ITrechtler

horak Rechtsanwälte · Fachanwälte

Kategorie: KI-Recht

KI-Recht: Beiträge zu AI Act, KI-Haftung, KI und Urheberrecht, KI im Unternehmen und aktuellen Verfahren, eingeordnet von horak Rechtsanwälte.

  • EuGH-Generalanwalt zu Gemini: Chatbot-Antworten können Presseverlegerrecht verletzen

    Im ersten Verfahren vor dem Gerichtshof der Europäischen Union zu generativer KI und Urheberrecht hat Generalanwalt Maciej Szpunar am 3. November 2026 seine Schlussanträge vorgelegt (Rs. C-250/25, Like Company ./. Google Ireland). Danach können Antworten eines KI-Chatbots das Recht des Presseverlegers verletzen. Das Training mit Presseartikeln sieht er dagegen grundsätzlich von der Ausnahme für Text- und Data-Mining gedeckt.

    Der Fall: Presseartikel in Gemini-Antworten

    Die Klägerin betreibt ungarische Nachrichtenportale. Sie stützt sich auf das Presseverlegerrecht nach Art. 15 Abs. 1 der DSM-Richtlinie (EU) 2019/790. Sie wirft Google vor, ihre Artikel zum Training der Gemini-Sprachmodelle genutzt und zwischen dem 13. Juni 2023 und dem 31. Mai 2024 über den Chatbot vervielfältigt und öffentlich zugänglich gemacht zu haben. Ein Budapester Gericht hat dem EuGH vier Fragen vorgelegt: zwei zum Training, zwei zu den Antworten.

    KI-Training: Fragen unzulässig, TDM-Ausnahme greift

    Die Fragen zum Training hält der Generalanwalt für unzulässig. Sie seien hypothetisch, weil nicht belegt sei, dass die Artikel tatsächlich zum Training verwendet wurden. Zudem sei Training keine Online-Nutzung im Sinne des Presseverlegerrechts. Hilfsweise führt er aus, dass die Nutzung geschützter Werke zum Training grundsätzlich unter die Text-und-Data-Mining-Ausnahme fällt.

    Chatbot-Antworten: Verletzung möglich

    Ruft ein Chatbot einen Presseartikel ab und verwendet ihn für seine Antwort, kann dies nach den Schlussanträgen das Vervielfältigungsrecht verletzen. Maßgeblich seien zwei Gesichtspunkte: ob der Zugriff rechtmäßig war, etwa ohne Umgehung einer Paywall, und ob die Antwort nur Fakten wiedergibt oder die konkrete Ausdrucksform so erkennbar übernimmt, dass Nutzer das Original nicht mehr aufrufen müssen. Ist die Ausdrucksform in den Antworten systematisch erkennbar, sei in der Regel auch das Recht der öffentlichen Zugänglichmachung verletzt.

    Der Anbieter haftet nach Ansicht des Generalanwalts, wenn solche Nutzungen fester Bestandteil seines Geschäftsmodells sind oder er keine geeigneten und wirksamen Gegenmaßnahmen trifft. Geschützt bleibt die Ausdrucksform, nicht die Nachricht selbst.

    Einordnung neben GEMA ./. OpenAI

    Das LG München I hatte am 11. November 2025 im Verfahren GEMA ./. OpenAI (Az. 42 O 14139/24) entschieden, dass bereits die Memorisierung von Liedtexten im Modell eine Vervielfältigung ist, die nicht von der TDM-Ausnahme gedeckt ist. Der Generalanwalt äußert sich zur Memorisierung nicht ausdrücklich, setzt beim Training aber einen großzügigeren Maßstab. Gegen das Münchner Urteil ist nach unserem Kenntnisstand ein Rechtsmittel anhängig; ein Aktenzeichen des Berufungsverfahrens konnten wir bislang nicht bestätigen. Die Schlussanträge binden den Gerichtshof nicht. Das Urteil wird für 2027 erwartet.

    Was Anbieter und Rechteinhaber jetzt tun können

    • Anbieter von KI-Suche und Retrieval-Funktionen sollten prüfen, ob Paywalls und maschinenlesbare Nutzungsvorbehalte technisch respektiert werden.
    • Ausgabefilter, die längere wörtliche Übernahmen verhindern, sind ein Argument für „wirksame Gegenmaßnahmen“.
    • Verlage sollten Fälle erkennbarer Übernahme dokumentieren und ihre Nutzungsvorbehalte nach § 44b Abs. 3 UrhG prüfen.

    Quellen: Schlussanträge GA Szpunar vom 3. November 2026, Rs. C-250/25 (Pressemitteilung des EuGH Nr. 155/26); LG München I, Urteil vom 11. November 2025, Az. 42 O 14139/24.

    Fragen dazu? Wir beraten KI-Anbieter und Rechteinhaber. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu KI und Urheberrecht, KI-Training, Presserecht und LAION-Urteil.

  • Neues Produkthaftungsgesetz beschlossen: Software haftet ab 9. Dezember 2026

    Der Bundestag hat am 8. Oktober 2026 in zweiter und dritter Lesung das Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen. Es setzt die Produkthaftungsrichtlinie (EU) 2024/2853 um, die bis zum 9. Dezember 2026 umzusetzen ist. Es handelt sich um die erste grundlegende Reform des deutschen Produkthaftungsgesetzes seit 1989. Für Softwarehersteller ist die wichtigste Änderung, dass Software ausdrücklich als Produkt gilt und damit der verschuldensunabhängigen Haftung unterliegt.

