Immer mehr Betriebe setzen KI-Systeme ein: Assistenten im Büroalltag, Auswertungstools, Systeme, die Prognosen und Empfehlungen ausgeben. KI-VO und DSGVO regeln deren Einsatz umfangreich, schützen Beschäftigte aber schwächer, als dieser Umfang vermuten lässt. Eine Betriebsvereinbarung kann einen Teil dieser Lücke schließen, wenn sie die richtigen Klauseln enthält.
Der gesetzliche Schutz lässt Lücken
Die KI-VO gehört systematisch ins Produktsicherheitsrecht und verfolgt keinen arbeitnehmerschützenden Zweck. Sie adressiert in erster Linie Anbieter, in geringerem Umfang Betreiber, und stattet Beschäftigte nur punktuell mit eigenen Rechten aus. Praktisch bleiben ihnen die Beschwerde bei der Marktüberwachungsbehörde (Art. 85 KI-VO) und der Anspruch auf Erläuterung einer Einzelfallentscheidung (Art. 86 KI-VO), der zudem ein Hochrisiko-System und eine erhebliche Beeinträchtigung voraussetzt.
Hinzu kommt ein zeitliches Problem. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und setzt den Geltungsbeginn der Hochrisiko-Vorschriften neu fest. Kapitel III Abschnitte 1 bis 3 der KI-VO greifen für eigenständige Systeme nach Anhang III erst ab dem 2. Dezember 2027, für produkteingebettete Systeme nach Anhang I ab dem 2. August 2028 (Art. 113 KI-VO in der Fassung der Änderungsverordnung). Der Verordnungsgeber hat feste Daten gewählt und die Geltung nicht an die Verfügbarkeit harmonisierter Normen geknüpft. Genau in Anhang III Nr. 4 steht der Beschäftigungskontext. Die Betreiberpflichten im Personalbereich greifen deshalb erst in gut anderthalb Jahren, einschließlich der Pflicht, die Arbeitnehmervertretung vor Inbetriebnahme zu informieren (Art. 26 Abs. 7 KI-VO). Im Betrieb laufen diese Systeme schon heute.
Zugleich verengt der Omnibus den Hochrisiko-Begriff. Er fasst das Sicherheitsbauteil neu (Art. 3 Nr. 14 KI-VO) und nimmt KI-Systeme für Nutzerunterstützung, Leistungsoptimierung, Automatisierung, Benutzerfreundlichkeit oder Qualitätskontrolle davon aus, solange ihr Ausfall Gesundheit und Sicherheit nicht gefährdet (Art. 6 Abs. 1a und 1b KI-VO). Betroffen ist damit der Produktbereich nach Anhang I; der Beschäftigungskontext in Anhang III Nr. 4 bleibt unverändert. Für Beschäftigte verschiebt der Omnibus also den Anwendungsbeginn, ohne am Schutzniveau etwas zu ändern.
Das Datenschutzrecht hilft weniger, als viele annehmen. Art. 22 DSGVO erfasst nur Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen. Sobald ein Mensch mitentscheidet, entfällt der Schutz, ohne dass es auf die Qualität dieser Beteiligung ankäme. Der EuGH hat den Ansatz zwar erweitert und bereits die Ermittlung eines Score-Werts als Entscheidung eingeordnet, sofern dieser Wert für das weitere Vorgehen maßgeblich ist (EuGH, Urt. v. 07.12.2023 – C-634/21, SCHUFA). Im Betrieb genügt gleichwohl regelmäßig eine formale menschliche Beteiligung, um den Anwendungsbereich zu verlassen.
Auch die Rechtsgrundlage ist unsicher. Nationale Vorschriften nach Art. 88 Abs. 1 DSGVO tragen nur, wenn sie die spezifischen Schutzmaßnahmen des Abs. 2 enthalten. § 26 BDSG genügt dem nach verbreiteter Auffassung nicht, und ein eigenständiges Beschäftigtendatengesetz gibt es bislang nicht. Betroffenenrechte wiederum helfen nur, wenn die betroffene Person von der Verarbeitung überhaupt weiß und sie im laufenden Arbeitsverhältnis angreift. Beides kommt selten vor.
