Auswirkungen der Verordnung (EU) 2024/1689 auf die Rechtslage von Unternehmern in Polen
Anmerkungen vor dem Hintergrund der Änderung des Anwendungszeitplans sowie der nationalen institutionellen Lösungen
Zusammenfassung
Gegenstand dieser Abhandlung ist die Analyse der Pflichten, die Unternehmern im Zusammenhang mit der Anwendung der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates über künstliche Intelligenz obliegen, und zwar in der Rechtslage, wie sie sich nach dem Inkrafttreten der Änderungsverordnung und nach der Verkündung des polnischen Gesetzes vom 3. Juli 2026 über Systeme der künstlichen Intelligenz darstellt. Die Erörterung konzentriert sich auf drei Fragen: die Rekonstruktion des aktuellen Zeitplans für die Anwendung der einzelnen Vorschriftengruppen, die Beurteilung des Umfangs der Transparenzpflichten sowie die Analyse des nationalen Modells der Marktaufsicht. Im weiteren Teil wird das Verhältnis des Regimes der KI-Verordnung zur Datenschutz-Grundverordnung im Licht der Rechtsprechung des Gerichtshofs der Europäischen Union dargestellt, ebenso die bisherige Haltung der polnischen Gerichte zur algorithmischen Datenverarbeitung und zur Nutzung generativer Werkzeuge im Rechtsverkehr.
Schlüsselwörter: KI-Verordnung, Transparenzpflichten, Hochrisikosysteme, Marktaufsicht, automatisierte Entscheidungsfindung
1. Einführende Anmerkungen
Die Verordnung (EU) 2024/1689 stellt die erste umfassende Regelung der künstlichen Intelligenz in der Rechtsordnung der Europäischen Union dar. Ihre Konstruktion beruht auf einem risikobasierten Ansatz, weshalb der Umfang der Pflichten eines Rechtsträgers nicht so sehr von der Art der genutzten Technologie abhängt, sondern von der Art und dem Kontext ihres Einsatzes. Wie in Materialien der Europäischen Kommission ausgeführt wird, erfassen die Vorschriften der Verordnung die meisten Systeme mit minimalem Risiko nicht, während bei Systemen mit besonderem Transparenzrisiko die Nutzer darüber zu informieren sind, dass sie mit einer Maschine sprechen, und erzeugte Inhalte entsprechend gekennzeichnet werden sollten; Hochrisikosysteme wiederum, etwa medizinische Software oder Rekrutierungswerkzeuge, müssen strenge Anforderungen erfüllen.
Ein kennzeichnendes Merkmal der besprochenen Verordnung ist die Verteilung der Anwendung ihrer Vorschriften über mehrere Jahre, wobei dieser Zeitplan anschließend geändert wurde. Die Rekonstruktion der zu einem bestimmten Zeitpunkt geltenden Rechtslage erfordert daher die Berücksichtigung sowohl des ursprünglichen Verordnungstextes als auch des Änderungsrechtsakts sowie der nationalen Vorschriften organisatorischer und verfahrensrechtlicher Natur. Die Analyse bezieht sich auf die Rechtslage zum 20. August 2026.
2. Zeitplan für die Anwendung der Vorschriften der KI-Verordnung
2.1. Ursprüngliche Etappen
Die Verordnung ist am 1. August 2024 in Kraft getreten, während die einzelnen Gruppen ihrer Vorschriften sukzessive anwendbar wurden. Seit dem 2. Februar 2025 gelten die Vorschriften über verbotene Praktiken sowie die Pflicht zur Gewährleistung von KI-Kompetenz, und seit dem 2. August 2025 die Regelungen über Modelle mit allgemeinem Verwendungszweck. Ein Datum grundlegender Bedeutung bleibt der 2. August 2026, mit dem, wie die Europäische Kommission ausführt, die Verantwortung für die Umsetzung, Überwachung und Durchsetzung der Verordnung dem Europäischen Amt für Künstliche Intelligenz (KI-Büro) sowie den Behörden der Mitgliedstaaten zufällt, wobei das KI-Büro über Durchsetzungsbefugnisse gegenüber Modellen mit allgemeinem Verwendungszweck verfügt, technische Dokumentation verlangen, Modelle bewerten, Abhilfemaßnahmen fordern sowie Sanktionen verhängen kann.
