De omnibus non curat praetor

KIR 2026, 1   Eine meiner persönlichen, anekdotisch und aus Lebenserfahrung gespeisten Theorien ist, dass die Digitalisierung und also auch „die“ KI und die sie begleitende Regulierung die Arbeit nicht verschwinden lassen, sondern im Gegenteil dazu beitragen, dass diese noch stärker verdichtet, anspruchsvoller und (erzwungen) qualitätsvoller werden wird. Es gibt derzeit kaum ein besseres Beispiel für diese Theorie als die KI-VO selbst.

Bekanntlich wurde diese in großer Eile verhandelt und erlassen, in fast ebenso schneller Abfolge sollte sie anwendbar werden. In den wenigen Monaten seither wurden Tausende Seiten Kommentar geschrieben und veröffentlicht, Hunderte Seminare zur Herstellung von KI-Kompetenz organisiert und abgehalten, Zeitschriften gegründet, Pressekonferenzen abgehalten, Studiengänge und Lehrstühle eingerichtet oder umbenannt, nationale und europäische Kompetenzstellen gegründet, Karriereentscheidungen getroffen, Regierungsämter besetzt usw.

Noch ist man damit nicht annähernd fertig, schon ändert sich (wieder) (fast) alles. Mit 19.11.2025 präsentierte die EU-Kommission gleich zwei Verordnungsvorschläge, die das, was überwiegend noch gar nicht anwendbar und/oder verstanden ist, nun schon wieder modifizieren soll. Mit COM(2025) 837 final einerseits zur Novellierung u.a. der DS-GVO und COM (2025) 836 final zur Anpassung der KI-VO andererseits, fallen erneut mehr als 200 Seiten Text – mehr als 200 Seiten Staff Working Document und Anhänge noch nicht mitgezählt – auf uns herunter und wollen – irgendwie – beachtet werden. Sie treten hinzu zu den 144 Seiten, die die KI-VO selbst hat, und zB der Mitteilung der EU-Kommission C(2025) 5052 final zu verbotenen KI-Praktiken (134 Seiten) oder C(2025) 5053 final zur Definition des KI-Systems (13 Seiten) – und so weiter.

Man könnte in die – vermutlich jahrtausendealte – Klage von der Normenflut also aus voller Kehle einstimmen und eine vermutlich jahrzehntealte – Hoffnung zum Ausdruck bringen, die Digitalisierung des Rechtssystems – nun in der Ausformung von KI – möge uns allen – endlich – dabei helfen, diese Flut dann auch irgendwie zu bewältigen; vielleicht diesmal auch wenigstens auf den ersten Blick zu Recht, denn die von Systemen wie Perplexity zusammengestellten 1-Pager zu den Verordnungsentwürfen, deren Generierung Sekunden dauert, sind gar nicht mal schlecht („Fasse dieses Dokument auf einer Seite zusammen: COM(2025) 837 final v. 19.11.2025“, Ausgabe von Perplexity, abrufbar unter: https://www.perplexity.ai/search/fasse-dieses-dokument-auf-eine-vvRwCkWoQ7mnHoEUjHB0Sg#1; „Fasse dieses Dokument auf einer Seite zusammen: COM(2025) 836 final v. 19.11.2025“, Ausgabe von Perplexity, abrufbar unter: https://www.perplexity.ai/search/fas se-dieses-dokument-auf-eine-vvRwCkWoQ7mnHoEUjHB0Sg#2) – jedenfalls kaum schlechter als die menschlich erstellten Orientierungspapiere, die ich zum Thema bisher gelesen habe (und zu denen dieser Text hier, selbstverständlich, auch zählt).

Man könnte auch den Titel, unter dem die EU-Kommission das Paket präsentiert – OMNIBUS – problematisieren, weil damit insinuiert wird, es würden endlich alle Rechtsfragen geklärt oder wenigstens angesprochen, was schon deshalb nicht der Fall ist, weil das Urheberrecht beklagenswert unberührt bleibt.

Eine nähere Befassung damit will bzw. muss ich hintanstellen und stattdessen aus dem Füllhorn neuer Probleme, mit denen sich nun intensiv befassen kann, wer dazu Zeit und Lust hat (und dafür bezahlt wird), nur zwei herausgreifen.

I. KI-Kompetenz

Eine der wenigen Bestimmungen der Verordnung, die bereits heute wenigstens eine gewisse Wirkung entfaltet haben mögen, ist Art. 4 KI-VO. Er verpflichtet bisher „Anbieter und Betreiber von KI-Systemen“, Maßnahmen zu ergreifen, „um nach besten Kräften sicherzustellen, dass ihr Personal … über ein ausreichendes Maß an KI-Kompetenz verfüg[t]“, wobei eine große Zahl von unklaren Variablen „zu berücksichtigen sind“ – darunter „Education and Training“.

Statt nun freilich etwas mehr Klarheit darin zu bringen, welche finale Funktion mit dem „um“ eigentlich zum Ausdruck gebracht werden soll (Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen), was die verlangten „besten Kräfte“ bedeuten oder was ein ausreichendes Maß an KI-Kompetenz eigentlich sein soll (Art. 3 Nr. 56 KI-VO hilft nicht viel), soll die Bestimmung nun dahingehend „abgemildert“ werden, dass hinfort nicht mehr Anbieter und Betreiber direkt verpflichtet werden, sondern stattdessen die Kommission und die Mitgliedsstaaten, Anbieter und Betreiber zu ermuntern („encourage“), Maßnahmen zu ergreifen.

