KI-Einsatz in Unternehmen Wie Unternehmen von Künstlicher Intelligenz profitieren und rechtliche Hürden meistern

Anbieter zum Thema

INFOMOTION GmbH

QUNIS GmbH

Künstliche Intelligenz (KI) ist aktuell auf dem Vormarsch. Um nicht den Anschluss an die Konkurrenz zu verlieren, müssen Unternehmen und Behörden (im Folgenden zusammengefasst als „Unternehmen“) prüfen, auch welche Weise sie selbst KI einsetzen können. Der enorme Nutzen des Einsatzes von KI wird allerdings von komplexen rechtliche Vorgaben begleitet. Dieser Beitrag stellt die Rahmenbedingungen ausgewählter rechtlicher Anforderungen dar – mit einer Prise Optimismus für den Einsatz von KI.

2023 wurde als Jahr nachhaltig von generativer KI geprägt: ChatGPT wurde Ende 2022 der Öffentlichkeit zugänglich gemacht. Gerade einmal zwei Monate später hatte der Chatbot von OpenAI mehr als 100 Millionen Nutzer. Durch diesen Erfolg motiviert, drängen immer neue KI-Tools auf den Markt – sie erstellen Bilder, werten Tonaufnahmen aus oder erkennen und verarbeiten menschliche Sprache.

Unternehmen müssen also eine Entscheidung treffen, ob und wie sie KI zur Hilfe nehmen und welche Prozesse sich in KI abbilden und optimieren lassen. In einigen Abteilungen wie Marketing, Support und Vertrieb winken unternehmensweit Benefits durch eine KI-Nutzung. Konkret können KI-Systeme zur Sprach- und Textverarbeitung dazu genutzt werden, Übersetzungen zu leisten oder Antworten auf Kundenanfragen zu schreiben. KI-Systeme, die zur Bild- und Objekterkennung eingesetzt werden, unterstützen in der Medizin bei der Diagnostik, erkennen verdächtige Aktivitäten z. B. in der Gebäudesicherheit oder ermöglichen über Assistenzsysteme das autonome Fahren. Über alle Branchen und Unternehmen hinweg kann KI zur Qualitätssicherung und Fehlererkennung und -behebung eingesetzt werden.

Der große Durchbruch kam für KI mit der Entwicklung von bereits vortrainierten Modellen, die bei einer Vielzahl von Anwendungsszenarien direkt einsetzbar sind und für einen konkreten Usecase nur „feingetuned“ werden müssen (sog. General-Purpose-Modelle). Dies macht KI für die breite Masse interessant: Denn die Hürde eines kosten- und zeitintensiven Entwicklungs- bzw. Trainingsprozesses entfällt. Mit dem Einsatz von KI in immer mehr Unternehmensbereichen steigen allerdings die einzuhaltenden Compliance-Vorgaben in Bereichen wie Datenschutz, dem Schutz von geistigem Eigentum und der kommende KI-Regulatorik des EU-Gesetzgebers.

Ein Dauerbrenner – Datenschutz ist wie Online-Sonnencreme

Wenn KI personenbezogene Daten verarbeitet, muss bei ihrem Einsatz die Datenschutzgrundverordnung („DSGVO“) eingehalten werden. Die neue KI-Regulatorik ist insoweit eindeutig: Sie steht (weit gehend) neben dem geltenden Datenschutzrecht und möchte es nicht verändern oder ersetzen.

Wichtig ist, das Datenschutzrecht nicht als Showstopper für den KI-Einsatz zu verstehen. Werden datenschutzrechtliche Themen präventiv und in der erforderlichen Detailtiefe adressiert, lassen sie sich gut in den Griff bekommen. Unternehmen sollten daher im Vorfeld prüfen, welche datenschutzrechtlichen Berechtigungen einschlägig sind, wohin Daten fließen und ob sie für das fortlaufende Training des Algorithmus genutzt werden (das Training einer KI mit personenbezogenen Daten kann z. B. zu einer gemeinsamen Verantwortlichkeit mit dem KI-Anbieter führen).

