Der Einsatz von KI zur Mitarbeiterüberwachung war schon bisher rechtlich eng gefasst. Mit dem EU AI Act wird es noch komplizierter – und teurer. Wer ein Hochrisiko-KI-System zur Bewerbungsanalyse, Leistungskontrolle oder Emotionserkennung nutzt, muss jetzt nicht nur Datenschutz- und Arbeitsrecht beachten, sondern auch umfangreiche Vorgaben der neuen KI-Verordnung erfüllen. Verstöße drohen mit Schadenersatzansprüchen, Bußgeldern und behördlichen Anordnungen.
Kurz & knapp
- Hochrisiko-KI-Systeme im Recruiting (Bewerbungsanalyse), in Schulen (Notenvergabe) und im Kundenkontakt (Emotionserkennung via Stimme) unterliegen der KI-Verordnung
- Der Betreiber (das Unternehmen) trägt Verantwortung für die bestimmungsgemäße Nutzung – nicht nur der Hersteller
- Automatische Protokolle müssen laut KI-Verordnung mindestens sechs Monate aufbewahrt werden
- Betriebsrat hat Mitbestimmungsrecht; bloße Information reicht nicht aus
Betreiber statt nur Hersteller in der Pflicht
Die KI-Verordnung teilt die Verantwortung neu auf. Der Hersteller eines Hochrisiko-KI-Systems definiert zwar den Verwendungszweck und die Betriebsanleitung – doch das Unternehmen als Betreiber muss sicherstellen, dass diese Vorgaben tatsächlich eingehalten werden. Ein Vergleich macht das deutlich: Ein Lkw-Hersteller muss technische Standards erfüllen, bevor das Fahrzeug auf die Straße darf. Das Unternehmen, das den Lkw kauft, muss aber dafür sorgen, dass Fahrer ausgebildet sind, die Verkehrsordnung kennen und Lenk- und Ruhezeiten eingehalten werden.
Übertragen auf KI bedeutet das: Die Betriebsanleitung darf nicht in der Rechtsabteilung verschwinden. Sie muss gelesen, verstanden und angewendet werden. Beschäftigte müssen eingewiesen werden. Der Arbeitgeber muss überprüfen, ob das System tatsächlich bestimmungsgemäß genutzt wird.
Die kritische Rolle der Eingabedaten
Besonders sensibel sind die Eingabedaten – also die Prompts und Informationen, die Mitarbeiter in das KI-System eingeben. Diese Daten stammen oft direkt von Beschäftigten und bestimmen, welches Ergebnis die KI überhaupt erzeugt. Im Recruiting-Beispiel: Nutzt ein Unternehmen KI zur Vorauswahl von Bewerbern, muss es kontrollieren, welche Daten die Personalleiter eingeben. Werden sachfremde oder ungeeignete Informationen verwendet, kann das KI-Ergebnis verfälscht werden – im schlimmsten Fall diskriminiert das System Bewerber.
Der Arbeitgeber muss daher:
| Anforderung | Bedeutung |
|---|---|
| Technische Absicherung | Das System muss vor unbefugtem Zugriff geschützt sein |
| Nachvollziehbarkeit | Jede Nutzung muss dokumentiert und überprüfbar sein |
| Bestimmungsgemäße Verwendung | Kontrolle, dass das System nur für den vorgesehenen Zweck genutzt wird |
| Datenkontrolle | Überwachung der Eingabedaten durch Mitarbeiter |
Betriebsrat bleibt Mitentscheider
Auch wenn die KI-Verordnung erfüllt ist: Der Betriebsrat hat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung von Beschäftigten zu überwachen. Es reicht nicht, ihn nur zu informieren und dann die Kontrolle zu starten. Das Mitbestimmungsrecht ist ein eigenständiges Recht – unabhängig von Datenschutz und KI-Verordnung.
Was das für dich bedeutet
Für deutsche Unternehmen, besonders im Mittelstand, wird die Compliance-Anforderung damit dreischichtig: Datenschutzrecht, Arbeitsrecht und jetzt auch die KI-Verordnung müssen parallel erfüllt werden. Wer Hochrisiko-KI einsetzen will, sollte nicht nur die technische Lösung kaufen, sondern auch ein Compliance-Konzept entwickeln – mit Schulungen, Dokumentation und klarer Rollen- und Verantwortungsteilung. Die FAZ dokumentiert hier eine der häufigsten KI-Nutzungen im deutschen Mittelstand: Bewerbungsfilterung. Wer das unterschätzt, riskiert nicht nur Bußgelder, sondern auch Schadensersatzforderungen von Bewerbern und Mitarbeitern.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
