Anlass und Bedeutung
Der Einsatz von Künstlicher Intelligenz am Arbeitsplatz hat sich in Deutschland deutlich verstärkt. Bereits 2024 nutzte etwa jedes zweite größere Unternehmen KI-Lösungen. Für HR-Prozesse kommen KI-Systeme etwa bei Recruiting, Leistungsbewertung, Arbeitszeiterfassung oder Skill-Management zum Einsatz. Gleichzeitig treten ab 2025 und 2026 neue EU-Regelwerke in Kraft, allen voran der EU AI Act, der Data Act und ergänzende Digitalregulierungen.
Für Arbeitgeber entsteht damit ein konkretes Entscheidungsproblem: Wie kann KI im Arbeitsverhältnis produktiv genutzt werden, ohne gegen Verbote des AI Act, Mitbestimmungsrechte, DSGVO oder neue Haftungsregime zu verstoßen und ohne unkontrollierbare Schadensersatzrisiken zu erzeugen.
Rechtlicher Rahmen
EU AI Act: Geltung und Kernelemente
Der AI Act (Verordnung (EU) 2024/1689) bildet den zentralen EU-Rahmen für KI-Systeme. Er ist seit 1. August 2024 in Kraft, seine Regelungen treten stufenweise in Anwendung. Bereits seit 2. Februar 2025 gelten die allgemeinen Bestimmungen (Kapitel I) sowie die Verbote bestimmter KI-Praktiken (Kapitel II) unmittelbar auch in Deutschland. Die volle Geltung weiterer Pflichten für Hochrisiko-KI folgt später (u.a. 2027).
Kapitel I definiert AI-Systeme, regelt den Anwendungsbereich und enthält u.a. die Pflicht zur AI Literacy: Unternehmen, die KI bereitstellen oder einsetzen, müssen dafür sorgen, dass beteiligte Personen über ausreichende Kenntnisse, Fähigkeiten und Bewusstsein hinsichtlich Chancen und Risiken von KI verfügen.
Kapitel II listet verbotene KI-Praktiken, etwa:
- Systeme zur Verhaltensmanipulation über unterschwellige oder täuschende Techniken,
- Ausnutzung besonderer Vulnerabilitäten bestimmter Personengruppen,
- KI-Systeme, die Emotionen am Arbeitsplatz inferieren,
- KI, die Gesichtserkennungsdatenbanken aus Internet- oder CCTV-Bildern erstellt oder erweitert.
Diese Verbote gelten bereits seit 2. Februar 2025 und sind für HR-Anwendungen besonders relevant.
Deutsches Arbeitsrecht und Mitbestimmung
Spezifische deutsche KI-Gesetzgebung existiert bislang nicht, die Regulierung erfolgt primär über den AI Act. Deutschland wird diesen durch ein KI-Marktüberwachungsgesetz (KIMÜG) umsetzen; ein erster Entwurf liegt seit Dezember 2024 vor, die endgültige Umsetzung hängt von der neuen Bundesregierung ab.
Bereits seit 2021 verweist das Betriebsverfassungsgesetz ausdrücklich auf KI. §§ 80 Abs. 3, 90 Abs. 1 Nr. 3 und 95 Abs. 2a BetrVG geben dem Betriebsrat Informationsrechte, wenn KI im Betrieb eingesetzt werden soll, und erleichtern die Hinzuziehung externer Sachverständiger. Diese Vorschriften bleiben zwar punktuell, schaffen aber eine klare Grundlage für Mitbestimmung bei KI-Einführung.
Parallel greifen die allgemeinen Mitbestimmungsrechte bei technischen Einrichtungen, die Verhalten oder Leistung überwachen (§ 87 Abs. 1 Nr. 6 BetrVG), bei Leistungsentgeltsystemen (§ 87 Abs. 1 Nr. 10 BetrVG) sowie bei personalpolitischen Auswahlrichtlinien (§ 95 BetrVG). KI-basierte Tools sind in der Praxis häufig konkrete Ausprägungen solcher technischen Einrichtungen.
Datenschutz- und Digitalregulierung
Der Einsatz von KI am Arbeitsplatz unterliegt der DSGVO und dem deutschen BDSG. Die EU-Digitalregulierung – insbesondere Data Act (Regulation (EU) 2023/2854), NIS2, DORA, BFSG und weitere Regelwerke – schafft zusätzliche Rahmenbedingungen für Datenzugriffe, IT-Sicherheit und Barrierefreiheit.
Der Data Act ist seit 11. Januar 2024 in Kraft; seine wesentlichen Pflichten gelten seit 12. September 2025. Er regelt unter anderem den Zugriff auf Daten aus vernetzten Geräten und Cloud-Services, verpflichtet Unternehmen zur Bereitstellung von Nutzungsdaten und sieht Standardvertragsklauseln für B2B-Daten-Sharing vor. Für KI-gestützte HR-Systeme, etwa Skill-Datenbanken oder IoT-gestützte Arbeitsplatzerfassung, ist dies relevant.
