KI gemäß KI-VO
Der Beitrag konzentriert sich auf den Einsatz von KI nach heutigem Stand der Technik. Zu diesem Zweck wird KI sowohl von herkömmlicher Software als auch von Artificial General Intelligence (AGI) abgegrenzt. Herkömmliche Software ohne KI-Funktionen ist nicht selbstlernend; sie muss manuell (um)programmiert werden, um neue Anwendungsbereiche zu erschließen. KI-Systeme hingegen lernen aus verarbeiteten Informationen und passen ihre Entscheidungsstrukturen dem Erlernten an. Diese Fortentwicklung bleibt jedoch auf zuvor definierte Anwendungsbereiche begrenzt (etwa auf die Sprachverarbeitung). Eine AGI könnte ihre Fähigkeiten demgegenüber eigenständig aus einem Anwendungsbereich auf weitere übertragen.

Rechtliche Definitionen von KI erfassen häufig bereits einen weiteren Anwendungsbereich, als die KI nach dem diesem Beitrag zugrunde gelegten Verständnis derzeit tatsächlich zu leisten vermag. So ist nach Art. 3 Nr. 1 der Verordnung (EU) 2024/1689 (KI-VO) ein „KI-System ein maschinengestütztes System, das für einen in unterschiedlichem Grad autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.” Zentrale Merkmale eines KI-Systems im Sinne der KI-VO sind damit die Anpassungsfähigkeit und die Fähigkeit, aus erhaltenen Informationen Ableitungen zu treffen. Diese Merkmale werden auch künftige AGI-Systeme aufweisen.

Arbeitsrechtliche Vorgaben sind sowohl bei der erstmaligen Einführung von KI am Arbeitsplatz als auch während ihrer laufenden Nutzung zu berücksichtigen.

Mitbestimmungsrechtliche Vorgaben des Betriebsverfassungsgesetzes (BetrVG) sind in Betrieben mit Betriebsrat insbesondere bei der erstmaligen Einführung von KI sowie bei späteren Änderungen von Art und Umfang der Anwendung zu beachten.Der Einsatz von KI kann zunächst ein Mitbestimmungsrecht nach § 87 BetrVG auslösen. Dabei sind zwei Konstellationen zu unterscheiden:

§ 87 BetrVG
Einerseits kann bereits die Funktionsweise der KI selbst die Mitbestimmung begründen. In diesen Fällen sind Einführung und Anwendung der KI als solche mitbestimmt.

So muss der Arbeitgeber nach § 87 Abs. 1 Nr. 6 BetrVG den Betriebsrat beteiligen, wenn durch den Einsatz von KI eine Überwachung des Verhaltens oder der Leistung der Arbeitnehmer ermöglicht wird, etwa bei KI-gestützter Gesichtserkennung. § 87 Abs. 1 Nr. 6 BetrVG gewährt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei jeder Maßnahme, die sich objektiv zur Überwachung von Verhalten oder Leistung der Arbeitnehmer eignet. Eine solche Eignung liegt bereits vor, wenn aus erhobenen Informationen Rückschlüsse auf Verhalten oder Leistung einzelner Arbeitnehmer möglich sind. Ob der Arbeitgeber diese Informationen tatsächlich zur Überwachung nutzt, ist unerheblich. Gerade KI ist geeignet, entsprechende Informationen zu sammeln und/oder selbstständig aus diesen Daten Rückschlüsse zu ziehen. Der Einsatz einer solchen KI ist daher regelmäßig erzwingbar mitbestimmt. [1] Nur wenn Daten vollständig anonymisiert erhoben werden, entfällt die Mitbestimmung. Letzteres soll nach umstrittener Auffassung auch gelten, wenn der Arbeitgeber keinen Zugriff auf die bei Nutzung der KI entstehenden Datenbestände hat, weil der Zugriff ausschließlich über private Accounts der Arbeitnehmer erfolgt, zu denen der Arbeitgeber keinen Zugang besitzt. [2]

