KI-Verordnung der EU: Das müssen HR-Fachkräfte wissen und beachten

Der sogenannte AI Act (Artificial intelligence Act) gibt die Regelungen für einen verantwortungsvollen Umgang mit KI in privaten und öffentlichen Unternehmen vor und schafft damit einen sicheren Rechtsrahmen für alle Beteiligten. Diese Verordnung definiert den Begriff KI sehr weit, sodass beinahe jede Software betroffen sein kann. Den HR-Bereich betrifft das besonders. Systeme aus den Bereichen Rekrutierung, Aufgabenzuteilung und Bildung fallen in die Hochrisiko-Kategorie. Was bedeutet das konkret? Für Hochrisiko-KI-Systeme wie Recruitingsoftware sind strenge Auflagen einzuhalten, die Unternehmen als Betreiber zu erfüllen haben. Das bringt auch weitreichende Pflichten für HR-Fachkräfte mit sich. Im Zusammenhang mit der KI-Verordnung (KI-VO) ergeben sich einige Fragen:

• Was will und soll die KI-VO eigentlich erreichen?
• Was sind Hochrisiko-KI-Systeme?
• Welche Pflichten haben Unternehmen im Umgang mit KI-Tools konkret zu beachten?

Auch der zeitliche Rahmen spielt eine wichtige Rolle. Eine gute Vorbereitung ist hier der Schlüssel zum Erfolg. Dabei ist einiges zu beachten. Wir geben Ihnen einen Überblick darüber, wie Sie sich, Ihr Unternehmen und Ihre Mitarbeitenden auf einen rechtskonformen Umgang im Sinne der EU-VO vorbereiten können. Damit bekommen Sie ein Gefühl dafür, welche Punkte wichtig sind. Zusätzlich geben wir Ihnen Hinweise zur Rolle des Betriebsrats. Außerdem müssen Sie die Datenschutzvorschriften im Auge behalten, um auf Nummer sicher zu gehen.

Welche rechtlichen Risiken birgt der Einsatz Künstlicher Intelligenz im HR?

Künstliche Intelligenz soll die Arbeit im Personalwesen einfacher, schneller und neutraler gestalten. Dies funktioniert mit selbst lernenden Algorithmen, Prozessautomatisierung und Prognosen über Wahrscheinlichkeiten. KI in Personalabteilungen bringt jedoch nicht nur Vorteile und Hilfe bei der Entscheidungsfindung, sondern auch rechtliche Risiken mit sich. Die von KI eingesetzten Algorithmen können Voreingenommenheit verursachen und damit eine Diskriminierung darstellen. Wenn die Datengrundlage fehlerhaft oder falsch programmiert ist, kann KI natürliche Personen, die sich bewerben, diskriminieren.

MEHR ZUM THEMA:

Welchen Rechtsrahmen gibt es bisher?

KI-Technologien zeichnen sich dadurch aus, dass sie mit einem Algorithmus große Datenmengen verarbeiten und selbstständig daraus lernen sowie Muster ableiten können. Für den KI-Einsatz geben bisher das Allgemeine Gleichbehandlungsgesetz (AGG) und das Datenschutzrecht (BDSG und DS-GVO) einen Rechtsrahmen vor. Hinzu kommen die Beteiligungsrechte des Betriebsrats. Mit der nunmehrigen KI-Verordnung kommen für die Nutzung zahlreiche neue Vorschriften hinzu.

Überblick und Ziele: Was will die KI-VO?

Die KI-VO zielt darauf ab, die Gesundheit und Sicherheit natürlicher Personen bestmöglich zu schützen und deren Grundrechte mit der KI-Nutzung in Einklang zu bringen. Gleichzeitig geht es darum, die Investitionen in KI-Anwendungen voranzutreiben. Das Ziel besteht also darin, den Einsatz einer vertrauenswürdigen KI zu fördern, die sich auf die Menschen fokussiert und deren Schutzrechte einhält.

Um diese Zielsetzung zu erreichen, sieht die KI-VO eine Einteilung der KI-Systeme in unterschiedliche Risikoklassen vor. Je nachdem in welche Risikoklasse ein System fällt, gelten sehr strenge oder weniger strikte Vorschriften. Sogenannte KI-Systeme mit unannehmbarem Risiko sind gänzlich verboten. Darunter fallen KI-Tools, die das Verhalten von Personen durch Manipulations- oder Täuschungsmethoden verzerren, persönliche Schwachstellen ausnutzen oder Menschen auf Basis ihres sozialen Verhaltens nachteilig beurteilen (sogenanntes Social Scoring).

