Emotionserkennung am Arbeitsplatz: Was der AI Act verbietet

Emotionserkennung am Arbeitsplatz ist nach Art 5 Abs 1 lit f der Verordnung (EU) 2024/1689 grundsätzlich verboten. Das betrifft KI-Systeme, die aus Gesicht, Stimme oder anderen biometrischen Daten auf Gefühle oder Absichten von Beschäftigten schließen. Für medizinische oder sicherheitsbezogene Gründe sieht die Vorschrift eine eng begrenzte Ausnahme vor. Unternehmen sollten daher vor einer Beschaffung, einem Testbetrieb oder einer laufenden Nutzung klären, was das System tatsächlich ableitet, auf welcher Rechtsgrundlage es eingesetzt werden soll und welche weniger eingriffsintensive Lösung verfügbar ist.

Was der AI Act unter Emotionserkennung versteht

Der AI Act verwendet für Emotionserkennung einen technischen Begriff. Nach Art 3 Z 39 ist ein Emotionserkennungssystem ein KI-System, das Emotionen oder Absichten natürlicher Personen anhand ihrer biometrischen Daten identifiziert oder ableitet. Biometrische Daten sind nach Art 3 Z 34 personenbezogene Daten, die aus einer spezifischen technischen Verarbeitung körperlicher, physiologischer oder verhaltensbezogener Merkmale entstehen. Dazu können etwa Gesichtsbilder, Stimme oder charakteristische Bewegungen gehören.

Entscheidend ist die Funktion des Systems. Eine Kamera, die lediglich ein Bild für eine Zutrittsberechtigung abgleicht, beantwortet eine andere Frage als ein Programm, das aus demselben Bild Nervosität, Ärger oder Aufmerksamkeit ableiten will. Auch die Bezeichnung des Produkts ist nicht ausschlaggebend. Ein Anbieter kann von „Engagement-Analyse“, „Stimmungsindex“ oder „Teamklima“ sprechen. Rechtlich zählt, welche Daten verarbeitet werden und welche Aussage das System über eine Person erzeugt.

Warum Emotionserkennung am Arbeitsplatz verboten ist

Art 5 Abs 1 lit f des AI Act verbietet es, Emotionserkennungssysteme am Arbeitsplatz oder in Bildungseinrichtungen in Verkehr zu bringen, in Betrieb zu nehmen oder zu verwenden. Das Verbot gilt seit 2. Februar 2025. Es richtet sich deshalb nicht erst gegen die spätere Personalentscheidung. Bereits die Einführung des Systems in den Betrieb kann problematisch sein, wenn der vorgesehene Zweck unter den Verbotstatbestand fällt.

Der Gesetzgeber reagiert damit auf die besondere Lage von Beschäftigten. Im Arbeitsverhältnis bestehen Abhängigkeiten, die eine scheinbar freiwillige Zustimmung relativieren können. Ein Beschäftigter kann sich einer Kamera oder einem Bewertungssystem schwer entziehen, wenn der Arbeitgeber die Nutzung mit Leistungsbeurteilung, Beförderung oder Schichtplanung verbindet. Die automatische Deutung innerer Zustände birgt zudem ein erhebliches Fehlerrisiko. Ein müdes Gesicht kann viele Ursachen haben. Ein hoher Stimmanteil kann von Dialekt, Umgebungslärm oder einer Behinderung beeinflusst werden.

Die Sanktionen des AI Act unterstreichen die Bedeutung der Prüfung. Bei Verstößen gegen verbotene Praktiken können nach Art 99 Geldbußen bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen werden. Die konkrete Sanktion hängt von den Umständen und den anwendbaren Zuständigkeiten ab. Unternehmen sollten eine vermeintlich kleine Testphase daher nicht als risikofreien Vorlauf behandeln.

Welche Systeme und Auswertungen erfasst sind

In der Praxis taucht Emotionserkennung oft als Zusatzfunktion einer anderen Software auf. Videokonferenzprogramme können Gesichtsausdrücke auswerten. Callcenter-Lösungen können Stimme und Gesprächsverlauf analysieren. Bewerbungsplattformen können Blickrichtung, Sprachtempo oder Mimik in einen Eignungswert umrechnen. Eine Arbeitszeiterfassung kann mit einer Kamera verbunden sein, die neben der Identität auch Aufmerksamkeit oder Müdigkeit bewerten soll. In all diesen Fällen braucht es eine Prüfung der konkreten Funktion und des konkreten Zwecks.

