• Landgericht München: GEMA setzt sich gegen OpenAI durch

    Gericht bejaht Urheberrechtsverletzung durch KI-Training und Textausgabe

    Das Landgericht München I hat mit Urteil vom 11. November 2025 (Az. 42 O 14139/24) entschieden, dass das Training und die Nutzung der Sprachmodelle GPT-4 und GPT-4o von OpenAI gegen deutsches Urheberrecht verstoßen, jedenfalls in dem konkret zu prüfenden Fall. Den Anträgen der GEMA auf Unterlassung, Auskunft und Schadensersatz wurde stattgegeben.

    Hintergrund des Verfahrens

    Die GEMA hatte geltend gemacht, dass von ihr vertretene urheberrechtlich geschützte Liedtexte deutscher Popmusik – darunter dem Song „Atemlos“ (Kristina Bach) und „Wie schön, dass du geboren bist“ (Rolf Zuckowski) – in den Sprachmodellen von OpenAI „memorisiert“ worden seien, d. h. inhaltlich von Trainingsdaten in die Parameter des Modells übernommen wurden. Nutzer konnten diese Texte durch einfache Eingaben wie „Wie lautet der Text von ‚Atemlos’“ nahezu wortgetreu abrufen. OpenAI bestritt eine konkrete Speicherung und verwies darauf, die Modelle würden nur Wahrscheinlichkeiten abbilden. Außerdem seien mögliche Urheberrechtsverstöße durch Nutzerprompts verursacht und im Übrigen von der Text-und-Data-Mining-Schranke (§ 44b UrhG / Art. 4 DSM-RL) gedeckt.

    Entscheidung des Gerichts

    Die 42. Zivilkammer folgte der Argumentation von OpenAI nicht. Deutsches Urheberrecht sei anwendbar, denn das Angebot richtet sich offensichtlich an Nutzer in Deutschland, wenn es um deutsche Liedtexte geht. Nach Auffassung der Kammer sind die Liedtexte jedenfalls in dem zu prüfenden Fall reproduzierbar in den Modellen enthalten und genau darin sieht die Kammer eine urheberrechtlich relevante Vervielfältigung (§ 16 UrhG, Art. 2 InfoSoc-RL). Diese Vervielfältigung sei durch keine gesetzliche Erlaubnis gedeckt. Insbesondere greife die gesetzliche Erlaubnis der Text-und-Data-Mining-Schranke (§ 44b UrhG) nicht. Die Schranke des § 44b UrhG solle lediglich vorübergehende Kopien zu Analysezwecken erlauben, nicht aber das dauerhafte Einprägen ganzer Werke in ein Modell. Die wiederholte Abrufbarkeit impliziere jedoch das permanente Vorhandensein in dem Modell.

    Auch das Ausgeben der Texte durch ChatGPT sei eine rechtswidrige Vervielfältigung und öffentliche Wiedergabe (§§ 16, 19a UrhG, Art. 3 InfoSoc-RL). OpenAI selbst – nicht der einzelne Nutzer – sei hierfür verantwortlich, da das Unternehmen das Modell konzipiert, trainiert und betrieben hätte. In der Haftungsfolge unterscheidet sich der zu beurteilende Fall daher ganz wesentlich von Rechtsstreitigkeiten, in denen User urheberrechtlich geschützte Inhalte auf Social-Media-Plattformen hochladen. Der Output von KI-Systemen werde somit zwar durch User-Prompts veranlasst, die Verursachung des Outputs und damit dessen öffentliche Zugänglichmachung wird jedoch dem Betreiber der KI zugerechnet, der damit in voller Verantwortung steht und haftungsrechtlich nicht wie in den Social-Media-Upload-Fällen privilegiert ist. Persönlichkeitsrechtsverletzungen durch OpenAI konnte die Kammer dagegen nicht feststellen.

    Das Urteil bejaht erstmals ausdrücklich eine urheberrechtliche Verantwortlichkeit von KI-Anbietern für die im Modell gespeicherten („memorisierten“) Trainingsdaten und die daraus generierten Ausgaben. Man könnte somit formulieren, nicht ChatGPT ist das Werkzeug des Nutzers, vielmehr verhält es sich vor dem urheberrechtlich relevanten Hintergrund geradezu umgekehrt. Es verdeutlicht, dass das bestehende Urheberrecht auch auf neue Technologien wie große Sprachmodelle anwendbar ist und dass die Text-und-Data-Mining-Schranke nur eng auszulegen ist.

    Praktische Folgen und Ausblick

    Das Urteil hat erhebliche praktische Folgen, jedenfalls wenn es dabei bleibt. Betreiber generativer KI-Modelle müssten die Nutzung urheberrechtlich geschützter Inhalte zu KI-Trainingszwecken lizenzieren oder verhindern, dass es zu Outputs von identischem urheberrechtlich geschütztem Inhalt kommt. Nicht deutlich genug kann man darauf hinweisen, dass der Fall sicher anders beurteilt worden wäre, wenn es sich um Output gehandelt hätte, der urheberrechtlich geschütztem Text lediglich ähnlich gekommen wäre. In diesem Fall hätte das Gericht in seiner Entscheidungslogik prüfen müssen, ob es sich bei dem Output um eine Bearbeitung (§ 23 UrhG) des Originals gehandelt hätte und falls ja, ob diese Bearbeitung gesetzlich erlaubt war, etwa wenn es sich um eine Parodie handelt. Mit anderen Worten, auf der zweiten Stufe wäre also eine klassische urheberrechtliche Bewertungsfrage vorzunehmen gewesen. Hätte die Kammer schließlich keine Bearbeitung im urheberrechtlichen Sinne feststellen können, hätte sie auch keine Rückschlüsse auf eine „Memorisierung“ treffen können. Die Ansprüche der GEMA wären somit an der individuellen Beweislast gescheitert.

    Vor diesem Hintergrund wird deutlich, wie zentral die politische Entscheidung sein wird, ob zukünftig davon gesetzlich ausgegangen werden soll, dass in Trainingsdaten ALLE Texte und ALLE Musik und ALLE Bilder eingeflossen sind, welche Transparenzpflichten Betreibern von KI-Modellen abverlangt werden und welche Konsequenzen an eine Vernachlässigung dieser Pflichten geknüpft werden.