2.2. Änderung des Zeitplans
Eine wesentliche Änderung erfolgte durch die Annahme des Pakets zur Änderung der Verordnung. Nach der Mitteilung des polnischen Ministeriums für Digitalisierung sah der ursprüngliche Zeitplan den Beginn der Anwendung eines Teils der Vorschriften über Hochrisikosysteme zum 2. August 2026 und im Fall von Systemen im Zusammenhang mit regulierten Produkten zum 2. August 2027 vor; diese Fristen wurden verschoben, weshalb die Vorschriften über die in Anhang III genannten Hochrisikosysteme ab dem 2. Dezember 2027 anzuwenden sind und unter anderem bestimmte Anwendungen in der Bildung, der Beschäftigung, dem Zugang zu grundlegenden Dienstleistungen, der Justiz, der Migration sowie einzelne Tätigkeiten öffentlicher Stellen erfassen, während diese Frist für Systeme, die Bestandteile von Produkten sind, die unionsrechtlichen Sicherheitsvorschriften unterliegen, auf den 2. August 2028 verschoben wurde. Als ratio dieser Lösung wurde angeführt, dass die Verschiebung der Fristen die Vorbereitung der Normen, Werkzeuge und Verfahren ermöglichen soll, die für eine einheitliche Anwendung der Anforderungen erforderlich sind.
Der Aufschub hat die Transparenzpflichten jedoch nicht erfasst. Seit dem 2. August 2026 sind Betreiber von Systemen, die Inhalte erzeugen, verpflichtet, die Empfänger darüber zu informieren, dass das jeweilige Material mit Hilfe künstlicher Intelligenz erzeugt oder verändert wurde, und Rechtsträger, die Material der Art eines Deepfakes im Sinne des Art. 3 Nr. 60 der Verordnung bereitstellen, sind verpflichtet, den Empfänger über die künstliche Herkunft des Materials zu informieren.
Beibehalten wurde dabei ein enger Übergangszeitraum technisch-umsetzungsbezogener Natur: Die Fristenänderungen sehen einen Übergangszeitraum für einzelne generative Systeme vor, die vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden, und die Anbieter solcher Systeme haben bis zum 2. Dezember 2026 Zeit erhalten, sie an die technischen Pflichten zur Kennzeichnung von Inhalten anzupassen.
3. Transparenzpflichten als grundlegender Bereich des rechtlichen Risikos
3.1. Sachlicher Anwendungsbereich
Aus der Perspektive von Rechtsträgern, die keine Tätigkeit der Entwicklung von KI-Modellen ausüben, stellt Art. 50 der Verordnung derzeit die bedeutendste Quelle von Pflichten dar. Er erfasst vier grundlegende Situationen, die die Europäische Kommission wie folgt beschreibt: Systeme sind so zu gestalten, dass natürliche Personen ausdrücklich über die unmittelbare Interaktion mit einem KI-System informiert werden; es sind maschinenlesbare Kennzeichnungen hinzuzufügen, die die Erkennung erzeugter oder manipulierter Inhalte ermöglichen; Betreiber eines Systems müssen natürliche Personen über den Einsatz von Werkzeugen der Emotionserkennung und der biometrischen Kategorisierung informieren.
Das Ziel dieser Regelung hat systemischen Charakter. Wie die Europäische Kommission ausführt, beziehen sich die Pflichten aus Art. 50 auf das Risiko der Irreführung und Manipulation und stützen die Integrität des Informationsökosystems, und sie gelten ab dem 2. August 2026 als Ergänzung anderer Regelungen, darunter solcher über Hochrisikosysteme und Modelle mit allgemeinem Verwendungszweck.
3.2. Erfordernis der Wirksamkeit der Kennzeichnung
In der Anwendungspraxis der Vorschrift kommt zwei Anforderungen materieller Natur erhebliche Bedeutung zu. Erstens darf die Kennzeichnung nicht ausschließlich technischen Charakter haben, denn wie in den Informationen über die Leitlinien der Europäischen Kommission ausgeführt wird, genügt es nicht, dass ein Werkzeug die entsprechenden Daten in den Metadaten der Datei gespeichert hat, da der Empfänger eine lesbare Information in visueller oder akustischer Form erhalten sollte. Zweitens ist der Zeitpunkt der Informationsübermittlung von Bedeutung: Sie sollte spätestens bei der ersten Wahrnehmung des Materials bereitgestellt werden, und in den sozialen Medien sollte die Kennzeichnung nicht am Ende einer mehrsätzigen Beschreibung verborgen sein.
Einer Präzisierung bedarf hingegen die Frage der Rückwirkung. Materialien, die vor dem 2. August 2026 erzeugt und bereitgestellt wurden, unterliegen der Kennzeichnungspflicht nicht rückwirkend.
3.3. Soft-Law-Instrumente und ihr Rechtscharakter
Die Auslegung des Art. 50 stützen zwei Dokumente, die im Rahmen der Unionsstrukturen erarbeitet wurden. Das erste sind die Leitlinien zu den Transparenzpflichten für Anbieter und Betreiber einzelner KI-Systeme. Das zweite ist ein Verhaltenskodex, der, wie die Europäische Kommission ausführt, von unabhängigen Sachverständigen in einem vom Amt für Künstliche Intelligenz geführten Mehrparteienverfahren erarbeitet wurde und den Anbietern sowie den Betreibern generativer KI-Systeme bei der Erfüllung der Pflichten zur Etikettierung und Kennzeichnung von Inhalten aus Art. 50 Abs. 2, 4 und 5 dient.
