Tools der künstlichen Intelligenz sind wesentlich schnellere Bestandteile der gewöhnlichen Arbeit geworden, als sich interne Regelwerke an sie anpassen konnten. Beschäftigte geben Arbeitsunterlagen in Sprachmodelle ein, Personalabteilungen testen Tools zur Vorauswahl von Bewerbern und einzelne Teams beschaffen Anwendungen außerhalb der Genehmigungsprozesse. Die jüngste Verschiebung der Pflichten für Hochrisiko-KI-Systeme für Dezember 2027 schafft lediglich das zweifelhafte Gefühl, dass für die Vorbereitung noch Zeit bleibt. Aus Sicht der DSGVO handelt es sich nämlich nicht um eine neue Kategorie der Verarbeitung, sondern um eine gewöhnliche Verarbeitung der personenbezogener Daten mit überdurchschnittlichem Risiko, bei der der Arbeitgeber gemäß Artikel 5 Absatz 2 und Artikel 24 DSGVO die Einhaltung sowohl erreichen,als auch nachweisen muss. Die interne KI-Richtlinie ist genau das Dokument, das dies beweist – oder deren Fehlen dokumentiert.
Anwendungsbereich und Register der Tools
Eine Richtlinie, die nicht festlegt, worauf sie anwendbar ist , ist nicht durchsetzbar. Die erste Mindestanforderung ist daher die sachliche und persönliche Abgrenzung: Welche Zwecke als Tool der künstlichen Intelligenz gelten , einschließlich Funktionen, die in gewöhnliche Büro- und Personalsoftware integriert sind, für wen sie gilt (Beschäftigte, vorübergehend überlassene Beschäftigte, Dienstleister) und in welchen Prozessen die Nutzung zulässig ist.
Daran muss ein Register für genehmigte Tools und ein Prozess zur Genehmigung neuer Tools angeknüpft werden. Ohne ein solches Register weiß der Arbeitgeber nicht, welche Verarbeitung bei ihm stattfinden, und seine Verzeichnisse von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO zwangsläufig unvollständig sind. Die Richtlinie sollte die Nutzung nicht genehmigter Tools zu Arbeitszwecken untersagen und zugleich eine verfügbare genehmigte Alternative anbieten. Ein bloßes Verbot ohne Alternative führt in der Regel nur dazu, dass die Nutzung außerhalb des Kontrollbereichs verlagert wird.
Rechtsgrundlage, Zweck und Regeln für Eingaben
Jede Nutzung muss einen bestimmten Zweck und eine Rechtsgrundlage gemäß Artikel 6, gegebenenfalls Artikel 9 DSGVO, haben. Die Einwilligung des Beschäftigten wird aufgrund des strukturellen Ungleichgewichts zwischen den Parteien des Arbeitsverhältnisses in der Regel nicht ausreichend . Die Richtlinie muss verständlich festlegen, was in die Tools eingegeben werden darf und was nicht, also typischerweise ein Verbot der Eingabe besonderer Kategorien von personenbezogener Daten, Kunden - und Drittdaten sowie Informationen, die der Verschwiegenheitspflicht unterliegen. Der Grundsatz der Datenminimierung gilt auch für den Inhalt der Eingaben.
Besondere Aufmerksamkeit erfordert die Stellung des Anbieters. Handelt er als Auftragsverarbeiter, ist ein Vertrag gemäß Artikel 28 DSGVO einschließlich der Regelung weiterer Auftragsverarbeiter erforderlich. Behält er sich die Nutzung der Eingaben zum Training von Modellen vor, handelt es sich um eine Verarbeitung zu seinem eigenen Zweck, die gesondert zu beurteilen und in der Regel vertraglich auszuschließen ist. Zu ergänzen sind die Beurteilungen von Übermittlungen an Drittländer gemäß Artikel 44 ff. DSGVO, die Speicherdauer von Eingaben und Ausgaben sowie Maßnahmen gemäß Artikel 32 DSGVO einschließlich Zugriffsmanagement und Protokollierung.
Menschliche Aufsicht und Entscheidungen über Beschäftigte
Die Richtlinie muss festlegen, in welchen Prozessen das Ergebnis eines Tools als Grundlage für eine Entscheidung über eine Person dienen darf. Hat die Entscheidung rechtliche oder ähnlich erhebliche Wirkungen und beruht sie ausschließlich auf automatisierter Verarbeitung, findet Artikel 22 DSGVO Anwendung. Die formale Einbindung eines Menschen in den Prozess reicht nicht aus. Die Aufsicht muss von einer fachlich qualifizierten Person mit tatsächlichen Befugnis zur Änderung des Ergebnisses ausgeübt werden. Angesichts der Neigung von Modellen, sachlich unrichtige Daten zu generieren, ist eine Pflicht zur Überprüfung der Ergebnisse zu verankern, da der Grundsatz der Richtigkeit gemäß Artikel 5 Absatz 1 Buchstabe d) DSGVO nicht nur für Eingaben gilt.
