FAQ zum KI-Recht

Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: Verbote nach Art. 5 und die Regelung zur KI-Kompetenz seit 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit 2. August 2025, die allgemeine Geltung einschließlich der Transparenzpflichten nach Art. 50 seit 2. August 2026. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die Hochrisiko-Pflichten verschoben: für Systeme nach Anhang III auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Alle Stichtage finden Sie in unserer Übersicht AI-Act-Fristen.

Ja. Wer ein KI-System in eigener Verantwortung beruflich verwendet, ist Betreiber im Sinne von Art. 3 Nr. 4 KI-VO. Betreiber müssen die KI-Kompetenz ihrer Beschäftigten fördern (Art. 4), bestimmte Transparenzpflichten erfüllen, etwa die Offenlegung von Deepfakes (Art. 50 Abs. 4), und beim Einsatz von Hochrisiko-Systemen die Pflichten aus Art. 26 beachten. Welche Rolle Sie im konkreten Fall einnehmen, klären Sie mit unserer Seite zur Rolle nach dem AI Act.

Nach Art. 25 KI-VO übernimmt ein Betreiber die Anbieterpflichten, wenn er ein Hochrisiko-System unter eigenem Namen oder eigener Marke in Verkehr bringt, es wesentlich verändert oder die Zweckbestimmung eines Systems so ändert, dass es zum Hochrisiko-System wird. Praktisch relevant ist das, wenn ein allgemeiner Chatbot intern für Personalentscheidungen oder Kreditprüfungen eingesetzt wird. Dann treffen das Unternehmen Konformitätsbewertung, Dokumentation und Qualitätsmanagement.

Art. 6 KI-VO unterscheidet zwei Gruppen: KI als Sicherheitsbauteil oder Produkt, das unter die Harmonisierungsvorschriften des Anhangs I fällt (etwa Medizinprodukte), und eigenständige Systeme in den Bereichen des Anhangs III, zum Beispiel Personalauswahl, Bildung, Kreditwürdigkeitsprüfung oder Zugang zu wesentlichen Diensten. Systeme nach Anhang III sind ausnahmsweise nicht hochriskant, wenn sie nur eng begrenzte vorbereitende Aufgaben erfüllen und kein erhebliches Risiko begründen (Art. 6 Abs. 3); diese Einschätzung ist zu dokumentieren. Einzelheiten erläutern wir unter Hochrisiko-KI.

Art. 50 KI-VO verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, dass synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar markiert werden und dass Betreiber Deepfakes sowie KI-Texte zur Information der Öffentlichkeit offenlegen. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt für die maschinenlesbare Markierung eine Übergangsfrist bis 2. Dezember 2026. Der freiwillige Code of Practice der Kommission vom 10. Juni 2026 beschreibt eine mehrschichtige Markierung und ein gemeinsames EU-Symbol; mehr dazu unter Kennzeichnungspflicht.

Zentrale Marktüberwachungsbehörde ist nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit 29. Juli 2026, die Bundesnetzagentur; für den Finanzsektor ist die BaFin zuständig. Art. 99 KI-VO sieht Geldbußen bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken vor, bis 15 Mio. Euro oder 3 Prozent bei sonstigen Pflichtverstößen und bis 7,5 Mio. Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere Betrag; siehe Aufsicht und Bußgelder.

Seit dem Digital Omnibus verpflichtet Art. 4 KI-VO Anbieter und Betreiber, die KI-Kompetenz ihres Personals zu fördern; ein bestimmtes Kompetenzniveau muss nicht mehr sichergestellt werden. Eine förmliche Nachweispflicht besteht nicht. Wir empfehlen dennoch, Schulungen, Richtlinien und Zuständigkeiten zu dokumentieren, weil sich Unternehmen bei Vorfällen und in Haftungsfragen auf ihre Organisation berufen müssen. Hinweise zum Aufbau finden Sie unter AI Literacy.

