Oppenhoff Taskforce AI

Haben Sie das Pflichtenprogramm im Blick?

AI Act anzuwenden gestaffelt ab 2024

Ihre Ansprechpartner: Dr. Marc Hilber; Dr. Jürgen Hartung; Dr. Axel Grätz

Der AI Act ist am 1. August 2024 in Kraft getreten. Seine Vorschriften finden allerdings gestaffelt Anwendung:

• Die Regelungen zu verbotenen KI-Praktiken sowie die Pflicht für Unternehmen, KI-Kompetenz ihrer Beschäftigten sicherzustellen, gelten bereits seit dem 2. Februar 2025.
• Sanktionen und Regelungen zu General Purpose AI Models sind ab dem 2. August 2025 anwendbar.
• Die meisten Anforderungen an Hochrisiko-KI-Systeme gelten ab dem 2. August 2026 und ab dem 2. August 2027 sämtliche Anforderungen.  

Ziel ist es, Europa zum Vorreiter für vertrauenswürdige, sichere und innovative KI zu machen. Der AI Act legt Anbietern und Betreibern von KI-Systemen, abhängig von dem mit dem Einsatz einhergehenden Risiko, zahlreiche Pflichten auf. Je höher das Risiko, desto strenger und umfangreicher sind die Pflichten. Bei Hochrisiko-KI-Systemen treffen alle Unternehmen, die diese nutzen, strenge Überwachungspflichten. Bestimmte KI-Anwendungen sind verboten, z. B. biometrische Systeme, Systeme zur Emotionserkennung und soziales Scoring. Verbraucher haben das Recht, Beschwerden einzureichen und aussagekräftige Erklärungen zu erhalten.

Bei Verstößen drohen Bußgelder von bis zu 40 Millionen Euro oder 7 Prozent des weltweiten Umsatzes.

Wichtige Veröffentlichungen (externe Weiterleitung)

• Zum AI Act

Haben Sie Beschäftige und den Betriebsrat an Bord?

Die Einführung von KI-Technologien führt zu erheblichen Veränderungen in der Arbeitswelt. Recruiting und Personalmanagement werden von KI unterstützt und Arbeitsprozesse durch KI neugestaltet. Die Anforderungen an die Beschäftigten steigen. Der Einsatz von KI-Technologie im Betrieb erfordert die Zustimmung des Betriebsrats.

Ein rechtzeitiger Dialog mit den Beschäftigten und die Verhandlungen mit dem Betriebsrat sollten frühzeitig angegangen werden, um eine hohe Akzeptanz von KI im betrieblichen Arbeitsalltag zu erreichen. Gleichzeitig sind individuelle Schulungskonzepte umzusetzen, um Mitarbeitern und anderen Nutzern die nach dem AI Act erforderliche KI-Kompetenz (AI literacy) zu vermitteln.

Ihre Ansprechpartnerinnen: Kathrin Vossen; Annabelle Marceau

Entsprechen Ihre Maßnahmen den EU-Vorgaben?

NIS-2-Richtlinie anzuwenden seit Oktober 2024

Cybersicherheitsvorschriften der EU wie die NIS-2-Richtlinie bestimmen EU-weit den Rechtsrahmen, um ein einheitlich hohes Cybersicherheitsniveau zu erreichen. Daneben gelten unterschiedliche nationale Vorschriften nach deutschem Recht. Unternehmen müssen u. a. Meldepflichten für Sicherheitsvorfälle, Risikomanagementmaßnahmen zur Bekämpfung von Cyberangriffen und Schulungen zur Cybersicherheit für die Unternehmensleitung umsetzen.

Deutschland hätte die neuen Pflichten bis zum 17. Oktober 2024 im NIS-2-Umsetzungsgesetz in nationales Recht umsetzen sollen. Hiermit ist nun erst im Laufe des Jahres 2025 zu rechnen. Unternehmen bleibt nur ein enges Zeitfenster für die Umsetzung. KI-Technologie kann diese Compliance-Prozesse unterstützen – vorausgesetzt, sie wird rechtskonform eingesetzt.

