KI-Verordnung: Wann wird Zeiterfassung zur Hochrisiko-KI?

Ein Inhaber eines Gebäudereinigungsunternehmens sitzt abends am Küchentisch, den Kaffee längst kalt, und liest einen Fachartikel über die KI-Verordnung. Ein Satz bleibt hängen: Systeme, die Beschäftigte bewerten oder über ihre Arbeitsbedingungen mitentscheiden, gelten als Hochrisiko-KI. Er blickt auf sein Handy, auf dem die App offen ist, mit der zwanzig Reinigungskräfte morgens ein- und abends austaktet, und fragt sich zum ersten Mal, ob er ohne es zu merken ein Hochrisiko-System betreibt, das eigentlich unter strenge Auflagen fällt. Die Vorstellung, plötzlich mitten in einem europäischen Gesetzestext zu stecken, nur weil er wissen wollte, wer wann auf welcher Baustelle war, macht ihm für einen Moment mehr Sorgen als jede Rechnung.

Die Sorge ist berechtigt, die Antwort liegt aber im Detail, und genau dieses Detail trennt eine Software, die dokumentiert, von einer, die richtet. Die Verordnung (EU) 2024/1689, meist KI-Verordnung genannt, stuft im Anhang III unter dem Punkt Beschäftigung und Personalmanagement eine bestimmte Kategorie von Systemen als hochriskant ein: jene, die bestimmungsgemäß für Entscheidungen über Einstellung, Beförderung, Kündigung oder sonstige Arbeitsbedingungen eingesetzt werden, die Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale zuweisen, oder die Leistung und das Verhalten von Beschäftigten laufend beobachten und bewerten. Verboten ist das nicht, aber wer ein solches System einsetzt, übernimmt eine ganze Reihe von Pflichten: eine Risikobewertung vor der Einführung, menschliche Aufsicht über jede automatisierte Entscheidung, lückenlose Dokumentation, und vor allem die klare Information der betroffenen Personen darüber, dass und wie eine Maschine über sie urteilt.

Konkret gedacht heißt das: ein Tool, das Bewerbungen automatisch nach einem Punktesystem sortiert und aussiebt, eines, das aus Krankheitstagen und Verspätungen ein Risikoprofil errechnet, oder eine Software, die selbstständig entscheidet, wer die nächste Beförderung verdient, fällt unter diese Kategorie. Parallel dazu wächst ein Phänomen, das die Fachliteratur algorithmic management nennt: Software, die Schichten verteilt, Prioritäten setzt und Punktzahlen vergibt, ohne dass ein Mensch die einzelne Entscheidung noch nachvollzieht. Wer schon einmal eine Lieferroute bekommen hat, die eine App allein berechnet hat, oder eine interne Bewertung, die ein Algorithmus aus Klickzahlen und Reaktionszeiten zusammenrechnet, kennt das Prinzip aus eigener Erfahrung. Genau hier setzt die KI-Verordnung an: Nicht die Digitalisierung an sich ist das Problem, sondern der Moment, in dem eine Maschine über Menschen entscheidet, ohne dass diese wissen, wonach sie eigentlich beurteilt werden.

Erfassen ist nicht entscheiden

Der Unterschied zwischen den beiden Welten liegt im Grunde in einem einzigen Wort: entscheiden. Eine App, die morgens registriert, wer wann an welchem Ort mit der Arbeit begonnen hat, und abends, wann sie beendet wurde, trifft dabei keine Entscheidung über die Person. Sie hält einen Sachverhalt fest, mehr nicht. Kein Ranking, keine automatische Bewertung der Leistung, keine Zuweisung von Aufgaben aufgrund erkannter Verhaltensmuster. Genau diese drei Elemente, Bewertung, Zuweisung und Entscheidung, sind es, die ein System laut Anhang III in den Hochrisikobereich heben. Fehlen sie, bleibt ein Werkzeug ein Werkzeug, auch wenn es fleißig Daten sammelt und auswertet.