    Bis dahin ist es allerdings noch ein weiter Weg, der zunächst über das Oberlandesgericht München führt. Das Urteil ist noch nicht rechtskräftig und eine Berufung vor dem Oberlandesgericht München wahrscheinlich. Bis zur Entscheidung des OLG München fließt noch eine Menge Wasser die Isar hinunter.

  • Janosch Delcker „Der Gedanken-Code“

    „Hinter verschlossenen Türen versuchen Unternehmen und Forschende, den Code unserer Gedanken zu knacken.“ Mit diesem Satz auf den ersten Seiten beginnt Janosch Delcker seine inhaltliche Reise in eine Welt, die sich bislang weitgehend im Schatten der öffentlichen Aufmerksamkeit entwickelt hat. Während die Debatte um Künstliche Intelligenz meist um ChatGPT und Jobverluste kreist, richtet der Journalist und ehemalige „KI-Korrespondent“ von Politico und der Deutschen Welle seinen Blick auf etwas weitaus Intimeres: Technologien, die darauf abzielen, unser Innenleben zu entschlüsseln. Delckers „Der Gedanken-Code“ ist eine gut lesbare, reportagenhaften Tour, die von den Dächern von Paris über die Überwachungsmetropole Hyderabad bis ins patagonische Niemandsland von Cabo Raso führt. Der Autor beschreibt komplexe technische Zusammenhänge verständlich und webt sie in eine persönliche Erzählung ein. Dennoch bleibt das Buch trotz fünfjähriger Recherchen merkwürdig an der Oberfläche seines Gegenstands hängen.

    Die Anatomie des digitalen Geistes

    Die Stärke des Buches liegt in den Ausführungen zu „Mind Reading AI“. Delcker versteht darunter „Programme, die scheinbar aus dem Nichts verstehen, was wir denken und fühlen, woran wir glauben und wie wir sind – all die Eigenschaften, die zusammen das ausmachen, was im Deutschen oft als ‚Geist‘ und im Englischen als mind bezeichnet wird.“ Sein Buch handelt weniger vom allgemeinen KI-Hype, sondern einem bislang noch oft übersehenen Teilbereich, in dem der Autor die nächste Stufe der technologischen Evolution sieht.

    Die Reise beginnt bei den Algorithmen sozialer Medien. In Buenos Aires beobachtet Delcker an sich selbst, wie TikTok schon bei seiner Ankunft diverse persönliche Informationen über ihn zu wissen scheint, ohne dass er diese Informationen bewusst geteilt hätte. Die Plattformen beschreibt er als „Dopamin-Fabriken“, die mit ausgeklügelten Mechanismen unser Belohnungssystem kapern. „Was sich wie Gedankenlesen anfühlen kann, ist in Wirklichkeit ein statistisches ‚Gedanken-Schätzen‘“, die etwas mit unserem Gehirn macht. So schildert er das Suchtpotenzial digitaler Medien. Er zitiert die Psychiaterin Anna Lembke mit einer beunruhigenden Prognose: „Wenn man nun über eine direkte Verbindung das Dopamin-Belohnungssystem im Gehirn kybernetisch aktiviert, schaffen Sie die potenziell am stärksten süchtig machende Droge der Menschheit.“ Diese Verbindung zwischen harmlosen Apps und neurobiologischen Mechanismen sieht Delcker höchstens als Vorbote, für das was noch kommt. Wir stehen erst „am Anfang eines Zeitalters (…), in dem Technologie immer besser darin wird, auszuwerten, was wir denken und fühlen“.

    Von dort spannt er den Bogen zu Emotionserkennungssystemen, die in Smart Cities bereits eingesetzt werden, zu KI-gestützten Persönlichkeitsanalysen im Recruiting und schließlich zu den spektakulärsten Entwicklungen: Gehirn-Computer-Schnittstellen (BCI), die bereits heute gelähmten Menschen helfen, Prothesen mit Gedankenkraft zu steuern, und morgen vielleicht gesunden Menschen „Motivation auf Knopfdruck“ oder „verstellbare Stimmung“ bieten könnten. Im Zwang zur Selbstoptimierung wird eine solche Technik auch jenseits einer medizinischen Indikation vermutlich rasend um sich greifen – jedenfalls dann, wenn BCIs einmal ohne Operationen am Gehirn genutzt werden können.

    Delcker weist auch darauf hin, dass die Fortschritte in „Mind Reading AI“ eine umfassende Überwachung von Menschen durch Staaten und Unternehmen ermöglichen könnten. Die Behauptung „Die Gedanken sind frei“, die mit dem gleichnamigen Lied seit Mitte des 19. Jahrhunderts aufgestellt wird, dürfte bald nicht mehr zutreffen.

    Regulierung, statt digitalem Detox

    Das reguliert man am besten, bevor es soweit kommt, oder? Wie Regulierung entsteht und warum ihre Ergebnisse oft hinter den Erwartungen zurückbleiben, schildert Delcker anhand des europäischen AI Acts. Der Journalist berichtet von den ungleichen Lobbyschlachten zwischen Tech-Giganten und Zivilgesellschaft. Ihre Zugangs- und Machtasymmetrien führen auf den letzten Metern immer wieder zur Einführung von Änderungen „durch die Hintertür“ zugunsten von Big Tech.

    Warum Delcker das so stehen lässt, ist nicht nachvollziehbar. Wie ein Fremdkörper in seinem Buch, schließt er als Lösungsvorschlag mit seiner „RE∙C∙O∙DE-Methode“ – ein Akronym für „reflect, change, organize, detach“. Nach seinen Ausführungen über die systematische Unterwanderung unserer kognitiven Autonomie durch Konzerne und Algorithmen mutet es seltsam an, das Problem mit Ratschlägen wie „Push-Benachrichtigungen abschalten“ und „digitales Fasten“ zu adressieren. Mit den strukturellen Herausforderungen durch KI, oder speziell auch durch „Mind Reading AI“ wird man nicht fertig, indem man individuell digitalen Detox betreibt oder seine Kinder auf Smartphone-Nutzung vorbereitet. Hier hätte man sich eine konsequentere Fortführung der politischen Analyse gewünscht.