Ihre Ansprechpartner: Dr. Marc Hilber; Dr. Jürgen Hartung; Dr. Axel Grätz

Sind Ihre KI-Anwendungen mit den geltenden Datenschutzgesetzen konform?

Naturgemäß werfen KI-Projekte zahlreiche Datenschutzfragen auf, da die Entwicklung und Nutzung von KI die Verfügbarkeit großer Datenmengen voraussetzt und die Verarbeitung personenbezogener Daten in allen Phasen der KI-Entwicklung einschließlich Training und -Nutzung relevant sein kann. Zudem wird der Begriff des personenbezogenen Datums weit ausgelegt. Datenschutzbehörden vertreten die Ansicht, dass auch in KI-Modellen personenbezogene Daten verarbeitet werden.

Häufig rechtfertigen überwiegende berechtigte Interesse der Anbieter und Betreiber der KI-Systeme die jeweilige Datenverarbeitung, u.a. wenn dies zu Forschungs- und statistischen Zwecken erfolgt. Etwaige Datenübermittlungen in Drittländer müssen gesondert gerechtfertigt werden.

Daneben müssen Anbieter und Betreiber von KI die datenschutzrechtlichen Transparenz- und Informationspflichten erfüllen und den Grundsatz der Datenminimierung beachten.

Ihre Ansprechpartner: Dr. Marc Hilber; Dr. Jürgen Hartung; Dr. Axel Grätz

Wichtige Veröffentlichungen (externe Weiterleitung)

• Datenschutzkonferenz (DSK): Die Datenschutzkonferenz (DSK) veröffentlicht eine Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz. In der Orientierungshilfe gibt die DSK einen Überblick über datenschutzrechtliche Kriterien für die datenschutzkonforme Nutzung von KI-Systemen mit Schwerpunkt auf sog. Large Language Models wie ChatGPT (06.05.2024).
• Maßnahmen zum Einsatz von KI: Das Bayerische Landesamt für Datenschutzaufsicht veröffentlicht einen Informationsflyer und eine Checkliste mit empfohlenen Maßnahmen zum datenschutzkonformen Einsatz von KI (24.01.2024).
• LLM-basierte Chatbots: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit veröffentlicht eine Checkliste zum Einsatz LLM-basierter Chatbots (13.11.2023).
• Diskussionspapier Einsatz von KI: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg veröffentlicht ein Diskussionspapier zu Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz (7.11.2023).
• Selbstbewertungsleitfaden: Die Französische Datenschutzbehörde veröffentlicht einen Selbstbewertungsleitfaden für KI-Systeme (8.2020).

Haben Sie die Ansprüche auf Datenbereitstellung im Blick?

Data Act anzuwenden ab September 2025

Mit den im Data Act vorgesehenen Datenzugangs- und Datenweitergabe-Ansprüchen soll eine höhere Verfügbarkeit von Daten geschaffen und die Vielzahl an Datensilos aufgebrochen werden. Unter anderem sollen erzeugte Daten durch vernetzte Produkte und verbundene Dienste standardmäßig zugänglich sein.

Dies betrifft auch Daten, die durch in Geräten implementierte KI generiert werden. Große Teile der Regulierung gelten ab dem 12. September 2025. Unternehmen müssen hierauf vorbereitet sein und ihre unternehmensinternen Prozesse und Produkte entsprechend anpassen.

Ihre Ansprechpartner: Dr. Marc Hilber; Dr. Jürgen Hartung; Dr. Axel Grätz

Sind Ihre KI-Schöpfungen ausreichend geschützt?

Die Nutzung von KI kann zu neuen Herausforderungen im Bereich des geistigen Eigentums führen, insbesondere wenn es um die Schöpfung von Werken, Patenten, Designs oder Marken durch KI-Systeme geht. Unternehmen sollten ihre Rechte schützen und klare Vereinbarungen über das geistige Eigentum in Bezug auf KI-Entwicklungen treffen.

Damit kann zugleich Auseinandersetzungen mit Arbeitnehmer-Erfindern vorgebeugt werden. Gleichzeitig sollten Unternehmen klar definieren, welche Daten für das Training und beim Betrieb ihrer KI-Systeme verwendet werden.

Ihr Ansprechpartner: Georg Lecheler

Agiert Ihre KI im Rahmen der wettbewerbsrechtlichen Bestimmungen?

