KI

Begriff und Grundlagen der Künstlichen Intelligenz (KI)

Künstliche Intelligenz (KI) bezeichnet Systeme, die Aufgaben ausführen, die üblicherweise menschliche Fähigkeiten erfordern, etwa Erkennen, Verstehen, Vorhersagen oder Generieren von Inhalten. Technisch beruhen viele KI-Systeme auf statistischen Verfahren, die Muster in Daten erkennen und daraus Entscheidungen oder Inhalte ableiten. KI unterscheidet sich von herkömmlicher Software durch lernfähige Modelle, die ihr Verhalten auf Basis von Daten anpassen.

Funktionsweisen und Arten von KI

• Regelbasierte KI: Entscheidungen folgen festgelegten Regeln; Transparenz ist hoch, Lernfähigkeit begrenzt.
• Maschinelles Lernen: Modelle werden aus Beispieldaten trainiert; Leistungsfähigkeit hängt stark von Datenqualität ab.
• Tiefes Lernen: Neuronale Netze mit vielen Schichten verarbeiten komplexe Signale wie Sprache oder Bilder.
• Generative KI: Modelle erzeugen neue Inhalte (Text, Bild, Audio, Code) auf Basis erlernter Muster.
• Basismodelle (General-Purpose AI): Modelle mit breiter Anwendbarkeit, die in vielfältige Produkte integriert werden.

Lebenszyklus eines KI-Systems

Der Lebenszyklus umfasst typischerweise Datengewinnung, Datenaufbereitung, Training, Test und Validierung, Bereitstellung (Deployment), Betrieb inklusive Überwachung sowie Aktualisierung. Rechtlich bedeutsam sind die Rollen entlang der Wertschöpfungskette: Entwicklung und Training, Inverkehrbringen, Integration in bestimmte Anwendungen sowie Nutzung im konkreten Kontext.

Rechtlicher Rahmen in Europa und Deutschland

Der europäische Rechtsrahmen für KI baut auf bestehenden Normen auf und wird durch spezielle KI-Regelungen ergänzt. Maßgeblich sind insbesondere Grundrechte, Datenschutz, Verbraucher- und Produktsicherheitsrecht, Immaterialgüterrechte, Wettbewerbsrecht sowie arbeits- und medienrechtliche Vorschriften. Die folgenden Aspekte beschreiben zentrale Themenfelder.

Grundrechte und Diskriminierungsschutz

KI-Anwendungen berühren Privatsphäre, Meinungs- und Informationsfreiheit, Gleichbehandlung, Berufsfreiheit und Zugangsrechte zu Leistungen. Rechtliche Anforderungen zielen darauf ab, ungerechtfertigte Ungleichbehandlung zu verhindern, die Nachvollziehbarkeit relevanter Entscheidungen zu ermöglichen und Risiken für besonders schutzwürdige Bereiche wie Bildung, Beschäftigung, Gesundheitsversorgung oder öffentliche Leistungen zu begrenzen.

Datenschutz und Datenökonomie

Bei der Verarbeitung personenbezogener Daten durch KI gelten Transparenz, Zweckbindung, Datenminimierung und Sicherheit. Für spezielle Datenkategorien gelten erhöhte Anforderungen. Je nach Einsatzbereich kommen Informationspflichten, Rechte der betroffenen Personen und ggf. Folgenabschätzungen in Betracht. Neben dem klassischen Datenschutzrecht prägen Regeln zum Datenzugang, zur Interoperabilität und zur Datenteilung den Rahmen der Datenökonomie. Relevanz haben auch Beschränkungen für den Zugriff auf vertrauliche oder geschützte Datensätze sowie Vorgaben zur Anonymisierung und Pseudonymisierung.

Verbraucher- und Wettbewerbsrecht

KI im Kontakt mit Verbraucherinnen und Verbrauchern unterliegt Informations- und Kennzeichnungspflichten, etwa bei automatisierter Interaktion oder synthetischen Inhalten. Irreführende Praktiken, manipulative Gestaltung und aggressive Geschäftspraktiken sind unzulässig. Wettbewerbsrechtlich stehen Datenzugang, Interoperabilität, Lock-in-Effekte und der Missbrauch von Marktmacht im Fokus; für Plattformen und Gatekeeper bestehen zusätzliche Vorgaben.

