AI law & AI compliance in Frankfurt am Main

EU AI Act, Governance and Liability for Financial Services and Tech Companies on the Main

Attorney for AI law & AI compliance in Frankfurt am Main

As an attorney for AI law and AI compliance in Frankfurt am Main, I advise companies on the lawful development and deployment of AI systems. Frankfurt—as a financial centre with high regulatory density, from banks and insurers to fintechs—is a focal point for risk-assessed AI applications, model governance and implementation of the EU AI Act.

I support classification and documentation of AI systems, contracts for AI services, internal policies and alignment with supervisory and data protection requirements. My practice in Frankfurt allows me to integrate industry standards and regulatory expectations pragmatically into your AI strategy.

Artificial intelligence and the law: effective AI governance for businesses in Frankfurt

The integration of Artificial Intelligence is fundamentally transforming value creation and decision-making processes within organisations. At the dynamic business hub of Frankfurt am Main, it is crucial for companies to navigate this transformation through sound AI governance on a solid legal footing. This is not simply about meeting regulatory obligations—it means establishing rules, processes and structures that minimise risks while simultaneously fostering innovation.

  • Regulatory necessity: AI systems are increasingly deployed in highly sensitive areas such as financial services, giving rise to specific legal requirements regarding non-discrimination, transparency and accountability. Effective AI governance ensures compliance and strengthens stakeholder trust.
  • Integration into existing structures: AI governance must not be treated as an isolated system. It must be embedded horizontally within existing compliance management systems (CMS). This requires a clear definition of roles—such as dedicated AI coordinators or a Chief Data Officer.
  • Lifecycle and use-case management: The entire lifecycle of an AI system—from ideation through development to operation—must be supported by quality standards. Individual use cases must be classified according to regulatory risk categories and managed strategically.

The EU AI Act: Regulatory Requirements and Risk Management

The European AI Regulation (EU AI Act) has established a comprehensive, horizontal legal framework for the development, deployment and use of Artificial Intelligence. AI is no longer treated merely as a technical tool under law, but as a complex socio-technical system that requires specific monitoring and documentation obligations.

  • Risk-based approach: The Regulation classifies AI systems into different risk categories. So-called high-risk AI systems are subject to particularly stringent requirements, including mandatory comprehensive risk assessments and the implementation of a dedicated quality management system.
  • Documentation and transparency: Operators and providers must produce detailed technical documentation as well as audit trails. These complete records of how a system functions, the training data used and model outputs are essential to enable internal reviews and external audits on a legally secure basis.
  • Human oversight (human-in-the-loop): To prevent the diffusion of legal responsibility, the Act mandates mechanisms for human control. These include technical emergency functions—such as a "kill switch"—to enable immediate intervention in the event of a malfunction of autonomously acting systems.

AI and data protection: GDPR requirements for businesses in Frankfurt

The use of AI systems—in particular Large Language Models (LLMs)—is in constant tension with data protection law. For highly networked businesses in the Frankfurt am Main area, strict compliance with the GDPR when processing personal data through algorithms is a central pillar of legal certainty in commercial operations.

  • Legal bases and model training: The mass training of AI models on personal data (e.g. through web crawling) frequently relies on legitimate interests (Art. 6(1)(f) GDPR) given the impracticality of obtaining consent. Technical measures such as pseudonymisation to minimise risk are indispensable in this context.
  • Principle of data accuracy: Under Art. 5 GDPR, processed data must be factually accurate. Since AI outputs are based on probabilistic calculations and are prone to factual errors ("hallucinations"), significant risks arise—for example in automated candidate screening or credit scoring.
  • Input of data (prompting): When employees use AI tools for business purposes, the entry of personal data must be supported by a valid legal basis. In addition, contractual provisions must ensure that information entered is not used by the provider for further model training in an unauthorised manner (privacy by design).

Liability and responsibility in AI-assisted processes

The more autonomously AI systems operate, the more complex the attribution of legal responsibility becomes. Even though Artificial Intelligence is not a legal person under current law, liability in practice is increasingly being distributed between system developers, the operating company and individual employees.

  • Organisational fault: Companies are liable when they deploy defective AI systems or when employees feed data into tools without adequate policies, technical verification mechanisms and accountability systems having been implemented beforehand.
  • Employee liability: Where employees independently feed sensitive company or customer data into AI systems that have not been officially approved, thereby causing unlawful results, the legal principles of individual employee liability apply.
  • Hybrid teams and attribution: In modern systems based on language models, behaviour is context-dependent and cannot be fully predicted in advance (probabilistic behaviour). This makes legal proof of causation and fault more difficult, rendering complete documentation of approval processes indispensable.

