1. Work smart, not hard…

Bob arbeitet in der Finanzabteilung eines KMU, bei welchem der Verwaltungsrat in seiner letzten Sitzung entschieden hat, neu einen zusätzlichen halbjährlichen Finanzabschluss zu erstellen. Dies stellt nicht nur Bob, sondern die ganze Finanzabteilung vor Ressourcenengpässe, stehen ja auch die Sommerferien vor der Tür und ein grosser Teil von Bob’s Arbeitskollegen hat bereits Ferien im August gebucht. Als die Erstellung des Halbjahresberichts ansteht, hat Bob grosse Schwierigkeiten den zusätzlichen Aufwand zu stemmen. Da kommt ihm eine Idee und so erstellt er an einem Homeoffice-Tag einen privaten KI-Account und lädt alle Finanzzahlen des KMU in das KI-Modell hoch. Dass die Finanzzahlen vertraulich sind und was mit diesen im Modell geschieht, hat er im Stress nicht wirklich überlegt. Schliesslich fordert er das Modell auf, den Halbjahresbericht zu erstellen, was in wenigen Minuten geschieht. Am nächsten Tag im Büro zeigt Bob seinen Arbeitskollegen den fertigen Halbjahresbericht, worauf diese nicht aus dem Staunen herauskommen und Bob fragen, wie er dies nur geschafft hat. Bob antwortet mit einem triumphierenden Lächeln: Work smart, not hard!

Das Vorgehen von Bob ist wohl kein Einzelfall und zeigt auch auf, wie hilfreich und zeitsparend der Einsatz von KI bei der Arbeit sein kann. Ein stark belasteter Arbeitnehmer unter Zeitdruck wird sich wohl rasch zu einem solchen Handeln hinreissen lassen. Jedoch zu welchem Preis für die Unternehmung? Diese setzt sich im einleitenden Beispiel verschiedenen rechtlichen und ethischen Gefahren aus, da mitunter ungewiss ist, wie sich das Hochladen der vertraulichen Finanzinformationen ins Modell auf die Unternehmung auswirken kann. Ohne eine geschützte Umgebung, auf welchem die KI arbeitet, werden die Inhalte vom Modell meist zu verschiedenen, auch ungewollten Zwecken, wie insbesondere dem weiteren Training des Modells verwendet. Die Vertraulichkeit der Finanzinformationen ist dabei nicht mehr gewährleistet und diese werden unkontrolliert der Öffentlichkeit preisgegeben. Rechtliche Risiken und der Abfluss von Geschäftsgeheimnissen sind vorprogrammiert.

2. Welche Rechtsbereiche sind zu beachten

Die Regulierung von künstlicher Intelligenz steht in der Schweiz noch am Anfang, erste Bestrebungen für generelle Regeln – ähnlich wie in der EU mit dem AI-Act – sind noch in Ausarbeitung und die Ansichten über sinnvolle Regeln gehen weit auseinander. Dabei stehen – wie auch in Unternehmen – oft die Interessen an einer beabsichtigten Innovation durch Einsatz von künstlicher Intelligenz in einem Spannungsfeld mit dem Schutz betroffener Personen vor ungewollten Auswirkungen (wie z.B. Ausgrenzung von gewissen Personen) oder auch den Interessen einzelner Rechteinhaber (beispielsweise Schutz von deren Urheberrechten).

Viele bestehende Regeln können aber bereits heute auf KI und deren Einsatz in Unternehmungen herangezogen werden. Dabei können verschiedene Rechtsbereiche betroffen sein. Je nach Anwendungsfall und Branche des Unternehmens sind unterschiedliche Schwerpunkte zu setzen und es sind sowohl geltendes Recht, künftige Regulierungen, wie auch ethische Standards zu beachten. Als wichtigste Rechtsbereiche können dabei die folgenden genannt werden:

• Datenschutzrechte: Bei der Verwendung von KI kann es zur Verarbeitung von personenbezogenen Daten durch das KI-Modell kommen und es sind die datenschutzrechtlichen Anforderungen an Rechtmässigkeit der Verarbeitung, Transparenz, Zweckbindung, Datensicherheit wie auch die Betroffenenrechte zu beachten. Bei Zuwiderhandlung drohen Datenschutzverletzungen wie auch mögliche Bussen. Bei der Anwendung von KI in einem Unternehmen sollte daher, wenn immer möglich und wo nicht zwingend notwendig darauf verzichtet werden, Personendaten an das Modell weiterzugeben. So reicht es für viele Nutzungen oft, wenn nur anonymisierte Informationen ins Modell geladen werden. Sollte dies nicht möglich sein, beispielsweise wenn gerade personenbezogene Auswertungen beabsichtigt sind, müssen die oben erwähnten datenschutzrechtlichen Vorgaben eingehalten werden. Dies setzt eine vorgängige und eingehende Analyse der beabsichtigten Verwendung der KI voraus, so dass Regeln in Bezug auf den sicheren Umgang mit dem Datenschutz definiert werden können.
   
