ChatGPT im Unternehmen: Was Mitarbeiter nicht eingeben dürfen und wofür der Arbeitgeber haftet

1. ZUSAMMENFASSUNG

Generative künstliche Intelligenz wurde in vielen Unternehmen bereits eingesetzt, bevor dafür interne Regeln geschaffen wurden. Ein Mitarbeiter kann innerhalb weniger Sekunden einen Vertragsentwurf, eine Kundenliste, den Lebenslauf eines Bewerbers oder Geschäftsergebnisse in ein öffentlich zugängliches Tool einfügen und deren Verarbeitung anfordern. Ein Vorgang, der wie bloßes Kopieren erscheint, kann jedoch eine Verarbeitung personenbezogener Daten, die Offenlegung vertraulicher Informationen gegenüber einem externen Anbieter oder eine Gefährdung von Geschäftsgeheimnissen darstellen.

Die Verordnung über künstliche Intelligenz enthält kein allgemeines Verbot der Nutzung von Tools wie ChatGPT, Microsoft Copilot, Google Gemini oder Claude. Sie bringt Unternehmen jedoch neue Pflichten und bildet gemeinsam mit den bestehenden Vorschriften zum Datenschutz, Arbeitsrecht und Urheberrecht einen Rechtsrahmen, der nicht durch die einfache Anweisung „KI vorsichtig verwenden“ ersetzt werden kann.

Dieser Beitrag befasst sich insbesondere damit, (A) wann ein Unternehmen Betreiber eines KI-Systems ist, (B) welche Informationen Mitarbeiter nicht in nicht genehmigte Tools eingeben sollten, (C) wer für fehlerhafte KI-Ausgaben haftet, (D) unter welchen Voraussetzungen der Arbeitgeber die KI-Nutzung durch Mitarbeiter kontrollieren darf und (E) was eine interne KI-Richtlinie enthalten sollte.

2. EINSCHLÄGIGE RECHTSVORSCHRIFTEN

Für den Einsatz generativer KI am Arbeitsplatz sind insbesondere folgende Vorschriften maßgeblich:

(A) die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (im Folgenden „KI-Verordnung“), in der durch die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates geänderten Fassung (im Folgenden „Digital-Omnibus-Verordnung zur KI“), durch die bestimmte Vorschriften der KI-Verordnung vereinfacht und geändert sowie die Anwendung eines Teils der Pflichten für Hochrisikosysteme verschoben wurde,

(B) die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (im Folgenden „DSGVO“),

(C) das slowakische Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten,

(D) das slowakische Gesetz Nr. 311/2001 Slg., Arbeitsgesetzbuch (im Folgenden „Arbeitsgesetzbuch“),

(E) das slowakische Gesetz Nr. 513/1991 Slg., Handelsgesetzbuch (im Folgenden „Handelsgesetzbuch“), und

(F) das slowakische Gesetz Nr. 185/2015 Slg., Urheberrechtsgesetz (im Folgenden „Urheberrechtsgesetz“).

Welche Regelungen im Einzelnen gelten, kann zudem von sektorspezifischen Vorschriften, gesetzlichen Verschwiegenheitspflichten oder vertraglichen Verpflichtungen des Unternehmens abhängen. Strengere Anforderungen können beispielsweise für Banken, Versicherungsunternehmen, Gesundheitsdienstleister, Rechtsanwälte, Steuerberater oder Betreiber wesentlicher Dienste gelten.

3. DAS UNTERNEHMEN ALS BETREIBER EINES KI-SYSTEMS

Die KI-Verordnung unterscheidet zwischen mehreren Kategorien von Akteuren. Für ein gewöhnliches Unternehmen ist insbesondere der Begriff „Betreiber eines KI-Systems“ von Bedeutung. Darunter versteht man eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das System wird im Rahmen einer persönlichen, nicht beruflichen Tätigkeit genutzt.

Ein Unternehmen muss ein KI-System somit weder selbst entwickeln noch verkaufen, damit die KI-Verordnung auf das Unternehmen Anwendung findet. Es genügt, dass es das System im Rahmen seiner unternehmerischen Tätigkeit oder als Arbeitgeber nutzt. Typische Beispiele sind der Einsatz von KI zur Erstellung geschäftlicher Korrespondenz, zur Zusammenfassung von Dokumenten, im Kundendienst, zur Vorauswahl von Bewerbern oder zur Bewertung der Arbeitsleistung.