    Ein Anfang

    Trotz dieser Schwächen legt Delcker ein Buch vor, das sich so wegliest und ohne Vorkenntnisse auch für Nicht-Fachleute zugänglich ist. Neurotechnologie ist eines der zentralen Felder der KI-Entwicklung, das aktuell kaum eine breite öffentliche Aufmerksamkeit erfährt. Delckers journalistische Bestandsaufnahme ändert das hoffentlich.

    Janosch Delcker: Der Gedanken-Code. Wie künstliche Intelligenz unser Denken entschlüsselt und wir trotzdem die Kontrolle behalten. Verlag C.H.Beck, 2024, 206 Seiten

  • EDPB Statement 4/2025 zu den Mustervertragsklauseln zum Data Act

    Der Europäische Datenschutzausschuss (EDPB) hat am 8. Juli 2025 mit seinem Statement 4/2025 deutliche Kritik an den von der Europäischen Kommission vorgelegten Mustervertragsklauseln (Model Contractual Terms, MCTs) für Datensharing unter dem Data Act geübt. Die Stellungnahme zeigt vor allem auf, dass der Harmonisierungsprozess zwischen beiden Rechtsakten noch längst nicht abgeschlossen ist.

    Unterschiedliche Nutzer

    Das EDPB kritisiert, dass die vorgelegten MCTs offenbar primär für Geschäftsbeziehungen zwischen Unternehmen konzipiert wurden, ohne die komplexen datenschutzrechtlichen Implikationen bei Einbeziehung natürlicher Personen ausreichend zu berücksichtigen. Diese Kritik trifft den Kern der praktischen Anwendbarkeit der MCTs, denn der Begriff „User“ im Data Act umfasst sowohl juristische als auch natürliche Personen, wobei letztere nicht automatisch den Status einer „betroffenen Person“ im Sinne der DSGVO haben müssen.

    Besonders problematisch wird dies bei der Betrachtung vernetzter Geräte im privaten Bereich. Das EDPB führt das Beispiel von Smart-Home-Geräten an, die von verschiedenen Familienmitgliedern genutzt werden. Hier kann der formale „Nutzer“ eine Person sein, während die tatsächlich betroffenen Personen andere Familienmitglieder sind. Die MCTs in ihrer aktuellen Form bieten keine differenzierten Lösungsansätze für solche Konstellationen und lassen die Vertragsparteien mit erheblicher Rechtsunsicherheit zurück.

    Kompensationsmechanismen 

    Ein weiterer Kritikpunkt des EDPB betrifft die in den Anhängen II und III enthaltenen Kompensationsregelungen. Diese sind derzeit so allgemein formuliert, dass sie theoretisch auch auf personenbezogene Daten angewandt werden könnten. Das EDPB fordert kategorisch, dass Kompensationsmechanismen ausschließlich auf nicht-personenbezogene Daten beschränkt werden müssen. Das EDPB lehnt die Ansicht, dass personenbezogene Daten als handelbare Ware betrachtet werden können, strikt ab. 

    Diese Forderung hat weitreichende praktische Konsequenzen für Unternehmen, die Datensharing-Modelle entwickeln. Sie müssen bereits in der Konzeptionsphase strikt zwischen personenbezogenen und nicht-personenbezogenen Daten differenzieren und entsprechende technische und organisatorische Maßnahmen implementieren, um eine unzulässige Kommerzialisierung personenbezogener Daten zu verhindern. Dies erfordert nicht nur eine präzise Datenklassifizierung, sondern auch robuste Governance-Strukturen zur kontinuierlichen Überwachung der Datenverwendung. Das wird für die meisten Unternehmen eine Mammut-Aufgabe sein. 

    Rechtshierarchie als Kompass für die Praxis

    Das EDPB nutzt sein Statement auch dazu, die in Art. 1 Abs. 5 des Data Act normierte Vorrangregelung anzusprechen. Demnach lässt der Data Act das Datenschutzrecht unberührt, und bei Konflikten zwischen beiden Rechtsakten geht das Datenschutzrecht vor. Diese scheinbar klare Regel erweist sich in der praktischen Anwendung jedoch als hochkomplex, da sie eine detaillierte Einzelfallprüfung erforderlich macht, welche Bestimmungen als konfligierend zu betrachten sind.

    Für Praktiker bedeutet dies, dass sie bei der Vertragsgestaltung nicht nur die MCTs, sondern parallel dazu die vollständigen DSGVO-Anforderungen berücksichtigen müssen. Das EDPB stellt unmissverständlich klar, dass die bloße Einhaltung der MCTs keine DSGVO-Compliance gewährleistet. Vielmehr müssen zusätzliche Maßnahmen implementiert werden, etwa bei der Begründung von Rechtsgrundlagen für die Datenverarbeitung, bei Drittlandtransfers oder bei der Gewährleistung von Betroffenenrechten.

    Komplexitätszunahme als praktische Herausforderung

    Die vom EDPB geforderten Differenzierungen werden die Komplexität von Datensharing-Vereinbarungen erheblich steigern. Unternehmen müssen künftig möglicherweise verschiedene MCT-Varianten je nach Nutzerstatus anwenden und dabei stets prüfen, ob zusätzliche datenschutzrechtliche Safeguards erforderlich sind. Dies betrifft insbesondere internationale Datenübermittlungen, bei denen neben den MCTs zusätzliche Standardvertragsklauseln (SCC) nach Artikel 46 DSGVO erforderlich werden können.

    Besonders herausfordernd wird die Abgrenzung zwischen personenbezogenen und nicht-personenbezogenen Daten in der digitalen Praxis. Zum einen vertritt der EuGH ein sehr weites Verständnis vom Personenbezug. Zum anderen kann sich der datenschutzrechtliche Status der einzelnen Datenpunkte sehr schnell verändern. Ein ursprünglich anonymer Datensatz kann durch Verknüpfung mit anderen Datenquellen plötzlich personenbeziehbar werden, was eine kontinuierliche Neubewertung der anwendbaren rechtlichen Rahmenbedingungen erforderlich macht.

    Handlungsempfehlungen für die Praxis

    Angesichts der vom EDPB aufgezeigten Fragestellungen sollten Unternehmen zunächst mit der praktischen Anwendung der aktuellen MCT-Entwürfe zurückhaltend umgehen. Die Kritikpunkte könnten zu erheblichen Überarbeitungen der finalen Fassung führen.

