KI-Recht – Beratung zur KI-Verordnung & Haftung

KI-Recht umfasst die rechtliche Einordnung, Umsetzung und Absicherung von KI-Systemen. Dazu gehören der AI Act und je nach Projekt Datenschutz, Verträge, Urheberrecht, Markenrecht, Werberecht und Haftung. ITMR führt diese Fragen für den konkreten Einsatz zusammen – etwa bei internen KI-Tools, eigenen Produkten, der Beschaffung von KI-Leistungen oder der Veröffentlichung von KI-Inhalten.

Je nach vereinbartem Auftrag erhalten Sie beispielsweise ein KI-Inventar mit Rollen- und Risikoeinordnung, eine Pflichtenmatrix, eine KI-Richtlinie, eine dokumentierte Freigabeempfehlung, bearbeitete Verträge oder ein Kennzeichnungskonzept. Bei Datenschutz- und Launchfragen können eine DSFA oder eine rechtliche Risikomatrix hinzukommen. Wir legen vor der Bearbeitung fest, welche Prüfung und welche Ergebnisse Ihr Vorhaben benötigt.

Eine pauschale Freigabe für jeden Einsatz ist nicht sinnvoll. Entscheidend sind das konkrete Tool, Tarif und Konfiguration, der Nutzungszweck, die eingegebenen Daten und die Bedingungen des Anbieters. Zu prüfen sind insbesondere personenbezogene Daten, Geschäftsgeheimnisse, mögliche Trainingsnutzung und die Kontrolle der Ergebnisse. Eine KI-Tool-Prüfung kann die Grundlage dafür schaffen, welche Nutzung unter welchen Bedingungen intern freigegeben wird.

Eine Richtlinie ist ein wichtiger Baustein. Sie ersetzt aber nicht die Einordnung der eingesetzten Systeme, die Rollenprüfung oder die Umsetzung der einschlägigen Pflichten. Je nach Einsatz gehören Vertragsprüfung, Datenschutzbewertung, Toolfreigabe, Maßnahmen zur KI-Kompetenz und Kontrollen hinzu. Eine wirksame KI-Governance verbindet diese Aufgaben mit Zuständigkeiten und nachvollziehbaren Nachweisen.

Der AI Act kann relevant sein, wenn Ihr Unternehmen KI-Systeme anbietet, integriert, vermarktet oder betreibt. Welche Pflichten gelten, bestimmen insbesondere Rolle, Einsatzzweck und Produktkontext. Nicht jedes automatisierte Software-Feature ist ein KI-System und nicht jedes KI-System ist hochriskant. Der passende Einstieg ist eine System- und Rollenprüfung; daraus ergibt sich der konkrete Umfang der AI-Act-Umsetzung.

Artikel 50 AI Act enthält keine pauschale Kennzeichnungspflicht für jede Verwendung von KI. Er unterscheidet verschiedene Systeme, Inhalte, Rollen und Ausnahmen. Hinweise bei der Interaktion mit KI, maschinenlesbare Markierungen und die Offenlegung bestimmter veröffentlichter Inhalte sind getrennt zu prüfen. Die AI-Act-Transparenzprüfung klärt, welche Pflichten Ihren Anwendungsfall betreffen und wie die erforderlichen Hinweise umgesetzt werden können.

Häufig betrifft er beides. Personenbezogene Daten in Training, Eingaben, Ausgaben, Monitoring oder Profiling lösen Datenschutzfragen aus. Klassifizierung, Transparenz, menschliche Aufsicht und Lieferkettenpflichten können zugleich unter den AI Act fallen. Wir stimmen die Prüfungen aufeinander ab. Je nach Schwerpunkt vertiefen wir die Auftragsverarbeitung, eine Datenschutz-Folgenabschätzung oder die regulatorische Umsetzung.

Die Nutzungsbedingungen eines Tools beantworten nicht jede Frage zu einem Ergebnis. Zu prüfen sind menschliche schöpferische Beiträge, vertragliche Nutzungsrechte und mögliche Rechte Dritter, etwa an Referenzmaterial, Bildern, Stimmen oder Kennzeichen. Auch eine vertraglich erlaubte Nutzung schließt solche Konflikte nicht aus. Für die kommerzielle Verwendung prüfen wir deshalb den konkreten Inhalt, seine Entstehung und die geplanten Verwertungswege.

Haftung trifft nicht automatisch nur den Modellanbieter. Relevant sind Rolle, Produktkontext, Vertragslage, Organisationspflichten und der konkrete Schaden. In Unternehmensprojekten müssen deshalb auch Leistungsgrenzen, menschliche Kontrolle, Warnhinweise, Freistellungen und Nachweise betrachtet werden. Die rechtliche Prüfung soll zeigen, welche Risiken vertraglich zugeordnet und welche durch Prozesse oder Änderungen am Einsatz reduziert werden können.

Die Grundrechte-Folgenabschätzung betrifft die von Artikel 27 AI Act erfassten Betreiber und Hochrisiko-Einsätze; der Anwendungsbeginn richtet sich nach den einschlägigen Hochrisiko-Fristen. Eine DSFA nach Artikel 35 DSGVO ist davon unabhängig zu prüfen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Soweit Anforderungen bereits durch eine DSFA erfüllt sind, können einschlägige Abschnitte in der Grundrechte-Folgenabschätzung referenziert oder übernommen werden.