Gut ausgerichtet

Richtlinien für die Nutzung von KI im Unternehmen schaffen

In vielen Unternehmen ist man von einem Stadium des neugierigen Experimentierens mit KI längst dazu übergegangen, sie produktiv einzusetzen. Dabei stellen sich neue Fragen rund um das Urheber- und Datenschutzrecht. Um diese Fragen so gut es geht zu klären, empfiehlt es sich, im Unternehmen eine Richtlinie zum Umgang mit KI zu erarbeiten. Damit schafft man klare Vorgaben für den alltäglichen Umgang mit ChatGPT & Co.

Von Joerg Heidrich

KI-Angebote haben angefangen, die Welt der Texte, Bilder und Grafiken unwiderruflich zu verändern. Viele Unternehmen setzen solche Software längst zur Textgenerierung, Programmierung oder Illustration ein. Generative Sprachmodelle wie die hinter ChatGPT trainieren mit Milliarden von Inhalten aus dem Netz, die von anderen Personen oder Unternehmen stammen. Die Frage ist, welche rechtlichen Auswirkungen dies auf die von der KI ausgegebenen Inhalte hat und wer wiederum Rechte an diesen Inhalten geltend machen kann.

Daneben sind auch andere Fragen zu klären, etwa solche des Datenschutzes. Hierzu zählt zum Beispiel die wichtige Festlegung, welche Informationen im Rahmen der Prompts in die KI eingegeben werden dürfen. Betroffen sind davon auch Compliance-Fragen, etwa des Geheimnisschutzgesetzes. Unternehmen, die ohne nachzudenken KI-Systeme und -Ergebnisse nutzen, begeben sich in ein rechtliches Minenfeld.

Das Urheberrecht und die Maschine

Das altehrwürdige Urheberrechtsgesetz (UrhG), dessen Grundlagen zu Beginn des 20. Jahrhunderts gelegt wurden, schützt Grafiken ebenso wie Gemälde, Filme, Code, Texte und Fotografien. Allerdings können nur „persönliche geistige Schöpfungen“ Werke im Sinne des Gesetzes (§ 2 Abs. 2 UrhG) sein und dessen Schutz genießen. Geschützt wird demnach nur das Ergebnis einer menschlichen Schöpfung, nicht aber das Ergebnis eines Algorithmus, der von einer Maschine ausgeführt wird.

Nutzt jemand eine Software zur Bildbearbeitung, so wird dies als menschliche Schöpfung betrachtet, da sie von dem Nutzer geplant und ausgeführt wird und der Computer dies lediglich unterstützt. Insofern handelt es sich um eine kreative Tätigkeit des Menschen, die zu einer persönlichen geistigen Schöpfung führt. Das Ergebnis ist dann für den Nutzer der Software urheberrechtlich geschützt.

Ein KI-Bild entsteht aber anders: Ein Nutzer gibt durch seinen Prompt eine grobe Richtung vor, das Endergebnis bleibt zufällig und ist nicht identisch reproduzierbar. Insoweit bietet sich eher ein Vergleich zur Beauftragung eines Malers durch einen Mäzen an. Dieser wird auch nicht Urheber des Auftragswerks, selbst wenn er noch so genaue Vorgaben macht, wie sein Bild auszusehen habe. Ähnlich sieht es bei maschinell generierten Daten aus, die das Urheberrecht ebenfalls nicht schützt, denn es fehlt an der Schöpfung durch den menschlichen Geist. Im Endeffekt, da sind sich die meisten Juristen einig, fallen KI-generierte Texte und Grafiken im Normalfall also nicht unter das Urheberrecht.