Gefährdungspotenziale ermitteln
Weiterhin muss der Arbeitgeber den Betriebsrat nach § 87 Abs. 1 Nr. 7 BetrVG beteiligen, wenn er KI bei der Durchführung von Gefährdungsbeurteilungen im Sinne von § 5 Abs. 1 ArbSchG bzw. § 3 Abs. 1 S. 1 BetrSichV einsetzt, etwa indem die KI Gefährdungspotenziale ermittelt und bewertet. Nach § 87 Abs. 1 Nr. 7 BetrVG ist der Betriebsrat bei der Konkretisierung gesetzlicher Vorgaben zum Gesundheitsschutz zu beteiligen, mithin auch bei Methodik und Verfahren der Gefährdungsbeurteilung. [3] Die Mitbestimmung erstreckt sich damit auch unmittelbar auf die Frage, ob und in welchem Umfang KI im Unternehmen zur Gefährdungsbeurteilung eingesetzt wird.

Andererseits kann eine Maßnahme, die ihrerseits mitbestimmt ist, vom Arbeitgeber lediglich mithilfe von KI durchgeführt werden. Dies ist in verschiedenen Fallgruppen des § 87 BetrVG denkbar. So ist gemäß § 87 Abs. 1 Nr. 2 BetrVG die Verteilung der Arbeitszeit auf die einzelnen Wochentage mitbestimmt und damit grundsätzlich auch ein mit KI erstellter Dienstplan. Kern der Mitbestimmung sind jedoch Fragen der Arbeitszeitverteilung, nicht die Frage, ob der Dienstplan mittels KI erstellt wurde. Ein eigenständiges Mitbestimmungsrecht des Betriebsrats hinsichtlich der Nutzung von KI zur Dienstplanerstellung dürfte daher nur in Betracht kommen, wenn im Einzelfall eine Überwachung von Verhalten oder Leistung der Arbeitnehmer mit der Nutzung verbunden sein kann (z. B. bei personenbezogener Auswertung von Arbeitszeiten und Überstunden durch die KI, aus denen Rückschlüsse auf das Leistungsverhalten möglich sind), sodass wiederum der Mitbestimmungstatbestand des § 87 Abs. 1 Nr. 6 BetrVG eingreift.

Reichweite und Grenzen der erzwingbaren Mitbestimmung des Betriebsrats beim Einsatz von KI am Arbeitsplatz sind bislang nicht abschließend konturiert; die weitere Entwicklung der Rechtsprechung bleibt abzuwarten. Dies gilt etwa für die Frage, ob eine Weisung des Arbeitgebers, ChatGPT oder andere KI-Systeme als Arbeitsmittel zu nutzen, ein erzwingbares Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG auslöst, wonach der Betriebsrat bei Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb mitzubestimmen hat. Bislang wird dies überwiegend verneint, da nur das (nicht mitbestimmte) Arbeitsverhalten, nicht jedoch das (mitbestimmte) Ordnungsverhalten betroffen sei. [4]

§ 95 BetrVG
Neben § 87 BetrVG können weitere Beteiligungsrechte betroffen sein, wenn KI am Arbeitsplatz eingeführt und genutzt werden soll. Nach § 95 Abs. 1 und 2a BetrVG sowie § 94 Abs. 2 BetrVG muss der Arbeitgeber die Zustimmung des Betriebsrats einholen, wenn er allgemeine Grundsätze für die Auswahl von Arbeitnehmern für Personalmaßnahmen (z. B. Einstellungen oder Versetzungen) oder für die Beurteilung der Leistung von Arbeitnehmern festlegt. Beim Einsatz von KI sind drei Konstellationen zu unterscheiden:

§ 90 BetrVG
Arbeitgeber, die KI in ihren Betrieben einsetzen möchten, haben zudem eine Informationspflicht. Nach § 90 Abs. 1 Nr. 3 und Abs. 2 S. 1 BetrVG muss der Arbeitgeber den Betriebsrat über die Planung des KI-Einsatzes unterrichten und diesen mit dem Betriebsrat beraten, wenn sich der Einsatz auf das Zusammenwirken der Arbeitnehmer mit ihren Arbeitsmitteln auswirkt. Für das Auslösen der Informationspflicht genügt bereits eine mittelbare Auswirkung des KI-Einsatzes auf die Arbeitnehmer. Dies ist etwa der Fall, wenn KI zur Steuerung der Bandgeschwindigkeit in Produktionsanlagen eingesetzt werden soll und die Fließbandfertigung nicht vollständig automatisiert erfolgt. [7]

