· aktualisiert · horak Rechtsanwälte
KI-Systeme handeln teilweise autonom, sind schwer nachvollziehbar und hängen von großen Datenmengen ab. Daraus entstehen Rechtsfragen, die das klassische IT-Recht nur zum Teil beantwortet. Seit dem 01.08.2024 ist zudem die KI-Verordnung (EU) 2024/1689 in Kraft, deren Pflichten stufenweise anwendbar werden. Die folgenden sieben Themen beschäftigen Unternehmen in der Beratung am häufigsten.
Haftung für KI-Entscheidungen
Verursacht ein KI-System einen Schaden, kommen Hersteller, Betreiber und Softwareentwickler als Haftende in Betracht. Maßgeblich sind Vertragsrecht, Deliktsrecht und das Produkthaftungsrecht. Die neue EU-Produkthaftungsrichtlinie bezieht Software ausdrücklich als Produkt ein; sie muss noch in deutsches Recht umgesetzt werden.
Praxisbeispiel: Ein Logistikunternehmen setzt eine KI zur Tourenplanung ein. Die Software plant wiederholt Gefahrgut über gesperrte Strecken. Es kommt zu Bußgeldern und Lieferverzögerungen. Ob der Softwareanbieter haftet, hängt davon ab, was der Vertrag als geschuldete Leistung beschreibt und ob die Haftungsbegrenzung in seinen AGB wirksam ist.
- Prüfung der Haftung nach Vertrags-, Delikts- und Produkthaftungsrecht
- Risikoverteilung durch Verträge und wirksame Haftungsklauseln
- Vertretung in Streitigkeiten über KI-bedingte Schäden
Datenschutz und Datenverarbeitung
KI-Systeme verarbeiten häufig personenbezogene Daten, im Training wie im Betrieb. Beispiel: Eine Empfehlungs-KI in einem Online-Shop speichert dauerhaft das gesamte Klickverhalten, obwohl für die Empfehlungen die letzten Wochen genügen. Das verstößt gegen den Grundsatz der Datenminimierung (Art. 5 DSGVO). Werden Mitarbeiterdaten in ein externes KI-Tool eingegeben, sind außerdem Auftragsverarbeitung und gegebenenfalls Drittlandtransfer zu klären.
- Prüfung der Rechtsgrundlage und Zweckbindung
- Datenschutzinformationen und, wo nötig, Einwilligungen
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
Bias und Diskriminierung
Ein Unternehmen filtert Bewerbungen mit einer KI vor. Weil die Trainingsdaten aus Jahren stammen, in denen fast nur Männer eingestellt wurden, sortiert das System Bewerberinnen schlechter ein. Abgelehnte Bewerberinnen können Entschädigung nach dem AGG verlangen. KI im Personalbereich fällt zudem regelmäßig unter die Hochrisiko-Kategorie der KI-Verordnung, und bei der Einführung ist der Betriebsrat zu beteiligen.
- Bewertung von Diskriminierungsrisiken vor dem Einsatz
- Compliance mit AGG, DSGVO und KI-Verordnung
- Vorgaben an Anbieter zu Datenqualität und Tests
Urheberrecht und geistiges Eigentum
Rein KI-generierte Inhalte sind nach deutschem Recht mangels menschlicher Schöpfung in der Regel nicht urheberrechtlich geschützt. Für Unternehmen heißt das: Eine Werbeagentur, die Kampagnenmotive vollständig per KI erzeugt, kann dem Kunden daran keine exklusiven Nutzungsrechte verschaffen. Der Agenturvertrag sollte deshalb offenlegen, wo KI eingesetzt wird, und regeln, was dann gilt. Beim Training stellt sich zusätzlich die Frage, ob die Schranke für Text- und Data-Mining (§ 44b UrhG) greift.
- Beratung zum Schutz KI-gestützter Arbeitsergebnisse
- Vertragliche Regelung von Rechten an Modellen, Daten und Ergebnissen
- Abwehr und Durchsetzung von Ansprüchen aus geistigem Eigentum
Mehr dazu unter Lizenzrecht.
Transparenz und Nachvollziehbarkeit
Lehnt eine KI einen Kreditantrag ab, muss die Entscheidung erklärbar sein. Bei ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung greift Art. 22 DSGVO. Die KI-Verordnung ergänzt Transparenzpflichten, etwa wenn Menschen mit einem Chatbot interagieren oder Inhalte künstlich erzeugt wurden.
- Umsetzung der Transparenzpflichten aus DSGVO und KI-Verordnung
- Verständliche Erläuterungen für Betroffene
- Vertretung in Streitigkeiten über automatisierte Entscheidungen
Regulierung und Compliance
Die KI-Verordnung ordnet KI-Systeme nach Risiko ein. Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen umfangreichen Anforderungen an Risikomanagement, Daten, Dokumentation und menschliche Aufsicht. Unternehmen, die KI einsetzen, müssen außerdem für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Der genaue Zeitplan für die Hochrisiko-Pflichten wird auf EU-Ebene noch diskutiert.
Praxisbeispiel: Ein Medizintechnik-Hersteller integriert eine Bildanalyse-KI in ein Diagnosegerät. Das Produkt muss sowohl die Medizinprodukte-Verordnung als auch die KI-Verordnung erfüllen. Werden beide Konformitätsbewertungen nicht von Anfang an zusammen geplant, verzögert sich die Markteinführung.
- Bestandsaufnahme und Risikoeinstufung eingesetzter KI-Systeme
- Begleitung von Konformitätsbewertungen
- KI-Richtlinien und Schulungen für Mitarbeitende
Vertragsgestaltung und Haftungsklauseln
Ein Versicherer beauftragt einen Dienstleister mit der Entwicklung einer KI zur Schadenprüfung. Der Vertrag beschreibt das Ziel, aber keine messbare Erkennungsquote, keine Testdaten und keine Abnahmekriterien. Als die KI in der Praxis zu viele Falschmeldungen erzeugt, streiten die Parteien, ob überhaupt ein Mangel vorliegt. KI-Verträge brauchen deshalb Regelungen zu Qualitätskennzahlen, Trainingsdaten, Rechten am Modell und Haftung.
- KI-spezifische Entwicklungs-, Lizenz- und SaaS-Verträge
- Verhandlung von Haftungs- und Freistellungsklauseln
- Vertretung bei Streit über Leistung und Abnahme
Sie wollen KI im Unternehmen einführen oder einen KI-Vertrag prüfen lassen? Vereinbaren Sie online einen Termin mit unseren Anwälten für IT-Vertragsrecht.
Beratung im KI-Recht & AI Act
KI im Unternehmen: AI Act, Urheberrecht, Datenschutz und KI-Richtlinien für Mitarbeiter. Sie haben eine ähnliche Frage? Wir prüfen Ihren Fall und sagen Ihnen, welche Schritte sinnvoll sind.