspruchsdurchsetzung nach aktuellem Stand eher unwahrscheinlich ist. Im Rahmen der sekundären Beweislast müssen Unternehmer jedoch darlegen, was sie getan haben, um Diskriminierungen zu verhindern. Deshalb und auch mit Blick auf die Fortschritte im Bereich der erklärbaren KI (XAI) sollten Unternehmer schon heute eine wirksame Diskriminierungskontrolle implementieren und dokumentieren.
Automatisierte Entscheidungen (Art. 22 DSGVO)
KI-Systeme, die Entscheidungen gegenüber Mitarbeitenden oder Bewerbern treffen sollen, verarbeiten zwangsläufig eine Vielzahl von personenbezogenen Daten. Beruht die Entscheidung ausschließlich auf einer automatisierten Verarbeitung und beeinträchtigt sie den Entscheidungsadressaten in erheblicher Weise, statuiert Art. 22 Abs. 1 DSGVO für sie ein Verbot mit Erlaubnisvorbehalt. Soll die KI Entscheidungen treffen, wählt sie notwendigerweise eine von mehreren Möglichkeiten aus, sodass das Merkmal der Einzelfallentscheidung gegeben ist. Während sich leicht feststellen lässt, ob die Entscheidung rechtliche Wirkung für die betroffene Person hat, gilt dasselbe nicht für das Merkmal der ähnlichen erheblichen Beeinträchtigung, welche einzelfallbezogen festzustellen ist.
Vergleichsweise einfach lässt sich die Anwendbarkeit des Art. 22 DSGVO durch menschliche Überprüfung der KI-Entscheidung ausschließen. Voraussetzung ist, dass die menschliche Überprüfung gewissen qualitativen Anforderungen genügt. Es gilt: Je konkreter der Entscheidungsvorschlag des KI-Systems ausfällt, desto eher wird die menschliche Entscheidung beeinflusst („Bias“) und damit kein relevantes Dazwischentreten des menschlichen Entscheidungsträgers begründet. Mitarbeitende müssen die Ergebnisse des KI-Systems inhaltlich überprüfen und ändern bzw. verwerfen können. Eine bloß formelle Überprüfung (Abnicken der KI-Entscheidung) reicht hierfür nicht aus.
Die Entscheidung beruht dann nicht mehr ausschließlich auf der automatisierten Verarbeitung. Im Falle eines Scores als Ergebnis des KI-Entscheidungsprozesses liegt zudem auch keine ähnliche erhebliche Beeinträchtigung im Sinne der Rechtsprechung des EuGH für die betroffene Person vor, weil es an dem vom richterrechtlich entwickelten Kriterium der Maßgeblichkeit fehlt. Für den Einsatz von KI zur Entscheidungsvorbereitung ergibt sich daher, dass die Entscheidungsvorschläge des KI-Systems so abstrakt wie möglich sein sollten, damit genügend Raum für die Letztentscheidung durch den Mitarbeitenden verbleibt.
Weisungen und Leistungskontrolle durch KI-Systeme
Arbeitgeber können grundsätzlich KI nutzen, um ihr Weisungsrecht gegenüber dem Arbeitnehmer auszuüben. Dabei sind dieselben rechtlichen Rahmenbedingungen wie bei allen anderen Weisungen zu beachten. Das heißt, auch durch KI-Systeme konkretisierte Weisungen dürfen Arbeitnehmern nur Tätigkeiten und Aufgaben zuordnen, die sich im Rahmen der arbeitsvertraglich geschuldeten Arbeitspflicht aufhalten. Ebenso wird das Ausmaß des sich hieraus ergebenden KI-vermittelten Weisungsrechts durch die anderen arbeitsrechtlichen Rechtsquellen (§ 611a BGB, § 106 GewO, § 315 BGB sowie Tarifverträge und Betriebsvereinbarungen) abgesteckt. Es muss daher sichergestellt sein, dass KI-Systeme keine Weisungen erteilen, die sich im Rahmen der Interessenabwägung als unbillig herausstellen oder gegen Tarifverträge und Betriebsvereinbarungen verstoßen. Zusätzlich ist Art. 22 DSGVO zu beachten, soweit sich aus der Entscheidung der KI rechtliche Wirkungen oder ähnliche erhebliche Beeinträchtigungen für den Arbeitnehmer ergeben (bspw. Abmahnung, Anordnung von Überstunden).