Neue Entwicklung oder Kernproblem
Verbotene KI-Praktiken im HR-Kontext
Das zentrale praktische Thema für Arbeitgeber: Welche KI-Anwendungen am Arbeitsplatz sind nach dem AI Act bereits unzulässig?
Art. 5 AI Act untersagt insbesondere:
- Emotionsanalyse im Arbeitsplatzkontext: Systeme, die Emotionen von Beschäftigten erfassen und auswerten, etwa über Gesichtserkennung oder Stimmanalyse, sind untersagt. Das trifft auf Tools zur „Stimmungsanalyse“ im Callcenter oder emotionserkennende Überwachungssysteme.
- Verhaltensmanipulation: KI, die unterschwellige oder bewusst manipulative Techniken einsetzt, um Verhalten deutlich zu verzerren, kann unzulässig sein – etwa Systeme, die Beschäftigte durch algorithmisch gesteuerte Nudging-Techniken gezielt zu bestimmten Entscheidungen drängen.
- Ausnutzung von Vulnerabilitäten: KI, die etwa psychische oder körperliche Schwächen oder wirtschaftliche Notlagen gezielt adressiert, ist verboten. Dies gewinnt Bedeutung bei algorithmischen Steuerungen von Schichtsystemen, „Gamification“ oder Leistungsdruckmechanismen.
Diese Verbote gelten unabhängig davon, ob das System als Hochrisiko-KI qualifiziert wird. Arbeitgeber müssen bereits heute prüfen, ob eingesetzte Tools solche Funktionen beinhalten oder implizit ausführen.
AI Literacy als neue Compliance-Pflicht
Art. 4 AI Act verlangt eine verpflichtende KI-Kompetenz („AI Literacy“) bei Unternehmen, die KI bereitstellen oder einsetzen. Sie müssen sicherstellen, dass Mitarbeitende und Führungskräfte die Funktionsweise, Risiken und Grenzen von KI verstehen und informierte Entscheidungen treffen können.
Für HR bedeutet dies:
- Schulungen zur Funktionsweise verwendeter KI-Tools,
- Sensibilisierung für Diskriminierungsrisiken, Transparenzanforderungen und Datenschutzfragen,
- klare Zuständigkeiten für Monitoring und Incident-Handling bei KI-Fehlfunktionen.
Die konkrete Ausgestaltung liegt im Ermessen der Unternehmen, wird aber durch deutsche Umsetzungsakte und Aufsichtsbehörden weiter konkretisiert werden.
Zunehmende Haftungs- und Schadensersatzrisiken
Gerichte und Aufsichtsbehörden schärfen parallel die Haftungsmaßstäbe im Bereich Datenverarbeitung:
Das BAG hat 2025 im Urteil 8 AZR 117/24 bestätigt, dass bei Datenschutzverstößen im Bewerbungsverfahren ein Schadensersatzanspruch nach Art. 82 DSGVO bestehen kann, allerdings keinen über EUR 1.000 hinausgehenden immateriellen Schaden anerkannt, wenn kein weitergehender Nachweis gelingt. Der Fall betraf eine unzureichende Information eines abgelehnten Bewerbers über eine internetbasierte Recherche zu seiner strafrechtlichen Verurteilung – ein Szenario, das sich auch auf KI-gestützte Profilbewertungen übertragen lässt.
Der BGH hat 2024 im Zusammenhang mit Facebook-Scraping anerkannt, dass der Kontrollverlust über personenbezogene Daten grundsätzlich einen Schaden darstellen kann, ohne dass konkrete Missbräuche nachgewiesen werden müssen. Das erleichtert Klagewellen gegen Unternehmen bei unzureichender Datensicherheit.
Hinzu kommen steigende Bußgelder wegen DSGVO-Verstößen und wachsende Anforderungen an technische und organisatorische Maßnahmen. KI-basierte HR-Systeme erhöhen die Komplexität und damit das Risiko fehlerhafter oder unzulässiger Datenverarbeitung.
Digitale Arbeitsverhältnisse und Bürokratieentlastung
Parallel zur KI-Regulierung verändert das Bürokratieentlastungsgesetz IV (BEG IV) die Formalanforderungen im Arbeitsrecht: Wesentliche Arbeitsbedingungen dürfen künftig in Textform nachgewiesen werden; unbefristete Arbeitsverträge können vollständig digital geschlossen werden, wenn die Anforderungen des Nachweisgesetzes erfüllt sind.
