Rechtliche Klarheit für KI: Was Unternehmen beachten sollten

„Gerade wenn KI nach außen genutzt wird, etwa durch einen Chatbot, trägt das Unternehmen die Verantwortung“, warnt Joerg Heidrich. Der Experte verweist auf ein Urteil des Landgerichts in Kiel von 2024, das die Problematik verdeutlicht: Eine Firma betrieb eine Website mit KI-generierten Wirtschaftsinformationen und nutzte dafür unter anderem das Handelsregister. Fälschlicherweise erklärte die KI ein erfolgreiches Unternehmen für insolvent. Die geschädigte Partei klagte erfolgreich – das Gericht entschied, dass der Auskunftsdienst für Fehler der KI haftet. Der Versuch, die KI als eigenständigen Mitarbeitenden darzustellen, wurde abgelehnt. „Unternehmen haften für schlecht programmierte oder eingesetzte Technologie oder wenn sie das Risiko des Halluzinierens in Kauf nehmen“, so Joerg Heidrich. 

Auch international gibt es Beispiele: In Kanada fragte ein Kunde den Chatbot von Air Canada nach Sondertarifen für Beerdigungen. Die KI bestätigte fälschlicherweise ein solches Angebot. Vor Gericht argumentierte die Airline, der Chatbot sei eine eigenständige juristische Person – ohne Erfolg. Air Canada musste Schadenersatz zahlen. Regressionsansprüche der KI-Nutzer:innen gegen die Anbieter von künstlicher Intelligenz sind laut Experte oft schwierig, da Haftungsklauseln in deren AGB dies meist ausschließen. 

Derzeit bestehe zwar keine gesetzliche Pflicht, aber Unternehmen, die Chatbots im Kundenservice einsetzen, müssen dies künftig klar kennzeichnen. „Mit Inkrafttreten des entsprechenden Bereichs der KI-Verordnung muss die Interaktion mit KI-Systemen klar erkennbar sein“, erklärt KI-Rechtsexperte Joerg Heidrich. Er rät Firmen, bereits jetzt proaktiv Transparenz zu schaffen – nicht zuletzt, um das Vertrauen der Kund:innen zu wahren. 

Unternehmen sollten bei der Nutzung von Kundendaten für KI-Analysen besonders vorsichtig sein. Joerg Heidrich hält diese Praxis grundsätzlich für sinnvoll. Er betont aber, dass die Datenauswahl mit großer Sorgfalt erfolgen muss. „Personenbezogene Daten sollten möglichst vermieden werden, da sie rechtliche Herausforderungen mit sich bringen. Es ist zum Beispiel keine gute Idee, einfach die gesamte Kundenbasis einzuspielen, die Daten zu vermischen und auf beliebige Ergebnisse zu hoffen.“ 

Auch das Urheberrecht erfordert Aufmerksamkeit. Dennoch gibt es viele rechtlich unbedenkliche Anwendungsfälle, wie der Experte anmerkt. „Maschinendaten sind unproblematisch. Kritisch wird es bei personenbezogenen Daten oder Geschäftsgeheimnissen – diese sollten Unternehmer:innen und Mitarbeitende keinesfalls in solchen Prozessen verwenden.“ 

Die KI-Verordnung konzentriert sich auf Hochrisiko-KI und verbietet unter anderem soziale Bewertungssysteme, sogenanntes social scoring, sowie manipulative KI. Ein kleinerer Teil regelt Transparenzpflichten für weniger riskante KI-Systeme. Entwickler:innen und Betreiber:innen müssen Nutzer:innen informieren, wenn sie mit KI interagieren. Systeme mit geringen Risiken, wie Spam-Filter, bleiben vom AI-Act ausgeschlossen.  

Anbieter von GPAI-Modellen (General Purpose AI) müssen technische Unterlagen und Gebrauchsanweisungen bereitstellen, urheberrechtliche Vorgaben einhalten und eine Zusammenfassung der Trainingsdaten veröffentlichen. Hierbei handelt es sich um vielseitig einsetzbare Modelle, die als Grundlage für spezialisierte Anwendungen in Bereichen wie Sprachverarbeitung, Medizin, Finanzen und Softwareentwicklung dienen. 

Zudem müssen Arbeitgeber, die KI betreiben, die KI-Kompetenz ihrer Mitarbeitenden sicherstellen und nachweisen, was sich aus Artikel 4 des EU AI Actes ergibt. Ein auf das Unternehmen zugeschnittenes Schulungs- und Weiterbildungskonzept kombiniert mit einer KI-Richtlinie kann im Schadensfall Bußgelder abwenden und Risiken minimieren. 

Die am 12. Juli 2024 veröffentlichte Verordnung gewährt eine 24-monatige Übergangsfrist bis zum 2. August 2026. Bestimmungen zu verbotenen KI-Praktiken treten bereits am 2. Februar 2025 in Kraft. Hierzu zählen unter anderem Emotionserkennung, Verhaltensmanipulation und Social Scoring, also die Einstufung von Menschen aufgrund ihres Verhaltens, ihres sozial ökonomischen Status oder ihrer persönlichen Merkmale.

Das Urheberrecht regelt bei KI-Anwendungen die Nutzung von Trainingsdaten und fremden Inhalten im Lernprozess der KI. Rechteinhaber:innen können die Verwendung ihrer Inhalte über ein Opt-out auf ihrer Internetpräsenz untersagen. Bei täuschend echten Medieninhalten, die mithilfe von Künstlicher Intelligenz abgeändert, erzeugt oder verfälscht wurden, ist das Urheberrecht zu beachten, sofern geschütztes Material verwendet wurde. Bei diesen sogenannten Deepfakes können Rechteinhaber:innen Unterlassung oder Schadenersatz fordern. Zudem müssen Nutzer:innen KI-generierte Ergebnisse prüfen, um übermäßige Ähnlichkeit mit bestehenden Werken zu vermeiden. Das Urheberrecht gilt für KI-generierte Werke nur, wenn die KI als Hilfsmittel dient und die kreative Gestaltung überwiegend vom Menschen stammt. 

In einem KI-Kontext dient der Datenschutz dazu, die Grundrechte und Freiheiten von Personen zu schützen, deren personenbezogenen Daten bei der Entwicklung und Nutzung von künstlicher Intelligenz verarbeitet werden. Die DSGVO legt hierfür strenge Vorgaben fest, wie die Einhaltung der Grundsätze der Datenverarbeitung (z. B. Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung).