Künstliche Intelligenz im HR: Zwischen Recht und Effizienz
KURZ ZUSAMMENGEFASST
Der Einsatz von Künstlicher Intelligenz im Personalwesen verspricht massive Effizienzsteigerungen, von der automatisierten Bewerbungsauswahl bis zur Risikoanalyse von Kündigungen. Doch dieser technologische Fortschritt steht in einem Spannungsfeld mit strengen rechtlichen Anforderungen, insbesondere dem Schweizer Datenschutzgesetz (DSG) und arbeitsrechtlichen Bestimmungen. Unternehmen müssen vor der Implementierung zwingend prüfen, ob die Verarbeitung von Personendaten durch KI-Tools transparent, verhältnismässig und ethisch vertretbar ist, um Diskriminierungsrisiken und Haftungsfallen zu vermeiden.
Die wichtigsten Punkte:
- KI-Tools im HR beschleunigen Prozesse, bergen aber erhebliche datenschutzrechtliche Risiken bei der Bearbeitung von Personendaten.
- Ein Auftragsbearbeitungsvertrag (AVV) ist zwingend erforderlich, wenn externe Anbieter Personendaten im Auftrag verarbeiten.
- Eine Datenschutz-Folgenabschätzung (DSFA) muss durchgeführt werden, wenn ein hohes Risiko für die Rechte der Mitarbeitenden besteht.
- Diskriminierende Algorithmen und unzulässige Überwachung von Mitarbeitenden sind strikte No-Gos im Schweizer Arbeitsrecht.
- Klare interne Weisungen und regelmässige Schulungen sind essenziell, um den rechtssicheren Umgang mit KI zu gewährleisten.
Marco S. Meier
Marco S. Meier, RA, MLaw, CIPP/E, Informatiker EFZ, ist Partner bei Binder Rechtsanwälte KLG. Er berät und vertritt nationale und internationale Klienten in sämtlichen Bereichen des IT-, Technologie-, Datenschutz-, Cyber-Security- und Immaterialgüterrechts sowie in technologiebezogenen Compliance-Fragen, wie beispielsweise dem Einsatz oder der Entwicklung von künstlicher Intelligenz (KI). Zudem ist er versiert in Software- und Lizenzfragen sowie Technologie- und Outsourcing-Projekten in diversen Branchen. Die Beilegung von Streitigkeiten im ICT-Bereich sowie die Beratung bezüglich digitaler Marketingaktivitäten und IT/IP M&A-Transaktionen sind weitere Schwerpunkte seiner Tätigkeit.
Passende Arbeitshilfen
Wie können Schweizer KMU Künstliche Intelligenz im HR rechtssicher und effizient einsetzen?
KI – Chance für das HR?
Der Einsatz von KI verändert die Arbeitswelt zurzeit mit hoher Geschwindigkeit. Praktisch täglich kann in verschiedenen Medien gelesen werden, dass neue, noch bessere Tools auf den Markt stossen oder dass eine noch bessere Version eines Tools gerade in Umlauf gebracht wurde. Dadurch entsteht oft der Eindruck, dass man den Anschluss verpassen könnte, wenn man ein solches KI-Tool nicht im Unternehmen einsetzt. Für Unternehmen ist der Einsatz von KI in vielen Bereichen vielversprechend. Künstliche Intelligenz im HR kann dabei insbesondere Prozesse optimieren, Entscheide beschleunigen oder Aufgaben übernehmen, welche bis anhin von Menschen übernommen wurden.
Erfahrungsgemäss liegt der Fokus im Bereich des HR darauf, Künstliche Intelligenz im HR so einzusetzen, dass HR-Mitarbeitende ihre Arbeitsleistung effizienter erbringen können. Den vorstellbaren Anwendungsfällen sind dabei praktisch keine Grenzen gesetzt. Von der automatisierten Auswahl von Bewerbenden über die Beurteilung von Mitarbeitenden bis hin zur Abschätzung, wie hoch die Kündigungswahrscheinlichkeit für einen bestimmten Mitarbeitenden ist, ist alles möglich. Obwohl den Anwendungsfällen von KI praktisch keine Grenzen gesetzt sind, bestehen nicht nur rechtliche Fallstricke bei deren Einsatz, sondern es können schnell ethische Bedenken aufkommen.
