Im Rahmen einer eigenen Kolumne beleuchten Rechtsexperten von Fieldfisher für SPOT media & film wichtige Branchenthemen aus juristischer Sicht. In der aktuellen Folge wirft Dr. Gerd Hansen, auf Media & Entertainment Law spezialisierter Rechtsanwalt und Partner bei Fieldfisher, einen Blick auf Pflichten zur „KI-Kompetenz“, die sich ab Februar aus der europäischen KI-Verordnung ergeben.
Dr. Gerd Hansen ist auf Urheber- und Medienrecht spezialisierter Rechtsanwalt aus München. Ein besonderer Schwerpunkt seiner Arbeit liegt in der umfassenden juristischen Begleitung von nationalen und internationalen Film-, TV- und Streamingproduktionen über sämtliche Stadien hinweg; von der Entwicklung und Finanzierung über die Produktion bis hin zum Vertrieb. Seit April 2024 ist Dr. Gerd Hansen Partner bei der internationalen Wirtschaftskanzlei Fieldfisher und dort Teil der Practice Group Media & Entertainment Law. Zuvor war er lange Jahre als Head of Legal Affairs Sky Studios Germany sowie als Legal Director Content Production bei ProSiebenSat.1 sowie in einer anderen größeren Medienkanzlei tätig. Dr. Gerd Hansen ist ausgewiesener Experte bei rechtlichen Fragen im Zusammenhang mit generativer Künstlicher Intelligenz (KI) und veröffentlicht regelmäßig zu aktuellen, für die Film- und Fernsehbranche relevanten Rechtsfragen.
Ab dem 2. Februar 2025 wird es ernst. Dann tritt bereits Artikel 4 der europäischen KI-Verordnung in Kraft, der Unternehmen verpflichtet sicherzustellen, dass ihre Mitarbeiter über ausreichende „KI-Kompetenz“ verfügen. Betroffen sind alle Anbieter und sog. „Betreiber“ von KI-Systemen. Für Medienunternehmen bedeutet das: Schon der Einsatz von KI-Tools wie ChatGPT oder Microsoft Copilot im Unternehmen reicht aus, um unter die neue Vorschrift zu fallen.
Doch wie können (Medien-) Unternehmen sicherstellen, dass sie die komplexen Vorgaben der KI-Verordnung rechtzeitig erfüllen, ohne – in für die Branche wirtschaftlichen herausfordernden Zeiten – intern umfangreiche Strukturen aufzubauen?
Was bedeutet „KI-Kompetenz“ konkret?
Aufgrund von Artikel 4 der KI-Verordnung muss das Management der betroffenen Unternehmen künftig „nach besten Kräften“ KI-Kompetenzmaßnahmen ergreifen, um sicherzustellen, „dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen“. Dabei sollen nach dem Willen des Gesetzgebers bei allen Akteuren die „technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen“ (Art. 4 KI-Verordnung) berücksichtigt werden.
Doch was genau meint der Gesetzgeber mit „KI-Kompetenz“? Artikel 3 Ziffer 56 der KI-Verordnung definiert KI-Kompetenz (im Englischen „AI literacy“) als die „Fähigkeiten, die Kenntnisse und das Verständnis“, die notwendig sind, um
•KI-Systeme sachkundig einzusetzen,
• die damit verbundenen Chancen und Risiken zu erkennen, und
• sich möglicher Schäden, die durch KI verursacht werden können, bewusst zu werden.
Weitere Anhaltspunkte für die Auslegung liefert Erwägungsgrund 20 der KI-Verordnung. Danach soll KI-Kompetenz allen Akteuren entlang der KI-Wertschöpfungskette helfen, fundierte und verantwortungsvolle Entscheidungen zu treffen und die Einhaltung der KI-Verordnung sicherzustellen. Dies umfasst sowohl technisches Wissen als auch die Fähigkeit, die möglichen Auswirkungen des KI-Einsatzes zu verstehen – nicht zuletzt auch in ethischer Hinsicht.
Was ist zu tun?
Schulungen sind essentiell, um sicherzustellen, dass Mitarbeiter KI-Tools technisch sachkundig und rechtssicher einsetzen. Es geht dabei primär um Bewusstmachung der Chancen und Risiken im Medienbereich insbesondere von generativer KI – und auch Sensibilisierung für die möglichen Schäden, die der KI-Einsatz verursachen kann.
In einem ersten Schritt setzt dies eine Risikoanalyse für die jeweils eingesetzten KI-Systeme voraus: Für die KI-Tools muss eine kontextbezogene Risikoanalyse erfolgen und technisches Grundverständnis geschaffen werden.