    Software als Produkt

    Software fällt künftig unabhängig von der Art der Bereitstellung unter die Produkthaftung, also auch bei Download, SaaS oder als Bestandteil eines Geräts. Damit sind auch KI-Systeme erfasst. Open-Source-Software ist ausgenommen, wenn sie außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.

    Neue Schadensposition: Datenverlust

    Ersatzfähig ist künftig auch die Vernichtung oder Beschädigung von Daten, sofern sie nicht beruflich genutzt werden. Ein fehlerhaftes Update, das private Fotos oder Dokumente löscht, kann damit einen Produkthaftungsanspruch auslösen.

    Haftung nach Updates und Kontrolle des Herstellers

    Behält der Hersteller die Kontrolle über ein Produkt, etwa durch Updates, kommt es für die Fehlerhaftigkeit nicht mehr nur auf das erstmalige Inverkehrbringen an. Maßgeblich ist der Zeitpunkt, zu dem die Kontrolle endet. Wer ein Produkt ohne Zustimmung des Herstellers wesentlich verändert und es dann vertreibt, kann selbst als Hersteller haften.

    Mehr Anspruchsgegner

    Neben Hersteller, Importeur und Lieferant können auch Bevollmächtigte von Herstellern in der EU, bestimmte Fulfilment-Dienstleister und unter Umständen Betreiber von Online-Plattformen haften. Der Bundestag hat die Bundesregierung zudem aufgefordert zu prüfen, ob Bevollmächtigte von Herstellern außerhalb der EU eine Haftpflichtversicherung nachweisen müssen.

    Offenlegung und Beweiserleichterungen

    Gerichte können die Offenlegung von Beweismitteln anordnen, nach der Ausschussfassung auch gegenüber Dritten wie Marktüberwachungsbehörden. Geschäftsgeheimnisse lassen sich in einem eingeschränkten Verfahren schützen. Kommt ein Beklagter einer Offenlegungsanordnung nicht nach, wird die Fehlerhaftigkeit vermutet. In technisch komplexen Fällen gibt es außerdem Vermutungen für Fehler und Ursächlichkeit.

    Fristen und Übergang

    Ansprüche verjähren drei Jahre ab Kenntnis. Sie erlöschen grundsätzlich zehn Jahre nach dem Inverkehrbringen, bei latenten Körper- oder Gesundheitsschäden nach 25 Jahren. Das neue Recht soll am 9. Dezember 2026 in Kraft treten und gilt für Produkte, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen werden. Für ältere Produkte bleibt das Gesetz von 1989 anwendbar. Der Hersteller kann sich weiterhin darauf berufen, dass der Fehler nach dem Stand von Wissenschaft und Technik nicht erkennbar war.

    Was Softwareanbieter jetzt tun sollten

    • Haftungsklauseln in Lieferanten- und Kundenverträgen überprüfen. Die Produkthaftung gegenüber Geschädigten kann vertraglich nicht ausgeschlossen werden; Regress im B2B-Verhältnis lässt sich aber regeln.
    • Versicherungsschutz für Software und KI-Produkte mit dem Versicherer abstimmen.
    • Entwicklungs-, Test- und Update-Dokumentation so führen, dass sie im Offenlegungsverfahren verwertbar ist und Geschäftsgeheimnisse geschützt bleiben.
    • Den Updateprozess mit den Pflichten aus dem Cyber Resilience Act abstimmen.

    Quellen: Gesetzesbeschluss des Bundestags vom 8. Oktober 2026 zum Gesetz zur Modernisierung des Produkthaftungsrechts; RL (EU) 2024/2853. Die Verkündung im Bundesgesetzblatt stand bei Redaktionsschluss noch aus.

    Fragen dazu? Wir prüfen Ihre Verträge und Prozesse auf das neue Haftungsrecht. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu KI-Haftung, Softwarerecht, digitale Produkte und Cyber Resilience Act.

  • AI Act: Was seit dem 2. August 2026 für Chatbots und KI-Inhalte gilt

    Der 2. August 2026 war als großer Stichtag der KI-Verordnung geplant. Durch den AI Omnibus sind die Pflichten für Hochrisiko-KI zwar verschoben worden. Seit diesem Tag gelten aber die Transparenzpflichten nach Art. 50 KI-Verordnung. Sie treffen weit mehr Unternehmen als die Hochrisiko-Regeln, weil sie an alltägliche Anwendungen wie Chatbots und generierte Bilder anknüpfen.

    Was gilt seit dem 2. August 2026?

    Chatbots und KI-Interaktion (Art. 50 Abs. 1)

    Anbieter müssen KI-Systeme, die mit Menschen interagieren, so gestalten, dass die Nutzer erfahren, dass sie mit einer KI kommunizieren. Das betrifft Service-Chatbots, Voicebots und KI-Assistenten im Kundenportal. Eine Ausnahme besteht nur, wenn dies für einen verständigen Nutzer ohnehin offensichtlich ist.

    Kennzeichnung synthetischer Inhalte (Art. 50 Abs. 2)

    Anbieter generativer KI müssen erzeugte Audio-, Bild-, Video- und Textinhalte in maschinenlesbarem Format als künstlich erzeugt kennzeichnen. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt nach dem AI Omnibus eine Übergangsfrist bis zum 2. Dezember 2026. Neue Systeme müssen die Pflicht sofort erfüllen.

    Emotionserkennung und biometrische Kategorisierung (Art. 50 Abs. 3)

    Betreiber solcher Systeme müssen die betroffenen Personen über den Betrieb informieren und die DSGVO beachten. Am Arbeitsplatz und in Bildungseinrichtungen ist Emotionserkennung schon seit Februar 2025 grundsätzlich verboten (Art. 5 Abs. 1 lit. f).

    Deepfakes und KI-Texte (Art. 50 Abs. 4)

    Betreiber, die Deepfakes erzeugen oder verbreiten, müssen offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden. Bei erkennbar künstlerischen oder satirischen Werken genügt ein Hinweis, der die Darstellung nicht beeinträchtigt. KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind ebenfalls zu kennzeichnen, es sei denn, sie wurden menschlich geprüft und redaktionell verantwortet.

    Wer kontrolliert die Kennzeichnungspflicht?

    In Deutschland ist seit Ende Juli 2026 nach dem KI-MIG grundsätzlich die Bundesnetzagentur zuständig; für Medienanbieter sind es Landesbehörden. Verstöße gegen Art. 50 können nach Art. 99 Abs. 4 KI-Verordnung mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Daneben halten wir wettbewerbsrechtliche Abmahnungen für möglich, wenn eine fehlende Kennzeichnung Verbraucher in die Irre führt; gerichtlich geklärt ist das noch nicht.

    Neues Verbot ab 2. Dezember 2026

    Der AI Omnibus hat Art. 5 um ein Verbot von KI-Systemen ergänzt, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen. Es gilt ab dem 2. Dezember 2026. Anbieter von Bild- und Videogeneratoren sollten ihre Schutzmechanismen bis dahin dokumentieren.

    Unsere Empfehlung

    • Chatbot-Oberflächen mit einem klaren Hinweis zu Beginn der Interaktion versehen.
    • Mit Lieferanten generativer KI klären, welches Kennzeichnungsverfahren (Metadaten, Wasserzeichen) eingesetzt wird und wer es bis zum 2. Dezember 2026 umsetzt.
    • Redaktionelle Freigabeprozesse für KI-Texte dokumentieren, wenn Sie sich auf die Ausnahme in Art. 50 Abs. 4 berufen wollen.
    • Werbe- und Social-Media-Teams für Deepfake-Kennzeichnung schulen.

    Quellen: Art. 50 VO (EU) 2024/1689 in der Fassung der VO (EU) 2026/1744 (ABl. der EU vom 24. Juli 2026).

    Fragen dazu? Wir prüfen Ihre KI-Anwendungen auf Kennzeichnungspflichten. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Deepfakes, KI-Einsatz im Unternehmen und Online-Marketing.

  • KI-MIG verkündet: Bundesnetzagentur wird zentrale KI-Aufsicht

    Deutschland hat die Behördenstruktur für die KI-Verordnung festgelegt. Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026 wurde am 28. Juli 2026 verkündet (BGBl. 2026 I Nr. 223) und tritt am Tag nach der Verkündung in Kraft. Kernstück ist in Artikel 1 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG).

    Gesetzgebungsverfahren

    Das Bundeskabinett hatte den Entwurf am 11. Februar 2026 beschlossen. Die erste Lesung im Bundestag fand am 20. März 2026 statt (BT-Drs. 21/4594), die Anhörung im Digitalausschuss am 23. März 2026. Der Bundestag verabschiedete das Gesetz in der Sitzungswoche vom 10. bis 11. Juni 2026 mit den Stimmen von CDU/CSU und SPD.

    Bundesnetzagentur als KI-Aufsicht

    Die Bundesnetzagentur ist nach § 2 Abs. 1 KI-MIG die allgemeine Marktüberwachungsbehörde. Sie ist zugleich zentrale Anlaufstelle nach der KI-Verordnung (§ 6) und zentrale Beschwerdestelle (§ 8). Bei ihr werden ein Koordinierungs- und Kompetenzzentrum (§ 5) und eine unabhängige KI-Marktüberwachungskammer (§ 4) eingerichtet. Außerdem führt sie ein Register bestimmter Hochrisiko-KI-Systeme (§ 20).

    Daneben bleiben Fachbehörden zuständig:

    • BaFin für KI-Systeme, die unmittelbar mit regulierten Finanztätigkeiten zusammenhängen (§ 2 Abs. 3),
    • Landesbehörden für öffentliche Stellen der Länder und für Medienanbieter (§ 2 Abs. 6 und 8),
    • die Deutsche Akkreditierungsstelle für die Bewertung und Überwachung von Konformitätsbewertungsstellen bei bestimmten Hochrisiko-Systemen (§ 3 Abs. 4),
    • das BSI als notifizierende Behörde, bis die Marktüberwachungsbehörde nach dem Cyber Resilience Act benannt ist (§ 3 Abs. 2).

    KI-Reallabore und Beratung für KMU

    Das Gesetz enthält Innovationsmaßnahmen (§§ 12, 13). Die Bundesnetzagentur informiert und berät vor allem kleine und mittlere Unternehmen sowie Start-ups und betreibt mindestens ein KI-Reallabor, in dem Anwendungen unter Aufsicht erprobt werden können. Ihr Beratungsangebot soll die Bundesregierung anhand messbarer Kriterien regelmäßig überprüfen; das Gesetz wird nach 18 Monaten und nach drei Jahren evaluiert.