    Unternehmen sollten bereits jetzt robuste Prozesse zur Datenklassifizierung etablieren, die eine zuverlässige Unterscheidung zwischen personenbezogenen und nicht-personenbezogenen Daten ermöglichen. Zudem sollten Unternehmen eine eigene Datenstrategie entwickeln, in der sie festlegen, zu welchen Zwecken sie selbst Produktdaten oder verbundene Dienstdaten nutzen wollen. 

    Zudem ist Unternehmen zu raten, einen „DSGVO-Layer“ bei allen Datensharing-Aktivitäten zu berücksichtigen. Dieser muss unabhängig von den MCTs alle datenschutzrechtlichen Anforderungen abdecken, insbesondere die Rechtmäßigkeit der Verarbeitung, die Einhaltung der Grundsätze nach Art. 5 DSGVO und die Gewährleistung von Betroffenenrechten. Besondere Aufmerksamkeit verdient dabei die Frage der Rechtsgrundlagen, da die MCTs deren Existenz nicht präsumieren dürfen.

    Die kontinuierliche Beobachtung der weiteren Entwicklung ist ebenfalls essentiell. Das EDPB hat bereits angekündigt, dass weitere Stellungnahmen zum Zusammenspiel zwischen Data Act und Datenschutzrecht folgen werden. 

    Ausblick: Harmonisierung als Dauerbaustelle

    Für die Praxis bedeutet dies, dass Datensharing-Projekte auch künftig einer differenzierten rechtlichen Würdigung bedürfen werden. Die MCTs können dabei als wichtiger Baustein dienen, ersetzen aber nicht die umfassende datenschutzrechtliche Compliance-Prüfung. Unternehmen, die sich frühzeitig auf diese komplexe Rechtslage einstellen und entsprechende Governance-Strukturen etablieren, werden einen entscheidenden Wettbewerbsvorteil im entstehenden europäischen Datenraum haben.

  • DSGVO-Reform 2025 – Der Vorschlag der Kommission

    Die Europäische Kommission hat am 21. Mai 2025 einen Verordnungsvorschlag zur Änderung der DSGVO vorgelegt. Unter dem Deckmantel des Bürokratieabbaus für Unternehmen mit bis zu 750 Mitarbeitenden wird die erhoffte Entlastungswirkung ausbleiben.

    Dokumentationspflicht im Fokus

    Die zentrale Reformbestrebung liegt auf eine Änderung des Art. 30 DSGVO, die zentrale Dokumentationspflicht des Verantwortlichen. Die geltende Vorschrift enthält bereits eine Privilegierung in Art. 30 Abs. 5 DSGVO. Diese Regelung ist tatsächlich missraten. Sie befreit Unternehmen mit weniger als 250 Mitarbeitenden nur dann von der Dokumentationspflicht, wenn es sich um eine gelegentliche Verarbeitung handelt, keine besonderen Datenkategorien betroffen sind und kein Risiko für Betroffene besteht. Die Voraussetzungen müssen kumulativ erfüllt sein, was so gut wie nie der Fall ist. Die Privilegierung läuft praktisch ins Leere.  

    Die Reform ersetzt diese kumulativen Tatbestandsmerkmale dadurch, dass Unternehmen mit bis zu 750 Mitarbeitenden nur noch dann ein Verzeichnis führen müssen, wenn ihre Verarbeitung „voraussichtlich zu einem hohen Risiko“ führt.

    Komplexitätsverlagerung statt echter Entlastung

    Die Reform bewirkt jedoch keine echte Vereinfachung, sondern verlagert die Komplexität. Unternehmen müssen künftig präzise Schwellenwertanalysen durchführen, um beurteilen zu können, ob ihre Verarbeitungen ein hohes Risiko darstellen. Diese Risikoanalysen müssen dokumentiert werden, da andernfalls gegenüber Aufsichtsbehörden nicht nachgewiesen werden kann, warum auf ein Verzeichnis verzichtet wurde.

    Paradoxerweise führt dies dazu, dass Unternehmen faktisch eine Art Verarbeitungsverzeichnis „light“ erstellen müssen, um überhaupt beurteilen zu können, ob sie zur Führung eines Verarbeitungsverzeichnisses verpflichtet sind.

    In der betrieblichen Realität wird es zudem nur in homöopathischen Größenordnungen vorkommen, dass ein Unternehmen mit mehreren hundert Mitarbeitenden tatsächlich keine einzige risikoreiche Verarbeitung durchführt. Verarbeitungsverzeichnisse werden somit für die KMU nicht verschwinden.

    Verpasste Chancen für echte Hilfe

    Statt dieser Scheinreform hätte die Kommission an wirklichen Schmerzpunkten ansetzen können. Nur beispielhaft hätte eine Regelung, die Anonymisierungen privilegiert und hierfür keine gesonderte Rechtsgrundlage erfordert hätte, echte Erleichterung geschaffen, insbesondere im Kontext mit besonderen Kategorien von personenbezogenen Daten, bei denen auf Art. 6 Abs. 1 lit. f) DSGVO nicht zurückgegriffen werden kann. Anonymisierte Daten fallen bereits jetzt nicht in den DSGVO-Anwendungsbereich, doch der Weg dorthin ist rechtlich oft unklar.

    Die Kommission hätte sich auch für den Weg entscheiden können, durch Standards Prozesse zu erleichtern. Im Trilogverfahren war seinerzeit die Möglichkeit der Konkretisierung durch delegierte Rechts- und Durchführungsrechtsakte vorgesehen. Der Vorschlag hat sich nicht durchgesetzt. Die Kommission lässt die Chance verstreichen, diesen Ansatz wieder aufzugreifen.

    Die Kommission verkennt zudem die Bedeutung des Verarbeitungsverzeichnises. In Unternehmen von der Leitung und Mitarbeitern teilweise als Hinderns wahrgenommen, schafft die Auseinandersetzung mit den Funktionalitäten und den Datenflüssen von IT-Anwendungen u.a. auch Transparenz für den Verantwortlichen.  

    Folglich ist der Vorschlag der Kommission bedauerlicherweise nicht mehr als Symbolpolitik.

