Rechtsverletzungen im Arbeitsverhältnis: Wer haftet beim Ein­satz von KI im Job?

Der Einsatz von Künstlicher Intelligenz (KI) ist in vielen Unternehmen inzwischen nicht mehr wegzudenken. Die Europäische Union hat versucht, mit dieser Entwicklung Schritt zu halten und 2024 die Verordnung über KI erlassen (KI-Verordnung). Allerdings sind insbesondere viele Haftungsfragen ungeklärt, nachdem die EU-Kommission den Entwurf einer KI-Haftungsrichtlinie zurückgezogen hat.

KI-Systeme werden regelmäßig von Arbeitnehmer:innen bedient und/oder überwacht. Wegen des breiten Einsatzspektrums sind dabei unzählige Varianten von Rechtsverletzungen denkbar. Diese können Vertragsverhältnisse des Arbeitgebers mit den Kunden und Geschäftspartnern als Hauptleistungspflicht betreffen, etwa wenn eine Leistung mangelhaft beziehungsweise nicht verwertbar ist, weil sie Urheberrechtsverletzungen enthält. Doch auch bei Nebenpflichten können Pflichtverletzungen auftreten, etwa bei der Eingabe von Geschäftsgeheimnissen des Vertragspartners in externe KI-Systeme.

Auch abseits oder im Vorfeld von Vertragsverhältnissen sind Rechtsverletzungen denkbar, etwa Datenschutzverstöße oder Verstöße gegen das Allgemeine Gleichbehandlungsgesetz. 

Doch wer haftet in solchen Fällen? 

Primäre Haftung beim Arbeitgeber 

Bei Schäden durch vorgenannte Rechtsverletzungen wird primär der Arbeitgeber in Haftung genommen werden. Denn beim Einsatz von KI-Systemen trifft den Betreiber, hier also den Arbeitgeber, der das Unternehmerrisiko trägt und daher für die Organisation seines Betriebs und der Arbeitsmittel verantwortlich ist, unter anderem die Sorgfaltspflicht, deren Einsatz zu organisieren. Das gilt gerade auch, wenn diese von Arbeitnehmern bedient und/oder überwacht werden. Das verdeutlicht auch die Schulungspflicht nach Art. 4 der KI-Verordnung, nach der der Betreiber seinen Arbeitnehmern KI-Kompetenz zu vermitteln hat, wenn diese mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.

Aber auch abseits der vorgenannten Sorgfaltspflicht lässt sich eine Haftung des Arbeitgebers begründen, da er sich Pflichtverletzungen und Verschulden des Arbeitnehmers (analog) § 278 BGB zurechnen lassen muss, soweit dieser als Erfüllungsgehilfe des Arbeitgebers tätig ist. Das gilt für sämtliche Tätigkeiten im Pflichtenkreis des Arbeitgebers, selbst wenn sie weisungswidrig ausgeführt werden. Erst wenn sich ein innerer Zusammenhang mit einer Pflicht des Arbeitgebers nicht mehr feststellen lässt, unterbleibt eine Zurechnung. 

Pflichtverletzungen der Arbeitnehmer 

Der in Anspruch genommene Arbeitgeber kann unter Beachtung der Grundsätze der Rechtsprechung zum innerbetrieblichen Schadensausgleich (siehe dazu unten) beim Arbeitnehmer Regress nehmen, soweit dieser eine Pflichtverletzung zu vertreten hat. Dabei ist zunächst zwischen einer primären Interaktionspflicht und einer sekundären Überwachungspflicht zu differenzieren. Etwa bei der Verwendung von KI-Chatbots wie ChatGPT ist das Prompting der primären Interaktionspflicht (also zum richtigen Bedienen des Tools) und die rechtliche Überprüfung des Outputs der sekundären Überwachungspflicht (also der richtigen Kontrolle) zuzuordnen.

Der anzulegende Pflichtenmaßstab ist umstritten, valide Rechtsprechung existiert zu dieser Thematik bisher nicht. So lässt sich nach einem objektivierenden Ansatz in Bezug auf die primäre Interaktionspflicht vertreten, dass sich diese grundsätzlich nach dem richtet, was von einem Durchschnittsmenschen erwartet werden kann. Individuelle Besonderheiten, wie etwa ein vermindertes Leistungsvermögen, werden – zumindest, wenn sie bei Vertragsschluss nicht erkennbar waren – ausgeblendet, was in solchen Fällen zu einer Haftung führen kann, obwohl der individuelle Arbeitnehmer aufgrund seines Leistungsvermögens nicht anders handeln konnte. Die sekundäre Überwachungspflicht soll sich auf offensichtliche Fehler beschränken.

Nach allgemeinen arbeitsrechtlichen Grundsätzen zum Vorliegen von Schlechtleistungen richtet sich dagegen der Leistungsmaßstab nach dem individuellen Leistungsvermögen des Arbeitnehmers. Im Kontext der Kündigung von "Low Performern" hat das Bundesarbeitsgericht klargestellt: "Der Arbeitnehmer muss tun, was er soll, und zwar so gut, wie er kann." Es kommt damit gerade auf das individuelle Leistungsvermögen des betroffenen Arbeitnehmers an.

Ungeachtet dessen sind vorgenannte Pflichten aber jedenfalls durch Weisungen des Arbeitgebers konkretisierbar. So kann der Arbeitgeber anweisen, dass der Output nur übernommen werden darf, wenn der Inhalt verifiziert werden kann. Dies ist unseres Erachtens zulässig, solange das KI-System nur als Ergänzung herangezogen wird und die arbeitgeberseitig gesetzten Fristen für die Rechtsfindung aufgrund des KI-Einsatzes nicht verkürzt werden. 