Nicht jede Nutzung von ChatGPT ist jedoch eine Hochrisikoanwendung im Sinne der KI-Verordnung. Entscheidend sind der vom Anbieter festgelegte Verwendungszweck des Systems und die konkrete Art seines Einsatzes. Die sprachliche Überarbeitung einer allgemeinen E-Mail hat ein anderes rechtliches Risikoprofil als ein System, das Lebensläufe einstuft, die Kündigung eines Mitarbeiters empfiehlt oder Aufgaben anhand des Verhaltens und persönlicher Eigenschaften von Arbeitnehmern verteilt.

KI-KOMPETENZ

Der Digitale Omnibus zu KI ersetzte die ursprüngliche Fassung von Artikel 4 der KI-Verordnung. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen treffen, um die Entwicklung von KI-Kompetenz bei ihren Mitarbeitern und anderen Personen zu fördern, die in ihrem Auftrag KI-Systeme betreiben oder verwenden. Dabei sind die technischen Kenntnisse, Erfahrungen, Ausbildung und Schulung der betreffenden Personen, der Kontext der Nutzung sowie die Personen zu berücksichtigen, in Bezug auf die die KI-Systeme eingesetzt werden.

Die neue Fassung stellt ausdrücklich klar, dass ein Unternehmen kein bestimmtes Niveau der KI-Kompetenz jedes Einzelnen gewährleisten muss. Die Pflicht lässt sich dennoch nicht allein durch den Versand einer allgemeinen E-Mail erfüllen. Umfang und Inhalt von Schulungen und internen Regeln sollten dem jeweiligen Risiko entsprechen. Ein Mitarbeiter, der KI zur sprachlichen Korrektur eines anonymen Textes nutzt, benötigt eine andere Unterweisung als ein Personalverantwortlicher, der KI bei der Auswahl von Bewerbern einsetzt, oder ein Mitarbeiter, der Gesundheits- oder Finanzdaten verarbeitet.

Als geeignete Maßnahmen kommen insbesondere (A) eine interne Richtlinie, (B) regelmäßige Schulungen, (C) eine Liste genehmigter Tools und Zwecke, (D) Regeln zur Überprüfung von Ausgaben und (E) ein einfaches Verfahren zur Meldung von Vorfällen in Betracht.

VERBOTENE PRAKTIKEN

Die KI-Verordnung verbietet bestimmte Praktiken unabhängig von der Größe des Unternehmens. Im Arbeitsumfeld ist insbesondere das Verbot wichtig, KI zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz einzusetzen, sofern die Nutzung nicht für medizinische oder sicherheitsbezogene Zwecke bestimmt ist. Auch manipulative Techniken oder Social Scoring können verboten sein, wenn die gesetzlichen Voraussetzungen erfüllt sind.

Unternehmen sollten daher auch Funktionen von Tools prüfen, die lediglich als Produktivitätslösungen vermarktet werden. Eine Stimmanalyse während eines Bewerbungsgesprächs, die automatisierte Auswertung der Mimik in einer Videokonferenz oder die Einschätzung des „Engagements“ eines Mitarbeiters kann einem wesentlich strengeren Regime unterliegen als eine gewöhnliche Textassistenz.

4. WAS MITARBEITER NICHT OHNE WEITERES IN KI EINGEBEN DÜRFEN

Es gibt keine einheitliche Liste von Daten, die für jedes Unternehmen und jedes Tool gleichermaßen gilt. Aus praktischer Sicht sollten Mitarbeiter insbesondere folgende Informationen nicht in ein nicht genehmigtes externes KI-System eingeben:

(A) personenbezogene Daten von Mandanten, Kunden, Mitarbeitern oder Bewerbern,

(B) besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, biometrische Daten, politische Meinungen oder Angaben zur Gewerkschaftszugehörigkeit,

(C) Personenkennzahlen, Ausweisnummern, Zugangsdaten, Passwörter, Zahlungsinformationen oder Authentifizierungscodes,

(D) Verträge, Rechtsanalysen, interne Korrespondenz und Dokumente, die einer Verschwiegenheitspflicht unterliegen,

(E) Geschäftspläne, Preiskalkulationen, Quellcode, technische Dokumentation, Kundendatenbanken und sonstige Geschäftsgeheimnisse,

(F) urheberrechtlich geschützte Werke oder Datenbanken, für deren Nutzung das Unternehmen nicht über die erforderliche Berechtigung verfügt, und

(G) Informationen, deren Offenlegung gegenüber einem externen Anbieter durch einen Vertrag mit einem Mandanten, Kunden oder Geschäftspartner untersagt ist.

