KI-Überwachung am Arbeitsplatz: Was der AI Act wirklich verbietet.
Seit dem 2. Februar 2025 ist die Analyse von Mitarbeiteremotionen verboten. Doch die Produktivitätsüberwachung bleibt eine Grauzone. Welche Tools sind betroffen? Welche Risiken bestehen für Arbeitgeber?
Was der AI Act seit dem 2. Februar 2025 verbietet
Artikel 5 des AI Act verbietet ausdrücklich die Emotionserkennung am Arbeitsplatz. Diese Maßnahme ist seit über einem Jahr in Kraft, doch ihre Konturen bleiben für viele Unternehmen unklar.
Artikel 5 Absatz 1 Buchstabe f der europäischen Verordnung verbietet das Inverkehrbringen, die Inbetriebnahme oder die Nutzung von KI-Systemen, die dazu bestimmt sind, die Emotionen einer natürlichen Person im beruflichen Kontext zu erkennen. Dieses Verbot umfasst mehrere Praktiken:
- Analyse von Mikrogesichtsausdrücken über Kamera oder Video.
- Erkennung von Stress oder Müdigkeit durch Stimmanalyse.
- Bewertung des Engagements in Besprechungen anhand von Intonation oder Augenbewegungen.
- Jedes Tool, das biometrische Sensoren nutzt, um einen emotionalen Zustand abzuleiten.
Ausnahmen sind selten und streng geregelt. Sie betreffen hauptsächlich medizinische oder sicherheitsrelevante Anwendungen, wie die Erkennung von Müdigkeit bei Berufskraftfahrern. Ansonsten ist das Verbot absolut.
Markttools: Wer ist vom Verbot betroffen?
Mehrere beliebte Tools enthalten Funktionen zur Emotionsanalyse. Ihr Status unter dem AI Act ist nun für Arbeitgeber entscheidend.
Hier eine nicht abschließende Liste von Tools, die vom Verbot nach Artikel 5 betroffen sind:
Die Anbieter dieser Tools haben bis zum 2. November 2026 Zeit, um die Transparenzpflichten nach Artikel 50 zu erfüllen, doch das Verbot nach Artikel 5 gilt bereits. Arbeitgeber, die diese Lösungen nutzen, riskieren Strafen von bis zu 35 Millionen Euro oder 7% ihres weltweiten Umsatzes.
Die Grauzone der Produktivitätsüberwachung
Der AI Act verbietet die Produktivitätsüberwachung nicht, doch sie kann je nach Ausgestaltung als Hochrisiko-KI-System eingestuft werden. Erläuterungen.
Tools zur Produktivitätsüberwachung sind nicht durch Artikel 5 verboten, können jedoch als Hochrisiko-KI-System eingestuft werden, wenn sie in den Anwendungsbereich von Anhang III fallen. Dieser Anhang umfasst insbesondere:
- KI-Systeme, die für die Arbeitsverwaltung und den Zugang zu Beschäftigung verwendet werden (Punkt 4 des Anhangs III).
- Tools, die Verhaltensprofile von Mitarbeitern erstellen.
- Lösungen, die die Leistung automatisiert bewerten.
Hier einige Markttools und ihr potenzieller Status unter dem AI Act:
Für diese Tools hängt die Einstufung von der konkreten Nutzung ab. Eine einfache Zeiterfassung kann risikoarm bleiben, während eine automatisierte Leistungsbewertung als Hochrisiko eingestuft wird. Arbeitgeber müssen ihre Nutzungen dokumentieren und die Risiken fallweise bewerten.
DSGVO: Der zweite zu beachtende Rahmen für die Mitarbeiterüberwachung
Der AI Act ersetzt die DSGVO nicht. Arbeitgeber müssen beide Verordnungen einhalten, sonst drohen kumulierte Sanktionen.
Die Überwachung von Mitarbeitern ist bereits durch die DSGVO geregelt, insbesondere durch:
- Das Prinzip der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c).
- Das Informationsrecht der Mitarbeiter (Artikel 13 und 14).
- Die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (PIA) bei risikoreichen Verarbeitungen (Artikel 35).
- Die verpflichtende Anhörung der Arbeitnehmervertretung (Betriebsrat) bei Überwachungsmaßnahmen (§ 87 Absatz 1 Nummer 6 BetrVG).
Die Datenschutzaufsichtsbehörden haben spezifische Empfehlungen zur Mitarbeiterüberwachung im Homeoffice veröffentlicht. Sie betonen, dass Überwachungstools verhältnismäßig und transparent sein müssen. Beispiele:
- Zufällige Screenshots sind erlaubt, wenn sie begründet und begrenzt sind.
- Die Echtzeitüberwachung von Tastatur- und Mausaktivität gilt als invasiv und sollte vermieden werden.
- Mitarbeiter müssen über Überwachungsmaßnahmen und deren Zwecke informiert werden.
