Allgemeine Rechtsfragen im Umgang mit generativer KI

Fragen des Urheberrechts und der Verwendung von KI-generierten Materialien sind der wahrscheinlich wichtigste Aspekt bei der Nutzung von generativen KI-Diensten an Hochschulen. Wesentliche Leitfragen sind nachfolgend vorgestellt und entsprechend dem aktuellen Kenntnisstand beantwortet.

Unabhängig von konkreten Rechtsfragen erfordert die Verwendung von generativen KI-Diensten eine bewusste Nutzung und verantwortungsbewusste Praktiken.

Dazu gehören:

1. Rechtskonforme Verwendung von Quellen: Stellen Sie sicher, dass Sie die entsprechenden Rechte oder Lizenzen zur Nutzung des betreffenden Inhalts haben, bevor sie diesen als Input in den KI-Dienst eingeben .
2. Einhaltung von Nutzungsbedingungen: Stellen Sie sicher, dass Sie die Nutzungsbedingungen des Anbieters des jeweiligen KI-Dienstes verstehen und einhalten. Bei GPT sind dies insbesondere die Nutzungsbedingungen für den Dienst .
3. Rechtliche Beratung: Wenn Sie Zweifel haben, ob eine bestimmte Verwendung eines KI-Dienstes das Urheberrecht oder andere Rechtsgebiete verletzen könnte, wenden Sie sich gerne an die zuständigen Einrichtungen der Hochschule. Kontaktinformationen sind im Infokasten am Beginn dieses Dokuments verlinkt.

Kurzbewertung: Bei der Frage des Urheberrechtsschutzes für Trainingsdaten von KI-Diensten legt das deutsche Recht die Vorschriften des Gesetzes über Urheberrecht und verwandte Schutzrechte an, kurz UrhG. Umfassende Rechtsklärungen zur rechtmäßigen Verwendung von Trainingsdaten für KI-Dienste und den möglichen Implikationen für die Nutzenden der Dienste stehen noch aus. Bis einschlägige Gerichtsurteile oder Rahmenvorschriften vorliegen, kann aber davon ausgegangen werden, dass die Nutzung generativer KI-Dienste nicht grundsätzlich gegen Vorschriften des UrhG verstößt. Weitere Informationen werden nachfolgend gegeben.

Weitere Informationen: Zunächst basiert jeglicher Output, den generative KI-Dienste liefern, auf dem vorherigen Training mit einem gegebenen Korpus von Daten. Hierbei ist das Vorliegen von Rechtsverletzungen bei der Nutzung der im Korpus enthaltenen Daten durch die Hersteller der KI-Dienste nur im Einzelfall zu klären. Für daraus begründete Rechtsverletzungen auf Seiten der Nutzenden gilt dasselbe. Um trotzdem eine Orientierung zu geben, wird nachfolgend der KI-Dienst „ChatGPT“ als Beispiel verwendet, das durch das Unternehmen OpenAI LP angeboten wird, im Folgenden „OpenAI“ genannt.

Der Dienst GPT  ist in seiner aktuellen Implementierung eine für die Hochschule adaptierte Version von ChatGPT der Firma OpenAI LP, das als Microsoft Azure OpenAI Service angeboten wird. Alle für das Training von ChatGPT verfügbaren Informationen gelten deshalb auch für den hochschuleigenen KI-Dienst.

Nach Angaben von OpenAI hat das Training des KI-Dienstes ausschließlich mithilfe öffentlich zugänglicher Texte aus dem Internet stattgefunden. OpenAI hat nicht spezifiziert, welche Dokumente in den Trainingsdaten enthalten sein sollten. Die automatisierten Trainingsprozesse von ChatGPT haben “alles gelesen, auf das sie zugreifen konnten”. Dies beinhalte nach Angabe von OpenAI eine große Bandbreite an Texttypen aus verschiedensten Bereichen, darunter Bücher, Journale, Blogs, Foren, beliebige Webseiten und andere schriftliche Materialien. ChatGPT sei dabei nicht in der Lage gewesen, auf geschützte Datenbanken, Abonnementdienste oder vertrauliche Informationen zuzugreifen .

OpenAI habe nach eigenen Aussagen keine Informationen über die spezifischen Texte gespeichert, die ChatGPT während des Trainings gesehen hat. Stattdessen habe das Modell gelernt, Muster in den Daten zu erkennen und auf Grundlage dieser Muster neue Texte zu generieren. ChatGPT habe deshalb keinen Zugang zu oder Wissen über spezifische Dokumente, Bücher, akademische Arbeiten oder andere konkrete Quellen, die es während des Trainings verarbeitet hat .