§ 111 BetrVG
Schließlich sind in Unternehmen mit in der Regel mehr als 20 wahlberechtigten Arbeitnehmern die §§ 111 ff. BetrVG zu beachten. Nimmt der KI-Einsatz den Charakter einer Betriebsänderung im Sinne des § 111 BetrVG an, können dem Betriebsrat weitreichende Beteiligungsrechte zustehen. Dies ist namentlich der Fall bei einer grundlegenden Änderung der Betriebsorganisation oder der Betriebsanlagen (§ 111 S. 3 Nr. 4 BetrVG) oder der Einführung grundlegend neuer Arbeitsmethoden und Fertigungsverfahren (§ 111 S. 3 Nr. 5 BetrVG). In Betracht kommt dies allerdings nur bei groß angelegten Initiativen zum Einsatz von KI, da es dafür stets erforderlich ist, dass die Einführung von KI einschneidende Auswirkungen auf Betriebsablauf, Arbeitsweise oder Arbeitsbedingungen hat und insgesamt von erheblicher Bedeutung für den Gesamtbetrieb ist. [8]

Das deutsche Arbeitsschutzrecht enthält bislang keine spezifischen Regelungen zum Einsatz von KI. Gleichwohl wirkt sich der Einsatz von KI am Arbeitsplatz erheblich auf die allgemein bestehenden arbeitsschutzrechtlichen Pflichten des Arbeitgebers aus. KI erweist sich insofern als „zweischneidiges Schwert”: Einerseits kann sie Schutz und Sicherheit der Beschäftigten verbessern, indem Gefährdungen identifiziert und Schutzmaßnahmen optimiert werden. Andererseits birgt der KI-Einsatz selbst Gefährdungspotenziale und ist daher stets in die Gefährdungsbeurteilung einzubeziehen.

§ 3 ArbSchG
Nach § 3 Abs. 1 S. 1 ArbSchG ist der Arbeitgeber verpflichtet, die „erforderlichen” Maßnahmen des Arbeitsschutzes zu ergreifen. Maßgeblicher Bezugspunkt für die Bestimmung dieser Maßnahmen ist die in § 5 Abs. 1 ArbSchG vorgesehene Gefährdungsbeurteilung. Sie bildet den Ausgangspunkt für alle zugunsten der Arbeitnehmer zu treffenden Sicherheitsvorkehrungen und erlegt dem Arbeitgeber ein mehrstufiges, fortlaufendes Pflichtenprogramm auf:

KI kann auf allen Stufen dieses Prozesses nutzbringend eingesetzt werden. Neben der Ermittlung von Gefahrenpotenzialen kann sie etwa bei der Durchführung festgelegter Schutzmaßnahmen unterstützen. So kann eine KI beispielsweise prüfen, ob Beschäftigte beim Betreten eines Gefahrenbereichs die vorgeschriebene Schutzkleidung tragen. [9]

§ 5 ArbSchG
Gleichzeitig kann KI selbst eine Gefährdung im Sinne des § 5 Abs. 1 ArbSchG darstellen. Nach § 5 Abs. 3 ArbSchG können Gefährdungen insbesondere aus psychischen Belastungen bei der Arbeit, aus dem Einsatz von Arbeitsmitteln oder aus unzureichender Qualifikation und Unterweisung der Beschäftigten resultieren. Der Einsatz von KI kann in allen drei Bereichen zu Gefährdungen führen.

