Rechtliches | Alexano

KI-Entscheidungen

Rechtliches

Entscheiden Sie, welche rechtlichen Anforderungen und Pflichten beim KI-Einsatz in Ihrem Unternehmen auf welche Art und Weise zu beachten sind.

Wo dieser Text steht

Dieser Text ist wie das Risikomanagement keine der zwölf Rahmenentscheidungen, sondern eine Ergänzung dazu. Er beschreibt eine dauerhafte Routine, die in fast alle Rahmenentscheidungen hineinwirkt — besonders in Datenkontrolle, Governance und Partnerauswahl. Rechtliches ist selten einmal zu klären, sondern immer wieder — bei jedem neuen Vorhaben, bei jeder Ausweitung, bei jeder Änderung der Rechtslage.

1 · Ausgangslage

Worum es geht

Vielleicht kennen Sie dieses Gefühl auch: Kaum spricht man über KI, taucht irgendwann jemand auf und sagt: "Da müssen wir aber rechtlich aufpassen."

Das stimmt natürlich. Nur hilft Ihnen dieser Satz noch nicht weiter.

Sie müssen wissen:

Welche rechtlichen Fragen betreffen unsere konkrete KI-Nutzung wirklich — und was müssen wir dafür tun?

Denn Sie wollen weder ein gutes Projekt unnötig blockieren noch später feststellen, dass Sie Pflichten übersehen haben.

Auf dem Spiel stehen Geld, Haftung, Verträge, Daten, Reputation und möglicherweise die Fortführung einer Anwendung.

Schokoladenfirma

Eine KI, die öffentliche Informationen über Lieferanten recherchiert, wirft andere rechtliche Fragen auf als ein System, das personenbezogene Daten bewertet oder selbstständig Entscheidungen mit Wirkung auf Menschen vorbereitet.

2 · Bedeutung

Warum diese Routine wichtig ist

Rechtliches wird bei KI häufig auf eine von zwei falschen Arten behandelt.

Entweder wird alles vorsichtshalber verboten.

Nach der ersten Warnung eines Juristen wird KI-Nutzung so weit eingeschränkt, dass praktisch nichts mehr möglich ist. Das Unternehmen bleibt sicher — verpasst aber die Möglichkeiten. Und die Mitarbeitenden, die mit KI arbeiten wollen, finden Wege daran vorbei, was das Sicherheitsgefühl trügerisch macht.

Oder rechtliche Fragen werden erst kurz vor dem Start geprüft.

Das Projekt ist konzipiert, entwickelt, fast einsatzbereit — und dann meldet sich die Rechtsabteilung mit einem Bedenken, das die halbe Architektur infrage stellt. Am Ende wird entweder verspätet gestartet, teuer nachgebessert oder trotz Bedenken durchgezogen. Alle drei Optionen sind schlecht.

Der Ausweg liegt darin, Rechtliches als Rahmenbedingung von Anfang an mitzudenken — nicht als Freigabe am Ende, sondern als Frage von der ersten Skizze an. Wer das tut, gewinnt Handlungsspielraum, spart Nachbesserung und behält Kontrolle über den Zeitplan.

Und noch etwas: Bei KI verändert sich die Rechtslage schneller als in vielen anderen Bereichen. Der EU AI Act ist inzwischen wirksam, weitere Vorgaben zu Urheberrecht, Haftung und branchenspezifischen Anforderungen entwickeln sich. Was heute gilt, kann in einem Jahr präzisiert oder ergänzt sein. Wer keinen laufenden Rechts-Blick hat, wird von jeder Neuerung überrascht.

Merksatz
Sie sind kein Jurist. Aber Sie können die Verantwortung auch nicht einfach an einen abgeben.

3 · Hintergrund

Was Rechtliches bei KI umfasst

Rechtliches bei KI ist kein einzelnes Rechtsgebiet, sondern eine Reihe. Nicht jedes ist für jede Anwendung relevant — die erste Aufgabe ist deshalb, die relevanten Bereiche zu identifizieren.

