Grundsatz: Braucht es überhaupt neue Vertragsklauseln?

Nicht jede KI-bezogene Vorgabe gehört in den Arbeitsvertrag; tatsächlich passen manche Vorgaben besser in ein Reglement. Entscheidend ist dabei, ob individuelle Rechte und Pflichten der Mitarbeitenden oder organisatorische Abläufe geregelt werden sollen.

In den Arbeitsvertrag gehören insbesondere Regelungen mit persönlichem oder arbeitsrechtlichem Bezug. Dazu zählen etwa Bestimmungen zum Datenschutz, zur Nutzung von KI im Umgang mit Personendaten, zu den Rechten an Arbeitsergebnissen, die im Zusammenhang mit KI entstehen, zu erweiterten Geheimhaltungspflichten oder zur menschlichen Letztverantwortung bei KI-gestützten Entscheidungen.

Technische und organisatorische Vorgaben, wie zugelassene KI-Anwendungen, IT-Sicherheitsanforderungen, Dokumentationspflichten oder Schulungsvorgaben, lassen sich demgegenüber flexibler in einer KI-Richtlinie regeln. Da sich KI und die regulatorischen Anforderungen laufend weiterentwickeln, können solche Vorgaben dort einfacher angepasst werden als im Arbeitsvertrag.

In der Praxis empfiehlt sich deshalb eine Kombination beider Instrumente. So schafft der Arbeitsvertrag den rechtlichen Rahmen und regelt die wesentlichen Rechte und Pflichten der Parteien. Die KI-Richtlinie konkretisiert die operative Umsetzung und enthält die technischen sowie organisatorischen Vorgaben für den sicheren Einsatz von KI im Unternehmen.

Eine frühzeitige Einbindung der Mitarbeitenden stärkt zudem die Akzeptanz neuer Technologien und unterstützt deren rechtskonforme Anwendung.

Typische neue Vertragsklauseln

Mit der zunehmenden Nutzung von KI im Arbeitsalltag entstehen neue rechtliche Fragestellungen, die bestehende Arbeitsverträge häufig nicht oder nur unzureichend regeln. Je nach Branche und Einsatzgebiet kann es deshalb sinnvoll sein, Arbeitsverträge um KI-spezifische Bestimmungen zu ergänzen.

Eine zentrale Rolle spielen der Datenschutz und die erlaubte Nutzung von KI. Solche Klauseln regeln, unter welchen Voraussetzungen Mitarbeitende KI-Systeme im Umgang mit Personendaten oder anderen sensiblen Unternehmensinformationen einsetzen dürfen. Gleichzeitig stellen sie klar, dass die datenschutzrechtlichen Grundsätze (insbesondere Transparenz, Zweckbindung, Verhältnismässigkeit, Datenminimierung und Datensicherheit) auch beim Einsatz von KI uneingeschränkt gelten. Werden KI-Lösungen von Drittanbietern eingesetzt, ist ferner zu prüfen, ob ein Auftragsdatenbearbeitungsvertrag nach Art. 9 DSG erforderlich ist und ob bei einer Datenübermittlung ins Ausland zusätzliche Schutzmassnahmen zu treffen sind.

Praxisbeispiel

Eine HR-Mitarbeiterin kopiert Bewerbungsunterlagen in ChatGPT, um eine Zusammenfassung erstellen zu lassen. Enthalten die Unterlagen Personendaten und wird ein nicht freigegebenes KI-Tool verwendet, entstehen datenschutzrechtliche Risiken. Klare vertragliche Vorgaben minimieren diese.

Je nach Anwendungsfall kann zudem eine Einwilligung erforderlich sein. Im Arbeitsverhältnis ist jedoch Zurückhaltung geboten, denn wegen des Abhängigkeitsverhältnisses ist die Freiwilligkeit einer Einwilligung häufig fraglich. Damit ist auch die Wirkung der Einwilligung infrage gestellt. Wo immer möglich sollte die Datenbearbeitung deshalb auf eine gesetzliche Grundlage oder ein überwiegendes berechtigtes Interesse gestützt werden.

Von wachsender Bedeutung sind zudem auch Regelungen zu den Rechten an Arbeitsergebnissen, die im Zusammenhang mit KI erstellt wurden (z.B. Prompt oder Output). Vertraglich sollte festgelegt werden, wem die Nutzungs- und Verwertungsrechte an mit KI erstellten Texten, Bildern, Programmcodes oder Workflows zustehen. Da rein KI-generierte Inhalte häufig keinen urheberrechtlichen Schutz geniessen, schafft eine vertragliche Regelung zusätzliche Rechtssicherheit.