    Bußgelder nach dem KI-MIG

    Die hohen Geldbußen für Verstöße gegen die KI-Verordnung selbst ergeben sich unmittelbar aus Art. 99 der Verordnung. Das KI-MIG ergänzt sie um Bußgelder von bis zu 50.000 Euro für Verstöße gegen bestimmte Mitwirkungs- und Auskunftspflichten gegenüber den Behörden. Wer Auskunftsersuchen der Bundesnetzagentur ignoriert, riskiert also schon vor jeder inhaltlichen Prüfung ein Verfahren.

    Was das für Unternehmen bedeutet

    Mit dem KI-MIG gibt es in Deutschland erstmals eine Behörde, die Beschwerden zu KI-Systemen entgegennimmt und Auskünfte verlangen kann. Für Betreiber, die KI etwa in der Kundenkommunikation einsetzen, sind die Transparenzpflichten nach Art. 50 der KI-Verordnung seit dem 2. August 2026 die erste prüffähige Pflicht. Für Hochrisiko-KI bleibt durch den AI Omnibus Zeit bis Dezember 2027.

    Wir empfehlen, eine interne Zuständigkeit für Behördenanfragen festzulegen und das KI-Inventar so zu führen, dass es bei einem Auskunftsersuchen kurzfristig vorgelegt werden kann. Wer frühzeitig Rechtssicherheit für ein neues Produkt braucht, sollte prüfen, ob eine Teilnahme am KI-Reallabor der Bundesnetzagentur in Betracht kommt.

    Quelle: Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026, BGBl. 2026 I Nr. 223 vom 28. Juli 2026; BT-Drs. 21/4594.

    Fragen dazu? Wir begleiten Sie bei Auskunftsersuchen und Verfahren vor der Bundesnetzagentur. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Verfahren im KI-Recht, KI-Einsatz im Unternehmen und zum AI Omnibus.

  • AI Omnibus in Kraft: Neue Fristen für Hochrisiko-KI

    Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte AI Omnibus, in Kraft getreten. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ändert die KI-Verordnung (EU) 2024/1689 an mehreren Stellen. Für Anbieter und Betreiber von Hochrisiko-KI verschiebt sich der wichtigste Stichtag um 16 Monate.

    Vom Kommissionsvorschlag zur Verordnung

    Die Kommission hatte den Digital Omnibus zur KI-Verordnung Ende 2025 vorgeschlagen. Parlament und Rat einigten sich am 7. Mai 2026 im Trilog. Das Europäische Parlament stimmte am 16. Juni 2026 zu, der Rat am 29. Juni 2026. Damit kam die Änderung rechtzeitig vor dem 2. August 2026, an dem nach der ursprünglichen Fassung die Pflichten für Hochrisiko-KI nach Anhang III gegolten hätten.

    AI Act: neue Fristen für Hochrisiko-KI

    Regelungsbereichbisherneu
    Hochrisiko-KI nach Art. 6 Abs. 2 i. V. m. Anhang III (z. B. Personal, Bildung, Kreditwürdigkeit)2. August 20262. Dezember 2027
    Hochrisiko-KI in regulierten Produkten nach Art. 6 Abs. 1 i. V. m. Anhang I (z. B. Medizinprodukte, Maschinen, Spielzeug)2. August 20272. August 2028
    Maschinenlesbare Kennzeichnung synthetischer Inhalte bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden2. August 20262. Dezember 2026
    Neues Verbot: KI zur Erzeugung nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen Minderjähriger–2. Dezember 2026
    Nationale KI-Reallabore2. August 20262. August 2027

    Weitere Änderungen der KI-Verordnung

    • KI-Kompetenz (Art. 4): Verlangt werden Maßnahmen, die den Aufbau von KI-Kompetenz unterstützen. Ein bestimmtes Kenntnisniveau jeder einzelnen Person wird nicht mehr vorausgesetzt.
    • Erkennung von Verzerrungen: Die Rechtsgrundlage für die ausnahmsweise Verarbeitung besonderer Kategorien personenbezogener Daten gilt künftig auch für Akteure jenseits der Anbieter von Hochrisiko-KI.
    • Sektorrecht: Der Begriff des Sicherheitsbauteils wird präzisiert. Die Kommission kann per delegiertem Rechtsakt Pflichten zurücknehmen, wo sektorale Produktvorschriften gleichwertigen Schutz bieten.
    • Erleichterungen, die bisher KMU und Start-ups vorbehalten waren, gelten nun auch für kleine Mid-Cap-Unternehmen.
    • Das KI-Büro der Kommission erhält die alleinige Aufsicht über bestimmte KI-Systeme auf Basis von KI-Modellen mit allgemeinem Verwendungszweck sowie über KI in sehr großen Online-Plattformen und Suchmaschinen nach dem DSA.

    Was unverändert bleibt

    Die Verbote nach Art. 5 gelten weiter seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Art. 53 ff.) seit dem 2. August 2025. Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026; nur die maschinenlesbare Kennzeichnung bei Bestandssystemen hat eine Übergangszeit bis zum 2. Dezember 2026. Einzelheiten dazu in unserem Beitrag zu den Transparenzpflichten seit dem 2. August 2026.

    Was Unternehmen jetzt tun sollten

    Die Verschiebung ist kein Anlass, Compliance-Projekte anzuhalten. Ein Hochrisiko-System im Personalbereich braucht Risikomanagement, Datengovernance, technische Dokumentation, menschliche Aufsicht und eine Konformitätsbewertung. Erfahrungsgemäß dauert der Aufbau dieser Prozesse länger als ein Jahr.