Der Rechtscharakter des Kodex bedarf einer genauen Erfassung: Der Beitritt zu ihm ist freiwillig, seine praktische Bedeutung wächst jedoch, wovon der Umfang der Beitritte zeugt, denn bis Ende Juli 2026 haben rund einhundertneunzig Rechtsträger den Kodex unterzeichnet. Im Schrifttum wird zutreffend angenommen, dass Rechtsträger, die dem Kodex nicht beitreten, die Übereinstimmung mit den Kennzeichnungspflichten auf andere, gleichwertige Weise nachweisen sollten; die Last des Nachweises einer solchen Gleichwertigkeit trifft dann den Anbieter oder den Betreiber des Systems.
4. Die Pflicht zur KI-Kompetenz
Einer gesonderten Erörterung bedarf die Pflicht aus Art. 4 der Verordnung, die seit dem 2. Februar 2025 gilt. Ihr Adressat ist sowohl der Anbieter als auch der Betreiber des Systems, und ihr Inhalt ist die Gewährleistung eines angemessenen Kompetenzniveaus des Personals, das die jeweilige Lösung bedient. Diese Pflicht bleibt in der Praxis am schwächsten erkannt, obwohl ihre Erfüllung die Bedingung einer tatsächlichen und nicht nur formalen menschlichen Aufsicht über das Funktionieren des Systems darstellt. Funktional ist sie nämlich mit dem Erfordernis der menschlichen Aufsicht verbunden: Personal, das die Grenzen eines Werkzeugs nicht erkennen kann, ist nicht in der Lage, eine inhaltliche Kontrolle darüber auszuüben.
5. Nationaler institutioneller Rahmen
5.1. Charakter und Anwendungsbereich des polnischen Gesetzes vom 3. Juli 2026
Da die KI-Verordnung eine Verordnung ist, gilt sie unmittelbar und bedarf keiner Umsetzung. Die Verabschiedung des nationalen Gesetzes war eine Notwendigkeit, um die Marktaufsichtsbehörde zu bestimmen und das Verfahren ihres Handelns festzulegen. Nach Art. 1 des Gesetzes regelt dieses die Organisation und die Art der Ausübung der Aufsicht über den Markt der KI-Systeme sowie über Modelle mit allgemeinem Verwendungszweck im von der Verordnung 2024/1689 erfassten Umfang, das Verfahren in Sachen der Verletzung der Verordnung und des Gesetzes, die Voraussetzungen und das Verfahren der Akkreditierung und Notifizierung von Konformitätsbewertungsstellen, Maßnahmen zur Förderung der Entwicklung von KI-Systemen sowie die Grundsätze der Verhängung von Geldbußen im Verwaltungswege.
Das Gesetz sieht dabei sachliche Ausnahmen vor, die unter anderem Angelegenheiten im Zusammenhang mit der Landesverteidigung sowie Angelegenheiten im Zusammenhang mit der nationalen Sicherheit, darunter das Handeln der Nachrichtendienste, erfassen.
Das polnische Gesetz vom 3. Juli 2026 über Systeme der künstlichen Intelligenz wurde im polnischen Gesetzblatt (Dziennik Ustaw) von 2026 unter der Position 1003 verkündet, und sein wesentlicher Teil ist am 11. August 2026 in Kraft getreten.
5.2. Die Kommission für Entwicklung und Sicherheit der künstlichen Intelligenz
Als Marktaufsichtsbehörde wurde die Kommission für Entwicklung und Sicherheit der künstlichen Intelligenz (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji) eingerichtet. Nach der im Stadium der Arbeiten der Präsidentenkanzlei erstellten Information über das Gesetz wird die Marktaufsichtsbehörde diese Kommission sein, die auch die Funktion der einzigen Kontaktstelle im Sinne der Verordnung 2024/1689 erfüllen wird, und zu ihren Aufgaben wird insbesondere die Ausübung der Kontrolle der Einhaltung der Verordnung und des Gesetzes gehören.
Angenommen wurde die Konstruktion einer Behörde mit sektorübergreifender Zusammensetzung, in der neben dem Vorsitzenden Vertreter des Amtes für Wettbewerbs- und Verbraucherschutz (Urząd Ochrony Konkurencji i Konsumentów), des Amtes für elektronische Kommunikation (Urząd Komunikacji Elektronicznej), der Finanzaufsichtskommission (Komisja Nadzoru Finansowego) sowie des Landesrundfunkrats (Krajowa Rada Radiofonii i Telewizji) sitzen. Diese Lösung verdient Zustimmung, weil die Aufsicht über Anwendungen künstlicher Intelligenz naturgemäß die Zuständigkeiten mehrerer sektoraler Regulierungsbehörden durchschneidet. Es ist zu beachten, dass das Gesetz auch Pflichten zur Zusammenarbeit mit anderen Behörden vorsieht, darunter mit dem Präsidenten des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych, UODO) im Umfang der Angelegenheiten nach Art. 57 Abs. 10 der Verordnung 2024/1689 sowie mit den nationalen Behörden und öffentlichen Stellen, die in dem Verzeichnis nach Art. 77 Abs. 2 der Verordnung bestimmt sind, im Umfang der Angelegenheiten, die Pflichten aus dem Recht der Europäischen Union und dem Schutz der Grundrechte betreffen.
