Rechtsanwalt & Spezialist für Kryptorecht & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für Kryptorecht und Markenrecht
T (+49) 040 / 7344 086-0
| KI-Recht
Blog News
ChatGPT entwickelt sich vom reinen Antwortsystem zum digitalen Arbeitsassistenten. Mit ChatGPT Work stellt OpenAI autonome KI-Agenten vor, die Aufgaben eigenständig planen, aufteilen und über längere Zeit bearbeiten sollen.
Die neuen Agenten können Projekte in einzelne Schritte zerlegen und diese nacheinander ausführen. Dazu gehören etwa Recherchen, Buchungen oder die Erstellung von Präsentationen. Damit rückt eine neue Form der KI-Nutzung in den Mittelpunkt: Systeme, die komplette Arbeitsprozesse aktiv unterstützen und weitgehend selbstständig vorantreiben. Was aber bedeutet das in rechtlicher Hinsicht, vor allem bezogen auf den Datenschutz? Genau das schauen wir uns in diesem Beitrag einmal genauer an.
ChatGPT Work soll eine neue Stufe KI-gestützter Arbeit einleiten. Der am 10. Juli 2026 veröffentlichte Dienst ist darauf ausgelegt komplexere Aufgaben über längere Zeiträume hinweg zu bearbeiten.
Technische Grundlage ist die neue Modellfamilie GPT-5.6. OpenAI unterscheidet dabei drei Varianten: Sol als leistungsstärkstes Modell, Terra als breit einsetzbaren Allrounder und Luna für besonders schnelle sowie kosteneffiziente Anwendungen. Für umfangreiche Projekte steht außerdem ein „Ultra-Modus“ zur Verfügung, der bis zu vier Agenten parallel koordinieren soll.
Nach den veröffentlichten Benchmark-Angaben erreicht das Spitzenmodell Sol hohe Werte bei Agenten- und Coding-Tests. Damit positioniert OpenAI ChatGPT Work ausdrücklich als System für Recherche, Programmierung, Präsentationen, interne Organisation und mehrstufige Unternehmensprozesse.
Parallel wächst der Wettbewerb im Bereich autonomer KI-Agenten. Microsoft 365 Copilot soll bereits auf GPT-5.6 umgestellt worden sein und das Modell ab dem 24. Juli 2026 für berechtigte Kunden automatisch in Anwendungen wie Word, Excel, PowerPoint und Outlook aktiviert werden. ChatGPT Work soll sich daneben auch in Tools wie Slack, Gmail, Google Drive, Microsoft Teams und Salesforce integrieren lassen.
Autonome ChatGPT-Agenten sind KI-Systeme, die nicht nur auf einzelne Fragen antworten, sondern ein Ziel selbstständig in mehrere Arbeitsschritte aufteilen können. Statt jeden Zwischenschritt einzeln anzustoßen, geben Nutzer eine Aufgabe vor. Der Agent plant anschließend den Ablauf, nutzt verfügbare Werkzeuge, sammelt Informationen, prüft Zwischenergebnisse und passt den weiteren Weg bei Bedarf an.
Damit unterscheiden sich autonome Agenten deutlich von klassischen Chatbots. Ein gewöhnlicher Chatbot reagiert vor allem auf Prompts. Ein Agent kann dagegen über längere Zeit an einer Aufgabe arbeiten und verschiedene Anwendungen einbinden. Dazu gehören etwa E-Mail-Programme, Kalender, Dokumente, Tabellen, Projekttools oder Unternehmensdatenbanken.
OpenAI bezeichnet die Funktion zunächst als Research Preview. Das bedeutet, dass der Dienst noch getestet, weiterentwickelt und anhand von Nutzerfeedback angepasst wird. Verfügbar ist die Funktion zunächst vor allem für Business-Kunden. Gleichzeitig arbeiten auch andere Anbieter wie Google, Anthropic und Microsoft an agentenbasierten KI-Systemen.