AI agents in e-commerce: new legal challenges for businesses in Frankfurt

In e-commerce, autonomous AI agents are increasingly taking over tasks previously reserved for humans—from product searches and price comparisons to fully automated contract conclusions. For shop operators in the Frankfurt am Main area and the surrounding conurbation, this development significantly changes the legal risk profile, as classic mechanisms of user interaction break down.

  • Legally effective declarations: AI agents make declarations on behalf of users, initiate payment processes and transmit master data. However, since they form no independent "intent", the attribution of knowledge under civil law (e.g. via § 166 BGB) in probabilistic systems is highly contested.
  • Consent and cookie banners: Informed consent as required under the GDPR and the TDDDG (e.g. for tracking technologies) cannot be legally delegated to an AI agent. While an agent may technically confirm a consent banner, it does not act on the basis of any genuine understanding of the purposes of the processing.
  • Channelling via APIs: To avoid legal violations caused by uncontrolled agent access, shop operators should provide dedicated API interfaces. These channel data access, dispense with unnecessary tracking and make legally required information available in machine-readable formats.

Implementing AI policies and compliance frameworks in your organisation

Legally secure use of Artificial Intelligence requires the establishment of a systematic AI compliance framework. In practice, this must not be conceived as an isolated technical project; it must be deeply woven into the organisation's existing compliance, IT security and governance structures.

  • Internal rules and policies: Companies must establish binding guidelines for the development process, the use of training data and the handling of security-relevant incidents. This necessarily includes managing so-called shadow IT and the unregulated use of generative AI.
  • Interfaces with IT security: AI compliance interacts strongly with European information security requirements such as the Cyber Resilience Act (CRA) or the NIS2 Directive. Alignment with established management systems (e.g. ISO/IEC 27001) or specific AI risk standards creates the necessary legal certainty here.
  • Training and awareness: Since AI tools are used across functions, building an interdisciplinary "AI compliance mindset" is essential. Managers and specialist departments must be regularly trained in risk assessment, data protection and the correct legal handling of algorithms.

Intellectual property and international AI regulation for Frankfurt-based businesses

Artificial Intelligence and digital data flows do not stop at national borders. For internationally active companies headquartered in Frankfurt am Main—a leading financial and data hub—understanding the globally fragmented legal framework and the international rules on intellectual property is absolutely indispensable.

  • Protection of intellectual property: The development of AI takes place in multi-layered, networked processes. International agreements such as the TRIPS Agreement are reaching their doctrinal limits here, as the classic legal distinction between inventor, user and the underlying algorithm is increasingly blurring.
  • Export controls on AI: In addition to direct provisions governing AI applications, there are international efforts to strictly control the export of AI technologies with dual-use potential (so-called dual-use systems). Companies must continuously review their international distribution structures for applicable export restrictions.
  • Global regulatory differences: While the European Union has adopted a comprehensive, risk-based approach with the AI Act, the United States has so far relied primarily on sector-specific rules. Asian markets sometimes apply strict requirements for direct algorithmic oversight. These divergences require a highly flexible, internationally oriented compliance strategy.

Recent judgments from Frankfurt am Main and the region (As of 2026)

These case summaries are provided in German. They concern German courts and authorities only. Common abbreviations: BGH — Federal Court of Justice of Germany; BPatG — Federal Patent Court; DPMA — German Patent and Trade Mark Office; LG — Regional Court; OLG — Higher Regional Court; AG — Local Court. Expanded names appear in headings and citations below.

Künstliche Intelligenz
Prüfungsrecht
Der Anscheinsbeweis bei KI-Nutzung: Unerklärliche Diskrepanz zwischen Code-Qualität und Fachwissen überführt Studenten (VG (Administrative Court (Germany)) Kassel)

Facts: Der Rechtsstreit trug sich vor dem Verwaltungsgericht Kassel zu. Ein Informatikstudent der Universität Kassel reichte eine Bachelorarbeit ein, die sich inhaltlich mit maschinellem Lernen befasste und die Programmierung eines entsprechenden Codes erforderte. Im darauffolgenden mündlichen Kolloquium war der Student jedoch außerstande, rudimentäre fachliche Fragen zu seiner Ausarbeitung zu beantworten oder den eingereichten Programmiercode zu erklären. Die Universität Kassel wertete die Leistung daraufhin als endgültig nicht bestanden, da der Student massiv getäuscht habe. Der Kläger wehrte sich juristisch gegen diesen Bescheid. Er führte seine inhaltlichen Wissenslücken auf extreme Prüfungsangst und Nervosität zurück und bestritt vehement die unzulässige Erstellung seiner Arbeit durch Künstliche Intelligenz.

