Rechtsgebiet
Recht der künstlichen Intelligenz: rechtskonforme Nutzung von KI
Der Einsatz von KI im Unternehmen lohnt sich an vielen Stellen. Die rechtlichen Fragen dazu stellen sich vorher, nicht erst, wenn das Werkzeug produktiv läuft.
Als Querschnittsmaterie stellt der Einsatz von KI im Unternehmen Herausforderungen in verschiedenen Rechtsgebieten. Wir bieten Ihnen eine ganzheitliche Beratung und eine zwischen den einzelnen Bereichen abgestimmte KI-Strategie aus einer Hand, von Hannover aus und in beiden Sprachen.
Rechtliche Probleme beim Einsatz von KI
- KI und DatenschutzDatenschutzrechtliche Fragen stellen sich sowohl bei der Entwicklung von KI als auch bei der produktiven Nutzung von KI-Werkzeugen. Wir gestalten Ihre KI-Nutzung datenschutzfreundlich.
- KI und UrheberrechtUrheberrechtliche Fragen stellen sich sowohl bei der Eingabe geschützter Werke als auch bei der Verwendung der von einer KI erzeugten Texte, Bilder und sonstigen Ergebnisse. Wir stellen sicher, dass Ihre Anwendung im Einklang mit dem Urheberrecht läuft.
- HaftungsrechtHaftungsfragen ergeben sich auf mehreren Ebenen: vertraglich gegenüber KI-Anbietern oder Endkunden, daneben aus dem Deliktsrecht und dem Produkthaftungsrecht. Wir helfen, Risiken zu erkennen und zu minimieren.
- ArbeitsrechtDer Einsatz von KI hat arbeitsrechtliche Folgen. Die Nutzung muss geregelt und Arbeitnehmende vor negativen Auswirkungen geschützt werden. Zudem ist gegebenenfalls eine Abstimmung mit dem Betriebsrat erforderlich.
- Beschaffung und VerträgeDie Nutzung von KI im Unternehmen will geplant sein. Dazu gehören die sorgfältige Auswahl der Anwendungen, die Beschaffung und der Abschluss aller relevanten Verträge.
- KI-Governance und RichtlinienDer Einsatz von KI muss unternehmensintern geregelt sein. Wer entscheidet über den Einsatz eines Werkzeugs und wer prüft vor dem Produktivgang? Auch die Nutzenden müssen wissen, wo und wie sie die Werkzeuge einsetzen dürfen. Dafür kommen verschiedene Instrumente in Betracht, zu denen wir beraten.
- Pflichten aus der KI-VerordnungDie KI-Verordnung knüpft an die Risikoklasse an. Für Hochrisiko-Systeme folgt daraus ein umfangreicher Pflichtenkatalog, für alle übrigen jedenfalls die Transparenzpflichten nach Art. 50 KI-VO. Wir ordnen Ihr System ein und sagen, was daraus folgt.
- Grundrechte und EthikDer Einsatz von KI wirft auch grundsätzliche Fragen auf. Eine Beurteilung unter ethischen Aspekten und mit Blick auf betroffene Grundrechte sichert die Verhältnismäßigkeit. Insbesondere das Diskriminierungspotenzial von KI birgt Haftungsrisiken.
Wir sind Ihre Kanzlei für künstliche Intelligenz
- ChatGPT im Unternehmen nutzen
- Microsoft Copilot im Unternehmen nutzen
- Geschäftsgeheimnisse bei der Nutzung von KI schützen
- DSGVO-konforme Nutzung von KI
- Urheberrechtsverletzungen beim Einsatz von KI vermeiden
- Haftungsrisiken von KI minimieren
- Betriebsvereinbarungen und Nutzungsvereinbarungen für die Nutzung von KI
- Grundrechte-Folgenabschätzung nach der KI-Verordnung
- Risikoeinschätzung für die Nutzung von KI nach der KI-Verordnung
- Datenschutz-Folgenabschätzung nach der DSGVO für die Nutzung von KI
Von der Rolle bis zum Geschäftsgeheimnis
Anbieter oder Betreiber
Die KI-Verordnung knüpft die Pflichten an die Rolle, nicht an die Größe des Unternehmens. Wer ein zugekauftes System wesentlich verändert, unter eigenem Namen anbietet oder außerhalb seiner Zweckbestimmung einsetzt, kann vom Betreiber zum Anbieter werden. Diese Einordnung gehört an den Anfang jedes Projekts, weil alles Weitere darauf aufbaut.
Hochrisiko-Systeme erkennen
Die meisten Systeme sind kein Hochrisiko-Fall, aber die Ausnahmen liegen näher, als viele erwarten, etwa bei Auswahl, Beurteilung und Zugang zu Leistungen. Ist die Einstufung erreicht, greift ein umfangreiches Pflichtenprogramm von Risikomanagement über Dokumentation bis zur menschlichen Aufsicht.