Eine reine Zuordnung zu einer Identität ist nicht automatisch Emotionserkennung. Auch ein System für Zutrittskontrolle oder Betrugsprävention folgt einer anderen Logik, kann aber eigene datenschutzrechtliche und arbeitsrechtliche Probleme aufwerfen. Werden biometrische Daten verarbeitet, ist Art 9 DSGVO zu beachten. Geht es um eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Wirkung, kann Art 22 DSGVO relevant werden. Die Einordnung nach dem AI Act ersetzt diese Prüfung nicht.

Für die allgemeine Einordnung von KI-Pflichten im Unternehmen bietet der Beitrag zur KI-Verordnung für Unternehmen in Österreich einen ergänzenden Überblick. Bei einer technischen Überwachung am Arbeitsplatz sind außerdem Zweck, Transparenz, Verhältnismäßigkeit und Mitwirkungsrechte gesondert zu prüfen.

Wann medizinische oder sicherheitsbezogene Ausnahmen greifen

Art 5 Abs 1 lit f nennt eine Ausnahme für Emotionserkennungssysteme, die aus medizinischen oder sicherheitsbezogenen Gründen eingesetzt werden. Diese Ausnahme ist eng auszulegen. Der Zweck muss in einem konkreten medizinischen oder sicherheitsbezogenen Bedarf liegen. Ein allgemeines Interesse an höherer Produktivität, besserer Motivation oder einer „objektiveren“ Personalführung genügt dafür nicht.

Ein medizinischer Grund kann etwa bei einer ausdrücklich medizinisch ausgerichteten Anwendung eine Rolle spielen. Dafür braucht es eine klare Zweckbestimmung und eine fachliche Einbettung. Ein Unternehmen kann sich nicht allein darauf berufen, dass Stress oder Erschöpfung die Gesundheit beeinflussen. Es muss geprüft werden, ob die konkrete Verarbeitung für den medizinischen Zweck erforderlich und geeignet ist, wer die Auswertung erhält und welche Folgen sie für die betroffene Person hat.

Bei einem sicherheitsbezogenen Grund kommt es ebenfalls auf die konkrete Gefahrenlage und den tatsächlichen Einsatz an. Ein System, das eine akute Gefahr erkennen soll, ist anders zu bewerten als ein dauerhaftes Ranking der vermeintlich „ruhigsten“ Beschäftigten. Der Arbeitgeber sollte die Ausnahme vorab schriftlich begründen und die technische Ausgestaltung auf das notwendige Maß begrenzen. Eine bloße Produktbeschreibung des Herstellers ersetzt diese Begründung nicht.

Selbst bei einem tragfähigen Ausnahmegrund bleiben weitere Rechtsgebiete maßgeblich. Dazu gehören insbesondere die DSGVO, das Arbeitsverfassungsrecht und die Informationspflichten gegenüber Beschäftigten. Je nach Gestaltung kann eine Betriebsvereinbarung erforderlich oder zweckmäßig sein. Der Beitrag zur Betriebsvereinbarung für KI am Arbeitsplatz behandelt die Schnittstelle von Datenschutz und Mitbestimmung näher.

Welche Pflichten Unternehmen jetzt prüfen müssen

Art 4 AI Act verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz zu sorgen. Diese Pflicht bedeutet bei einem sensiblen System mehr als eine kurze Produktschulung. Zuständige Personen müssen verstehen, welche Daten das System verarbeitet, welche Aussage der Ausgabewert trägt und wo seine Grenzen liegen. Auch die Führungsebene braucht eine klare Entscheidung darüber, ob der Einsatz überhaupt vertretbar ist.

Bei Hochrisiko-Systemen kommen zusätzliche Pflichten hinzu. Art 26 AI Act verlangt unter anderem eine angemessene Nutzung nach den Anbieterinformationen und eine menschliche Aufsicht. Art 27 sieht für bestimmte Betreiber eine Grundrechte-Folgenabschätzung vor. Ob ein konkretes System in diese Kategorie fällt, hängt von seinem Zweck und seiner technischen Einordnung ab. Ein Unternehmen darf diese Prüfung nicht durch die Bezeichnung als „Assistenzsoftware“ ersetzen.