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, bei Gesundheits- oder anderen besonderen Daten zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. In Unternehmen kommen vor allem Vertragserfüllung (Art. 6 Abs. 1 lit. b) und berechtigte Interessen (Art. 6 Abs. 1 lit. f) in Betracht; Letztere erfordern eine dokumentierte Abwägung. Trainings- und Nutzungszwecke sind getrennt zu betrachten, weil eine Zweckänderung eine eigene Prüfung auslöst. Vertiefend: Datenschutzrecht.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist geboten, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Beim Einsatz neuer Technologien zur Bewertung von Personen, bei umfangreicher Verarbeitung besonderer Daten oder bei systematischer Überwachung ist das regelmäßig der Fall. Betreiber von Hochrisiko-KI-Systemen sollen für die Folgenabschätzung die Informationen nutzen, die der Anbieter nach Art. 13 KI-VO bereitstellt (Art. 26 Abs. 9 KI-VO). Wir unterstützen mit unserer Datenschutzprüfung.

Nur, wenn das Unternehmen den Dienst datenschutzrechtlich freigegeben hat. Dazu gehören in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Prüfung von Drittlandübermittlungen nach Art. 44 ff. DSGVO und die vertragliche Zusage, dass Eingaben nicht zum Training des Anbietermodells verwendet werden. Privat angelegte Konten von Beschäftigten erfüllen diese Voraussetzungen typischerweise nicht. Eine klare KI-Richtlinie legt fest, welche Daten in welches Werkzeug dürfen.

Art. 22 DSGVO untersagt grundsätzlich Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Betroffene rechtlich oder ähnlich erheblich beeinträchtigen. Der EuGH hat 2023 entschieden, dass bereits ein Score-Wert eine solche Entscheidung sein kann, wenn ein Dritter sein Handeln maßgeblich danach ausrichtet. Ein menschlicher Entscheider muss deshalb tatsächlich prüfen und abweichen können; eine bloße Bestätigung des Systemvorschlags genügt nicht.

Das Training kann unter die Schranke für Text und Data Mining fallen: § 60d UrhG für wissenschaftliche Forschung, § 44b UrhG für alle übrigen Zwecke, sofern der Rechteinhaber keinen Nutzungsvorbehalt erklärt hat. Das LG Hamburg hat die Erstellung des LAION-Datensatzes über § 60d UrhG gerechtfertigt (Urteil vom 27. September 2024, Az. 310 O 227/23), das OLG Hamburg hat die Berufung zurückgewiesen; der BGH hat am 3. September 2026 verhandelt und eine Vorlage an den EuGH angedeutet. Die Schranken decken jedoch nicht die Speicherung von Werken im Modell und deren Wiedergabe in Ergebnissen, wie die Münchner GEMA-Urteile zeigen.

Im Verfahren gegen OpenAI hat das LG München I am 11. November 2025 (Az. 42 O 14139/24) entschieden, dass die Memorisierung von Liedtexten im Modell und ihre Ausgabe Urheberrechte verletzen und § 44b UrhG das nicht rechtfertigt. Am 31. Juli 2026 (Az. 42 O 763/25) hat dieselbe Kammer der GEMA gegen Suno überwiegend recht gegeben: Die Musikwerke seien in den Modellen reproduzierbar enthalten, und für die Outputs sei der Anbieter verantwortlich. Beide Urteile sind nicht rechtskräftig. Für Anwender bedeutet das, Ausgaben vor kommerzieller Nutzung auf erkennbare Übernahmen zu prüfen und Freistellungsklauseln mit Anbietern zu verhandeln.

Urheberrechtlich geschützt sind nur persönliche geistige Schöpfungen eines Menschen (§ 2 Abs. 2 UrhG). Ein rein maschinell erzeugtes Bild oder ein Text ohne prägenden menschlichen Gestaltungsbeitrag ist daher in der Regel nicht geschützt; ein einfacher Prompt genügt dafür nicht. Anders kann es sein, wenn ein Mensch die Ergebnisse auswählt, kombiniert und erheblich überarbeitet. Mehr dazu unter Rechte an Prompts und KI-Ergebnissen.

Bei online zugänglichen Werken ist der Vorbehalt nach § 44b Abs. 3 UrhG nur wirksam, wenn er in maschinenlesbarer Form erfolgt. In der Praxis kombinieren Unternehmen Einträge in der robots.txt für bekannte KI-Crawler, Metadaten oder Protokolle wie TDMRep und eine ausdrückliche Klausel im Impressum oder in den Nutzungsbedingungen. Der Vorbehalt wirkt nur für künftige Vervielfältigungen und sollte regelmäßig an neue Crawler angepasst werden.