Das Urteil Barbulescu II des EuGH (2017) hat bereits strenge Grenzen für die Überwachung von Mitarbeiterkommunikation gesetzt. Der AI Act verstärkt diesen Rahmen, indem er bestimmte Praktiken verbietet und andere als Hochrisiko einstuft.
Wie kann man die Konformität mit dem AI Act und der DSGVO sicherstellen?
Arbeitgeber müssen auf mehreren Ebenen handeln, um Sanktionen zu vermeiden und die Rechte ihrer Mitarbeiter zu schützen.
Hier eine Checkliste zur Herstellung der Konformität:
- Eingesetzte Tools prüfen: Alle KI-Tools identifizieren, die zur Überwachung oder Bewertung von Mitarbeitern eingesetzt werden. Prüfen, ob sie unter Artikel 5 oder Anhang III des AI Act fallen.
- KI-Systeme klassifizieren: Für jedes Tool feststellen, ob es verboten, hochriskant oder risikoarm ist. Diese Klassifizierung dokumentieren.
- DSGVO-Pflichten einhalten: Mitarbeiter über Überwachungsmaßnahmen informieren, eine Datenschutz-Folgenabschätzung durchführen, wenn nötig, und den Betriebsrat konsultieren.
- Nutzungen anpassen: Verbotene Funktionen (Emotionserkennung) deaktivieren und hochriskante Nutzungen auf das notwendige Maß beschränken.
- Teams schulen: Führungskräfte und Personalabteilungen für die rechtlichen Grenzen der Überwachung sensibilisieren. Mitarbeiter über ihre Rechte aufklären.
- Konformität dokumentieren: Ein Verzeichnis der KI-Verarbeitungen führen, Nachweise der Konformität aufbewahren und sich auf Kontrollen vorbereiten.
Arbeitgeber können sich an den Leitlinien des AI Office und den Empfehlungen der Datenschutzaufsichtsbehörden orientieren. Bei Unsicherheiten hilft eine Konformitätsdiagnose, um die spezifischen Risiken einer Organisation zu identifizieren.
Nutzt Ihr Unternehmen KI-Tools zur Überwachung?
Identifizieren Sie Ihre Pflichten nach dem AI Act und der DSGVO in 3 Minuten mit unserer kostenlosen Diagnose.
Häufige Fragen
Antworten auf die häufigsten Fragen zur KI-Überwachung am Arbeitsplatz und zum AI Act.
Die Emotionserkennung umfasst den Einsatz von KI-Systemen, um den emotionalen Zustand eines Mitarbeiters aus biometrischen oder verhaltensbezogenen Daten abzuleiten. Dazu gehören die Analyse von Gesichtsausdrücken, Stimmlage, Augenbewegungen oder anderen physiologischen Signalen. Ein Beispiel ist ein Tool, das den Stresspegel eines Mitarbeiters anhand seiner Stimme während einer Besprechung bewertet.
Das Verbot basiert auf mehreren grundlegenden Prinzipien. Zum einen verletzt die Emotionserkennung das Recht auf Privatsphäre und die Würde der Mitarbeiter. Zum anderen sind diese Technologien oft unzuverlässig und können zu Diskriminierungen oder voreingenommenen Bewertungen führen. Schließlich ist es die Position Europas, dass der Arbeitsplatz kein Raum für invasive Überwachung sein soll, in dem die Emotionen der Mitarbeiter ständig analysiert und für Entscheidungen über sie genutzt werden.
Die Strafen für den Einsatz eines nach Artikel 5 des AI Act verbotenen Systems können bis zu 35 Millionen Euro oder 7% des weltweiten Umsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist. Neben den Geldstrafen drohen dem Unternehmen erhebliche Reputationsrisiken sowie Klagen von Mitarbeitern oder Gewerkschaften. Zudem können nicht konforme Tools vom Markt genommen werden, was zu betrieblichen Störungen führt.
Nein, Tools zur Produktivitätsüberwachung sind nicht durch Artikel 5 des AI Act verboten, es sei denn, sie enthalten Funktionen zur Emotionserkennung. Je nach Nutzungsmodalitäten können diese Tools jedoch als Hochrisiko-KI-System nach Anhang III eingestuft werden. Ein Tool, das die Leistung der Mitarbeiter automatisch bewertet und HR-Entscheidungen (Beförderungen, Kündigungen) beeinflusst, wird wahrscheinlich als Hochrisiko eingestuft und unterliegt strengen Pflichten.
Die DSGVO legt Arbeitgebern, die ihre Mitarbeiter überwachen, mehrere Pflichten auf. Zunächst müssen sie die Mitarbeiter über die Überwachungsmaßnahmen und deren Zwecke informieren. Zudem müssen sie das Prinzip der Datenminimierung beachten und die Datenerhebung auf das notwendige Maß beschränken. Eine Datenschutz-Folgenabschätzung (PIA) ist für risikoreiche Verarbeitungen verpflichtend. Schließlich müssen die Arbeitnehmervertretungen (Betriebsrat) vor der Einführung von Überwachungsmaßnahmen konsultiert werden.