Typischerweise können folgende Bereiche berührt sein:

  • Datenschutz — DSGVO und nationale Vorgaben, überall dort, wo personenbezogene Daten verarbeitet werden. Das ist der Bereich, der am meisten Aufmerksamkeit bekommt — und das oft zu Recht.
  • KI-spezifische Regulierung — insbesondere der EU AI Act, der je nach Risikoklasse Ihrer Anwendung unterschiedliche Pflichten auslöst (Dokumentation, Transparenz, Menschliche Aufsicht, Konformitätsbewertung). Auch andere KI-Regulierungen entstehen weltweit.
  • Vertragsrecht — Nutzungsbedingungen der KI-Anbieter, Verträge mit Kunden, Zusagen an Aufsichtsbehörden. Hier wird oft übersehen, dass die AGB von KI-Anbietern viele Rechte einräumen, die man nicht einräumen möchte.
  • Urheber- und Nutzungsrechte — Wer besitzt die Rechte an KI-generierten Ergebnissen? Was darf mit fremden Materialien in KI-Systeme gefüttert werden?
  • Arbeitsrecht — Betriebsrat, Mitbestimmung, Datenschutz für Beschäftigte, wenn KI in Arbeitsprozessen eingesetzt wird oder Entscheidungen über Beschäftigte trifft.
  • Branchenspezifische Vorgaben — Bank-, Versicherungs-, Medizin-, Pharma-, Öffentlicher Sektor: fast jede Branche hat eigene Regeln, die KI mit erfassen.
  • Haftungsfragen — Wer haftet, wenn eine KI-Entscheidung Schaden verursacht? Die Antwort ist selten so einfach wie erhofft.

Um zu erkennen, welche Bereiche für eine konkrete Anwendung relevant sind, helfen sechs Fragen:

  • Was macht die KI?
  • Welche Daten nutzt sie?
  • Für wen oder was hat ihr Ergebnis Folgen?
  • Wie wichtig ist die Anwendung?
  • Welche externen Anbieter sind beteiligt?
  • Welche Verträge und Nutzungsbedingungen gelten?

Was Rechtliches nicht ist:
Es ist nicht dasselbe wie Datenkontrolle oder Governance, auch wenn beide Nachbarfelder sind. Datenkontrolle regelt, welche Daten in welche Systeme dürfen — Rechtliches klärt, welche gesetzlichen und vertraglichen Regeln dabei zu beachten sind. Governance regelt Ihre eigenen internen Regeln — Rechtliches sagt, welche externen Regeln Sie ohnehin einhalten müssen. Alle drei greifen ineinander, sind aber verschieden.

4 · Vorgehensweisen

Mögliche Vorgehensweisen

WEG 01

Intern klären.

Wenn es einfache, klar geregelte Fragen sind und Sie das nötige Wissen im Haus haben — vielleicht durch einen Datenschutzbeauftragten oder eine Rechtsabteilung —, können Sie viel selbst.

WEG 02

Juristische Prüfung durch die eigene Rechtsabteilung.

Wenn die Frage komplexer wird oder Bedeutung über das einzelne Projekt hinaus hat, gehört sie in die Rechtsabteilung — wenn es sie gibt und wenn sie Kompetenz für KI hat.

WEG 03

Externe juristische Beratung.

Wenn im Haus die spezialisierte Kompetenz fehlt oder die Frage von so grundsätzlicher Bedeutung ist, dass eine externe Sicht sinnvoll ist. Wichtig: Suchen Sie Anwälte, die KI verstehen — nicht nur Recht.

WEG 04

Anpassen oder verzichten.

Manchmal ist die klügere Antwort auf ein rechtliches Bedenken nicht die Prüfung, sondern die Anpassung der Anwendung. Wenn eine kleine Änderung im Zuschnitt das rechtliche Problem beseitigt, ist das oft der bessere Weg.

WEG 05

Aktiv gestalten.

Bei größeren KI-Vorhaben können Verträge, Freigaben, Dokumentationen und Prozesse so aufgesetzt werden, dass sie rechtliche Anforderungen von Anfang an erfüllen — statt sie nachträglich draufzupacken.

Häufig ist es eine Kombination. Einfache Fragen intern, komplexe extern, Grundsatzfragen an der Spitze, Anpassungen im Zuschnitt der Anwendung.

5 · Einstieg

Drei Schritte für den Einstieg

Die konkrete Anwendung beschreiben

Für jede KI-Anwendung: Was tut die KI genau, mit welchen Daten und mit welchen Folgen? Präzise, nicht in Marketing-Sprache. Ein Jurist kann keine sinnvolle Prüfung machen, wenn er die Anwendung nur unter dem Etikett "KI" kennt.

Relevante Rechtsbereiche identifizieren

Welche der oben genannten Bereiche können diese Anwendung betreffen? Nicht jede Anwendung berührt alle Bereiche — die meisten berühren zwei oder drei. Diese identifizieren Sie am besten mit jemandem, der genug Rechtsverständnis hat, um die Fragen zu stellen, ohne schon zu antworten.

