Das für Sie geltende Recht

Agents at Work — CC BY 4.0

Die meisten kleinen Anbieter, die KI zur Verarbeitung personenbezogener Daten einsetzen, geben sich einer trügerischen Gewissheit hin: Da es hier kein KI-Gesetz gibt, gibt es auch nichts, worüber man sich Sorgen machen müsste. Das ist die gefährlichste Fehleinschätzung in diesem gesamten Kurs. Es mag in Neuseeland zwar kein eigens dafür geschaffenes „KI-Gesetz“ geben – doch die bereits bestehenden Gesetze gelten auch für die Aktivitäten Ihres Systems, und „keine KI-spezifischen Vorschriften“ bedeutet nicht dasselbe wie „keine Vorschriften“. Diese Lektion dient als Orientierungshilfe. Es handelt sich um allgemeine Aufklärung, nicht um Rechtsberatung – die Rechtslage ist an manchen Stellen tatsächlich unklar, und Ihre konkreten Fälle erfordern eine qualifizierte Stellungnahme.

Neuseeland – allgemeines Recht, und das hat es in sich

Neuseeland hat kein Äquivalent zur europäischen Regelung für automatisierte Entscheidungen . Die dreizehn Datenschutzgrundsätze des Privacy Act 2020 enthalten keinerlei Bestimmungen zu KI oder automatisierten Entscheidungen. (Im Rahmen der fünfjährigen Überprüfung durch den Datenschutzbeauftragten wurde geprüft, ob Schutzvorkehrungen für die automatisierte Entscheidungsfindung hinzugefügt werden sollten – dies könnte sich also ändern; behalten Sie die Entwicklung im Auge.) In der Praxis bedeutet das, dass KI bei der Personalauswahl und im Umgang mit personenbezogenen Daten dem allgemeinen Datenschutzrecht und dem Diskriminierungsrecht unterliegt – die für Sie gelten, unabhängig davon, ob jemand „KI“ erwähnt oder nicht.

Die Grundsätze des Datenschutzgesetzes, die am stärksten ins Gewicht fallen:

• IPP1 – Erheben Sie nur das, was Sie benötigen. Sie sollten keine identifizierenden Angaben verlangen, die für den Zweck nicht erforderlich sind. Dies ist die rechtliche Grundlage für den Begriff „identitätsblind“ aus Stufe 2 – die Eingabe eines Namens, eines Fotos oder eines Geburtsdatums in ein System, das diese Informationen für seine Aufgabe nicht benötigt, verstößt gegen diesen Grundsatz.
• IPP5 – Schützen Sie personenbezogene Daten, und dies gilt ausdrücklich auch für das, was Sie in ein KI-Tool eingeben. Der Datenschutzbeauftragte hat unmissverständlich erklärt, dass Ihre Sicherheitspflicht bis zur Eingabeaufforderung reicht. Das Einfügen der Daten eines Kunden oder Bewerbers in ein öffentliches LLM, das diese möglicherweise speichert oder zum Trainieren verwendet, ist keine Grauzone – genau darum geht es bei diesem Grundsatz. Dies ist der einzige Umstand, der „Wir haben die Lebensläufe einfach in einen Chatbot eingefügt“ sofort unterbinden sollte.
• IPP8 – Genauigkeit und IPP11 – Beschränkungen der Weitergabe. Ob die Weitergabe personenbezogener Daten an einen externen Dienstleister (insbesondere im Ausland) als Weitergabe gilt, die einer rechtmäßigen Grundlage bedarf, ist in Neuseeland tatsächlich ungeklärt – es gibt noch keine Rechtsprechung dazu –, und genau deshalb müssen Sie dies klären, bevor Sie den Agenten aktivieren.

Das Menschenrechtsgesetz von 1993 – das, das oft vergessen wird. In § 21 sind die verbotenen Diskriminierungsgründe aufgeführt (Geschlecht, Alter, ethnische oder nationale Herkunft, Behinderung, Familienstand und mehr). § 22 erklärt es für rechtswidrig, einen qualifizierten Bewerber aus einem verbotenen Grund abzulehnen – und § 22 Abs. 2 bezieht sich ausdrücklich auf Personalvermittler. Entscheidend ist, dass ein Ergebnismit ungleicher Auswirkung unabhängig von der Absicht einen Verstoß darstellen kann: Ein Auswahlverfahren, das auf den ersten Blick neutral ist, aber eine geschützte Gruppe unverhältnismäßig stark benachteiligt, kann rechtswidrig sein, auch wenn niemand die Absicht hatte, zu diskriminieren. Deshalb ist die Prüfung auf nachteilige Auswirkungen in Stufe 3 keine optionale Höflichkeitsmaßnahme – so finden Sie heraus, ob Sie sich auf der falschen Seite dieser Regelung befinden.

