KI-Tools: Die neue Haftungsfalle für KMU
Große Plattformen wie Meta und eBay nutzen nun offen Kundendaten für das Training ihrer KI-Systeme. Die rechtliche Verantwortung für diese Datenverarbeitung liegt bei den Unternehmen, die diese Plattformen nutzen, weshalb jetzt dringender Handlungsbedarf besteht.
Der alltägliche Einsatz von KI- und Cloud-Diensten birgt für kleine und mittlere Unternehmen (KMU) massive, aber oft unsichtbare datenschutzrechtliche Risiken. Jüngste Entwicklungen bei großen Tech-Anbietern und eine verschärfte Rechtsprechung machen diese Risiken nun akut und erfordern ein proaktives Handeln, um empfindliche Bußgelder und Schadensersatzforderungen zu vermeiden. Die passive Haltung, sich blind auf die Zusagen der Anbieter zu verlassen, ist aus rechtlicher Sicht nicht länger tragbar und stellt ein direktes Geschäftsrisiko dar.
Das rechtliche Dilemma des KI-Trainings
Der zentrale Konflikt liegt in der Nutzung personenbezogener Daten zum Trainieren von KI-Modellen. Diese Handlung stellt eine Datenverarbeitung dar, die eine eindeutige Rechtsgrundlage nach Art. 6 der Datenschutz-Grundverordnung (DSGVO) erfordert. In der Praxis erweisen sich die gängigen Rechtsgrundlagen jedoch als untauglich:
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Im Beschäftigten- oder Kundenkontext mangelt es oft an der erforderlichen Freiwilligkeit. Eine echte Wahlmöglichkeit, die Datenweitergabe an Dritte für deren Trainingszwecke abzulehnen, ohne Nachteile in Kauf nehmen zu müssen, ist selten gegeben.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Diese Rechtsgrundlage scheitert regelmäßig an der Interessenabwägung. Betroffene Personen – seien es Mitarbeitende oder Kunden – müssen nicht damit rechnen, dass ihre Daten an einen Drittanbieter weitergegeben werden, damit dieser seine eigenen KI-Systeme trainieren kann.
Diese Problematik wird durch aktuelle Ankündigungen von Plattformen wie Meta (Facebook, Instagram) und eBay verschärft. Beide Konzerne haben angekündigt, die Daten ihrer europäischen Nutzerinnen und Nutzer künftig offen für das Training ihrer KI-Anwendungen zu verwenden.
Ihre Verantwortung als „Betreiber“: Ein unkalkulierbares Risiko
Nach der EU-KI-Verordnung gilt das Unternehmen, das ein KI-System einsetzt, als „Betreiber“ und trägt die volle rechtliche Verantwortung – nicht der Anbieter des Tools. Diese Verantwortung wird durch die Rechtsprechung des Bundesgerichtshofs (BGH) weiter verschärft.
Der BGH hat das Konzept des „Kontrollverlusts“ etabliert: Bereits die bloße Eingabe von personenbezogenen Daten in ein System, dessen Funktionsweise und Datenverwendung nicht transparent kontrollierbar ist, kann einen immateriellen Schaden (d. h. einen nicht-finanziellen Schaden, wie den reinen Verlust der Kontrolle über die eigenen Daten) nach Art. 82 DSGVO begründen. Ein solcher Kontrollverlust allein genügt nach Ansicht des BGH, um Schadensersatzansprüche von Betroffenen nach Art. 82 DSGVO auszulösen – ein konkreter Datenmissbrauch muss hierfür nicht erst nachgewiesen werden.
Praxisleitfaden: Sofortmaßnahmen zur Risikominimierung
Um sich vor diesen neuen Haftungsrisiken zu schützen, sollten KMU umgehend die folgenden Maßnahmen ergreifen, die sich direkt aus den aktuellen Entwicklungen ableiten:
1. Tool-Auswahl gezielt prüfen: Bevorzugen Sie KI-Systeme und Cloud-Software, bei denen das Training mit Ihren Daten explizit deaktiviert werden kann oder vertraglich ausgeschlossen ist. Viele Anbieter bieten spezielle Enterprise-Versionen an, in denen das Training mit Kundendaten standardmäßig deaktiviert ist und eine Löschung der Daten nach Sitzungsende zugesichert wird.
2. Klare interne Richtlinien schaffen: Erlassen Sie verbindliche Arbeitsanweisungen, die es Mitarbeitenden untersagen, personenbezogene oder sensible unternehmensinterne Daten in öffentliche KI-Systeme einzugeben. Dies gilt insbesondere für Tools, bei denen nicht sichergestellt ist, dass die eingegebenen Daten nicht für das Training der Modelle verwendet werden.
3. Verträge und Auftragsverarbeitung (AVV) genau prüfen: Bestehen Sie bei Verhandlungen mit Dienstleistern darauf, dass die Nutzung Ihrer Daten für deren eigene Zwecke, insbesondere für das KI-Training, vertraglich ausgeschlossen wird. Überprüfen Sie bestehende Verträge und AVVs auf entsprechende Klauseln und fordern Sie bei Bedarf Anpassungen.
4. Widerspruchsrechte aktiv nutzen: Informieren Sie sich und Ihre Mitarbeitenden darüber, dass Nutzerinnen und Nutzer der Datenverarbeitung durch Plattformen wie Meta und eBay für KI-Trainingszwecke aktiv widersprechen müssen. Dieser Widerspruch sollte eingelegt werden, um die Kontrolle über die eigenen Daten zu behalten, da einmal in KI-Modelle eingeflossene Trainingsdaten nach heutigem Stand der Technik nicht mehr entfernt werden können.
Fazit: Von der reaktiven Nutzung zur proaktiven Steuerung
Die passive Nutzung von Drittanbieter-Tools ist ein Auslaufmodell. Die aktuellen Entwicklungen erfordern ein strategisches Dienstleistermanagement. Dieses umfasst eine risikobasierte Auswahl von Tools, die Aushandlung klarer vertraglicher Regelungen und regelmäßige Kontrollen, um die Informationssicherheit und die Einhaltung der DSGVO zu gewährleisten.
Handeln Sie jetzt: Führen Sie umgehend eine Bestandsaufnahme Ihrer im Unternehmen eingesetzten KI- und Cloud-Tools durch. Lassen Sie sich von Experten beraten, um Haftungsrisiken zu minimieren und rechtssichere interne Richtlinien zu etablieren.
Diese Entwicklung verdeutlicht die neue Verantwortung bei der Nutzung von Tools. Der nächste logische Schritt in dieser neuen Ära der digitalen Produkthaftung ist der Cyber Resilience Act, der nun auch die Herstellung von Produkten mit digitalen Elementen strengen Sicherheitsanforderungen unterwirft.