In den letzten Jahren erleben wir einen explosionsartigen Anstieg der Nutzung generativer künstlicher Intelligenz im Arbeitsumfeld. Dieser technologische Sprung hat jedoch das als Shadow AI bekannte Phänomen hervorgebracht, das als Implementierung und Nutzung von KI-Tools oder -Modellen durch Arbeitnehmer ohne ausdrückliche Genehmigung, Aufsicht oder Verwaltung durch die IT-Abteilung oder die Abteilung für Cybersicherheit definiert werden kann. Arbeitnehmer nutzen diese Tools, wie etwa ChatGPT oder Gemini, vor allem in dem Bestreben, ihre eigene Effizienz, Produktivität und Innovation zu steigern. Obwohl ihre Absichten häufig pro-organisational sind, bergen solche Praktiken erhebliche arbeitsrechtliche Risiken und Sicherheitsrisiken.
Shadow AI als Verstoß gegen die Arbeitsdisziplin
Nach dem Gesetz Nr. 311/2001 Slg., Arbeitsgesetzbuch, in der jeweils geltenden Fassung (im Folgenden „Arbeitsgesetzbuch“) besteht die grundlegende Pflicht des Arbeitnehmers darin, verantwortungsvoll und ordnungsgemäß zu arbeiten und die im Einklang mit den Rechtsvorschriften erteilten Weisungen der Vorgesetzten zu befolgen. Legt der Arbeitgeber die Verfahren zur Genehmigung von Software klar fest, kann die Nutzung nicht genehmigter KI-Tools als Verstoß gegen die Arbeitsdisziplin eingestuft werden.
Shadow AI tritt häufig in Situationen auf, in denen IT-Abteilungen nicht mit den Bedürfnissen von Arbeitnehmern Schritt halten können, die unter Termindruck stehen. Obwohl der Arbeitnehmer in gutem Glauben handelt und die Aufgabe schneller erledigen möchte, birgt die Umgehung der Governance-Rahmen des Unternehmens ein Risiko und gefährdet die Integrität der Systeme des Arbeitgebers. Der Arbeitgeber hat das Recht, Arbeitsverfahren festzulegen, und der Arbeitnehmer ist verpflichtet, die Arbeitsdisziplin einzuhalten; dazu gehört auch die Beachtung von Sicherheitsrichtlinien für den Umgang mit Daten.
Wahrung der Vertraulichkeit und Risiko einer unbeabsichtigten Offenlegung von Daten
Zu den schwerwiegendsten Risiken von Shadow AI gehört die unbeabsichtigte Offenlegung sensibler Informationen. Arbeitnehmer können in öffentlich zugängliche KI-Plattformen interne Dokumente, Projektspezifikationen oder Kundendaten eingeben, die anschließend von diesen Systemen verarbeitet und potenziell für das weitere Training des Modells verwendet werden.
Dieses Vorgehen steht in unmittelbarem Widerspruch zu der Pflicht des Arbeitnehmers, über Tatsachen Verschwiegenheit zu wahren, von denen er bei der Ausübung seiner Beschäftigung Kenntnis erlangt hat und die im Interesse des Arbeitgebers anderen Personen nicht mitgeteilt werden dürfen, im Sinne von § 81 Buchst. f). Kommt es durch Shadow AI zu einem Datenabfluss, kann der Arbeitnehmer gegen interne Vorschriften verstoßen und den Arbeitgeber zugleich einer Haftung wegen eines Datenschutzverstoßes aussetzen.
Da generative KI-Modelle abhängig von den Bedingungen des Anbieters Daten aus Nutzereingaben aufnehmen können, besteht die Gefahr, dass einzigartige Lösungen oder Geschäftsgeheimnisse des Unternehmens in Ausgaben erscheinen, die anderen Nutzern, einschließlich Wettbewerbern, bereitgestellt werden.
Aus arbeitsrechtlicher Sicht hat der Arbeitgeber das Recht auf Schutz seines Vermögens, zu dem auch immaterielle Vermögensbestandteile und Geschäftsinformationen gehören. Der Arbeitnehmer ist verpflichtet, mit den ihm vom Arbeitgeber anvertrauten Mitteln ordnungsgemäß umzugehen und dessen Vermögen vor Beschädigung oder Missbrauch zu schützen. Die Externalisierung des betrieblichen Know-hows in adaptive Systeme eines Dritten ohne Zustimmung des Arbeitgebers stellt eine Verletzung dieser Pflichten dar und kann zu einem unumkehrbaren Verlust des Wettbewerbsvorteils des Unternehmens führen.