    1. KI-Inventar aktualisieren und die Einstufung jedes Systems anhand der neuen Fristen prüfen.
    2. Verträge mit KI-Lieferanten anpassen: Zusicherungen, Mitwirkungspflichten und Termine, die auf den 2. August 2026 abstellen, laufen sonst ins Leere.
    3. Generative Anwendungen bis zum 2. Dezember 2026 auf maschinenlesbare Kennzeichnung umstellen und prüfen, ob Funktionen unter das neue Verbot fallen könnten.
    4. Schulungskonzepte zur KI-Kompetenz beibehalten; sie bleiben der einfachste Nachweis ordnungsgemäßer Organisation.

    Quelle: Verordnung (EU) 2026/1744, ABl. der EU vom 24. Juli 2026, in Kraft seit 27. Juli 2026.

    Fragen dazu? Wir prüfen Ihre KI-Systeme und Verträge auf die neuen Fristen. Nutzen Sie unsere Onlineberatung oder lesen Sie weiter zu AI Act, Pflichten von KI-Anbietern, KI-Kompetenz und KI im Personalbereich.

  • GEMA gegen OpenAI: LG München I sieht Urheberrechtsverletzung durch Memorisierung

    Archivbeitrag – Rechtsstand November 2025. Das Urteil ist nicht rechtskräftig; parallel hat das OLG Hamburg im Dezember 2025 im LAION-Verfahren entschieden. Den aktuellen Stand finden Sie auf unserer Seite KI und Urheberrecht.

    Das Landgericht München I hat mit Urteil vom 11. November 2025 (Az. 42 O 14139/24) der Klage der GEMA gegen OpenAI in wesentlichen Teilen stattgegeben. Die 42. Zivilkammer sieht in der Speicherung von Liedtexten in den Sprachmodellen und in ihrer Wiedergabe in ChatGPT-Antworten Urheberrechtsverletzungen. Es ist das erste deutsche Urteil, das sich mit der Verantwortlichkeit eines Anbieters großer Sprachmodelle für memorisierte Trainingsinhalte befasst.

    Der Streit

    Die GEMA machte Rechte an Texten von neun bekannten deutschen Liedern geltend, darunter Titel von Herbert Grönemeyer, Reinhard Mey und Helene Fischer. Sie zeigte, dass ChatGPT auf einfache Eingaben hin die Liedtexte ganz oder nahezu wörtlich ausgab. OpenAI argumentierte, die Modelle speicherten keine Werke, sondern nur statistische Muster, und für die Ausgaben seien die Nutzer verantwortlich.

    Die Entscheidung

    Das Gericht folgte dieser Argumentation nicht:

    • Memorisierung ist Vervielfältigung: Wenn ein Modell Texte bei einfachen Eingaben reproduziert, sind sie im Modell gespeichert. Das ist eine Vervielfältigung im Sinne des Urheberrechts.
    • Ausgaben verletzen Rechte: Die Wiedergabe der Texte in den Antworten ist eine Vervielfältigung und öffentliche Zugänglichmachung. Verantwortlich ist OpenAI als Betreiber, nicht der Nutzer, der die Eingabe macht.
    • Keine Rechtfertigung durch Text und Data Mining: Die Schranke des § 44b UrhG deckt technische Vervielfältigungen beim Zusammenstellen der Trainingsdaten. Die Übernahme der Werke in das Modell selbst geht darüber hinaus. Auch § 57 UrhG (unwesentliches Beiwerk) greift nicht.
    • Keine konkludente Einwilligung: Das Training von KI-Modellen ist keine übliche Nutzung, mit der Rechteinhaber rechnen müssen.

    Das Gericht verurteilte OpenAI zur Unterlassung, zu Schadensersatz und zur Auskunft über Nutzung und Erträge. Auf das allgemeine Persönlichkeitsrecht gestützte Ansprüche wies es ab. Das Urteil ist nicht rechtskräftig.

    Einordnung

    Die Entscheidung unterscheidet sich vom LAION-Urteil des LG Hamburg aus dem September 2024. Dort ging es nur um die Erstellung eines Datensatzes für Forschungszwecke. Das Münchner Gericht befasst sich mit dem kommerziellen Modell selbst und dessen Ausgaben. Gegenstand waren allerdings nur Liedtexte, die das Modell nachweislich wörtlich ausgibt. Ob jedes Training mit geschützten Werken unzulässig ist, sagt das Urteil nicht.

    Was das für die Praxis bedeutet

    Für Anbieter von KI-Modellen steigt das Risiko, wenn Modelle geschützte Werke reproduzieren. Filter gegen die Ausgabe memorisierter Inhalte, Lizenzen mit Verwertungsgesellschaften und eine sorgfältige Beachtung von Nutzungsvorbehalten gewinnen an Gewicht. Seit August 2025 verlangt zudem der AI Act von Anbietern allgemeiner KI-Modelle eine Urheberrechtsstrategie.

    Unternehmen, die KI-Dienste einsetzen, sollten ihre Verträge mit Anbietern auf Freistellungen bei Urheberrechtsverletzungen prüfen und Beschäftigte anweisen, KI-Ausgaben vor der Veröffentlichung auf übernommene fremde Inhalte zu kontrollieren.