Das Verbot muss nicht absolut gelten. Eine Verarbeitung kann in einem Tool zulässig sein, das das Unternehmen ordnungsgemäß geprüft, vertraglich abgesichert und technisch für den betreffenden Zweck konfiguriert hat. Ein Mitarbeiter sollte jedoch nicht selbst entscheiden, dass ein Privatkonto oder die kostenlose Version eines Dienstes ein ausreichendes Schutzniveau bietet.

PERSONENBEZOGENE DATEN IN EINEM PROMPT

Die Eingabe personenbezogener Daten in ein KI-System stellt eine Verarbeitung personenbezogener Daten dar. Der Verantwortliche muss über eine Rechtsgrundlage und einen konkreten Verarbeitungszweck verfügen, den Grundsatz der Datenminimierung einhalten, die Rolle des Anbieters bestimmen, den erforderlichen Auftragsverarbeitungsvertrag schließen, etwaige Übermittlungen in Drittländer prüfen und angemessene Sicherheitsmaßnahmen treffen.

Dass die Daten lediglich zur Erstellung einer Zusammenfassung oder eines Antwortentwurfs verwendet werden, schließt diese Pflichten nicht aus. Ebenso reicht es nicht aus, nur den Namen zu entfernen, wenn die betreffende Person anhand der übrigen Angaben identifiziert werden kann. Pseudonymisierte Daten bleiben personenbezogene Daten, wenn sie mithilfe zusätzlicher Informationen einer bestimmten Person zugeordnet werden können.

Bei besonderen Kategorien personenbezogener Daten muss neben einer Rechtsgrundlage nach Artikel 6 DSGVO auch eine der Voraussetzungen des Artikels 9 DSGVO erfüllt sein. Bei umfangreichen, systematischen oder anderweitig risikoreichen Verarbeitungen kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein.

Der Arbeitgeber sollte zwischen dem Privatkonto eines Mitarbeiters, einem betrieblichen Benutzerkonto und einer Unternehmenslösung oder Programmierschnittstelle unterscheiden. Vertragsbedingungen, die Verwendung von Inhalten zur Verbesserung von Modellen, Aufbewahrungsfristen, administrative Kontrollmöglichkeiten und der Ort der Verarbeitung können je nach Dienst und Konfiguration unterschiedlich sein. Die bloße Bezeichnung eines Produkts als „Business“ ersetzt daher keine rechtliche und sicherheitstechnische Prüfung der konkreten Konfiguration.

GESCHÄFTSGEHEIMNISSE UND VERSCHWIEGENHEIT

Nach § 17 Abs. 1 des slowakischen Handelsgesetzbuchs bilden ein Geschäftsgeheimnis Tatsachen geschäftlicher, produktionstechnischer oder technischer Art, die mit einem Unternehmen zusammenhängen, einen tatsächlichen oder potenziellen Wert haben, in den betreffenden Geschäftskreisen nicht allgemein verfügbar sind, nach dem Willen ihres Inhabers geheim bleiben sollen und deren Geheimhaltung der Inhaber angemessen sicherstellt.

Die unkontrollierte Eingabe sensibler Informationen in externe KI-Tools kann nicht nur eine Verschwiegenheitspflicht verletzen, sondern auch das Argument schwächen, das Unternehmen habe seine Geschäftsgeheimnisse angemessen geschützt. Eine interne Richtlinie, ein geregeltes Zugriffsmanagement, die Klassifizierung von Informationen und nachweisbare Mitarbeiterschulungen sind daher zugleich Maßnahmen zum Schutz von Geschäftsgeheimnissen.