Für befristete Verträge bleibt die Schriftform mit eigenhändiger Unterschrift („wet ink“) erforderlich. Auch bestimmte Schriftformerfordernisse, etwa bei nachvertraglichen Wettbewerbsverboten und Kündigungen, bleiben bestehen.
Damit wächst der Gestaltungsspielraum für digitale HR-Prozesse – zugleich steigen Compliance-Anforderungen, weil elektronische Workflows und KI-gestützte Vertragstools sauber in die Formregime und Nachweispflichten eingebettet werden müssen.
Einordnung
Praktische Bedeutung für Arbeitgeber und HR
Die Kombination aus AI Act, DSGVO, Data Act, BEG IV und nationalen Arbeitsrechtsentwicklungen schafft ein dichtes Regulierungsgeflecht für digitale HR-Prozesse.
Für Unternehmen bedeutet dies:
- KI-Einsatz ist ausdrücklich erlaubt, aber zum Teil scharf reguliert – vor allem bei verbotenen Praktiken und Hochrisiko-Systemen.
- HR- und Compliance-Abteilungen müssen KI-Projekte frühzeitig in die Risikoanalyse einbeziehen und die Mitbestimmung systematisch berücksichtigen.
- KI-Fehlfunktionen, diskriminierende Algorithmen oder unzulässige Überwachung können zu erheblichen Haftungsrisiken führen, gerade bei Bewerbern und Beschäftigten.
Die Entgelttransparenz-Richtlinie (EU) 2023/970, deren Umsetzungsfrist am 7. Juni 2026 endet, wird zudem algorithmische Vergütungssysteme, Skill-Datenbanken und KI-gestützte Job-Matching-Prozesse in den Fokus rücken. Transparenzpflichten und Berichtspflichten werden sich direkt auf KI-basierte Entgeltsysteme auswirken.
Offene Fragen und Gegenpositionen
Die folgenden Punkte sind bislang nicht abschließend geklärt:
- Die genaue Qualifikation vieler HR-KI-Systeme als Hochrisiko-KI nach dem AI Act bleibt eine Auslegungsfrage. Kommentare und Law-Firm-Updates betonen, dass viele HR-Systeme als hochrisikorelevant eingestuft werden könnten, etwa bei Bewerberselektion oder Leistungsbewertung.
- Die Reichweite der AI Literacy-Pflicht ist noch nicht durch nationale Umsetzungsgesetze und Aufsichtsbehörden konkretisiert.
- Es existiert noch keine gefestigte Rechtsprechung dazu, wie der AI Act konkret in arbeitsrechtlichen Haftungskonstellationen (z.B. Diskriminierung, Kündigung) berücksichtigt wird.
Gegenpositionen finden sich vor allem in der Diskussion um Überregulierung: Teile der Literatur warnen vor „Overblocking“ von Innovation; die EU-Kommission arbeitet mit dem „Digital Omnibus“ an einer Vereinfachung und Konsolidierung der Digitalregulierung, inklusive Anpassungen am AI Act. Für die Praxis bleibt jedoch maßgeblich, die geltenden Pflichten einzuhalten.
Folgen für die Praxis
KI-Inventur und Risikoklassifizierung
Unternehmen sollten zunächst ein systematisches KI-Inventar anlegen:
- Erfassung aller Tools, die automatisierte Entscheidungslogik oder maschinelles Lernen einsetzen (Recruiting, Performance-Management, Zeiterfassung, Monitoring, Chatbots, Skill-Datenbanken, interne Assistenzsysteme).
- Prüfung, ob einzelne Funktionen unter die Verbote des AI Act fallen (Emotionsanalyse, manipulative Nudging-Mechanismen, Gesichtserkennung etc.).
- Grobe Risikoklassifizierung:
- „verbotene Praktiken“ – unverzüglich stoppen oder konfigurieren,
- „potenziell hochrisiko“ – vertiefte Prüfung, Dokumentation und Governance,
- „geringes Risiko“ – vereinfachte Anforderungen, aber dennoch AI Literacy und Datenschutz.
Einbindung von Betriebsrat, Datenschutz und IT
Der Betriebsrat ist frühzeitig einzubeziehen:
- Informationsrechte bei KI-Einsatz, insbesondere im Rahmen der BetrVG-Referenzen zu KI und technischen Einrichtungen.
- Verhandlung von Betriebsvereinbarungen zu KI, die Zweck, Datenarten, Transparenz gegenüber Mitarbeitenden, Kontrollmechanismen und Löschkonzepte regeln.
Der Datenschutzbeauftragte und die IT-Sicherheit sollten:
- Datenschutz-Folgenabschätzungen (DPIA) für risikoreiche KI-Prozesse erstellen,
- technische und organisatorische Maßnahmen für Datenminimierung, Zugriffskontrolle und Protokollierung etablieren,
- die Anforderungen des Data Act hinsichtlich Datenzugriff und Interoperabilität berücksichtigen.