Für jedes System sollte das Unternehmen den Anbieter, den Funktionsumfang, die Datenflüsse, die Empfänger und die Speicherdauer erfassen. Wichtig ist auch die Frage, ob der Anbieter Modelle oder Daten für weitere Zwecke verwendet. Die Unterlagen sollten die Version des Produkts und die Konfiguration zum Zeitpunkt der Prüfung festhalten. Ein späteres Update kann den Funktionsumfang verändern.

Besondere Vorsicht ist bei Software zur Mitarbeiterüberwachung erforderlich. Eine Mitarbeiterüberwachung mit Software kann auch dann rechtlich relevant sein, wenn der Anbieter keine Emotionserkennung verspricht. Maßgeblich sind die tatsächlichen Auswertungen, die Zugriffsmöglichkeiten und die Verbindung mit Personalentscheidungen. Datenschutz-Folgenabschätzung, Verzeichnis der Verarbeitungstätigkeiten und Löschkonzept sollten zusammenpassen.

Häufige Fehler bei der Nutzung von KI-Systemen

Die meisten Probleme entstehen vor dem eigentlichen Einsatz. Ein Unternehmen übernimmt eine Funktion aus einer bestehenden Software, ohne ihre Bedeutung zu prüfen. Oder es lässt einen Anbieter mit echten Beschäftigtendaten testen, bevor Zweck, Zugriff und Löschung geklärt sind. Die folgenden Fehler treten in der Beratung besonders häufig auf.

Wie Unternehmen die Prüfung praktisch aufsetzen

Eine belastbare Entscheidung beginnt mit der technischen Bestandsaufnahme. Das Unternehmen sollte sämtliche Anwendungen erfassen, die Bilder, Video, Stimme oder Verhaltensdaten von Beschäftigten verarbeiten. Dazu gehören auch Funktionen, die in einer bereits bezahlten Lizenz standardmäßig aktiviert sind. Für jedes System braucht es einen verantwortlichen Ansprechpartner und eine klare Beschreibung des geplanten Zwecks.

Danach folgt die rechtliche Prüfung. Der AI Act ist mit DSGVO, Arbeitsrecht und gegebenenfalls Kollektivvertragsrecht zusammenzulesen. Bei einer Verarbeitung besonderer Kategorien personenbezogener Daten ist Art 9 DSGVO einzubeziehen. Eine Datenschutz-Folgenabschätzung nach Art 35 DSGVO kann erforderlich sein, insbesondere bei systematischer Überwachung oder umfangreicher Verarbeitung biometrischer Daten. Im Betrieb sind Informations- und Mitwirkungsrechte des Betriebsrats zu prüfen.

Schließlich braucht es eine dokumentierte Entscheidung. Sie sollte die geprüfte Produktversion, die Datenquellen, den Zweck, das Ergebnis der Verbotsprüfung, einen allfälligen Ausnahmegrund und die verworfenen Alternativen festhalten. Bei einer Ablehnung gehört auch die technische Deaktivierung in den Vorgang. Bei einer zulässigen Nutzung sind Zugriffe, Löschfristen, menschliche Kontrolle und eine regelmäßige Neubewertung festzulegen.

Häufige Fragen zur Emotionserkennung im Betrieb

Das Wichtigste zur Emotionserkennung am Arbeitsplatz

Jetzt unverbindlich anfragen

Füllen Sie das Formular aus und beschreiben Sie Ihre Situation. Wir melden uns in Kürze bei Ihnen.

Wie wir Ihnen bei der KI-Prüfung helfen können

Wir prüfen den geplanten oder bestehenden Einsatz eines KI-Systems anhand seiner technischen Funktion, seines Zwecks und der betroffenen Prozesse. Dabei ordnen wir die Vorgaben des AI Act in die Anforderungen der DSGVO und des österreichischen Arbeitsrechts ein. Kontaktieren Sie uns mit den Produktunterlagen und einer kurzen Beschreibung des Einsatzes. Wir klären Ihre Situation und zeigen Ihnen die besten Handlungsoptionen auf.