Die letzte Instanz

Immer mehr kleine und mittelständische Unternehmen setzen künstliche Intelligenz ein. So stieg der Anteil laut einer aktuellen Auswertung des KfW-Mittelstandspanels von vier Prozent zwischen 2016 und 2018 auf nun 20 Prozent zwischen 2022 und 2024. Aber was gibt es rechtlich zu beachten? "Vom Grundsatz her ist das Nutzen von KI ebenso wie das von Telefonen oder Software eine Entscheidung des Unternehmens und Arbeitgebers. Er entscheidet, welche Arbeitsmittel er einsetzen möchte", ordnet Michael Fuhlrott, Fachanwalt für Arbeitsrecht bei Fuhlrott Arbeitsrecht in Hamburg ein. Es ist also unternehmerische Freiheit und liegt damit im Ermessen des Arbeitgebers. "Es gibt allerdings rechtliche Vorgaben, die ein Unternehmen im Zusammenhang mit dem Einsatz von künstlicher Intelligenz beachten muss", grenzt der Anwalt gleich ein. Das sind arbeitsrechtliche Aspekte ebenso wie Datenschutz, Fragen des gewerblichen Rechtsschutzes und die Wahrung von Geschäftsgeheimnissen, zählt Fuhlrott auf. Nicht zu vergessen sei zudem die KI-Verordnung der Europäischen Union, zu Englisch AI Act (EU 2024/1689). Verbot von Vollautomatisierung Immer, wenn KI-Systeme personenbezogene Daten verarbeiten würden - egal, ob im Personalbereich oder bei Kundendaten - ist Vorsicht geboten. Denn hier ist die Datenschutzgrundverordnung (DSGVO) einzuhalten. Neben der Pflicht, über das Verarbeiten von personenbezogenen Daten zu informieren, und dem Auskunftsrecht von Personen, deren Daten verarbeitet werden, ist im Zusammenhang mit KI vor allem Artikel 22 der DSGVO wichtig: Über Personen darf nicht auf Basis einer rein automatisierten Verarbeitung von Daten entschieden werden - egal ob es um Mahnschreiben an Kunden, Entscheidungen im Bewerbungsprozess, Abmahnungen an Arbeitnehmer oder das Erstellen von Zeugnissen oder Leistungsbeurteilungen geht. Eine endgültige Entscheidung und Bewertung muss immer noch der Mensch treffen, die KI darf hier nur helfen. KI-Systeme vorher prüfen Personenbezogene Daten, sensible Informationen wie Geschäftsgeheimnisse oder konkrete Kundendaten zur Angebotserstellung sollte man nicht in externe KI-Systeme eingeben, rät Fuhlrott. Das betreffe neben Systemen wie ChatGPT auch zum Beispiel das Übersetzungstool DeepL. In der Regel kein Problem seien anonymisierte Daten. "Wenn ein Unternehmen ein KI-System im Zusammenhang mit personenbezogenen oder unternehmensrelevanten vertraulichen Daten nutzen möchte, sollte es formal überprüfen, wie sicher das KI-System ist, inwieweit eine Datenübermittlung oder ein Zugriff durch Dritte erfolgt, inwieweit die Daten in die USA oder andere Staaten außerhalb der EU transferiert werden." Wichtig sei, dass die KI die Daten nicht außerhalb des Betriebs nutzt, um daraus zu lernen und gegebenenfalls gar im Netz als Basis für Antworten an Dritte verwendet. Markenrechte beachten Ein weiteres Problem kann sein, wenn Marken- oder Urheberrechte verletzt werden. Wenn das intelligente System beispielsweise ein neues Logo erstellen soll und sich dabei beim Wettbewerb bedient, dann kann der gewerbliche Rechtsschutz betroffen sein. Übernimmt die KI beim Erstellen eines Textes ganze Passagen zum Beispiel aus einem Autorenbeitrag oder einer Zeitschrift eins zu eins, ohne dass man die Quelle kenntlich macht, liegt eine Urheberrechtsverletzung vor. Umgang mit KI regeln "Das Unternehmen ist dafür verantwortlich, diese Rechte nicht zu verletzen", mahnt Fuhlrott an. Das heißt: Genau selbst überprüfen und