Karlsruhe · im Südwesten zuhause
Karlsruhe · im Südwesten zuhause
ANLASSBEZOGENE BERATUNG
Rechtliche Einordnung, Governance und Begleitung beim Einsatz Künstlicher Intelligenz – unter Berücksichtigung von DSGVO und EU-KI-Verordnung. Mit der KI-VO entsteht erstmals ein eigener Rechtsrahmen, parallel zur unverändert geltenden DSGVO.
Als Rechtsanwaltsgesellschaft begleiten wir seit 2011 Datenschutzfragen und beraten Sie heute praxisnah bei der Einführung von KI-Systemen wie ChatGPT, Claude oder eigenen KI-Anwendungen.
VO (EU) 2024/1689 · Bußgelder bis 35 Mio. € / 7 % (Art. 99) – damit höher als unter der DSGVO.
Mit der EU-KI-Verordnung (AI Act) entsteht erstmals ein eigener Rechtsrahmen für den Einsatz Künstlicher Intelligenz — parallel zur DSGVO, die unverändert gilt. Für Unternehmen ergeben sich daraus vier konkrete Anforderungen.
KI-Systeme müssen eingeordnet und dokumentiert werden. Je nach Klasse gelten unterschiedliche Pflichten.
Neue Pflichten treffen Anbieter und Betreiber gleichermaßen, inklusive Schulung der Beschäftigten.
Beim Einsatz im Arbeitsverhältnis greift § 87 BetrVG. Betriebsvereinbarungen werden zum Regelfall.
Die geplante EU-Novelle könnte einzelne Anforderungen noch anpassen. Wir beobachten den Stand laufend.
Typische Situationen unserer Mandanten
FALL 01
Häufig Microsoft Copilot, ChatGPT oder ähnliche Tools. Was müssen wir beachten?
Welche rechtlichen Rahmenbedingungen gelten für unsere KI-Anwendung?
Ist das so sauber? Wo besteht Handlungsbedarf?
Generative KI-Tools wie ChatGPT, Microsoft Copilot, Claude oder DeepSeek werfen alle dieselben Kernfragen auf: Welche Daten werden verarbeitet? Wo liegen die Server? Welche AV-Verträge existieren? Welche Rechtsgrundlage nach Art. 6 DSGVO greift?
Kann datenschutzkonform sein – mit vertraglicher Absicherung (Enterprise-Version) und interner KI-Richtlinie. Eingaben personenbezogener Daten bleiben kritisch.
MS Copilot
Bessere Voreinstellungen im Microsoft-365-Kontext – erfordert dennoch ggf. eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Modelle aus Drittstaaten werfen zusätzliche Fragen zur Drittlandsübermittlung auf (Art. 44 ff. DSGVO) – insbesondere bei chinesischen Anbietern.
Einordnung Ihrer KI-Systeme nach der KI-VO, Aufbau eines KI-Governance-Rahmens, Beratung bei Dokumentationspflichten – inkl. strategischer Begleitung.
Datenschutzrechtliche Bewertung, Begleitung bei Datenschutz-Folgenabschätzungen (Art. 35), Bewertung von Profiling-Szenarien.
Mitbestimmung bei KI-Tools (§ 87 BetrVG), Schulungen und Unterweisungen, interne KI-Richtlinien.
Aufnahme Ihres Vorhabens, erste rechtliche Einordnung, Prüfung von Kapazitäten.
Wesentliche Unternehmensdaten, Schilderung des Sachverhalts und Ihrer Ziele.
Mandatsvertrag, klare Leistungsabgrenzung.
Stellungnahme, KI-Richtlinie oder projektbegleitende Beratung – je nach Bedarf.
Der EU AI Act regelt den Einsatz von KI-Systemen in der EU und teilt sie in vier Risikoklassen ein: unannehmbares Risiko (verboten), hohes Risiko (umfangreiche Compliance-Pflichten), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (keine besonderen Pflichten). Er gilt parallel zur DSGVO und enthält Pflichten für Anbieter, Betreiber, Einführer und Händler.
Verboten sind nach Art. 5 AI Act u. a. Social Scoring durch Behörden, manipulatives KI-Marketing zum Ausnutzen vulnerabler Gruppen, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung), Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie ungezielte Auswertung von Gesichtsbildern aus dem Internet zur Erstellung von Gesichtserkennungsdatenbanken.
KI-Systeme sind DSGVO-konform einsetzbar, wenn zumeist vier Voraussetzungen erfüllt sind: eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO, ein gültiger Auftragsverarbeitungsvertrag mit dem KI-Anbieter (Art. 28 DSGVO), eine Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35 DSGVO) und eine interne KI-Richtlinie, die den Umgang mit personenbezogenen Daten regelt. Bei Drittstaaten-Anbietern kommen Transferanforderungen nach Art. 44 ff. DSGVO hinzu.
Beim Einsatz von ChatGPT, Microsoft Copilot oder DeepSeek im Unternehmen sind in der Regel ein AV-Vertrag, eine Rechtsgrundlage nach Art. 6 DSGVO, eine KI-Richtlinie und – bei Mitbestimmung – eine Betriebsvereinbarung nach § 87 BetrVG erforderlich. Die Consumer-Versionen von ChatGPT sind für die Verarbeitung personenbezogener Daten regelmäßig nicht geeignet; Enterprise-Versionen mit vertraglicher Absicherung sind häufig die saubere Lösung.
In den meisten Unternehmen sinnvoll, ja. Eine KI-Richtlinie regelt intern, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wie Ergebnisse zu kennzeichnen sind. Mit der KI-Verordnung wird sie für die meisten Unternehmen faktisch Empfehlenswert und ist gleichzeitig ein Baustein der gesetzlich geforderten KI-Kompetenz nach Art. 4 AI Act.
Die KI-Verordnung tritt gestuft in Kraft. Einige Pflichten – etwa zu verbotenen KI-Praktiken nach Art. 5 AI Act und zur KI-Kompetenz von Beschäftigten – greifen bereits. Welche Anforderungen konkret für Sie gelten, hängt von den eingesetzten Systemen und deren Risikoklasse ab. Das klären wir im Erstgespräch.
Eine pauschale Antwort gibt es nicht. Sie brauchen einen Auftragsverarbeitungsvertrag, eine gesicherte Grundlage für den Datentransfer und eine klare Rechtsgrundlage nach Art. 6 DSGVO. Enterprise-Versionen mit vertraglicher Absicherung sind häufig die saubere Lösung – ergänzt durch eine interne KI-Richtlinie.
Wir rechnen pauschal ab – als Projektpauschale für klar abgrenzbare Aufträge oder als Teil eines laufenden Mandats. Auf Wunsch können wir dies auf zeitbasierte Abrechnung umstellen. Ihr individuelles Angebot erhalten Sie nach dem Erstgespräch.