Aufgrund des von OpenAI gewählten Vorgehens kann also nicht mit Sicherheit nachvollzogen werden, ob für das Training von ChatGPT vereinzelt urheberrechtlich geschütztes Material genutzt worden ist. Die Herstellerfirma OpenAI hält Aussagen über Urheberrechtsklärungen bei den Trainingsdaten entsprechend vage, sichert aber zu, dass sie nach Möglichkeit Texte verwendet hat, die entweder gemeinfrei sind oder für die eine Rechtsklärung stattgefunden hat oder deren Verwendung unter das US-amerikanische “fair use” Prinzip fällt.

Das deutsche Recht kennt solche „fair use“ Prinzipien nicht, sondern legt die Vorschriften des UrhG an. Hier ist der Zugriff auf urheberrechtlich geschützte Inhalte für Zwecke des Text und Data Mining zulässig, solange die verwendeten Werke rechtskonform zugänglich sind (§ 44b Abs. 1 UrhG). Eine Reihe von Urhebern und darunter auch große Wissenschaftsverlagen untersagen in ihren Nutzungsbedingungen allerdings die Verwendung der herausgegebenen Werke als Grundlage für Data Mining und KI-Training. Welche Rechtsfolge sich daraus für das Training von KI-Diensten ergeben, ist derzeit noch ungeklärt.

Gemäß UrhG müssen die Trainingsdaten gelöscht werden, sobald sie nicht mehr erforderlich sind. Nicht mehr erforderlich sind Trainingsdaten, wenn die Datenanalyse beendet ist und die Verwendung der Ergebnisse der Datenanalyse begonnen hat. In einem noch offenen Verhältnis zu diesem Löschungserfordernis steht die Festlegung des EU Artificial Intelligence Act , dass Behörden jederzeit uneingeschränkten Zugang zu sämtlichen von den Anbietern von KI-Diensten genutzten Trainings-, Validierungs- und Testdatensätzen haben müssen (Art. 64 Abs. 1 EU AI Act). Dies setzt eine sorgfältige und persistente Archivierung aller genutzten Daten voraus.

Kurzbewertung: In Deutschland werden Fragen der Urheberschaft für KI-generierte Medien durch das Gesetz über Urheberrecht (UrhG) geregelt, das hier eine eindeutige Position einnimmt. Damit der Output eines KI-Dienstes überhaupt urheberrechtlich geschützt sein kann, muss es sich um ein Werk handeln. Als Werke sind im Sinne des § 2 Abs. 2 UrhG persönliche geistige Schöpfungen definiert, die eine hinreichende Schöpfungshöhe aufweisen. Dies impliziert nach geltender Rechtsauffassung, dass eine Werkschöpfung nur durch menschliches Schaffen entstehen kann. KI-Dienste sind keine Menschen und deshalb kann ihr generierter Inhalt keine persönliche geistliche Schöpfung sein. Damit ist das Vorliegen eines Werks im Sinne des UrhG ausgeschlossen und das deutsche Urheberrecht greift für durch KI-Dienste generierte Outputs zunächst nicht.

Weitere Informationen: Dennoch gibt es wesentliche Konstellationen, in denen sehr wohl Urheberrechte am Output eines KI-Dienstes vorliegen können. Auch stellen sich bei der Verwertung von KI-generierten Medien Fragen, die über das Urheberrecht hinausgehen. Mehr Informationen liefern die folgenden beiden Abschnitte.

Abschnitt 3.2.1 widmet sich den Fällen, bei denen die KI ohne das Zutun der Nutzenden eine Ausgabe erzeugt, die urheberrechtlich geschütztes Material enthält. Abschnitt 3.2.2 erläutert Fälle, bei denen Urheberrechtsverletzungen dadurch entstehen, dass die Nutzenden selbst geschützte Werke in den KI-Dienst eingeben und damit auch die Ausgabe urheberrechtlich geschütztes Material enthält.

Obwohl KI-Dienste kein Urheberrecht an den von ihnen erzeugten Medien haben, können sehr wohl Urheberrechte an den Ausgaben eines KI-Dienstes bestehen, unter anderem in den nachstehend beschriebenen Konstellationen. Weil in zwei der drei dargestellten Fälle die Urheberrechte Dritter verletzt werden können, ist hier besondere Sorgfalt geboten.

