Ein Gesetz, das vom Arbeits- bis hin zum Patentrecht alle Sektoren übergreifend abdeckt, existiert in Deutschland momentan nicht. Es gibt lediglich spezifische Regelungen für einzelne Rechtsgebiete, zum Beispiel im Urheberrecht oder im Bereich Datenschutz. Die Europäische Union verhandelt aktuell über eine sektorübergreifende KI-Verordnung, die einen Rahmen für die Entwicklung und Nutzung von Künstlicher Intelligenz bieten soll. Im Fokus stehen vor allem ethische sowie Risikofragen. Zum Beispiel, ob und unter welchen regulativen Voraussetzungen generative Modelle wie Foundation Models entwickelt und eingesetzt werden dürfen oder wie mit KI-basierten Recruiting-Systemen umzugehen ist. Solche Anwendungsfälle werden nach Risikokriterien und -kategorien klassifiziert und bewertet. Das Gesetz hat Pioniercharakter, denn es ist der weltweit erste Versuch, eine generelle, sektorübergreifende Regulierung von Künstlicher Intelligenz zu realisieren. Aktuell befinden sich die EU-Organe aber noch im Trilog. Das macht es schwierig, endgültige Aussagen über Details zu treffen.

Aufgrund der Gesetzeslage gibt es derzeit wenig, was explizit verboten ist, abgesehen von Ausnahmen wie der Verarbeitung personenbezogener Daten. Grundsätzlich muss man zwischen verschiedenen Arten von Künstlicher Intelligenz unterscheiden. Oft handelt es sich „nur“ um Standard-Software, die spezifischen Anwendungsregeln unterliegt. Bei selbst entwickelten Systemen ergeben sich hingegen schnell unterschiedliche Rechtsfragen und Herausforderungen, die Unternehmen selbst lösen müssen. An welchen Stellen Gesetze künftig greifen, wird voraussichtlich von der Risikoneigung der KI-Lösung abhängen. Wenn Maschinen eigenständig Entscheidungen treffen sollen, die sich auf Menschen nicht nur unerheblich auswirken, kann es sicherlich heikel werden. Das gilt beispielsweise für Systeme, die der Kontrolle, Auswahl und Evaluierung von Mitarbeitenden dienen. Hierzu gibt es auch derzeit schon Regeln, wie das Betriebsverfassungsrecht, die im Dialog mit dem Betriebsrat umzusetzen sind. In aller Regel geht es dabei weniger um das „Ob“ (man eine KI einsetzen darf), sondern eher um die konkrete Ausgestaltung.

Eine gut durchdachte Regulierung ist durchaus sinnvoll, insbesondere, wenn KI menschliche Grundbedürfnisse tangiert. Voraussetzung dafür sind gesellschaftliche Diskurse, die in der breiten Masse geführt werden müssen, nicht hinter verschlossenen Türen. Künstliche Intelligenz wird in vielen Arbeitsfeldern disruptive Auswirkungen haben. Damit sind naturgemäß Ängste verbunden. Bei solchen Entwicklungen, deren Ausgang schwer einschätzbar ist, neigt die Politik mitunter dazu, über das Ziel hinauszuschießen. Die Gefahr ist, die falschen Mittel zu wählen oder Sachverhalte zu regulieren, die keiner Regulierung bedürfen. Auflagen, die den Einsatz von KI in Produktionsunternehmen massiv beschränken, können zum Beispiel nicht das Ziel sein. Das wäre innovationsfeindlich. Die Politik bewegt sich hier in einem Spannungsfeld, in dem es einen vernünftigen Ausgleich braucht. Wünschenswert wäre eine Regulierung, die nicht in Stein gemeißelt ist, sondern im Nachgang mit Blick auf technologische Entwicklungen und Praxiserfahrungen angepasst werden kann. Mit der Datenschutzgrundverordnung (DSGVO) hat die EU ein Gesetz vorgelegt, das auch den Einsatz von KI betreffen kann.

Ich würde sagen sowohl als auch. Einerseits sind Verordnungen wie die DSGVO gerade für KMU eine erhebliche Hürde. Daraus ergeben sich komplexe Compliance-Auflagen, deren Umsetzung mit Aufwand und Kosten verbunden ist. Andererseits kann die Sensibilität, die europäische Unternehmen und Menschen für Themen wie Datenschutz und Privacy zeigen, auch ein Benefit sein. Bei Produkten, die personenbezogene Daten verarbeiten, ist die Einhaltung des europäischen Datenschutzrechts beispielsweise nicht selten ein Wettbewerbsvorteil.

Vor dem Einsatz einer KI-Lösung sollten Unternehmen genau prüfen, wie die Anwendung funktioniert und welche Anforderungen sich damit aus rechtlicher Sicht ergeben. Wie detailliert sie bei dieser Risikoanalyse vorgehen, hängt vom Kontext ab. Geht es um personenneutrale Aspekte, zum Beispiel die Kalibrierung eines Produktionsroboters, braucht es keine groß angelegte Risikoabwägung. Für Drittsysteme wie ChatGPT bieten sich aber schon interne Leitlinien oder Policies an. Für Eigenentwicklungen, die kritische Rechtsbereiche betreffen, empfiehlt sich ein ausführlicheres rechtliches Risikokonzept. Hierbei sollten Unternehmen auch die Regulierungstendenzen im Blick behalten und beobachten, wie sich die Diskussionen auf EU-Ebene entwickeln.

Dr. Till Kreutzer

Dr. Till Kreutzer zählt zu den renommiertesten deutschen Rechtsanwälten für Urheberrecht. Als Co-Autor der Studie „KI in Unternehmen – ein Praxisleitfaden für rechtliche Fragen“ (Bertelsmann Stiftung, 2021) beschäftigte er sich in den vergangenen Jahren ausführlich mit dem Einsatz von Künstlicher Intelligenz in Unternehmen. Neben seiner Tätigkeit als geschäftsführender Partner der Rechtsanwaltskanzlei iRights.Law und Herausgeber des Internetportals iRights.info lehrt Kreutzer an verschiedenen Institutionen über Themen wie IT-, Urheber- und Persönlichkeitsrecht.