Das Verfahren der Besetzung der Behörde hat qualifizierten Charakter: Den Vorsitzenden beruft der Sejm mit Zustimmung des Senats, wobei der Senat den Beschluss über die Erteilung der Zustimmung binnen eines Monats ab dem Tag der Übermittlung des Sejmbeschlusses fasst und das Nichtfassen eines Beschlusses in dieser Frist als Erteilung der Zustimmung gilt. Nach der Mitteilung des Ministeriums für Digitalisierung soll der Vorsitzende binnen zweier Monate ab dem Inkrafttreten des Gesetzes berufen werden und die gesamte Kommission binnen dreier Monate, was die Besetzung der Stelle des Vorsitzenden im Oktober 2026 und die Aufnahme der Tätigkeit der Kommission im November bedeutet.
5.3. Etappenweises Inkrafttreten der nationalen Vorschriften
Das Gesetz differenziert den Zeitpunkt des Inkrafttretens der einzelnen Vorschriftengruppen, weshalb eine vorübergehende Asymmetrie zwischen der Geltung der materiellen Normen und der Verfügbarkeit der nationalen Durchsetzungsinstrumente entsteht. Die Befugnisse zur Kontrolle, zur Führung von Verfahren und zur Verhängung von Sanktionen gelten ab dem 28. Oktober 2026.
Diese Erscheinung ist jedoch nicht gleichbedeutend mit dem Fehlen von Pflichten. Die materiellen Normen ergeben sich nämlich unmittelbar aus der Verordnung und nicht aus dem nationalen Gesetz, was bedeutet, dass ein im Übergangszeitraum entstandener Zustand der Nichtübereinstimmung einer Beurteilung unterliegen kann, nachdem die Behörde die volle Zuständigkeit erlangt hat.
Beachtung verdient auch die Zuweisung der Funktion der notifizierenden Behörde an den für Informatisierung zuständigen Minister sowie die Übertragung der Akkreditierung der Konformitätsbewertungsstellen auf das Polnische Akkreditierungszentrum (Polskie Centrum Akredytacji), wobei das Gesetz darüber hinaus den rechtlichen Rahmen für das Funktionieren regulatorischer Sandkästen schafft und die Möglichkeit der finanziellen Förderung wissenschaftlicher Forschung und von Entwicklungsarbeiten zur künstlichen Intelligenz durch den Minister für Digitalisierung vorsieht.
5.4. Das Institut der individuellen Stellungnahme
Als Lösung von erheblicher praktischer Bedeutung ist die Zuständigkeit zur Abgabe individueller Stellungnahmen anzusehen. Nach dem Gesetz kann einen Antrag auf Erteilung einer individuellen Stellungnahme ein Rechtsträger stellen, der zur Anwendung der Verordnung 2024/1689 und des Gesetzes verpflichtet ist, oder ein Rechtsträger, der Maßnahmen zu ergreifen plant, infolge derer er vom Anwendungsbereich dieser Vorschriften erfasst wird. Das Gesetz gebietet dabei, in individuellen Stellungnahmen und Erläuterungen die Empfehlungen und Stellungnahmen des Europäischen Ausschusses für künstliche Intelligenz nach Art. 66 Buchst. e der Verordnung 2024/1689 zu berücksichtigen.
Diese Konstruktion nähert sich funktional den individuellen Stellungnahmen an, die aus dem Steuerrecht bekannt sind. Der Gesetzgeber hat darüber hinaus einen Mechanismus der Anpassung der Auskünfte an das sich wandelnde normative Umfeld vorgesehen, indem er gebietet, Änderungen der Rechtslage, die Rechtsprechung der Gerichte sowie delegierte Rechtsakte oder Durchführungsrechtsakte, Leitlinien, Auslegungen, Empfehlungen und Erläuterungen der Europäischen Kommission oder des Europäischen Ausschusses für künstliche Intelligenz zu berücksichtigen.
5.5. Sanktionen, Verfahren und gerichtliche Kontrolle
Die Höhe der Geldbußen im Verwaltungswege bestimmt die Verordnung selbst. Für eine Verletzung der Verbote aus Art. 5 der Verordnung beträgt die Sanktion bis zu 35 000 000 Euro oder, wenn der Täter ein Unternehmer oder eine juristische Person ist, bis zu 7 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher dieser Beträge höher ist, wobei die Verordnung im Fall eines Kleinstunternehmers sowie eines kleinen oder mittleren Unternehmers vorsieht, dass die verhängte Sanktion geringer ausfallen soll. Verletzungen der Pflichten der Akteure sowie der Transparenzpflichten sind mit einer niedrigeren Sanktion bedroht, und die Übermittlung unrichtiger, unvollständiger oder irreführender Informationen an die Behörden mit der niedrigsten der drei vorgesehenen Schwellen.