1. Direkte Kopien bestehender Werke: Das grundlegende technische Funktionsprinzip generativer KI-Dienste stellt sicher, dass keine direkten Kopien oder „Abschriften“ existierender Werke erzeugt werden konnten. Dies ändert sich durch die Fähigkeit moderner KI-Dienste, die bei der Generierung ihrer Antworten eine Internetrecherche durchführen oder auf eigene Wissensdatenbanken zugreifen können. In diesem Fall können in beliebigem Umfang direkte Zitate und Kopien von urheberrechtlich geschützten Werken im Output des KI-Dienst enthalten sein, deren weitere Verwendung dann dem deutschen Urheberrecht unterfällt.
2. Zufällige Ähnlichkeiten: Der Output kann durch bloßen Zufall ein bereits bestehendes Werk sein, wenn der KI-Dienst „unbeabsichtigt“ einen Inhalt generiert, der sehr ähnlich oder identisch zu urheberrechtlich geschütztem Material ist. Dabei unterscheidet sich der KI-Dienst nicht von menschlichen Autorinnen und Autoren. Potenziell ist die Wahrscheinlichkeit einer unbeabsichtigten Reproduktion bei Menschen sogar höher als bei KI-Diensten, da einmal gelesene Passagen durchaus wörtlich im menschlichen Gedächtnis gespeichert bleiben.

Bei den zufälligen Ähnlichkeiten stellt sich naturgemäß die Frage: Wie ähnlich ist zu ähnlich? Nach Rechtsprechung des Europäischen Gerichtshofs (EuGH) können bereits elf aufeinander folgende Worte eine geistige Schöpfung darstellen (EuGH GRUR 2009, 1041 Rn. 48 – Infopaq). Hier läge dann eine Vervielfältigung vor (§ 16 UrhG). Käme es im Anschluss zu einer Publikation des Textes, beispielsweise als Teil einer Internetseite, wäre dies erschwerend eine öffentliche Zugänglichmachung (§ 19a UrhG). Hat der Rechteinhaber kein Einverständnis gegeben, liegt folglich ein Urheberrechtsverstoß vor. Für Nutzende bedeutet dies, dass sie Maßnahmen ergreifen sollten, um eine durch reine Koinzidenz entstandene Verletzung von Urheberrechten zu vermeiden (dazu Frage 3.6).

1. Urheberschaft durch die Nutzenden selbst: Wenn die vorgenannten Fälle nicht vorliegen, können die Nutzenden durchaus auch selbst die Urheberschaft auf den Output eines KI-Dienstes beanspruchen. Davon ist auszugehen, wenn die Herstellung des Inputs originär durch die Nutzenden erfolgt ist und dabei eine hinreichende Schöpfungshöhe erreicht hat. In solchen Fällen ist bereits der Input als Werk im Sinne des § 2 Abs. 2 UrhG aufzufassen. Damit liegt auch das Urheberrecht am Output bei den Nutzenden, weil der Output lediglich eine technische Verarbeitung des Inputs darstellt. Pointiert formuliert: Wer schlau genug promptet, kann Urheberin bzw. Urheber des Outputs werden.

Übrigens schützt das Urheberrecht bestimmte Kunstformen sowie Technologien in besonderer Weise. Handelt es sich um (i) die Verfilmung eines Werkes, (ii) die Ausführung von Plänen und Entwürfen eines Werkes der bildenden Künste, (iii) den Nachbau eines Werkes der Baukunst oder (iv) die Bearbeitung oder Umgestaltung eines Datenbankwerkes, so bedarf bereits das Herstellen der Bearbeitung oder Umgestaltung der Zustimmung des Urhebers (§ 23 Abs. 2 UrhG). Auch hier sind die Grenzen zwischen Kunst und Wissenschaft fließend und bedürfen der Klärung im Einzelfall.

Der Output kann deshalb ein Werk sein, weil bereits der Input urheberrechtlich geschützt war. Wird ein urheberrechtlich geschütztes Werk oder Teile daraus als Prompt in einen KI-Dienst eingegeben, handelt es sich um eine Vervielfältigung vor (§ 16 UrhG). Haben Nutzende kein entsprechendes Nutzungsrecht für das Werk erworben, kann diese Vervielfältigung eine Rechtsverletzung darstellen.