Produktsicherheit und Haftung

KI kann Bestandteil von Produkten oder eigenständige Software sein. Für sichere Bereitstellung und Nutzung greifen produktsicherheitsrechtliche Anforderungen, einschließlich Risikobewertung, technischer Dokumentation, Qualitätssicherung, Cybersicherheit und Marktüberwachung. Haftungsrechtlich werden Schäden durch fehlerhafte Produkte, mangelhafte Leistungen, Verletzung von Verkehrspflichten oder deliktisches Verhalten abgedeckt. Aktualisierte Regelungen erfassen Software und KI ausdrücklich und berücksichtigen Datenabhängigkeit, Updates sowie Interaktionen im Ökosystem.

Immaterialgüterrechte (Urheber-, Marken-, Design- und Datenbankrecht)

Beim Einsatz von Trainingsdaten und der Generierung von Inhalten sind Urheber- und verwandte Schutzrechte bedeutsam. Text- und Data-Mining-Ausnahmen erlauben in bestimmten Grenzen die Nutzung geschützter Inhalte zum Training; Rechteinhaber können unter Voraussetzungen widersprechen. Schutzfähigkeit der von KI erzeugten Inhalte setzt regelmäßig menschliche schöpferische Mitwirkung voraus. Marken- und Designrecht sind berührt, wenn geschützte Kennzeichen oder Gestaltungen genutzt oder nachgebildet werden. Das Datenbankrecht kann strukturierte Datensammlungen schützen. Vertrags- und Lizenzgestaltung regelt, welche Nutzungen zulässig sind.

Arbeitswelt und Beschäftigung

KI im Arbeitsverhältnis berührt Mitbestimmung, Datenschutz am Arbeitsplatz, Transparenz automatisierter Bewertungen sowie Grenzen der Überwachung. Bewerbungs- und Leistungsbewertungssysteme unterliegen Anforderungen an Fairness, Nachvollziehbarkeit und Verhältnismäßigkeit. Kollektivrechtliche Vereinbarungen und Informationspflichten können einschlägig sein.

Medien, Persönlichkeit und öffentliche Kommunikation

KI-gestützte Inhalte betreffen Persönlichkeitsrechte, einschließlich Recht am eigenen Bild und an der Stimme, sowie den Schutz vor Täuschung. In bestimmten Kontexten besteht Kennzeichnungspflicht für synthetische Medieninhalte, insbesondere bei Deepfakes. Medienrechtliche Sorgfaltspflichten, Plattformregeln und Moderationsanforderungen flankieren den Umgang mit KI-generierten Inhalten.

Risikobasierter Regulierungsansatz der EU zur KI

Die EU verfolgt einen risikobasierten Ansatz: Anforderungen richten sich nach den Risiken, die von einer Anwendung ausgehen. Der Anwendungsbereich erfasst sowohl spezialisierte als auch allgemeine KI-Modelle.

Risikokategorien

• Verbotene Praktiken: Anwendungen, die grundlegende Rechte gravierend gefährden, sind untersagt.
• Hochrisiko-KI: Systeme in sensiblen Bereichen (etwa kritische Infrastrukturen, Bildung, Beschäftigung, Gesundheitsversorgung, Kreditvergabe, Strafverfolgung) unterliegen strengen Auflagen.
• Begrenztes Risiko: Es gelten Transparenz- oder Informationspflichten, z. B. Hinweis auf die Interaktion mit einer KI.
• Minimales Risiko: Freiwillige Standards und bewährte Verfahren prägen den Rahmen.

Pflichten für Anbieter, Inverkehrbringer, Integratoren und Nutzende

• Daten- und Qualitätsmanagement: Anforderungen an Repräsentativität, Relevanz und Dokumentation der Trainings- und Testdaten.
• Technische Dokumentation und Nachvollziehbarkeit: Beschreibung des Modells, der Funktionen, Grenzen und Leistungsmerkmale.
• Risikomanagement: Identifikation, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus.
• Transparenz und Informationen: Hinweise zu Zweck, Funktionsweise, Leistungskennzahlen, bekannten Einschränkungen und erforderlichem menschlichen Überblick.
• Human Oversight: Vorkehrungen, die eine wirksame Aufsicht und Eingriffsmöglichkeiten ermöglichen.
• Robustheit, Genauigkeit und Cybersicherheit: Schutz vor Manipulation, Datenvergiftung und adversarialen Angriffen.
• Überwachung nach dem Inverkehrbringen: Meldung schwerwiegender Vorfälle und Aktualisierung der Systeme.

