Die Eingabe interner Unternehmens- oder Kundendaten in KI-Anwendungen ist nicht grundsätzlich verboten. Entscheidend ist, welche Informationen verarbeitet werden, zu welchem Zweck die Verarbeitung erfolgt und wie der eingesetzte KI-Dienst mit diesen Daten umgeht. Werden personenbezogene Daten eingegeben, müssen insbesondere die Anforderungen der DSGVO eingehalten werden. Dazu gehören eine geeignete Rechtsgrundlage, die Beachtung der Datenschutzgrundsätze und gegebenenfalls ein Auftragsverarbeitungsvertrag. Auch mögliche Übermittlungen in Drittländer sind zu prüfen.

Bei vertraulichen Unternehmensinformationen kommt der Schutz von Geschäftsgeheimnissen hinzu. Insbesondere sollte geklärt werden, ob der KI-Anbieter Eingaben für eigene Zwecke oder zum Modelltraining verwendet, welche Zugriffsmöglichkeiten bestehen und welche vertraglichen Schutzmaßnahmen vorgesehen sind. Enterprise-Versionen oder API-Lösungen können hierfür Vorteile bieten, sind aber nicht automatisch datenschutzkonform. Pseudonymisierung und Anonymisierung können Risiken reduzieren, wobei pseudonymisierte Daten grundsätzlich weiterhin der DSGVO unterliegen. Eine interne KI-Richtlinie hilft, verbindliche Vorgaben für den Umgang mit sensiblen Informationen festzulegen.

Wer fremde Texte, Fotografien oder andere urheberrechtlich geschützte Werke in KI-Anwendungen hochlädt, muss prüfen, ob die damit verbundenen Vervielfältigungen rechtlich zulässig sind. Eine Erlaubnis kann sich insbesondere aus einer Lizenz oder einer gesetzlichen Schranke ergeben. Die Voraussetzungen hängen vom konkreten Nutzungsvorgang ab. Insbesondere rechtfertigt die Ausnahme für Text und Data Mining nach § 44b UrhG nicht automatisch jede Verwendung fremder Inhalte in einem KI-Tool.

Auch bei der anschließenden Nutzung des KI-Ergebnisses können Urheberrechte verletzt werden. Entscheidend ist, ob geschützte Gestaltungselemente eines fremden Werkes übernommen werden und eine entsprechende Nutzungserlaubnis besteht. Dass ein Inhalt mithilfe künstlicher Intelligenz verändert wurde, schließt eine Rechtsverletzung nicht aus. Unternehmen sollten daher die Herkunft und die Nutzungsrechte verwendeter Ausgangsmaterialien prüfen und den Umgang mit fremden Werken auch gegenüber Mitarbeitern und externen Agenturen verbindlich regeln.

Rein KI-generierte Inhalte genießen nach deutschem Urheberrecht grundsätzlich keinen eigenen Urheberrechtsschutz, wenn es an einer persönlichen geistigen Schöpfung eines Menschen fehlt (§ 2 Abs. 2 UrhG). Allein die Eingabe eines umfangreichen Prompts genügt dafür nicht zwangsläufig. Urheberrechtsschutz kann jedoch entstehen, wenn sich in dem Ergebnis eine hinreichende eigene schöpferische Leistung eines Menschen niederschlägt. Entscheidend ist die konkrete menschliche Gestaltung, nicht die bloße Länge oder Komplexität der Anweisungen. Mit dieser Frage befasst sich auch der Beitrag „Urheberrecht bei KI-Logos: Amtsgericht München verneint Schutz trotz detaillierter Prompts“.

Die kommerzielle Verwendung KI-generierter Inhalte ist deshalb aber nicht automatisch risikofrei. Auch ohne eigenen Urheberrechtsschutz können insbesondere fremde Urheberrechte, Markenrechte oder Persönlichkeitsrechte betroffen sein. Das gilt beispielsweise, wenn ein KI-Ergebnis geschützte Teile eines bestehenden Werkes reproduziert. Unternehmen sollten bei der kommerziellen Nutzung daher sowohl die eigenen Nutzungsrechte als auch mögliche Rechte Dritter berücksichtigen.

