ChatGPT und Co. gehören mittlerweile zum Standard-Repertoire der Anwendungen im Arbeitsalltag. Mit dem EU AI Act, der nach drei Jahren Verhandlungen zwischen dem EU-Parlament und dem EU-Rat im August 2024 verabschiedet wurde, gibt es inzwischen ein umfassendes Regelungswerk zum Umgang mit KI am Arbeitsplatz. 2025 beginnt nun das sukzessive Inkrafttreten des AI Act. Arbeitgeber müssen sich daher zwangsläufig mit den neuen EU-Regularien beschäftigen.

Doch auch zusätzliche datenschutzrechtliche Aspekte sind zu berücksichtigen, etwa die DSGVO in Deutschland. Die systematische Beschäftigung mit KI-Regularien ist für Unternehmen jedoch auch eine strategische Chance.

Die europäische KI-Verordnung richtet sich an Anbieter und Betreiber von KI-Systemen und ist damit auch für Arbeitgeber relevant. Besondere Anforderungen stellt die Verordnung an den Einsatz von KI-Systemen im HR-Bereich. Abhängig davon, wie das KI-System im Unternehmen klassifiziert werden kann, löst der Einsatz bestimmte Pflichten aus. Welche Pflichten wann greifen, sollte vorausschauend beurteilt werden. Entscheidend ist dafür ein genauer Blick in die KI-Verordnung.

Eines der Hauptziele der Verordnung ist, Risiken, die mit dem Einsatz von KI-Systemen verbunden sind, zu minimieren und gleichzeitig Innovation und Wachstum in diesem Bereich zu fördern. Dafür werden die KI-Systeme anhand des von ihnen ausgehenden Risikos in vier Hauptkategorien eingeteilt – in verbotene Praktiken, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. In den Hochrisikobereich fallen KI-Systeme, die für die Einstellung und Auswahl natürlicher Personen verwendet werden, ebenso wie KI-Systeme, die sich auf die Bedingungen des Arbeitsverhältnisses, auf Beförderungen, die Zuweisung von Aufgaben und die Überwachung und Bewertung von Leistungen auswirken können. Vorgaben der KI-Verordnung zum Einsatz von Hochrisiko-Systemen sind daher insbesondere für den Personalbereich bedeutsam.

Bereits seit dem 2. Februar 2025 gelten allgemeine Bestimmungen und Regelungen über die verbotenen Praktiken der Verordnung, was unmittelbar den Bereich Personal betrifft.

Dazu zählt beispielsweise die Verpflichtung für Arbeitgeber, denjenigen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, „ein ausreichendes Maß an KI Kompetenz zu vermitteln“. Anhand der technischen Kenntnisse, Erfahrungen, der Ausbildung und bisheriger Schulungen sowie des Kontextes, in dem die KI-Systeme eingesetzt werden sollen, ist der akute Schulungsbedarf zu ermitteln.

Verboten sind seit 2. Februar 2025 zudem Praktiken, die die Sicherheit, die Rechte oder die Lebensgrundlagen von Menschen gefährden. Darunter fallen unter anderem Systeme, die der Manipulation, Täuschung sowie der Emotionserkennung am Arbeitsplatz dienen. Letzteres ist für Arbeitgeber bedeutsam. Zwar gibt es bereits Systeme, die mithilfe von Kameras, Sprachanalysen oder Sensoren physiologische Signale erfassen und Informationen zum Stresslevel, zur Zufriedenheit oder zum Gesundheitszustand ermitteln und auswerten. Ihr Einsatz am Arbeitsplatz ist allerdings verboten.

Ab dem 2. August 2025 gelten weitere Kapitel des AI Acts. Damit treten unter anderem die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Sanktionen für Verstöße in Kraft. Bei der Missachtung verbotener Praktiken können Unternehmen Geldbußen von bis zu 35 Millionen Euro oder von bis zu sieben Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist.

Ab dem 2. August 2026 treten die restlichen Vorschriften der Verordnung in Kraft. Es gelten dann besondere Pflichten für die Betreiber von Hochrisiko-KI-Systemen, da diese Systeme generell in der Lage sind, bei Fehlern oder Missbrauch erheblichen Schaden anzurichten. Bei diesen Systemen müssen die Betreiber, also Arbeitgeber, die solche Systeme verwenden, sicherstellen, dass

• das System entsprechend der Gebrauchsanweisung des Herstellers genutzt wird,
• das System durch ausreichend kompetente und geschulte natürliche Personen beaufsichtigt wird,
• die verwendeten Eingabedaten in Bezug auf die Zweckbestimmung ausreichend relevant und repräsentativ sind,
• das KI-System fortlaufend nach Maßgabe der Gebrauchsanweisung überwacht wird,
• automatisch erzeugte Protokolle für mindestens sechs Monate gespeichert werden,
• Arbeitnehmer und Arbeitnehmervertreter, die am Arbeitsplatz von einem Hochrisiko-KI-System betroffen sind, vorab informiert werden.

