Künstliche Intelligenz am Arbeitsplatz: Wie Unternehmen Beschäftigte informieren sollten
In Zeiten digitaler Transformation setzen immer mehr Arbeitgeber auf die Dienste externer KI-Anbieter. Doch welche Informationspflichten bestehen im Hinblick auf den Datenschutz der Beschäftigten? Müssen Angestellte explizit darüber unterrichtet werden, wenn ihre Daten von einem KI-Dienstleister verarbeitet werden?
Die Rolle von Art. 13 DSGVO
Der Artikel 13 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche nicht, explizit auf den Einsatz von KI-Systemen hinzuweisen. Er fordert zwar Angaben zu Zweck, Rechtsgrundlage und Dauer der Speicherung sowie Nennung der Datenempfänger, aber bisher keine ausdrückliche Benennung eines KI-Einsatzes.
Die Einordnung von KI-Dienstleistern im Datenschutz
KI-Dienstleister müssen nicht zwingend gesondert in den Datenschutzhinweisen genannt werden. Art. 13 Abs. 1 lit. e DSGVO vermerkt, dass Empfänger oder Kategorien von Empfängern angegeben werden müssen. Eine spezielle Kennzeichnung wie „KI-Dienstleister“ könnte jedoch die Transparenz erhöhen, da die Verarbeitung personenbezogener Daten in KI-Systemen sich von klassischen IT-Dienstleistungen unterscheidet.
Normen und Regelungen für Hochrisiko-KI-Systeme
Neben der DSGVO legt die neue KI-Verordnung (EU) 2024/1689 eigene Anforderungen fest. Arbeitgeber, die Hochrisiko-KI-Systeme nutzen, müssen laut Art. 26 Abs. 7 S. 1 KI-VO Arbeitnehmervertreter und betroffene Arbeitnehmer informieren. Solche Systeme finden Anwendung bei Einstellungsverfahren, Leistungsbewertungen oder der Überwachung von Mitarbeitern.
Empfehlungen der Datenschutzkonferenz
Die Datenschutzkonferenz (DSK) fordert eine Anpassung der DSGVO, um eine Lücke zu schließen, die eine explizite Informationspflicht bei KI-Verarbeitung betrifft. Sie schlägt Ergänzungen vor, die Anbieter dazu bringen könnten, den KI-Einsatz explizit offenzulegen, unabhängig von der Kategorisierung der Empfänger.
Anforderungen für Arbeitgeber
Momentan sind Arbeitgeber nicht gezwungen, den KI-Einsatz gesondert anzugeben; der Transparenzgrundsatz legt jedoch nahe, dass „KI-Dienstleister“ als eigene Kategorie gelistet werden sollte. Sollten die DSK-Vorschläge umgesetzt werden, könnte dies zu einer ausdrücklicheren Informationspflicht führen.
Benötigen Sie Unterstützung bei der Einhaltung der Datenschutzvorgaben im Umgang mit Künstlicher Intelligenz? Kontaktieren Sie uns gerne – wir stehen Ihnen mit fachkundiger Beratung zur Seite!