Das nationale Gesetz regelt hingegen das Verfahren der Sanktionsbemessung sowie die Rechtsbehelfe. Angenommen wurde das Modell eines einstufigen Verfahrens mit gerichtlicher Kontrolle durch ein ordentliches Gericht: Das Beschwerdeverfahren endet mit dem Erlass einer Entscheidung, und gegen die Entscheidung der zuständigen nationalen Behörde ist die Beschwerde an das zuständige Gericht statthaft, welches wegen des Bedarfs an Spezialisierung sowie der hohen Anforderungen an die Kenntnis von Sachen aus dem Bereich digitaler Technologien und der Marktaufsicht das Landgericht Warschau (Sąd Okręgowy w Warszawie), XVII. Abteilung, Gericht für Wettbewerbs- und Verbraucherschutz (SOKiK), ist.
Neben den verwaltungsrechtlichen Sanktionen enthält das Gesetz auch Strafvorschriften sowie, was als eine der freiwilligen Beseitigung von Verletzungen förderliche Lösung festzuhalten ist, Vorschriften über die Verständigung über die Bedingungen einer außerordentlichen Milderung der Sanktion.
Das Gesetz sieht darüber hinaus die Möglichkeit der Meldung schwerwiegender Vorfälle sowie der Reaktion auf Situationen vor, in denen ein KI-System das Leben, die Gesundheit, die Sicherheit oder die Grundrechte gefährden kann, ebenso das Verfahren der Einlegung von Beschwerden gegen Verletzungen der Vorschriften. Die Kontrolle wird nach genehmigten Kontrollplänen, auf der Grundlage erlangter Informationen oder im Rahmen der Überwachung der Einhaltung der Vorschriften durch einen bevollmächtigten Mitarbeiter der zuständigen Organisationseinheit des Amtes, das den für Informatisierung zuständigen Minister unterstützt, und grundsätzlich nach vorheriger Benachrichtigung des kontrollierten Rechtsträgers geführt.
6. Verhältnis zur Datenschutz-Grundverordnung im Licht der Rechtsprechung des EuGH
Die Pflichten im Zusammenhang mit der Nutzung künstlicher Intelligenz erschöpfen sich nicht in der KI-Verordnung, weil parallel die Verordnung 2016/679 Anwendung findet und der Rechtsprechungsbestand des Gerichtshofs der Europäischen Union in diesem Bereich einen verhältnismäßig anspruchsvollen Standard setzt.
Im Urteil in der Sache C-634/21 (SCHUFA Holding) hat der Gerichtshof eine weite Auslegung des Begriffs der ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung angenommen. Wie in einer diesem Urteil gewidmeten wissenschaftlichen Abhandlung festgehalten wurde, hat der Gerichtshof Erwägungen dazu vermieden, in welchem Maße die endgültigen Kreditentscheidungen „ausschließlich“ auf einer automatisierten Verarbeitung beruhen, und sich darauf konzentriert, dass automatisierten Charakter die Entscheidung über das Scoring selbst hat; er hat dabei anerkannt, dass der von einer Wirtschaftsinformationsauskunftei ermittelte und der Bank übermittelte Wahrscheinlichkeitswert eine maßgebliche Rolle bei der Kreditgewährung spielt, weshalb seine Berechnung als Entscheidung zu qualifizieren ist, die rechtliche Wirkung entfaltet oder die betroffene Person erheblich beeinträchtigt. In der Begründung wurde darüber hinaus die Notwendigkeit betont, die Vorschriften der Verordnung als Ganzes zu behandeln und den Schutz der Rechte der betroffenen Person auch dann zu gewährleisten, wenn das Scoring von einem anderen Rechtsträger als der die endgültige Entscheidung treffenden Einrichtung vorgenommen wird.
Diese Richtung wurde in der Sache C-203/22 (Dun & Bradstreet Austria) gefestigt, in der der Gerichtshof entschieden hat, dass Verbraucher verständliche Informationen darüber erhalten müssen, auf welche Weise sie im Hinblick auf die Beurteilung der Kreditwürdigkeit profiliert werden. Der Sachverhalt der Sache ist instruktiv: Ein Mobilfunkbetreiber hat den Abschluss eines Vertrags wegen unzureichender Kreditwürdigkeit der Kundin abgelehnt, die auf automatisierte Weise von einer auf solche Dienstleistungen spezialisierten Gesellschaft ermittelt worden war, und das nationale Gericht hat eine Verletzung der Verordnung festgestellt, weil die „aussagekräftigen Informationen über die involvierte Logik“ der automatisierten Entscheidungsfindung nicht erteilt wurden und eine hinreichende Begründung der Unmöglichkeit ihrer Erteilung fehlte.