    Rechteinhaber erhalten mit dem Urteil eine Grundlage, um Auskunfts- und Vergütungsansprüche geltend zu machen. Die Beweisführung über reproduzierbare Ausgaben ist dafür der entscheidende Ansatz.

    Fragen dazu? Wir beraten Rechteinhaber, KI-Anbieter und Anwenderunternehmen. Nutzen Sie unsere Onlineberatung. Mehr unter KI und Urheberrecht, KI-Training und KI-Verträge.

  • AI Act ab 2. Februar 2025: Erste Verbote und Pflicht zur KI-Kompetenz

    Archivbeitrag – Rechtsstand Februar 2025. Der KI-Omnibus (VO (EU) 2026/1744) hat Art. 4 im Juli 2026 abgeschwächt: Statt ein bestimmtes Kompetenzniveau sicherzustellen, müssen Unternehmen nachweisbar Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Den aktuellen Stand finden Sie auf unserer Seite KI-Kompetenz.

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der KI-Verordnung (EU) 2024/1689: die allgemeinen Bestimmungen, die Verbote bestimmter KI-Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Die Bußgeldvorschriften greifen zwar erst ab August 2025, die Pflichten bestehen aber schon jetzt. Verstöße können zivilrechtlich und wettbewerbsrechtlich relevant werden.

    Verbotene KI-Praktiken nach Art. 5 AI Act

    Untersagt sind KI-Systeme, deren Risiko der Gesetzgeber für unannehmbar hält. Dazu gehören insbesondere:

    • unterschwellige oder absichtlich manipulative Techniken, die Verhalten wesentlich beeinflussen und erheblichen Schaden verursachen können
    • Ausnutzen der Schutzbedürftigkeit von Personen wegen Alter, Behinderung oder sozialer Lage
    • Social Scoring mit nachteiligen Folgen in fremden Zusammenhängen
    • Vorhersage von Straftaten allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
    • ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung für Gesichtserkennungsdatenbanken
    • Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
    • biometrische Kategorisierung, um etwa auf politische Einstellung, Religion oder sexuelle Orientierung zu schließen
    • biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken, von engen Ausnahmen abgesehen

    Die Kommission hat Leitlinien zu den verbotenen Praktiken angekündigt. Für die meisten Unternehmen sind die Verbote kein Alltagsthema. Relevant werden sie bei Software zur Mitarbeiterüberwachung, bei Analyse von Stimme oder Mimik in Callcentern, bei Bewerbungsvideos und bei personalisierten Verkaufsstrategien, die Schwächen ausnutzen.

    KI-Kompetenz nach Art. 4: Das betrifft fast jedes Unternehmen

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext.

    Betreiber ist jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich verwendet. Wer Mitarbeitern einen Chatbot, ein KI-Übersetzungstool oder KI-Funktionen in Office-Anwendungen bereitstellt, ist erfasst. Ein Zertifikat schreibt die Verordnung nicht vor, eine Dokumentation der Maßnahmen ist aber dringend zu empfehlen.

    So setzen wir die KI-Kompetenz in Mandaten um

    • Bestandsaufnahme: Welche KI-Systeme werden wo von wem genutzt, auch inoffiziell?
    • Rollen bilden: Gelegentliche Nutzer, Fachanwender, IT und Entscheider brauchen unterschiedliche Inhalte.
    • Schulungsinhalte festlegen: Funktionsweise und Grenzen von KI, typische Fehler, Datenschutz, Vertraulichkeit, Urheberrecht, Kennzeichnung
    • KI-Richtlinie erlassen: zugelassene Tools, verbotene Eingaben, Freigabeprozess für neue Anwendungen
    • Dokumentation: Teilnahme, Inhalte und Aktualisierung festhalten

    Bei Einführung einer KI-Richtlinie und bei Systemen, die Leistung oder Verhalten von Beschäftigten erfassen können, ist der Betriebsrat zu beteiligen.

    Ausblick

    Am 2. August 2025 folgen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften. Bis dahin muss Deutschland auch die zuständige Marktüberwachungsbehörde benennen.

    Fragen dazu? Wir unterstützen Sie bei KI-Richtlinie, Schulungskonzept und der Prüfung Ihrer KI-Anwendungen. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Kompetenz, AI Act und KI im Personalbereich.

  • LG Hamburg zu LAION: KI-Trainingsdatensatz durch Text und Data Mining gedeckt

    Archivbeitrag – Rechtsstand 2024. Das OLG Hamburg hat die Berufung am 10. Dezember 2025 entschieden (5 U 104/24), beim BGH ist ein Verfahren anhängig. Den aktuellen Stand finden Sie auf unserer Seite LAION-Urteil.

    Das Landgericht Hamburg hat mit Urteil vom 27. September 2024 (Az. 310 O 227/23) die Klage des Fotografen Robert Kneschke gegen den gemeinnützigen Verein LAION abgewiesen. Es ist die erste deutsche Gerichtsentscheidung, die sich mit der Erstellung von Trainingsdatensätzen für KI befasst. Das Gericht hält die Vervielfältigung eines Fotos für den Datensatz LAION-5B für zulässig, weil sie als Text und Data Mining für Zwecke der wissenschaftlichen Forschung erlaubt ist.

    Der Sachverhalt

    LAION stellt Datensätze aus Bild-Text-Paaren bereit, die zum Training von Bildgeneratoren verwendet werden. Für den Datensatz lud LAION Bilder von Webseiten herunter, darunter ein Foto des Klägers von einer Bildagentur, und prüfte mit einer Software, ob Bild und Beschreibung zueinander passen. Die Nutzungsbedingungen der Bildagentur enthielten einen Vorbehalt gegen automatisierte Programme. Der Kläger verlangte Unterlassung.