Eine eigene europäische KI-Haftungsrichtlinie gibt es nicht; die Kommission hat ihren Vorschlag 2025 zurückgezogen. Es gelten die allgemeinen Regeln: vertragliche Haftung gegenüber Kunden, deliktische Haftung nach § 823 BGB, insbesondere wegen Verletzung von Organisations- und Überwachungspflichten, und die Produkthaftung des Herstellers. Wer KI einsetzt, haftet gegenüber seinen Vertragspartnern regelmäßig für Fehler des Systems wie für eigene Fehler. Überblick: KI-Haftungsrecht.

Die Richtlinie (EU) 2024/2853 behandelt Software einschließlich KI ausdrücklich als Produkt und erfasst auch Fehler, die durch Updates oder fehlende Sicherheitsupdates entstehen. Sie bringt Offenlegungspflichten für Beweismittel und Vermutungen zugunsten Geschädigter bei technisch komplexen Produkten. Die Umsetzungsfrist endet am 9. Dezember 2026; der Bundestag hat das deutsche Umsetzungsgesetz am 8. Oktober 2026 beschlossen, die Geltung ist ab 9. Dezember 2026 vorgesehen. Details unter Produkthaftung für Software und KI.

Grundsätzlich ja. Aussagen eines Kundenservice-Chatbots werden dem Unternehmen zugerechnet, das ihn betreibt, etwa als Auskunft, Werbeaussage oder vorvertragliche Information. Falsche Angaben können vertragliche Ansprüche, wettbewerbsrechtliche Abmahnungen nach §§ 5, 5a UWG oder bei Äußerungen über Dritte Unterlassungsansprüche auslösen. Abhilfe schaffen eine begrenzte Wissensbasis, Tests vor dem Livegang und klare Übergaben an Mitarbeitende.

Geschäftsführer und Vorstände müssen mit der Sorgfalt eines ordentlichen Geschäftsleiters handeln (§ 43 GmbHG, § 93 AktG) und Risiken durch eine angemessene Organisation beherrschen. Wer den KI-Einsatz im Unternehmen weder erfasst noch regelt, riskiert bei Bußgeldern oder Schäden einen Regress der Gesellschaft. Ein KI-Verzeichnis, klare Zuständigkeiten und dokumentierte Freigaben sind die wichtigsten Entlastungsfaktoren.

Regelmäßig ja. Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Einführung technischer Einrichtungen mitbestimmungspflichtig, die geeignet sind, Verhalten oder Leistung zu überwachen; das trifft auf die meisten KI-Werkzeuge zu. Hinzu kommen Unterrichtungsrechte nach § 90 Abs. 1 Nr. 3 BetrVG und das Recht, bei KI-Fragen einen Sachverständigen hinzuzuziehen (§ 80 Abs. 3 BetrVG). Bewährt hat sich eine Rahmenbetriebsvereinbarung; siehe KI im Arbeitsverhältnis.

Ja, aber unter strengen Voraussetzungen. KI-Systeme zur Sichtung von Bewerbungen und zur Bewertung von Kandidaten sind Hochrisiko-Systeme nach Anhang III Nr. 4 KI-VO; die Betreiberpflichten gelten ab 2. Dezember 2027. Bereits heute sind das AGG, Art. 22 DSGVO und die Mitbestimmung bei Auswahlrichtlinien (§ 95 Abs. 2a BetrVG) zu beachten. Unsere Seite KI im Personalwesen vertieft die Anforderungen.

Ja. Der Arbeitgeber kann im Rahmen seines Weisungsrechts (§ 106 GewO) festlegen, welche Werkzeuge für dienstliche Aufgaben verwendet werden dürfen. Ein Verbot allein verhindert sogenannte Schatten-KI erfahrungsgemäß nicht; wirksamer ist eine Richtlinie, die freigegebene Werkzeuge bereitstellt und Datenklassen klar zuordnet. Verstöße können arbeitsrechtliche Folgen haben, wenn die Regeln bekannt und eindeutig waren.