Daneben sind die klassischen „Formalia“ des Datenschutz-Einmaleins zu berücksichtigen. Zum Beispiel: Verarbeitungssituation vertraglich abbilden, Prozesse für die Wahrung von Betroffenenrechten etablieren, Informationspflichten einhalten und etwaig notwendige Datenschutzfolgenabschätzung durchführen.

Ist das geschützt oder kann das weg?

Manchmal liegt der Knackpunkt allerdings nicht in der Verarbeitung personenbezogener Daten. Gerade große KI-Modelle lernen anhand von Scraping bzw. Data-Mining – also dem automatisierten Auswerten im Internet abrufbarer Datenmengen. Die dabei erfassten Daten sind nicht per se frei verwendbar. Insbesondere Bilder, Videos oder Texte können urheberrechtlich geschützt sein. Verletzt man ein fremdes Urheberrecht, drohen Unterlassungs- und Schadensersatzansprüche. Man sollte sich daher stets damit auseinandersetzen, woher ein KI-Modell seine sog. „Input-Daten“ erlangt und ob bzw. wie eine Prüfung dieser auf Urheberrechte Dritter erfolgt(e).

Daneben steht die Auseinandersetzung mit den Rechten am Output einer KI. Das deutsche Urheberrecht schützt grundsätzlich menschliche Schöpfungen – nicht die eines Algorithmus. Ein Urheberrecht an KI-Output im engeren Sinne kennt unser Rechtskreis also bis dato nicht. Die Frage könnte vorverlagert werden: War die menschliche Eingabe in die KI (der „Prompt“) so kreativ, dass man sie als rechtlich schützenswert ansieht? Eine nicht triviale Frage, deren Detailbetrachtung den Umfang dieses Beitrages jedoch sprengen würde.

Zuletzt sind natürlich, wie bei jeder Software, die Rechte am Tool selbst zu berücksichtigen. Denn in der Regel bestehen KI-Tools zumindest aus einer Bedienoberfläche und einem im Hintergrund arbeitenden Algorithmus – also programmierten und üblicherweise urheberrechtlich geschützten Softwarebestandteilen, die von einem oder mehreren Lizenzgebern zu lizenzieren sind.

Schärfere Regeln für Künstliche Intelligenz

EU-Parlament gibt grünes Licht für KI-Gesetz

Das ist doch alles ein alter Hut

Neu dazu kommt künftig ein ganzes Paket an Regelungsvorhaben der EU – allem voran die KI-Verordnung. Ein im aktuellen Entwurf 245 Seiten langes Dokument, dass aller Voraussicht nach ab Ende 2024 in den Mitgliedsstaaten der EU schrittweise ohne weitere Umsetzungsakte anwendbar werden wird.

Kurz zusammengefasst:

• Die KI-Verordnung ist in erster Linie eine Marktzugangs- und Produkteregulierung. Vergleichbar mit Rechtsakten, die andere Produkte mit erhöhten Risiken regulieren (z. B. Medizinprodukte).

• Die Verordnung unterscheidet zwischen Anbietern von KI-Systemen und Nutzern von KI-Systemen (leicht vereinfacht dargestellt). Wobei die Abgrenzung zwischen den beiden Playern in Grenzfällen noch unklar ist. Spannend wird diese Abgrenzung beispielsweise bei der Einbindung eines Drittmodells in ein eigenes Produkt oder die Anpassung eines Drittmodells auf eigene Bedürfnisse. Für die Praxis ist die Abgrenzung von großer Bedeutung: Den Anbieter treffen im Vergleich zum Nutzer eine ganze Reihe zusätzlicher Pflichten.

• Manche KI-Anwendungen werden verboten (z. B. Manipulation und Täuschung durch KI, Ausnutzen von Schwächen durch KI, „Social-Scoring“).