Hinsichtlich psychischer Belastungen hat der Arbeitgeber die betrieblichen Ursachen zu ermitteln und zu minimieren. [10] Die Nutzung von KI am Arbeitsplatz kann zu einer größeren psychischen Belastung führen. Beschäftigte, die KI verwenden oder bei denen der Einsatz von KI erwartet wird, empfinden die damit verbundene Produktivitätssteigerung häufig als zusätzlichen Stress. [11] Ein dauerhaft erhöhtes Stressniveau kann – je nach den Umständen – zu schwerwiegenden psychischen Erkrankungen führen. Arbeitgeber, die von ihren Beschäftigten den Einsatz von KI bzw. durch KI erzielbare Produktivitätssteigerungen erwarten, sind daher gehalten, mithilfe von Befragungen oder anderen geeigneten Methoden die psychische Belastung zu ermitteln. [12] Gegebenenfalls sind realistische Produktivitätsziele zu definieren und die Beschäftigten für deren Erreichung angemessen zu schulen.

KI als Arbeitsmittel
KI-Systeme können zudem als Arbeitsmittel im Sinne des Arbeitsschutzrechts Gefährdungen begründen. Beispielhaft ist erneut die KI-gesteuerte Produktionsanlage zu nennen. Steuert die KI die Anlage eigenständig und schaltet sie bei erkannten Hindernissen ab, ist sicherzustellen, dass sich daraus keine zusätzlichen Risiken für Beschäftigte ergeben. So darf eine Hebebühne nur dann abgeschaltet werden, wenn dadurch die Gefährdung von darauf stehenden oder darunter befindlichen Beschäftigten nicht erhöht wird. Angesichts des Gefahrenpotenzials von Arbeitsmitteln stellt die Betriebssicherheitsverordnung (BetrSichV) besondere Anforderungen an deren Einsatz, die auf KI-Systeme als Arbeitsmittel entsprechend anzuwenden sind. Nach § 5 Abs. 1 BetrSichV hat der Arbeitgeber Gefährdungen bei der Verwendung von Arbeitsmitteln so gering wie möglich zu halten, und zwar nach dem Stand der Technik. Dafür müssen die Gefährdungen zunächst ermittelt werden; § 3 BetrSichV normiert dazu besondere Anforderungen an die Gefährdungsbeurteilung bei Arbeitsmitteln.

§ 21 BetrSichV
Für die Erfüllung dieser Anforderungen kann und sollte der Arbeitgeber die Technischen Regeln für Betriebssicherheit 1111 (TRBS 1111) heranziehen, die gemäß § 21 Abs. 6 Nr. 1 BetrSichV vom Bundesministerium für Arbeit und Soziales bekannt gemacht wurden. Die TRBS 1111 konkretisiert das Pflichtenprogramm der Gefährdungsbeurteilung bei Verwendung von Arbeitsmitteln. Dieses umfasst (1) Beschaffung von Informationen über Verwendung und Beschaffenheit des Arbeitsmittels, (2) Ermittlung und (3) Bewertung der Gefährdungen, (4) Festlegung und (5) Umsetzung der Schutzmaßnahmen sowie (6) Überprüfung ihrer Wirksamkeit. Bei der Informationsbeschaffung kann der Arbeitgeber insbesondere auf Herstellerinformationen, etwa aus der Bedienungsanleitung, zurückgreifen. Nach § 3 Abs. 4 S. 4 BetrSichV darf er grundsätzlich von der Richtigkeit dieser Angaben ausgehen, sofern keine entgegenstehenden Erkenntnisse vorliegen. Im Rahmen der Ermittlung und Bewertung der Gefährdungen hat der Arbeitgeber zu beurteilen, welche Folgen der Einsatz des Arbeitsmittels für die Gesundheit der Beschäftigten haben kann. Bei der Festlegung der Schutzmaßnahmen sind die TRBS zu beachten, insbesondere sofern sie spezielle Regelungen enthalten (z. B. TRBS 2141 bei Gefährdungen durch Dampf und Druck). Nach § 4 Abs. 3 S. 2 BetrSichV begründet die Beachtung der TRBS die Vermutung, dass die Anforderungen der BetrSichV erfüllt sind. Die festgelegten Schutzmaßnahmen sind umzusetzen; vor erstmaliger Verwendung des Arbeitsmittels sind die bis dahin durchgeführten Schritte zu dokumentieren. Dies dient sowohl dem Nachweis der Einhaltung arbeitsschutzrechtlicher Pflichten als auch als Informationsbasis für spätere, wiederkehrende Gefährdungsbeurteilungen. Nach Inbetriebnahme ist die Wirksamkeit der Schutzmaßnahmen zu überprüfen; die Gefährdungsbeurteilung ist regelmäßig zu wiederholen und bei Bedarf anzupassen, und auch diese Schritte sind jeweils zu dokumentieren.