Eine Feststellung systemischen Charakters ist, dass das Erfordernis der Erklärbarkeit eines algorithmischen Ergebnisses nicht mehr der Sphäre der guten Praxis angehört und dass der Schutz des Geschäftsgeheimnisses in diesem Bereich keinen absoluten Charakter hat. Die Folgen dieser Haltung reichen dabei weiter als der Finanzsektor und erfassen alle Situationen, in denen eine automatisierte Beurteilung den Zugang des Einzelnen zu einer Leistung, einer Dienstleistung oder einer Beschäftigung bestimmt.
7. Rechtsprechung der polnischen Gerichte
7.1. Verfassungsrechtliche Grenzen der algorithmischen Datenverarbeitung
Die Problematik der algorithmischen Entscheidung über die Lage des Einzelnen war Gegenstand der Erörterungen des Verfassungsgerichts (Trybunał Konstytucyjny) noch vor der Verabschiedung der KI-Verordnung. Im Urteil vom 6. Juni 2018 in der Sache K 53/16 hat das Verfassungsgericht entschieden, dass Art. 34a Abs. 3c des polnischen Gesetzes vom 20. April 2004 über die Beschäftigungsförderung und die Institutionen des Arbeitsmarktes mit Art. 51 Abs. 1 und 5 in Verbindung mit Art. 31 Abs. 3 sowie mit Art. 92 Abs. 1 der polnischen Verfassung unvereinbar ist, wobei diese Vorschrift mit Ablauf von zwölf Monaten ab dem Tag der Verkündung des Urteils ihre Geltung verlor.
Kern der Argumentation war die Annahme, dass das Profiling arbeitsloser Personen zweifellos das Sammeln von Informationen über Einzelne im Sinne des Art. 51 Abs. 1 und 5 der polnischen Verfassung bedeutet, weshalb in diesem Bereich der Grundsatz des Gesetzesvorbehalts gelten sollte und vollständige Regelungen über die Grundsätze und das Verfahren der Durchführung des Profilings unbedingt in einem Gesetz enthalten sein sollten, während die übrigen Aspekte dieser Handlung zwischen Gesetz und Verordnung aufgeteilt werden können.
Gleichzeitig hat das Verfassungsgericht die Rüge des Fehlens eines gesonderten Rechtsbehelfs nicht berücksichtigt und angenommen, dass die Festlegung des Profils weder eine Sache im Sinne des Art. 45 Abs. 1 der polnischen Verfassung noch eine in erster Instanz erlassene Entscheidung im Sinne des Art. 78 der polnischen Verfassung ist, weil sie keine endgültige hoheitliche Entscheidung über Rechte oder Pflichten Einzelner darstellt, wobei Rügen betreffend den Verlauf oder das Ergebnis des Profilings von den Verwaltungsbehörden und den Verwaltungsgerichten im Rahmen der Kontrolle von Verwaltungsentscheidungen berücksichtigt werden können.
Diese Entscheidung behält ihre Aktualität als Bezugspunkt für die Beurteilung der verfassungsrechtlichen Anforderungen an nationale Regelungen über die automatisierte Verarbeitung. Festzuhalten ist dabei, dass das Verfassungsgericht erhebliche Zweifel gefasst hat, ob die geltenden Vorschriften die personenbezogenen Daten der dem Profiling unterworfenen Personen in hinreichender Weise schützen, und diese in einem gesonderten Beschluss angezeigt hat.
7.2. Nutzung generativer Werkzeuge im Rechtsverkehr
Eine Frage, die in der letzten Zeit in der Rechtsprechung der Verwaltungsgerichte Ausdruck gefunden hat, ist die Verantwortung für ein von einem KI-System erzeugtes Ergebnis. Im Beschluss vom 23. Juni 2026 in der Sache I FZ 104/26 hat das Oberste Verwaltungsgericht (Naczelny Sąd Administracyjny, NSA) festgestellt, dass „äußerst kritisch die reflexionslose Nutzung von KI-Werkzeugen durch einen berufsmäßigen Bevollmächtigten bei der Erstellung von Verfahrensschriftsätzen zu beurteilen ist, die im Namen des Vollmachtgebers bei Gericht eingereicht werden, wobei die ethische Dimension eines solchen Handelns Zweifel weckt, insbesondere wenn berücksichtigt wird, dass ein berufsmäßiger Bevollmächtigter eine Vergütung für die erbrachten Rechtsdienstleistungen erhebt und sein Vollmachtgeber ein Recht darauf hat, zu erwarten, dass die erstellten Schriftsätze höchsten Anforderungen an die Professionalität genügen; ein solcher Professionalismus ist schwer zu erkennen, wenn sich das Handeln des Bevollmächtigten auf die Nutzung von Werkzeugen beschränkt, die in gleichem Maße Personen zugänglich sind, die keine juristischen Berufe ausüben“ (Beschluss des NSA vom 23.06.2026, I FZ 104/26, LEX Nr. 4110313).