  • Mustafa Suleyman/ Michael Bhaskar „The Coming Wave“

    Es gibt Bücher, die gut sind aber einen Beigeschmack zurücklassen. Mustafa Suleymans „The Coming Wave“, das er zusammen mit Michael Bhaskar verfasst hat gehört zu dieser nicht allzu seltenen Gattung. Mit der Gründlichkeit eines Untergangstheologen malt der ehemalige DeepMind-Mitgründer das Bild einer Welt, die von den Technologien überrollt wird, an deren Entwicklung er selbst nicht ganz unbeteiligt war. Man liest seine knapp 340 Seiten wie das fundierte Geständnis eines Brandstifters, der plötzlich die Feuerwehr ruft. Doch im Gegensatz zu anderen KI-Forschern, die der Industrie den Rücken gekehrt haben (allen voran Geoffrey Hinton) – und hier kommt der Beigeschmack – mischt Suleyman nach getaner Arbeit an dem für den Deutschen Wirtschaftsbuchpreis 2024 nominierten Werk wieder kräftig mit. Kaum hatte er vor den Gefahren unkontrollierter KI gewarnt, übernahm er als CEO die Führung von Microsoft AI – einem der zentralen globalen Akteure jener KI-Entwicklung. Das wird auch dadurch nicht glaubwürdiger, dass Suleyman mehr kritische und aktive Stimmen aus den Techunternehmen fordert. Aus einer solchen Perspektive kann man aus dem Buch die Hybris einer Selbstvermarktung von KI-Unternehmen herauslesen, die mit apokalyptischen Warnungen ihre Aktienkurse in die Höhe treiben. Selbstverständlich kritisiert Suleyman in dem Buch auch das.

    Dauerwellen?

    Der Autor greift für sein Zukunftsszenario zur Metapher der technologischen Welle. Die Menschheitsgeschichte, so seine These, lässt sich als Abfolge solcher Wellen verstehen, von der Landwirtschaft über die Industrialisierung bis zur Digitalisierung. Nun aber rolle die ultimative Welle heran, geboren aus der Vereinigung von Künstlicher Intelligenz, Robotik, Quantencomputern und synthetischer Biologie. Diese Metapher ist geschickt gewählt: Wellen sind Naturphänomene, sie kommen unweigerlich, man kann sie höchstens kanalisieren, nicht aufhalten.

    Doch diese Metapher verschleiert mehr, als sie erklärt. Die „kommende Welle“ ist weniger Naturgewalt denn Produkt bewusster menschlicher Gestaltung. Ihr liegen Entscheidungen in Vorstandsetagen, von Risikokapitalgeber:innen und Politiker:innen zugrunde.

    Dennoch: Seine Analyse der KI als Allzwecktechnologie ist klar und illustrativ. Je nach Zählweise hat die Menschheit bislang 24 solcher fundamentalen Technologien hervorgebracht, vom Faustkeil, über den Buchdruck bis zum Internet. Jede dieser Allzwecktechologien brachten Zäsuren und Umwälzungen. Doch KI übersteige alles davor.

    Die vier Reiter der digitalen Apokalypse

    Suleyman beschreibt vier Charakteristika, die die neue Welle von allen vorangegangenen unterscheiden: wenige können Vielen schaden (Asymmetrie), Entwicklungen beschleunigen sich exponentiell (Hyper-Evolution), dieselbe Technologie dient potentiell unzähligen Zwecken (Omni-Use) und die Systeme entziehen sich zunehmend menschlicher Kontrolle (Autonomie). Das macht Einhegung zu einer Sisyphos-Arbeit mit ungewissen Erfolgschancen.

    Welche Folgen das haben kann erläutert Suleyman an der Figur des „Gorilla-Problems“, das auf den KI-Forscher Stuart Russell zurückgeht:

    „Wir Menschen dominieren unsere Umwelt aufgrund unserer Intelligenz. Ein intelligenteres Wesen könnte folglich uns beherrschen. (…) Gorillas sind körperlich stärker und zäher als jeder Mensch, aber sie sind es, die vom Aussterben bedroht sind oder in Zoos leben; sie sind ‚eingedämmt‘. Wir mit unseren mickrigen Muskeln, aber großen Gehirnen sorgen für die Eindämmung. Indem wir etwas schaffen, das schlauer ist als wir, könnten wir uns selbst in die Lage unserer Vettern, der Primaten, versetzen.“

    Eindämmung ist kein Rastplatz

    Suleymans Antwort auf diese Herausforderungen ist ein Programm der „Eindämmung“ – ein Begriff, der nicht zufällig an die Containment-Politik des Kalten Krieges erinnert. Ein Bündel aus zehn Maßnahmen soll die technologische Bedrohung bannen: von technischer Sicherheit über internationale Allianzen bis zu neuen Formen der Unternehmensführung. Das Programm ist so umfassend wie fernliegend – ein „utopischer Traum“, wie der Guardian in einer Rezension treffend bemerkte.

    Doch Suleyman ist sich der Schwierigkeit bewusst. „Eindämmung ist kein Rastplatz“, schreibt er, „sie ist ein schmaler und nie endender Pfad.“ Die Eindämmung sei notwendig, aber unmöglich – also müsse man sie trotzdem versuchen. Dabei bleibt die Einsicht, dass „die Frage der KI-Ausrichtung nicht nur einmal geklärt werden muss, sondern jedes Mal“. Das heißt eine Eindämmung, eine Auseinandersetzung mit der Technik ist niemals „fertig“, die Herausforderungen stellen sich immer von Neuem. Eindämmung wird zur permanenten Aufgabe, zum nie endenden Kampf gegen eine Katastrophe.

    Prophet in eigener Sache

    Suleymans Forderung, „die Technologie von Anfang an an die Menschen anzupassen“ ist schön und gut. Er analysiert die Gefahren einer Entwicklung, die er – wenn auch wohl mit dem ernstgemeinten Wunsch nach Eindämmung – mit vorantreibt. Dies offenbart ein grundsätzliches Dilemma: Diejenigen, die am besten über die Risiken Bescheid wissen, sitzen nicht in der Politik, sondern in den Konzernen, die den größten Anreiz haben, diese Risiken einzugehen.