Beim Einsatz von KI-Systemen als Arbeitsmittel sind gegenüber anderen Arbeitsmitteln zwei Besonderheiten zu berücksichtigen. Zum einen ist bereits bei der initialen Gefährdungsbeurteilung vor erstmaliger Verwendung zu beachten, dass KI-Systeme – abhängig von Trainingsdaten und Einsatzkontext – unvorhergesehene Entscheidungen treffen können. Zum anderen besteht bei selbstlernenden KI-Systemen die Gefahr, dass der Lernprozess zu fehlerhaften Ableitungen und damit zu nicht vorhersehbaren Entscheidungen führt. Für selbstlernende KI-Systeme als Arbeitsmittel besteht damit faktisch eine Pflicht zur kontinuierlichen Gefahrenprüfung, da sich die für die letzte Beurteilung maßgeblichen Eigenschaften infolge der Nutzung laufend verändern können. Arbeitgeber sollten dafür Prüfintervalle definieren und intern dokumentieren, auf welcher Grundlage diese Intervalle als ausreichend erachtet werden.

Mit den beschriebenen Gefährdungen beim Einsatz von KI als Arbeitsmittel korrespondiert das Risiko unzureichender Qualifikation und Unterweisung der Beschäftigten. Aufgrund der für Menschen nur begrenzt vorhersehbaren Entscheidungsfindung von KI-Systemen müssen Beschäftigte, die mit KI arbeiten oder mit ihr zusammenarbeiten, entsprechend geschult werden. Schulung und Unterweisung sind ihrerseits eine mögliche Schutzmaßnahme im Rahmen der Gefährdungsbeurteilung nach § 3 BetrSichV.

Risikobasierter Ansatz der KI-VO
Einen anderen Ansatz als das deutsche Arbeitsschutzrecht verfolgt der europäische Gesetzgeber mit der KI-Verordnung (VO (EU) 2024/1689). Diese adressiert spezifisch die mit Einführung und Nutzung von KI verbundenen Risiken. Dazu nimmt sie eine zweifache Differenzierung vor. Zum einen erfolgt eine risikobasierte Einteilung von KI-Systemen. Für das Arbeitsrecht besonders bedeutsam ist die Unterscheidung zwischen den nach Art. 5 KI-VO verbotenen KI-Praktiken und Hochrisiko-KI-Systemen nach Art. 6 ff. KI-VO.

Verbotene KI-Praktiken im Arbeitsverhältnis
Für Arbeitgeber sind im Wesentlichen drei der in Art. 5 KI-VO geregelten verbotenen Praktiken relevant. Nach Art. 5 Abs. 1 lit. c KI-VO kann der Einsatz von KI-Systemen zur Kategorisierung von Arbeitnehmern aufgrund von Verhalten oder Persönlichkeitsmerkmalen verboten sein. Nicht jede KI-gestützte Kategorisierung ist untersagt; die EU-Kommission erkennt selbst potenzielle „Vorteile hinsichtlich der Lenkung guter Verhaltensweisen” [13] an. Unzulässig ist jedoch eine Kategorisierung, wenn sie zu einer sachzusammenhanglosen oder unverhältnismäßigen Benachteiligung einzelner Arbeitnehmer(gruppen) führt, etwa wenn im Rahmen flexibler Arbeitszeitmodelle beliebte Arbeitszeiten ausgewertet und anschließend Arbeitnehmer prämiert werden, deren Arbeitszeiten näher an „typischen Arbeitszeiten” liegen. Darüber hinaus ist nach Art. 5 Abs. 1 lit. g KI-VO der Einsatz von KI zur Kategorisierung von Arbeitnehmern nach ihrer Gewerkschaftszugehörigkeit anhand biometrischer Daten ausdrücklich verboten. Auch wenn eine solche Kategorisierung nach aktuellem Stand der Technik kaum vorstellbar ist, soll bereits dem Versuch vorgebeugt werden, mittels KI einen Anschein wissenschaftlicher Legitimation zu erzeugen. [14] Ferner verbietet Art. 5 Abs. 1 lit. f KI-VO den Einsatz von KI-Systemen zur Ableitung von Emotionen natürlicher Personen am Arbeitsplatz, sofern der Einsatz nicht aus medizinischen Gründen erfolgt.

