Darf ich ein Dokument hochladen, einen erzeugten Text veröffentlichen oder KI bei einer Personalentscheidung einsetzen? Das sind unterschiedliche Rechtsfragen. Maßgeblich sind Material, Verwendungszweck und deine Rolle. Diese Übersicht erläutert die Grundlagen für Deutschland und die EU mit Stand 5. September 2026; Einzelfälle brauchen eine eigene rechtliche Prüfung.
3 Min. Lesezeit
6 Abschnitte
14 Quellen
Stand: 16. Juni 2026
Trainingsdaten: Zugang ist noch keine Erlaubnis
§ 44b UrhG erlaubt unter Bedingungen Vervielfältigungen rechtmäßig zugänglicher Werke für Text und Data Mining. Ein wirksamer Nutzungsvorbehalt kann diese Erlaubnis ausschließen; bei online zugänglichen Werken muss er maschinenlesbar sein. Für wissenschaftliche Forschung enthält § 60d eigene Regeln und einen begrenzten Kreis Berechtigter.
Ob ein konkretes Modelltraining zulässig ist, hängt vom Sachverhalt und der Rechtsordnung ab. Davon getrennt ist die Frage, ob eine Ausgabe geschützte Bestandteile wiedergibt. Eine Erlaubnis zum Training ist keine pauschale Erlaubnis für jede spätere Veröffentlichung. Auch die Anbieterpflichten für allgemeine KI-Modelle nach dem AI Act ersetzen diese Prüfung nicht.
Kann ein KI-Ergebnis urheberrechtlich geschützt sein?
In Deutschland setzt ein Werk eine persönliche geistige Schöpfung voraus (§ 2 Absatz 2 UrhG). Bei KI-gestützten Arbeiten kommt es daher auf den menschlichen schöpferischen Beitrag an. Eigene Auswahl, Anordnung oder Bearbeitung können relevant sein; ein automatisch erzeugtes Ergebnis begründet nicht von selbst ein Urheberrecht.
Das US Copyright Office zieht in seinem Bericht von Januar 2025 eine ähnliche Grenze: Rein KI-generiertes Material erhält keinen Schutz, menschliche Gestaltung kann geschützt bleiben. Daraus folgt aber nicht, dass ein Ergebnis frei von fremden Rechten wäre. Urheberrechte Dritter, Marken und Persönlichkeitsrechte sind zusätzlich zu beachten.
MerksatzEigener Urheberrechtsschutz und die Erlaubnis zur Nutzung sind zwei verschiedene Fragen.
Was du vor dem Hochladen klären musst
Sobald personenbezogene Daten verarbeitet werden, braucht es eine passende Rechtsgrundlage. Außerdem zählen Zweck, Datenumfang, Speicherfristen, Empfänger und gegebenenfalls internationale Übermittlungen. Ein Auftragsverarbeitungsvertrag kann erforderlich sein, macht eine unzulässige Verarbeitung aber nicht zulässig.
Prüfe getrennt, ob der Dienst Eingaben zum Training nutzt, wie lange er sie speichert und wer darauf zugreifen kann. „Kein Training“ bedeutet nicht „keine Speicherung“. Weder ein bezahltes Abo noch die Bezeichnung Enterprise beantwortet diese Fragen allein. Der EDSA betont in seiner Stellungnahme 28/2024 die Prüfung des konkreten Falls.
Was ein EU-Serverstandort klärt – und was offenbleibt
Ein Verarbeitungsort in der EU kann für die Datenschutzprüfung wichtig sein. Er beantwortet noch nicht, welche Unternehmen Zugriff haben, welche Unterauftragnehmer beteiligt sind oder ob Support- und Protokolldaten anderswo verarbeitet werden.
Für die betriebliche Kontrolle zählen auch Exportmöglichkeiten, Schlüsselverwaltung, Zugriffsrechte und ein geübter Anbieterwechsel. Prüfe diese Eigenschaften einzeln. Der Sammelbegriff „digitale Souveränität“ ist dafür zu ungenau.
Der AI Act unterscheidet verbotene Praktiken, Hochrisikosysteme und besondere Transparenzpflichten. Entscheidend sind Einsatzzweck und Rolle: Anbieter eines Modells und Unternehmen, die ein System einsetzen, haben unterschiedliche Pflichten. Auch außerhalb der Hochrisikoklassen gelten andere Gesetze weiter.
Die EU-Kommission meldet den AI Omnibus seit dem 27. Juli 2026 als in Kraft. Die Hochrisikoregeln für Anhang III gelten ab 2. Dezember 2027, für die von Anhang I erfassten produktgebundenen Systeme ab 2. August 2028. Die Transparenzregeln gelten seit 2. August 2026. Für allgemeine KI-Modelle bestehen bereits seit August 2025 Pflichten mit Übergangsregeln.
Artikel 50 verlangt je nach Fall etwa Hinweise auf KI-Interaktion, technische Kennzeichnung synthetischer Ausgaben oder Offenlegung von Deepfakes. Er verlangt nicht pauschal ein sichtbares KI-Label auf jedem bearbeiteten Text. Ausnahmen und die Unterschiede zwischen Anbieter- und Betreiberpflichten gehören zur Prüfung.
KI-Nutzung verschiebt Verantwortung nicht automatisch auf den Modellanbieter. Ob jemand für einen Schaden haftet, hängt unter anderem von Pflichtverletzung, Vertrag, Verschulden und anwendbarem Haftungsrecht ab. Eine pauschale Regel „immer der Nutzer“ wäre ebenso falsch wie „immer der Hersteller“.
Für die Praxis sollte klar sein, wer Ergebnisse freigibt und welche Prüfung nötig ist. Eine erfundene Quellenangabe in einem Entwurf und eine falsche Information in einem veröffentlichten Kundenangebot haben unterschiedliche Folgen. Dokumentiere bei wichtigen Entscheidungen die Grundlage und die menschliche Prüfung.