Teilen auf
Künstliche Intelligenz ist unaufhaltsam auf dem Vormarsch. Für Personalabteilungen ist das gleich doppelt relevant: Zum einen spielt KI in den eigenen Personal-Management-Prozessen eine wichtige Rolle, beispielsweise beim Recruiting oder der Nutzung von KI-Tools zur Dienstplanung. Zum anderen obliegt es regelmäßig den Personalabteilungen, die Nutzung von KI im Unternehmen durch die Mitarbeiter zu implementieren und zu regulieren.
Wichtige rechtliche Vorschriften hierzu finden sich in der Verordnung über künstliche Intelligenz der Europäischen Union, kurz „KI-Verordnung“ oder „AI Act“ genannt. Mit der Verordnung (EU) 2024/1689 hat die EU 2024 ein weitreichendes Regelwerk für Betreiber, Anwender und Nutzer künstlicher Intelligenz aufgestellt. Dessen Vorschriften wurden nicht auf einen Schlag verbindlich eingeführt, sondern werden für Unternehmen nach einem fixen Zeitplan verbindlich. Ein weiterer wichtiger Zwischenschritt ist zum 2. August dieses Jahres erfolgt.
AI Act – was bisher passiert ist
Am 1. August 2024 trat der EU AI Act in Kraft. Dabei handelt es sich um eine Verordnung der Europäischen Union gemäß Paragraf 288 Absatz 2 AEUV. Das heißt: Der AI Act gilt verbindlich und unmittelbar in den einzelnen Mitgliedstaaten der EU. Anders als eine Richtlinie muss der nationale Gesetzgeber (in Deutschland: Bundestag und Bundesrat) die Regelungen nicht erst in nationales Recht umsetzen.
Der Großteil des, insgesamt 113 Artikel, zahlreiche Anlagen sowie umfassende Erwägungsgründe umfassenden, AI Acts ist aber noch nicht mit dem Inkrafttreten am 1. August 2024 verbindlich geworden. Vielmehr beanspruchen die einzelnen Teile der Verordnung laut Artikel 113 des AI Act erst nach und nach Geltung.
Erste Schritte: Anwendungsbereich und verbotene Praktiken
Den Anfang machten allgemeine Regelungen zum Anwendungsbereich und Begriffsbestimmungen im ersten Kapitel des AI Acts sowie die in Kapitel 2 festgehaltenen verbotenen Praktiken im KI-Bereich. Die beiden ersten Kapitel gelten für KI-Systeme in Unternehmen bereits seit dem 2. Februar 2025.
Der Anwendungsbereich des AI Act ist weit gefasst. Neben Anbietern von KI-Systemen werden auch Betreiber erfasst. Zu den Betreibern gehören insbesondere Arbeitgeber, wenn im Unternehmen KI zum Einsatz kommt.
Die europäische Verordnung spricht beim Einsatz von KI regelmäßig von „KI-Systemen“. Darunter versteht der europäische Gesetzgeber laut Artikel 3 Nummer 1 des AI Acts:
„… ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.“
Die wenig verständliche Begriffsbestimmung hebt mit dem Merkmal der Anpassungsfähigkeit ein wesentliches Kriterium hervor, durch welches sich KI-Systeme im Sinne der europäischen Verordnung von anderen Softwarelösungen unterscheiden. KI-Systeme arbeiten nicht allein nach vorher festgelegten Regeln, sondern sind zumindest teilweise lernfähig.
Nicht jedes Softwaretool, auf dem heute zu Verkaufszwecken „KI“ draufsteht, ist ein KI-System im Sinne der europäischen Verordnung. Arbeitgeber sind deshalb gut beraten, vorhandene und neue Softwaretools durch interne oder externe Experten prüfen zu lassen. Toolspezifisch ist zu entscheiden, ob die Software überhaupt das Verständnis von künstlicher Intelligenz im Sinne des AI Acts erfüllt. Falls nicht, finden die bereits geltenden oder in Zukunft Geltung beanspruchenden Normen des AI Acts keine Anwendung.
Unternehmen, die seit Anfang Februar mit „echten“ (anpassungsfähigen) KI-Systemen arbeiten, sind bereits an folgende Pflichten gebunden:
- Sicherstellung von KI-Kompetenz,
- Unterlassen verbotener Praktiken.
Betreiber von KI-Systemen haben demnach laut Artikel 4 des AI Acts Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung sowie der Kontext, in dem die KI-Systeme eingesetzt werden sollen, und die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen.