Praxisbeispiel

Ein Marketingmitarbeitender entwickelt mit ChatGPT eine umfangreiche Prompt- Bibliothek und erstellt Werbetexte. Ohne vertragliche Regelung kann unklar sein, ob diese nach Beendigung des Arbeitsverhältnisses weiterverwendet werden dürfen.

Auch Geheimhaltungs- und Vertraulichkeitsklauseln sollten an die neuen technischen Möglichkeiten angepasst werden. Neben klassischen Geschäftsgeheimnissen können heute auch Trainingsdaten, proprietäre Modelle, Prompt-Bibliotheken oder interne Automatisierungen schutzwürdige Unternehmenswerte darstellen. Es sollte daher klar geregelt werden, welche Informationen vertraulich sind und nicht in nicht freigegebene KI-Systeme eingegeben werden dürfen.

Praxisbeispiel

Ein Projektleiter gibt vertrauliche Vertragsentwürfe in ein frei zugängliches KI-System ein, um diese zusammenfassen zu lassen. Dadurch können Geschäftsgeheimnisse offengelegt werden. Eine angepasste Geheimhaltungsklausel untersagt die Eingabe vertraulicher Unternehmensinformationen in nicht freigegebene KI-Anwendungen.

Ferner gewinnt die Regelung der zulässigen Nutzung von KI-Systemen an Bedeutung. Sie sollte klarstellen, dass KI Mitarbeitende unterstützt, Personalentscheide jedoch nicht autonom treffen darf. Einstellungen, Beförderungen, Leistungsbeurteilungen oder Kündigungen müssen stets von einer verantwortlichen Person überprüft und verantwortet werden.

Ergänzend kann der Arbeitsvertrag auf die unternehmensinterne KI-Richtlinie verweisen und die Pflicht zur Teilnahme an Schulungen vorsehen. Dadurch wird sichergestellt, dass Mitarbeitende KI-Systeme rechtskonform und entsprechend den betrieblichen Vorgaben verwenden.

Praxisbeispiel

Ein Unternehmen führt Microsoft Copilot ein. Der Arbeitsvertrag verpflichtet Mitarbeitende zur Teilnahme an den vorgesehenen Schulungen und zur Einhaltung der internen KI-Richtlinie. So wird ein rechtskonformer Einsatz der KI sichergestellt.

Arbeitsvertrag oder KI-Richtlinie?

Die Einführung von KI erfordert nicht zwingend neue Arbeitsverträge. Entscheidend ist vielmehr, welche Regelungen aufgrund ihrer rechtlichen Tragweite in den Arbeitsvertrag gehören und welche zweckmässiger in einer unternehmensinternen KI-Richtlinie geregelt werden.

Der Arbeitsvertrag sollte die grundlegenden Rechte und Pflichten der Parteien regeln, insbesondere zur KI-Nutzung, zum Datenschutz, zu den Rechten an KI-gestützten Arbeitsergebnissen, zur Geheimhaltung sowie zur menschlichen Letztverantwortung bei KI-gestützten Entscheidungen. Die KI-Richtlinie regelt demgegenüber die operative Umsetzung, etwa den Einsatz zulässiger KI-Systeme, die Bearbeitung von Unternehmens- und Personendaten sowie die IT-Sicherheit. Aufgrund der raschen technologischen und regulatorischen Entwicklung können diese Vorgaben dort flexibler angepasst werden.

Zudem empfiehlt es sich, Mitarbeitende bei der Einführung oder wesentlichen Änderung von KI-Systemen frühzeitig zu informieren und einzubeziehen. Das Bundesamt für Justiz erachtet entsprechende Informations- und Mitwirkungsrechte als sachgerecht.

Kurz zusammengefasst schafft der Arbeitsvertrag den rechtlichen Rahmen, während die KI-Richtlinie dessen praktische Umsetzung sicherstellt.