    Die Begründung

    Das Gericht prüfte mehrere Schranken des Urheberrechts:

    • § 44a UrhG greift nicht, weil die Vervielfältigung weder vorübergehend noch begleitend war.
    • § 60d UrhG greift. LAION betreibt wissenschaftliche Forschung, auch wenn der Datensatz am Ende von kommerziellen KI-Unternehmen genutzt werden kann. Der Verein handelt nicht kommerziell, weil er den Datensatz kostenlos veröffentlicht. Dass ein Unternehmen bevorzugten Zugang zu den Ergebnissen hat, hatte der Kläger nicht dargelegt.
    • Ob daneben § 44b UrhG eingreift, ließ die Kammer offen. Das Herunterladen und Analysieren der Bilder kann nach ihrer Ansicht Text und Data Mining sein.

    Interessant sind Ausführungen, die das Urteil nicht tragen: Ein Nutzungsvorbehalt in natürlicher Sprache, etwa in AGB, könne „maschinenlesbar“ im Sinne von § 44b Abs. 3 UrhG sein. Das hänge vom Stand der Technik ab. Die Kammer verweist dabei auf die Pflicht von Anbietern von KI-Modellen nach Art. 53 Abs. 1 lit. c KI-Verordnung, Nutzungsvorbehalte zu beachten.

    Was das Urteil nicht entscheidet

    Das Urteil betrifft nur die Erstellung des Datensatzes durch eine Forschungseinrichtung. Ob das eigentliche Training eines KI-Modells durch ein kommerzielles Unternehmen zulässig ist, war nicht Gegenstand. Ebenso wenig ging es um die Frage, ob KI-generierte Ergebnisse Rechte verletzen. Die Entscheidung ist nicht rechtskräftig, eine Berufung zum Oberlandesgericht ist möglich.

    Was Rechteinhaber jetzt tun sollten

    Wer nicht möchte, dass seine Werke für Text und Data Mining verwendet werden, sollte den Nutzungsvorbehalt doppelt erklären: in den Nutzungsbedingungen und technisch, etwa in der robots.txt oder über einschlägige Protokolle. Gegen Forschungseinrichtungen nach § 60d UrhG hilft ein Vorbehalt allerdings nicht.

    Was KI-Entwickler beachten sollten

    Für kommerzielle Anbieter bleibt § 44b UrhG die maßgebliche Schranke. Wer Trainingsdaten sammelt, sollte Nutzungsvorbehalte systematisch erfassen und dokumentieren, auch solche in natürlicher Sprache. Ab August 2025 verlangt der AI Act von Anbietern allgemeiner KI-Modelle ohnehin eine Strategie zur Einhaltung des Urheberrechts.

    Fragen dazu? Wir beraten Rechteinhaber und KI-Entwickler zu Trainingsdaten. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Training, KI und Urheberrecht und LAION-Urteil.

  • AI Act in Kraft: Die KI-Verordnung gilt ab 1. August 2024 in Stufen

    Archivbeitrag – Rechtsstand 2024. Der KI-Omnibus (VO (EU) 2026/1744) hat seit Juli 2026 mehrere Fristen verschoben, Hochrisiko-Pflichten nach Anhang III gelten nun ab 2. Dezember 2027. Den aktuellen Stand finden Sie auf unserer Seite AI Act.

    Heute tritt die Verordnung (EU) 2024/1689 über künstliche Intelligenz in Kraft, kurz AI Act oder KI-Verordnung. Sie wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist das erste horizontale KI-Gesetz eines großen Wirtschaftsraums. Die Pflichten greifen nicht sofort, sondern gestaffelt bis 2027. Für Unternehmen beginnt damit die Umsetzungsphase.

    Für wen die KI-Verordnung gilt

    Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich einsetzen. Er gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme hier in Verkehr gebracht werden oder ihre Ergebnisse in der EU verwendet werden. Rein private Nutzung ist ausgenommen.

    Der risikobasierte Ansatz

    • Verbotene Praktiken: etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern aus dem Internet für Gesichtserkennungsdatenbanken
    • Hochrisiko-KI: Sicherheitsbauteile regulierter Produkte sowie Systeme in sensiblen Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und kritische Infrastruktur
    • Transparenzpflichten: Hinweis bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung KI-generierter Inhalte
    • Minimales Risiko: keine besonderen Pflichten, freiwillige Verhaltenskodizes

    Eigene Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprach- und Bildmodelle.

    Die Fristen im Überblick

    • 2. Februar 2025: Verbote nach Art. 5 und Pflicht zur KI-Kompetenz nach Art. 4
    • 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen
    • 2. August 2026: die meisten übrigen Vorschriften, insbesondere für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten
    • 2. August 2027: Hochrisiko-Systeme, die Sicherheitsbauteil eines Produkts nach Anhang I sind

    KI-Kompetenz: Pflicht für fast alle Unternehmen

    Leicht übersehen wird Art. 4. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt unabhängig vom Risiko des Systems. Wer seinen Beschäftigten Chatbots, Übersetzungstools oder KI-Assistenten im Office-Paket zur Verfügung stellt, ist Betreiber und muss ab Februar 2025 tätig werden.