Weiter sind KI-Leitlinien für den rechtssicheren Einsatz zu erarbeiten und regelmäßig zu aktualisieren. Dabei dürfte es nicht genügen, einmal eine unternehmensweite Leitlinie für den KI-Einsatz zu erstellen, um diese dann in der Schublade zu verwahren. Die Mitarbeiter sollten vielmehr in regelmäßigen Abständen geschult werden, um die Anforderungen in der Praxis umsetzen zu können. Verantwortlichkeiten und Prozesse im Umgang mit KI sind zu etablieren, einem blinden Vertrauen auf KI vorzubeugen.
Im Interesse einer strukturierten Herangehensweise empfiehlt sich für Produzenten und audiovisuelle Verwerter bei der Chancen- und Risikoanalyse ein quasi chronologisches Vorgehen entlang der einzelnen Phasen einer Produktion: von der Development-, über die Produktions- und Postproduktionsphase bis hin zur Auswertungs-/Distributionsphase, in denen sich jeweils insbesondere urheber-, persönlichkeits- und datenschutzrechtliche Risiken realisieren können. Es sollte dabei abhängig von den jeweiligen Vorkenntnissen und Erfahrungen stets um Sensibilisierung für mögliche (zumeist jedoch vermeidbare) Risiken gehen. Eine solche Schärfung des Problembewusstseins kann ganz praktisch etwa mit urheberrechtssensitiven „Dos & Don’ts“ für das Prompting erfolgen, z.B. durch die Empfehlung, auf Prompts im Sinne von „Bitte erstell‘ mir ein Drehbuch im Stil von Daniel Kehlmann“ zu verzichten.
Medienunternehmen stehen dabei vor spezifischen Herausforderungen. So sollten Unternehmen im Medienbereich bereits jetzt klare Kennzeichnungspflichten für KI-generierte Symbolbilder sowie sog. „Deepfakes“ einführen. Zwar mag die aus Art. 50 Absatz 4 KI-Verordnung resultierende Transparenzpflicht für Deepfakes erst ab dem 02. August 2026 in Kraft treten, bereits heute kann jedoch eine Nicht-Kennzeichnung von KI-generierten Inhalten zu erheblichen (Reputations-)Schäden führen, insbesondere bei journalistisch/ dokumentarisch geprägten Formaten. Hier besteht die Herausforderung somit darin, je nach Kontext eine praxisgerechte Ausgestaltung mit Augenmaß vorzunehmen (siehe dazu bereits die KI-Kolumne „Generative KI im Dokubereich – das Ende der Wahrheit?“, abrufbar unter: Filmproduktion im Zeitalter generativer KI, Teil IV).
In vertraglicher Hinsicht bedeutet KI-Kompetenz insbesondere, die Voraussetzungen für einen rechtssicheren Einsatz von KI-Systemen zu schaffen. Liegen überhaupt die notwendigen Rechte und Lizenzen für einen etwaigen KI-Einsatz vor? Verfügt das Unternehmen über die erforderlichen Rechte für das Training z.B. von customized KI-Anwendungen? Inwieweit bestehen Rechte am KI-Output? etc. Ein schlecht gesichertes KI-System kann zudem Geschäftsgeheimnisse oder IP gefährden. Ein weiteres Risiko ist die sog. „Schattennutzung“, also die Verwendung privater Accounts etwa von ChatGPT für berufliche Aufgaben.
Es steht zu hoffen, dass etwa durch vom „AI Office“ herausgegebene Leitfäden die neuen gesetzlichen Pflichten praxisgerecht konkretisiert werden (das neue „Büro für Künstliche Intelligenz“ ist gemäß Art. 95 Abs. 2 lit. c) KI-Verordnung jedenfalls zur Aufstellung von Verhaltenskodizes verpflichtet).
Braucht jetzt jedes Unternehmen einen „AI Officer“/ KI-Beauftragten?
Anders als das Datenschutzrecht – mit der Pflicht zur Bestellung eines Datenschutzbeauftragten bei Verarbeitung personenbezogener Daten (Art. 37 DSGVO/ § 38 BDSG) – kennt die KI-Verordnung zwar keine explizite Pflicht, einen dezidierten KI-Beauftragen zu installieren. Je stärker jedoch im jeweiligen Unternehmen KI-Systeme zum Einsatz gelangen, desto ratsamer ist die Schaffung einer entsprechenden Position. Dabei wird es nicht ausreichen, diesen einen, besonders technologieaffinen Kollegen aus der IT-Abteilung, der immer diese semi-lustigen KI-generierten Bildchen rumschickt, zum KI-Beauftragten zu ernennen. Vielmehr bedarf es der Schulung des gesamten Teams und der Schaffung von interdisziplinärer KI-Kompetenz in der Breite über alle Gewerke hinweg. Größere Unternehmen richten daher im Zweifel ein breitgefächertes, koordinierendes AI Advisory Board ein und ernennen „AI Ambassadeurs“ für die einzelnen Abteilungen.
