AI and GPT for all?

Was in Deutschland seit Jahrzehnten z.B. am DFKI in Saarbrücken erforscht wird, „geht jetzt mainstream“ seit openai et alt. Large Language Models sieht der Jurist als spannende Themen – dabei geht es weniger um das ferne Szenario (dazu kann man den Film Matrix im Hinterkopf behalten), sondern es zeigen sich aktuelle juristische Haftungsthemen.

Wie intelligent und zuverlässig die künstliche Intelligenz ist, die mittelständischen Wirtschaftsunternehmen zugänglich ist, werden wir in der Praxis erfahren. Vermutlich wird sich das Erscheinungsbild von Unternehmen im Web (und drumrum elektronisch) drastisch verändern. Nutzer werden einfachere und schnellere Informationsvermittlung zu Produkten, deren Handhabung und Reparatur erwarten. Herausforderungen dabei liegen in der umfassenden Bereitstellung von präzisen, richtigen und nicht verwässerten Informationen. Für die Unternehmensführung – und grundsätzlich wegen der Überwachungspflicht nicht nur für den CTO – bedeutet das, dass Dritten und Mitarbeitern nicht gestattet wird, GPTs mit allen möglichen Daten zu trainieren.

Vordringlichste Aufgabe aller führenden Mitarbeiter ist den mit der IT Befassten klarzumachen, welche KI verwendet werden darf/soll und welche Systeme und Anbieter hinter der verwendeten KI stehen und wohin Daten abfließen. Und: was man dazu im Unternehmen nicht weiß und vor Einsatz herausfinden muss. Außerdem ist es wichtig, stets die Auswahl der Daten zu überwachen, mit denen die Modelle trainiert werden.

Geschäftsführer und Vorstände müssen erkennen, dass binnen Sekunden Haftungsrisiken entstehen, wenn den GPTs Daten zum Training als Scan-Material freigegeben werden, die unter Geheimhaltung stehen und deren Verbleib ungeklärt ist.

Auf ein deutsches Gütesiegel für Künstliche Intelligenz werden viele nicht warten wollen. Die Risiken des „volle Kraft voraus“ sind aber offensichtlich:

GPT schreibt deine E-Mail? Und auch die deines Konkurrenten?

(eine der Fragen)

Aus der juristischen, insbesondere anwaltlichen Warte wird verstanden, dass die Entwicklung künstlicher Intelligenz zu immensen Möglichkeiten und Geschäftschancen für Unternehmen führt. Der Trend setzt Marktteilnehmer unter Druck, KI einzusetzen. Ein ungeplanter Einstieg, ohne die Auswirkungen zu kalkulieren, welche fehlerhafte oder unberechtigt vermittelte Daten hervorrufen, ist extrem haftungsträchtig. Das Thema Datensicherheit bleibt aktuell: Don´t let them spy using AI.

#hashtag – not Pechtag

Die Nutzung von Hashtags in Social Media und Video-Portalen boomt. 2021 führte YouTube die Suche mittels Hashtags ein, wohl um mit den marktstarken Diensten von TikTok mitzuhalten. Von Twitter kennt jeder die Kurzbeschreibungen nach der Raute (#). Tagging war ein wesentlicher Erfolgsfaktor für die Kurznachrichten unter dem Vogel. Da wir künftig eher mehr als weniger Tags sehen werden, ist es wichtig nochmal ausdrücklich auf einen juristischen Aspekt des Tagging hinzuweisen:

Bei der schnellen Eingabe der Tags zu Bildern (gerade von Mobilgeräten) wird gelegentlich vergessen, wie wesentlich die Kurzbeschreibungen auch aus rechtlicher Sicht sind. Sie haben nicht zu unterschätzende Auswirkungen auf das Auffinden von Suchergebnissen. Damit sind die Hashtags ein wichtiger Bestandteil von Werbe–Strategien und müssen sich auch an den gleichen gesetzlichen Rahmenbedingungen messen lassen.