    Sanktionen

    Verstöße gegen die Verbote können mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, andere Verstöße mit bis zu 15 Mio. Euro oder 3 Prozent. Für KMU gelten niedrigere Obergrenzen.

    Was jetzt zu tun ist

    Wir empfehlen, bis Ende 2024 drei Schritte zu gehen:

    • Inventar aller KI-Systeme, die das Unternehmen entwickelt, vertreibt oder einsetzt, einschließlich KI-Funktionen in bestehender Software
    • Einordnung der eigenen Rolle und der Risikoklasse je System, Prüfung auf verbotene Praktiken
    • Schulungskonzept für die KI-Kompetenz und interne KI-Richtlinie

    Hochrisiko-Anbieter sollten zusätzlich mit Risikomanagement, technischer Dokumentation und Konformitätsbewertung beginnen. Die harmonisierten Normen und Leitlinien der Kommission stehen noch aus.

    Fragen dazu? Wir begleiten Sie bei der Umsetzung der KI-Verordnung. Nutzen Sie unsere Onlineberatung. Mehr unter AI Act, KI im Unternehmen und KI-Kompetenz.

  • EuGH zum SCHUFA-Score: Scoring kann automatisierte Entscheidung sein

    Archivbeitrag – Rechtsstand 2023. Der Gesetzgeber hat reagiert: § 31 BDSG wird am 20. November 2026 durch den neuen § 37a BDSG zu Scoring und Bonitätsprüfung ersetzt; für KI-gestützte Kreditprüfungen gilt zudem der AI Act. Den aktuellen Stand finden Sie auf unserer Seite Datenschutz.

    Mit Urteil vom 7. Dezember 2023 (Rs. C-634/21) hat der Gerichtshof der Europäischen Union entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann. Voraussetzung ist, dass ein Dritter, etwa eine Bank, seine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags maßgeblich auf diesen Wert stützt. Das Urteil betrifft weit mehr als die SCHUFA.

    Der Ausgangsfall

    Hintergrund ist ein Verfahren einer Verbraucherin, der ein Vertrag mit einem Dritten verweigert worden war, nachdem dieser einen ungünstigen Scorewert der SCHUFA erhalten hatte. Sie verlangte von der Auskunftei Auskunft über die gespeicherten Daten und die Berechnung sowie die Löschung aus ihrer Sicht falscher Einträge. Ein deutsches Verwaltungsgericht legte dem EuGH die Frage vor, ob schon die Erstellung des Scores unter Art. 22 DSGVO fällt.

    Was der EuGH entschieden hat

    Der EuGH legt den Begriff der Entscheidung weit aus. Er sieht eine Rechtsschutzlücke, wenn man nur auf die abschließende Entscheidung der Bank abstellt: Die Auskunftei wäre dann nicht an Art. 22 gebunden, die Bank könnte über die Berechnung keine Auskunft geben, weil sie die Logik nicht kennt. Deshalb ist bereits das Scoring erfasst, wenn der Score für die Entscheidung des Dritten maßgeblich ist.

    Fällt das Scoring unter Art. 22 Abs. 1 DSGVO, ist es grundsätzlich verboten. Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift: Erforderlichkeit für einen Vertrag, ausdrückliche Einwilligung oder eine Rechtsgrundlage im Unionsrecht oder im Recht der Mitgliedstaaten, die angemessene Schutzmaßnahmen vorsieht.

    Problem § 31 BDSG

    Die deutsche Regelung zum Scoring in § 31 BDSG kommt als solche Rechtsgrundlage in Betracht. Der EuGH äußert jedoch durchgreifende Bedenken, ob die Vorschrift mit der DSGVO vereinbar ist, weil sie weitgehend Fragen des Verbraucherschutzes regelt und die Grenzen der Öffnungsklausel möglicherweise überschreitet. Die abschließende Prüfung obliegt dem vorlegenden Gericht. Wir rechnen damit, dass der Gesetzgeber nachbessern muss.

    Folgen für Auskunfteien, Banken und andere Anwender

    Betroffen sind nicht nur Auskunfteien. Das Urteil lässt sich auf alle Konstellationen übertragen, in denen ein Dienstleister automatisiert einen Wert berechnet, auf den ein anderes Unternehmen seine Entscheidung im Wesentlichen stützt: Betrugsprävention im Onlinehandel, Bewerberauswahl durch HR-Software, Risikoprüfung bei Versicherungen oder Mietinteressenten.

    Für die Praxis heißt das:

    • Prüfen, ob ein eingesetzter oder angebotener Score für Entscheidungen maßgeblich ist
    • eine tragfähige Ausnahme nach Art. 22 Abs. 2 DSGVO dokumentieren
    • menschliche Überprüfung ermöglichen, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sicherstellen
    • Auskunftsprozesse nach Art. 15 Abs. 1 lit. h DSGVO um aussagekräftige Informationen über die involvierte Logik ergänzen

    Unternehmen, die eigene Scoring-Modelle oder KI-Systeme für Kredit-, Bewerber- oder Kundenentscheidungen einsetzen, sollten ihre Prozesse jetzt überprüfen. Der Grat zwischen bloßer Unterstützung und maßgeblicher Grundlage einer Entscheidung ist schmal.

    Fragen dazu? Wir prüfen Ihre Scoring- und Entscheidungsprozesse. Nutzen Sie unsere Onlineberatung. Mehr unter Datenschutz, KI im Personalbereich und Datenschutz-Folgenabschätzung.