Eine erste Entscheidung zur urheberrechtlichen Einordnung von KI-generierten Bildern lieferte im Februar 2023 das U.S. Copyright Office (USCO). Das Amt musste über den Urheberrechtsschutz für die Bildergeschichte „Zarya of the Dawn“ entscheiden, bei dem die Bilder mithilfe von Midjourney erstellt worden waren. Für die mit KI erstellten Bilder wurde der Schutz abgelehnt, da diese nicht auf menschlicher Kreativität basierten. Entscheidend sei dabei, dass die Ergebnisse von Midjourney unvorhersehbar seien und ein menschlicher Nutzer das Tool nicht ausreichend kontrollieren und steuern könne, um ein bestimmtes Bild zu erzeugen.

Einige Bereiche tun sich in der Praxis damit etwas leichter, weil ihnen ein Leistungsschutzrecht zu Hilfe kommt. Dieses schützt etwa KI-Grafiken, wenn sie beispielsweise in Computerspielen oder Filmen verwendet werden. Diese Werke sind dann automatisch durch den besonderen Schutz in diesen Bereichen dem Urheberrecht zuzuordnen. Das stellt aber eine Ausnahme dar.

Kein Urheberrecht: Und jetzt?

Was bedeutet es praktisch, wenn an einem Bild, einer Grafik oder einem Text kein Urheberrecht besteht? Die Folgen sind bemerkenswert: Die Bilder sind „Public Domain“. Sie sind nicht geschützt und dürfen von jedem frei und ohne Lizenz genutzt werden. Damit sind solche Werke der natürliche Feind von Unternehmen, die ihr Geld mit dem Handel von Bildern oder Texten verdienen. Gerade die Anbieter von Fotobibliotheken wie Stockfoto sind davon massiv betroffen, besonders bei eher alltäglichen Symbolabbildungen ohne künstlerischen Wert. Es überrascht daher wenig, dass Firmen wie Getty Images mit Klagen gegen die Anbieter von Bild-KI vorgehen. Auch ein höchst unbeliebtes Gewerbe dürfte im Zeitalter von KI-Bildern gefährdet sein: Massenabmahnungen für fehlende oder falsche Kennzeichnungen von Stockfotos.

Die Einordnung der Werke als quasi rechtsfrei hat allerdings noch viele andere Auswirkungen. Wer zum Beispiel Marketingtexte erstellt und diese an Unternehmen verkauft, überträgt dabei im Rahmen des Vertrags nicht einfach den Text, sondern rechtlich die Nutzungsrechte an den erstellten Beiträgen. Dies ist bei einem KI-generierten Artikel allerdings mangels eigener Rechte gar nicht möglich. Denn es gibt gar keine Nutzungsrechte, die übertragen werden können.

Dies bedeutet natürlich nicht, dass solche Geschäfte zukünftig nicht mehr möglich sind. Allerdings müssen die Verträge an die neuen Fakten der KI-Zeit angepasst werden. Übertragen werden dann nicht die Nutzungsrechte, sondern vergütet wird der Vertragspartner faktisch dafür, dass er die Texte erstellt und übermittelt. Zwar kann sich der Ersteller vertraglich verpflichten, die Ergebnisse seiner Arbeit keinen Dritten zur Verfügung zu stellen. Keine der beiden Parteien kann aber verhindern, dass Dritte diese Ergebnisse für eigene Zwecke übernehmen.

Wenig umstritten ist die Tatsache, dass es Urheberrechte an den Prompts gibt, mit denen die KI bedient wird. Die entsprechende Eingabe muss dabei nur originell genug sein. Dies gilt beispielsweise, wenn im Rahmen des Prompts eine kleine Geschichte erzählt wird, die ein Bild oder eine Eingabe beschreiben. Nicht geschützt sind dagegen in aller Regel rein technisch bedingte Prompts mit wenig originellem eigenem Inhalt.

Urheberrechtsnennung

Das führt zur nächsten Problematik: Wer darf oder muss als Urheber eines KI-generierten Werks genannt werden? Das UrhG ist bei klassischen Werken eindeutig. Nach dessen Paragraf 13 kann der Schöpfer bestimmen, ob sein Name im Zusammenhang mit seinen Bildern oder seinem Text aufgeführt werden muss. Hierauf kann er auch verzichten, üblich ist aber die Namensnennung.