Zuständigkeit und Prüfung festlegen

Was kann intern geprüft werden? Wann braucht es Datenschutz, Rechtsabteilung oder externe Beratung? Wer ist am Ende zuständig, dass die Prüfung tatsächlich stattfindet und ihre Ergebnisse einfließen?

Diese drei Schritte werden Sie bei jedem größeren Vorhaben neu machen. Bei kleineren Anwendungen kann die Beschreibung einfacher sein, aber der Ablauf bleibt derselbe.

6 · Fallen

Typische Fehlgriffe

Rechtliches erst kurz vor dem Start prüfen. Die häufigste Falle. Ein rechtliches Problem, das drei Wochen vor der Einführung entdeckt wird, ist zehnmal teurer als eines, das drei Wochen nach der Idee erkannt wurde.
Alles vorsichtshalber verbieten. Das Gegenteil. Wenn jede KI-Anwendung erst durch eine Rechtsprüfung muss, die immer mit "das ist alles heikel" endet, bekommen Sie keine Nutzung — und Sie bekommen unkontrollierte Nutzung an der Rechtsprüfung vorbei.
Rechtliches als reine Verhinderung verstehen. Recht ist Rahmenbedingung, nicht Blockade. Wer nach Handlungsspielraum fragt statt nach Erlaubnis, bekommt oft überraschend viele Möglichkeiten.
Nur Risiken aufzählen lassen. Ein juristisches Gutachten, das nur beschreibt, was schiefgehen kann, hilft Ihnen nicht. Verlangen Sie konkrete Handlungsmöglichkeiten: Was können wir tun, damit es geht? Welcher Weg wäre der sicherste? Was wäre ein akzeptables Restrisiko?
AGB von KI-Anbietern nicht lesen. Viele KI-Anbieter räumen sich in ihren Nutzungsbedingungen weitreichende Rechte an Ihren Eingaben und deren Verarbeitung ein. Das ist oft geändert werden kann — aber nur, wenn Sie es merken.
Rechtliches als einmalige Klärung behandeln. Die Rechtslage verändert sich. Neue Urteile, neue Verordnungen, neue Klarstellungen. Was vor einem Jahr geklärt wurde, muss heute möglicherweise anders bewertet werden.
Juristen alleine entscheiden lassen. Juristen sagen Ihnen, was rechtlich möglich und was riskant ist. Ob Sie ein Restrisiko eingehen wollen, ist eine unternehmerische Entscheidung — und die gehört zu Ihnen, nicht zum Anwalt.

7 · Revision

Wann überprüfen

Rechtliches ist keine Entscheidung, die man einmal trifft, sondern eine Routine, die läuft. Drei Anlässe, an denen sie besonders bewusst greifen sollte:

Vor jedem neuen KI-Projekt. Bevor Sie starten: Welche rechtlichen Fragen berührt dieses Vorhaben? Welche müssen geklärt sein, bevor entwickelt wird?

Bei jeder wesentlichen Veränderung. Wenn eine Anwendung mehr Autonomie bekommt, andere Daten verarbeitet, für andere Zwecke eingesetzt oder auf andere Nutzergruppen ausgeweitet wird — neu prüfen.

Bei Änderungen der Rechtslage. Neue Verordnungen, neue Urteile, präzisierte Guidance von Aufsichtsbehörden. Wer das nicht mitverfolgt oder mitverfolgen lässt, wird von jeder Neuerung überrascht.

Zusätzlich einmal jährlich strukturiert: Sind die bestehenden Anwendungen noch mit der aktuellen Rechtslage vereinbar? Passen Verträge mit Anbietern noch? Gibt es Dokumentationslücken, die sich mit der Zeit angesammelt haben?

Das Ergebnis

Recht wird zu einer Rahmenbedingung der KI-Nutzung, die von Anfang an mitgedacht wird — nicht zu einer Bremse am Ende. Sie wissen, was geklärt ist, was zu klären ist und wer dafür sorgt, dass die Klärung stattfindet.

Der einfache Pfad
Anwendung beschreiben → Rechtsbereiche identifizieren → Zuständigkeit festlegen → prüfen → dokumentieren → laufend überprüfen

Zusammenhang mit dem Modell
Rechtliches wirkt in fast alle zwölf Rahmenentscheidungen hinein — besonders eng in Datenkontrolle, Governance, Eigene und externe Kompetenzen und Verantwortung. Es ersetzt keine dieser Entscheidungen, aber es macht sie im Alltag rechtssicher.