Hochrisiko-KI-Systeme im Arbeitsrecht
Demgegenüber sind Hochrisiko-KI-Systeme im Sinne des Art. 6 KI-VO nicht per se verboten. Für Arbeitgeber relevant sind insbesondere KI-Systeme gemäß Art. 6 Abs. 2 i. V. m. Anhang III Nr. 4 KI-VO, die bestimmungsgemäß Entscheidungen über die Einstellung von Bewerbern oder über Bedingungen von Arbeitsverhältnissen beeinflussen. Der Einsatz solcher Hochrisiko-KI-Systeme ist an ein spezifisches Pflichtenprogramm geknüpft. Dessen Umfang bestimmt sich durch eine zweite Differenzierung der KI-VO: die Unterscheidung zwischen Anbietern und Betreibern von KI-Systemen. Anbieter unterliegen umfassenden, Betreiber lediglich eingeschränkten Pflichten.

Pflichten von Anbietern und Betreibern
Anbieter haben insbesondere die Pflichten aus Art. 16 KI-VO zu erfüllen, darunter die Einrichtung eines Risikomanagementsystems nach Art. 8 ff. KI-VO und eines Qualitätsmanagementsystems nach Art. 17 KI-VO. Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Arbeitgeber, die KI-Systeme nicht selbst am Markt anbieten, werden regelmäßig keine eigenen KI-Systeme entwickeln oder entwickeln lassen, sondern marktverfügbare Produkte einsetzen. Sie sind damit in der Regel – vorbehaltlich eines Rollenwechsels nach Art. 25 KI-VO – Betreiber im Sinne des Art. 3 Nr. 4 KI-VO, die Hochrisiko-KI-Systeme in eigener Verantwortung verwenden. [15]

Rollenwechsel vom Betreiber zum Anbieter
Betreiber haben die Pflichten aus Art. 26 KI-VO zu erfüllen. Sie müssen insbesondere sicherstellen, dass die vom Anbieter nach Art. 13 KI-VO bereitgestellte Betriebsanleitung beachtet wird, und überwachen den Betrieb des Hochrisiko-KI-Systems entsprechend dieser Anleitung. Sie haben die Aufsicht über Hochrisiko-KI-Systeme qualifizierten Personen zu übertragen und diese bei der Aufsicht zu unterstützen. Zudem müssen sie sicherstellen, dass die in das System eingespeisten Daten der Zweckbestimmung entsprechen und repräsentativ sind. Schließlich sind vor der Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz sowohl die Arbeitnehmervertretungen als auch die betroffenen Arbeitnehmer darüber zu informieren, dass im Rahmen ihrer Tätigkeit ein vom Arbeitgeber genutztes Hochrisiko-KI-System zum Einsatz kommt.

Arbeitgeber müssen ferner beachten, dass sie nach Art. 25 KI-VO von der Rolle des Betreibers in die des Anbieters wechseln können. Gemäß Art. 25 Abs. 1 lit. c KI-VO gilt ein Betreiber als Anbieter, wenn er die Zweckbestimmung eines ursprünglich nicht als solches eingestuften KI-Systems so ändert, dass dieses zu einem Hochrisiko-KI-System im Sinne des Art. 6 KI-VO wird. Verwendet ein Arbeitgeber beispielsweise ein zunächst allgemein für das Dokumentenmanagement vorgesehenes KI-System für die Sichtung von Bewerbungen und damit als Hochrisiko-KI-System nach Art. 6 Abs. 2 i. V. m. Anhang III Nr. 4 lit. a KI-VO, wird er nach Art. 25 Abs. 1 lit. c KI-VO zum Anbieter – mit deutlich weiter reichenden rechtlichen Pflichten als in der Rolle des Betreibers.