Richtlinien und Schulung (AI Literacy)
Zur Umsetzung der AI-Literacy-Pflicht empfiehlt sich:
- eine KI-Richtlinie, die Einsatzbereiche, Verantwortlichkeiten, zulässige und unzulässige Anwendungen definiert;
- Schulungen für Führungskräfte, HR, Legal und IT zur Funktionsweise und Risikoklassifizierung von verwendeten KI-Systemen;
- Awareness-Programme für Mitarbeitende, insbesondere zur Transparenz über KI-Einsatz, Widerspruchsrechte und Datenverarbeitung.
Vertrags- und Dokumentationsanpassungen
Mit BEG IV und digitalen Nachweispflichten:
- Anpassung von Arbeitsvertragsmustern an Textform-Nachweis und digitale Signaturen;
- Sicherstellung, dass KI-gestützte Vertragserstellung die Schriftformanforderungen für befristete Verträge und bestimmte Klauseln nicht unterläuft;
- Dokumentation der KI-gestützten Entscheidungsprozesse, um im Streitfall die Nachvollziehbarkeit zu gewährleisten (z.B. bei Kündigungen, Versetzungen, Bonusentscheidungen).
Fristen und Roadmap
Wesentliche zeitliche Eckpunkte:
- Seit 2. Februar 2025 gelten die Verbote des AI Act und AI Literacy.
- Seit 12. September 2025 sind die Pflichten des Data Act verbindlich.
- Bis zum 7. Juni 2026 ist die Entgelttransparenz-Richtlinie in nationales Recht umzusetzen; Unternehmen müssen sich auf erweiterte Berichtspflichten und Auskunftsrechte einstellen.
- Ab 2027 folgen weitere Pflichten für Hochrisiko-KI-Systeme.
Empfehlenswert ist eine interne Roadmap:
- kurzfristig: KI-Inventur, verbotene Praktiken identifizieren, erste Richtlinien,
- mittelfristig: Betriebsvereinbarungen, DPIA, Schulungen, Daten- und IT-Strukturen,
- langfristig: Integration von Hochrisiko-KI-Governance und Entgelttransparenzanforderungen.
Fazit
Der Einsatz von KI am Arbeitsplatz ist ein strategisches Thema, das zugleich eine komplexe Rechtslage mit sich bringt. Der AI Act setzt klare Grenzen für emotionserkennende und manipulative Systeme und verlangt eine bewusste, informierte Nutzung von KI durch Unternehmen und Mitarbeitende.
Für Arbeitgeber bedeutet dies: KI-Projekte müssen frühzeitig mit Arbeitsrecht, Datenschutz und Compliance abgestimmt, in Mitbestimmung und Governance-Strukturen eingebettet und durch nachvollziehbare Dokumentation abgesichert werden. Wer diese Hausaufgaben jetzt angeht, kann KI produktiv nutzen und gleichzeitig Haftungsrisiken aus Art. 82 DSGVO, neuen Haftungsregimen und künftigen nationalen Umsetzungsakten minimieren.
Rechtsgrundlagen und Quellen Primärquellen und amtliche Hinweise anzeigen
- EU-Verordnung · Europäische Union · 13.06.2024 · Verordnung (EU) 2024/1689 – AI Act · Originalquelle
- EU-Verordnung · Europäische Union · 13.12.2023 · Verordnung (EU) 2023/2854 – Data Act · Originalquelle
- EU-Verordnung · Europäische Union · 27.04.2016 · Verordnung (EU) 2016/679 – DSGVO · Originalquelle
- EU-Richtlinie · Europäische Union · 14.12.2022 · Richtlinie (EU) 2022/2555 – NIS2 · Originalquelle
- EU-Verordnung · Europäische Union · 14.12.2022 · Verordnung (EU) 2022/2554 – DORA · Originalquelle
- EU-Richtlinie · Europäische Union · 10.05.2023 · Richtlinie (EU) 2023/970 – Entgelttransparenz · Originalquelle
- Bundesgesetz · Bundesministerium der Justiz · aktueller Stand · BDSG · Originalquelle
- Bundesgesetz · Bundesministerium der Justiz · aktueller Stand · BetrVG · Originalquelle
- Bundesgesetz · Bundesministerium der Justiz · aktueller Stand · BFSG · Originalquelle
- Bundesgesetz · Bundesministerium der Justiz · aktueller Stand · Nachweisgesetz · Originalquelle
- Rechtsprechung · Bundesarbeitsgericht · 2025 · BAG 8 AZR 117/24
- Rechtsprechung · Bundesgerichtshof · 2024 · Facebook-Scraping