gegenchecken sowie sich hierbei auch nicht auf die KI verlassen. Als Arbeitgeber kann ein Betrieb genaue Regeln im Zusammenhang mit der Nutzung von KI festlegen. "Das Unternehmen kann erlauben oder verbieten, in welchem Umfang KI zu verwenden ist", so Fuhlrott. Entscheidet sich das Unternehmen für den Einsatz der intelligenten Systeme und hat es einen Betriebsrat, dann muss dieser in den meisten Fällen beteiligt werden, nennt der Anwalt einen weiteren Aspekt. Auch wenn der Betrieb ein KI-System als Arbeitsmittel zur Verfügung stellt, bleibe im Einzelfall der Mitarbeitende für das Arbeitsergebnis verantwortlich. "Er muss das Arbeitsergebnis prüfen." Heißt: Der Output muss verwertbar sein, eine Schlüssigkeitsprüfung sollte durchgeführt werden und Weisungen zum Thema sind zu beachten. Ein weiterer Punkt: Wer durch die KI seine Aufgaben schneller erledige als bisher, dürfe den Zeitgewinn nicht für private Dinge nutzen und dem Vorgesetzten einfach nicht Bescheid geben. "Das wäre Arbeitszeitbetrug." Schulen ist Pflicht Kommt KI im Betrieb zum Einsatz, hat der Arbeitgeber laut KI-Verordnung, Artikel 4, seit 2025 die Pflicht, zu schulen. Er muss dafür sorgen, dass Personen die im Unternehmen verwendeten KI-Systeme mit einem "ausreichenden Maß" an Kompetenz bedienen können, wie es dort heißt. "Das Gesetz macht hier keine konkreten Vorgaben", erläutert Fuhlrott. Letztendlich sollte die Schulung aber auf die betrieblichen Verhältnisse angepasst sein, so der Anwalt. Das Unternehmen müsse abhängig vom Einsatz der KI schulen, in der Personalabteilung seien andere Inhalte wichtig als in einer anderen Abteilung. Auch käme es darauf an, in welchem Umfang die KI eingesetzt werde. "Die Schulungen sind relativ niedrigschwellig, ähnliche Angebote müssen Sie im Datenschutz auch mit den Mitarbeitenden durchführen." Arbeitgeber haftet Sanktionen sind nach KI-Verordnung zwar nicht vorgesehen, aber das Unternehmen haftet etwa bei Datenschutzverstößen oder Verstoß gegen fremde Schutzrechte. "Wenn im Rahmen der Tätigkeitsausübung ein Datenschutzverstoß geschieht, kann das Unternehmen als Daten verarbeitende Stelle im Falle eines Bußgelds in Anspruch genommen werden." Das gelte selbst, wenn der Mitarbeitende sich fahrlässig verhalten hat. Im Einzelfall kann der Arbeitgeber prüfen, ob er beim konkreten Arbeitnehmer gegebenenfalls Regress nehmen kann, erklärt der Anwalt. Eine Arbeitnehmerhaftung sei unter anderem davon abhängig, wie hoch das Verschulden des Angestellten für den Schaden ist: Liegt eine leichte Fahrlässigkeit vor, eine grobe Fahrlässigkeit oder Vorsatz? Bei Abwägungen über die Höhe des Verschuldens könnte es relevant sein, ob der Mitarbeiter entsprechend geschult wurde, so der Anwalt. Fand eine Schulung statt, kann der Mitarbeiter nicht behaupten, er habe nicht gewusst, worauf er etwa bezüglich Datenschutz oder Funktionalität, Risiken und Grenzen bei der KI zu achten hat und welche Regeln im Unternehmen gelten. Wichtig sei dies auch, wenn der Arbeitgeber überlegt, aufgrund des Fehlers eine Kündigung auszusprechen. HR mit erhöhten Anforderungen Speziell beim Einsatz im Bereich des Personalwesens (HR) sind aber neben dem Thema Datenschutz weitere Aspekte wichtig. So sollten Unternehmen darauf achten, dass zum Beispiel im Bewerbungsprozess oder bei Leistungsbewertungen nicht gegen das Allgemeine Gleichbehandlungsgesetz (AGG) verstoßen wird. Niemand darf aufgrund von Rasse, Geschlecht, Alter, Herkunft oder Religion diskriminiert werden. Werden