Rechtlichen Rahmen vorab prüfen
Beim Einsatz von KI im Bereich HR bestehen grundsätzlich dieselben rechtlichen Fallstricke wie bei jedem KI-Einsatz im Unternehmen. Dabei stehen aktuell die Anforderungen des Datenschutzrechts im Fokus, weil durch den Einsatz von KI in der Regel (auch) eine Bearbeitung von Personendaten im Sinne des Schweizer Datenschutzgesetzes (DSG) vorliegt. Zu diesen Pflichten gehört u.a. die Pflicht, die von der Datenbearbeitung betroffenen Personen mindestens darüber zu informieren, wer für die Bearbeitung verantwortlich ist, zu welchen Zwecken diese erfolgt und welche Dritten in die Bearbeitung involviert sind. Diese Pflicht wird mit einer Datenschutzerklärung erfüllt. Wird beispielsweise ein KI-Tool zur Einsatzplanung von Mitarbeitenden verwendet, müssen die Mitarbeitenden darüber transparent informiert werden. In der Regel wird dazu die ohnehin bereits bestehende Datenschutzerklärung für Mitarbeitende ergänzt.
Verträge verstehen und prüfen
In KMU stehen regelmässig nicht die Ressourcen zur Verfügung, um eine «eigene KI» zu entwickeln. Der Rückgriff auf bestehende Angebote von spezialisierten Anbietern ist darum der Regelfall. In vielen Konstellationen hat dies datenschutzrechtliche Konsequenzen, denn die Anbieter qualifizieren oft als sog. Auftragsbearbeiter, welche im Auftrag des Unternehmens Personendaten bearbeiten (beispielsweise beim Hosting durch den Anbieter). Sobald dies der Fall ist, muss neben dem kommerziellen Vertrag, dessen Prüfung vor dem Einsatz des KI-Tools essenziell ist (insbesondere bzgl. Verantwortung und Haftung), ein Auftragsbearbeitungsvertrag abgeschlossen werden. Dieser legt die Grundlagen zum Umgang mit Personendaten fest, an welche sich der Auftragsbearbeiter zu halten hat.
Risiken kennen und steuern
Darüber hinaus müssen sich Unternehmen, welche KI einsetzen, vor deren Einsatz strukturiert Gedanken zu den damit einhergehenden Risiken machen. Zwingend ist dies aus datenschutzrechtlicher Sicht immer dann, wenn für die Rechte und Freiheiten der Betroffenen (z.B. der Mitarbeitenden) ein hohes Risiko besteht. Im Sinne einer Faustregel muss eine sogenannte Datenschutz-Folgenabschätzung (DSFA) beim Einsatz von neuen Technologien, wie dem Einsatz von KI, im Zusammenspiel mit einer Auftragsbearbeitung vorgenommen werden. Mit anderen Worten muss beim Einsatz von eingekauften KI-Tools regelmässig eine DSFA durchgeführt werden. Darin werden die Risiken systematisch erfasst und dokumentiert. In der Praxis hat sich gezeigt, dass die Durchführung einer Risikoanalyse vor dem Einsatz von KI im Unternehmen ohnehin unabdingbar ist. Dabei kann die DSFA mit KI-spezifischen Risiken, wie beispielsweise dem Risiko einer Diskriminierung der Nutzer, der Einhaltung anderer rechtlicher Grundlagen (beispielsweise des Arbeitsrechts oder des Urheberrechts), der Verletzung ethischer Grundsätze oder der Verlässlichkeit der Resultate, welche die KI generiert, ergänzt werden. Dadurch kann das Unternehmen nicht nur sicherstellen, dass die datenschutzrechtlichen Vorgaben beachtet, sondern auch, dass die Risiken erkannt und gemindert werden.
Passende Produkt-Empfehlungen
Im Bereich des HR kommen zudem weitere Herausforderungen aus arbeitsrechtlichen Bestimmungen hinzu. Dazu gehören beispielsweise das Verbot der Überwachung von Mitarbeitenden (z.B. bei KI-basierten Verhaltensüberwachung), das Risiko von diskriminierenden Ablehnungen im Auswahlprozess von Mitarbeitenden (z.B. durch KI-basierte Recruiting-Prozesse) oder der Verstoss gegen Bestimmungen des Gesundheitsschutzes (z.B. KI-basierte Kontrollmassnahmen).