Bei KI sieht die Sache anders aus. Nicht nur fehlt es bereits an einem Schöpfer. Im Gegenteil, wer etwa den Prompt eingibt, ist gerade nicht Urheber und darf das Ergebnis auch nicht als sein Werk kennzeichnen. Tut er es doch, so kann dies rechtlich heikel werden. Denn mit der Nennung des Namens geriert sich der Ausgewiesene fälschlicherweise als Urheber des Beitrags, der daran Rechte aufweist.

Tatsächlich kann dies im Einzelfall sogar strafbar sein. So vergüten Verwertungsgesellschaften wie die VG Wort oder die VG Bild-Kunst veröffentlichte Fotos oder Texte. Wer dort KI-generierte Werke meldet, an denen er keine Rechte aufweist, muss sich möglicherweise für einen Betrug nach Paragraf 263 des Strafgesetzbuchs (StGB) rechtfertigen. Die Missbrauchsmöglichkeiten dürften die Verwertungsgesellschaften in ihren Grundfesten gefährden.

Diese Problematik führt bisweilen zu leicht bizarren Ergebnissen. So kennzeichnet die Boulevardzeitung Express aus Köln KI-generierte Artikel als Arbeit einer virtuellen Autorin namens „Klara Indernach“. In den Beiträgen der KI-Dame wird dann explizit darauf hingewiesen, dass diese zum größten Teil mit Hilfe von KI generiert wurden. Vor der Veröffentlichung würden diese allerdings „redaktionell bearbeitet und geprüft“. Die c’t und die anderen Publikationen von Heise Medien verwenden derzeit vor allem KI-generierte Bilder. Diese sind gekennzeichnet als „Generiert durch Midjourney durch [Name oder Redaktion]“.

Wie viel KI darf in einem Werk stecken?

Diese vergleichsweise eindeutige Rechtslage gilt allerdings nur in den Fällen, in denen Bilder oder Texte vollständig oder zu überwiegenden Teilen von einer KI generiert wurden. Schwierig wird es dort, wo es sich um „hybride“ Werke handelt, also ein Teil von ChatGPT & Co. stammt, der Rest aber von einem Menschen. Besonders schwer lösbar ist dieser Konflikt in den Fällen, in denen beide Teile etwa die Hälfte ausmachen. Diese Fälle werden insbesondere dann immer wichtiger, wenn jemand KI als Copilot einsetzt, um Aufgaben abzuarbeiten. Dort wird die künstliche Intelligenz ein untrennbarer Teil des menschlichen Arbeitsprozesses.

Am Ende stellt sich die Frage, wie viel KI in einem Werk stecken darf, damit es noch in den Schutzbereich des Urheberrechts fällt. Dabei gibt es einfache Fälle, etwa wenn Texte mit KI-Tools wie DeepL Write bearbeitet werden. Die Software überarbeitet Text, korrigiert Fehler und schärft Formulierungen. Ein Service, den gerade Juristen mit dem ihnen eigenen Schreibstil schätzen dürften. Vergleichbar damit ist das automatisierte „Aufhübschen“ eines Fotos durch entsprechende Software. Soweit es dabei nur um den Feinschliff eines Textes oder Fotos geht, ist das rechtlich unproblematisch. Besteht der Text am Ende aber überwiegend aus Formulierungen, die aus dem Computer stammen, etwa wenn man ihn von ChatGPT umfassend umformulieren lässt, so dürfte das eigene Urheberrecht mit den Überarbeitungen verloren gegangen sein.

In der Praxis stellt sich diese Frage häufig aber auch genau umgekehrt: Wie umfangreich muss beispielsweise ein KI-Text umgeschrieben oder ein Bild von Dall-E bearbeitet werden, damit an dieser Umgestaltung ein eigenes Recht entsteht? An solche Umarbeitungen hat das Urheberrecht schon immer hohe Anforderungen gestellt, sodass der Prozentsatz hoch sein und über 50 Prozent liegen muss.

