Rechtssichere KI-Nutzung im Unternehmen – Leitfaden für HR

In rechtlicher Hinsicht ist zu beachten, dass sich das KI-Recht aus einer Reihe verschiedenster Rechtsgebiete zusammensetzt: unter anderem dem Datenschutzrecht, Persönlichkeitsrecht, Urheberrecht und Zivilrecht. Abhängig von der konkreten Situation sind demnach Regelungen aus den genannten Bereichen zu berücksichtigen. Darüber hinaus ist die im Jahr 2024 in Kraft getretene KI-Verordnung zu beachten. Diese soll die Einführung von KI fördern und gleichzeitig ein hohes Schutzniveau sicherstellen, Art. 1 Abs. 1 KI-VO. Dazu werden KI-Systeme in Risikostufen kategorisiert, entsprechende Anforderungen an diese gestellt und Pflichten an Anbieter und Betreiber normiert.

Die Rechtslage rund um KI und Digitalisierung bleibt vorerst dynamisch. Bestehende Regelungen betreffen unterschiedliche Rechtsgebiete. EU-Gesetze wie die KI-VO treten zwar formal bereits in Kraft, ihre Regelungen werden aber erst schrittweise anwendbar. Weitere gesetzgeberische Vorhaben sind in Planung. Viele Unternehmen stehen damit vor der Herausforderung der rechtssicheren Implementierung von KI-Systemen. Unsere Rechtsanwälte für KI-Recht unterstützen Ihr Unternehmen gerne in rechtlicher Hinsicht und zeigen dazu schrittweise auf, welche Regelungen zu beachten sind und welche Pflichten sich aus diesen ergeben.

Mit der Nutzung von KI-Systemen geht oft die Verarbeitung personenbezogener Daten einher. Dies ist beispielsweise der Fall, wenn die KI im HR-Bereich verwendet wird, etwa zur Optimierung von Stellenausschreibungen und des Bewerbungsprozesses oder zur Personalentwicklung. Dann greifen insbesondere die Regelungen der Datenschutz-Grundverordnung (DSGVO) zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, Art. 1 Abs. 1 DSGVO. Aus dieser ergeben sich unter anderem

• Grundsätze, die es bei der Datenverarbeitung zu beachten gilt,
• Rechte der betroffenen Person und
• Pflichten für Verantwortliche und Auftragsverarbeiter.

Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn einer der in Art. 6 Abs. 1 DSGVO normierten Bedingung einschlägig ist. In Betracht kommen etwa die Einwilligung oder die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen sowie zur Wahrung berechtigter Interessen. Fehlt es an einer solchen Bedingung, liegt ein datenschutzrechtlicher Verstoß vor. Betroffenen ist es sodann möglich Schadensersatz nach Art. 82 DSGVO zu verlangen. Um dies zu vermeiden, sollte Ihr Unternehmen in datenschutzrechtlicher Hinsicht folgende Schritte beachten:

• Vorliegen einer Rechtsgrundlage und Zweckbindung: Vor der Verarbeitung personenbezogener Daten muss geklärt sein, zu welchem Zweck diese erforderlich ist und auf welcher Rechtsgrundlage sie beruht. Die Einwilligung nach Art. 6 Abs. 1 Buchst. b) DSGVO muss dabei vor der Verarbeitung der Daten von der betroffenen Person eingeholt werden.
• Datenminimierung, Richtigkeit und Zeitraum der Speicherung: Stellen Sie sicher, dass die Grundsätze aus Art. 5 DSGVO gewahrt werden. Dazu gehört unter anderem die Sicherstellung, dass die Daten richtig sowie auf dem neusten Stand sind und darüber hinaus nur die für den Zweck zu verarbeitenden Daten tatsächlich genutzt werden. Die Daten sollten außerdem auch bei der Nutzung von KI nur so lange gespeichert werden, wie es für den Zweck oder aufgrund des Gesetzes erforderlich ist.
• Auftragsverarbeitungsvertrag: Schließen Sie einen Vertrag i. S. d. Art. 28 Abs. 3 DSGVO mit dem Auftragsverarbeiter, d. h. dem Anbieter der KI, ab.
• Informationspflicht: Kommen Sie Ihrer Informationspflicht nach Art. 13, 14 DSGVO nach. Halten Sie darüber hinaus in einem Verzeichnis alles zur Verarbeitung der Daten fest. Dazu gehört gem. Art. 30 Abs. 1 DSGVO unter anderem die Information, welche Daten Sie bei der Anwendung der KI verarbeiten und zu welchem Zweck dies geschieht.
• Schutz der Daten: Treffen Sie technische und organisatorische Sicherheitsmaßnahmen zum Schutz der erhobenen Daten. Eine mögliche Maßnahme wäre gem. Art. 32 Abs. 1 DSGVO etwa die Pseudonymisierung und Verschlüsselung der erhobenen Daten.
• Datenschutz-Folgenabschätzung: Führen Sie eine Datenschutz-Folgenabschätzung i. S. d. Art. 35 DSGVO durch. Diese kann vor der Nutzung der KI-Technologie zwingend erforderlich sein.
• Umsetzung von Betroffenenrechten: Stellen Sie außerdem sicher, dass das Unternehmen schnellstmöglich auf die Rechte der von der Datenverarbeitung betroffenen Personen aus Art. 12 ff. DSGVO eingehen kann. Zu den Betroffenenrechten gehört auch das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung unterworfen zu werden (Art. 22 Abs. 1 DSGVO). Dies könnte im HR-Bereich beispielsweise der Fall sein, wenn man Bewerber anhand von KI bewerten lässt und das System allein über die Ablehnung dieser entscheidet.