Tags als Bildbeschreibungen z.B. sind im Zusammenhang mit dem Rest der dem User dargestellten Seite/Präsenz zu interpretieren. Die unternehmerische Sorgfalt gebietet vor oder bei Eingabe die Bewertung des Gesamtaussagegehalts der Tags aus Sicht des Wettbewerbsrechts. Insbesondere gibt § 4 UWG den Mitbewerbern einen Hebel gegen irreführende und falsche Tags. Zu viel Hype in den Tags kann Abmahnungen nach sich ziehen. Falschinformation, Herabsetzung oder Verunglimpfung sind also mehr als depreciated.

Fragen Sie RA Fink, wenn Sie im Konkurrenzverhältnis in Social Media Ungereimtheiten entdecken und das nicht dulden wollen. In diesem Sinne: #finklawdoesit

Geheimnisschutz: E2E im Conferencing

Mittelständische Unternehmen nehmen die Herausforderungen der Situation an – dazu zählt oft auch die Auswahl eines Tools für Online-Conferencing. Obwohl viel darüber geschrieben wird und viele Konferenzen über unterschiedliche Anbieter stattfinden, sind die Auswahlkriterien nicht leicht zu erfassen. Der gemäß gesetzlicher Anforderung sorgfältig handelnde Kaufmann muss viele Aspekte bedenken, wie

Verfügbarkeit und Dienstqualität,
Kosten,
Verständlichkeit des Nutzer-Interfaces
,
Kenntnisse der Mitarbeiter, die z.B. zur schnellen Eingewöhnung und Problembehebung beitragen können.

Kommt es zum Thema Sicherheit, insbesondere dem Schutz vor Ausspähung, wird es „ungemütlich aufwändig“ bei der Betrachtung der Angebote. Für wirksamen Geheimnisschutz sind wichtig:

Die Nutzung von Verschlüsselungsstandards (z.B. AES, TLS) und
die Gewährung der Durchgängigkeit der Verschlüsselung
(E2E oder nicht)

Die E2E-Thematik ist wesentlich: Es reicht nicht aus, sich damit zu befassen, ob eine Verschlüsselungstechnik angewendet wird. Der anzustrebende Schutz des Geschäftsgeheimnisses wird nur gesichert sein, wenn eine Verschlüsselung von einem Ende zum anderen Ende der Übertragungsleitung stattfindet. Diese end-to-end oder E2E-Verschlüsselung lässt nicht zu, dass ein Diensteanbieter (d.h. auch ein dort eingeschleuster Mitarbeiter ) geheime Inhalte abgreift. Anmerkung: Als Jurist kennt man die Diskussion um E2E von der Einführung der Technik des elektronischen Anwaltspostfachs beA.

Insbesondere ist darauf hinzuweisen, dass geprüft werden muss, ob E2E-Verschlüsselung Anwendung findet und für welche Dienste des Dienstleisters das der Fall ist – denn es ist nicht sichergestellt, dass eine E2E-Verbindung, die für den Austausch von Texten über ein Team-Modul angewendet wird, auch für den Videokonferenz-Kontakt in der Team-Software genutzt wird.

Fazit:
Die Frage der Unternehmensführung an die eigene Abteilung IT/Technik/Security oder an externe Dienstleister muss primär die effektive Verschlüsselung von Medien-Daten zwischen Endgeräten betreffen, zumindest dort wo Geheimnisschutz notwendig ist. Anderenfalls droht die Organhaftung wegen mangelhafter Organisation. Aus juristischer Sicht ist davor zu warnen Geschäftskommunikation zwischen Mitarbeitern vorschnell als trivial (und nicht schutzwürdig) zu bewerten. Inwieweit einfache Kommunikationsinhalte interessant für Angreifer sein können, lässt sich aktuellen Berichten entnehmen. Auch kleinere Unternehmen müssen diese Gefährdungsszenarien in ihre Erwägungen einstellen.


