Das Problem der Schnittstellen

Das wesentliche Problem bei der Mitbestimmung über KI-Systeme sind nicht die Überwachungsmöglichkeiten, die bei ihrer Administration entstehen. Entscheidend ist, dass KI-Systeme über Konnektoren, Apps, MCP-Server und dergleichen auf andere Dienste zugreifen und deren Daten auslesen können.

Ein denkbares Szenario: Eine KI hat Zugriff auf das Zeiterfassungssystem ATOSS, auf die Benutzerverwaltung Entra ID und auf das Ticketsystem Jira von Atlassian. Jedes System für sich ist geregelt und wird so verwendet, wie es die jeweilige Betriebsvereinbarung bestimmt. Nun kommt ein Anwender auf die Idee, die KI zu beauftragen, Daten aus allen drei Systemen abzurufen und zu einem Report zusammenzuführen.

So könnte ein Report entstehen, aus dem ersichtlich ist, wann sich ein Beschäftigter zuerst bei ATOSS angemeldet hat, wann danach zum ersten Mal bei Entra ID, also an seinem PC, und wann er das erste Ticket in Angriff genommen hat. Wurde er auf dem Weg zum PC zu einem kurzen Meeting gerufen oder hat er einen Anruf erhalten, entsteht eine zeitliche Lücke, für die er sich womöglich rechtfertigen muss.

Beim Abschluss der drei Betriebsvereinbarungen über ATOSS, Entra ID und Jira hat sich diese Frage gar nicht gestellt. Deshalb sollte man bei Regelungen über ein KI-System unbedingt klarstellen, dass eine Zusammenführung von Daten über das Verhalten von Arbeitnehmern grundsätzlich unzulässig ist. Ausnahmen gelten nur, soweit die Regelungen über die jeweiligen Datenquellen sie vorsehen und erlauben. Eine Betriebs- oder Dienstvereinbarung über ein KI-System sollte deshalb auch die Konnektoren, MCP-Server und anderen Schnittstellen zu anderen Systemen regeln. Im Grunde verhält sich ein KI-System wie ein Reporting-Tool – mit der Besonderheit, dass man jederzeit mit einfachen sprachlichen Anweisungen festlegen kann, wie ein Report aufgebaut ist und auf welchen Daten er beruht.