Personaldaten in KI-Tools: Was muss HR vorab klären?

Das Problem

Die Personalassistentin soll ein Arbeitszeugnis entwerfen, einen Verweis formulieren oder eine Absenzenliste auswerten. Mit einem KI-Programm ginge es schneller. Es wäre naheliegend, die Personalakte oder ein paar Gesprächsnotizen einzufügen. Doch was damit passiert, weiss sie nicht genau.

Personaldaten gehören zu den sensibelsten Daten eines Betriebs: Gehalt, Gesundheit, Absenzen, Leistungsbeurteilungen, Familienstand, Bewerbungsunterlagen. Sie betreffen Menschen, die davon abhängig sind, dass der Arbeitgeber damit sorgfältig umgeht. Ein Fehler, etwa Gesundheitsdaten in einem ungeprüften Dienst, kann schwere Folgen haben, für die Betroffenen und für das Unternehmen.

Das heisst nicht, dass KI im Personalwesen tabu ist. Es heisst, dass man vorher klären muss, was erlaubt ist, was nötig ist und was geschützt werden muss. Diese Seite hilft Ihnen, die richtigen Fragen zu stellen.

So lösen Sie es mit KI – Schritt für Schritt

1. Aufgabe benennen. Was genau soll die KI tun? Einen Text formulieren, Zahlen ordnen, Rückmeldungen sortieren? Notieren Sie die Aufgabe. Oft braucht die KI viel weniger Angaben, als man vermutet.

1. Datenarten bestimmen. Welche Angaben wären im Spiel: Namen, Adressen, Lohn, Absenzen, Gesundheit, Beurteilungen? Einige davon gelten im Datenschutzgesetz als besonders schützenswert (zum Beispiel Gesundheitsdaten). Bei ihnen ist besondere Vorsicht nötig.

1. Erforderlichkeit prüfen. Arbeitgeber dürfen Daten über Mitarbeitende nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags nötig sind (Art. 328b OR). Fragen Sie sich: Ist jede Angabe für diese Aufgabe nötig?

1. Daten reduzieren oder ersetzen. Entfernen Sie Namen und Details und verwenden Sie Platzhalter wie «Mitarbeiterin A». Prüfen Sie dabei, ob die Person noch erkennbar ist. Siehe Anonymisieren und Pseudonymisieren.

1. Werkzeug und Vertrag prüfen. Wer verarbeitet die Daten, wo, und wie lange? Werden Eingaben zum Training verwendet? Gibt es eine Vereinbarung zur Auftragsbearbeitung? Das Datenschutzgesetz regelt die Bearbeitung durch Dritte im Auftrag (Art. 9 DSG), und die Bekanntgabe von Personendaten ins Ausland hat eigene Voraussetzungen (Art. 16 DSG). Klären Sie das mit der Datenschutzverantwortlichen.

1. Zugriffsrechte festlegen. Wer im Betrieb darf das Werkzeug mit Personaldaten nutzen? Beschränken Sie den Kreis und führen Sie eine Liste.

1. Regeln schriftlich festhalten. Notieren Sie, was erlaubt ist, was nicht, und wer fragt, wenn es unklar ist. Ein Beispiel finden Sie bei KI-Richtlinie für KMU.

1. Mitarbeitende informieren. Sagen Sie, ob und wie Personaldaten mit KI bearbeitet werden. Transparenz gehört zum sorgfältigen Umgang.

1. Bei Unsicherheit beraten lassen. Für grössere Vorhaben, etwa wenn eine Auswertung viele Personendaten betrifft, lassen Sie die Risiken fachlich beurteilen. Mehr dazu bei Datenschutz-Folgenabschätzung.

Vorlage zum Kopieren

Diese Vorlage hilft Ihnen, vor dem Einsatz die Fragen zu klären. Sie enthält keine Personaldaten.

Du unterstützt die Personalverantwortliche eines Schweizer KMU ([Branche], ca. [Zahl] Mitarbeitende) bei einer Vorabklärung zum Einsatz von KI im Personalbereich.