Weltweit wachen Kartellbehörden darüber, dass der Einsatz von KI nicht zu Beschränkungen des Wettbewerbs führt.

KI-Entwickler und -Nutzer stehen in der Pflicht, die Funktionen der Programme laufend auf kartellrechtswidrige Effekte zu überprüfen. KI-Anwendungen dürfen nicht für Preis- oder Marktabsprachen zwischen Wettbewerbern missbraucht werden. Auch eine durch KI-Anwendungen geschaffene erhöhte Markttransparenz oder das „Signalisieren“ von künftigem Marktverhalten kann wettbewerbsrechtlich problematisch sein.

Ihr Ansprechpartner: Dr. Daniel Dohrn

Gibt es Prozesse zur Minimierung öffentlich-rechtlicher Haftungsrisiken?

Bei der Erfüllung öffentlich-rechtlicher Pflichten wie etwa Berichts- und Aufsichtspflichten kann auf KI-Anwendungen zurückgegriffen werden. Hierbei ist aber zu beachten, dass die Erfüllung der Pflichten originär Aufgabe der Geschäftsführung ist. Sie bleibt auch bei Fehlern der KI in der Verantwortung.

Entwickler, Nutzer und Betreiber von KI müssen auch bei außenwirtschaftsrechtlichen Bezügen aufpassen: Sowohl Soft- und Hardware-Komponenten als auch technische Daten, die als Grundlage der KI dienen, können exportkontrollrechtlich relevant und daher im Umgang beschränkt sein. Zudem kann der Verkauf eines deutschen Betreibers oder Entwicklers von KI ein Fall der Investitionskontrolle sein.

Ihre Ansprechpartnerin: Mareike Heesing

Sind Sie Inhaber sämtlicher Rechte?

KI-Systeme bestehen aus Software und Datenbanken und nutzen Daten. Häufig wird Open Source Software (OSS) eingesetzt. Unternehmen, die KI-Systeme entwickeln, müssen vor diesem Hintergrund sicherstellen, dass sie Inhaber sämtlicher Rechte am Entwicklungsgegenstand sind. Denn nur so können sie die Investitionen amortisieren und die rechtswidrige Verwertung ihrer Systeme durch Dritte untersagen.

Soweit Unternehmen KI-Systeme in der Softwareentwicklung einsetzen, stellt sich die Frage, wer Inhaber der Rechte an von KI generierten Softwarecodes ist.

Ihre Ansprechpartner: Dr. Marc Hilber; Dr. Jürgen Hartung; Dr. Axel Grätz

Beachten Sie alle „eingekauften“ Folgerisiken?

Unternehmen versuchen zunehmend, durch externes Wachstum ihre eigene KI-Transformation voranzutreiben. Technologie-Start-Ups und -KMU stehen daher im Fokus des wieder erstarkenden Transaktionsumfelds. Da die KI-Regulierung zum Teil aber auch für bloße KI-Betreiber gelten wird, die KI in ihrem Unternehmen einsetzen, müssen die „eingekauften“ Folgerisiken künftig bei praktisch jedem M&A-Deal analysiert werden.

Aus Gründer- und Investorensicht sind zudem Förderprogramme, wie das angekündigte EU-Maßnahmenpaket zur Unterstützung europäischer Start-Ups und KMU, bei der Entwicklung vertrauenswürdiger KI zu beachten.

Ihre Ansprechpartnerin: Anna-Catharina von Girsewald

Setzen Sie KI regulierungskonform ein?

In der Versicherungswirtschaft gibt es diverse innovative Geschäftsmodelle auf KI-Basis. Beispiele hierfür sind Chatbots im Vertrieb und in der Kundenbetreuung, Anwendungen zur Betrugsprävention sowie automatisierte Underwriting-, Schadenregulierungs- und Audit-Prozesse.

Auch die aufsichtsrechtliche Compliance muss berücksichtig werden, um bestehende regulatorische Anforderungen einzuhalten. Versicherer und Vermittler müssen eine sorgfältige KI-Governance sicherstellen. Versicherungsunternehmen müssen zudem bei der Integration und Finanzierung von KI-Systemen die Grenzen zulässiger versicherungsnaher Tätigkeiten einhalten.