Basismodelle und allgemeine KI

Große, breit einsetzbare Modelle unterliegen zusätzlichen Transparenz- und Governance-Anforderungen. Dazu gehören Dokumentation von Trainingsinhalten in aggregierter Form, Nachweise zu Leistungsfähigkeit, Sicherheits- und Risikotests sowie Maßnahmen gegen Missbrauch. Für besonders leistungsfähige Modelle gelten verstärkte Pflichten, etwa zu Modell-Sicherheit, Evaluierungen und Ressourcen für Missbrauchsprävention.

Konformität, Kennzeichnung und Marktaufsicht

Für Hochrisiko-Systeme sind Konformitätsbewertungen vorgesehen. Technische Normen und harmonisierte Spezifikationen dienen als Nachweis geeigneter Vorkehrungen. Kennzeichnungen und Begleitinformationen informieren über Zweck und Einsatzbedingungen. Marktaufsichtsbehörden überwachen die Einhaltung und können Maßnahmen bis hin zum Rückruf anordnen.

Durchsetzung und Sanktionen

Verstöße können zu empfindlichen Sanktionen führen. Das Sanktionsniveau orientiert sich an Art und Schwere des Verstoßes sowie an der Größe des Unternehmens. Zuständig sind benannte nationale Behörden und koordinierende Stellen auf EU-Ebene.

Verträge, Verantwortlichkeiten und Governance

Rechte und Pflichten im KI-Ökosystem werden wesentlich vertraglich ausgestaltet. Maßgeblich sind die vertraglichen Rollen sowie der konkrete Einsatzbereich.

Rollen und Zuweisung von Verantwortung

• Anbieter/Entwickler: Training, Architektur, Dokumentation, Sicherheits- und Qualitätsstandards.
• Inverkehrbringer/Importeur: Bereitstellung auf dem Markt, Konformitätsnachweise.
• Integrator: Einbindung in ein Endprodukt oder eine spezifische Anwendung.
• Nutzende: Betrieb im konkreten Umfeld, Beachtung von Informationen zur bestimmungsgemäßen Verwendung und Grenzen.

Vertragliche Kernfragen

• Leistungsbeschreibung, Einsatzgrenzen und Service-Level.
• Rechte an Daten, Modellen und Ergebnissen; Lizenzierung und Nutzungsumfang.
• Zusicherungen zu Sicherheit, Robustheit, Aktualisierungen und Dokumentation.
• Haftungsregelungen, Verantwortungsabgrenzung und Versicherung.
• Audit-, Informations- und Mitwirkungspflichten entlang der Lieferkette.
• Compliance-Klauseln zu Transparenz, Exportkontrolle, Sanktionen und Ethik-Standards.

Open-Source-KI

Offen lizenzierte Modelle, Datensätze und Werkzeuge unterliegen den jeweiligen Lizenzbedingungen. Unentgeltliche Bereitstellung als solche entbindet nicht von gesetzlichen Pflichten. Transparenz über Herkunft von Komponenten, Lizenzkompatibilität und etwaige Nutzungsbeschränkungen ist rechtlich relevant.

Daten, Training und Transparenz

Daten bilden den Rohstoff der KI. Rechtliche Anforderungen betreffen Herkunft, Rechtmäßigkeit der Nutzung, Schutz von Geheimnissen und vertragliche Absicherung.

Herkunft, Qualität und Schutzinteressen

• Rechtsgrundlagen für die Verarbeitung personenbezogener Daten und besondere Schutzkategorien.
• Wahrung von Geschäftsgeheimnissen und vertraulichen Informationen.
• Qualitätsanforderungen zur Vermeidung systematischer Verzerrungen.
• Internationale Datenübermittlungen und Anforderungen an Datentransfers.