Letztlich stehen bei diesen Fragen aber immer komplizierte Einzelfallentscheidungen im Raum, die nur mit erheblichem Aufwand zu lösen sein werden. Es empfiehlt sich daher, derartige Fälle zu vermeiden, soweit dies möglich ist. Das gilt insbesondere für Vertragsverhältnisse, in denen die Übertragung von Nutzungsrechten geschuldet wird. Im Zweifelsfall sollte man eher auf die eigene Benennung als Urheber verzichten, statt hier sehenden Auges in potenzielle rechtliche Probleme zu laufen. Die könnten letztlich mehr Kosten verursachen, als man durch die KI gespart hat.

Besonderheiten bei der Nutzung von KI für Code

Viele Entwickler generieren und überprüfen inzwischen ihren Programmcode mit ChatGPT und spezifischen KI-Coding-Angeboten wie Alpha Code oder GitHub Copilot. Rechtsfragen rund um die Nutzung von KI-Generatoren im Bereich der Programmierung sind noch ungeklärt. Anfangs fiel es immer wieder auf, dass die KI bereits bekannte und dokumentierte Code-Zeilen verwendet, die möglicherweise urheberrechtlich geschützt sind. Auf der anderen Seite ist aber bei vielen Aufgaben die Anzahl möglicher Lösungswege endlich, sodass es für die KI möglicherweise keinen anderen Weg gab.

Noch gänzlich unbearbeitet ist die Frage, wie sich die Lizenzen der zahlreichen im Rahmen des Trainings ausgelesenen Programme auswirken. Diese Nutzung verschiedener Software hat möglicherweise zur Folge, dass ChatGPT & Co. deren Lizenzen zu berücksichtigen haben oder die Lizenz sogar infizierend hinsichtlich der weiteren Nutzung wirkt. Wer generative KI in größerem Umfang zum Programmieren nutzt, sollte diese sich gerade erst anbahnende Diskussion aufmerksam verfolgen.

Ebenfalls eine kritische Beobachtung erfordern die Überwachungsmöglichkeiten, die KI-Software stärker noch als bisherige Programme mit sich bringt. Gerade US-amerikanische Angebote enthalten wie selbstverständlich detaillierte Funktionen, die eine hierzulande weitgehend verbotene Leistungsüberwachung der Belegschaft ermöglichen.

KI-Generatoren und der Datenschutz

Noch stärker als die urheberrechtlichen Fragen beschäftigt sich die öffentliche Diskussion derzeit mit den Fragen des Datenschutzes rund um die neuen generativen KI-Angebote. So steht beispielsweise ChatGPT im Visier der Datenschutzbehörden. Allerdings geht es bei diesen Auseinandersetzungen vor allem um rechtliche Fragen an die Betreiber. Doch was ist bei der geschäftlichen Nutzung der Dienste hinsichtlich der DSGVO zu beachten?

Einschlägig ist der Datenschutz dann, wenn personenbezogenen Daten verwendet werden. Das kann schnell der Fall sein, etwa bei einer Anmeldung mit Username und Password. Zudem übermitteln die Systeme auch die IP-Adresse des Nutzers. Und spätestens dann, wenn Namen oder sonstige persönliche Informationen im Rahmen eines Prompts eingegeben werden, ist in jedem Fall der Datenschutz zu beachten.

Das bedingt ein paar elementare Vorgaben: Neben rechtskonformer Vertragsgestaltung und allgemeinen datenschutzrechtlichen Vorgaben gilt es, den Mitarbeitern klare Grenzen bezüglich der Eingabe sensibler Daten zu setzen. Hierzu sollte beispielsweise ein striktes Verbot personenbezogener Daten bei Prompts gehören. So dürfen dort keine Namen von Kollegen, Kunden oder Lieferanten eingegeben werden. Verboten sollte auch das Übermitteln von Fotos im Rahmen von Bild-KIs sein, auf denen Menschen zu identifizieren sind.

