KI-Haftung im Job: Wer trägt das Risiko?

Seit August 2024 gilt der EU AI Act als verbindliche Rechtsgrundlage für KI-Systeme in der Europäischen Union. Die Verordnung klassifiziert Anwendungen nach Risikostufen und verlangt für Hochrisiko-KI – etwa im Recruiting oder bei Leistungsbewertungen – eine umfassende Dokumentation und Risikobewertung. Arbeitgeber in Deutschland, Österreich und der Schweiz müssen sicherstellen, dass eingesetzte Systeme den Vorgaben entsprechen. Andernfalls drohen empfindliche Sanktionen, die sich am Umsatz orientieren. Besonders betroffen sind HR-Abteilungen, die KI für automatisierte Entscheidungen nutzen. ^[3][5]

Die Haftung für KI-Fehler ist im DACH-Raum noch nicht abschließend geklärt, folgt aber einem geteilten Modell. Anbieter von KI-Systemen haften nach dem Produkthaftungsrecht für technische Mängel, während Arbeitgeber für die korrekte Anwendung verantwortlich sind. In Deutschland kommt zusätzlich das Konzept des Organisationsverschuldens zum Tragen: Unternehmen müssen nachweisen, dass sie KI-Systeme ausreichend kontrolliert und Mitarbeiter geschult haben. Fehlt diese Sorgfalt, können Arbeitgeber für Schäden haftbar gemacht werden, die durch fehlerhafte KI-Entscheidungen entstehen. ^[2]

Betriebsräte spielen eine zentrale Rolle bei der Einführung von KI-Systemen. In Deutschland haben sie nach dem Betriebsverfassungsgesetz ein Mitbestimmungsrecht, wenn KI zur Überwachung oder Bewertung von Mitarbeitern eingesetzt wird. Das bedeutet, dass Arbeitgeber die Zustimmung des Betriebsrats einholen müssen, bevor sie Hochrisiko-KI einführen. In Österreich sind die Mitspracherechte der Arbeitnehmervertretungen noch weiter gefasst: Hier müssen Betriebsräte bereits bei der Planung digitaler Arbeitsmittel eingebunden werden. Diese Regelungen sollen sicherstellen, dass KI-Systeme diskriminierungsfrei und datenschutzkonform eingesetzt werden. ^[6]

Whistleblowing-Mechanismen gewinnen durch den EU AI Act an Bedeutung. Unternehmen in Deutschland mit mehr als 50 Mitarbeitern sind verpflichtet, interne Meldewege für Verstöße gegen KI-Compliance einzurichten. Diese Vorgabe stammt aus dem Hinweisgeberschutzgesetz, das die EU-Whistleblowing-Richtlinie umsetzt. Mitarbeiter müssen die Möglichkeit haben, Fehler oder Missstände bei KI-Systemen anonym zu melden, ohne Repressalien befürchten zu müssen. In der Schweiz gibt es ähnliche Bestrebungen, allerdings ohne verbindliche gesetzliche Vorgaben. Die Meldewege sollen nicht nur Compliance sicherstellen, sondern auch das Vertrauen der Belegschaft in KI-Systeme stärken. ^[3][4]

Datenschutz bleibt ein zentraler Baustein der KI-Regulierung. Die DSGVO gilt weiterhin und verlangt, dass personenbezogene Daten in KI-Systemen besonders geschützt werden. In Österreich wird zusätzlich eine Datenschutz-Folgenabschätzung gefordert, wenn KI-Systeme sensible Daten verarbeiten. Diese Abschätzung muss potenzielle Risiken für die Rechte und Freiheiten der Betroffenen bewerten. In der Schweiz gelten ähnliche Anforderungen, allerdings mit weniger strengen Dokumentationspflichten. Arbeitgeber müssen sicherstellen, dass KI-Systeme keine diskriminierenden Muster reproduzieren, etwa durch verzerrte Trainingsdaten. ^[7]

Die Umsetzung des EU AI Act stellt Unternehmen vor praktische Herausforderungen. Arbeitgeber müssen nicht nur Compliance-Prozesse anpassen, sondern auch ihre Mitarbeiter schulen. Besonders kritisch ist die Risikobewertung von Hochrisiko-KI: Hier müssen Unternehmen nachweisen, dass sie potenzielle Fehlerquellen identifiziert und Gegenmaßnahmen ergriffen haben. In Deutschland und Österreich sind Betriebsräte frühzeitig einzubinden, um Konflikte zu vermeiden. Zudem sollten Unternehmen interne Richtlinien für den Umgang mit KI-Fehlern entwickeln, um Haftungsrisiken zu minimieren. Die Praxis zeigt, dass eine transparente Kommunikation mit der Belegschaft entscheidend ist, um Akzeptanz für KI-Systeme zu schaffen. ^[5][6]

Die Haftung für KI-Fehler im Arbeitskontext ist ein dynamisches Feld, das sich durch nationale und europäische Vorgaben weiterentwickelt. Arbeitgeber sollten proaktiv handeln, um rechtliche Risiken zu minimieren. Dazu gehört die Einrichtung von Compliance-Strukturen, die Schulung von Mitarbeitern und die enge Zusammenarbeit mit Betriebsräten. Whistleblowing-Systeme und Datenschutzprüfungen sind keine optionalen Zusätze, sondern zentrale Bausteine einer rechtssicheren KI-Strategie. Wer diese Anforderungen ignoriert, setzt sich nicht nur finanziellen Sanktionen aus, sondern gefährdet auch das Vertrauen der Belegschaft in digitale Arbeitsmittel. ^[2][3]