KI-Systemen zur Leistungskontrolle von Mitarbeitern werden als Hochrisiko-KI-Systeme gem. Art. 6 Abs. 2 KI-VO eingestuft (Anhang III Nr. 4 Buchst. b) KI-VO), sodass der Anwendungsbereich der KI-Verordnung eröffnet ist. Unternehmer unterliegen dann regelmäßig als Betreiber dem umfassenden Pflichtenkatalog des Art. 26 KI-VO. Der europäische Gesetzgeber hat den Geltungsbeginn der Hochrisiko-Anforderungen für Anhang-III-Systeme durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben.
Haftungsquellen
KI-Systeme können ein breites Spektrum an Aufgaben erfüllen, sodass Haftungstatbestände in vielfältiger Weise verwirklicht sein können. Dieser Beitrag beschränkt sich auf die Haftung aus Urheberrecht und Datenschutzrecht.
Datenschutz
Bei der Verarbeitung personenbezogener Daten müssen Unternehmer zudem die Vorschriften der DSGVO beachten. Nutzen Arbeitnehmer KI-Systeme ohne Wissen des Arbeitgebers oder handeln sie entgegen einer bestehenden Nutzungsrichtlinie, verarbeiten sie in der Regel unrechtmäßig personenbezogene Daten und verletzen Informationspflichten nach Art. 13 Abs. 3, Art. 14 DSGVO. Bei der Nutzung ohne Kenntnis des Arbeitgebers liegt regelmäßig weder ein Joint-Control-Agreement (Art. 26 Abs. 1 DSGVO) noch ein Auftragsverarbeitungsvertrag (Art. 28 Abs. 3 DSGVO) mit dem KI-Anbieter vor. Entsteht einer betroffenen Person hieraus ein materieller oder immaterieller Schaden und kann sie ihn nachweisen, hat sie einen Anspruch auf Schadensersatz gem. Art. 82 DSGVO gegen den Unternehmer als Verantwortlichen. Etwas anderes gilt nur, wenn der Unternehmer nachweisen kann, dass er seinerseits nicht für den Umstand, der zum Schaden geführt hat, verantwortlich ist (Art. 82 Abs. 3). Erlangt die zuständige Aufsichtsbehörde Kenntnis von den Verstößen, etwa im Rahmen einer eigenen Untersuchung oder aufgrund einer Beschwerde der betroffenen Person, kann sie Maßnahmen nach Art. 58 Abs. 2 lit. a-h und j DSGVO und/oder ein erhebliches Bußgeld verhängen (Art. 83 DSGVO).
Urheberrecht
Mit dem Einsatz von KI im Arbeitsumfeld gehen zudem urheberrechtliche Risiken einher. Urheberrechtsverletzungen können sich bei der Entwicklung unternehmenseigener KI-Systeme aus der Verwendung urheberrechtlich geschützter Werke für das KI-Training ergeben. Unabhängig davon kann sich eine Urheberrechtsverletzung auch aus der Nutzung von KI-Systemen ergeben. Zum einen aus der Verwendung urheberrechtlich geschützter Inhalte im Input (Prompt). Zum anderen kann der von der KI generierte Output (Bilder, Texte, Audiodateien etc.) selbst Urheberrechte verletzen. Im KI-Kontext kann die Urheberrechtsverletzung zu Zwecken des Text- und Data Mining nach § 44b UrhG gerechtfertigt sein, soweit kein wirksamer Nutzungsvorbehalt (§ 44b Abs. 3 UrhG) des Inhabers des Urheberrechts vorliegt. Nutzt ein Unternehmen beispielsweise urheberrechtlich geschützte Werke für das Training eines eigenen KI-Agenten, muss das Werk vorher auf einen wirksamen (insbesondere maschinenlesbaren) Nutzungsvorbehalt überprüft werden. Bei der Nutzung von KI können Vervielfältigungen im Prompt über § 44a UrhG gerechtfertigt sein. Die Reichweite und Anwendbarkeit urheberrechtlicher Rechtfertigungsgründe im Kontext von KI-Anwendungen ist allerdings noch nicht abschließend geklärt. Liegt ein nicht gerechtfertigter Eingriff in das Urheberrecht in Form einer Urheberrechtsverletzung vor, droht eine Abmahnung nach § 97a UrhG. Kann in der Folge ein Rechtsstreit nicht durch einen Vergleich verhindert werden, haftet der Unternehmer auf Unterlassung und Beseitigung gem. § 97 Abs. 1 UrhG, bei Verschulden sogar auf Schadensersatz gegenüber dem Inhaber des Urheberrechts.