• Nicht grundsätzlich verbotene KI-Systeme werden durch eine Kombination komplexer Anlagen und Verweisungen in unterschiedliche Risikokategorien einsortiert: Die Einordnung als Hochrisiko-KI bzw. als General-Purpose-Modell (mit und ohne systemischem Risiko) stellt dabei die für die Praxis wichtigste Abgrenzung dar, mit der jeweils eigene Pflichten verbunden sind. KI-Systeme, die in Medizinprodukten oder zur biometrischen Identifizierung zum Einsatz kommen, können z. B. als eine Hochrisiko-KI klassifiziert werden – damit einher gehen dann die Einhaltung strenger technischer Standards, weitläufige Transparenzpflichten und hohe Anforderungen an die verwendeten Trainingsdaten. Besondere Transparenzpflichten sind auch bei dem Einsatz eines General-Purpose-Modells zu erfüllen.

• Die Durchsetzung der KI-Verordnung wird diversen nationalen und EU-Behörden auferlegt, die aus dem Datenschutzrecht bekannte (Sanktions-)Befugnisse erlangen (z. B. Anweisung zur Anpassung der Nutzung eines KI-Systems, Nutzungsuntersagung, umsatzorientierte Geldbußen).

• Es ist deshalb für Unternehmen ratsam, sämtliche internen und externen KI-Anwendungen zu erfassen und zu bewerten, ob und in welcher Rolle (Anbieter, Nutzer, etc.) das Unternehmen KI-Anwendungen einsetzt. Nach dieser Analyse sollten entsprechende Richtlinien zur Nutzung des Systems erstellt werden, die eine „nachträgliche Veränderung“ der Einstufung verhindern. Danach ist es wichtig, die aus der Anwendbarkeit der KI-Verordnung resultierenden Verpflichtungen zu identifizieren (General-Purpose-Modell, Hochrisiko-KI etc.) und einen Plan zu entwickeln, wie diese fristgerecht umgesetzt werden können.

KI-Compliance ist kein einmaliges Vergnügen

Selbst korrekt aufgesetzte KI-Systeme können sich im Laufe der Zeit eine Voreingenommenheit (engl. Bias) antrainieren und liefern anschließend gegebenenfalls ungeeignete Ergebnisse. Das ist besonders brisant, wenn die Ergebnisse Auswirkungen auf natürliche Personen haben oder nicht hinterfragt werden (Beispiel: Die KI wählt vorrangig männliche Bewerber aus und die Personalabteilung lädt blind anhand der Vorschläge der KI zu Vorstellungsgesprächen ein). KI-Systeme sind daher auch nach ihrer initialen Implementierung konstant zu monitoren und erforderliche Korrekturmaßnahmen rechtzeitig einzuleiten.

Entsprechend ist mit der Umsetzung rechtlicher Vorgaben zu verfahren. Die rechtlichen Rahmenbedingungen sind aktuell noch im Fluss und zu einigen Themen wird es erst in Zukunft klare Handlungsempfehlungen geben. Die Umsetzung von KI-Compliance ist deshalb als langfristiges Ziel zu verstehen. Eingebundene Stakeholder sollten sich kontinuierlich fortbilden, Gesetzgebungsvorhaben bzw. Rechtsprechung im Auge behalten und eingebürgerte „Best Practises“ immer wieder auf den Prüfstand stellen. Das soll keinesfalls ein Anreiz zur Prokrastination sein. Denn die Grundsteine für die Zukunftsfähigkeit des eigenen Geschäftsmodells, während und nach der anstehenden KI-Revolution, legen Unternehmen jetzt.

* Jonas Puchelt ist Fachanwalt für Informationstechnologierecht, Zertifizierter Datenschutzbeauftragter (DSC) und Associate Partner bei der Kanzlei FPS Rechtsanwälte in Frankfurt. Dr. Patrick Grosmann ist Rechtsanwalt bei der Kanzlei FPS Rechtsanwälte in Frankfurt. Studium der Rechts- & Politikwissenschaft (M.A.). Promotion im Datenschutzrecht. Er ist zertifizierter Datenschutzbeauftragter (TÜV), Datenschutz-Auditor (DGI) und Dozent für Datenschutzbeauftragte. Hagen Küchler LL.M. ist Rechtsanwalt bei der Kanzlei FPS Rechtsanwälte in Frankfurt und zertifizierter Datenschutzbeauftragter (DSC).

(ID:49963982)