    Das Paradox des aufgeklärten Apokalyptikers

    Der „schmale Pfad“ der Eindämmung wird nicht nur durch technische Schwierigkeiten versperrt, sondern durch die Logik des Marktes und die Dynamik des geopolitischen Wettbewerbs. Lässt sich die Welle nicht brechen, bleibt nur der Versuch, sie zumindest ein wenig zu lenken. Suleymans Buch liefert Ideen, wo man ansetzen, wie man gegensteuern kann. In einer Debatte, die oft zwischen naivem Techno-Optimismus und vager Apokalyptik schwankt, bietet „The Coming Wave“ eine Analyse dessen, was potentiell auf uns zukommt – und wie es sich aufhalten ließe. Suleyman und Bhaskar schauen dabei aber weniger auf die Gegenwart, in der bereits konkrete Auswirkungen von KI spürbar werden, sondern konzentrieren sich eher auf die existenziellen Risiken der Zukunft.

    Suleyman, Mustafa / Bhaskar, Michael: The Coming Wave, Künstliche Intelligenz, Macht und das größte Dilemma des 21. Jahrhunderts, Verlag C.H. Beck.

  • Der Abbau von Rechtsschutz vor seinem Beginn

    Wie Europas AI Code of Practice bereits in der Entstehung zur Farce wird

    Die digitale Transformation durch Künstliche Intelligenz vollzieht sich in einem rechtlichen Vakuum, das systematisch perpetuiert wird. Beispielhaft für die Verzwergung einer nur noch auf dem Papier existierenden demokratisch legitimierten Mitgestaltung der Bedingungen in denen wir zukünftig leben werden ist der Code of Practice für General Purpose AI. Noch bevor wirksamer Rechtsschutz für Urheber und Kreative etabliert werden konnte, wird er schon wieder abgebaut. Worum geht es?

    Art 56 KI-Verordnung

    Der Code of Practice zur EU-KI-Verordnung (Artikel 56) ist der Leitfaden zur Umsetzung ihrer Vorgaben. Er wird nach dem Inkrafttreten der Pflichten für Anbieter generischer KI-Modelle (August 2025) und der Verabschiedung verbindlicher europäischer Standards (voraussichtlich ab August 2027) ein zentrales Instrument sein. Obwohl der Code rechtlich nicht bindend ist, setzt er die Standards und definiert die Prozesse, an die sich KI Unternehmen zukünftig werden halten müssen.

    Entwickelt wird der Code in einem Multi-Stakeholder-Prozess, an dem wissenschaftliche und unabhängige Expertinnen und Experten, Anbieter generischer KI-Modelle, nachgelagerte Anwenderinnen und Anwender, Vertreterinnen und Vertreter der Zivilgesellschaft sowie weitere Interessengruppen beteiligt sind.

    Ein Schutzinstrument wird zur Legitimationshilfe

    Von Entwurf zu Entwurf scheint man sich jedoch von der gesetzgeberischen Absicht einer effektiven Regulierung weiter zu entfernen. Der Vergleich der drei Entwürfe des EU AI Code of Practice offenbart eine perfide Realität: Die KI-Industrie hat bereits gewonnen, bevor der Kampf um Rechtssicherheit überhaupt begonnen hat. Während seit Jahren KI-Modelle wie ChatGPT mit urheberrechtlich geschützten Inhalten ohne Zustimmung oder Kompensation trainiert werden, wird nun rückwirkend ein Rechtsrahmen konstruiert, der diese Praxis legitimiert.

    Die Entwicklung ist bezeichnend: Waren KI-Anbieter ursprünglich zur Veröffentlichung ihrer Urheberrechts-Policies verpflichtet, werden sie nun nur noch dazu „ermutigt“. Aus niemals existierenden echten Compliance-Verpflichtungen wurden unverbindliche „angemessene Bemühungen“. Die bereits unzureichenden Transparenzanforderungen wurden weiter verwässert – bis zur völligen Streichung der Berichtspflicht über Rechtsvorbehalte.

    Die robots.txt-Falle

    Besonders misslungen ist die Reduktion der Opt-out-Mechanismen auf das veraltete robots.txt-Protokoll. Diese bewusste Beschränkung schafft eine perfide Zwickmühle: Wer robots.txt nutzt, um KI-Crawler zu blockieren, riskiert damit gleichzeitig, dass seine Inhalte nicht mehr in Suchmaschinen gefunden werden, da robots.txt primär der Verwaltung des Crawler-Traffics für Suchmaschinen dient.

    Die Absurdität wird durch die Social Media-Realität noch verstärkt: Auf Plattformen wie Facebook entscheidet Meta darüber, ob Nutzerfotos für KI-Training verwendet werden dürfen – nicht die Nutzer selbst, da robots.txt nur vom Seitenbetreiber kontrolliert wird. Millionen von Urhebern, deren Werke auf GitHub, Instagram oder YouTube veröffentlicht sind, haben praktisch keine Kontrolle über die Opt-out-Einstellungen, die Dritte für sie treffen müssen. Zudem ignorieren bereits viele KI-Services die robots.txt-Regeln vollständig.

    Transatlantischer Deregulierungsdruck

    Diese Entwicklung folgt einer bewährten Strategie der Tech-Industrie: „Move fast and break things, don’t ask for permission, beg for forgiveness.“ – mit dem Zusatz, dass die Scherben nie zusammengekehrt werden müssen. Der transatlantische Deregulierungsdruck verstärkt diese Dynamik. Mit Trumps Executive Order „Removing Barriers to American Leadership in Artificial Intelligence“ vom Januar 2025 wurde Bidens vorsichtige KI-Regulierung vollständig aufgehoben.

    Wo Biden noch auf minimale Sicherheitsstandards und Transparenz setzte, propagiert Trump eine „clean slate“-Politik ohne jede Aufsicht. Diese Politik der vollendeten Fakten erzeugt enormen Druck auf europäische Regulierer: Wer zu spät kommt, den bestraft die KI-Geschichte.

    Die rechtliche Bankrotterklärung

    Wie weit man noch von effektivem Rechtsschutz entfernt ist, zeigt ein aktuelles Urteil des OLG Köln vom 23. Mai 2025. Das Gericht bestätigte Metas Recht, öffentliche Nutzerdaten für KI-Training zu verwenden, da die „angekündigte Verwendung der Daten für KI-Trainingszwecke sich bei vorläufiger Betrachtung auch ohne Einwilligung der Betroffenen als rechtmäßig darstellt“. Mit minimalen Maßnahmen wie einer vorherigen Ankündigung und der theoretischen Möglichkeit zum Widerspruch wurde eine DSGVO- und DMA-konforme Datenverarbeitung attestiert.