Aus den §§ 106, 108a UrhG können sich zudem strafrechtliche Konsequenzen ergeben.
Vertragliche und versicherungsrechtliche Absicherung
Bei KI-Tools, die von einem Drittanbieter bezogen werden, ist ein Auftragsverarbeitungsvertrag gem. Art. 28 Abs. 3 DSGVO mit dem Drittanbieter zu schließen. Vor Einführung eines KI-Systems sollte ein KI-Anbieter-Assessment durchgeführt werden und das System ausgewählt werden, das zu den Anforderungen an IT-Sicherheit und Datenschutz passt. Das Training der KI-Systeme mit Unternehmensdaten sollte vertraglich ausgeschlossen werden. Zudem sollte die rechtskonforme und insbesondere datenschutz- und urheberrechtskonforme Entwicklung durch den KI-Anbieter vertraglich zugesichert werden. Mit dem KI-Anbieter sollte ein Nutzungsvertrag geschlossen werden, der die eigenen Urheberrechte an den KI-Erzeugnissen bestimmt. Auch Nutzungsrechte an Prompt-Inhalten sollten sich vorbehalten werden. Zudem sollte eine wirksame und angemessene Vertragsstrafe für den Fall der beabsichtigten bzw. unbeabsichtigten Weitergabe von Prompt-Inhalten an Dritte vereinbart werden. Ist die Vertragsstrafe in AGB integriert, muss sie insbesondere ihrer Höhe nach angemessen ausgestaltet sein, um einer Inhaltskontrolle nach § 307 Abs. 1 S. 1 BGB standzuhalten.
Haftungsrisiken der Nutzung von KI-Systemen lassen sich über eine Produkthaftpflichtversicherung als Teil der Betriebshaftpflichtversicherung oder eine Cyber-Risk-Versicherung abdecken. Besonders sollte hierbei auf etwaige bestehende Risikoausschlüsse der Versicherung geachtet werden. Darüber hinaus sollten Unternehmer ihr eigenes und das Risiko ihrer Entscheidungsträger, aus Vorsatz für KI-spezifische Risiken persönlich zu haften, analysieren und sich im Falle der Haftung aufgrund berufsbezogener Tätigkeiten von den Anwaltskosten befreien lassen.
Sie benötigen Unterstützung?
Je nach Anwendungszweck gehen mit der Implementierung im Arbeitskontext verschiedenste Risiken und rechtliche Verpflichtungen einher. Als moderne Kanzlei setzt KREMER LEGAL selbst KI-gestützte Anwendungen im Arbeitsalltag ein und verfügt daher neben der rechtlichen Expertise auch über praktische Erfahrung im Umgang mit KI, eine Kombination, die uns zum idealen Ansprechpartner für arbeitsrechtliche Fragen rund um den betrieblichen KI-Einsatz macht.
Fragen zum rechtssicheren KI-Einsatz in Ihrem Unternehmen? Nehmen Sie gerne Kontakt auf: info@kremer.legal
KL/ Beitrag von Nils Grüttner