• Geschützte Inhalte / Urheberrechte: Das Hochladen von geschützten Inhalten wie vor allem urheberrechtlichen Werken (Texte, Bilder, Musik, etc.) ins Modell, wie auch die Nutzung von Trainingsdaten und Outputs des Modells hat stets unter Einhaltung allfällig bestehender Drittrechte zu geschehen. Wenn für die Erzeugung von Arbeitsergebnissen geschützte Inhalte in ein KI-Modell hochgeladen werden, ist sich vorab immer zu fragen, ob man hierzu auch die erforderlichen Rechte hat. Weiter bestehen Schutzrechte an von der KI generierten Werken oft nicht und es ist diesbezüglich unklar, wem die Rechte an dem Output der KI zustehen. Dabei gilt es mithin zu differenzieren, welche Informationen hochgeladen und wie gross der Input des Menschen zur Generierung eines neuen Werkes sind. Beim Einsatz von KI für die Generierung von Bildern, Musik oder auch Texten – wie beispielsweise für Werbebotschaften – ist vorgängig stets die Rechtelage zu beurteilen, um die Verletzung von Drittrechten und unnötige Rechtsstreitigkeiten zu verhindern. 
   
• Geheimhaltungsbedürftige Informationen: Wie das einleitende Beispiel zeigt, kann es rasch dazu kommen, dass schützenswerte Inhalte ungewollt der Öffentlichkeit preisgegeben werden. Um dies zu verhindern, benötigt es Regeln, einerseits zu den von der Unternehmung freigegebenen KI-Modellen, wie auch dazu, wie diese durch Mitarbeiter genutzt werden dürfen. Das Hochladen von geschützten Informationen sollte nur in Modelle geschehen, wo die Informationen nicht an Dritte ausserhalb einer Unternehmung stehende Personen gelangen können. Es sollte hierfür von der Unternehmung eine Liste dazu geführt werden, welche KI-Modelle von den Mitarbeitern zu welchen Zwecken benutzt werden dürfen, um einen Informationsverlust möglichst zu verhindern. Der Einsatz von sogenannter Schatten-KI, d.h. die Verwendung von privaten KI-Accounts durch die Mitarbeiter einer Unternehmung sollte besser gänzlich verboten oder allenfalls nur unter Einhaltung klarer Regeln erlaubt sein. 
   
• Vertragsgestaltung für die Lizenzierung von KI-Modellen: Die Verträge zur Nutzung und Lizenzierung von KI-Modellen durch eine Unternehmung sind in Bezug auf die darin gewährten Sicherheiten, wie beispielsweise in Bezug auf die Verwendung von Unternehmensinformationen zum Training des Modells, den Umgang mit Personendaten oder auch in Bezug auf Haftungsregelungen und andere Gewährleistungen eingehend zu untersuchen. Nicht jedes lizenzierte Modell eignet sich auch dazu, sensible und datenschutzrechtlich geschützte oder geheimhaltungsbedürftige Informationen in dieses hochzuladen und es ist vorgängig – sowohl technisch wie auch vertraglich – sicherzustellen, für welche Zwecke ein KI-Modell durch die Mitarbeiter gebraucht werden darf.
   
• Haftungsrecht / Verantwortlichkeit: Auch in Bezug auf die Verantwortlichkeiten ist genau zu definieren, zu welchen Zwecken eine KI für geschäftliche Zwecken benutzt werden darf und wer für allfällige Schäden durch den Output einer KI haftet. Im Grundsatz kann die KI nie zur alleinigen Verantwortung gezogen werden und es bleibt stets der nutzende Mensch, bzw. die Unternehmung für die Arbeitsresultate der KI verantwortlich. Deshalb ist die menschliche Kontrolle von Arbeitsergebnissen der KI nach wie vor immanent und oft unabdingbar. Dies ist auch deshalb unerlässlich, da die KI selbst nur aufgrund von Wahrscheinlichkeiten antwortet und selbst nicht wirklich versteht, was sie wiedergibt, und kann daher auch gänzlich falsch liegen.
   

• Ethik und Regulierung: Neben den heute bereits bestehenden rechtlichen Schranken ist es für jede Unternehmung auch angebracht, sich selbst Regeln für die Nutzung von KI-Modellen zu geben und dabei auch ethische Aspekte inklusive sozioökonomische Auswirkungen zu berücksichtigen. KI sollte insbesondere nur dazu genutzt werden, um inklusive Lösungen zu schaffen, von denen eine Vielzahl von Nutzern oder Betroffenen profitiert. Ausgrenzende Auswirkungen aufgrund von Rasse, Religion, Geschlecht, Alter, sexueller Orientierung, Behinderung oder anderen potenziell marginalisierten Gruppen sind stets zu vermeiden und zu mindern. Die Vorgabe von ethischen Regeln zur Nutzung von KI kann mithin Reputationsschäden vorbeugen und den Einsatz der KI durch Mitarbeiter kontrollierbarer machen. Sinnvoll sind beispielsweise Vorgaben zum Einsatzspektrum von KI-Modellen, aber auch zu Transparenzvorgaben oder Dokumentationspflichten.

   

Diese Auflistung ist nicht abschliessend und es werden mit künftigen Regulierungen weitere Rechtsbereiche betroffen sein. Die Entwicklung in diesem Bereich gilt es daher stets im Auge zu behalten.

3. Was ist zu nun unternehmen?

Damit die oben erwähnten Rechtsbereiche in einer Unternehmung respektiert und von den Mitarbeitern auch eingehalten werden, sind entsprechende Massnahmen frühzeitig zu ergreifen und in einem ersten Schritt zu definieren, welche KI-Modelle innerhalb einer Unternehmung überhaupt benutzt werden dürfen. Für diese erlaubten KI-Tools sollte schliesslich innerhalb von Lizenzverträgen darauf geachtet werden, dass die für die vorgesehene Anwendung notwendigen Sicherheiten vom Anbieter auch gewährt werden. Schliesslich sollten klare Leitplanken zur Nutzung der erlaubten Tools in einem internen Reglement aufgestellt und auch diesbezügliche Schulungen des Personals durchgeführt werden.