Regeln für ChatGPT & Co – so nutzen Unternehmen KI rechtssicher

Beim Einsatz von KI im Unternehmen sollte von Anfang an klargestellt sein: Die Entscheidung, welche KI-Systeme für welche Zwecke zum Einsatz kommen, trifft die Unternehmensleitung. Keine gute Idee ist es zumindest aus rechtlicher Sicht, die eigenen Mitarbeiter selbst darüber entscheiden zu lassen, welche KI-Tools sie wozu benutzen wollen. Denn dies birgt nicht nur datenschutzrechtliche Risiken, sondern kann vor allem beim Einsatz generativer KI-Systeme wie zum Beispiel Bildgeneratoren urheberrechtlich problematisch sein und zu Ansprüchen Dritter gegen das Unternehmen führen.

Einen verbindlichen Rechtsrahmen zum Einsatz von KI wird demnächst die Europäische KI-Verordnung, der „AI Act“, bringen, den die EU noch in diesem Jahr beschließen will; Haftungsfragen werden überdies in der „AI Liability Directive“ festschrieben werden. Gleichwohl empfiehlt es sich für Unternehmen schon heute interne Richtlinien für den Einsatz von ChatGPT & Co aufzustellen und die Mitarbeiter zur Einhaltung von Regeln zu verpflichten.

Die folgende Checkliste kann beim Aufstellen dieser Regeln helfen:
 

1. Zulässige Einsatzzwecke von KI definieren
   Es sollte zuerst festgeschrieben werden, welche KI-Tools im Unternehmen überhaupt erlaubt sind und zu welchen Zwecken ChatGPT und weitere generative KI-Tools (z.B. Bildgeneratoren) bei der Arbeit eingesetzt werden können. Umgekehrt können auch bestimmte KI-Tools ausdrücklich verboten werden. Oder es kann beschrieben werden, welche Anwendungsszenarien konkret unerwünscht sind.
2. Nutzung auf geschäftliche Zwecke beschränken
   Die Nutzung von KI-Systemen im Unternehmen sollte ausdrücklich auf geschäftliche Zwecke beschränkt bleiben. Dies sollte insbesondere für lizensierte Produkte geschehen wie zum Beispiel die kostenpflichtige Pro-Version von ChatGPT.
3. Eingabe personenbezogener Daten bei ChatGPT untersagen
   Personenbezogene Daten wie Kunden- oder Mitarbeiterdaten dürfen über KI-Systeme wie ChatGPT nur dann verarbeitet werden, wenn dafür alle Voraussetzungen nach der Datenschutz-Grundverordnung (DSGVO) vorliegen, also die Betroffenen zum Beispiel vorher eingewilligt haben. Weil dies heute meistens nicht der Fall ist, ist es ratsam, die Eingabe personenbezogener Daten in KI-Tools grundsätzlich zu untersagen.
4. Eingabe vertraulicher Geschäftsinformationen bei ChatGPT verbieten
   OpenAI als Anbieter von ChatGPT lässt sich über die Nutzungsbedingungen zumindest der kostenlosen Version das Recht einräumen, die Eingaben (Prompts) zu nutzen, um den Dienst weiter zu verbessern. Das heißt: Alles, was bei ChatGPT eingegeben wird, erweitert den großen Datenpool. Vertrauliche Informationen und Dokumente, insbesondere wenn in ihnen Betriebs- und Geschäftsgeheimnisse festgehalten sind, sollten bei ChatGPT deshalb keinesfalls eingegeben werden.
5. Resultate zwingend prüfen, bevor sie genutzt werden
   Nicht allen Mitarbeitern ist bereits klar, wie ChatGPT funktioniert. Daher ist es wesentlich, die Funktionsweise der KI zumindest kurz und allgemeinverständlich zu erklären und auch darauf hinzuweisen, welche „Ungenauigkeiten“ aus ChatGPT resultieren können. Mitarbeiter sollten zudem angewiesen werden, die Ausgaben auf Richtigkeit und Vollständigkeit zu prüfen, bevor sie sie verwenden, beispielsweise eine Kundenanfrage damit beantworten. 
6. Nutzungsbedingungen der Anbieter beachten
   OpenAI beschreibt in den Nutzungsbedingungen (Terms of Use) und den Nutzungsrichtlinien (Usage Policies) für ChatGPT, wie der Dienst genutzt werden darf, und welche Einsatzzwecke und Eingaben verboten sind. Mitarbeiter sollten dazu angehalten werden, diese Nutzungsbedingungen zu beachten. 
7. Keine Rechte Dritter verletzten
   Gerade generative KI-Systeme wie Text- und Bildgeneratoren bergen das Risiko, dass sie Urheber- und Markenrechte oder das Recht am eigenen Bild Dritter verletzten. Eine unternehmensinterne KI-Richtlinie gibt daher möglichst genaue Hinweise darauf, wie beispielsweise Quellen überprüft werden müssen oder welche Tools bei der Prüfung helfen können (z.B. Copyscape oder Grammarly).
8. Transparenzpflichten beachten
   Sobald die europäische KI-Verordnung Gültigkeit erlangt, werden zusätzliche Transparenzpflichten zu beachten sein. Im aktuellen Entwurf der KI- Verordnung ist dazu beispielsweise vorgesehen, dass die Anbieter bzw. Nutzer von KI-Systemen es angeben müssen, wenn eine natürliche Person mit einem KI-System kommuniziert und wenn Inhalte mittels einer Künstlichen Intelligenz erstellt oder bearbeitet worden sind.

Kurz zusammengefasst 

Der ungesteuerte Einsatz von ChatGPT und anderen generativen KI-Systemen ist mit einigen auch rechtlichen Risiken verbunden. Unternehmen sollten aktiv prüfen und entscheiden, welche KI-Systeme für welche Zwecke sinnvoll sein können und entsprechend von den Mitarbeitern genutzt werden sollen. Auf den Einsatz von KI-Systemen dauerhaft zu verzichten und sie pauschal zu verbieten, wird für die meisten Unternehmen keine Option sein, weil die Zahl der Tools und der Einsatzszenarien ebenso wie die „Ergebnisqualität“ rasant steigt. Unternehmensinterne Richtlinien helfen, rechtliche Risiken beim Einsatz von KI-Systemen zu vermeiden.