Mitarbeiter oder Bewerber benachteiligt, könnten sie auf Schadenersatz klagen. Zudem verbietet die KI-Verordnung in Artikel 5 seit 2025 den Einsatz bestimmter Praktiken, bei denen künstliche Intelligenz genutzt wird: Darunter das Erkennen von Emotionen am Arbeitsplatz oder sogenanntes Social Scoring. Bei einem Verstoß sieht das Gesetz in Artikel 99 Sanktionen vor. "Die Vorgaben erinnern an die DSGVO. Diese sieht ebenfalls sehr hohe Summen vor, um abzuschrecken", hebt Fuhlrott hervor. Gesetzgebung hinkt hinterher Da in Deutschland die entsprechende Durchführungsverordnung aber erst am 11. Februar von der Regierung ins parlamentarische Verfahren eingebracht wurde und sie dementsprechend noch von Bundestag und Bundesrat behandelt werden muss, fehlt die Basis für entsprechende Sanktionen bei uns noch. "Das heißt, dass derzeit noch keine Geldbußen verhängt werden können", erläutert Rechtsanwalt Fuhlrott. Neue Pflichten für Hochrisiko-KI Voraussichtlich ab August 2026 - wenn die EU mit dem noch in Verhandlung befindlichen Digital-Omnibus-Paket nicht anders entscheiden sollte und die Frist gegebenenfalls verlängert - treten dann weitere Pflichten für Unternehmen in Kraft, die KI-Systeme benutzen. Diese könnten in Logistikunternehmen ebenfalls vor allem den Personalbereich betreffen, so der Anwalt. Etwa beim Einsatz im Bewerbungsprozess. Aber zum Beispiel auch Betreiber kritischer Infrastrukturen oder medizinischer Apparate sind davon betroffen. Konkret geht es um Pflichten beim Betrieb sogenannter Hochrisikosysteme nach Artikel 26. Diese können ein Risiko für Gesundheit, Sicherheit oder die Grundrechte bergen. "Was ein Hochrisikosystem ist, das ist in Artikel 6 geregelt", erläutert Fuhlrott. Die KI-Verordnung sieht bei Verstößen gegen die Pflichten ebenfalls Sanktionen vor. "Bei Einsatz von Hochrisikosystemen darf die KI nur vorbereiten. Die letzte Entscheidung muss der Mensch treffen", erläutert Fuhlrott weiter. Es bestünden höhere Anforderungen an Risikomanagement, technische Dokumentation und Aufzeichnungspflichten. Außerdem sei entscheidend, dass vom Unternehmen eine menschliche Aufsicht über das System sichergestellt werden muss. Weitere Pflichten nach Artikel 26 sind unter anderem höhere Anforderungen an die Schulung, Informationspflichten gegenüber dem Anbieter oder der Marktüberwachungsbehörde bei bestimmten Vorfällen oder Verdachtsfällen und das Verwenden des Systems nach der Betriebsanleitung. Eine weitere Pflicht als Arbeitgeber ist es, einen Arbeitnehmer, der nur mit dem KI-System im Austausch steht, darüber zu informieren, dass er mit einer KI und nicht mit einem Menschen interagiert (Artikel 50). Verantwortung bei Unternehmen Aber können Unternehmen, die überlegen, ein KI-System einzusetzen, feststellen, unter welche Risikostufe nach der KI-Verordnung ein entsprechendes System fällt? Hier muss jedes Unternehmen die Risiken selbst abwägen, wie Fuhlrott erläutert: "Jedes Unternehmen wird in eigener Verantwortung prüfen müssen, wie die eingesetzte KI zu qualifizieren ist und ob es sich um ein Hochrisikosystem handelt." Entwickler würden sicher entsprechende Empfehlungen abgeben. "Diese sind aber nicht bindend, wenn eine prüfende Behörde oder auch das Gericht bei einer Prüfung zu einem anderen Ergebnis kommt." Online Wie schulen? Wie lässt sich KI-Kompetenz im Betrieb aufbauen? Abonnenten der VerkehrsRundschau finden eine kostenlose Checkliste auf unserer Profi-Plattform VRplus. www.verkehrsrundschau.de/plus/KI-schulen