Haftung der Beschäftigten nur bei Vorsatz und grober Fahrlässigkeit 

Hinsichtlich des Vertretenmüssens der Pflichtverletzungen finden die allgemeinen arbeitsrechtlichen Haftungsprivilegierungen Anwendung. Während im allgemeinen Schuldrecht bei Pflichtverletzungen innerhalb des Schuldverhältnisses nach § 280 Abs. 1 S. 2 Bürgerliches Gesetzbuch (BGB) vermutet wird, dass der Schuldner die Pflichtverletzung zu vertreten hat, macht § 619a BGB hiervon für das Arbeitsverhältnis zugunsten von Arbeitnehmer:innen eine Ausnahme: Bei Pflichtverletzungen von Arbeitnehmer:innen wird nicht vermutet, dass sie die Pflichtverletzung zu vertreten haben. Die Darlegungs- und Beweislast hierfür trägt somit der Arbeitgeber. Außerdem haftet der Arbeitnehmer nach der Rechtsprechung zum innerbetrieblichen Schadensausgleich bei leichtester Fahrlässigkeit nicht und bei mittlerer Fahrlässigkeit nur anteilig. Nur bei grober Fahrlässigkeit oder Vorsatz haftet der Arbeitnehmer in der Regel voll (vorbehaltlich Ausnahmen aus Billigkeitsgründen). Diese Haftungsprivilegierung hat die Rechtsprechung aus § 254 BGB, der Norm zum Mitverschulden, hergeleitet. Ihr liegt der Gedanke zugrunde, dass der Arbeitgeber durch die Organisation der Betriebsabläufe auch das Haftungsrisiko der Arbeitnehmer:innen prägt. 

Zudem wird in der Literatur vertreten, dass der Erfolg eines Regresses beim Arbeitnehmer davon abhängt, ob eine Schulung nach den Vorgaben der KI-Verordnung durchgeführt worden ist. Ungeachtet dessen ist zu beachten, dass eine Vollhaftung des Arbeitnehmers wegen Vorsatzes nach vorgenannten Grundsätzen nicht automatisch bereits gegeben sein wird, wenn der Arbeitnehmer vorsätzlich gegen eine Vorgabe aus einer Schulung verstoßen hat, denn eine Vollhaftung wegen Vorsatzes setzt voraus, dass der Arbeitnehmer auch den Schaden (und nicht bloß die Pflichtverletzung) vorsätzlich herbeiführt. 

Haftung kann auch die Organe treffen 

Auch Organe einer juristischen Person können für Fehlverhalten von Arbeitnehmern beim Einsatz von KI haften (siehe nachfolgender Absatz) denn sie haben Pflichten gegenüber der Gesellschaft (für den Geschäftsführer einer GmbH wird das aus § 43 Abs. 1 Gesetz betreffend die Gesellschaften mit beschränkter Haftung (GmbHG) hergeleitet, für Vorstände einer Aktiengesellschaft aus §§ 76, 93 Abs. 1 Aktiengesetz (AktG)). Sie müssen zum einen die erforderlichen Maßnahmen treffen, damit Arbeitnehmer die Gesetze einhalten (Einrichtung eines Compliance-Management-Systems (CMS)), dazu zählt auch die Schulungspflicht nach der KI-Verordnung. Zum anderen müssen sie die Einhaltung der Gesetze durch die Arbeitnehmer überwachen.

Hat das Leitungsorgan in zu vertretender Weise gegen diese Pflichten verstoßen und ist dadurch ein Schaden eingetreten, kommt eine Innenhaftung gegenüber der Gesellschaft in Betracht (z.B. Geschäftsführer einer GmbH nach § 43 Abs. (2) (GmbHG), Vorstände einer Aktiengesellschaft nach § 93 Abs. (2) S. 1 AktG).

Denkbar wäre jedoch eine Enthaftung von Organen durch die sogenannte Business Judgement Rule (BJR). Dieser Grundsatz stammt ursprünglich aus dem US- Recht und ist auch im deutschen Recht anerkannt. Im Kern besagt er, dass Organe einer Gesellschaft nicht pflichtwidrig handeln, wenn sie bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durften, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.

Allerdings kann die BJR keine Gesetzesverletzungen rechtfertigen. Insoweit ergibt sich bei Compliance-Entscheidungen ein schmaler Grat, denn einerseits ist die Entscheidung, ob ein CMS einzurichten ist, keine Entscheidung unternehmerischen Ermessens, sondern eine gesetzlich abgeleitete Organpflicht. Dagegen ist die Entscheidung, wie das CMS ausgestaltet ist, dem unternehmerischen Ermessen zugänglich, solange ein gewisser Mindeststandard gewahrt ist. Hinsichtlich der Schulungspflicht enthält die KI-Verordnung zwar keine konkreten Vorgaben für den Einzelfall, legt aber doch abstrakt allgemeine Mindeststandards fest.

Schulungen relevant für alle Haftungsfragen 

Die Schulungspflicht nach der KI-Verordnung wirkt sich also auf sämtliche Haftungsverhältnisse mit Arbeitnehmerbezug aus. Ihre Einhaltung ist daher essenziell. Problematisch ist, dass die KI-Verordnung keine konkreten Vorgaben macht, wie die Schulungen durchzuführen sind.

Damit werden letztlich die Gerichte in einer Nachschau zu bestimmen haben, ob die vom Arbeitgeber getroffenen Maßnahmen ausreichend waren. Zumindest können sich Arbeitgeber diesbezüglich aber an den Leitfragen der EU-Kommission und den Anregungen der Bundesnetzagentur orientieren. 

  

Die Autorin Dr. Nadine Kramer ist Of Counsel, der Autor Dominik Süß Associate bei Covington & Burling.