Für die Verordnung gibt es Übergangsfristen, sodass die einzelnen Vorschriften zeitlich abgestuft in Kraft treten. Die Verbotsvorschriften für rechtlich inakzeptable KI-Systeme sollen ab Februar 2025 gelten. Für die Regelungen betreffend allgemein nutzbare KI-Systeme (beispielsweise Text- und Bilderstellung) ist August 2025 als Geltungsbeginn festgelegt. Die restlichen Bestimmungen mit den Anforderungen für Hochrisiko-KI-Systeme werden ab August 2026 gelten.

Einteilung der KI-Systeme in Risikoklassen

Die EU-VO teilt KI-Systeme in vier Risikoklassen ein:

1. KI mit unannehmbarem Risiko: verboten
2. Hochrisiko-KI-Systeme: Nutzung unter strengen Anforderungen zulässig
3. allgemein nutzbare KI-Systeme und 4. KI mit begrenztem Risiko: weniger strenge Vorschriften, aber Transparenz- und Aufklärungspflichten gelten

Im Personalwesen handelt es sich meist um Hochrisiko-KI-Systeme mit sehr strengen Auflagen. Ein HR-Chatbot könnte hingegen als KI mit begrenztem Risiko einzustufen sein. Dieser sollte sich zu Gesprächsbeginn als solcher zu erkennen geben und die Möglichkeit einräumen, sich an eine natürliche Kontaktperson zu wenden.

Die meisten KI-Anwendungen im HR-Bereich sind der Hochrisiko-Kategorie zuzuordnen:

• KI-Technologien aus Beschäftigung und Personalmanagement, die für die Personalauswahl genutzt werden
• KI-Systeme, die über Beförderungen und Kündigungen entscheiden
• KI-Tools, die aufgrund des persönlichen Verhaltens und von persönlichen Eigenschaften Aufgaben zuteilen
• ebensolche Tools, die die Leistung und das Verhalten von Mitarbeitenden beobachten und bewerten
• Systeme, die über den Zugang zu beruflichen Fortbildungen entscheiden

Die Einstufung als Hochrisiko-KI-System bedeutet, dass Sie bei der Nutzung zahlreiche Vorschriften einhalten müssen. Darunter fallen Vorgaben wie ein Risikomanagementsystem, strenge Qualitätskriterien für Daten, menschliche Aufsichtspflichten sowie Speicherpflichten.

Unternehmen, die Pflichten aus der KI-VO verletzen, müssen mit hohen Geldbußen rechnen, die sich nach dem weltweiten Jahresumsatz richten. Die Europäische Kommission darf Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweit erzielten, jährlichen Unternehmensumsatzes einfordern.

Welche Pflichten ergeben sich aus der KI-VO?

Aus der KI-VO ergeben sich diese Pflichten:

Informationspflicht

Wenn Ihre Mitarbeitenden von einem KI-System der Hochrisiko-Kategorie betroffen sind, müssen Sie diese vorher darüber informieren. Es gibt noch eine zusätzliche Informationspflicht für Hochrisiko-KI-Systeme, die über natürliche Personen entscheiden oder bei der Entscheidungsfindung unterstützen. Betroffene sind über die Beweggründe einer Einzelfallentscheidung zu informieren (Artikel 86 KI-Verordnung).

Bei Unternehmen mit Betriebsrat ist eine Informationspflicht gleichfalls vorgesehen. Unabhängig davon sind auch andere EU-rechtliche und nationale Vorschriften zu beachten wie zum Beispiel das Betriebsverfassungsgesetz (BetrVG). Im BetrVG ist insbesondere geregelt, dass der Betriebsrat zu informieren und anzuhören ist.

Speicherpflicht

Betreiber:innen von Hochrisiko-Systemen sind zu einer umfangreichen Dokumentation verpflichtet. Sie müssen automatisch erstellte Protokolle mindestens sechs Monate speichern.