Typische Einsatzbeispiele sind:
Autonome ChatGPT-Agenten können Unternehmensprozesse deutlich beschleunigen, da sie Aufgaben planen, Tools verbinden und Zwischenschritte selbstständig bearbeiten. Gleichzeitig steigen die Anforderungen an Sicherheit, Kontrolle und rechtliche Verantwortlichkeit. Je stärker ein Agent in E-Mails, Dateien, Kalender, CRM-Systeme oder interne Datenbanken eingebunden ist, desto wichtiger werden klare Regeln und technische Schutzmaßnahmen.
Chancen
Risiken
Autonome KI-Agenten erweitern die Einsatzmöglichkeiten von KI erheblich. Sie können E-Mails auswerten, Dateien durchsuchen, Termine vorbereiten, CRM-Daten nutzen oder Aufgaben in verbundenen Anwendungen ausführen. Damit rücken rechtliche Fragen stärker in den Vordergrund, weil der Agent häufig mit personenbezogenen Daten, Geschäftsgeheimnissen und internen Entscheidungsprozessen arbeitet.
Im Datenschutzrecht kommt es vor allem darauf an, welche Daten der Agent verarbeitet, zu welchem Zweck dies geschieht und auf welcher Rechtsgrundlage das Unternehmen handelt. Verarbeitet der KI-Agent personenbezogene Daten, etwa Kunden- oder Beschäftigtendaten, Support-Tickets oder personenbezogene Inhalte aus E-Mails, sind die Vorgaben der DSGVO zu beachten.
Trifft oder veranlasst ein KI-Agent eigenständig Entscheidungen über natürliche Personen, ist zusätzlich Art. 22 DSGVO zu prüfen. Besonders sensibel sind ausschließlich automatisierte Entscheidungen, die rechtliche Wirkungen entfalten oder Betroffene in ähnlich erheblicher Weise beeinträchtigen.
Bei besonders risikoreichen Einsatzszenarien sollte zudem geprüft werden, ob vor Einführung des Agenten eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.
Unternehmen sollten zunächst prüfen, ob sie nach dem AI Act insbesondere als Anbieter oder Betreiber des KI-Systems handeln und welche Pflichten daraus für den konkreten Einsatz entstehen.
Auch die Verantwortlichkeit bleibt ein zentraler Punkt. Die rechtliche Rolle des Unternehmens hängt vom jeweiligen Regelwerk und Einsatzmodell ab. Datenschutzrechtlich kann das Unternehmen Verantwortlicher für die Verarbeitung personenbezogener Daten sein. Nach dem AI Act kommt insbesondere eine Einordnung als Betreiber in Betracht. Unter bestimmten Voraussetzungen können sich darüber hinaus Anbieterpflichten ergeben.
Der AI Act behandelt autonome KI-Agenten nicht als eigene rechtliche Kategorie. Entscheidend ist vielmehr, ob die konkrete Anwendung als KI-System im Sinne der Verordnung einzuordnen ist, welchen Zweck sie verfolgt und welche Rolle das Unternehmen beim Einsatz des Systems übernimmt.
Welche Anforderungen des AI Act bereits gelten, hängt auch von der jeweiligen Regelung ab. Vorgaben zur KI-Kompetenz gelten bereits seit Februar 2025. Die Transparenzpflichten des Art. 50 gelten seit dem 2. August 2026. Für bestimmte Hochrisiko-KI-Systeme sieht der aktuelle Umsetzungszeitplan spätere Anwendungszeitpunkte vor.
Kommuniziert ein KI-Agent selbstständig mit Kunden, Bewerbern oder anderen natürlichen Personen, können zusätzlich die Transparenzpflichten des Art. 50 AI Act relevant sein. Je nach Gestaltung muss erkennbar sein, dass die Kommunikation mit einem KI-System erfolgt.
Unternehmen sollten daher früh prüfen, ob sie als Anbieter, Betreiber oder Nutzer eines KI-Systems handeln und welche Pflichten sich daraus ergeben.