Für den Einsatz von KI gelten besondere datenschutzrechtliche Anforderungen. Zwar dürfen Arbeitgeber Daten von Bewerbern und Beschäftigten gemäß § 26 Abs. 1 BDSG i. V. m. Art. 88 Abs. 1 DSGVO verarbeiten, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für Durchführung oder Beendigung des Arbeitsverhältnisses oder zur Erfüllung arbeitsrechtlicher Pflichten erforderlich ist.

Pflicht zur Datenschutz-Folgenabschätzung bei KI
Vor Einführung eines KI-Systems zur Datenverarbeitung ist jedoch regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 S. 1 DSGVO durchzuführen. [16] Dabei sind Risikoquellen zu identifizieren, aus denen sich Beeinträchtigungen der Rechte und Freiheiten natürlicher Personen ergeben können; diese Risiken sind zu bewerten und geeignete Abhilfemaßnahmen zu entwickeln und umzusetzen. [17]

Verbot vollautomatisierter Entscheidungen nach Art. 22 DSGVO
Vollautomatisierte Entscheidungsprozesse bewertet der europäische Gesetzgeber als besonders problematisch. Art. 22 Abs. 1 DSGVO verankert daher das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu sein. Bei KI-gestützten Personalentscheidungen ist folglich sicherzustellen, dass die abschließende Entscheidung von einem Menschen getroffen wird. Gibt die KI eine Empfehlung ab, ist diese inhaltlich nachzuvollziehen und kritisch zu prüfen. [18]

Transparenz- und Informationspflicht bei KI-Entscheidungen
KI-gestützte Entscheidungsprozesse erschweren zudem die Erfüllung der Transparenzanforderungen nach Art. 5 Abs. 1 lit. a und Art. 12 ff. DSGVO. Gemäß Art. 13 Abs. 2 lit. f DSGVO müssen betroffene Personen über das automatisierte Zustandekommen einer Entscheidung, über die zugrunde liegende Logik sowie über die Tragweite und die angestrebten Auswirkungen zu informieren. Da Entscheidungsprozesse von KI-Systemen aufgrund des eigenständigen Lernens und der Anpassung ihrer Entscheidungsstruktur häufig nicht vollständig nachvollziehbar sind und die „involvierte Logik” im Regelfall komplex ist, müssen Arbeitgeber besonderen Wert auf verständliche Informationen legen. Orientierung bietet Randnummer 22 der Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern vom 6. Mai 2024 zu künstlicher Intelligenz und Datenschutz. Danach können „Visualisierungen und interaktive Techniken dabei helfen, die Komplexität der Logik auf ein verständliches Maß herunterzubrechen.” [19]

Auftragsverarbeitung im Rahmen externer Datenverarbeitung
Schließlich ist zu unterscheiden, ob der Arbeitgeber die Daten der Beschäftigten mittels der eingesetzten KI-Systeme selbst verarbeitet oder ob dies durch Dritte (etwa den Tool-Anbieter im Rahmen eines SaaS-Modells) geschieht. Erfolgt die Datenverarbeitung durch Dritte, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, um die Übermittlung der Beschäftigtendaten rechtmäßig zu gestalten.

Diskriminierungsrisiken von KI
Beim Einsatz von KI haben Arbeitgeber schließlich das Benachteiligungsverbot des § 7 Abs. 1 AGG zu beachten und dürfen Arbeitnehmer sowie Bewerber nicht aufgrund eines in § 1 AGG genannten Merkmals benachteiligen. Beim Einsatz von KI besteht insbesondere das Risiko, dass das System aufgrund seiner Trainingsdaten Personen anhand solcher Merkmale unterschiedlich behandelt – etwa, wenn ein Unternehmen überwiegend Männer beschäftigt und die KI bei der Sichtung von Bewerbungen deshalb Männer bevorzugt –, ohne dass der Arbeitgeber mangels Einblicks in die Entscheidungsprozesse der KI dies erkennt.

