Dürfen Sie die KI-Prompts von Mitarbeitenden einsehen? DSGVO und BetrVG
Kurz gesagt
Ein Arbeitgeber darf die KI-Nutzung nur überwachen, wenn das erforderlich und verhältnismäßig ist, und die Beschäftigten müssen es vorher wissen. Das regelmäßige Mitlesen einzelner Prompts ist selten verhältnismäßig. Aggregierte Einblicke, mit Einsicht in Einzelfälle nur bei einem konkreten Vorfall, sind es oft. Ein System, das Verhalten oder Leistung überwachen kann, ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
Warum Organisationen es wissen wollen
Es gibt gute Gründe, etwas über die KI-Nutzung wissen zu wollen: feststellen, ob sensible Daten in Prompts landen, einen Vorfall untersuchen oder verstehen, welche Aufgaben Beschäftigte mit KI erledigen, um sie besser zu unterstützen. Zugleich sind Prompts persönlich. Sie zeigen, womit jemand ringt, was er nicht weiß und wie er denkt.
Die Frage ist daher nicht, ob Sie Einblick haben dürfen, sondern wie viel, wofür und mit welchen Schutzmaßnahmen.
Was die Regeln sagen
| Regel | Bedeutung für Einblicke in die KI-Nutzung |
|---|---|
| DSGVO: Rechtsgrundlage, Zweckbindung, Verhältnismäßigkeit | Der Zweck muss vorher feststehen, und Sie wählen den mildesten Weg, ihn zu erreichen. Regelmäßiges Mitlesen „zur Kontrolle“ ist selten verhältnismäßig. |
| Transparenz | Beschäftigte müssen vorher wissen, was erfasst wird, warum und wer es einsehen kann. Verdeckte Kontrolle ist nur in Ausnahmefällen zulässig. |
| § 87 Abs. 1 Nr. 6 BetrVG | Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen der Mitbestimmung des Betriebsrats. Nach der Rechtsprechung genügt die objektive Eignung. |
| Datenschutz-Folgenabschätzung | Systematische Überwachung von Beschäftigten ist ein Kriterium, das in der Regel eine DSFA erforderlich macht. |
| KI-Verordnung | Emotionserkennung am Arbeitsplatz ist verboten. Prompts auf Stimmung oder Gemütszustand auszuwerten, fällt schnell darunter. |
Achtung: Das gilt auch, wenn Sie es nicht beabsichtigen. Ein KI-Dienst, der alle Prompts pro Person speichert und für Administratoren durchsuchbar macht, ist geeignet, Verhalten zu überwachen, und damit bereits mitbestimmungspflichtig.
Eine ausgewogene Lösung: drei Stufen der Einsicht
- Anonym, als Standard. Die Organisation sieht aggregierte Muster: welche Arten von Fragen, welche Modelle, wie oft blockierte Daten vorkommen. Genug, um zu steuern und zu verbessern, ohne Einzelne zu verfolgen.
- Pro Abteilung, wenn es einen Grund gibt. Dieselben Einblicke pro Team, für Kapazität und um zu sehen, wo Schulung nötig ist. Mit Gruppen, die groß genug sind, dass Einzelne nicht erkennbar sind.
- Pro Person, nur bei einem Vorfall. Einzelne Prompts nur bei konkretem Verdacht einsehen, nach Freigabe durch zwei Administratoren und protokolliert im Audit-Log. Nicht zur täglichen Kontrolle.
Halten Sie die gewählte Stufe in einer Richtlinie fest, lassen Sie den Datenschutzbeauftragten prüfen und regeln Sie sie mit dem Betriebsrat, meist in einer Betriebsvereinbarung. Siehe auch KI-Richtlinie erstellen und DSFA für generative KI.
So funktioniert es in werqly AI Control
In werqly AI Control ist genau diese Wahl eine Einstellung: anonym (Standard), pro Abteilung oder pro Person mit Freigabe durch zwei Administratoren. Jeder Wechsel der Stufe steht selbst im Audit-Log, sichtbar für den Datenschutzbeauftragten und vorzeigbar gegenüber dem Betriebsrat.
Weil die Modelle auf einem eigenen Node in Ihrem Serverraum laufen, liegen die Prompts nirgendwo sonst. Kein externer KI-Anbieter speichert sie zu eigenen Bedingungen, und die Speicherdauer der Protokolle legen Sie selbst fest. So haben Sie die Einblicke, die Sie für die Sicherheit brauchen, ohne ein System, das Beschäftigte still überwacht. Warum eine freigegebene Umgebung der beste Anfang ist, lesen Sie in Schatten-KI.
Häufige Fragen
Fragen zu diesem Thema
Darf der Arbeitgeber ChatGPT-Gespräche von Beschäftigten mitlesen?
Nur mit klarem Zweck, wenn es erforderlich und verhältnismäßig ist und die Beschäftigten es vorher wissen. Regelmäßiges Mitlesen ist selten verhältnismäßig. Bei Business-Konten können Administratoren oft Gespräche einsehen; legen Sie vorher fest, ob und wann das geschieht.
Hat der Betriebsrat bei KI-Tools ein Mitbestimmungsrecht?
Wenn das System objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen, ja: § 87 Abs. 1 Nr. 6 BetrVG. Ein KI-Dienst, der Prompts pro Person erfasst, erfüllt das schnell. In der Praxis wird der KI-Einsatz oft in einer Betriebsvereinbarung geregelt.
Braucht es eine DSFA, wenn wir die KI-Nutzung protokollieren?
Bei systematischer oder umfangreicher Überwachung von Beschäftigten in der Regel ja. Auch unabhängig davon ist die Protokollierung von Prompts eine Verarbeitung mit Risiken, die in eine Datenschutz-Folgenabschätzung gehört.
Wie lange dürfen KI-Protokolle gespeichert werden?
Nicht länger als für den Zweck nötig. Für Sicherheitsuntersuchungen sind einige Monate üblich; aggregierte Statistiken können länger bleiben. Legen Sie die Frist in der Richtlinie oder Betriebsvereinbarung fest und sorgen Sie dafür, dass die Umgebung sie technisch durchsetzt.
Quellen
- § 87 BetrVG — Mitbestimmungsrechte
- Datenschutzkonferenz — Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
- KI-Verordnung — Verordnung (EU) 2024/1689, Art. 5
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.