iusNet DigR 1/2024

Der Artikel behandelt die Beschaffung von Künstlicher Intelligenz (KI) durch öffentliche Stellen in der EU und der Schweiz, insbesondere im Kontext der EU-Standardvertragsklauseln (SCC) für AI. Es wird aufgezeigt, dass der Einsatz von KI in der öffentlichen Verwaltung primär als IT-Projekt gesehen wird, wobei die SCC AI Procurement, als Anhang zu Beschaffungsverträgen gedacht, spezifische Bestimmungen zu KI-Systemen enthalten. Der Artikel analysiert die Rollenverteilung, Vertragspflichten und -struktur der SCC AI Procurement und hebt hervor, dass sie keine vollständige Vereinbarung darstellen und an den jeweiligen Kontext angepasst werden müssen. Ferner wird die Notwendigkeit betont, dass öffentliche Stellen bei der Nutzung dieser Klauseln Vorsicht walten lassen sollten, da sie in einigen Aspekten verbesserungswürdig und teilweise sehr lieferantenfreundlich sind. Der Beitrag schliesst mit der Erwartung, dass die SCC AI Procurement nach Veröffentlichung des definitiven AI Act nochmals angepasst werden.

Am 9. Dezember 2023 einigte sich die EU politisch auf ein wegweisendes KI-Gesetz, dessen Text seit dem 21. Januar 2024 einsehbar ist. Das Gesetz definiert KI näher an den OECD-Richtlinien und unterteilt KI-Anwendungen in verschiedene Risikokategorien. Verbotene Praktiken, hochriskante Systeme und KI mit begrenztem Risiko unterliegen unterschiedlichen Anforderungen. Besondere Aufmerksamkeit gilt der sog. General Purpose AI (GPAI), für die besondere Transparenzanforderungen und Schutzmassnahmen gelten. Die Durchsetzung erfolgt durch nationale Behörden und ein neues AI Office auf EU-Ebene. Sanktionen für Verstösse können bis zu 7% des weltweiten Jahresumsatzes betragen. Das Gesetz wird voraussichtlich im 1. Quartal 2024 formal veröffentlicht und tritt 20 Tage nach Veröffentlichung im Amtsblatt in Kraft, mit den meisten Bestimmungen im Sommer 2026. Die Bestimmungen für sog. verbotene KI-Praktiken gelten nach 6 Monaten – Ende 2024.

Der Datenwertschöpfung liegt die Prämisse zugrunde, dass nur mithilfe der richtigen Daten und dem richtigen Analyseverfahren ein monetärer Mehrwert entstehen kann. Während die Verarbeitung und Verwaltung der Daten früher regelmässig autonom unter der Verantwortung der einzelnen Abteilungen innerhalb eines Unternehmens geschah, wird die Frage nach dem Umgang mit Big Data heutzutage meist von der Konzern- bzw. Unternehmensleitung beantwortet. Hier kommt die Data Company ins Spiel: Bei der Data Company handelt es sich oftmals um eine eigenständige juristische Person innerhalb des Konzerns. Ihr Zweck besteht primär darin, die (oftmals unstrukturierten) Daten der anderen Gruppengesellschaften zu konsolidieren und zu verarbeiten, sodass sich daraus neue Erkenntnisse gewinnen lassen. Diese Erkenntnisse können wiederum den anderen Gruppengesellschaften zur Verfügung gestellt werden. Der Einsatz der Data Company hat somit zum Ziel, dass das (interne oder externe) Datengeschäft vom operativen Geschäft getrennt wird, womit das Datenmanagement fokussiert und konsolidiert erfolgen kann. Der Beitrag untersucht, welche (steuer-)rechtlichen Fragen sich beim Einsatz einer Data Company stellen. Die Ausführungen sind als Denkanstösse und Diskussionsbeitrag zu verstehen.

Unternehmen wollen Daten von ihren Kunden, so viel ist klar. Unternehmen wollen diese Daten zu verschiedenen Zwecken verarbeiten, insbesondere auch, um Marketing im weitesten Sinn zu betreiben. Auch das ist nicht neu. Dabei wollen sie ihre Kunden so wenig wie möglich belästigen, was einerseits kundenfreundlich ist, aber andererseits aus datenschutzrechtlicher Sicht problematisch sein kann. Der Datenschutz in Form der EU-DSGVO verlangt für die Datenverarbeitung eine Rechtsgrundlage, diese wird von den Unternehmen häufig in Form der Einwilligung gesucht. Dieses Verhalten wird von gewissen europäischen Behörden durch ihre Praxis und Richtlinien aktiv unterstützt. Dies führt oft dazu, dass Unternehmen, die bekanntlich Daten wollen, aber gleichzeitig ihre Kunden nicht belästigen möchten, zu einer mehr oder weniger gebündelten Einwilligung greifen.