Nach § 81 Buchst. e und f des slowakischen Arbeitsgesetzbuchs ist ein Mitarbeiter verpflichtet, das Vermögen des Arbeitgebers zu schützen, nicht entgegen dessen berechtigten Interessen zu handeln und über Tatsachen Verschwiegenheit zu wahren, die im Interesse des Arbeitgebers anderen Personen nicht mitgeteilt werden dürfen. Je nach den Umständen kann die unbefugte Eingabe vertraulicher Daten in ein externes System eine Verletzung der Arbeitsdisziplin darstellen und eine Schadenersatzpflicht begründen. Die Folgen sind jedoch stets im Einzelfall zu beurteilen, insbesondere nach Art der Daten, Verschulden, Bestehen klarer Regeln und Schwere des Risikos oder Schadens.

5. WER FÜR FEHLERHAFTE KI-AUSGABEN HAFTET

Ein KI-System ist keine Person, auf die sich die Verantwortung für eine unternehmerische Entscheidung übertragen lässt. Übermittelt ein Mitarbeiter einem Mandanten oder Kunden eine falsche Rechtsauskunft, verwendet er in einem Angebot eine nicht existierende technische Norm oder trifft er eine Entscheidung auf Grundlage einer fehlerhaften, von KI erstellten Berechnung, entlastet der Hinweis „ChatGPT hat den Fehler gemacht“ das Unternehmen grundsätzlich nicht.

Generative KI erstellt Ausgaben mittels probabilistischer Verarbeitung. Auch eine überzeugend formulierte Antwort kann eine nicht existierende Gerichtsentscheidung, eine falsche Zahl, veraltete Informationen oder eine verzerrte Zusammenfassung des Ausgangsdokuments enthalten. Das Risiko steigt, wenn der Nutzer eine Antwort außerhalb der verfügbaren Quellen verlangt oder nicht über die zur Kontrolle erforderliche Fachkenntnis verfügt.

Interne Regeln sollten daher festlegen, in welchen Fällen eine menschliche Überprüfung zwingend erforderlich ist. Ohne qualifizierte Kontrolle sollte eine KI-Ausgabe insbesondere nicht als abschließende fachliche Stellungnahme, Vertragsklausel, lohn- oder preisrelevante Berechnung, Entscheidung gegenüber einem Mitarbeiter oder als Information verwendet werden, auf die sich ein Mandant oder Kunde verlassen soll.

Die menschliche Kontrolle darf nicht lediglich formaler Natur sein. Die prüfende Person muss über ausreichende Kenntnisse und Zugang zu den Unterlagen verfügen und tatsächlich befugt sein, die Ausgabe abzulehnen oder zu ändern.

6. URHEBERRECHT AN EINGABEN UND AUSGABEN

Ein Nutzer kann Texte, Fotografien, Quellcode oder andere kreative Inhalte in ein KI-System eingeben, zu deren Verwendung das Unternehmen in dieser Form nicht berechtigt ist. Im Einzelfall kann dies eine Vervielfältigung oder andere Nutzung eines Werks darstellen, die der Zustimmung des Rechtsinhabers bedarf, sofern keine gesetzliche Ausnahme eingreift.

Ebenso wenig kann automatisch angenommen werden, dass jede KI-Ausgabe frei von Rechten Dritter ist oder das Unternehmen daran ausschließliche Urheberrechte erworben hat. Nach § 3 Abs. 1 des slowakischen Urheberrechtsgesetzes ist ein Werk das einzigartige Ergebnis der kreativen geistigen Tätigkeit eines Urhebers. Eine rein automatisch erzeugte Ausgabe ohne hinreichenden kreativen Beitrag einer natürlichen Person erfüllt daher möglicherweise nicht die Voraussetzungen des urheberrechtlichen Schutzes. Bei KI-unterstützter Schöpfung kann dagegen das Ergebnis menschlicher kreativer Entscheidungen geschützt sein.

Vor der kommerziellen Nutzung einer wesentlichen Ausgabe empfiehlt es sich, (A) die Lizenzbedingungen des Tools, (B) die Herkunft der Ausgangsmaterialien, (C) Ähnlichkeiten mit bestehenden Werken, Marken oder Designs und (D) Umfang und Dokumentation des menschlichen kreativen Beitrags zu prüfen.