Dies ist der Fall, wenn es Rechte Dritter am Input gibt. Ein typisches Beispiel ist das Einkopieren von Textpassagen aus einem vorbestehenden Werk mit dem Zweck, dieses Werk durch den KI-Dienst verändern zu lassen, z.B. indem es übersetzt, zusammengefasst oder gekürzt wird. Hier liegt grundsätzlich eine Bearbeitung oder Umgestaltung des Werks vor (§ 23 Abs. 1 Satz 1 UrhG). Die Verwertung des bearbeiteten oder umgestalteten Werks erfordert die Zustimmung des Urhebers. Im direkt folgenden Satz schränkt das UrhG aber ein, dass eine solche zustimmungspflichtige Verwertung nicht mehr vorliegt, wenn das neu geschaffene Werk einen hinreichenden Abstand zum benutzten Werk hat. Ein hinreichender Abstand kann bestehen, wenn das ältere Werk als bloße Anregung für ein eigenständiges Werk dient, hinter dessen Individualität die Züge des fremden Werkes verblassen. Dann kann es sich um eine freie Benutzung des Werks handeln (§ 23 Abs. 1 Satz 2 UrhG), die aber nur im Einzelfall zu klären ist. Die freie Benutzung würde dann dazu führen, dass dem Urheber des fremden Werks an dem neuen Werk kein Urheberrecht zusteht.

Die Grenzen zwischen unfreier Bearbeitung oder Umgestaltung und freier Benutzung sind fließend. Bei einer reinen Übersetzung ist von freier Benutzung regelmäßig nicht auszugehen, bei einer stichwortartigen Zusammenfassung des vorbestehenden Werks hingegen schon eher. Im Zweifelsfall wird dringend empfohlen, die zuständigen Einrichtungen der Hochschule zu konsultieren. Kontaktinformationen sind im Infokasten am Beginn dieses Dokuments verlinkt.

Ausnahmen vom Zustimmungserfordernis der Urheberin bzw. des Urhebers können bestehen, wenn die Voraussetzungen der Zitierfreiheit erfüllt sind (§ 51 UrhG) oder wenn die Ausgaben des KI-Dienstes unter die Erlaubnisse zugunsten von Unterricht und Lehre bzw. den darin verwendeten Medien oder von wissenschaftlicher Forschung einschließlich Text und Data Mining fallen (§ 60a-d UrhG). Weitere Informationen liefern die Informationsangebot der Hochschule zur Guten Wissenschaftlichen Praxis und zur Wissenschaftlichen Integrität.

Eine weitere Ausnahme kann die vorübergehende oder flüchtige Vervielfältigung sein, die als wesentlicher Teil eines technischen Verfahrens geschehen muss, um eine Übertragung eines Werkes oder sonstigen Schutzgegenstands überhaupt zu ermöglichen (§ 44a DS-GVO). Wird also das hochgeladene Werk nach der Verarbeitung durch den KI-Dienst umgehend wieder gelöscht und handelt es sich bei der Verarbeitung zudem um eine freie Benutzung (s.o.), ist eine solche Verwendung rechtskonform. Die umgehende Löschung kann aber bei extern bereitgestellten KI-Diensten regelmäßig nicht gewährleistet werden. Im Gegenteil behalten sich viele Anbieter solcher Dienste vor, hochgeladene Daten für ein späteres Training weiterzuverwenden.

Es existieren weitere Schranken, die eine überdauernde Vervielfältigung auch bei urheberrechtlich geschütztem Material rechtskonform ermöglichen, z.B. für Menschen mit Behinderungen oder zum Zwecke des Text und Data Mining. Diese dürften aber bei vielen Nutzungszwecken im Hochschulkontext nicht greifen, so dass eine originalgetreue und nicht-flüchtige Verwendung eines geschützten Werks oder Werkteils als Input das Urheberrecht verletzt, sofern nicht das Recht zur Vervielfältigung des Werks oder Werkteils vorliegt.

Kurzbewertung: Derzeit existiert nur wenig Rechtsprechung zu dieser Frage. Gleichwohl lässt sich aus dem deutschen Urheberrecht eine Rechtsmeinung ableiten: Ein Stil ist nicht schutzfähig. Es spricht sehr viel dafür, dass es zulässig ist, mit einem KI-Dienst ein Werk zu erzeugen und zu veröffentlichen, das dem Stil existierender Künstlerinnen und Künstler oder Autorinnen und Autoren folgt.

Weitere Informationen: Nach deutschem Urheberrecht genießen Urheber vorbestehender Werke keine Schutzrechte, wenn ein KI-Dienst auf Grundlage eines Prompts Arbeiten in ihrem Stil erzeugt und diese weiterverwendet werden. Im Jahr 2021 hat der Gesetzgeber diese Position weiter gestärkt. Zulässige Nutzungen können auf die im Jahr 2021 in das deutsche Urheberrecht aufgenommenen Regelung zur Karikatur, Parodie und Pastiche gestützt sein (§ 51a UrhG). Dort wird eine Vervielfältigung zum Zwecke der Nachahmung eines Stils oder einer Idee erlaubt, auch wenn das vorbestehende Werk selbst durch ein Urheberrecht oder ein verwandtes Schutzrecht geschützt ist. Ähnlich wie im Zitatrecht muss dabei aber eine inhaltliche oder künstlerische Auseinandersetzung mit dem vorbestehenden Werk stattfinden.