Zwar wird rätselhafterweise aus „education and training“ im geltenden Art. 4 KI-VO nun ein zu berücksichtigendes „level of education and training“, aber abgesehen von diesem Detail sind die Formulierungen weitgehend ident. Es ist etwas „ironisch“, dass die EU-Kommission die Neuformulierung damit begründet, diese sei motiviert als Vereinfachung („requiring the Commission and the Member States to foster AI literacy instead enforcing unspecified obligation on providers and deployers of AI systems in this respect“), weil doch recht unklar bleibt, warum mehr Klarheit nun ausgerechnet (allein) aus einer behördlichen Ermunterungspflicht entstehen soll. Diese Verpflichtung ist geeignet, vor allem eines zu schaffen: Neue KI-Kompetenz-Bestätigungsformulare, die von Betroffenen einzureichen sein werden, um sich der Ermunterungen zu erwehren.

Wichtiger ist, dass rational operierende Unternehmen ohnehin dafür sorgen müssen, die erforderliche KI-Kompetenz verfügbar zu haben und dass die bisherigen Bemühungen, sofern sie denn trotzdem wirklich durch Art. 4 KI-VO veranlasst wurden, nunmehr zuverlässig als frustrierte Aufwendungen abgeschrieben werden müssten.

II. Rechtsgrundlage für KI-Training

Ergänzt werden soll die DS-GVO durch Aufnahme einer Rechtsgrundlage zur Verarbeitung sensibler personenbezogener Daten für Zwecke des KI-Trainings und der KI-Nutzung – Art. 9 Abs. 2 lit. k DS-GVO iVm einem neu zu schaffenden Art. 9 Abs. 5 DS-GVO. Dieser erlaubt die Verarbeitung aber nur unter bestimmten Voraussetzungen. Die Regelungstechnik ist schon deshalb bemerkenswert, weil nicht einfach ein Sollensgebot in der Norm vorgesehen ist, sondern mit diesem zugleich auch jeweils ein „Plan B“ offeriert wird, der zu greifen hat, wenn das Gebot selbst eben nicht eingehalten wird oder werden kann. Zunächst greift die Ermächtigung nur, wenn „appropriate organisational and technical measures“ implementiert wurden, um die Erhebung und Verarbeitung sensibler Daten (überhaupt) zu vermeiden. Wo der Verantwortliche jedoch „despite the implementation of such measures“ trotzdem sensible Daten in den Datensätzen findet, muss er diese entfernen. Damit zeigt sich, erstens, dass die Maßnahmen zur Vermeidung dieser Daten offensichtlich nicht angemessen waren, und man fragt sich zweitens interessiert, wie diese Daten, die es eigentlich gar nicht geben darf, einigermaßen zuverlässig und vor allem überprüfbar vom Verantwortlichen, der daran wenig Interesse haben wird, gesucht und gefunden werden sollen.

Falls die Entfernung solcher Zufallstreffer dann nur mit überproportionalem Aufwand möglich wäre (wiederum: Wer bestimmt das wann und wie?), muss der Verantwortliche solche Daten eben doch nicht löschen, sondern nur ohne unangemessene Verzögerung zuverlässig davor schützen („effectively protect“), für den Output des KI-Systems oder Modells verwendet, Dritten offengelegt oder anders zugänglich gemacht zu werden.

Man sieht deutlich die Absicht, hier die ohnehin – insbesondere von den großen Modellanbietern – längst gepflogenen Verarbeitungsschritte und begleitenden Maßnahmen zu legitimieren, und muss sich schon deshalb fragen, warum ausgerechnet das die europäische KI-Wirtschaft fördern soll – ganz abgesehen von der Grundsatzfrage, ob ein solcher Umgang mit Art. 9 DS-GVO denn aus grundsätzlicher (grundrechtlicher) Sicht geboten oder wenigstens vertretbar ist.

Vor allem aber: Der EuGH hat in Rechtssache C-667/21 (EuGH GRUR-RS 2023, 36822) klar festgehalten, dass eine auf Art. 9 DS-GVO gestützte Verarbeitung „nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergeben den Anforderungen einhält, sondern auch mindestens eine der in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen erfüllt.“

Das bedeutet: Zusätzlich zu der neu geschaffenen Art. 9 DS-GVO Rechtsgrundlage bedarf es weiterhin einer solchen aus Art. 6 Abs. 1 DS-GVO, wo in aller Regel nur Buchstabe f – also das berechtigte Interesse – zur Verfügung stehen wird. Dazu sagt aber der Omnibus-Entwurf in einem ganzen langen, eigens nun vorgeschlagenen Art. 88c DS-GVO weiterhin nichts, außer drei Trivialitäten:

• Es kommt darauf an („such processing may be pursued for legitimate interests within the meaning of Article 6(1)(f) of Regulation (EU) 2016/679, where appropriate, except where other Union or national laws explicitly require consent, and where such interests are overridden by the interests, or fundamental rights and freedoms of the data subject“),

• Es sollen sich alle sehr bemühen („subject to appropriate organisational, technical measures and safeguards for the rights and freedoms of the data subject“)

• Es besteht ein Recht auf Widerspruch („providing data subjects with an unconditional right to object to the processing of their personal data“). Bei diesem bleibt freilich schon unklar, wie es denn erhoben werden können soll, wenn der alte römische Spruch „impossibilium nulla est obligatio“ (Unmögliches kann nicht Gegenstand einer rechtlichen Verpflichtung sein) greift, weil und sofern sich die personenbezogenen Daten nicht einfach wieder aus dem Modell herausholen und löschen lassen.

Wir werden uns also weiterhin darauf verlassen können, dass Änderungen der KI-Rechtslage vor allem als paradoxe Intervention begriffen werden müssen, die – als Vereinfachung intendiert – Komplexität erhöhen.

Als Jurist bzw. Juristin kann man darüber nicht klagen.