Was der Datenschutzbeauftragte erwartet (Leitlinien, kein verbindliches Recht – aber sie prägen die Bedeutung von „angemessen“): Genehmigung durch die oberste Führungsebene; eine Datenschutz-Folgenabschätzung, bevor Sie das Tool einsetzen; Transparenz gegenüber den betroffenen Personen; die Einbeziehung von Māori hinsichtlich der Risiken für die taonga durch deren Daten; eine echte Überprüfung durch einen Menschen, bevor Maßnahmen ergriffen werden; und Tools, die die Daten weder speichern noch weitergeben. Der Beauftragte weist darauf hin, dass die KI-Prüfung von Bewerbungen eine „nicht gute“ Erfolgsbilanz aufweist, warnt davor, dass ein rein symbolischer „Human-in-the-Loop“ die „Automatisierungsblindheit“ möglicherweise nicht beheben kann – und sagt, mit anderen Worten: Im Zweifelsfall sollten Sie keine KI-Tools zur Verarbeitung personenbezogener Daten einsetzen.

Europa – wenn Sie auch nur einen in der EU ansässigen Bewerber betreffen

Man könnte meinen, das EU-Recht sei das Problem anderer. Es kann ein neuseeländisches Unternehmen jedoch über eine bestimmte Hintertür erreichen: nicht dort, wo Ihr Unternehmen ansässig ist, sondern dort, wo das Ergebnis genutzt wird. Wenn die Entscheidung Ihres Agenten in Bezug auf eine in der EU ansässige Person verwendet wird, können die EU-Vorschriften für Sie gelten.

• Artikel 22 der DSGVO – ausschließlich automatisierte Entscheidungen über eine Person sind grundsätzlich verboten. Eine Einstellungsentscheidung, die ausschließlich von einer Maschine getroffen wird, ist das Paradebeispiel dafür. Was sie aus dem Verbot herausholt, ist eine echte, nicht nur symbolische menschliche Beteiligung – jemand mit der Befugnis und den Informationen, zu einer anderen Entscheidung zu gelangen. Ist der Prozess tatsächlich vollständig automatisiert, ist er nur unter engen Voraussetzungen und stets mit Schutzmaßnahmen (menschliches Eingreifen, das Recht auf Einsicht, eine Erklärung, Widerspruch sowie Maßnahmen gegen Voreingenommenheit) rechtmäßig.
• Das EU-KI-Gesetz stuft KI in der Personalbeschaffung als risikoreich ein. Systeme, die zur Personalbeschaffung oder -auswahl eingesetzt werden – zum Filtern von Bewerbungen oder zur Bewertung von Bewerbern – werden als risikoreich eingestuft und unterliegen Verpflichtungen, darunter eine sinnvolle menschliche Aufsicht. Ein System, das Personen einstuft oder filtert, kann sich dem nicht entziehen, indem es behauptet, eine „eng gefasste Aufgabe“ zu erfüllen. (Die Verpflichtungen des Gesetzes treten nach einem Übergangszeitplan schrittweise in Kraft; überprüfen Sie die aktuellen Inkrafttretungsdaten anhand der Verordnung selbst, bevor Sie sich auf ein bestimmtes Datum verlassen – in diesem Bereich geht es schnell voran.)

Wo das Risiko liegt

Betrachtet man beide Rechtsordnungen zusammen, ergibt sich aus beiden: Eine Entscheidung über eine Person, die von einer Maschine getroffen oder maßgeblich beeinflusst wird, ohne echtes menschliches Urteilsvermögen und ohne Überprüfung auf Voreingenommenheit, ist der Ort, an dem das rechtliche Risiko liegt – hier durch das Diskriminierungsrecht und das Datenschutzrecht, und in Europa durch Artikel 22 und das KI-Gesetz, wenn Sie in Europa tätig sind. „Es gibt kein KI-Gesetz“ war noch nie eine Verteidigung. Die Vorgaben aus den früheren Stufen – weniger Daten erheben, die Datenverwahrung sicherstellen, auf nachteilige Auswirkungen prüfen, eine echte menschliche Entscheidung treffen und manchmal gar nicht automatisieren – sind nicht nur bewährte Praxis. Sie sind der Weg, wie man auf der richtigen Seite des bereits bestehenden Rechts bleibt.

Weiter

Das Gesetz nennt eine Verpflichtung, die zugleich einen Wert darstellt: die Einbeziehung von Māori in Bezug auf ihre Daten. Das verdient eine eigene Lektion.