Die Herausforderung aus Praxissicht: Nicht jedes Unternehmen verfügt über die notwendigen Ressourcen oder das Know-how, um die vom Gesetz verlangte KI-Kompetenz intern aufzubauen. Gerade auch für kleinere und mittelgroße Unternehmen ist es wichtig, eine ressourcenschonende Lösung zu finden. Die Beauftragung externer KI-Beauftragter sowie die Inanspruchnahme externer Schulungsangebote von Branchenverbänden oder Kanzleien kann dabei oft die pragmatischste Alternative sein.
Externe AI-Officer und Schulungen
Ähnlich wie im Datenschutzbereich bieten spezialisierte Kanzleien inzwischen die Möglichkeit, als externe KI-Beauftragte zu agieren. Anstatt intern teure Strukturen aufzubauen, können Unternehmen durch externe Beauftragte (Personal-) Kosten sparen und rechtliche Risiken reduzieren. Zu ihren Aufgaben zählt nicht zuletzt die Organisation und Durchführung der auf die jeweiligen Bedürfnisse zugeschnittener Schulungen zur Sicherstellung der verlangten KI-Kompetenz. Ob ein interner oder externer AI Officer, interne und/oder externe Fortbildungsangebote die richtige Wahl sind, hängt letztlich von den individuellen Anforderungen des Unternehmens ab. Hier gibt es keine ‚One-size-fits-all‘-Lösung.
Bei Nichtbeachtung drohen rechtliche Konsequenzen
Auch wenn die KI-Verordnung selbst keine expliziten Sanktionen/ Bußgelder für Verstöße gegen die Vorgaben aus Art. 4 KI-Verordnung vorsieht, können dennoch Haftungsrisiken entstehen. Gemäß Art. 99 Abs. 1 KI-Verordnung müssen die Mitgliedstaaten nämlich zum einen wirksame, verhältnismäßige und abschreckende Sanktionen erlassen, zu denen zu denen auch Verwarnungen und nichtmonetäre Maßnahmen gehören können. Unter Letzterem kann man sich z.B. eine Pflicht zu Nachschulungen vorstellen. Falls KI-Systeme eingesetzt werden, ohne dass KI-Kompetenz bei den Mitarbeitern durch Schulungen und KI-Leitlinien sichergestellt wird, kann dies aber auch darüber hinaus ganz erhebliche zivilrechtliche Konsequenzen insbesondere aus dem Urheberrecht, dem KUG, dem Datenschutzrecht, dem Arbeitsrecht und Gesellschaftsrecht für das Unternehmen und dessen Organe nach sich ziehen. Ein Unterlassen der von Art. 4 KI-Verordnung verlangten KI-Kompetenzmaßnahmen könnte dabei im Kontext zivilrechtlicher Haftungsansprüche unter Umständen als Sorgfaltspflichtverletzung bzw. Organisationsverschulden gewertet werden.
Kurzum: Die KI-Verordnung stellt Unternehmen vor neue Herausforderungen, bietet aber auch Flexibilität in der Umsetzung. Bis Februar 2025 bleibt wenig Zeit, um die verlangte ‚AI-Literacy‘ aufzubauen. Unternehmen sollten daher jetzt aktiv werden, nicht nur um die neuen rechtlichen Vorgaben zu erfüllen, sondern auch, um ihren Mitarbeitern einen klaren und sicheren Rahmen für den rechtskonformen und verantwortungsvollen Umgang mit KI zu schaffen.
Dr. Gerd Hansen (zum LinkedIn-Profil)
Zu Teil I der KI-Kolumne (Development-Phase)
Zu Teil II der KI-Kolumne (Schauspielbereich)
Zu Teil III der KI-Kolumne (Synchrobereich)
Zu Teil IV der KI-Kolumne (Dokumentarbereich)
Zu Teil V der KI Kolumne (KI-Training und Opt-out)
Zu Teil VI der KI-Kolumne (KI-generierte Musik)
Zu Teil VII der KI-Kolumne (Kaliforniens KI-Gesetze)