ChatGPT – Rechtlich relevante Gesichtspunkte bei Nutzung des KI-Sprachmodells

Werden in den Prompts Angaben gemacht, die auf eine Person direkt oder indirekt schließen lassen, werden über ChatGPT personenbezogene Daten verarbeitet.

Datenschutzrechtlich problematisch wird die Nutzung von ChatGPT, wenn Unternehmen diese in ihre Website integrieren oder basierend auf der Sprachmodell-Technologie eigene Applikationen bauen und diese gegenüber ihren Kunden anbieten. In diesem Fall müssen entsprechende datenschutzrechtliche Vereinbarungen wie eine Auftragsverarbeitungsvereinbarung (AVV) mit OpenAI abgeschlossen werden. Der Abschluss einer AVV ist jedoch keineswegs ausreichend. Es müssen aufgrund des US-Datentransfers zusätzlich die EU-Standardvertragsklauseln abgeschlossen werden. Unternehmen sollten darauf achten, ob zusätzliche Sicherungsmaßnahmen im DPA beschrieben sind und müssen aufgrund des US-Transfers nach den Vorgaben der EU-Standardvertragsklauseln ein Transfer Impact Assessment durchführen.  

Die Mitarbeiter von Unternehmen sollten sensibilisiert werden, keine Prompts bei ChatGPT einzutragen, die personenbezogenen Daten von einem ihrer Kunden, Lieferanten, Geschäftspartner oder Arbeitskollegen enthalten. Dies könnte beispielsweise neben dem Namen auch eine Telefonnummer der betreffenden Person sein. Schließlich ergibt sich aus den Terms and Conditions von OpenAI, dass ChatGPT die Prompts nutzt, um darauf aufbauend das KI-Sprachmodell weiterzuentwickeln. Es kann damit nicht ausgeschlossen werden, dass von den Nutzern eingegebene personenbezogene Daten als Output bei einem anderen Nutzer von ChatGPT erscheinen. Dadurch besteht die Gefahr eines Datenschutzverstoßes. Es sollte außerdem beobachtet werden, wie sich die Datenschutzaufsichtsbehörden zu generativen KI-Sprachmodellen wie ChatGPT äußern werden.

Urheberrechtliche geschützte Werke setzen eine persönliche geistige Schöpfung des Urhebers voraus. Eine solche persönliche geistige Schöpfung kann nur auf eine menschliche Leistung zurückgehen. Dies ergibt sich aus § 2 Abs.2 Urheberrechtsgesetz. Mit anderen Worten: Ergebnisse, die KI-basierte Anwendungen wie ChatGPT erstellt, sind grds. nicht urheberrechtlich geschützt. ChatGPT kann daher nicht Urheber des vom KI-Sprachmodell erzeugten Outputs sein. Entsprechend kann ChatGPT den Nutzern auch keine (kommerziellen) Nutzungs- und Verwertungsrechte einräumen. Die Texte können stattdessen grds. frei von dem Nutzer von ChatGPT verwendet werden.

Ohne nähere Einblicke in die Trainingsdaten, ist es unmöglich zu beurteilen, wem die Urheberrechte an dem Output von ChatGPT tatsächlich zustehen. Unklar ist auch, ob die Nutzer, die mit ihrem Prompt, den Text-Output veranlassen, als Urheber angesehen werden können. Aus Ziffer 3 (a) der Terms and Conditions von OpenAI mit Stand vom 13. Dezember 2022 ergibt sich lediglich, dass dem Nutzer alle Rechte an dem Output zustehen („OpenAI hereby assigns to you all its right, title and interest in and to Output“, vgl. https://openai.com/terms/). Welche Rechte dies im Einzelnen umfassen soll, bleibt jedoch offen.

Die Nutzung von ChatGPT kann sich auch auf den Schutz von Betriebs- und Geschäftsgeheimnissen auswirken. So ist es nicht auszuschließen, dass sich Nutzer zu einer Erwähnung von Betriebs- und Geschäftsgeheimnissen in den Prompts verleiten lassen. Die Motivation hierfür kann darin liegen, dass der Nutzer die Qualität des Outputs erhöhen will. Ein Nutzer könnte beispielsweise ein Geschäftsgeheimnis erwähnen, um Anregungen für weitere Produktideen oder Ideen für neue Dienstleistungen zu bekommen. Ein Risiko für den Schutz von Betriebs- und Geschäftsgeheimnissen folgt aus dem Umstand, dass Betriebs- und Geschäftsgeheimnisse möglicherweise in falsche Hände gelangen könnten. Denn ChatGPT verwendet möglicherweise den Prompt und Output für die Entwicklung oder Verbesserung seiner Dienste. Darauf deuten die Terms and Conditions von ChatGPT hin. Darin heißt es in Ziffer 3 (c) „One of the main benefits of machine learning models is that they can be improved over time. To help OpenAI provide and maintain the Services, you agree and instruct that we may use Content to develop and improve the Services.”

Unternehmen sollten daher ihre Mitarbeiter sensibilisieren, keine geschäftskritischen Informationen als Prompt gegenüber ChatGPT preiszugeben. Anderenfalls könnten diese Informationen in die Hände konkurrierender Unternehmen gelangen und das eigene Geschäftsgeheimnisschutzkonzept des Unternehmens umgehen.

Das Thema Künstliche Intelligenz wird das Jahr 2023 maßgeblich prägen, denn ChatGPT ist keineswegs die einzige KI-Anwendung, die kürzlich erschienen oder zumindest ihren Durchbruch feiern kann. Hierzu gehört beispielsweise DALL-E oder Midjourney für KI-generierte Bilder, KI-generierte Kunst mit Stable Fusion, KI-generierte Text mit Jasper oder KI-generierte Videos mit Synthesia. Auch Google hat kürzlich bekanntgegeben, noch in diesem Jahr seine Suchmaschine mit Chatbot-Funktionen auszustatten. OpenAI arbeitet derweil am GPT-4, dem Nachfolger des aktuellen Chatbots, der laut Medienberichten mit 100 Billionen Parametern trainiert wird. Es bleibt also spannend, wie sich der Wettlauf zwischen OpenAI und Google weiterentwickelt.

Bei der Nutzung dieser KI-Anwendungen sollten Unternehmen darauf achten,

• welche Rechte sich die Anbieter der KI-Anwendungen an dem Input bzw. den Prompts einräumen lassen,
• welche datenschutzrechtlichen Vereinbarungen abgeschlossen werden müssen, um Datentransfers in unsichere Drittländer zu legitimieren und
• wie es sich mit der kommerziellen Verwertung des Outputs verhält.

Hierzu müssen die Allgemeinen Geschäftsbedingungen bzw. Terms and Conditions, die Lizenzvereinbarungen sowie die Datenschutzerklärungen der KI-Anbieter im Einzelfall genau geprüft werden.

Unternehmen, die KI-Anwendungen entwickeln oder KI-Anwendungen in ihre eigenen Produkte und Dienstleistungen integrieren, sollten die Entwicklungen des Europäischen Gesetzgebers zur Regulierung von Künstlicher Intelligenz aufmerksam verfolgen. Hierzu zählt allen voran die geplante Verordnung zur künstlichen Intelligenz sowie die Vorschläge der EU-Kommission für eine Überarbeitung der Produkthaftungsrichtlinie und einer neuen Richtlinie über KI-Haftung.