7. DARF DER ARBEITGEBER DIE KI-NUTZUNG KONTROLLIEREN?

Der Arbeitgeber darf bestimmen, welche Arbeitsmittel verwendet werden dürfen, nicht genehmigte Dienste im Unternehmensnetzwerk sperren und die Einhaltung von Sicherheitsregeln verlangen. Die Kontrolle der konkreten Tätigkeit eines Mitarbeiters muss jedoch dessen Privatsphäre, Datenschutzrechte und § 13 Abs. 4 des slowakischen Arbeitsgesetzbuchs beachten.

Ohne schwerwiegende Gründe, die in der besonderen Art seiner Tätigkeit liegen, darf der Arbeitgeber nicht durch Überwachung oder Kontrolle der betrieblichen E-Mail ohne vorherige Information in die Privatsphäre eines Mitarbeiters eingreifen. Führt der Arbeitgeber einen Kontrollmechanismus ein, muss er dessen Umfang, Art und Dauer mit den Arbeitnehmervertretern erörtern und die Mitarbeiter darüber informieren.

Daraus folgt, dass selbst das berechtigte Ziel, einen Datenabfluss zu verhindern, den Arbeitgeber nicht automatisch dazu berechtigt, sämtliche Prompts und Gespräche der Mitarbeiter mitzulesen. Die Kontrolle muss erforderlich, verhältnismäßig und transparent sein. Vor einer Inhaltskontrolle sollten weniger eingriffsintensive Maßnahmen geprüft werden, etwa die Sperrung nicht genehmigter Domains, ein technischer Warnhinweis vor der Eingabe sensibler Daten, die Erkennung von Datenkategorien ohne Lesen des gesamten Inhalts oder die Kontrolle anonymisierter Betriebsprotokolle.

8. KI BEI EINSTELLUNG UND PERSONALFÜHRUNG

Besondere Aufmerksamkeit erfordern KI-Systeme, die bei der Einstellung und Auswahl von Bewerbern, bei Entscheidungen über Arbeitsbedingungen, Beförderung oder Beendigung des Arbeitsverhältnisses, bei der Zuweisung von Aufgaben anhand individuellen Verhaltens oder persönlicher Eigenschaften sowie bei der Überwachung oder Bewertung von Arbeitnehmern eingesetzt werden. Unter den gesetzlichen Voraussetzungen stuft die KI-Verordnung solche Systeme als Hochrisikosysteme ein.

Die Digital-Omnibus-Verordnung zur KI verschob die Anwendung der einschlägigen Anforderungen und Pflichten für Hochrisikosysteme nach Anhang III der KI-Verordnung auf den 2. Dezember 2027. Der Aufschub bedeutet jedoch kein rechtliches Vakuum. DSGVO, Antidiskriminierungsrecht, das slowakische Arbeitsgesetzbuch und die Verbote ausgewählter Praktiken nach der KI-Verordnung gelten bereits heute.

Verarbeitet ein System personenbezogene Daten und trifft es eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die gegenüber einer Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, ist zusätzlich Artikel 22 DSGVO zu beachten. Die formale Bestätigung einer KI-Empfehlung durch einen Menschen stellt möglicherweise keine echte menschliche Mitwirkung dar, wenn die prüfende Person weder die Möglichkeit noch die fachliche Befähigung hat, die Entscheidung zu ändern.

Vor dem Einsatz eines solchen Systems sollte das Unternehmen insbesondere den Zweck, Qualität und Herkunft der Eingabedaten, mögliche diskriminierende Auswirkungen, die Erklärbarkeit der Ergebnisse, die menschliche Aufsicht, Informationspflichten und die Notwendigkeit einer Datenschutz-Folgenabschätzung prüfen.

9. SIEBEN SCHRITTE FÜR ARBEITGEBER

BESTANDSAUFNAHME

Das Unternehmen sollte feststellen, welche KI-Tools die Mitarbeiter tatsächlich nutzen, zu welchen Zwecken, mit welchen Eingaben und über welche privaten oder betrieblichen Konten. Ein Verbot ohne Bestandsaufnahme verlagert die KI-Nutzung häufig lediglich in einen unkontrollierten Bereich.