Haftung des Arbeitnehmers für durch Shadow AI verursachte Schäden
Verursacht die Nutzung von Shadow AI dem Arbeitgeber einen Schaden, greift die allgemeine Schadenshaftung des Arbeitnehmers nach § 179 Abs. 1 des Arbeitsgesetzbuchs ein. Der Arbeitnehmer haftet für den Schaden, den er durch eine schuldhafte Verletzung seiner Pflichten bei der Erfüllung von Arbeitsaufgaben oder in unmittelbarem Zusammenhang damit verursacht hat, da die Dateneingabe häufig auf privaten Geräten und außerhalb des Arbeitsplatzes erfolgt.
Der Arbeitnehmer hat den tatsächlich entstandenen Schaden zu ersetzen. Im Kontext von Shadow AI kann dieser beispielsweise in den Kosten für die Untersuchung eines Vorfalls und für die Erfüllung der Melde- und Benachrichtigungspflichten – die Eingabe personenbezogener Daten in ein nicht genehmigtes Tool stellt nämlich in der Regel eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO dar, aus der sich eine Pflicht zur Meldung nach Art. 33 beziehungsweise gegebenenfalls zur Benachrichtigung nach Art. 34 DSGVO ergibt – oder in einer dem Arbeitgeber von der Aufsichtsbehörde auferlegten Sanktion bestehen. Bei einer Geldbuße weisen wir jedoch darauf hin, dass sie dem Verantwortlichen als Adressaten seiner eigenen Pflichten, insbesondere nach Art. 24 und 32 DSGVO, auferlegt wird; daher ist fraglich, inwieweit es sich um einen vom Arbeitnehmer verursachten Schaden und nicht um die Folge eines organisatorischen Versagens des Arbeitgebers handelt.
Bei fahrlässiger Schadensverursachung ist die Ersatzpflicht auf das Vierfache des durchschnittlichen Monatsverdienstes begrenzt. Weist der Arbeitgeber nach, dass der Arbeitnehmer den Schaden vorsätzlich verursacht hat, findet diese Begrenzung keine Anwendung, und neben dem Ersatz des tatsächlich entstandenen Schadens kann auch Ersatz für entgangenen Gewinn verlangt werden, typischerweise für einen Gewinnverlust infolge der Offenlegung eines Geschäftsgeheimnisses, wenn die Nichterstattung dieses Ersatzes den guten Sitten widerspräche. Der Vorsatz muss sich jedoch auf den Eintritt des Schadens beziehen, nicht lediglich auf den Verstoß gegen eine interne Richtlinie; die bloße bewusste Umgehung eines Verbots begründet in der Regel lediglich bewusste Fahrlässigkeit.
Die Rolle des KI-orientierten Personalmanagements (HRM)
Bloße Verbote der Nutzung von KI-Tools können die mit Shadow AI verbundenen Risiken nicht wirksam begrenzen. Eine wirksamere Lösung besteht darin, Regeln für den verantwortungsvollen Einsatz von KI in das Personalmanagement und die alltäglichen Arbeitsprozesse zu integrieren. Grundlage eines solchen Ansatzes sollte eine klare interne Richtlinie zur Nutzung von KI sein, ergänzt durch Schulungen der Arbeitnehmer.
Schlussfolgerung
Der Arbeitgeber sollte zugleich angemessene Kontrollmechanismen einrichten, die die Privatsphäre der Arbeitnehmer respektieren und die gesetzlichen Grenzen der Überwachung einhalten. Dem Gleichgewicht zwischen technologischer Innovation, dem Schutz des betrieblichen Know-hows und der Vorhersehbarkeit arbeitsrechtlicher Folgen kommt daher eine Schlüsselrolle zu.
Kinstellar, s. r. o.
Kinstellar ist eine der führenden europäischen Wirtschaftskanzleien mit mehr als 500 Professionals in Deutschland, Europa und den USA. Mit Lösungen für komplexe und anspruchsvolle rechtliche Fragestellungen schaffen wir einen echten Mehrwert für unsere Mandanten. Das Besondere an Kinstellar ist die Verbindung einer breiten fachlichen Exzellenz mit innovativem Denken, internationaler Erfahrung und Industrieexpertise. Auf unseren Rat vertrauen börsennotierte und multinationale Konzerne, große und mittelständische Familienunternehmen ebenso wie Finanzinstitute und internationale Investoren.
Im Austausch mit unseren Mandanten entwickeln wir die passenden Antworten auf alle Fragen des Wirtschaftsrechts einschließlich Gesellschaftsrecht, Mergers & Acquisitions, Wettbewerbs- und Kartellrecht, Bank- und Kapitalmarktrecht, Unternehmensfinanzierung, IP, IT-Recht, Telekommunikationsrecht, Vertriebsrecht, Immobilienrecht, Arbeitsrecht, Insolvenzrecht, Umweltrecht und Prozessvertretung. Darüber hinaus bietet das Team in Bratislava umfassende Unterstützung bei der Strukturierung und Finanzierung von Investitionsvorhaben.