Darüber hinaus sind etwaige Gefahren zu bedenken, die mit dem Einsatz von KI einhergehen können. So kann es vorkommen, dass etwa bei der Nutzung entsprechender Systeme in Bewerbungsprozessen verzerrte bzw. diskriminierende Ergebnisse erzielt werden. Besonders entscheidet ist daher, welche Informationen die KI nutzt und wie mit dem Ergebnis verfahren wird. Mitarbeitende des Unternehmens sollte entsprechend geschult und aufgeklärt werden.

Bei der Nutzung von KI ist auch aus urheberrechtlicher Sicht entscheidend, mit welchen Inhalten und Daten das entsprechende System gespeist wird. In der Regel trainiert die KI mit Daten aus dem Internet und kann basierend darauf neue Inhalte erstellen. Fraglich ist in diesem Zusammenhang jedoch, ob urheberrechtlich geschützte Inhalte überhaupt genutzt werden dürfen. Denn grundsätzlich hat der Urheber eines Werkes (§ 7 UrhG) ausschließlich das Recht, darüber zu entscheiden, wie dieses genutzt wird. § 44b UrhG regelt allerdings eine Ausnahme. Danach dürfen digitale oder digitalisierte Werke analysiert und vervielfältigt werden. Eine Vervielfältigung kann allerdings gem. § 44b Abs. 3 UrhG verhindert werden, indem der Rechteinhaber sich diese zuvor vorbehält und die entsprechende Erklärung dazu in maschinenlesbarer Form erfolgt. Sollten Sie nicht wollen, dass ein digitales Werk von Ihnen vervielfältigt wird, ist dies entsprechend zu kennzeichnen – etwa durch einen ausdrücklichen Hinweis auf Ihrer Webseite. Ebenso gilt es zu beachten, dass Sie bei der Nutzung von KI nur solche Inhalte verwenden, die Sie auch aus urheberrechtlicher Sicht nutzen dürfen.

Auch im Arbeitsrecht gilt es im Zusammenhang mit dem Einsatz von KI in Unternehmen einige Dinge zu beachten. Dabei ist zunächst zu berücksichtigen, dass eine Vielzahl von KI-Systemen, die im Personalbereich angewendet werden, als hochriskant eingestuft werden. Die Nutzung solcher Systeme ist an Anforderungen und die Einhaltung bestimmter Pflichten gekoppelt. Dazu gehört die Pflicht aus Art. 4 KI-VO. Danach sollen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um sicherzustellen, dass u. a. ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Dabei sind etwaiger Kenntnisse und Erfahrungen zu berücksichtigen. Um Mitarbeiter ausreichend aufzuklären, bieten sich KI-Schulungen und die Erstellung einer internen KI-Richtlinie an. Mittels derer könnte man Mitarbeitende darüber aufklären, welche Daten verarbeitet werden dürfen, wie sie mit der KI umgehen und inwiefern die mit dem System erzielten Ergebnisse zu überprüfen sind.

Ab dem 2. August 2026 gelten gem. Art. 113 KI-VO darüber hinaus die weiteren Pflichten aus den Art. 26 f. KI-VO:

• das Ergreifen geeigneter technischer und organisatorischer Maßnahmen,
• die Übertragung der menschlichen Aufsicht an eine natürliche Person mit entsprechender Kompetenz, Ausbildung und Befugnis,
• die Einhaltung sonstiger Pflichten aus dem Unionsrecht und nationalen Recht,
• die Überwachung des Betriebs des Hochrisiko-KI-Systems,
• die Bewahrung der von dem System automatisch erstellten Protokolle,
• die Informationspflicht gegenüber Arbeitnehmervertretern und den betroffenen Arbeitnehmern vor Einsatz der KI,
• ggfs. das Nachkommen der Registrierungspflichten gem. Art. 49 KI-VO und
• die Durchführung einer Datenschutz-Folgenabschätzung gem. Art. 35 DSGVO sowie einer Grundrechte-Folgenabschätzung.