RISIKOKLASSIFIZIERUNG

Die einzelnen Anwendungsfälle sollten nach ihrem Risiko eingestuft werden. Die sprachliche Korrektur eines anonymen Textes unterliegt nicht demselben Regime wie die Verarbeitung von Gesundheitsdaten, die Auswahl von Bewerbern oder die Erstellung einer fachlichen Stellungnahme für einen Mandanten oder Kunden.

GENEHMIGTE TOOLS UND VERTRÄGE

Das Unternehmen sollte zulässige Tools bestimmen und deren Vertragsbedingungen, Datenschutz, Speicherung von Ein- und Ausgaben, Unterauftragnehmer, Sicherheitsmaßnahmen und etwaige Datenübermittlungen prüfen. Bei der Verarbeitung personenbezogener Daten sind die Rollen der Parteien festzulegen und die erforderlichen Verträge abzuschließen.

INTERNE KI-RICHTLINIE

Die Richtlinie sollte zulässige und verbotene Verwendungen, Datenkategorien, die nicht eingegeben werden dürfen, Anonymisierungsregeln, die Pflicht zur menschlichen Kontrolle, die Kennzeichnung von KI-Inhalten, die Genehmigung neuer Tools und die Folgen von Verstößen klar festlegen.

RISIKOBASIERTE SCHULUNG

Mitarbeiter benötigen praktische Beispiele aus ihrem Arbeitsalltag. Schulungen sollten nicht nur die Bedienung des Tools erklären, sondern auch die Grenzen von Ausgaben, den Schutz personenbezogener Daten und von Geschäftsgeheimnissen, das Urheberrecht und das Verfahren zur Meldung von Vorfällen.

MENSCHLICHE KONTROLLE UND DOKUMENTATION

Bei wesentlichen Ausgaben sollten die verantwortliche Person, der Umfang der Prüfung und die Art der Dokumentation festgelegt werden. Bei Entscheidungen über Menschen muss die menschliche Mitwirkung tatsächlich, qualifiziert und wirksam sein.

MELDUNG VON VORFÄLLEN

Mitarbeiter müssen wissen, wem und auf welche Weise sie melden sollen, dass sie versehentlich personenbezogene Daten, ein Geschäftsgeheimnis oder ein falsches Dokument in ein KI-System eingegeben haben. Eine rasche Meldung kann es ermöglichen, die Löschung zu veranlassen, Zugangsdaten zu ändern, etwaige Meldepflichten zu erfüllen und den Schaden zu begrenzen.

10. ANWENDUNG UND FAZIT

Die KI-Verordnung findet schrittweise Anwendung. Ihre ersten Bestimmungen, darunter die Regelungen zur KI-Kompetenz und die Verbote ausgewählter Praktiken, gelten seit dem 2. Februar 2025. Der überwiegende Teil der weiteren Bestimmungen gilt seit dem 2. August 2026. Die Digital-Omnibus-Verordnung zur KI änderte jedoch bestimmte Pflichten und verschob die Anwendung des Hochrisikoregimes für Systeme nach Anhang III auf den 2. Dezember 2027 sowie für ausgewählte Hochrisikosysteme, die in regulierte Produkte eingebettet sind, auf den 2. August 2028.

Das größte rechtliche Risiko der gewöhnlichen Nutzung von ChatGPT in einem Unternehmen ergibt sich daher derzeit nicht zwingend aus der KI-Verordnung selbst. Häufig entsteht es bereits früher: durch die Eingabe personenbezogener Daten ohne Rechtsgrundlage, die Offenlegung eines Geschäftsgeheimnisses gegenüber einem nicht genehmigten Anbieter, die Verwendung einer ungeprüften Ausgabe oder eine unverhältnismäßige Überwachung von Mitarbeitern.

Ein Unternehmen, das KI nutzt, benötigt mehr als ein Verbot oder eine einmalige Schulung. Es muss die tatsächlichen Anwendungsfälle kennen, geeignete Tools genehmigen, Grenzen für den Umgang mit Daten festlegen und gewährleisten, dass hinter jeder wesentlichen Entscheidung ein identifizierbarer und qualifizierter Mensch steht.