Hier sind aber die Grenzen zur Reproduktion eines urheberrechtlich geschützten Werks fließend. Durch entsprechende Prompts kann ein KI-Dienst einen Output erzeugen, der beliebig nahe an bekannten und urheberrechtlich geschützten Werken ist. Entsprechend fiele die Bewertung anders aus, wenn der Output eine perfekte Kopie oder allenfalls eine geringfügige Abwandlung eines Originals ergeben und diese verwendet würde.

Kurzbewertung: Das Hochladen von Personenfotos, Videos, Audioaufzeichnungen oder die Eingabe sensibler Daten oder Informationen über Personen mit ausführlichen biografischen Angaben, die nicht ohnehin schon rechtmäßig öffentlich verfügbar gemacht sind, ist ohne Einwilligung der betroffenen Personen unzulässig.

Weitere Informationen: Eine konkrete Definition personenbezogener Daten findet sich in der Datenschutzgrundverordnung (DS-GVO). Die DS-GVO unterscheidet zwischen zwei Kategorien, deren Benennung nicht ganz eindeutig ist. Zum einen gibt es die personenbezogenen Daten (Art. 4 Abs. 1 DS-GVO), zum anderen die besonderen personenbezogenen Daten (Art. 9 Abs. 1 DS-GVO), für die noch einmal strengere Schutzanforderungen existieren als für die personenbezogenen Daten.

Zu den personenbezogenen Daten (Art. 4 Abs. 1 DS-GVO) gehören unter anderem:

• Klarname
• Kontaktdaten, Privatanschrift oder Standortdaten
• E-Mail-Adresse
• Staatsangehörigkeit
• Alter
• Familienstand
• IP-Adresse oder Cookie-Kennungen
• Foto-, Audio- oder Videoaufnahmen

Zu den besonderen personenbezogenen Daten (Art. 9 Abs. 1 DS-GVO) zählen unter anderem:

• Ethnische Herkunft
• Politische Meinungen
• Religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person
• Gesundheitsdaten
• Daten zum Sexualleben oder der sexuellen Orientierung .

Der Schutz personenbezogener Informationen begründet sich dabei nicht erst aus der DS-GVO. Er findet seinen Ursprung in Art. 8 Abs. 1 der Europäischen Menschenrechtskonvention, der das Recht auf Achtung des Privat- und Familienlebens verbrieft. Die deutsche Verfassung definiert zusätzlich das so genannte allgemeinen Persönlichkeitsrecht, das sich aus der Würde des Menschen (Art. 1 Abs. 1 GG) und der Freiheit der Entfaltung der Persönlichkeit (Art. 2 Abs. 1 GG) ableitet. Hieraus ergibt sich das dann das Recht auf informationelle Selbstbestimmung, das den Schutz der Persönlichkeit einer Person garantiert. Es stellt das Recht jedes Einzelnen dar, selbstständig über die Preisgabe oder die Verwendung eigener personenbezogener Daten zu bestimmen, das die Grundlage für die Gesamtheit der Datenschutz-Grundverordnung (DS-GVO) bildet. Die intensive und wiederholte Absicherung dieses Rechts im europäischen und im deutschen Rechtsraum unterstreicht dessen fundamentale Bedeutung für die freie Entfaltung der Persönlichkeit und die individuelle Freiheit – und die Tragweite des Verstoßes gegen eben diese.

Sollen nun ein Foto, eine Video- bzw. Audioaufzeichnung oder biografische Daten einer dritten Person als Input für einen KI-Dienst verwendet werden, muss die betroffene Person der Verwendung zustimmen, sofern diese Daten nicht ohnehin frei und öffentlich verfügbar sind. Liegt die Zustimmung der Person nicht vor, kann zum einen das Recht am eigenen Wort verletzt sein, das sich als Sonderfall des Rechts auf informationelle Selbstbestimmung ergibt, und zum anderen das Recht am eigenen Bild, für das das Kunsturheberrechtsgesetz sogar eine eigene Einzelnorm definiert (§ 22 KunstUrhG).