Aufsichtspflicht

Zusätzlich gilt eine Aufsichtspflicht. Diese Aufsicht darf nur eine Person übernehmen, die die notwendigen Fähigkeiten und die erforderliche Ausbildung mitbringt sowie eine Befugnis des Unternehmens hat.

Kontrollpflichten

Außerdem ist das KI-System laufend anhand der Gebrauchsanweisung zu überwachen. Sie müssen zudem dafür sorgen, dass das System außer Betrieb gesetzt wird, wenn es einen begründeten Verdacht dafür gibt, dass es ein unverhältnismäßiges Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt. Schwerwiegende Vorfälle sind zu melden.

Transparenzpflicht

Ein wichtiger Punkt ist die Transparenzpflicht. Demnach sind künstlich erstellte oder bearbeitete Inhalte wie Texte, Bilder, Audioaufnahmen oder Videos als solche zu kennzeichnen.

Insgesamt tragen Sie eine große Verantwortung, wenn Ihr Unternehmen ein Hochrisiko-KI-System betreibt. Diese schließt verschiedene Aspekte ein, die von der technischen und organisatorischen Installation über den Schutz und die Information der Betroffenen bis zur Kontrollfunktion reicht. Mit anderen Worten: Sie sind dafür verantwortlich, dass das KI-System sicher und gerecht eingesetzt wird.

Wie Sie sich als Unternehmen und Ihre HR-Mitarbeitenden vorbereiten können

Ihnen bleibt noch Zeit, bis die Regelungen zur Hochrisiko-KI in Kraft treten. Dennoch sollten Sie sich so früh wie möglich auf die Anforderungen vorbereiten.

1. KI-Systeme erheben und in Risikoklassen einteilen

Zunächst sollten Sie alle genutzten KI-Systeme analysieren und in Risikoklassen einteilen. Die sogenannten Hochrisiko-Systeme müssen Sie besonders sorgfältig überprüfen, weil diese zukünftig strengen EU-Regelungen unterliegen.

2. Daten dokumentieren und transparent machen

Die Datenquellen, die zur KI-Schulung genutzt werden, sind zu dokumentieren. Es ist wichtig, alle mittels KI erstellten Inhalte deutlich zu kennzeichnen und damit transparent zu machen. Dadurch gewinnen die Mitarbeitenden mehr Vertrauen in die genutzten KI-Systeme.

3. Aktuelle KI-Systeme bewerten und anpassen

Eventuell müssen Sie aktuelle KI-Systeme erneuern oder technologisch anpassen, um die neuen Vorschriften einzuhalten. Hierbei ist es wichtig, sich mit der Anbieterfirma abzusprechen und diese Fragen zu klären:

• Mit welchen Maßnahmen wird sichergestellt, dass die mit KI-erstellten Inhalte als solche gekennzeichnet sind?
• Mit welchen Datensätzen werden die Daten dokumentiert und verwaltet, die zur KI-Schulung genutzt werden?
• Wurden die KI-Systeme nach Maßgabe der Risikoklassen überprüft?

4. Neue Technologien einführen

Bevor Sie neue KI-Tools einführen, sollten Sie ebenfalls überprüfen, ob diese den EU-Regelungen entsprechen. Dies ist bereits bei der Auswahl zu klären. Diese neuen KI-Tools sollten jedenfalls den Aufklärungs- und Transparenzbestimmungen entsprechen und erkennen lassen, wenn Inhalte von KI erstellt wurden.

5. Auch inoffizielle Technologien bewerten

Wenn Ihre Mitarbeitenden inoffizielle Tools wie ChatGPT oder Copilot nutzen, müssen sie ebenfalls dafür sorgen, dass diese transparent sind und weder sensible noch personenbezogene Informationen verarbeiten. Die Nutzung solcher inoffiziellen KI-Tools verlangt eindeutige Regelungen und Richtlinien, um den Vorschriften zu entsprechen und Risiken zu reduzieren.

6. Transparent vorgehen und kommunizieren

Im Idealfall informieren Sie die Mitarbeitenden umfassend über die KI-Nutzung und die entsprechenden Maßnahmen zur Erfüllung der Vorschriften. Die Beschäftigten sollten die Möglichkeit haben, Feedback zu geben und über ihre Unsicherheiten und Ideen zu sprechen.