DSE nach OLG Stuttgart

Zur aktuellen Entscheidung des OLG Stuttgart (2 U 257/19) zu datenschutzrechtlichen Informationspflichten:

Im Urteil vom 27.2.2020 hat sich das für unseren Gerichtsbezirk zuständige OLG Stuttgart zur Abmahnbarkeit von fehlenden Darstellungen zum Datenschutz geäußert. Werden personenbezogene Daten bei der betroffenen Person erhoben, hat der Verantwortliche zur Erhebung der Daten Informationen zu erteilen. Die genauen Informationspflichten sind der DSGVO (u.a.) zu entnehmen und hängen teils davon ab, ob bestimmte Umstände vorliegen. Abmahnbar sind nach der Interpretation dieser Entscheidung jedenfalls Verstöße gegen die Pflichten zur Darstellung von:

  • Namen und
  • Kontaktdaten des Verantwortlichen (Artikel 13 Absatz 1 lit. a DSGVO);
  • Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen
  • Rechtsgrundlage für die Verarbeitung (Artikel 13 Absatz 1 lit. c DSGVO);
  • Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Artikel 13 Absatz 2 lit. a DSGVO);
  • das Bestehen eines Rechts auf 
    • Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie 
    • auf Berichtigung 
    • oder Löschung
    • oder auf Einschränkung der Verarbeitung oder
    • eines Widerspruchsrechts gegen die Verarbeitung 
    • sowie des Rechts auf Datenübertragbarkeit (Artikel 13 Absatz 2 lit. b DSGVO); 
  • das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Artikel 13 Absatz 2 lit. d DSGVO) und
  • ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, 
  • ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte (Artikel 13 Absatz 2 lit. e DSGVO).

Diese Rechtsansicht der Richter des OLG ist zu berücksichtigen, bis der BGH in der Revision oder das OLG in künftiger Entscheidung anderes äußert.

Zahlreiche weitere Angaben, die nicht oder ungenau gemacht werden, können zu Abmahnungen führen. Der Mandantschaft wird zunächst geraten insbesondere die oben aufgeführten Punkte zu prüfen oder prüfen zu lassen. Das OLG Stuttgart weist in seiner Entscheidung auch auch auf

Artikel 13 Absatz 1 lit. a (2. Alt.)

Artikel 13 Absatz 1 lit. b

Artikel 13 Absatz 1 lit. d

Artikel 13 Absatz 1 lit. e

Artikel 13 Absatz 1 lit. f

Artikel 13 Absatz 2 lit. c

Artikel 13 Absatz 2 lit. f

Artikel 13 Absatz 3

hin. Siehe dazu den unmittelbar in Deutschland anwendbaren Normtext der Datenschutzgrundverordnung hier: LINK

US-Business: Sanktionslisten

US-Unternehmen fordern im Handelsverkehr vertragliche Compliance-Zusicherungen unter Bezug auf Listen der US-Behörden. Wer auf den Listen steht, hat schlechte Aussichten auf Geschäfte mit den USA. Personen aus den USA ist verboten mit Gelisteten Geschäfte zu machen. Auch wer Gelistete zu Kunden zählt, sollte Vorsicht walten lassen. Informationen zu den Sanktionslisten können Sie z.B. hier erhalten:

Link zur Suchmaschine über die Sanktionsliste des OFAC

Link auf die Liste des UN-Sicherheitsrats

Hier weitere Hinweise zum Thema Sanktionen und Hinweise zum Auffinden der konsolidierten EU-Liste, die europäische Unternehmen generell bei Rechtsgeschäften zu beachten haben.

Neues Jahr: Hinterlegungsgegenstände prüfen

Zum neuen Jahr ist anzuraten die bestehenden Software-Hinterlegungen inhaltlich zu prüfen und nötigenfalls zu updaten. Was kam inhaltlich dazu? Dabei ist nicht nur an den Quellcode, sondern auch an erläuternde Text-Materialien zu denken, die im Laufe des letzten Jahres entstanden sind oder erworben/lizenziert wurden.

Das IT-Grundschutz CON-Dokument (i.e. eines zu „Konzeption und Vorgehensweisen“) führt in CON.5.A12 Treuhänderische Hinterlegung (CA) aus:

Für geschäftskritische Anwendungen SOLLTE geprüft werden, ob es notwendig ist, diese gegen Ausfall des Herstellers der Anwendung abzusichern. Dabei SOLLTE die treuhänderische Hinterlegung von nicht zum Lieferumfang der Anwendung gehörenden Materialien bei einer Escrow-Agentur erwogen werden, wie z. B. dokumentiertem Code, Konstruktionspläne, Schlüssel, Passwörter. In diesem Falle SOLLTEN die Pflichten der Escrow-Agentur bei der Lagerung und Herausgabe (wann darf das Hinterlegungsgut an wen herausgegeben werden?) vertraglich geregelt werden.