Auch Prompts können urheberrechtlich geschützt sein, wenn ihre konkrete sprachliche Gestaltung eine persönliche geistige Schöpfung darstellt. Bei kurzen, rein funktionalen Anweisungen wird dies regelmäßig nicht der Fall sein. Umfangreiche und individuell gestaltete Prompt-Texte können dagegen unter Umständen Schutz genießen. Ob ein Prompt besonders aufwendig entwickelt wurde oder wirtschaftlich wertvoll ist, entscheidet für sich genommen noch nicht über den Urheberrechtsschutz.

Für Unternehmen ist deshalb häufig der Schutz vertraulichen Know-hows wichtiger. Wertvolle Prompt-Bibliotheken und darauf aufbauende Arbeitsabläufe können unter den Voraussetzungen des Geschäftsgeheimnisgesetzes geschützt sein. Dazu gehören insbesondere ein berechtigtes Geheimhaltungsinteresse und angemessene Geheimhaltungsmaßnahmen. Ergänzend sollten Unternehmen vertraglich regeln, wer Prompts verwenden, verändern und weitergeben darf.

Unternehmen können für Schäden oder Rechtsverletzungen verantwortlich sein, die durch den Einsatz künstlicher Intelligenz entstehen. Das betrifft beispielsweise falsche Informationen eines Kunden-Chatbots, fehlerhafte KI-generierte Leistungsbeschreibungen oder die Veröffentlichung rechtsverletzender Inhalte. Ob tatsächlich eine Haftung besteht, hängt jedoch von der jeweiligen Anspruchsgrundlage, den bestehenden Vertragsverhältnissen und den Umständen des Einzelfalls ab. Eine automatische und ausschließliche Haftung des KI-Anwenders gibt es ebenso wenig wie einen generellen Haftungsausschluss für KI-Anbieter.

Zur Begrenzung rechtlicher Risiken sind geeignete Kontrollmechanismen wichtig. Ob KI-Ergebnisse vor ihrer Verwendung durch einen Menschen geprüft werden müssen, richtet sich nach der jeweiligen Anwendung und den einschlägigen rechtlichen Anforderungen. Eine allgemeine gesetzliche Pflicht zur menschlichen Freigabe sämtlicher KI-Ergebnisse besteht nicht. Gerade bei rechtlich sensiblen oder besonders fehleranfälligen Anwendungen können menschliche Prüfungen, technische Schutzmaßnahmen und klar geregelte Verantwortlichkeiten jedoch erforderlich oder sinnvoll sein.

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 KI-VO. Sie unterscheiden sich je nach KI-System und Inhalt. Bei KI-Systemen, die unmittelbar mit Menschen interagieren, verpflichtet Art. 50 Abs. 1 KI-VO die Anbieter grundsätzlich dazu, für eine entsprechende Information der Nutzer zu sorgen, soweit die KI-Interaktion nicht ohnehin offensichtlich ist. Art. 50 Abs. 4 KI-VO verpflichtet Betreiber zudem zur Offenlegung bestimmter KI-generierter oder manipulierter Bild-, Audio- und Videoinhalte, die als Deepfakes einzustufen sind.

Für KI-generierte Texte gilt eine Kennzeichnungspflicht nach Art. 50 Abs. 4 KI-VO nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Verordnung sieht insbesondere eine Ausnahme für menschlich überprüfte oder redaktionell kontrollierte Inhalte mit entsprechender redaktioneller Verantwortlichkeit vor. Eine allgemeine Pflicht, jeden KI-generierten Text oder jedes KI-Bild zu kennzeichnen, besteht daher nicht. Die Einzelheiten erläutere ich im Praxisleitfaden zur KI-Kennzeichnungspflicht. Was bei Verstößen droht, behandelt der Beitrag „Abmahnung wegen fehlender KI-Kennzeichnung: Was tun?“.

Eine allgemeine gesetzliche Verpflichtung, eine schriftliche KI-Richtlinie einzuführen, besteht nicht. Dennoch sind interne Regelungen für viele Unternehmen sinnvoll, um den Umgang mit KI-Anwendungen zu organisieren und rechtliche Risiken zu begrenzen. Dies betrifft insbesondere Datenschutz, Geschäftsgeheimnisse, IT-Sicherheit, zulässige Anwendungsfälle und die Kontrolle KI-generierter Ergebnisse.

Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz der mit den Systemen befassten Personen zu ergreifen. Welche Maßnahmen angemessen sind, hängt unter anderem von deren Kenntnissen, den eingesetzten Systemen und den jeweiligen Einsatzbedingungen ab. Eine KI-Richtlinie kann hierzu beitragen, erfüllt die Anforderungen aber nicht automatisch. In Unternehmen mit Betriebsrat können bei der Einführung von KI-Anwendungen außerdem Informations- und Mitbestimmungsrechte zu beachten sein, insbesondere nach §§ 87 und 90 BetrVG.

Ja. Auch Unternehmen, die KI-Systeme lediglich geschäftlich einsetzen, können unter die KI-Verordnung fallen. Das Gesetz unterscheidet insbesondere zwischen Anbietern, die KI-Systeme unter eigenem Namen oder eigener Marke in Verkehr bringen oder in Betrieb nehmen, und Betreibern, die KI-Systeme in eigener Verantwortung verwenden. Welche Pflichten gelten, hängt von dieser Rollenverteilung und der konkreten Anwendung ab.

Besondere Anforderungen können beim Einsatz von Hochrisiko-KI-Systemen entstehen. Auch die rechtliche Rolle kann sich unter bestimmten Voraussetzungen verändern: Nach Art. 25 KI-VO können beispielsweise das Anbringen einer eigenen Marke auf einem Hochrisiko-KI-System, dessen wesentliche Veränderung oder die Umwidmung eines anderen KI-Systems zu einem Hochrisiko-KI-System zur Übernahme von Anbieterpflichten führen. Nicht jede Integration fremder KI-Software, jedes White-Label-Angebot oder jede Zweckänderung löst diese Rechtsfolge aus. Entscheidend ist die Prüfung der gesetzlichen Voraussetzungen im konkreten Einzelfall.

Das Training und Fine-Tuning von KI-Modellen mit vorhandenen Datenbeständen ist nicht grundsätzlich verboten. Allerdings müssen insbesondere das Urheberrecht, die DSGVO und gegebenenfalls vertragliche Geheimhaltungspflichten berücksichtigt werden. Bei fremden urheberrechtlich geschützten Inhalten kommt unter anderem die Ausnahme für Text und Data Mining nach § 44b UrhG in Betracht. Diese setzt insbesondere rechtmäßigen Zugang zu den Werken und das Fehlen eines wirksamen Nutzungsvorbehalts voraus.

Enthalten die Trainingsdaten personenbezogene Informationen, sind zusätzlich eine geeignete Rechtsgrundlage, die datenschutzrechtlichen Grundsätze und gegebenenfalls die Voraussetzungen einer zulässigen Weiterverarbeitung zu prüfen. Auch vertragliche Beschränkungen bei der Verwendung von Kunden- oder Projektdaten können relevant sein. Vor dem Einsatz solcher Datensätze sollte deshalb geklärt werden, aus welchen Quellen sie stammen, für welche Zwecke sie verwendet werden dürfen und welche Maßnahmen zum Schutz personenbezogener oder vertraulicher Informationen notwendig sind.

Die KI-Verordnung verfolgt einen risikobasierten Ansatz. Häufig wird zur Erläuterung zwischen verbotenem KI-Einsatz, Hochrisiko-KI, KI-Systemen mit besonderen Transparenzpflichten und sonstigen Anwendungen unterschieden. Diese vier Gruppen sind jedoch keine einheitliche gesetzliche Klassifizierung, in die jedes KI-System zwingend eingeordnet werden muss.

Besonders strenge Anforderungen gelten für Hochrisiko-KI-Systeme nach Art. 6 in Verbindung mit Anhang I oder III KI-VO. Dazu können beispielsweise bestimmte Anwendungen im Personalwesen oder bei der Kreditwürdigkeitsprüfung gehören. Nicht jede KI-Anwendung in diesen Bereichen ist automatisch Hochrisiko-KI; maßgeblich sind die gesetzlichen Voraussetzungen und gegebenenfalls vorgesehene Ausnahmen. Die wesentlichen Hochrisiko-Anforderungen gelten nach der aktuellen Rechtslage für Systeme nach Anhang III grundsätzlich ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028. Daneben bestehen bereits geltende Verbote nach Art. 5 KI-VO sowie besondere Transparenzpflichten nach Art. 50 KI-VO.