Nicht nur die KI-Verordnung nimmt Arbeitgeber beim Einsatz von KI-Systemen am Arbeitsplatz in die Pflicht. Vielmehr sind auch Vorgaben europäischen und nationalen Datenschutzrechts, insbesondere Art. 22 DSGVO, zu beachten.

Diese Vorschrift bestimmt, dass Betroffene nicht ausschließlich einer Entscheidung, die auf einer automatisierten Verarbeitung beruht, unterworfen sein dürfen, wenn diese Entscheidung ihnen gegenüber rechtliche Wirkung entfaltet. Erforderlich ist dann zumindest eine Plausibilitätskontrolle durch einen Menschen.

Ohnehin sollte beim Einsatz von KI der Mensch weiterhin im Mittelpunkt stehen. Eine besondere Herausforderung besteht für Personaler daher darin, beim Einsatz von KI-Systemen Transparenz zu schaffen und Mitarbeitenden Bedenken zu nehmen.

Für Geschäftsführung und Personaler besteht daher Handlungsbedarf. Darauf gilt es zu achten:

• Vermittlung von KI-Kenntnissen durch Schulungen: Dies umfasst das Wissen darüber, wie KI-Systeme funktionieren, wie sie eingesetzt werden können und welche Risiken sie bergen. Entsprechende Kenntnisse können in Form von E-Learning-Modulen vermittelt werden.
• Transparenz beim Einsatz von KI: Arbeitgeber sollten offenlegen, welches KI-Tool zu welchen Zwecken und in welchem Umfang eingesetzt wird, um vor allem auch Entscheidungen der KI nachvollziehen zu können.
• KI als Unterstützungstool: Beim Einsatz von KI-Tools sollte bei den Mitarbeitern nicht der Eindruck entstehen, dass sie dadurch entbehrlich werden, sondern betont werden, dass das KI-Tool unterstützend hinzutritt und die Arbeit erleichtern soll.
• Sicherstellung datenschutzrechtlicher Vorgaben: Beim Einsatz von KI-Tools müssen datenschutzrechtliche Vorgaben eingehalten werden – bei Tools wie ChatGPT dürfen etwa keine personenbezogenen oder vertrauliche Daten verwendet werden.
• Formulieren von ethischen Grundsätzen: Das Vertrauen in einen verantwortungsvollen Umgang mit KI-Tools kann durch verpflichtende betriebsinterne Richtlinien hinsichtlich ethischer Grundsätze gestärkt werden.
• Diskriminierung vermeiden: Es ist besonders auf die Arbeitsweise von KI-Tools sowie ihre Ergebnisse zu achten, um diskriminierende Ergebnisse zu vermeiden. Andernfalls kann dies nicht nur zu schlechter Stimmung bei Mitarbeitenden, sondern auch zur Haftung des Arbeitgebers führen.
• Einbeziehung von Mitarbeitenden: Es sollten Kommunikationskanäle offenstehen, die es den Mitarbeitern ermöglichen, Feedback, Sorgen und Ängste zu äußern. Auf Basis einer Evaluation des Feedbacks lassen sich interne Vorgaben erstellen und anpassen.
• Kontinuierliche Evaluation des Umgangs mit KI-Tools: Es sollten Verfahren etabliert werden, um in regelmäßigen Abständen den gewissenhaften und rechtskonformen Umgang mit den Tools zu überprüfen, und um Risikopotenziale frühzeitig zu erkennen.
• Beteiligung des Betriebsrates: Besteht im Betrieb ein Betriebsrat, müssen beim Einsatz von KI-Tools die Vorschriften des Betriebsverfassungsgesetzes beachtet werden. In bestimmten Fällen kann der Betriebsrat beim KI-Einsatz mitentscheiden.

Wichtig ist, planvoll zu handeln, und sich die neuen Pflichten stets vor Augen zu führen. Dafür braucht es vor allem auch konkrete Verantwortlichkeiten im Unternehmen. Auch wenn das sukzessive Inkrafttreten der KI-Verordnung teilweise noch etwas Raum zur Umsetzung lässt, sollten die Schritte frühzeitig angegangen werden. Sinnvoll ist es, den Einsatz von KI im Unternehmen systematisch anzugehen – und als wesentliche strategische Aufgabe anzusehen. Denn daraus können auch Chancen für die weitere Geschäftsentwicklung entstehen.