KI am Arbeitsplatz in Frankreich: Darf Ihr Arbeitgeber Sie überwachen?

Die Antwort ist differenziert. Ja, Ihr Arbeitgeber kann eine gewisse Sichtbarkeit auf Ihre Tätigkeit haben. Auf einem beruflichen Gerät oder Netzwerk kann er sehen, was Sie tun. Das umfasst, theoretisch, auch Ihren Austausch mit einer KI. Doch das französische Recht setzt dieser Kontrolle enge Grenzen. Die CNIL nennt drei kumulative Voraussetzungen. Die Überwachung muss verhältnismäßig sein. Die Beschäftigten müssen vorab informiert werden. Der CSE (comité social et économique, der Betriebsrat) muss angehört werden. Eine dauerhafte, verdeckte Überwachung bleibt die Ausnahme. Die Abhilfe für Beschäftigte ist einfach. Vertrauen Sie einer KI von einem beruflichen Gerät aus niemals ein persönliches Geheimnis an.

Eine echte Kontrollbefugnis, aber keine absolute

Der Arbeitgeber verfügt über ein Weisungsrecht. Er darf die Tätigkeit seiner Beschäftigten kontrollieren. Er darf die Nutzung der beruflichen IT-Werkzeuge regeln. Diese Befugnis ist legitim. Doch sie ist weder absolut noch beliebig. Die CNIL stellt dies klar. Die Kontrolle wird unter drei Voraussetzungen ausgeübt, die sich summieren. Keine genügt für sich allein.

• Verhältnismäßigkeit: Die Überwachung muss dem verfolgten Ziel angemessen bleiben.
• Vorherige Information: Jede beschäftigte Person muss das Instrument kennen, bevor es eingeführt wird.
• Anhörung des CSE: Der Betriebsrat muss vorab informiert und angehört werden.

Die Verhältnismäßigkeit (Artikel L1121-1)

Artikel L1121-1 des Arbeitsgesetzbuchs setzt eine Grenze. Eine Überwachungsmaßnahme muss durch die Art der Aufgabe gerechtfertigt sein. Sie muss dem verfolgten Ziel angemessen sein. Die CNIL zieht daraus konkrete Schlüsse. Eine dauerhafte Überwachung gilt als unverhältnismäßig. Ein Tastaturaufzeichner (Keylogger) ebenso. Ebenso die fortlaufende Bildschirmübertragung. Sie müssen das am wenigsten eingreifende Mittel bevorzugen. Sie müssen die erhobenen Daten auf ein Minimum beschränken. Sie müssen ihre Speicherdauer begrenzen.

Die vorherige Information (Artikel L1222-4)

Artikel L1222-4 gebietet Transparenz. Keine Information über eine beschäftigte Person darf ohne ihr Wissen erhoben werden. Das Instrument muss ihr vorab bekannt gemacht werden. Eine verdeckte Überwachung bleibt also die Ausnahme. Ein Verstoß hat schwere Folgen. Ein durch ein nicht offengelegtes Instrument erlangter Beweis kann zurückgewiesen werden. Eine auf einen solchen Beweis gestützte Kündigung kann ihren wirklichen und ernsthaften Grund verlieren.

Der CSE muss zuerst angehört werden

Der CSE (Betriebsrat) spielt eine Schlüsselrolle. Er muss informiert und angehört werden, bevor ein Mittel zur Kontrolle der Tätigkeit eingeführt wird. Diese Pflicht betrifft Unternehmen mit mindestens 50 Beschäftigten. Sie steht in Artikel L2312-38 des Arbeitsgesetzbuchs. Das Übergehen der Anhörung ist keine Kleinigkeit. Es setzt den Arbeitgeber dem Straftatbestand der Behinderung (délit d'entrave) aus. Zudem macht es das Instrument rechtswidrig. Hinweis: Ein CSE ist ab 11 Beschäftigten Pflicht. Doch die Anhörungspflicht bei Kontrollmitteln betrifft die Schwelle von 50 Beschäftigten.

Die DSGVO: Ihre Prompts sind personenbezogene Daten

Was Sie in eine KI eingeben, zählt. Auf einem beruflichen Gerät sind diese Prompts personenbezogene Daten. Die DSGVO gilt also uneingeschränkt. Doch am Arbeitsplatz ist die Einwilligung einer beschäftigten Person fragil. Das Unterordnungsverhältnis schafft ein Machtungleichgewicht. Die CNIL weist darauf hin, dass diese Einwilligung selten eine gültige Rechtsgrundlage ist. Der Arbeitgeber muss sich auf eine andere Grundlage stützen. Zum Beispiel das berechtigte Interesse oder eine gesetzliche Pflicht. Bei einem Instrument mit hohem Risiko kann eine DSFA (Datenschutz-Folgenabschätzung) erforderlich sein.

Ein Punkt verdient eine Klarstellung. Die CNIL hat ChatGPT in Frankreich nie verboten. Verwechseln Sie sie nicht mit der italienischen Behörde. Die Garante hatte das Werkzeug im März 2023 vorübergehend gesperrt. Die CNIL hingegen regelt die KI-Nutzung über bestehende Grundsätze. Verhältnismäßigkeit. Information. Datenminimierung. Nicht über ein Verbot.

Die Abhilfe – für Beschäftigte wie für Arbeitgeber

Für Beschäftigte ist die Regel einfach. Vertrauen Sie einer KI von einem beruflichen Gerät aus niemals ein persönliches Geheimnis an. Der beste Reflex ist, vor dem Einfügen zu anonymisieren. So halten Sie Ihre Daten aus dem Prompt heraus, ganz gleich, was der Arbeitgeber sehen kann.

1. 1Erkennen Sie die sensiblen Daten in Ihrem Text: Namen, Beträge, Schlüssel, Adressen.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort wieder her, lokal.

Für Arbeitgeber lässt sich die Konformität auf drei Schritte reduzieren. Seien Sie transparent: Informieren Sie die Beschäftigten vorab. Hören Sie den CSE im Voraus an. Bleiben Sie streng verhältnismäßig. Und denken Sie an eines. Die Beschäftigten behalten ihr Recht auf Privatsphäre, auch im Büro.

Genau dafür ist ONYRI Sanitize da. Das Modul erkennt sensible Daten – Namen, Beträge, Schlüssel, Adressen – und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI findet dort nur Token, niemals Ihre echten Daten. Ganz gleich, was Ihr Arbeitgeber im Netzwerk sieht: Ihre Geheimnisse verlassen das Gerät nicht.