Der Link dazu hier (extern: BSI)

Sticks als Geschenk?

Wir nähern uns Weihnachten, sind bald in dem Monat, in dem gelegentlich Geschenke in Form von USB-Sticks oder anderen elektronischen Gadgets von Kunden oder Geschäftspartnern an Mitarbeiter der Geschäftskontakte verschenkt werden. Bei der Nutzung dieser harmlos wirkenden Gegenstände ist Vorsicht geboten. „Einfach mal anstecken“ um zu sehen, ob er funktioniert kann ein erhebliches Sicherheitsrisiko mit sich bringen. Schadsoftware kann unbemerkt in das System des Unternehmens eindringen. Dann „brennts nicht nur am Weihnachtsbaum, sondern auch im Serverraum.“

Die Geschäftsleitung sollte sich an den Hinweisen des Bundesamts für Sicherheit in der Informationstechnologie orientieren, das in den Ausführungen zum Grundschutz vor zu sorglosen Umgang mit USB-Sticks warnt. Sorgfältige Unternehmensleitung veranlasst also die Aufklärung über Risiken von geschenkten Stick und Gadgets mit USB-Funktionen. Im Sinne des Direktionsrecht des Arbeitgebers sollte zumindest zum Scannen solcher Sticks vor Einsatz mit Unternehmenshardware aufgefordert werden.

Zitat aus IT-Grundschutz INF 9 mobiler Arbeitsplatz:

„Darüber hinaus werden zum Teil Geschenke in Form von Datenträgern, wie z. B. USB-Sticks, von Mitarbeitern angenommen und unüberlegt an das eigene Notebook angeschlossen. Hier kann dann das Notebook mit Schadsoftware infiziert werden und dadurch können schützenswerte Informationen gestohlen, manipuliert oder verschlüsselt und damit vorübergehend unbrauchbar gemacht werden.“

negative Kundenbewertungen: Güte oder Klage?

Unangemessene Bewertungen können dem Unternehmensimage schaden. Tut sich nichts, kann man klagen. Das ist je nach Kunde unerlässlich. Aber ich alle Sachverhalte erfordern die Klage. Gegenüber verärgerten Kunden bietet sich oft das Güteverfahren an, um nicht frühzeitig die Brücken zu verbrennen.

Ein bleibender oder zurückeroberter Kunde wird positives Potenzial für den Absatz des Unternehmens haben. Eine gewonnene Klage dagegen könnte der Kunde zum Anlass nehmen möglichst weiter nach Negativem zu suchen. Bekommt der Kunde Post von einer Gütestelle, erkennt er den Goodwill des Vertragspartners. Die Gütestelle kann eine produktive Lösung jenseits des offenen geäußerten Konfliktgegenstandss anregen.

Content und UWG

Nicht nur die Beiträge von „expliziten Influencern“, sondern auch die der Web-Communities mit eigenen redaktionellen Inhalten (RStV-Pflichten beachten!) stehen unter wettbewerbsrechtlicher Beobachtung. Wo Werbung nicht erkennbar ist, droht die Abmahnung. Welche wettbewerbsrechtlichen Vorgaben es gibt, ist den Verantwortlichen oft nicht bewusst.

Zur Content-Kennzeichnung und Web-Gestaltung ist der Blick ins UWG notwendig. Insbesondere im Anhang zu § 3 UWG finden sich konkrete Hinweise, wie weit der Inhaltsanbieter gehen darf. Rechtswidrig ist laut Gesetz „der vom Unternehmer finanzierte Einsatz redaktioneller Inhalte zu Zwecken der Verkaufsförderung, ohne dass sich dieser Zusammenhang aus dem Inhalt oder aus der Art der optischen oder akustischen Darstellung eindeutig ergibt (als Information getarnte Werbung)“

Link zum Anhang zu § 3 UWG im Ganzen