Text- und Data-Mining sowie Opt-out

Regelungen zum Text- und Data-Mining erlauben unter Bedingungen die Analyse urheberrechtlich geschützter Inhalte. Rechteinhaber können Nutzungen außerhalb gesetzlicher Schranken durch Vorbehalte einschränken. Technische Maßnahmen und maschinenlesbare Opt-out-Hinweise spielen dabei eine Rolle.

Dokumentation, Erklärbarkeit und Kennzeichnung

Dokumentationspflichten unterstützen Nachvollziehbarkeit und Aufsicht. Je nach Risikoklasse bestehen Kennzeichnungspflichten, etwa bei KI-gestützter Interaktion oder synthetischen Medien. Erklärbarkeit betrifft die Fähigkeit, Funktionsweise und Einflussfaktoren eines Systems in angemessener Form zu beschreiben.

Internationale Entwicklungen und Standards

Außerhalb der EU prägen Leitlinien, sektorale Vorschriften und Aufsichtspraktiken die Regulierung. In den USA bestehen föderale und sektorale Ansätze sowie Rahmenwerke für Vertrauenswürdigkeit. Andere Rechtsordnungen verfolgen teils detaillierte Regelungen für Sicherheit, Datenlokalisierung und Exportkontrolle. Technische Normen (z. B. ISO/IEC) und Referenzrahmen unterstützen die praktische Umsetzung von Sicherheit, Qualität und Governance.

Häufig gestellte Fragen (FAQ)

Was gilt als KI-System im rechtlichen Sinn?

Erfasst werden Systeme, die mit autonomen oder teilautonomen Methoden aus Daten Modelle ableiten, um Vorhersagen, Entscheidungen oder Inhalte zu erzeugen. Dazu gehören auch allgemeine Basismodelle, die für vielfältige Zwecke eingesetzt werden können.

Wer haftet, wenn ein KI-System einen Schaden verursacht?

Die Haftung richtet sich nach dem Zusammenspiel von Produkthaftung, vertraglichen Zusagen und allgemeinen zivilrechtlichen Regeln. Je nach Fall können Anbieter, Integratoren oder Nutzende verantwortlich sein, insbesondere wenn Fehler im System, mangelhafte Integration oder nicht bestimmungsgemäßer Einsatz vorliegen.

Dürfen urheberrechtlich geschützte Werke zum Training verwendet werden?

Training kann durch gesetzliche Ausnahmen und Lizenzen abgedeckt sein. Soweit Ausnahmen greifen, sind Bedingungen wie rechtmäßiger Zugang und gegebenenfalls Vorbehalte der Rechteinhaber zu beachten. Außerhalb dieser Grenzen bedarf die Nutzung einer entsprechenden Rechtseinräumung.

Wem gehören die Rechte an von KI erzeugten Inhalten?

Urheberrechtlicher Schutz setzt regelmäßig menschliche schöpferische Mitwirkung voraus. Rein automatisch erzeugte Inhalte ohne menschliche Gestaltung erreichen diesen Schutz typischerweise nicht. Vertragliche Regelungen können Nutzungsrechte an Ergebnissen unabhängig vom Urheberrecht festlegen.

Welche Pflichten bestehen bei Hochrisiko-KI?

Vorgesehen sind unter anderem Risikomanagement, Daten- und Qualitätsanforderungen, technische Dokumentation, Transparenz, menschliche Aufsicht sowie Robustheit und Cybersicherheit. Zudem bestehen Pflichten zur Überwachung nach dem Inverkehrbringen und zur Meldung schwerwiegender Vorfälle.

Muss der Einsatz von KI gegenüber Verbraucherinnen und Verbrauchern kenntlich gemacht werden?

Bei bestimmten Anwendungen bestehen Informations- und Kennzeichnungspflichten, etwa wenn Personen mit einem System interagieren oder wenn Inhalte synthetisch erzeugt wurden. Ziel ist die Vermeidung von Irreführung und die Stärkung informierter Entscheidungen.

Darf KI im Arbeitsverhältnis zur Überwachung eingesetzt werden?

Einsatz und Umfang unterliegen Grenzen des Datenschutzes, des Persönlichkeitsrechtsschutzes und der Verhältnismäßigkeit. Zudem können Mitbestimmungsrechte und Transparenzpflichten einschlägig sein, insbesondere bei automatisierten Bewertungen und Entscheidungen.