Trainingsdaten und Datenqualität
Woher die Daten stammen und wen sie abbilden, entscheidet über die Ergebnisse und über die Haftung. Art. 10 KI-VO verlangt von Anbietern von Hochrisiko-Systemen eine Daten-Governance, die Verzerrungen erkennt und abschwächt. Betreiber schulden, dass ihre Eingabedaten zur Zweckbestimmung passen.
Transparenz und Kennzeichnung
Wer mit einem Chatbot spricht, muss es erfahren. Erzeugte Inhalte brauchen eine maschinenlesbare Markierung. Diese Pflichten hängen nicht an der Risikoklasse und treffen deshalb fast jeden Einsatz. Wie die Kennzeichnung technisch aussehen soll, ergibt sich erst aus dem Verhaltenskodex vom 10. Juni 2026.
Haftung und Versicherung
Eine eigene Haftungsordnung für KI gibt es nicht. Zugerechnet wird nach Vertrags- und Deliktsrecht, wobei die Pflichten der KI-Verordnung als Schutzgesetze wirken und die reformierte Produkthaftung Software ausdrücklich erfasst. Die Versicherer schließen KI-Risiken zunehmend aus.
Beschäftigte und Betriebsrat
Beim Einsatz im Betrieb greifen mehrere Beteiligungsrechte nebeneinander. § 87 Abs. 1 Nr. 6 BetrVG ist bereits anwendbar, wenn das System zur Kontrolle von Verhalten oder Leistung taugt. Eine Betriebsvereinbarung ist meist der ruhigere Weg.
Geschäftsgeheimnisse
Der Schutz nach dem GeschGehG hängt an angemessenen Geheimhaltungsmaßnahmen. Eine ungeschützte Eingabe vertraulicher Unterlagen in ein Cloud-Werkzeug kann diese Voraussetzung entfallen lassen und mit ihr den Schutz. Umgekehrt stützt sich der Schutz eines eigenen Modells in der Praxis auf das GeschGehG.
KI im Unternehmen einführen, ohne blind zu fliegen?
Wir klären Rollen, Pflichten und Verträge, bevor das Werkzeug produktiv geht.
KI-Beratung anfragenThemen in diesem Rechtsgebiet
- Anbieter oder BetreiberAnbieter oder Betreiber nach der KI-Verordnung: Woran sich die Rolle entscheidet und wann ein Betreiber unbemerkt zum Anbieter wird.
- Datenqualität und DiskriminierungArt. 10 KI-VO verlangt eine Daten-Governance gegen Verzerrungen. Welche Qualitätskriterien gelten, was Betreiber schulden und wie das AGG hineinspielt.
- Eingaben als TrainingsdatenWerden unsere Eingaben zum Training genutzt? Vertraulichkeit, Geschäftsgeheimnisse und die Vertragsgestaltung gegenüber KI-Anbietern.
- Geschäftsgeheimnisse und KIWie der Schutz nach dem GeschGehG beim Einsatz von KI erhalten bleibt, welche Maßnahmen angemessen sind und wie sich eigene Modelle absichern lassen.
- Haftung für KI-ErgebnisseWer für Schäden durch KI einsteht, wie die KI-VO als Schutzgesetz wirkt, was die reformierte Produkthaftung ändert und wo Versicherungen Lücken lassen.
- Hochrisiko-KIEinstufung als Hochrisiko-KI nach der KI-Verordnung: die beiden Wege in die Kategorie, die Pflichten und die Ausnahmen.
- KI für EntwicklerKI in der Softwareentwicklung: Lizenzrisiken bei generiertem Code, Geschäftsgeheimnisse im Prompt, Haftung und die Rolle nach der KI-Verordnung.
- KI in der VerwaltungKI im Verwaltungsverfahren: automatisierte Entscheidungen, Amtsermittlung, Begründungspflicht und die Grundrechte-Folgenabschätzung nach der KI-Verordnung.
- KI in KommunenKI in der Kommune rechtssicher einsetzen: Anwendungsfälle, Rollen nach der KI-Verordnung, Datenschutz, Personalvertretung und Beschaffung.
- KI und die Haftung der GeschäftsleitungWer KI einführt, entscheidet unter Unsicherheit. § 43 GmbHG und § 93 AktG verlangen Vorbereitung, Überwachung und Kontrolle der Ergebnisse.
- KI-Compliance-CheckKI-Compliance-Check: Analyse des geplanten KI-Produkts, juristische Bewertung und Überblick über anwendbare Vorschriften, Grenzen und Risiken.
- KI-Kompetenz nach Art. 4 KI-VODie Pflicht zur KI-Kompetenz trifft Anbieter und Betreiber gleichermaßen. Was sie verlangt, wen sie betrifft und wie sie nachgewiesen wird.
- KI-RichtlinieInterne KI-Richtlinie: Was hineingehört, wie sie mit Mitbestimmung und KI-Verordnung zusammenhängt und warum kurze Regeln besser wirken.
