6 Risiken von “Shadow AI” in Ihrer Organisation

Folgender Text ist ein Auszug aus “Shadow AI: Umgang mit den unsichtbaren Urheberrechtsrisiken in Ihrer Organisation“ von KMWorld. Den vollständigen Artikel können Sie hier lesen.

Die digitale Welt ist im stetigen und rasanten Wandel und stellt Organisationen vor eine neue Herausforderung an der Schnittstelle von Technologieeinsatz, Informationsmanagement und-steuerung und Einhaltung des Urheberrechts: Shadow AI. Während Führungskräfte an formellen Governance-Strukturen für KI arbeiten, nutzen Mitarbeitende generative KI-Tools in einem beispiellosen Ausmaß – häufig ohne offizielle Freigabe oder Aufsicht.

Diese Lücke birgt erhebliche Risiken, insbesondere in Bezug auf die Einhaltung des Urheberrechts über den gesamten KI-Lebenszyklus hinweg. Aus Sicht des Wissensmanagements sind urheberrechtliche Fragen in jeder Phase der KI-Nutzung innerhalb einer Organisation relevant:

Risiken bei Trainingsdaten und nachgelagerte Haftung

Basismodelle werden mit riesigen Datensätzen trainiert, die oft aus dem Internet zusammengetragen werden und zwangsläufig urheberrechtlich geschützte Texte, Bilder und Code enthalten. Die Rechtmäßigkeit dieser Trainingspraxis ist stark umstritten und derzeit Gegenstand von rund 40 laufenden Klagen von Rechteinhabenden gegen große KI-Anbietende. Diese bislang beispiellose Prozesswelle wird die Gerichte über Jahre beschäftigen und kann zu widersprüchlichen, stark einzelfallabhängigen Entscheidungen führen.

Für international tätige Organisationen vervielfacht sich die rechtliche Komplexität durch unterschiedliche Rechtsordnungen. Während sich Verfahren in den USA vor allem um das Fair-Use-Prinzip drehen, setzen andere Regionen andere Schwerpunkte. Der EU-AI-Act etwa verpflichtet zu Transparenz über Trainingsdaten und zur Berücksichtigung von Opt-out-Erklärungen von Rechteinhabenden beim Text- und Data-Mining (gemäß Artikel 4 Absatz 3 der Richtlinie über den digitalen Binnenmarkt). Dadurch entsteht ein regulatorischer Flickenteppich: Trainingspraktiken, die in einer Region möglicherweise zulässig sind, können in einer anderen klar rechtswidrig sein.

Wird das Training eines Modells letztlich als rechtsverletzend eingestuft, kann das Modell selbst problematisch werden. Daraus ergeben sich erhebliche nachgelagerte Urheberrechtsrisiken für jede Organisation, die dieses Modell oder dessen Outputs nutzt – unabhängig davon, ob sie am ursprünglichen Training beteiligt war oder nicht.

Fine-Tuning mit proprietären oder lizenzierten Inhalten

Organisationen passen vortrainierte Modelle häufig mit spezifischen Datensätzen an, die interne, proprietäre Daten sowie urheberrechtlich geschützte Inhalte enthalten können. Bei unternehmensfremden, geschützten Inhalten ist vor dem Fine-Tuning eine sorgfältige Rechteprüfung erforderlich: Sind die Inhalte ordnungsgemäß lizenziert? Und erlaubt die Lizenz ausdrücklich die Nutzung für KI-Training oder Fine-Tuning?

Diese Prüfung ist entscheidend, da die gängigen Inhaltslizenzen KI-Trainingszwecke in der Regel nicht abdecken. Wer dennoch davon ausgeht, bestehende Lizenzen ließen sich einfach auf diese neuen Anwendungsfälle übertragen, setzt sich erheblichen Verletzungsrisiken aus.

Prompting und geschützte Werke

Mitarbeitende geben häufig bestehende Texte ein oder laden Bilder in KI-Tools hoch, um Zusammenfassungen, Analysen oder Übersetzungen zu erstellen. Schon das Kopieren und Einfügen wesentlicher Teile eines urheberrechtlich geschützten Werks kann eine Rechtsverletzung darstellen, da dadurch eine oder mehrere nicht autorisierte Kopien erstellt und gespeichert werden.

Auswirkungen von RAG-Systemen (Retrieval-Augmented Generation)

RAG-Systeme erweitern KI-Antworten, indem sie dem Modell Zugriff auf externe Wissensquellen geben, um eine Antwort zu generieren. Für die Implementierung muss sichergestellt werden, dass die Organisation die Rechte besitzt, damit die KI die Inhalte kopieren, verarbeiten und nutzen darf.

Greift ein RAG-System auf interne Quellen mit nicht lizenzierten Drittinhalten zu, können sowohl der Zugriff selbst als auch die resultierenden Outputs eine Rechtsverletzung darstellen und gegen Lizenzbedingungen verstoßen. Dies gilt auch für lizenzierte Datenbanken, deren Lizenzen KI-gestützte Abfrage und Generierung nicht erlauben.

Risiken bei KI-Outputs und geschützten Werken

Auch die Ergebnisse selbst können urheberrechtlich relevant sein. Wenn Outputs geschützten Werken, die beim Training, Prompting oder Abruf verwendet wurden, in wesentlichen Teilen ähneln, kann dies eine Verletzung des Vervielfältigungsrechts oder die unzulässige Erstellung eines abgeleiteten Werks darstellen.

Rechtliche Entwicklungen im Blick behalten

Das rechtliche Umfeld rund um KI und Urheberrecht entwickelt sich rasant. Ein wegweisendes Urteil aus dem Februar 2025 (Thomson Reuters v. Ross Intelligence) verwarf die Berufung auf Fair Use beim KI-Training. Das Gericht stellte fest, dass die Nutzung kommerziell und nicht transformativ war, da Ross ein konkurrierendes Produkt mit demselben Zweck wie Westlaw entwickelte und dafür urheberrechtlich geschützte Headnotes von Westlaw zum Training verwendete. Zudem betonte das Gericht, dass das Produkt den potenziellen Lizenzmarkt von Thomson Reuters für KI-Trainingsdaten beeinträchtigen könne.

Auch wenn gegen diese Entscheidung Berufung eingelegt wurde, zählt sie zu den ersten inhaltlichen gerichtlichen Auseinandersetzungen mit Fair Use im Kontext von KI-Training. Sie deutet darauf hin, dass Gerichte die Nutzung geschützter Materialien bei der KI-Entwicklung genau prüfen werden – insbesondere dann, wenn das Ergebnis direkt mit dem Original konkurriert oder einen bestehenden oder potenziellen Lizenzmarkt stört.

Verantwortliche für Wissensmanagement sollten zudem die fortlaufenden Leitlinien des U.S. Copyright Office verfolgen. Dieses sieht eindeutig vor, dass urheberrechtlicher Schutz nur für Werke menschlicher Urhebender gilt und KI selbst nicht als „Autorin“ oder „Autor“ im Sinne des US-Urheberrechts angesehen wird. Daraus ergeben sich zentrale Fragen zur Schutzfähigkeit KI-unterstützter Werke und zum erforderlichen Maß menschlicher kreativer Leistung. Das ist besonders relevant für Organisationen, die KI-gestützte Outputs schützen, vermarkten oder in ihrer Nutzung beschränken wollen – darunter Verlage, Medienunternehmen, Finanzdienstleistung, Forschungseinrichtungen, Beratungsunternehmen sowie alle Organisationen, die proprietäre Berichte, Analysen, Newsletter oder andere geschützte Informationsinhalte erstellen.