Die KI-Verordnung und ihre Auswirkung für Arbeitgeber

Am 21. April 2021 veröffentlichte die Europäische Kommission einen Gesetzesentwurf, der die ersten EU-Regularien für Künstlichen Intelligenz (KI) enthält. Diese KI-Verordnung wurde am 13. März 2024 vom Europäischen Parlament formal beschlossen und ist nun 20 Tage nach seiner Veröffentlichung im Amtsblatt am 01. August 2024 in Kraft getreten. Die KI-Verordnung konzentriert sich hauptsächlich auf KI-Systeme mit hohem Risiko, einschließlich KI-Systemen, die am Arbeitsplatz eingesetzt werden. Dieser Beitrag soll die Bedeutung der neuen harmonisierten Vorschriften für Arbeitnehmer aufzeigen.

Die KI-Verordnung
Die KI-Verordnung ist die erste Gesetzgebung, die den Einsatz von KI regelt, mit dem Ziel, Grundrechte, Demokratie, Rechtsstaatlichkeit und Nachhaltigkeit vor KI-Systemen zu schützen.

Artikel 3 der Verordnung definiert ein KI-System als: „Ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.“

Das ist eine sehr weit gefasste Definition, die im Wesentlichen jedes System abdeckt, das mit einem gewissen Grad an Autonomie arbeitet. In diesem Zusammenhang bedeutet Autonomie, dass das System Ergebnisse produziert, die von Faktoren beeinflusst werden, die sich der Kontrolle des Nutzers entziehen, wie z. B. Chatbots, personalisierte Vorschläge und automatisierte Einstellungssysteme.

Das KI-Gesetz verfolgt einen „risikobasierten Ansatz“ und unterscheidet zwischen KI-Anwendungen, die (i) ein unannehmbares Risiko, (ii) ein hohes Risiko und (iii) ein begrenztes oder minimales (bzw. kein) Risiko darstellen:

• Unannehmbares Risiko: KI-Systeme, die ein inakzeptables Risiko darstellen, zum Beispiel weil sie grundlegende Menschenrechte verletzen, werden verboten. In Titel II des Gesetzes werden verbotene KI-Systeme aufgelistet, z. B. solche, die das Verhalten manipulieren oder Menschen aufgrund ihres Aussehens oder sozialer Merkmale klassifizieren.
• Hohes Risiko: Unter Titel III des Gesetzes werden KI-Systeme, die eine erhebliche Bedrohung für Gesundheit, Sicherheit, Grundrechte, Umwelt, Demokratie oder Rechtsstaatlichkeit darstellen, als „hohes Risiko“ eingestuft. Eine ausführlichere Liste der Kategorien von KI-Systemen mit hohem Risiko findet sich in Anhang III. KI-Systeme mit hohem Risiko unterliegen einer strengen Regulierung.
• Geringes und minimales Risiko: Für KI-Systeme mit geringem Risiko gelten Transparenzanforderungen, um sicherzustellen, dass die Bürger gegebenenfalls angemessen informiert werden. KI-Systeme müssen z.B. gekennzeichnet werden. Darüber hinaus erlaubt die KI-Verordnung den Anbietern, KI-Systeme mit geringem Risiko - also die große Mehrheit - kostenlos anzubieten.

KI-Systeme am Arbeitsplatz werden als risikoreich eingestuft
Die KI-Verordnung befasst sich hauptsächlich mit KI-Systemen mit hohem Risiko. In Anhang III werden auch KI-Systeme, die im Bereich der Beschäftigung, der Arbeitnehmerverwaltung und des Zugangs zur Selbständigkeit eingesetzt werden, insbesondere für die Einstellung und Auswahl natürlicher Personen, für Entscheidungen über Beförderungen und Entlassungen sowie für die Zuweisung von Aufgaben, die Überwachung oder Bewertung von Personen in arbeitsbezogenen Vertragsverhältnissen als Hochrisikosysteme eingestuft. Schließlich können diese Systeme erhebliche Auswirkungen auf die künftige berufliche Laufbahn und den Lebensunterhalt der Menschen haben.