Die Betriebsvereinbarung setzt an, wo das Gesetz aufhört
Der Einsatz von KI-Systemen berührt eine Reihe von Beteiligungsrechten, praktisch immer § 87 Abs. 1 Nr. 6 BetrVG. Für die Mitbestimmung genügt bereits die Eignung zur Überwachung, nicht erst deren tatsächliche Nutzung. Je nach System treten Rechte aus § 87 Abs. 1 Nr. 1 und Nr. 7 sowie aus §§ 90, 92, 92a, 96–98 und 111 f. BetrVG hinzu.
Die Betriebsvereinbarung wirkt nach § 77 Abs. 4 Satz 1 BetrVG unmittelbar und zwingend auf das Arbeitsverhältnis, so dass Beschäftigte Ansprüche erhalten, ohne selbst tätig werden zu müssen. Sie greift außerdem früher: Die Zulässigkeitsprüfung findet vor der Einführung statt und nicht Jahre später im Prozess. Durchsetzen muss sie der Betriebsrat; ihm stehen dafür § 23 Abs. 3 BetrVG und der einstweilige Rechtsschutz zur Verfügung, der einzelnen beschäftigten Person nicht. KI-VO und DSGVO lassen kollektive Regelungen ausdrücklich zu. Art. 88 Abs. 1 DSGVO nennt Kollektivvereinbarungen als Rechtsgrundlage, Art. 2 Abs. 11 KI-VO stellt klar, dass für Arbeitnehmer günstigere Regelungen und Kollektivverträge unberührt bleiben. Davon profitieren beide Seiten. Eine sorgfältig gefasste Vereinbarung schützt die Belegschaft und stabilisiert die Rechtsgrundlage des Arbeitgebers, sofern sie die Schutzmaßnahmen des Art. 88 Abs. 2 DSGVO tatsächlich ausformuliert.
In den Entwürfen, die uns erreichen, fehlen regelmäßig die folgenden Punkte.
Zweckverbote dürfen weiter reichen als die KI-VO
Wir trennen in der Praxis zwei Ebenen. Systeme, die eine nach Art. 5 KI-VO verbotene Praktik verwirklichen, sind ausnahmslos untersagt; keine Zustimmung, Einwilligung oder betriebliche Regelung legitimiert sie. Darüber hinaus sollte die Vereinbarung Einsatzformen ausschließen, die die KI-VO zwar erlaubt, die den Beschäftigten aber regelmäßig erheblich schaden. Dazu zählen Leistungs-, Emotions- und Verhaltenskontrolle (Scoring), Profiling, die Auswertung des Kommunikationsverhaltens, personalbezogene Entscheidungen über Einstellung, Befristung, Probezeit und Kündigung sowie die Festsetzung von Vergütung, Boni und Zulagen.
Ohne Umgehungsschutz läuft jedes Zweckverbot leer. Es muss auch dann greifen, wenn das System lediglich vorbereitend, unterstützend oder empfehlend wirkt und ein Mensch formal letztentscheidet. Sonst genügt eine „Alibi-Letztentscheidung“, um das Verbot auszuhebeln.
Die menschliche Überprüfung steht den Beschäftigten selbst zu
Beschäftigte sollten verlangen können, dass eine fachlich befähigte natürliche Person ein sie betreffendes KI-Ergebnis überprüft. Diese Person muss sachkundig sein, genug Zeit haben und vom Ergebnis abweichen dürfen. Eine bloße Bestätigung genügt nicht. Dazu gehören ein Anspruch auf Erläuterung der tragenden Kriterien, kurze Bearbeitungsfristen und die Aussetzung nachteiliger Maßnahmen bis zum Abschluss der Überprüfung. Aus unserer Sicht sollte dieses Recht unmittelbar gelten und nicht unter dem Vorbehalt einer erst noch zu erteilenden Betriebsratszustimmung stehen, weil ein individuelles Schutzrecht andernfalls von einer Kollektiventscheidung abhängt.