Nur in Einzelfällen können Ausnahmevorschriften greifen, die etwa an verschiedenen Stellen im Kunsturhebergesetz (KunstUrhG) und in der Datenschutzgrundverordnung (DS-GVO) festgelegt sind. Eine Ausnahme kann vorliegen bei Bildnissen oder Videoaufzeichnungen, in denen Personen eher als Beiwerk vorkommen. Ebenso sind Dokumente der Zeitgeschichte oft ausgenommen, z.B. Videoaufzeichnungen von bekannten Künstlern/innen im Rahmen von Auftritten oder bei Fotos von Amtsträgern/innen bei der Wahrnehmung ihrer Dienstgeschäfte.

Bei der Verfassung von Prompts sind sämtliche personenbezogenen und besonderen personenbezogenen Daten aus den Prompts zu entfernen oder geeignet zu anonymisieren. Eine bloße Pseudonymisierung ist an der Hochschule nicht zulässig, da pseudonyme Daten die Rückführbarkeit auf die dahinterstehende Person wieder erlauben und damit wieder den Regelungen der DS-GVO unterfallen.

Kurzbewertung: KI-Dienste dürfen an der Hochschule nicht dazu genutzt werden, undeklarierte Fälschungen anzufertigen. Zudem dürfen KI-Dienste nicht zur Nachahmung anderer Menschen oder ihrer Merkmale wie etwa der Stimme oder biometrischer Daten verwendet werden.

Weitere Informationen: KI-Dienste können technisch dazu verwendet werden, existierende Personen oder Merkmale (z.B. die Stimme oder eine Unterschrift) zu imitieren. Derzeit existiert nur wenig geltende Rechtsprechung, aber es spricht vieles dafür, dass bislang bekannt gewordene Fälle wie etwa das KI-generierte Foto von Papst Franziskus in einer weißen Daunenjacke sowie das von ChatGPT erzeugte Interview mit dem früheren Rennfahrer Michael Schumacher weitgehend im Bereich der Freiheit der Kunst im Sinne von Art. 5 Abs. 3 Satz 1 GG liegen und damit als zulässig zu bewerten sind.

Gleichwohl kann der Output eines KI-Dienstes durch die Nutzenden zu Zwecken genutzt werden, die nahezu beliebige Rechtsverstöße begründen. Zu den häufig diskutierten Tatbeständen gehört hier die Fälschung in allen denkbaren zivil- und strafrechtlich relevanten Formen. So macht sich eine Person der falschen Verdächtigung nach § 164 StGB strafbar, indem sie bspw. einen Rechtsverstoß unter einem anderen Namen begeht. Auch eine Urkundenfälschung nach § 267 StGB oder eine Fälschung technischer Aufzeichnungen nach § 268 StGB kommen neben vielen anderen Rechtsvergehen für die missbräuchliche Verwendung von KI-Ausgaben in Betracht.

Kurzbewertung: Die Hochschule hat bei der Bereitstellung des KI-Dienstes GPT streng auf den Datenschutz ihrer Angehörigen im Rahmen der Nutzung geachtet und eine Minimierung der bei Registrierung und Login übertragenen personenbezogenen Daten angestrebt. Die konkret übertragenen personenbezogenen Daten sind der Datenschutzerklärung für den Dienst zu entnehmen.

Weitere Informationen: Beim Datenschutz im Umgang mit KI-Diensten ist zu unterscheiden zwischen Diensten, die von der Hochschule selbst bereitgestellt werden, und solchen, die extern beschafft werden sollen. Informationen zu externen KI-Diensten finden sich in der Antwort zu Frage 5.2.

Bei Diensten, die von der Hochschule bereitgestellt werden, entstehen zwei Kategorien von Daten. Zum einen sind dies die bei der Registrierung bzw. beim Login übertragenen personenbezogenen Daten der Nutzenden. Zum anderen sind dies die Daten, die durch die Nutzenden selbst als Teil von Eingaben an den KI-Dienst übertragen werden.

Zum Schutz bei der Verarbeitung der Eingaben an den KI-Dienst enthalten die Nutzungsbedingungen für den Dienst Vorschriften zum Umgang mit personenbezogenen Daten als Teil von Prompts. Wir empfehlen mit Nachdruck, diese Nutzungsbedingungen aufmerksam zur Kenntnis zu nehmen. Teil der Nutzungsbedingungen ist unter anderem der Hinweis, die Nutzung der KI-Dienste von außerhalb der IT-Netze der Hochschule nur über eine aktive Hochschule VPN-Verbindung zu betreiben. Hilfestellungen dazu finden sich auf den Hilfeseiten. Weitere Informationen zur Datenverarbeitung bzw. zum Datenschutz finden sich zudem im Verzeichnis der Verarbeitungstätigkeit sowie in der Datenschutzfolgeabschätzung für den Dienst.