    Die Ironie ist offensichtlich: Während ein schwacher Code of Practice noch diskutiert wird, bestätigen Gerichte dass ohne vernünftige, durchsetzbare Regeln digital weiter das Recht des stärkeren – und schnelleren, gilt. Erlaubt ist, was geht.

    Der erwartbare Widerstand

    Der Widerspruch kommt erwartungsgemäß von denen, die am meisten zu verlieren haben: Eine Allianz aus über 40 europäischen Kulturorganisationen – vom European Writers Council über IFPI und IMPALA bis hin zu Verlegerverbänden – schlägt Alarm. Ihre gemeinsame Botschaft ist eindeutig: „Kein Code ist besser als der grundlegend fehlerhafte dritte Entwurf.“

    Diese Koalition repräsentiert genau die Branchen, deren wirtschaftliche Existenz durch die schrankenlose KI-Ausbeutung am direktesten bedroht ist – die kreativen Grundlagen der europäischen Wissensgesellschaft kämpfen erwartungsgemäß um ihr Überleben.

    Ihre Kritik trifft den Kern des Problems: Der Code of Practice untergräbt nicht nur die Ziele der KI-Verordnung, sondern widerspricht geltendem EU-Recht. Statt einem „robusten Rahmen für Compliance“ liefert er nur noch symbolisches Compliance-Theater. Doch selbst dieses Theater ist überflüssig geworden: Das OLG-Urteil zeigt, dass bereits heute mit minimalen Formalitäten praktisch jede Datenverarbeitung legitimiert werden kann.

    Kurzsichtigkeit als Geschäftsmodell

    Die gegenwärtige Entwicklung offenbart eine systematische Kurzsichtigkeit. Indem regulatorische Standards bereits vor ihrer Etablierung demontiert werden, entsteht eine KI-Ökonomie der Intransparenz und Straflosigkeit. Die vermeintlichen Effizienzgewinne erkauft sich die Gesellschaft durch die systematische Enteignung geistigen Eigentums und den Verlust, demokratischer Kontrolle über Schlüsseltechnologien und im schlimmsten Fall der Demokratie selbst.

    Diese Entwicklung ist nicht nur rechtlich verheerend, sondern auch wirtschaftlich selbstzerstörerisch. Eine KI-Wirtschaft, die sich wie ein Parasit von bestehenden kreativen Inhalten nährt, ohne deren Schöpfer zu informieren, zu fragen oder zu kompensieren, untergräbt ihre eigenen Fundamente. Das robots.txt-System verstärkt diese Problematik, indem es Urheber vor die Wahl stellt: Entweder Sichtbarkeit in Suchmaschinen oder Schutz vor KI-Training. Diese falsche Alternative ist kein Zufall, sondern Kalkül – sie macht Widerstand gegen KI-Training für die meisten Rechteinhaber praktisch unmöglich. Presseverlegern dürfte das bekannt vorkommen.

    Die Illusion der nachträglichen Regulierung

    Dabei gäbe es durchaus Alternativen zur bedingungslosen Kapitulation vor vollendeten Tatsachen. Moderne Rechteverwaltungssysteme, verpflichtende Lizenzierungsmodelle und echte Transparenzpflichten könnten Innovation und Rechtsschutz versöhnen – wenn sie denn von Anfang an mitgedacht würden. Doch all diese Lösungen kommen zu spät, wenn die Pferde bereits durchgegangen sind. Stattdessen inszeniert Europa ein regulatorisches Theater, während es faktisch dem amerikanischen Modell der Dereglierung folgt. Die Verschiebung der finalen Veröffentlichung des Code of Practice ist symptomatisch. 

    Fazit: Der Sieg der vollendeten Tatsachen

    Die Debatte um den AI Code of Practice ist paradigmatisch für die Ohnmacht des Rechtsstaats gegenüber der digitalen Disruption. Technologische Innovation wird nicht nur über rechtliche Standards gestellt – sie macht sie von vornherein unmöglich. Eine Gesellschaft, die ihre Normen erst definiert, nachdem sie bereits gebrochen wurden, hat die Kontrolle über ihre eigene Zukunft verloren.

    Die Wahrheit ist, Europa steht nicht vor einer Wahl zwischen Innovation und Regulierung. Diese Wahl wurde längst getroffen – von Tech-Konzernen. Europa ist in der Lage, wirtschaftliche Entwicklung sowie die Werte der Union – wie Grundrechte, Demokratie und Umweltschutz – insgesamt zu fördern. Sie ist in der Lage Innovation mit Verantwortung zu verbinden.

  • DSGVO vs. China: Wenn Datenpolitik zum geopolitischen Risiko wird

    Grenzüberschreitende Datenflüsse sind dem Internet immanent und in einer digitalisierten Welt eine alltägliche Aktivität. Die notwendige Digitalisierung multinationaler Unternehmen hat zu einem komplexen Geflecht grenzüberschreitender Datenflüsse geführt. Während sich die DSGVO als harmonisierter europäischer Rahmen etabliert hat, entwickeln Drittstaaten nationale Datenschutzgesetze mit teilweise diametral entgegengesetzten Ansätzen, was zu erheblichen Compliance-Konflikten für Konzerne führt.

    Diese regulatorische Fragmentierung stellt die auf dem „Brussels Effect“ basierende EU-Digitalpolitik vor grundlegende Herausforderungen. Der regulatorische Einfluss der EU stößt dort an Grenzen, wo andere Großmächte bewusst konkurrierende Ansätze verfolgen und über die wirtschaftliche Macht verfügen, diese durchzusetzen.

    Friktionen ergeben sich etwa aus dem Zusammentreffen europäischer Datenschutzanforderungen mit den umfassenden staatlichen Datenzugriffsrechten Chinas. Mit dem Cybersicherheitsgesetz (2017), dem Datensicherheitsgesetz (2021), dem Gesetz zum Schutz personenbezogener Informationen (2021) und dem Nationalen Nachrichtendienstgesetz (2017) hat China weitreichende Kooperationspflichten, die Kollisionen mit der DSGVO schaffen.