- KI-Werkzeug auswählenDer Fragenkatalog vor der Beschaffung eines KI-Werkzeugs: Rolle, Daten, Rechte, Nachweise und die Punkte, die vertraglich abgesichert gehören.
- Microsoft 365 und DSGVOMicrosoft 365 datenschutzkonform einsetzen: Folgenabschätzung, datenschutzfreundliche Konfiguration und Vertretung gegenüber der Aufsichtsbehörde.
- Mitbestimmung des Betriebsrats bei KIWelche Beteiligungsrechte der Betriebsrat beim Einsatz von KI hat, wann § 87 Abs. 1 Nr. 6 BetrVG einschlägig ist und was in eine Betriebsvereinbarung gehört.
- Rechte am KI-Output weitergebenKI-Ergebnisse an Kunden weitergeben: Welche Rechte lassen sich einräumen, welche Zusagen sind riskant und wann ist zu kennzeichnen?
- Rechte an Eingaben und ErgebnissenWas die Bedingungen der KI-Anbieter über Rechte an Eingaben und Ergebnissen sagen und was eine Freistellungszusage tatsächlich wert ist.
- Text und Data MiningWomit ein KI-Modell trainiert werden darf: die Schranken der §§ 44b und 60d UrhG, der maschinenlesbare Nutzungsvorbehalt und die Beweislast.
- TranskriptionsassistentenKI-Mitschriften in Besprechungen rechtssicher einsetzen: Strafrecht, Beschäftigtendatenschutz, Mitbestimmung und die Nutzungsregelung dazu.
- Transparenz- und KennzeichnungspflichtenArt. 50 KI-VO: Wer mit einem Chatbot spricht, muss es erfahren. Erzeugte Inhalte brauchen eine Kennzeichnung. Fristen und Umsetzung.
- Transparenz-KodexDer Code of Practice on Transparency vom 10. Juni 2026: was er verlangt, was der Beitritt bringt und wie der Nachweis ohne ihn gelingt.
Häufige Fragen
Sind wir Anbieter oder Betreiber im Sinne der KI-Verordnung?
Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein fremdes System in eigener Verantwortung einsetzt. Die Grenze verschiebt sich, sobald Sie ein zugekauftes System wesentlich verändern oder unter Ihrer Marke anbieten. An dieser Einordnung hängen die weiteren Pflichten, deshalb steht sie am Anfang.
Müssen wir KI-erzeugte Inhalte kennzeichnen?
Für bestimmte Fälle sieht die KI-Verordnung Transparenzpflichten vor, etwa bei Systemen, die mit Menschen interagieren, sowie bei künstlich erzeugten oder manipulierten Inhalten. Ob und wie eine Kennzeichnung im Einzelfall auszusehen hat, prüfen wir anhand Ihres konkreten Einsatzes.
Dürfen unsere Mitarbeitenden Kundendaten in ein KI-Werkzeug eingeben?
Nicht ohne Regelung. Beim Prompten können personenbezogene und vertrauliche Daten abfließen. Je nach Dienst werden Eingaben zum Training weiterverwendet. Nötig sind eine geprüfte Auswahl des Werkzeugs, eine vertragliche Grundlage und eine Nutzungsregelung, die den Mitarbeitenden klare Grenzen gibt.
Ab wann gelten die Pflichten für Hochrisiko-Systeme?
Gestaffelt, wobei der Digital Omnibus die Termine verschoben hat. Für die kontextbezogenen Systeme aus Anhang III gelten sie ab dem 2. Dezember 2027, für Hochrisiko-Systeme, die Produkte oder Sicherheitsbauteile sind, ab dem 2. August 2028. Die Vorbereitung eines Konformitätsverfahrens dauert länger als die verbleibende Zeit, weshalb die Verschiebung kein Anlass zum Abwarten ist.
Müssen wir wirklich alle schulen?
Die Pflicht aus Art. 4 KI-VO trifft die Organisation und nicht die einzelne Person. Verlangt ist, dass die nötige Kompetenz im Unternehmen vorhanden ist und dort sitzt, wo mit den Systemen gearbeitet wird. Der Umfang richtet sich nach der Rolle, weshalb eine Einkaufsabteilung anders zu schulen ist als eine Personalabteilung mit KI-gestützter Vorauswahl.
Muss der Betriebsrat beteiligt werden?
In aller Regel ja, über mehrere Rechte nebeneinander. § 87 Abs. 1 Nr. 6 BetrVG ist anwendbar, sobald das System technisch geeignet ist, Verhalten oder Leistung zu kontrollieren. Auf eine Überwachungsabsicht kommt es dabei nicht an. Die Unterrichtung nach Art. 26 Abs. 7 KI-VO tritt daneben und ersetzt die Mitbestimmung nach dem BetrVG nicht.
Wie hoch können Bußgelder nach der KI-Verordnung ausfallen?
Bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei kleinen und mittleren Unternehmen begrenzt der niedrigere Wert die Höhe. Daneben bleiben Schadensersatzansprüche Dritter bestehen. Bußgeld und Haftung schließen einander nicht aus.