Die tatsächliche Grundlage dieser Beurteilung bildete die Feststellung, dass die in der Beschwerde angeführten Beschlüsse in Wirklichkeit an anderen Daten als den angegebenen erlassen wurden, dass keiner von ihnen die Aussetzung der Vollziehung eines Aktes oder einer Handlung auf der Grundlage des Art. 61 § 3 des polnischen Gesetzes über das Verfahren vor den Verwaltungsgerichten (p.p.s.a.) betraf und dass in allen drei Sachen die Beschwerden der Kläger zurückgewiesen wurden, wobei ihre Begründungen keine Thesen über einen übermäßigen Formalismus des Gerichts und über eine Pflicht des Gerichts enthielten, in den Verwaltungsakten nach Umständen zu suchen, die die Position der Partei bestätigen. Das Gericht hat dabei eine prognostische Perspektive eingenommen und darauf hingewiesen, dass mit einer immer häufigeren Nutzung von KI-Werkzeugen durch Kläger zu rechnen ist, was auch in der Entscheidungspraxis der Verwaltungsgerichte spürbar sein wird.
Die Analyse der Begründung führt zu dem Schluss, dass Gegenstand der Kritik nicht die Nutzung generativer Werkzeuge als solche war, sondern das Unterlassen der Überprüfung ihres Ergebnisses. Diese These hat eine über die Praxis der juristischen Berufe hinausreichende Bedeutung: Die Verantwortung für einen unter Mitwirkung eines Systems erzeugten Inhalt trägt derjenige Rechtsträger, der sich seiner bedient hat, unabhängig davon, ob sektorale Vorschriften eine solche Situation ausdrücklich behandeln.
7.3. Regelungslücke im Bereich manipulierter Inhalte
Festzuhalten ist auch die Haltung der nationalen Datenschutzbehörde, die auf die Unvollständigkeit der geltenden Regelung hinweist. Der Präsident des Amtes für den Schutz personenbezogener Daten hat festgestellt, dass es erforderlich ist, auch in das polnische Recht Lösungen einzuführen, die auf die Besonderheit der Deepfake-Technologie zugeschnitten sind und die Verbreitung schädlicher, mit ihrer Hilfe erzeugter Inhalte definieren und unmittelbar sanktionieren werden, ebenso Lösungen, die die Bekämpfung der negativen Folgen dieser Technologie systemisch auf verwaltungsrechtlicher, strafrechtlicher, steuerstrafrechtlicher und gerichtlicher Ebene regeln. In derselben Stellungnahme wurde auf das Fehlen von Vorschriften zur Bekämpfung von Deepfakes in der Rechtsordnung der Europäischen Union sowie auf das Beispiel des italienischen Gesetzgebers hingewiesen, der die Annahme zugrunde gelegt hat, dass künstliche Intelligenz kein neutrales technologisches Werkzeug ist, sondern ein System, das reale Wirkungen im Bereich der Rechte und Freiheiten Einzelner hervorbringen kann, und der eine Definition der Straftat der rechtswidrigen Verbreitung gefälschter oder veränderter digitaler Inhalte eingeführt hat, die unter Nutzung künstlicher Intelligenz erzeugt wurden.
Die Kennzeichnungspflichten aus Art. 50 der Verordnung haben nämlich präventiv-informierenden Charakter und ersetzen weder die Instrumente des Persönlichkeitsschutzes noch strafrechtliche Sanktionen.
8. Schlussfolgerungen
Die durchgeführte Analyse erlaubt es, einige Beobachtungen allgemeiner Natur zu formulieren.
Erstens rechtfertigt die Änderung des Zeitplans nicht den Schluss auf einen Aufschub der Pflichten als Ganzes. Aufgeschoben wurde das am weitesten ausgebaute Regime, das Hochrisikosysteme betrifft, während die Transparenzpflichten sowie die Mechanismen der Marktaufsicht ab dem 2. August 2026 Anwendung finden.
Zweitens sollte Ausgangspunkt für die Beurteilung der Rechtslage eines konkreten Rechtsträgers die rechtliche Qualifikation sein und nicht der Aufbau eines ausgedehnten Compliance-Systems. Erforderlich ist die Feststellung, ob die jeweilige Lösung ein KI-System im Sinne der besprochenen Verordnung darstellt, in welcher Rolle der jeweilige Rechtsträger ihr gegenüber auftritt und ob die konkrete Art ihrer Nutzung eine bereits anwendbare Pflicht auslöst.