Kurzbewertung: Sollen externe KI-Dienste eingesetzt oder beschafft werden, erfordert dies eine Datenschutzklärung mit besonderer Beachtung des Transparenzgebots, der Zweckbindung und der Datenminimierung nach Art. 5 DS-GVO, c) eine Datenschutzfolgeabschätzung sowie d) weitere Rechtsklärungen, darunter (i) das Vorliegen einer Auftragsdatenverarbeitung oder einer darüberhinausgehenden gemeinsamen Verantwortlichkeit, (ii) die Transparenz der Betroffeneninformation sowie (iii) die Transparenz der Speicher- und Löschfristen. Sollen Dienste für Mitarbeitende der Hochschule eingesetzt werden, ist deren Einsatz regelmäßig mitbestimmungspflichtig. Bitte nehmen Sie zur Beschaffung externer Dienste deshalb unbedingt Kontakt mit den zuständigen Fachabteilungen auf.

Weitere Informationen: Werden KI-Dienste genutzt, die nicht von der Hochschule bereitgestellt werden, wären Fragen des Datenschutzes nur im Einzelfall zu beantworten. Zu den Erwägungsgründen zählen die folgenden Aspekte.

Art und Umfang der übermittelten Daten variieren erheblich je nach KI-Dienst und hängen in vielen Fällen auch davon ab, ob die Grundversion ohne Kosten oder die kostenpflichtige Version verwendet wird. Bei der Registrierung für die kostenfreie Nutzung bestimmter Dienste werden meist E-Mail-Adresse oder sogar die Mobilnummer des Nutzers erfasst, während für die Bezahlversion zusätzliche Informationen, einschließlich Zahlungsinformationen, angefordert werden. Zusätzlich zu den Registrierungs- und Anmeldedaten werden Logfiles, die während der Nutzung des Dienstes gespeichert werden, sowie die Inhalte der vom Nutzer abgeschickten Inputs (z.B. Daten, Texte, Bilder) verarbeitet. Die eingegebenen Medien können von den Anbietern für die Weiterentwicklung ihrer Dienste und zu Sicherheitszwecken verwendet werden. In den Nutzungsbedingungen einiger Anbieter gibt es zudem Unterscheidungen hinsichtlich der Datenverarbeitung, je nachdem ob eine dedizierte Weboberfläche oder eine Programmierschnittstelle (API) für Inputs verwendet wird. Für weitere Informationen zur Datenverarbeitung sind deshalb die Datenschutzrichtlinien des entsprechenden Dienstes zu konsultieren.

Kurzbewertung: Personenbezogene Daten sind gemäß Datenschutzgrundverordnung „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (…) beziehen“ (Art. 4 DS-GVO). Eine Weitergabe personenbezogener Daten Dritter und damit auch deren Übertragung an einen KI-Dienst ist ohne Zustimmung  der betroffenen Personen regelmäßig nicht zulässig (Art. 5 Abs. 1 lit. a DS-GVO).

Weitere Informationen: Die maßgebliche Definition personenbezogener Daten im Rahmen der Datenschutzgrundverordnung (DS-GVO) findet sich ausführlich in der Antwort zu Frage 4.2 dargestellt. Bei der Verfassung von Prompts sind sämtliche personenbezogenen Daten anderer Personen aus den Prompts zu entfernen oder geeignet zu anonymisieren. Eine bloße Pseudonymisierung ist an der Hochschule nicht zulässig, da pseudonyme Daten die Rückführbarkeit auf die dahinterstehende Person wieder erlauben und damit wieder den Regelungen der DS-GVO unterfallen.

Für die Nutzung von KI-Diensten, die von der Hochschule bereitgestellt werden, sind unbedingt die jeweiligen Nutzungsbedingungen zu beachten, z.B. die Nutzungsbedingungen für den Dienst.

Darüber hinaus muss bei der Nutzung von KI-Diensten sorgfältig auf die Einhaltung des deutschen Urheberrechts, des Datenschutzes, des Prüfungsrechts, der Persönlichkeitsrechte und weiterer Vorgaben wie etwa Bestimmungen zur Vertraulichkeit geachtet werden. Eine gute Orientierung liefert die Checkliste zum rechtskonformen Umgang mit KI-Diensten.

Kurzbewertung: Es spricht nichts dagegen, KI-Dienste zur Erledigung von Dienstaufgaben zu verwenden, wenn sorgfältig auf die Einhaltung des deutschen Urheberrechts, des Datenschutzes, des Prüfungsrechts, der Persönlichkeitsrechte und weiterer Vorgaben wie etwa Bestimmungen zur Vertraulichkeit sowie auf die sachrichtige Prüfung jeden Outputs geachtet wird.