Ihre Ansprechpartnerin: Anna-Catharina von Girsewald

Sind Sie über die besonderen Haftungsbestimmungen für KI informiert?

KI-Haftungs-Richtlinie anzuwenden ab voraussichtlich 2026

Kommt es beim Einsatz von KI-Systemen zu Schäden, stellen sich unterschiedliche Haftungsfragen. Ein von der Europäische Kommission vorgelegter Entwurf einer KI-Haftungsrichtlinie wurde zwischenzeitlich zurückgezogen, wobei weiterhin beabsichtigt ist, eine solche Haftungsrichtlinie zu erlassen. Diese soll die zivilrechtlichen Haftungsregelungen harmonisieren und möglicherweise Darlegungs- und Beweiserleichterungen bei der Anspruchsdurchsetzung zugunsten des Geschädigten enthalten.

Wichtige Veröffentlichungen (externe Weiterleitung)

• KI-Haftungsrichtlinie

Datenschutzkonferenz veröffentlicht Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz: Ein Blick auf die Leitlinien der Behörden

Künstliche Intelligenz (KI) ist in aller Munde. Spätestens seit dem Release der stark verbesserten Version des KI-Chatbots ChatGPT des US-amerikanischen Unternehmens OpenAI Ende November 2022 sind KI-Anwendungen auch im Unternehmensumfeld fest etabliert. Unternehmen und andere Organisationen, die KI-Anwendungen wie Large Language Models (LLMs) oder Chatbots in ihrem Geschäftsbetrieb einsetzen möchten, müssen eine Reihe rechtlicher Anforderungen berücksichtigen. Derzeit steht meist die neue KI-Verordnung der EU (AI Act) im Mittelpunkt vieler Diskussionen. Ebenso wichtig sind jedoch die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Hier weiterlesen ...

Gesundheitsschutz im Metaverse – Verpflichtungen des Arbeitsgebers

Das Metaverse, in dem die reale mit der virtuellen Welt verknüpft wird, bietet auch beruflichen Tätigkeiten einige Vorteile: Mitarbeitende begegnen sich mittels Avataren in virtuellen Räumlichkeiten und arbeiten von verschiedenen Standorten aus zusammen, sie absolvieren Fortbildungsmaßnahmen, üben Handgriffe ein oder treten mit Kunden zwecks Vertriebs der unternehmenseigenen Produkte in Kontakt. Leider bedingen die zahlreiche Möglichkeiten, häufig auch negative Auswirkungen auf die physische und die psychische Gesundheit der Mitarbeitenden. Diese dürfen nicht aus dem Blick geraten, denn das Metaverse ist unter arbeitsschutzrechtlichen Gesichtspunkten kein rechtsfreier Raum. Hier weiterlesen ...

Markenschutz im Metaverse

Wie bereits in einem früheren Beitrag im Rahmen unserer Metaverse-Reihe haben wir uns mit dem Vertrieb digitaler Produkte auseinandergesetzt. In diesem Zusammenhang stellt sich unweigerlich die Frage, ob und wie Marken im Metaverse geschützt werden können. Für die Anwendung des Markenrechts ist in Bezug auf dieses Thema noch vieles unklar. Die bislang durch Gesetz und Rechtsprechung entwickelten Grundsätze lassen sich nur bedingt auf dieses noch recht unbekannte Feld übertragen. Der nachfolgende Beitrag erläutert, inwieweit der Markenschutz aus der realen Welt auch im virtuellen Raum gilt und welche Bedeutung dies für zukünftige Markenstrategie von Unternehmen hat. Hier weiterlesen ...

Arbeit im Metaverse: Was Arbeitgeber zu Diversity und Haftungsrisiken beachten sollten

Wir setzen unsere Beitragsserie zum Metaverse fort: In diesem Beitrag finden Sie weitere wichtige Aspekte rund um arbeitsrechtliche Herausforderungen im Metaverse: Wie verhält es sich mit „Diversity & Inklusion“ im Metaverse? Und wie geht man mit Belästigungs- und Diskriminierungsrisiken um? Hier weiterlesen ...