Künstliche Intelligenz im HR bietet enorm viele Chancen. Um diese Chancen aber sinnstiftend und rechtssicher zu nutzen, muss vor dem Einsatz von KI eine vertiefte Analyse der (rechtlichen) Risiken vorgenommen werden, damit die im Einzelfall relevanten rechtlichen Anforderungen umgesetzt werden können und die Risiken aktiv steuerbar sind. Dabei ist es erfahrungsgemäss hilfreich, die verschiedenen Kompetenzen, welche im Unternehmen vorhanden sind (beispielsweise IT-, HR- oder Legal-Mitarbeitende und ggf. externe Berater), zu bündeln.
Anwendungsfälle definieren und testen
In der Praxis hat sich gezeigt, dass oft ein impliziter Druck zur Einführung von bestimmten KI-Tools entstehen kann, weil diese gerade «en vogue» sind. Befeuert wird dieser Druck meist durch interne Exponenten, welche umgehend «auf den Zug aufspringen» wollen. Wie dargelegt, benötigt die rechtliche Analyse Zeit. Sie steht damit in einem Spannungsfeld zur sofortigen Umsetzung, bleibt aber zentral.
Zudem ist es für das Unternehmen wichtiger, klar zu definieren, welche Anwendungsfälle für den Einsatz von KI geeignet und gewinnbringend sind, als schnell bei einem aktuellen Trend mitzumachen, ohne dass dieser einen Mehrwert generiert. Ist ein Anwendungsfall definiert, muss ein KI-Tool evaluiert, geprüft und getestet werden. Aufgrund der rasanten Weiterentwicklungen ist es durchaus möglich, dass die Beschaffung eines KI-Tools abgebrochen wird, sei es aufgrund der rechtlichen Risiken oder weil das Tool in der Testphase nicht die gewünschten Resultate zeigt.
Checkliste
- Klare Anwendungsfälle für KI im HR definieren und den konkreten Mehrwert prüfen.
- Datenschutzrechtliche Pflichten gemäss DSG identifizieren und die Informationspflicht gegenüber Mitarbeitenden sicherstellen.
- Verträge mit KI-Anbietern auf Haftungsfragen prüfen und einen Auftragsbearbeitungsvertrag (AVV) abschliessen.
- Eine Datenschutz-Folgenabschätzung (DSFA) durchführen, um Risiken wie Diskriminierung oder Datenlecks zu bewerten.
- Arbeitsrechtliche Grenzen prüfen, insbesondere das Verbot der Überwachung und das Risiko diskriminierender Entscheidungen.
- Interne Kompetenzen bündeln (HR, IT, Legal) und externe Berater hinzuziehen, falls nötig.
- Eine spezifische KI-Weisung für das HR erlassen, die Tools, Verbote und Verantwortlichkeiten regelt.
- Die KI-Weisung regelmässig an die Mitarbeitenden kommunizieren und schulen.
- Den Output von KI-Tools vor der finalen Entscheidungsfindung menschlich kontrollieren und validieren.
- Ethische Grundsätze und Transparenz in den Einsatz von KI-Algorithmen integrieren.
Klare Regeln aufstellen und schulen
Als Arbeitgebende sind Unternehmen dafür verantwortlich, dass die anwendbaren Gesetze eingehalten werden. Das gilt auch beim Einsatz von KI. Um dieser Anforderung gerecht zu werden, können Arbeitgebende mit Weisungen Einfluss nehmen. Das Weisungsrecht gilt aber nicht uneingeschränkt. Weisungen müssen für Mitarbeitende zumutbar und dürfen nicht schikanös sein. Solange Weisungen diese Grenzen nicht überschreiten, im Interesse des Unternehmens sind und nicht gegen Gesetze verstossen, müssen Weisungen von Mitarbeitenden befolgt werden.