Das heißt allerdings nicht, dass ein Betrieb mit einer reinen Zeiterfassung von jeder Mitbestimmung befreit wäre. Der Betriebsrat hat nach § 90 BetrVG ein Recht auf frühzeitige Information und Beratung, sobald neue technische Einrichtungen eingeführt werden, und nach § 87 Abs. 1 Nr. 6 BetrVG sogar ein echtes Mitbestimmungsrecht, wenn ein System dazu geeignet ist, Verhalten oder Leistung zu überwachen. Wie ein aktueller Fachbeitrag von Haufe zur Beteiligung des Betriebsrats bei KI-Systemen zeigt, greifen diese Rechte unabhängig davon, ob ein Werkzeug als Hochrisiko-KI im Sinn der Verordnung gilt oder nicht. Dazu kommt die DSGVO mit ihren Grundsätzen der Datenminimierung und der Transparenz gegenüber der betroffenen Person. Das alles bleibt bestehen, ist aber etwas anderes als das strenge Regime der Hochrisiko-KI mit Konformitätsbewertung, Grundrechte-Folgenabschätzung und laufender menschlicher Aufsicht über jede Einzelentscheidung. Es ist die Hausaufgabe, die ohnehin zu machen war, nicht die Zusatzlast, die die neue Verordnung draufsetzt.

Der praktische Punkt für den Betrieb

Für ein Unternehmen mit Teams auf Baustellen, in Reinigungsobjekten oder im Sicherheitsdienst zählt am Ende eine einzige Frage: Will ich ein System, das über meine Leute urteilt, oder eines, das mir und ihnen zeigt, was tatsächlich passiert ist? Die erste Variante bringt Pflichten mit sich, die ein kleiner Betrieb kaum allein stemmen kann, dazu das Risiko, dass die eigene Belegschaft einem Werkzeug misstraut, das sie nicht versteht und dessen Kriterien sie nicht kennt. Die zweite Variante ist der leichtere Weg, gerade weil Transparenz gegenüber der beschäftigten Person hier keine lästige Auflage ist, sondern der Kern der Sache. Wer selbst sieht, was über ihn erfasst wird, und weiß, dass keine Maschine über seine Zukunft im Betrieb entscheidet, hat auch keinen Grund zu Misstrauen. Die Konformität beginnt also nicht bei einem Formular, sondern bei der Frage, was das eigene Werkzeug überhaupt darf und was nicht.

Viele Handwerks- und Dienstleistungsbetriebe haben ohnehin keinen Betriebsrat, gerade unterhalb der gesetzlichen Schwellenwerte, und könnten daher versucht sein, sich um das Thema komplett keine Gedanken zu machen. Das greift zu kurz: Auch ohne Betriebsrat gilt die DSGVO für jede erfasste Bewegung und jeden gespeicherten Zeitstempel, und spätestens beim ersten neuen Kollegen mit einer Meinung dazu zeigt sich, ob ein Werkzeug erklärbar ist oder nicht. Die eigentliche Arbeit liegt also nicht in einer neuen Bürokratie, sondern in einer einzigen ehrlichen Antwort auf die Frage, was die eigene Software mit den Daten eigentlich anstellt, sobald sie erfasst sind.

Ein Register, das geo-datiert festhält, wer wann an welchem Ort gearbeitet hat, lesbar für die beschäftigte Person selbst, ohne automatische Bewertung und ohne Punktesystem, bleibt genau auf der richtigen Seite dieser Grenze. GeoTapp ist als ein solcher Arbeitsnachweis aufgebaut, ein Tap zum Beginnen der Schicht, einer zum Beenden, ein Protokoll, das jeder Mitarbeitende jederzeit selbst einsehen kann, ohne Profile, ohne Noten, ohne einen Algorithmus, der irgendjemandem ein Urteil ausstellt.

Der Inhaber vom Anfang kann also den Fachartikel zuklappen und beruhigt schlafen gehen: Seine App entscheidet nichts, sie zeigt nur, was war, und genau darin liegt der Unterschied zwischen einer Zeiterfassung und einer Hochrisiko-KI. Die eigentliche Frage für jeden Betrieb ist ohnehin nicht, ob die eigene Technik neu und beeindruckend klingt, sondern ob sie noch beweist oder schon urteilt. Wer das für seine Zeiterfassung einmal ehrlich prüfen will, kann sich die kostenlose Testphase von GeoTapp ansehen und selbst sehen, wie wenig Aufwand ein sauberer Arbeitsnachweis eigentlich braucht.