Diese Verpflichtung richtet sich unausgesprochen an HR. Denn in der Praxis sind es die Personalabteilungen, die entsprechende Maßnahmen, insbesondere Schulungen, die Implementierung von Nutzungsrichtlinien oder die Ernennung eines KI-Beauftragten, verantworten.
Auch die Pflicht zum Unterlassen verbotener Praktiken nach Artikel 5 des AI Acts ist für Personalerinnen und Personaler relevant. Als verbotene Praktiken gelten demnach unter anderem das Social Scoring, also die Bewertung von Mitarbeitenden mittels KI nach ihrem sozialen Verhalten, oder die Verwendung von KI-Systemen zur Ableitung von Emotionen der Mitarbeitenden am Arbeitsplatz.
Nächste Stufe: GPAI-Modelle und Sanktionen
Am 2. August 2025 zündete die nächste Stufe des AI Act. Nun gelten zusätzlich zu den Regelungen aus Kapitel 1 und 2 auch folgende Vorschriften:
- Regelungen in Bezug auf Hochrisiko-KI-Systeme gemäß Artikel 28 bis Artikel 39 (insbesondere zur Notifizierung),
- Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck gemäß Artikel 51 bis Artikel 56 (insbesondere mit weiteren Transparenz- und Dokumentationspflichten für Anbieter sogenannter General Purpose AI-Modelle),
- Regelungen zur Governance auf Unionsebene und zur Zuständigkeit nationaler Behörden (Artikel 64 bis Artikel 70),
- Sanktionsregelungen (Artikel 99 bis Artikel 100) sowie
- Vorschriften zu Vertraulichkeit (Artikel 78).
Aus Sicht von Unternehmen, die KI in erster Linie nutzen, aber nicht selbst herstellen beziehungsweise anbieten, sind insbesondere die Sanktionsregelungen von Interesse. Während sich Artikel 100 an Organe, Einrichtungen und sonstige Stellen der EU richtet, betrifft Artikel 99 AI Act Sanktionen für Unternehmen.
Lesen Sie auch:
Das EU-Recht setzt im Moment jedoch nur einen Rahmen für mögliche Sanktionen. Die Umsetzung konkreter Sanktionsmechanismen wird an die einzelnen Mitgliedstaaten delegiert. Jene sind verpflichtet, den vorgezeichneten Rahmen zu füllen. Die von den Mitgliedstaaten zu treffenden Sanktionen müssen allerdings laut AI Act wirksam, verhältnismäßig und abschreckend sein.
Nachsicht gibt es gegenüber kleineren und mittleren Unternehmen, einschließlich Start-up-Unternehmen. Deren Interessen und wirtschaftliches Überleben müssen berücksichtigt werden. Im Übrigen hält der AI Act Höchstgrenzen für Bußgelder fest. Jene sind erheblich und abhängig vom jeweiligen Pflichtenverstoß. Wer zum Beispiel das Verbot der in Artikel 5 genannten KI-Praktiken missachtet, muss zukünftig mit Geldbußen von bis zu 35 Millionen Euro oder – im Falle von Unternehmen – von bis zu sieben Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres rechnen.
Ausblick auf weitere Änderungen
Mit den seit dem 2. August geltenden Regelungen wird die Wirkung des AI Acts ausgeweitet. Das Ende der Regulation ist damit jedoch noch (lange) nicht erreicht. Im Gegenteil: Die überwiegende Anzahl der Regelungen des AI Acts wird erst im nächsten Schritt nach einem weiteren Jahr, am 2. August 2026, verbindlich. Einige wichtige Bausteine zur Einstufung von Hochrisiko-KI-Systemen gelten sogar erst ab dem 2. August 2027. Bis dahin gilt es für Unternehmen, sich auf die bereits geltenden Regelungen einzustellen und sich fit zu machen für jene Vorschriften, die in Zukunft relevant sein werden.
Der EU-Gesetzgeber hält hierzu für Arbeitgeber und Personalabteilungen noch einen besonderen Vertrauensschutz bereit, wie Artikel 111 Absatz 2 Satz 1 des AI Acts zeigt: Die KI-Verordnung trifft Betreiber von Hochrisiko-KI-Systemen, die vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden, nur dann, wenn diese Systeme danach in ihrer Konzeption erheblich verändert werden. Verbotene Praktiken sind zwar von der Privilegierung ausgenommen. Auch die KI-Kompetenz muss bereits jetzt sichergestellt werden. Darüber hinaus müssen Unternehmen die vielfältigen Pflichten für Hochrisiko-KI-Systeme jedoch nur für ab dem 2. August 2026 neu in Betrieb genommene Systeme einhalten.
