Update Arbeitsrecht August 2024
Der AI-Act: neue Herausforderungen für Arbeitgeber
Die rasante Entwicklung von Künstlicher Intelligenz (KI) bringt sowohl Chancen als auch Risiken mit sich. Besonders im Bereich des Recruitings und der Leistungsüberwachung von Arbeitnehmern findet KI vermehrt Anwendung. Die Europäische Union hat mit dem AI-Act nunmehr einen einheitlichen Rechtsrahmen für den Einsatz von KI am Arbeitsplatz geschaffen. Die Verordnung ist seit dem 1. August 2024 in Kraft und findet nach Ablauf der Übergangsfristen in allen EU-Mitgliedstaaten Anwendung.
Aktuelle arbeits- und datenschutzrechtliche Regelungen zur Nutzung von KI im Unternehmen
Beim Einsatz von KI am Arbeitsplatz sind bereits jetzt einige spezifische arbeits- und datenschutzrechtliche Vorschriften zu beachten. Arbeitgeber sind beispielsweise verpflichtet, den Betriebsrat über die Einführung von KI im Betrieb zu informieren (vgl. § 90 Abs.1 Nr. 3 BetrVG). Insbesondere dann, wenn die KI zur Überwachung des Verhaltens und der Leistung von Arbeitnehmern eingesetzt werden soll, besteht ein zwingendes Mitbestimmungsrecht des Betriebsrats nach § 87 Abs.1 Nr. 6 BetrVG.
Darüber hinaus dürfen personenbezogene Daten von Beschäftigten durch ein KI-System grundsätzlich nur dann verarbeitet werden, wenn dies von einer datenschutzrechtlichen Grundlage gedeckt ist, z.B. wenn die Verarbeitung für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist (vgl. § 26 Abs.1 S.1 BDSG). Auch darf eine Entscheidung des Arbeitgebers, die sich rechtlich auf den Arbeitnehmer auswirkt, nicht ausschließlich auf eine automatische Verarbeitung durch eine KI zurückzuführen sein (vgl. Art. 22 Abs. 1 DSGVO). Weitere Dokumentationsanforderungen, wie etwa die Durchführung einer Datenschutzfolgenabschätzung sind zu beachten.
Der AI-Act: einheitlicher Rechtsrahmen für KI in der EU
Mit dem AI-Act hat die EU nun einen darüberhinausgehenden Rechtsrahmen für die Regulierung von KI in Europa geschaffen.
Der räumliche Anwendungsbereich der europäischen Verordnung ist weit. Der AI-Act ist anwendbar für alle KI-Anwendungen, die in der EU genutzt werden oder in Verkehr gebracht wurden (Art. 2 AI-Act).
Die Verordnung unterteilt KI-Anwendungen zunächst in vier Risikostufen und unterscheidet zwischen Hochrisiko-KI-Systemen bis hin zu solchen mit geringerem Risiko. Diese Differenzierung ermöglicht eine abgestufte Regulierung, die dem jeweiligen Risiko gerecht wird (vgl. Art 5 ff. AI-Act). Eine weitere Abstufung der Verpflichtungen erfolgt über die Wertschöpfungskette. So haben Anbieter mehr Pflichten als Nutzer von KI-Systemen.
Der AI-Act legt umfassende Anforderungen fest, die alle KI-Systeme erfüllen müssen, um als sicher, transparent und zuverlässig angesehen zu werden. Dazu gehören hohe Standards hinsichtlich der Datenqualität, die Notwendigkeit menschlicher Überwachung und Kontrolle sowie die Transparenz und Nachvollziehbarkeit der Entscheidungen, die von der KI getroffen werden. Zudem müssen ethische Grundsätze eingehalten werden, um sicherzustellen, dass die KI-Systeme verantwortungsvoll eingesetzt werden.
Die Verordnung definiert außerdem klare Haftungsregelungen und sieht Sanktionen für Verstöße vor (vgl. Art 99 AI-Act).
Zur Überwachung und Durchsetzung der Verordnung werden die Mitgliedstaaten der EU verpflichtet, geeignete Aufsichtsbehörden einzurichten. Diese Behörden sind dafür zuständig, die Einhaltung der Vorschriften zu überprüfen und sicherzustellen, dass die KI-Systeme den festgelegten Standards entsprechen.
KI im HR-Bereich
Viele der KI-Anwendungen, die im HR-Bereich genutzt werden, fallen unter die Kategorie „hohes Risiko“ und unterliegen strenger Regulierung. Dies betrifft insbesondere KI-Systeme, die im Recruiting bei Auswahl von Bewerbern oder im Rahmen von Entscheidungen anlässlich der Beendigung von Arbeitsverhältnissen verwendet werden. Demgegenüber sind KI-Anwendungen mit einem „unannehmbaren Risiko“, wie Systeme zur Auswertung von Gesichtsbildern zur Analyse von Emotionen am Arbeitsplatz oder Kategorisierung biometrischer Daten, generell verboten.
Die KI-Verordnung schreibt vor, dass Arbeitgeber in ihrer Funktion als Nutzer von KI-Systemen verschiedene Pflichten erfüllen müssen, wie etwa die Implementierung technischer und organisatorischer Maßnahmen, um eine sichere Anwendung zu gewährleisten (vgl. Art. 26 AI-Act). Arbeitnehmer, die von Entscheidungen einer KI betroffen sind, müssen über die Rolle der KI in der Entscheidungsfindung informiert werden (vgl. Art. 86 AI-Act). Zudem sind Arbeitgeber verpflichtet, ihre Arbeitnehmer über den Einsatz von KI im Arbeitsprozess zu informieren und fortlaufend zu schulen. Schließlich sind Aufbewahrungs- und Dokumentationspflichten zu beachten und eine kompetente und ausgebildete Aufsichtsperson zu implementieren.
Wenn ein Arbeitgeber die KI-Anwendung so verändert, dass sich deren Zweckbestimmung ändert, kann der Arbeitgeber darüber hinaus als Anbieter der KI klassifiziert werden und zusätzliche Pflichten übernehmen müssen.
Ausblick
Angesichts der wirtschaftlichen Potenziale, der strengen Regularien und der drohenden empfindlichen Strafen bei Missachtung des AI-Acts (Art. 99 AI-Act) sollten Unternehmen, die KI nutzen (wollen), sich intensiv mit der neuen Verordnung auseinandersetzen. Es gilt zwar grundsätzlich eine Übergangsfrist bis zum 2. August 2026. Einzelne Regelungen müssen jedoch bereits 6 bzw. 12 Monate nach Inkrafttreten der Verordnung rechtsverbindlich umgesetzt werden.
Sofern KI-Systeme im HR-Bereich eingesetzt werden (sollen), ist es ratsam, bereits jetzt mit der nach dem AI-Act geforderten Risikoanalyse zu beginnen. Diese Risikoanalyse ist erforderlich, um potenzielle Gefahren und Risiken im Zusammenhang mit den verwendeten KI-Systemen zu identifizieren und zu bewerten. Ein frühzeitiger Beginn dieses Analyseprozesses ermöglicht es, notwendige Anpassungen oder Verbesserungen rechtzeitig vorzunehmen, um den gesetzlichen Anforderungen gerecht zu werden und mögliche rechtliche und betriebliche Risiken zu minimieren. Schließlich sind die sich aus der DSGVO und dem Betriebsverfassungsgesetz ergebenden Pflichten nicht außer Acht zu lassen. Auch deren Einhaltung nimmt in der Regel Zeit und Ressourcen in Anspruch.
