KI am Arbeitsplatz: Haftungsrisiken für Arbeitgeber

KI ist längst im Alltag deutscher Unternehmen angekommen. Prognosen gehen davon aus, dass spätestens 2035 nahezu jeder Arbeitsplatz mit KI in Berührung kommen wird. Schon heute nutzen Beschäftigte entsprechende Tools – häufig auch dort, wo der Arbeitgeber den Einsatz weder ausdrücklich angeordnet noch erlaubt hat. Was aber passiert, wenn dabei etwas schiefläuft? Generative KI erzeugt Antworten auf Grundlage statistischer Wahrscheinlichkeiten, nicht auf Basis gesicherter Erkenntnisse und kann daher fehlerhafte Ergebnisse liefern. Lässt etwa ein Mitarbeiter von einem KI-Tool einen Vertragsentwurf erstellen und übernimmt diesen ungeprüft gegenüber einem Kunden, kann ein daraus entstehender Schaden schnell zur Haftungsfrage für das Unternehmen werden.

Grundsatz: KI haftet nicht – der Arbeitgeber möglicherweise schon

Eine Haftung der KI selbst scheidet aus. KI-Systeme sind keine Rechtssubjekte und können weder Träger von Rechten noch von Pflichten sein. Haftungsadressat ist immer eine natürliche oder juristische Person – also diejenige, die die KI bereitstellt, einsetzt oder überwacht.

Im Außenverhältnis gegenüber Dritten (Kunden, Geschäftspartnern) trifft die Haftung regelmäßig den Arbeitgeber. Nutzt ein Arbeitnehmer ein KI-Tool im Rahmen seiner betrieblichen Tätigkeit und verursacht hierdurch einen Schaden, kann dies dem Arbeitgeber zugerechnet werden. Dies erfolgt nach Paragraph 278 des Bürgergesetzbuch (BGB) regelmäßig über die Haftung für Erfüllungsgehilfen.

Eine unmittelbare Haftung des Arbeitnehmers ist zwar nicht ausgeschlossen (etwa bei Urheberrechtsverletzungen oder aus Deliktsrecht). In der Praxis wenden sich geschädigte Dritte meist jedoch an das Unternehmen. Es ist leichter zu identifizieren, wirtschaftlich leistungsfähiger und verantwortlich für die Organisation seiner Betriebsabläufe und den Einsatz von KI als Arbeitsmittel.

Regress gegen Beschäftigte nur eingeschränkt möglich

Wird der Arbeitgeber von Dritten in Anspruch genommen, stellt sich im Innenverhältnis die Frage nach möglichen Regressansprüchen gegen den verantwortlichen Arbeitnehmer.

Spezielle Haftungsregeln für den Einsatz von KI am Arbeitsplatz existieren bislang nicht. Es gelten die Grundsätze des innerbetrieblichen Schadensausgleichs. Danach haftet der Arbeitnehmer bei Vorsatz und grober Fahrlässigkeit grundsätzlich voll. Bei mittlerer Fahrlässigkeit erfolgt regelmäßig eine Aufteilung des Schadens, während bei leichter Fahrlässigkeit eine Haftung in der Regel ausscheidet. Zudem trägt der Arbeitgeber Paragraph 619a des BGB zufolge  die Darlegungs- und Beweislast für eine schuldhafte Pflichtverletzung des Arbeitnehmers.

Für die Praxis heißt das: Ein Regress kommt insbesondere dann in Betracht, wenn Beschäftigte bewusst klare betriebliche Vorgaben missachten. Beispiele sind die Nutzung nicht freigegebener KI-Tools, der nicht bestimmungsgemäße Einsatz eines bereitgestellten KI-Tools oder die Missachtung von Vorgaben zum Daten- und Geschäftsgeheimnisschutz. Auch die ungeprüfte Übernahme offensichtlich fehlerhafter KI-Ergebnisse kann im Einzelfall als grob fahrlässig einzustufen sein. Vertraut der Arbeitnehmer dagegen auf einen plausibel wirkenden KI-Output, dessen Fehlerhaftigkeit nicht ohne weiteres erkennbar war, wird er sich eher im Bereich einfacher Fahrlässigkeit bewegen mit entsprechend reduzierter oder ganz ausgeschlossener Haftung.

Wo genau die Grenzen zwischen diesen Kategorien beim KI-Einsatz verlaufen und welcher Sorgfaltsmaßstab künftig anzulegen ist, wird die Arbeitsgerichte in den kommenden Jahren beschäftigen.

Handlungsempfehlung: Haftungsrisiken durch klare Regeln minimieren

Angesichts ungeklärter haftungsrechtlicher Maßstäbe und der wachsenden Verbreitung von KI ist proaktives Handeln geboten. Arbeitgeber sollten ihr Weisungsrecht nutzen und in einer KI-Richtlinie insbesondere Folgendes regeln:

• Ob KI als Arbeitsmittel eingesetzt und für welche Tätigkeiten sie genutzt werden darf. Welche Tools freigegeben sind und dass die Nutzung auf den betrieblichen, bestimmungsgemäßen Gebrauch beschränkt ist (private Nutzung sollte untersagt werden).
• Klare Vorgaben zur Nutzung, insbesondere zum Umgang mit Daten (keine Eingabe von Geschäftsgeheimnissen sowie vertraulichen Kunden- oder Personaldaten) unter Beachtung der geltenden Datenschutzvorgaben und zum verantwortungsvollen Prompting.
• Anforderungen an die Kontrolle, etwa die Pflicht, KI-Ergebnisse einer eigenständigen Plausibilitätsprüfung zu unterziehen.

Diese Vorgaben müssen sich im Rahmen des Weisungsrechts halten, also billigem Ermessen entsprechen und den Beschäftigten zumutbar sein. Der Arbeitgeber hat daher zu prüfen, ob die betroffenen Arbeitnehmer über die erforderlichen Fähigkeiten und Kenntnisse verfügen. Gemäß Artikel 4 der KI-Verordnung (KI-VO) hat er sie zudem durch Schulungen und Weiterbildung in ihrer KI-Kompetenz zu stärken. Parallel dazu ist er gehalten, insbesondere die Anforderungen der KI-VO zu beachten, um Haftungsrisiken beim KI-Einsatz möglichst gering zu halten.