Geplante Aufgabe: [z. B. Arbeitszeugnisse entwerfen / Befragungen auswerten]
Vorgesehenes Werkzeug: [Name oder Art, z. B. Chatprogramm im Browser]
Daten, die verwendet würden: [z. B. Aufgabenliste, Beurteilungen, Namen]

Erstelle eine Checkliste mit Fragen, die wir vor dem Start klären müssen:
- Zweck und Erforderlichkeit der Daten
- Art der Daten (besonders schützenswert?)
- Vertrag, Standort, Weiterverwendung der Eingaben
- Zugriffsrechte und Löschung
- Information der Mitarbeitenden
Gib keine Rechtsberatung und nenne keine Gesetzesartikel. Schreibe am Ende: «Mit der
Datenschutzverantwortlichen oder einer Fachperson besprechen.»

Passen Sie die Angaben an Ihre Aufgabe an. Besprechen Sie die entstandene Liste mit der Datenschutzverantwortlichen.

Worauf Sie achten müssen

• Besonders schützenswerte Daten: Gesundheitsdaten und ähnliche Angaben brauchen besonderen Schutz. Geben Sie sie nicht in Werkzeuge, deren Umgang Sie nicht kennen.
• Private Konten: Mitarbeitende, die Personaldaten in privaten KI-Konten bearbeiten, umgehen jede Kontrolle. Regeln und Alternativen sind wichtig.
• Weiterverwendung: Klären Sie, ob der Anbieter Eingaben speichert oder zum Verbessern seiner Modelle nutzt.
• Auskunftsrechte: Mitarbeitende haben Rechte auf Auskunft über ihre Daten. Wenn Daten in vielen Werkzeugen liegen, wird das schwierig.
• Fehler und Voreingenommenheit: KI kann falsch zusammenfassen oder Vorurteile wiedergeben. Bei Entscheidungen über Menschen prüfen Sie jedes Ergebnis.
• Löschung: Legen Sie fest, wie lange Daten im Werkzeug bleiben und wer sie löscht.

Ein Beispiel aus der Praxis

Ein Beispiel: In einem Planungsbüro in Sursee möchte die HR-Assistentin Frau Odermatt eine Absenzenauswertung vorbereiten und die Zahlen mit einer KI kommentieren lassen. Sie hat eine Tabelle mit Namen, Krankheitstagen und Abteilungen.

Bevor sie loslegt, geht sie die Checkliste durch. Ihr wird klar: Gesundheitsbezogene Daten sind sensibel, und für den Kommentar braucht sie keine Namen. Sie rechnet die Zahlen in Excel aus, fasst sie nach Abteilungen zusammen und gibt der KI nur die Summen. Die Datenschutzverantwortliche bestätigt, dass dies im Rahmen bleibt. Frau Odermatt notiert die Regel in der Richtlinie, und das Team erfährt davon. Der Aufwand war gering, das Risiko deutlich kleiner.

So hilft Ihnen Alpasana

Damit Ihr Team Daten und KI-Ergebnisse sorgfältig behandelt, bietet absofort die KI-Weiterbildung für Unternehmen an. Sie behandelt KI für Verwaltung, Kommunikation, Analyse und Texte, Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten.

Das Lernen läuft im eigenen Tempo mit verifizierbaren Abschlüssen. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Die datenschutzrechtliche Prüfung Ihrer konkreten Prozesse ersetzt das nicht.

Häufige Fragen

Darf ich Lebensläufe in ein KI-Programm kopieren?

Nur, wenn das Werkzeug dafür freigegeben ist und die Angaben für die Aufgabe nötig sind. Sonst bereinigen Sie die Unterlagen oder verzichten darauf. Mehr: KI bei der Personalauswahl.

Reicht es, den Namen wegzulassen?

Oft nicht. Funktion, Abteilung, Alter und besondere Ereignisse können die Person verraten. Prüfen Sie, ob Kolleginnen die Person erkennen würden.

Was gilt bei lokalen KI-Lösungen?

Lokale Lösungen verringern die Weitergabe an Dritte, entbinden aber nicht von Erforderlichkeit, Zugriffsrechten und Löschung. Mehr dazu unter Lokale KI und Datenschutz.