Nein. Art. 5 Abs. 1 lit. f KI-VO verbietet seit 2. Februar 2025 KI-Systeme, die Emotionen von Personen am Arbeitsplatz oder in Bildungseinrichtungen ableiten. Ausgenommen sind nur Systeme aus medizinischen Gründen oder zu Sicherheitszwecken, etwa die Müdigkeitserkennung bei Berufskraftfahrern. Die Stimmungsanalyse von Callcenter-Mitarbeitenden oder Videointerviews fällt unter das Verbot; Näheres unter verbotene KI-Praktiken.

Prüfen Sie die Rolle des Anbieters nach der KI-VO, die Verwendung Ihrer Daten zum Training, den Speicherort und Unterauftragnehmer, Zusicherungen zur Rechtskonformität der Trainingsdaten, Freistellungen bei Schutzrechtsverletzungen sowie Service Levels und Exit-Regeln. Bei Hochrisiko-Systemen benötigen Sie zusätzlich die Betriebsanleitung und Informationen nach Art. 13 KI-VO. Eine strukturierte Vorgehensweise beschreibt unsere Seite KI-Einkauf und Anbieterprüfung.

Soweit die Ergebnisse urheberrechtlich nicht geschützt sind, gibt es keine Nutzungsrechte, die übertragen werden könnten; der Auftraggeber erhält dann keine Exklusivität. Verträge sollten deshalb offenlegen, ob und welche KI-Werkzeuge eingesetzt werden, Nutzungsrechte an menschlichen Anteilen nach § 31 UrhG einräumen und eine Freistellung für Rechtsverletzungen Dritter vorsehen. Für Marken, Logos und zentrale Kampagnenmotive empfiehlt sich ein Verzicht auf rein KI-generierte Gestaltungen.

Nur eingeschränkt. In AGB kann die Haftung für Vorsatz, grobe Fahrlässigkeit und die Verletzung von Leben, Körper oder Gesundheit nicht ausgeschlossen werden (§ 309 Nr. 7 BGB, im Unternehmensverkehr über § 307 BGB); bei wesentlichen Vertragspflichten ist allenfalls eine Begrenzung auf den vorhersehbaren Schaden möglich. Die Haftung nach dem Produkthaftungsrecht ist zwingend. Wirksamer als pauschale Ausschlüsse sind eine präzise Leistungsbeschreibung und klare Mitwirkungspflichten des Kunden; siehe Vertragsgestaltung.

Die KI-Verordnung schreibt keinen KI-Beauftragten vor. Sinnvoll ist eine klar benannte Stelle oder Person, die das KI-Verzeichnis führt, Freigaben koordiniert und mit Datenschutz, IT-Sicherheit und Betriebsrat zusammenarbeitet. Wie Sie diese Funktion zuschneiden, erläutern wir unter KI-Beauftragter.

Erfassen Sie zunächst, welche KI-Systeme im Unternehmen genutzt werden, einschließlich KI-Funktionen in bestehender Software. Ordnen Sie anschließend jedem System Rolle und Risikoklasse zu, erlassen Sie eine Nutzungsrichtlinie und schulen Sie die Beschäftigten. Einen geordneten Ablauf bietet unsere Checkliste zur KI-Einführung; eine erste Einordnung liefert der AI-Act-Quick-Check.

Ja. Zu unserem Team gehören neben Rechtsanwälten und Fachanwälten auch Patentanwälte sowie Kolleginnen und Kollegen mit technischem Hintergrund als Diplom-Ingenieure und Diplom-Physiker. Wir prüfen, ob sich KI-Verfahren patentieren lassen, sichern Know-how als Geschäftsgeheimnis ab und gestalten Lizenzmodelle. Mehr dazu unter Schutz von KI durch geistiges Eigentum.

Am Anfang steht ein Gespräch, in dem wir Ihr Vorhaben und den Prüfungsbedarf klären; dafür bieten wir auch eine digitale Sprechstunde an. Auf dieser Grundlage erhalten Sie einen Vorschlag zum Vorgehen und zur Vergütung, etwa nach Zeitaufwand oder als Pauschale für klar abgegrenzte Leistungen. Einzelheiten finden Sie unter Anwaltshonorar im KI-Recht und Leistungspakete.