    Vor diesem Hintergrund kommt den am 04. Juni 2025 vom EDPB angenommenen Guidelines 02/2024 zu Artikel 48 DSGVO besondere praktische Bedeutung zu. Die Guidelines konkretisieren erstmals umfassend die Voraussetzungen für die Anerkennung von Drittstaatsbehördenentscheidungen und etablieren einen strikten Zweistufen-Test.

    Diese Guidelines verdeutlichen, ja sie verschärfen die Compliance-Herausforderungen, da sie faktisch eine Anerkennung chinesischer Behördenanfragen ohne internationale Abkommen ausschließen.

    Ein Fachaufsatz von Prof. Dr. Raji zeigt unterschiedliche Umgangsarten mit diesen Herausforderungen auf. Konkretere Angaben zur Erscheinung werden wir Ihnen mitteilen.

  • Eröffnungsveranstaltung

    Mitschnitt der IfKI-Eröffnungsveranstaltung vom 09.10.2025

    Das Institut für KI und demokratische Transformation (IfKI) öffnet seine Türen. Wir freuen uns, zur Eröffnung in unsere neuen Räume in der Palmaille 96 einladen zu können. Der Abend markiert einen Auftakt. Wir bieten in Hamburg einen physischen Raum für kritischen Dialog und Auseinandersetzung mit drängenden Fragen unserer Zeit, in dem über Künstliche Intelligenz (KI) und digitale Transformation geforscht, nachgedacht und diskutiert wird. Technologischer Fortschritt löst Probleme und schafft dadurch neue. Fortschritt war noch nie eine Einbahnstraße in eine glänzende Zukunft. Ist KI lediglich ein Hype oder ist KI gerade dabei, unsere Welt grundlegend zu verändern? Was wären die Folgen für Demokratie, Rechtsstaat, Bewusstsein, Umwelt, Bildung, Kunst, Arbeit, usw.? Welche Gestaltungsmöglichkeiten gibt es und wer hat sie? Wir freuen uns, am Eröffnungsabend gemeinsam mit unseren beiden Gästen Dr. Constanze Kurz und Prof. Dr. Johannes Caspar in zwei Impulsvorträgen und einer anschließenden Diskussion erste Perspektiven auf das Themenspektrum und Spannungsfeld zu werfen, das uns als IfKI beschäftigen wird.

    Dr. Constanze Kurz: Künstliche Intelligenz – zwischen Milliardeninvestitionen, Umweltfolgen und Risiken für die IT-Sicherheit

    Die sog. Künstliche Intelligenz ist in den Alltag eingezogen, besonders Software, Bilder und Filme werden massenhaft generiert. Vor allem in Anbieter generativer KI-Anwendungen pumpen Investoren Milliarden. Aber was können diese KI-Technologien leisten, wo sind ihre Grenzen? Welche KI-Systeme sind nützlich und mit überschaubarem Risiko nutzbar, welche müssen als potentiell gefährlich angesehen werden? Was sollen die neuen KI-Agenten können, von denen alle grade sprechen? Und was bedeuten die neuen KI-Sprachmodelle eigentlich für die IT-Sicherheit? Und nicht zuletzt: Wie ist der veritable KI-Rechenzentrumsboom unter Umweltgesichtspunkten zu sehen? Dr. Constanze Kurz wird in ihrem Input auch analysieren, welche ethischen Fragen nun zu diskutieren sind.

    Zur Person: Dr. Constanze Kurz ist promovierte Informatikerin, Publizistin und Autorin von Sachbüchern über Technik, Computerisierung und Gesellschaft. Sie schreibt über Fragen des Datenschutzes, der technisierten Überwachung und der Ethik in der Informatik. Sie ist ehrenamtlich Sprecherin des Chaos Computer Clubs. Sie arbeitet in der Redaktion von netzpolitik.org. Zuletzt erschien ihr Sachbuch über „Cyberwar“ bei C.Bertelsmann.

    Prof. Dr. Johannes Caspar: Der Große Transfer. Recht am Limit

    Prof. Dr. Johannes Caspar beleuchtet in seinem Input die immensen regulatorischen Herausforderungen der postdigitalen Moderne und gewährt einen schlaglichtartigen Einblick in eine Rechtswelt, die sich mit ihrer Hyperkomplexität an der Grenze zur Dysfunktionalität bewegt.

    Zur Person: Prof. Dr. Johannes Caspar hat an der Universität Göttingen Jura studiert und 1992 zu Jean Jacques Rousseau promoviert. 1999 habilitierte er an der Universität Hamburg für die Fächer Staatsrecht, Verwaltungsrecht und Rechtsphilosophie. Von 2009 bis 2021 war er der Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit und hat von 2015 bis 2021 die unabhängigen deutschen Datenschutzbehörden der Länder in der EU vertreten. Caspar lehrt und forscht als Honoraprofessor an der Universität Hamburg und arbeitet als freier Autor. Von ihm erschien zuletzt „Wir Datensklaven. Wege aus der digitalen Ausbeutung“ bei Ullstein.

  • Die Gründung ist vollzogen – jetzt beginnt die Arbeit

    Am 28. März 2025 kamen die Gründungsmitglieder des Instituts für KI und demokratische Transformation in der Palmaille 96 in Hamburg zusammen. Was lange geplant war, fand nun seinen offiziellen Auftakt und seine juristische Form: als Verein, der sich mit dem Verhältnis von Technologie und Gesellschaft auseinandersetzen will.

    Die leeren Räume in der Palmaille warten nun auf Leben. Bald sollen hier jene Gespräche stattfinden, die in Hamburg mitunter vermieden werden – über Algorithmen als neue Machtstrukturen, über demokratische Kontrolle technischer Systeme, über die Frage, wem die Zukunft gehört. Das Institut will sich einmischen und Denkanstöße geben.

    Die Gründungsversammlung war der Startschuss. Nun beginnt die eigentliche Arbeit: Räume gestalten, Programme entwickeln, Netzwerke knüpfen. Hamburg bekommt einen Ort, an dem über die digitale Transformation gestritten werden kann – konstruktiv, fundiert, unbequem. Das Institut steht. Jetzt muss es sich bewähren.