Zu beachten ist außerdem, dass insbesondere bei KI-Anwendungen im HR-Bereich das Diskriminierungsverbot des allgemeinen Gleichbehandlungsgesetzes (AGG) zu berücksichtigen ist. Die KI kann aufgrund möglicherweise verzerrter Informationen Ergebnisse generieren, die Personen unzulässig benachteiligen. Dies ist etwa der Fall, wenn ein KI-System zur Personalgewinnung und im Bewerbungsprozess genutzt wird. Verlässt sich ein Unternehmen ausschließlich auf die von der KI generierten Ergebnisse bzw. Entscheidungen, kann dies rechtliche Konsequenzen haben.

Wie bereits festgestellt wurde, ist die KI nicht unfehlbar. Fraglich ist nur, wer im Falle eines Fehlers der KI haftet. Die Antwort hängt vom Einzelfall ab. Fest steht allerdings, dass die KI mangels eigener Rechtspersönlichkeit nicht haftet. Hinzukommt, dass es bei KI-Erzeugnissen oftmals streitig ist, wer die Urheberschaft dieser innehat und gegen wen folglich Ansprüche durchgesetzt werden können. Haftbar gemacht werden können aber unter Umständen, die Personen bzw. Unternehmen, welche die Künstliche Intelligenz entwickeln, anbieten oder eben nutzen. So kann Ihr Unternehmen etwa haftbar gemacht werden, wenn während des Einsatzes der KI oder der anschließenden Nutzung der erzeugten Inhalte die gesetzlichen oder vertraglichen Pflichten und Anforderungen missachtet wurden.

Die rechtliche Landschaft im Bereich Künstlicher Intelligenz entwickelt sich rasant. Für Unternehmen bedeutet das: Wer KI-Systeme einsetzt, muss die rechtlichen Risiken kennen und aktiv minimieren. Fehler können nicht nur finanzielle Schäden nach sich ziehen, sondern auch zu erheblichen Reputationsverlusten führen. Eine durchdachte Strategie ist daher unverzichtbar:

• Prüfung der KI-Systeme: Vor dem Einsatz einer KI sollten Unternehmen das System prüfen. Dabei sollte sichergestellt werden, dass die Nutzung dessen grundsätzlich nach der KI-VO erlaubt ist.
• Sorgfältige Vertragsgestaltung: Die Grundlage für die rechtssichere KI-Nutzung ist eine klare Vereinbarung mit dem Anbieter. Nur durch präzise geregelte Lizenz- und Nutzungsrechte lässt sich vermeiden, dass Dritte Ansprüche erheben. Unternehmen sollten insbesondere prüfen, ob die generierten Inhalte exklusiv nutzbar sind.
• Umfassende Risikoabwägung: Darüber hinaus ist eine umfassende Risikoeinschätzung der eingesetzten KI-Systeme unerlässlich. Unternehmen sollten sich einen vollständigen Überblick über alle im Einsatz befindlichen KI-Systeme verschaffen, die damit verbundenen Risiken bewerten und die entsprechenden rechtlichen Pflichten identifizieren, denen sie nachkommen müssen.
• Rechtliche Prüfung: Das Unternehmen sollte sicherstellen, dass bei der Nutzung von KI alle datenschutz- sowie urheberrechtlichen Regelungen berücksichtigt werden. Ebenso sind die Pflichten aus der KI-VO zu beachten, etwa die zukünftig geltende Kennzeichnungspflicht bei KI-generierten Inhalten, die Pflichten aus Art. 26 f. KI-VO sowie die Pflicht zur Sicherstellung des Vorliegens eines gewissen Maßes an KI-Kompetenz aus Art. 4 KI-VO.
• KI-Guidelines und Schulungen: Die Implementierung von KI-Schulungen und einer unternehmensinternen KI-Guideline stellt einen weiteren wichtigen Baustein dar. Sowohl Führungskräfte als auch Abteilungsleiter und alle Mitarbeitenden sollten im verantwortungsvollen Umgang mit KI-Tools geschult werden. Eine verbindliche KI-Richtlinie regelt dabei unternehmensweit den angemessenen Einsatz dieser Technologien.
• Minimierung des Haftungsrisikos: Schließlich lässt sich das Haftungsrisiko durch die konsequente Einhaltung gesetzlicher Regelungen, wie beispielsweise der KI-VO, sowie durch die Erfüllung aller Sorgfaltspflichten erheblich reduzieren. Eine proaktive Compliance-Strategie schützt Unternehmen vor rechtlichen Konsequenzen und ermöglicht gleichzeitig die sichere Nutzung der Potenziale von KI-Technologien.