Weitere Informationen: Konkrete Vorgaben für die Verwendung von KI-Diensten im dienstlichen Kontext sind zum Beispiel in den Nutzungsbedingungen für den Dienst aufgeführt. Zudem stellt die Hochschule zur einfachen Orientierung eine Checkliste für den rechtskonformen Umgang mit KI-Diensten bereit.

Sobald arbeitsrechtliche Entscheidungen mithilfe von KI-Diensten getroffen werden sollen, kommt das Vorliegen einer automatisierten Entscheidung im Einzelfall in Betracht. Nach Art. 22 Abs. 1 DS-GVO ist eine auf ausschließlich automatisierter Verarbeitung beruhende Entscheidung unzulässig, wenn sie gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Deshalb darf eine Entscheidungsfindung zwar durch KI-Dienste unterstützt werden, aber die Letztentscheidungskompetenz muss bei einer natürlichen Person liegen.

Der EuGH hat die Rechte der Betroffenen noch weiter gestärkt und festgelegt, dass die automatische Verarbeitung das letztliche Urteil einer natürlichen Person nicht maßgeblich vorbestimmen darf (Verfahren C-634/21 EuGH). Aktuell wird dieses Urteil so verstanden, dass die urteilende Person auch ohne die Beteiligung des KI-Dienstes zu einem vergleichbaren Urteil hätte kommen müssen, so dass der Beitrag der KI das Urteil nur unterstützt, aber nicht maßgeblich begründet hat. Es wird empfohlen, den Prozess der Urteilsfindung nachvollziehbar zu dokumentieren und insbesondere eine höchstenfalls begleitende Rolle von KI-Diensten klar darzustellen.

Kurzbewertung: Die Nutzung des Dienstes GPT kann dienstlich veranlasst werden. Eine entsprechende Anordnung kann durch weisungsbefugte Personen erfolgen.

Weitere Informationen: Detaillierte Informationen zur damit verbundenen Rechtsgrundlage der Datenverarbeitung liefert die Datenschutzerklärung für den Dienst. Dabei ist unbedingt zu beachten, dass die kompetente Bedienung von KI-Diensten eine gründliche Einarbeitung und den Aufbau von Erfahrungen zur Funktionsweise der Dienste erfordert. Dies geht deutlich über die bloße Sicherstellung hinaus, dass Mitarbeitende die Nutzungsbedingungen des Dienstes verstanden haben und nicht z.B. urheberrechtlich geschütztes Material oder personenbezogene Daten Dritter eingeben. Den Mitarbeitenden ist deshalb im Rahmen ihrer Dienstzeit die Gelegenheit für Fort- und Weiterbildung im Bereich der genutzten Dienste zu geben. Verwenden Sie dafür gerne die von der Hochschule bereitgestellten Angebote.

Zunächst sind Informationen über die zulässige Verwendung von KI-Diensten den Nutzungsbedingungen des jeweiligen Dienstes zu entnehmen. An der Hochschule sind dies unter anderem die Nutzungsbedingungen für den Dienst. Weitergehende Fragen der Haftung sind immer nur im Einzelfall zu klären.

Grundsätzlich sind die Nutzenden zur gebotenen Umsicht und Sorgfalt bei der Nutzung KI-generierter Inhalte angehalten. Rechtlich bindende Vorschriften existieren mit Ausnahme des EU Artificial Intelligence Act derzeit noch nicht. Verschiedene Akteure des deutschen Wissenschaftssystems haben sich aber positioniert und bieten Orientierungshilfen für den Umgang mit KI-Diensten im Wissenschaftsbereich an. Dazu gehören Veröffentlichungen wie:

• die Stellungnahme des Präsidiums der Deutschen Forschungsgemeinschaft (DFG) zum Einfluss generativer Modelle für die  Text- und Bilderstellung auf die Wissenschaften und das Förderhandeln der DFG,
• die Studie des Büros für Technikfolgenabschätzung beim Deutschen Bundestag zu Grundlagen, Anwendungspotenzialen und möglichen Auswirkungen von generativen KI-Diensten,
• die Studie zu didaktischen und rechtlichen Perspektiven auf KI-gestütztes Schreiben in der Hochschulbildung aus dem Projekt KI:edu.nrw.

Es wird dringend empfohlen, sich mit diesen Publikationen kritisch auseinanderzusetzen.

Informationen zu Rechtsfragen im Bereich von Studium und Lehre finden Sie in den Empfehlungen für den Umgang mit (generativer) KI in Studium und Lehre an der BUW.