Das Beweisverwertungsverbot fehlt fast immer
In unserer Prüfpraxis fehlt diese Klausel häufiger als jede andere, obwohl sie stark wirkt. Der Arbeitgeber sollte Daten, die er unter Verstoß gegen die Vereinbarung erhoben oder ausgewertet hat, nicht zum Nachteil von Beschäftigten verwenden dürfen, insbesondere nicht zur Begründung von Abmahnungen, Versetzungen, Leistungsbeurteilungen oder Kündigungen. Sinnvollerweise erstreckt sich das Verbot auch auf mittelbar gewonnene Erkenntnisse, und der Arbeitgeber verzichtet ausdrücklich darauf, solche Daten in gerichtlichen und außergerichtlichen Verfahren als Beweismittel einzuführen. Ein Verstoß gegen Datenschutz- oder Betriebsverfassungsrecht führt allerdings nicht automatisch zu einem prozessualen Verwertungsverbot, und den Betriebsparteien fehlt insoweit die Regelungsmacht (BAG, Urt. v. 29.06.2023 – 2 AZR 296/22). Gerade deshalb raten wir zur schuldrechtlichen Verzichtsabrede, die den Arbeitgeber jedenfalls vertraglich bindet, auch wenn ihre prozessuale Wirkung nicht abschließend geklärt ist.
Beschäftigungssicherung braucht konkrete Ansprüche
Beschäftigungssicherheit nützt niemandem, solange sie in der Präambel steht. Die Vereinbarung sollte sie in Ansprüche übersetzen.
- Der Arbeitgeber schließt KI-bedingte betriebsbedingte Beendigungskündigungen für die Laufzeit der Vereinbarung aus, soweit ein Kausalzusammenhang mit dem KI-Einsatz besteht.
- Weiterbeschäftigung und Umsetzung gehen vor, erforderlichenfalls nach zumutbarer Umschulung.
- Beschäftigte erhalten einen individuellen Qualifizierungsanspruch während der Arbeitszeit und kostenfrei, sobald sich ihre Tätigkeit wesentlich verändert.
- Die Vereinbarung sichert das Entgelt gegen „stille“ Herabgruppierungen.
Ein vollständiger Kündigungsausschluss dürfte sich nicht in jedem Betrieb durchsetzen lassen. Als Rückfallpositionen kommen eine Härtefallöffnung oder eine Abfindungs- und Sozialplanlösung in Betracht. Wir raten dazu, diese Stufung bereits in die Verhandlungsstrategie aufzunehmen, weil sich der Verhandlungsdruck damit auf die inhaltlich wichtigeren Klauseln verlagern lässt.
Der Einführungsprozess braucht feste Regeln
Neue Systeme durchlaufen idealerweise immer denselben Weg. Er beginnt mit einer schriftlichen Anforderungsdefinition und führt über die Bewertung durch Datenschutz, IT-Sicherheit und Betriebsrat, die Risikoklassifizierung und den Testbetrieb zur Freigabe. Auf Datenebene empfehlen wir, personenbezogene Auswertungs-, Telemetrie- und Vergleichsfunktionen zu deaktivieren und auszuschließen, dass externe Anbieter Beschäftigtendaten für Training oder Optimierung nutzen. Vor der Nutzung schult der Arbeitgeber, kostenfrei und während der Arbeitszeit. Wer eine Pflichtschulung nicht absolviert, verliert vorübergehend den Zugriff, mehr nicht.
Bei der Mitbestimmungslogik lohnt Vorsicht. Die Zustimmungspflicht sollte nicht an der Risikoklasse der KI-VO hängen, denn auch ein Werkzeug mit „minimalem Risiko“ kann nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung unterliegen. Sämtliche eingesetzten Systeme gehören in ein laufend gepflegtes Verzeichnis, das Zweck, Datenkategorien, Rechtsgrundlage, Risikoklasse, Status der Folgenabschätzung und die verantwortliche Person ausweist. Wir empfehlen eine jährliche gemeinsame Evaluation und eine anlassbezogene Überprüfung bei Rechtsänderungen und wiederholten Verstößen. Für die mitbestimmten Teile wirkt die Vereinbarung kraft Gesetzes nach (§ 77 Abs. 6 BetrVG). Für die freiwilligen Teile sollten die Betriebsparteien eine Fortgeltung ausdrücklich regeln.