Arbeitsvertrag oder KI-Richtlinie? → Zur Übersicht

Besondere Vorsicht beim Einsatz von KI im HR

Der Einsatz von KI im Personalwesen unterliegt insbesondere dem schweizerischen Arbeits- und Datenschutzrecht. In bestimmten Konstellationen kann auch das Recht der Europäischen Union (EU) Anwendung finden. Hier ist insbesondere die KI-Verordnung der EU (EU-KI-VO) von Bedeutung. Deren Anwendungsbereich beschränkt sich nicht auf Unternehmen innerhalb der EU, sondern kann auch Schweizer Unternehmen mit Geschäftsbeziehungen zum EU-Raum erfassen.

Besondere Anforderungen gelten für KI-Systeme, die bei der Rekrutierung, Bewerberselektion, Leistungsbeurteilung, Beförderung oder Kündigung eingesetzt werden. Solche Anwendungen gelten nach der EU-KI-VO grundsätzlich als Hochrisiko-KI-Systeme und unterliegen erhöhten Anforderungen an Risikomanagement, Transparenz, Dokumentation und menschliche Aufsicht. Ausgenommen sind Systeme mit rein unterstützender Funktion, die das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflussen.

Nach schweizerischem Recht dürfen Personendaten von Mitarbeitenden und Bewerbenden nur bearbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist (Art. 328b OR). Zudem sind die Bearbeitungsgrundsätze des Datenschutzgesetzes (DSG) einzuhalten. Werden KI-Anwendungen externer Anbieter eingesetzt, sind auch die Anforderungen an die Auftragsdatenbearbeitung und an grenzüberschreitende Datenbekanntgaben zu beachten.

Besondere Aufmerksamkeit verdient das Risiko algorithmischer Diskriminierung. KI-Systeme können bestehende Vorurteile übernehmen oder anhand scheinbar neutraler Merkmale Rückschlüsse auf geschützte Eigenschaften ziehen. Personalentscheide sollten deshalb nie ausschliesslich auf automatisierten Analysen beruhen, sondern stets einer sachgerechten menschlichen Überprüfung unterliegen.

Werden automatisierte Einzelentscheidungen getroffen, sind die datenschutzrechtlichen Informationspflichten einzuhalten. Nach der Praxis des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) genügt die gesetzliche Mindestinformation häufig nicht. Betroffene sollen insbesondere nachvollziehen können, zu welchem Zweck ein KI-System eingesetzt wird, welche Daten verwendet werden und welchen Einfluss die KI auf die Entscheidungsfindung hat.

Auch der Einsatz von KI zur Leistungs- oder Verhaltensüberwachung ist rechtlich besonders sensibel. Nach Art. 26 ArGV 3 sind Überwachungs- und Kontrollsysteme unzulässig, wenn sie primär der Überwachung des Verhaltens von Mitarbeitenden dienen. KI-Systeme zur Emotionserkennung oder zur laufenden Analyse von Verhalten und Produktivität genügen diesen Anforderungen regelmässig nicht.

Vor der Einführung neuer KI-Anwendungen empfiehlt sich daher eine strukturierte Risikoanalyse. Zu prüfen sind insbesondere die bearbeiteten Personendaten, die Notwendigkeit einer Datenschutz-Folgenabschätzung, die Informationspflichten sowie geeignete technische und organisatorische Schutzmassnahmen. Klare interne Richtlinien, regelmässige Schulungen und ein transparentes Governance-Modell tragen dazu bei, rechtliche Risiken zu minimieren und das Vertrauen der Mitarbeitenden in den verantwortungsvollen Einsatz von KI zu stärken.

Die Schweiz verfügt derzeit über keine allgemeine KI-Gesetzgebung. Der Bundesrat verfolgt einen sektorbezogenen Regulierungsansatz und hat angekündigt, die KI-Konvention des Europarats in das schweizerische Recht zu überführen. Unternehmen sollten diese Entwicklung aufmerksam verfolgen, ihre Governance Strukturen frühzeitig anpassen und die notwendige Flexibilität für allfällige Gesetzesanpassungen im KI-Reglement vorsehen.

Fazit

Der Einsatz von KI eröffnet Unternehmen erhebliche Chancen, erfordert aber eine vorausschauende arbeits- und datenschutzrechtliche Gestaltung. Arbeitgeber sind daher gut beraten, Arbeitsverträge und interne Regelwerke regelmässig zu überprüfen und an die zunehmenden regulatorischen Anforderungen anzupassen.

(Dieser Praxisfall ist in der Ausgabe September 2026 von personalSCHWEIZ erschienen)