Der Umgang mit KI ist für viele Mitarbeitenden neu. Aus diesem Grund ist es wichtig, dass klare und verständliche Grundregeln diesbezüglich etabliert werden, idealerweise in einer KI-Weisung, welche regelmässig geschult wird.
Typische Inhalte einer KI-Weisung
- Zweck und Grundlagen
- Geltungsbereich und Gegenstand
- Grundregeln beim Einsatz von KI (z.B. Transparenz, menschliche Kontrolle, faire, rechtmässige und diskriminierungsfreie Nutzung, ethische Grundsätze etc.)
- Welche Tools dürfen genutzt werden, und welche sind verboten?
- Welche Einschränkungen bestehen bei der Nutzung der Tools (z.B. keine Eingabe von Personendaten, vertraulichen Informationen oder Geschäftsgeheimnissen; Prüfung des Outputs etc.)?
- Verantwortlichkeiten/Ansprechpersonen
- Sanktionen und Schlussbestimmungen
Selbstredend ist bei der Einführung einer KI-Weisung sicherzustellen, dass andere Weisungen und Reglemente keine widersprechenden Regelungen enthalten. Schliesslich soll die KI-Weisung nicht nur konkrete Vorgaben zum Umgang mit KI machen, sondern auch edukativen Charakter haben und den Mitarbeitenden als Nachschlagewerk dienen.
Papier ist bekanntlich geduldig. Das gilt insbesondere bei Weisungen. Es zeichnet sich ab, dass der rechtssichere Umgang mit KI im Unternehmen eine wichtige Kompetenz sein wird. Aus diesem Grund ist es empfehlenswert, die KI-Weisung nicht nur schriftlich zu erlassen, sondern auch regelmässig zu schulen.
Spezifische Weisung für das HR
Für den HR-Bereich kann es zudem notwendig sein, spezifische Weisungen für die Nutzung von KI zu erlassen. Grund dafür ist, dass die Risiken der Nutzung von Künstliche Intelligenz im HR, beispielsweise bei der Rekrutierung, der Leistungsbewertung oder der Berechnung einer Kündigungswahrscheinlichkeit, erhöht sind. Aus diesem Grund bietet es sich für diese Nutzungen an, spezifische Weisungen zu erlassen und dazugehörige Schulungen durchzuführen.
FAQ: Künstliche Intelligenz im HR
Muss ich für jedes KI-Tool im HR einen Auftragsbearbeitungsvertrag abschliessen?
Ja, sobald ein externer Anbieter Personendaten im Auftrag des Unternehmens verarbeitet (z. B. durch Hosting oder Analyse), ist ein Auftragsbearbeitungsvertrag (AVV) gemäss DSG zwingend erforderlich, um die Rechtmässigkeit der Datenbearbeitung sicherzustellen.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) im HR zwingend?
Eine DSFA ist immer dann durchzuführen, wenn der Einsatz einer neuen Technologie wie KI ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen (Mitarbeitende oder Bewerber) birgt, was beim HR-Einsatz von KI aufgrund der sensiblen Daten und möglichen Diskriminierung oft der Fall ist.
Darf ich KI nutzen, um die Kündigungswahrscheinlichkeit von Mitarbeitenden zu berechnen?
Theoretisch ist es möglich, jedoch bestehen hier massive rechtliche und ethische Risiken. Eine solche Nutzung kann gegen das Verbot der Diskriminierung und gegen arbeitsrechtliche Bestimmungen zum Gesundheitsschutz verstossen, wenn sie nicht transparent, fair und verhältnismässig ist.
Was muss in einer KI-Weisung für das HR enthalten sein?
Eine KI-Weisung sollte Zweck und Grundlagen, den Geltungsbereich, Grundregeln (Transparenz, menschliche Kontrolle), eine Liste erlaubter und verbotener Tools, Einschränkungen bei der Datennutzung sowie Verantwortlichkeiten und Sanktionen klar definieren.
Wie gehe ich mit dem Risiko vor, dass KI diskriminierende Entscheidungen trifft?
Unternehmen müssen die Algorithmen und Trainingsdaten kritisch prüfen, eine Risikoanalyse durchführen und sicherstellen, dass menschliche Mitarbeitende finale Entscheidungen überprüfen und kontrollieren, um Diskriminierung zu verhindern.