Greift ein KI-Agent auf vertrauliche Unternehmensinformationen zu, sind zusätzlich Geschäftsgeheimnisse zu berücksichtigen. Unternehmen sollten insbesondere prüfen, welche Informationen an externe KI-Dienste übertragen werden, ob Anbieter diese Daten für eigene Zwecke nutzen dürfen und welche technischen, organisatorischen und vertraglichen Geheimhaltungsmaßnahmen bestehen.“
Besondere Aufmerksamkeit verdienen gleichermaßen Berechtigungen. Ein autonomer Agent sollte nur auf die Systeme und Daten zugreifen, die er für seine konkrete Aufgabe benötigt. Rollen- und Rechtekonzepte, Audit-Logs und technische Begrenzungen helfen dabei, Datenflüsse kontrollierbar zu halten und Fehler schnell zu erkennen.
Der Wechsel vom klassischen Chatbot zum autonomen KI-Agenten verändert die Nutzung von KI grundlegend.
Ein sinnvoller Startpunkt für Sie im Unternehmen ist die Analyse interner Routinen. Ihre Teams sollten prüfen, welche Aufgaben regelmäßig Zeit binden, aber nach festen Mustern ablaufen. Dazu gehören das Sortieren von Support-Anfragen, das Zusammenfassen von Meetings, die Vorbereitung von Reports, einfache Recherchen oder das Übertragen von Informationen zwischen Systemen.
Danach empfiehlt sich ein begrenztes Pilotprojekt. Sie sollten nicht sofort zentrale Geschäftsprozesse automatisieren, sondern mit einem überschaubaren Anwendungsfall beginnen. Geeignet sind Aufgaben mit geringem Risiko, klaren Datenquellen und menschlicher Endkontrolle. So sammeln Teams Erfahrung, ohne sensible Entscheidungen vollständig an den Agenten zu übertragen.
Parallel müssen Sie Leitplanken definieren. Dazu gehören feste Zugriffsrechte, Freigabestufen, Protokollierung und Verantwortlichkeiten. Der Agent sollte nur die Daten und Anwendungen nutzen dürfen, die er für seine Aufgabe tatsächlich benötigt. Kritische Schritte sollten weiterhin durch Menschen geprüft werden.
Auch Schulungen sind wichtig. Beschäftigte müssen verstehen, wofür Agenten geeignet sind, wo ihre Grenzen liegen und wann Ergebnisse kontrolliert oder eskaliert werden müssen. So wird der Agent nicht als Blackbox eingesetzt, sondern als Werkzeug mit klaren Regeln.
Wer früh beginnt, kann Prozesse sicher testen, interne Standards entwickeln und typische Fehler vermeiden. Autonome Agenten werden vor allem dort Mehrwert schaffen, wo Unternehmen Technik, Recht, Organisation und menschliche Kontrolle von Anfang an gemeinsam denken.
Sie fragen sich, welche urheberrechtlichen Risiken beim KI-Training entstehen? Ob personenbezogene Daten in Prompts, Trainingsdaten oder Ausgaben verarbeitet werden dürfen? Und wann Datenschutz-Folgeabschätzung, Transparenzpflichten oder besondere Schutzmaßnahmen erforderlich sind?
Wir von SBS LEGAL als Kanzlei für KI-Recht helfen Unternehmen bei der rechtssicheren Entwicklung und Nutzung Künstlicher Intelligenz. Wir beraten zu Urheberrecht, Datenschutzrecht, Text und Data Mining, Nutzungsvorbehalten, Trainingsdaten und den Transparenzpflichten der KI-Verordnung. Zudem prüfen wir KI-Prozesse im Hinblick auf die DSGVO, unterstützen bei Datenschutz-Folgeabschätzungen, automatisierten Entscheidungen und internen KI-Richtlinien und helfen Unternehmen dabei, KI-Anwendungen rechtlich sicher, nachvollziehbar und verantwortungsvoll einzusetzen.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie Rechtsberatung durch unser erfahrenes Team aus Fachanwälten und Spezialisten von SBS LEGAL?