Pflichten des Arbeitgebers
Arbeitgeber müssen daher durch geeignete Maßnahmen sicherstellen, dass es nicht zu entsprechenden Benachteiligungen kommt. Insbesondere ist die Letztentscheidung über Personalmaßnahmen beim Menschen zu belassen, und KI-Empfehlungen sind inhaltlich nachzuvollziehen und kritisch zu überprüfen. Nach § 12 Abs. 1 AGG sind Arbeitgeber verpflichtet, Benachteiligungen im Sinne des § 7 Abs. 1 AGG zu verhindern und damit auch den Einsatz diskriminierender KI zu unterlassen bzw. zu unterbinden, dass es durch den KI-Einsatz zu diskriminierenden Handlungen kommt. [20]

Der Einsatz von KI begründet und verändert eine Vielzahl arbeitsrechtlicher Pflichten des Arbeitgebers. Ein Vorgehen nach dem Prinzip „Trial & Error” ist angesichts der vielfältigen Haftungsrisiken nicht angezeigt. Erforderlich ist vielmehr ein von Beginn an durchdachtes Konzept für den KI-Einsatz, das im Einzelfall an die konkrete Verwendungsabsicht angepasst wird.

Mitbestimmungsrechte des Betriebsrats beim KI-Einsatz
Vor der Einführung sind mögliche Mitbestimmungsrechte des Betriebsrats zu prüfen, insbesondere wenn KI für Personalentscheidungen, zur Überwachung von Arbeitnehmern, zur Durchführung von Gefährdungsbeurteilungen oder in direkter Interaktion mit Beschäftigten eingesetzt werden soll. Da sich die Entscheidungsstrukturen selbstlernender KI verändern können, ist es sinnvoll, mit dem Betriebsrat ein Verfahren zur regelmäßigen Überprüfung solcher Veränderungen zu etablieren, an das jeweils eine (erneute) Zustimmung zum Einsatz der KI in ihrer gegebenen Ausprägung anknüpft.

Grenzen automatisierter Entscheidungen
Sollen KI-Systeme Beschäftigtendaten verarbeiten, sind die besonderen Anforderungen des Datenschutzrechts zu beachten. Vorab ist eine Datenschutz-Folgenabschätzung durchzuführen und den erweiterten Transparenzpflichten nachzukommen. Unterstützt KI Entscheidungsprozesse, sind zudem die Grenzen des Art. 22 DSGVO einzuhalten. Um unzulässige vollautomatisierte Entscheidungen und die Übernahme von Diskriminierungen durch KI zu vermeiden, sind die von KI ausgesprochenen Empfehlungen inhaltlich zu prüfen und diese Prüfung ist zu dokumentieren.

Arbeitsschutz und Gefährdungsbeurteilung bei KI-Arbeitsmitteln
Nutzen Arbeitnehmer KI als Arbeitsmittel, sind die Auswirkungen auf die Gefährdungsbeurteilung zu berücksichtigen. Bereits vor dem Einsatz ist eine Gefährdungsbeurteilung vorzunehmen und ein fortlaufender Prüf- und Anpassungsprozess zu etablieren und zu dokumentieren. Die Beschäftigten sind für den Umgang mit KI zu schulen. Erwartet der Arbeitgeber den Einsatz von KI als Arbeitsmittel, hat er zudem die damit verbundenen psychischen Belastungen der Arbeitnehmer zu ermitteln und zu bewerten.

KI-Einsatz und seine Chancen
Arbeitgeber dürfen den Einsatz von KI vor diesem Hintergrund nicht als Selbstverständlichkeit behandeln, auch wenn KI im Alltag zunehmend präsent ist. Vielmehr müssen sie sich ihrer besonderen Verantwortung bewusst sein und den regulatorischen Rahmen kennen, in dem sie agieren. Gelingt dies, kann der KI-Einsatz am Arbeitsplatz erhebliche positive Effekte für Arbeitgeber und Arbeitnehmer gleichermaßen entfalten.