Datenschutz-Folgenabschätzung als Voraussetzung für den Einsatz
Die Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO ist kein fakultativer Bestandteil des Projekts. Beim Einsatz einer neuen Technologie, die mit einer systematischen Bewertung von Personen oder mit einer umfangreichen Verarbeitung verbunden ist, wird sie in der Regel verpflichtend sein, auch die von der Aufsichtsbehörde veröffentlichte Liste der Verarbeitungsvorgänge zu berücksichtigen. Die Richtlinie sollte festlegen, wer die Folgenabschätzung initiiert, in welcher Phase (vor dem Einsatz, nicht danach) und wann sie wiederholt wird, also typischerweise bei einer Änderung des Zwecks, des Anbieters oder der Funktionalität des Tools. Der Datenschutzbeauftragte nimmt dazu gemäß Artikel 35 Absatz 2 DSGVO Stellung, und bei einem hohen Restrisiko kommt eine vorherige Konsultation gemäß Artikel 36 DSGVO in Betracht. Die Grundrechte-Folgenabschätzung nach der Verordnung über künstliche Intelligenz ersetzt die Folgenabschätzung nach der DSGVO nicht und verschiebt sie auch zeitlich nicht.
Schulung der Beschäftigten und arbeitsrechtliche Dimension
Die Richtlinie ist gegenüber Beschäftigten nur dann durchsetzbar, wenn sie ordnungsgemäß informiert wurden. Gemäß § 81 Buchstabe c) des Arbeitsgesetzbuchs ist der Beschäftigte verpflichtet, die für seine Tätigkeit geltenden Bestimmungen unter dieser Bedingung einzuhalten . Werden die Regeln in die Arbeitsordnung aufgenommen, ist die vorherige Zustimmung der Arbeitnehmervertreter gemäß § 84 des Arbeitsgesetzbuchs erforderlich. Ermöglicht das Tool zugleich die Kontrolle von Beschäftigten, findet § 13 Absatz 4 des Arbeitsgesetzbuchs Anwendung, also die Pflicht, den Umfang der Kontrolle, die Art ihrer Durchführung und ihre Dauer zu erörtern und die Beschäftigten darüber zu informieren.
Schulung ist keine Formalität. Die DSGVO setzt sie in Artikel 39 Absatz 1 Buchstabe b) voraus, und die Verordnung der künstliche Intelligenz verpflichtet dazu, Maßnahmen zur Förderung der Entwicklung der Kompetenzen im Bereich der künstlichen Intelligenz zu ergreifen, wobei die Aufsicht über ihre Einhaltung ab August 2026 beginnt. Die Schulung sollte nach Rollen differenziert, darauf an konkrete Tools gebunden und dokumentiert werden.
Häufigste Fehler
In der Praxis wiederholen sich mehrere Fehler: die Übernahme einer Musterrichtlinie, die den tatsächlich verwendeten Tools nicht entspricht; das Fehlen eines Registers und eines Genehmigungsprozesses; die Durchführung einer Folgenabschätzung erst nach dem Einsatz oder ihre Ersetzung durch eine Erklärung des Anbieters; das Vertrauen auf die Einwilligung des Beschäftigtens; die ungelöste Frage des Trainingsmodells anhand der Eingaben und ein pauschales Verbot ohne Alternative. Ebenso wird häufig übersehen, dass eine Richtlinie ohne benannten Policy Owner, Kontrolle der Einhaltung und Verfahren bei Vorfällen nicht durchsetzbar bleibt.
Schlussfolgerung
Die interne KI-Richtlinie ist kein Dokument für Auditzwecke, sondern ein operatives Instrument, das die Anforderungen der DSGVO in Regeln für konkrete Prozesse übersetzt. Sie muss mit den Verzeichnissen von Verarbeitungstätigkeiten, Folgenabschätzungen, Verträgen, Anbietern und mit der arbeitsrechtlichen Dokumentation verknüpft sein. Eine Richtlinie, die tatsächlich nicht angewendet wird, ist dabei schlechter als keine. Gegenüber der Aufsichtsbehörde weist sie nämlich nach, dass der Arbeitgeber das Risiko kannte, es benannt und dennoch nicht gesteuert hat.
Kinstellar, s. r. o.
Kinstellar ist eine der führenden europäischen Wirtschaftskanzleien mit mehr als 500 Professionals in Deutschland, Europa und den USA. Mit Lösungen für komplexe und anspruchsvolle rechtliche Fragestellungen schaffen wir einen echten Mehrwert für unsere Mandanten. Das Besondere an Kinstellar ist die Verbindung einer breiten fachlichen Exzellenz mit innovativem Denken, internationaler Erfahrung und Industrieexpertise. Auf unseren Rat vertrauen börsennotierte und multinationale Konzerne, große und mittelständische Familienunternehmen ebenso wie Finanzinstitute und internationale Investoren.
Im Austausch mit unseren Mandanten entwickeln wir die passenden Antworten auf alle Fragen des Wirtschaftsrechts einschließlich Gesellschaftsrecht, Mergers & Acquisitions, Wettbewerbs- und Kartellrecht, Bank- und Kapitalmarktrecht, Unternehmensfinanzierung, IP, IT-Recht, Telekommunikationsrecht, Vertriebsrecht, Immobilienrecht, Arbeitsrecht, Insolvenzrecht, Umweltrecht und Prozessvertretung. Darüber hinaus bietet das Team in Bratislava umfassende Unterstützung bei der Strukturierung und Finanzierung von Investitionsvorhaben.