Drittens sind die Pflichten aus der KI-Verordnung gemeinsam mit dem Regime des Schutzes personenbezogener Daten zu analysieren. Die Rechtsprechung des Gerichtshofs zur automatisierten Entscheidungsfindung setzt einen Standard der Erklärbarkeit, der sich in vielen Fällen als anspruchsvoller erweisen wird als die Informationspflichten aus Art. 50 selbst.
Viertens sollte die vorübergehende Asymmetrie zwischen der Geltung der materiellen Normen und der Verfügbarkeit der nationalen Durchsetzungsinstrumente nicht als ein Zeitraum der Straflosigkeit gelesen werden. Die Erlangung der vollen Zuständigkeit durch die Aufsichtsbehörde mit dem 28. Oktober 2026 wird nämlich die Beurteilung früher eingetretener Zustände ermöglichen.
Fünftens erscheint de lege ferenda die Erwägung einer Ergänzung des nationalen Rechts um Instrumente begründet, die sich unmittelbar auf die Verbreitung schädlicher manipulierter Inhalte beziehen, im Einklang mit der von der Datenschutzbehörde angezeigten Haltung.
Verzeichnis der Quellen
Rechtsakte
- Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften über künstliche Intelligenz (ABl. EU L 2024/1689 vom 12.07.2024).
- Verordnung zur Änderung der Verordnungen (EU) 2024/1689 und (EU) 2018/1139 hinsichtlich der Vereinfachung der Umsetzung harmonisierter Vorschriften über künstliche Intelligenz.
- Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016.
- Polnisches Gesetz vom 3. Juli 2026 über Systeme der künstlichen Intelligenz (Dz. U. von 2026, Pos. 1003).
- Polnisches Gesetz vom 20. April 2004 über die Beschäftigungsförderung und die Institutionen des Arbeitsmarktes.
Rechtsprechung
- Urteil des EuGH vom 7. Dezember 2023, C-634/21 (SCHUFA Holding).
- Urteil des EuGH vom 27. Februar 2025, C-203/22 (Dun & Bradstreet Austria).
- Urteil des Verfassungsgerichts vom 6. Juni 2018, K 53/16.
- Beschluss des Obersten Verwaltungsgerichts vom 23. Juni 2026, I FZ 104/26.
Dokumente der Organe der Europäischen Union
- Leitlinien zu den Transparenzpflichten für Anbieter und Betreiber einzelner Systeme der künstlichen Intelligenz, Europäische Kommission.
- Verhaltenskodex im Bereich der Transparenz von durch künstliche Intelligenz erzeugten Inhalten, Amt für Künstliche Intelligenz.
- Informationsmaterialien der Europäischen Kommission zur Verordnung über künstliche Intelligenz.
Dokumente und Stellungnahmen nationaler Behörden
- Information über das Gesetz vom 3. Juli 2026 über Systeme der künstlichen Intelligenz (Drucksache Nr. 2443), Kanzlei des Präsidenten der Republik Polen.
- Begründung und Folgenabschätzung des Entwurfs des Gesetzes über Systeme der künstlichen Intelligenz, Kanzlei des Ministerpräsidenten.
- Mitteilungen des Ministeriums für Digitalisierung zum Gesetz über Systeme der künstlichen Intelligenz sowie zu Änderungen der Anwendung der Verordnung über künstliche Intelligenz.
- Stellungnahme des Präsidenten des Amtes für den Schutz personenbezogener Daten zu den Vorschriften über Deepfakes.
- Materialien des Bürgerrechtsbeauftragten zum Profiling arbeitsloser Personen.
Rechtsstand zum 20. August 2026. Die Abhandlung hat wissenschaftlich-informatorischen Charakter und stellt keine Rechtsberatung dar.
Unsicher, ob das Ihr Fall ist?
Genau damit beginnen die meisten Gespräche mit einem Anwalt. Eine Beratung ist kostenpflichtig, 600 PLN netto. Sie zahlen für eine echte Einschätzung: ob Sie ein rechtliches Problem haben, was sich dagegen tun lässt und was es ungefähr kostet. Zu nichts Weiterem verpflichtet, und das Recht überlassen Sie uns.
- 1 Gespräch
Sie schildern, worum es geht, in eigenen Worten.
- 2 Wie weiter
Wir nennen Ihre Optionen und die Kosten.
- 3 Wir handeln
Sie geben grünes Licht und der Fall ist unserer.
Ihre Berufserfahrung sammelte sie in Warschauer Kanzleien, darunter in einem Notariat und in einer Rechtsanwalts- und Rechtsberaterkanzlei, wo sie erfahrenere Juristen bei zivilrechtlichen Angelegenheiten, einschließlich Gerichtsverfahren, sowie bei der laufenden Rechtsberatung von Unternehmen unterstützte. Derzeit unterstützt sie das Prozess- und Corporate-Team der Kanzlei und wirkt bei der rechtlichen Betreuung von Unternehmen und Familienstiftungen mit.
Profil ansehen →