7. Mitarbeitende schulen und sensibilisieren

Mit speziell entwickelten Schulungsprogrammen können Sie Ihre HR-Fachkräfte über die anstehenden rechtlichen Veränderungen und deren Konsequenzen informieren. Damit entsteht ein größeres Verständnis für die ethischen Aspekte der KI-Nutzung.

8. Überwachung

Es ist wichtig, die KI-Systeme fortlaufend zu überwachen und diese Überprüfungstests entsprechend zu dokumentieren. Dabei ist zu prüfen, ob die Tools keine falschen und unangebrachten Antworten geben, keine Wissenslücken zeigen und keine vertraulichen Informationen herausgeben. Zur kontinuierlichen Überwachung der KI-Systeme bieten sich Monitoring-Systeme an. Diese können mittels einer automatischen Benachrichtigung Auffälligkeiten, Fehler und Rechtsverstöße melden.

9. Berichterstattung

Im Idealfall führen Sie eine standardisierte Berichterstattung ein, um regelmäßig über die Leistung und Rechtskonformität der KI-Systeme zu berichten. Mit diesen Berichten können Sie alle wichtigen Personen im Unternehmen über relevante Kennzahlen und den Compliance-Status informieren. Damit wissen alle Beteiligten, wie es um die Sicherheit der KI-Systeme bestellt ist.

Beteiligungsrechte des Betriebsrats beachten

Der Betriebsrat hat bestimmte Beteiligungsrechte. Wenn Sie künstliche Intelligenz in Ihrem Unternehmen einführen möchten, müssen Sie den Betriebsrat bereits vorab über die geplante Einführung informieren (§ 90 Absatz 1 Nr. 3 BetrVG). Für die Nutzung und die dazu gehörigen Richtlinien besteht ein Mitbestimmungsrecht.

Vorsicht vor Datenschutzverletzungen

Da bei KI-Tools regelmäßig personenbezogene Daten verarbeitet werden, ist darauf zu achten, dass es zu keinen Datenschutzverletzungen kommt. Demnach sind die allgemeinen datenschutzrechtlichen Vorschriften sowie spezielle KI-Regelungen zu beachten. Nach § 26 Abs. 1 S. 1 BDSG ist die Datenverarbeitung im Arbeitsverhältnis rechtmäßig, wenn sie notwendig ist, um über die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses zu entscheiden. Die Datenverarbeitung durch das KI-Tool muss geeignet sein, dieses Ziel zu erreichen. Außerdem darf es kein gelinderes Mittel geben und die Unternehmensinteressen müssen höher wiegen als der Eingriff in die persönlichen Rechte der Mitarbeitenden. Das Gebot der Datensparsamkeit schreibt vor, dass die Mitarbeitenden keine Daten erheben, die das Unternehmen nicht braucht.

Daten, die mit KI verarbeitet werden, müssen innerhalb der IT-Umgebung des Unternehmens verbleiben. Sie sind zudem vor dem Zugriff durch unberechtigte Personen innerhalb des Betriebes zu schützen.

Fazit zur KI-VO in HR

Der Einsatz von KI erleichtert den Arbeitsalltag in Personalabteilungen, hat aber auch rechtliche Risiken. Zusätzlich zu Datenschutzbestimmungen und Gleichbehandlungsgrundsätzen gibt nunmehr die neue KI-VO einen Rechtsrahmen vor. Auf Basis dieser EU-VO gelten die meisten KI-Systeme im Personalwesen als Hochrisiko-Systeme. Demnach müssen Sie bei der KI-Nutzung einige Pflichten in puncto Information, Speicherung, Aufsicht, Transparenz und Kontrolle erfüllen. Damit zukünftig alles rechtskonform abläuft, sollten Sie sich umfassend vorbereiten.

Mehr als 200 Millionen Anwender weltweit nutzen SAP SuccessFactors, und wir bei Zalaris sind stolz darauf, Ihnen dabei zu helfen, diese leistungsstarke Lösung zu implementieren. Unsere Expertise stellt sicher, dass Sie nicht nur von der zuverlässigen und flexiblen KI-Technologie profitieren, sondern auch Ihre HR-Prozesse optimieren und an die Zukunft anpassen können. Lassen Sie uns gemeinsam entdecken, wie Zalaris Ihnen dabei helfen kann, die HR-Funktion der Zukunft mit SAP SuccessFactors zu gestalten.