Als im August neue Regeln des EU AI Act wirksam wurden, rief mich ein Kollege ziemlich aufgeregt an. Er wolle jetzt gar nichts mehr mit künstlicher Intelligenz machen, das sei ihm zu gefährlich. Ich musste ein wenig schmunzeln, konnte die Verunsicherung aber gut verstehen. Was Unternehmen mit KI tatsächlich dürfen und worauf sie achten sollten, darüber habe ich mit Martin Erlewein gesprochen. Wir kennen uns seit vielen Jahren aus Düsseldorf. Er ist Rechtsanwalt mit eigener Kanzlei, Fachanwalt für Steuerrecht und Fachanwalt für IT-Recht.
Vom Steuerrecht zum Recht der digitalen Welt
Martin Erlewein hat nach zwei juristischen Staatsexamen zusätzlich das Steuerberaterexamen abgelegt und war unter anderem in zwei MDAX-Unternehmen tätig, zeitweise auch als Geschäftsführer einer kleinen Einheit, die sich mit geistigem Eigentum beschäftigte. Mit der Datenschutz-Grundverordnung kam ein neues Thema hinzu. Alle hätten zwei Jahre Zeit gehabt, sich vorzubereiten, und als die Regeln 2018 galten, sei kaum jemand vorbereitet gewesen. Über den Datenschutz fand er seine Mandanten im Online-Marketing und im E-Commerce. Heute landet bei ihm alles, was mit Computern und Daten zu tun hat, vom Urheberrecht bis zum Markenrecht. Nebenbei steht er gelegentlich für Stand-up-Comedy auf der Bühne.
KI verändert mehr als nur die Arbeit
Bevor wir über Paragrafen gesprochen haben, hat Martin Erlewein eine grundsätzliche Einschätzung gegeben. Von Intelligenz zu sprechen, sei immer so eine Sache.
„Was KI auf jeden Fall kann, ist eine unglaublich überzeugende Art der Reproduktion.“
Weil KI alles aufnimmt, was Menschen an Kunst, Literatur und Wissen aufgezeichnet haben, entwertet sie aus seiner Sicht menschliche Arbeit. Die Folgen für den Arbeitsmarkt seien schon spürbar, und das sei erst der Anfang. Wenn Arbeitsplätze wegfallen, stelle sich auch die Frage nach den Sozialsystemen und nach der Demokratie. Den AI Act hält er vor diesem Hintergrund für einen ersten Aufschlag, der vieles nur anreißt.
Was der EU AI Act seit August verlangt
Zunächst hat Martin Erlewein ein Missverständnis aufgeklärt. Der AI Act ist bereits 2024 in Kraft getreten. Am 2. August wurden weitere Regeln wirksam, darunter Artikel 50, bei dem es um Transparenz geht. Der Gesetzgeber hat erkannt, dass KI vortäuschen kann, man habe es mit einem Menschen zu tun. Deepfakes in Ton, Bild und Video müssen deshalb gekennzeichnet werden. Er nannte ein Beispiel aus dem Radio: Ein Werbespot eines großen Lebensmitteldiscounters mit KI-Stimme läuft inzwischen mit dem Hinweis, dass er KI-generiert ist.
Für Texte, etwa Beiträge auf LinkedIn, ist die Lage differenzierter. Eine Kennzeichnung ist nach seiner Darstellung nötig, wenn KI-generierte Texte veröffentlicht werden und für die Öffentlichkeit von Interesse sind. Bei gewöhnlichen Werbetexten sei das meist nicht der Fall, bei Gesundheitsversprechen könne es anders aussehen. Das AI Office, eine Einheit der EU-Kommission, arbeitet gerade an Leitlinien, wo und wie gekennzeichnet werden muss. Erstellt ein Unternehmen seinen Newsletter mit KI und sind darin generierte Bilder enthalten, liegt die Kennzeichnungspflicht nach seiner Einschätzung beim Anbieter des Systems, und zwar maschinenlesbar. Unternehmen sollten aber prüfen, ob ihr Anbieter dieser Pflicht nachkommt. Der AI Act sieht Bußgelder vor, und Martin Erlewein hält es nicht für abwegig, dass Wettbewerber bei Verstößen auch abmahnen.
Der Datenschutz gilt weiter
Für viele Unternehmen ist aus seiner Sicht ohnehin nicht der AI Act das drängendste Thema, sondern der Datenschutz. Wer KI einsetzt, verarbeitet Daten und braucht dafür eine Einwilligung oder ein berechtigtes Interesse. Das typische Risiko beschreibt er so: Ein Mitarbeiter nutzt die kostenlose Version eines Chatbots, gibt personenbezogene Daten ein und hat nicht abgestellt, dass diese zum Training verwendet werden. Die Daten gehen in die USA, und dieses Handeln muss sich der Unternehmer unter Umständen zurechnen lassen. Deshalb müsse der Unternehmer festlegen, welche Werkzeuge seine Mitarbeiter verwenden dürfen. Der AI Act verlangt außerdem, dass Unternehmen bei ihren Mitarbeitern KI-Kompetenz aufbauen.
Sein Rat für die Praxis ist nüchtern. Zuerst sollte jedes Unternehmen erfassen, wo es überhaupt mit KI in Berührung kommt und mit welchen Daten es dabei umgeht. Auch große kostenpflichtige Systeme lassen sich nach seiner Aussage datenschutzkonform einbinden, etwa wenn ein Modell in Deutschland gehostet wird. Klare Vorgaben seien auch im Interesse der Mitarbeiter.
„Ich kenne genug Leute, die versuchen, anständig zu sein, und zwar rund um die Uhr. Und wenn die dann verunsichert sind, dann ist das auch nicht gut fürs Arbeitsklima.“
Bei den Kennzeichnungspflichten empfiehlt er vor allem eines: Ruhe bewahren.
Meine Einordnung
Ich gebe zu, dass ich lange anders gedacht habe. Mein Gefühl war, dass wir am Anfang eine Art Wilden Westen brauchen, um überhaupt zu lernen, was mit KI möglich ist. In meiner Beratung erlebe ich, wie Unternehmer Antworten aus einem Chatbot übernehmen, die oft nur ihre eigene Meinung spiegeln. Das gehört zum Lernen dazu. Wenn aber Forscher großer KI-Unternehmen selbst öffentlich vor der Entwicklung warnen, halte ich einen klaren Rahmen inzwischen für richtig. Was mich an dem Gespräch beruhigt hat: Für die meisten Mittelständler ist der AI Act kein Grund, die Finger von KI zu lassen. Wer weiß, wo er KI einsetzt, welche Daten er verarbeitet, und seinen Mitarbeitern klare Regeln gibt, ist schon sehr weit. Panik, wie bei meinem Kollegen im August, hilft niemandem.
Probleme gemeinsam lösen
Zum Schluss habe ich Martin Erlewein gefragt, wer er ohne Position und Namen ist. Er beschrieb sich als jemanden, der sich im Laufe seines Berufslebens stark verändert hat, hoffentlich zum Besseren, und der seinen Beruf mag, weil er gemeinsam mit anderen Probleme lösen darf. Und er ist Vater und ein kreativer Mensch. Ich bin sicher, dass wir das Thema in einer weiteren Folge vertiefen werden.
