Sanktionen, Aufsicht und Fazit

Verstöße gegen die Verordnung können mit erheblichen Geldbußen geahndet werden, die bis zu 7 % – in manchen Fällen 3 % – des konzernweiten Vorjahresumsatzes betragen können. Die angedrohten Bußen liegen damit deutlich über denen der DSGVO.

Die Einhaltung der Verordnung zu überwachen und durchzusetzen ist Sache der EU und ihrer Mitgliedstaaten. In Deutschland wurden die dafür notwendigen gesetzlichen Bestimmungen und Behörden erst verspätet im Jahr 2026 geschaffen bzw. bestimmt. Geregelt ist das im KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG). Danach ist die Bundesnetzagentur Marktüberwachungsbehörde und übernimmt auch die Aufgaben der notifizierenden Behörde nach Art. 28 ff. EU-KI-VO.

Arbeitnehmervertretungen und Kollektivvereinbarungen erwähnt die Verordnung nur am Rande und überträgt ihnen keine Aufgaben. Natürlich wacht eine Arbeitnehmervertretung auf Grundlage ihrer allgemeinen Aufgaben nach § 80 Abs. 1 Nr. 1 BetrVG über die Einhaltung der Verordnung, ihr fehlt aber aus den genannten Gründen ein Mandat zur Durchsetzung. Anders als im Datenschutz sieht die Verordnung auch keinen betrieblichen Beauftragten vor, der die Einhaltung überwacht und auf die nötigen Maßnahmen hinwirkt. Weil KI-Systeme regelmäßig personenbezogene Daten verarbeiten, ob von Beschäftigten oder Kunden, übernimmt diese Aufgabe oft der Datenschutzbeauftragte mit.

Gelegentlich liest oder hört man, die EU-KI-VO sei ein wirksames Instrument der Arbeitnehmervertretung. Ein wirksames Instrument mag sie sein, aber nicht für die Arbeitnehmervertretung, denn die kann damit nichts durchsetzen. Betriebs- und Personalräte sind auf ihre hergebrachten Mitbestimmungsrechte angewiesen, die im Folgenden betrachtet werden.