Was sind die Regeln für Unternehmen, die ein Hochrisikosystem einsetzen?
Unternehmen, die KI-Systeme mit hohem Risiko einsetzen, müssen bestimmte Pflichten erfüllen. Die KI-Verordnung unterscheidet zwischen dem Anbieter oder Vertreiber eines KI-Systems und dessen Nutzer. Für KI-Systeme mit hohem Risiko am Arbeitsplatz gelten die Vorschriften für Nutzer, es sei denn, das betreffende Unternehmen ist der Anbieter oder Vertreiber. Die Nutzer von KI-Systemen mit hohem Risiko sind dazu verpflichtet:

• die Nutzung von KI-Systemen zu überwachen und zu verfolgen, welche Daten für die Produktion von Ergebnissen verwendet werden. Den Anbieter oder Vertreiber zu benachrichtigen und die Nutzung des Systems einzustellen, wenn sie Anzeichen dafür finden, dass das System ein Risiko für die Gesundheit, die Sicherheit oder den Schutz der Grundrechte darstellen könnte.
• Die Eingabedaten, sofern möglich, auf Relevanz für den beabsichtigten Zweck des KI-Systems zu prüfen;
• die Anweisungen des Anbieters zu befolgen und das System für die vorgesehenen Zwecke zu verwenden. Die Anbieter sind dafür verantwortlich, Systeme mit hohem Risiko zu genehmigen und sie in der Datenbank zu registrieren. Jeder Nutzer, der diese Anforderungen nicht erfüllt, gilt als Anbieter und unterliegt den Vorschriften für Anbieter;
• natürlicher Personen zu informieren, dass sie KI-Systemen mit hohem Risiko ausgesetzt sind.

Inkrafttreten
Die KI-Verordnung ist am 1. August 2024, 20 Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union, in Kraft getreten. Seither tritt sie schrittweise in Kraft. Erst nach sechs Monaten werden die Bestimmungen über verbotene KI-Systeme in Kraft treten. Nach zwei Jahren treten dann die übrigen Bestimmungen in Kraft, einschließlich der Vorschriften für KI-Systeme mit hohem Risiko.

Strafen
Die Sanktionen für Verstöße gegen die KI-Verordnung wurden an die DSGVO-Sanktionen angepasst. Grundsätzlich sieht Artikel 71 der KI-Verordnung folgende Strafen vor: bis zu 30 Mio. € oder 6 % des gesamten weltweiten Jahresumsatzes bei Verstößen gegen die Vorschriften über verbotene KI-Systeme, bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes bei Verstößen gegen die Vorschriften oder Verpflichtungen des KI-Gesetzes oder 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes bei falschen Angaben.

Bei der Verhängung einer Geldbuße werden alle relevanten Umstände berücksichtigt, einschließlich der Größe des Unternehmens, das den Verstoß begangen hat.

To do
Für Unternehmen, die KI-Systeme einsetzen, bringt die KI-Verordnung mehrere neue administrative Verpflichtungen mit sich. Wir raten Ihnen, sich mit den neuen Vorschriften vertraut zu machen, indem Sie:

• ermitteln, welche KI-Systeme bereits im Einsatz sind und wie sie klassifiziert werden (Beispiele sind KI, die für Onboarding-Prozesse verwendet wird, Systeme, die HR-Aufgaben automatisieren, oder Systeme zur Zuteilung von Bonuszahlungen);
• prüfen, ob die eingesetzten KI-Systeme die einschlägigen Vorschriften erfüllen;
• prüfen, ob KI-Systeme mit hohem Risiko für die richtigen Zwecke eingesetzt werden;
• einen Plan ausarbeiten, wie die Systeme überwacht und die Protokolle gespeichert werden sollen. Sie sollten vertraglicher Vereinbarungen mit Anbietern von KI-Systemen erwägen, um sicherzustellen, dass der Anbieter für die Aufbewahrung von Protokollen gemäß Artikel 20 der KI-Verordnung verantwortlich ist.

Stellen Sie Ihre Fragen gerne in eigener Sprache? Dann steht unsere Leiterin des German Desks, Friederike Henke, Ihnen zur Verfügung – nehmen Sie gerne Kontakt auf.