Nutzer von KI-Angeboten ignorieren oftmals den Geheimnisschutz. Verpflichtungen, bestimmte Informationen geheim zu halten, ergeben sich unter anderem aus dem Geschäftsgeheimnisgesetz, aber auch aus dem Berufsrecht, zum Beispiel bei Anwälten, Ärzten oder Steuerberatern. Auch vertragliche Vereinbarungen wie Non Disclosure Agreements (NDA) können die Weitergabe bestimmter Informationen verbieten. Dies gilt für eigene wie für fremde Geschäftsgeheimnisse. Derartige Informationen dürfen unter keinen Umständen ihren Weg in die Eingabemasken von KI-Angeboten im Netz finden.

Risikominimierung: KI-Richtlinien erstellen

Um der Probleme bei der Nutzung von ChatGPT & Co. im geschäftlichen Zusammenhang Herr zu werden, empfiehlt es sich, eine KI-Richtlinie im Unternehmen zu formulieren und einzuführen. Die Schwierigkeit dabei ist es, die Mitarbeiter einerseits zu motivieren, die neuen Möglichkeiten zu nutzen, ihnen Zugänge zur Verfügung zu stellen und ihnen Fortbildungen anzubieten. Auf der anderen Seite sollten Unternehmen aber klare Vorgaben und Leitlinien einführen, die rechtliche Risiken minimieren und Mitarbeitern und Vorgesetzten das Gefühl rechtlicher Sicherheit bieten. Zugleich sollten Sie Ihre Mitarbeiter aber auch auf drohende Risiken hinweisen und bestimmte Nutzungsarten klar verbieten.

Was genau in eine solche Richtlinie gehört, hängt stark von den Anforderungen des jeweiligen Unternehmens ab. Regelungen bieten sich zum Beispiel in folgenden Bereichen an:

1. Beschränkung auf bestimmte Anbieter, deren Lizenz geprüft und für die jeweilige Nutzung freigegeben ist. Vermieden werden sollte ein Wildwuchs, bei dem diverse Mitarbeiter unterschiedlichste KI-Software nutzen, deren Nutzungsbedingungen unklar sind.
2. Klare Grenzen, in welchen aufgelisteten Unternehmensbereichen keine KI eingesetzt werden darf.
3. Voraussetzungen für Kennzeichnungspflichten KI-generierter Inhalte.
4. Umgang mit Externen: Dürfen Ergebnisse der KI an Dritte weitergegeben werden? Ist es Dienstleistern umgekehrt erlaubt, KI-Inhalte an das eigene Unternehmen weiterzugeben?
5. Regeln für die Verwendung von KI-Bildgeneratoren: Nutzungsmöglichkeiten und Grenzen. Beispielsweise keine Verwendung von Fotos oder KI-Bildern von lebendigen Personen, keine herabwürdigenden Bilder.
6. Vorgaben für den Einsatz von KI-Generatoren bei der Programmierung.
7. Umgang mit Geschäftsgeheimnissen.
8. Datenschutzrechtliche Vorgaben, insbesondere im Hinblick auf sensible Daten. Keine Eingaben von Namen und sensiblen Informationen bei KI-Diensten im Netz.
9. Ansprechpartner für Fragen und Unklarheiten.
10. Überwachung der Vorgaben und Sanktionen bei Verstößen.

Bei der Gestaltung einer solchen Vereinbarung empfiehlt es sich übrigens, ChatGPT einen ersten Entwurf schreiben zu lassen. Wenn das Ergebnis brauchbar ist, muss man es dann nur noch anpassen und eventuell von Fachjuristen prüfen lassen. (tig@ct.de)