Key provisions:

  • § 16 Allgemeine Bestimmungen für Fachprüfungsordnungen der Universität Kassel (Täuschung)
  • § 23 Allgemeine Bestimmungen für Fachprüfungsordnungen der Universität Kassel (Bachelorarbeit)
  • § 108 Abs. 1 VwGO (Freie Beweiswürdigung und Grundsätze des Anscheinsbeweises)

Decision: Das Verwaltungsgericht Kassel wies die Klage vollumfänglich ab. Das Gericht urteilte, dass der heimliche Einsatz von Künstlicher Intelligenz rechtssicher über den sogenannten Anscheinsbeweis nachgewiesen werden durfte. Die eklatante Diskrepanz zwischen der zügig erstellten, fehlerfreien schriftlichen Arbeit und dem völligen Unverständnis des Klägers für den eigenen Code in der mündlichen Prüfung begründete diesen Beweis des ersten Anscheins. Erschwerend kam hinzu, dass der Text strukturelle Auffälligkeiten aufwies, die typisch für Texte aus Künstlicher Intelligenz waren – wie etwa inhaltliche Oberflächlichkeit, generische Zusammenfassungen und unbegründet überschwängliche Wertungen. Da der Kläger diesen Anschein nicht durch einen plausiblen Gegenvortrag entkräften konnte, galt der schwere Täuschungsvorwurf durch den Einsatz von Künstlicher Intelligenz als juristisch bewiesen.

Conclusion & practical takeaway: Der gerichtliche Rückgriff auf den Anscheinsbeweis entpuppte sich in diesem Fall als scharfes Schwert bei der Überführung nicht deklarierter Automatisierung. Für Unternehmer, Geschäftsführer und HR-Verantwortliche in der Digitalbranche liefert das Urteil eine äußerst wertvolle Blaupause: Wenn Bewerber bei Coding-Assessments oder freie Dienstleister bei Programmieraufträgen makellose Ergebnisse einreichen, diese aber im anschließenden technischen Interview nicht erklären können, bedarf es keines fehleranfälligen Software-Scans durch KI-Detektoren. Eine offensichtliche Leistungsdiskrepanz reicht juristisch aus, um den verdeckten Einsatz von Künstlicher Intelligenz glaubhaft zu machen und vertragliche Sanktionen zu begründen. Unternehmen sollten daher zwingend mündliche Überprüfungsmechanismen („Code-Reviews“) für arbeitsrelevante Ergebnisse in ihre Prozesse integrieren, um unzulässige KI-Zuarbeiten aufzudecken.

VG (Administrative Court (Germany)) Kassel · Judgment · 25/02/2026 · 7 K 2134/24.KS

Künstliche Intelligenz
Generative KI
Keine bloße Suchmaschine: Ungekennzeichnete Nutzung Künstlicher Intelligenz gilt als schwerwiegender Täuschungsversuch (VG (Administrative Court (Germany)) Kassel)

Facts: Ein Masterstudent reichte an der Universität Kassel eine Hausarbeit ein, bei der er weitreichende Unterstützung durch Künstliche Intelligenz (KI), konkret das Tool "Copilot", in Anspruch nahm. Er ließ selbst verfasste Entwürfe von der Künstlichen Intelligenz überarbeiten und nutzte diese zur Recherche von Rechtsprechung. Dabei übernahm er die Ergebnisse der Künstlichen Intelligenz ungeprüft, was dazu führte, dass sogenannte "Halluzinationen" – also von der KI frei erfundene Gerichtsurteile – in den Fußnoten landeten. Die Universität wertete dies als besonders schwere Täuschung, bewertete die Arbeit in der Folge mit "mangelhaft" und schloss den Studenten von jeglicher Wiederholungsprüfung aus. Dagegen klagte der Student vor dem Verwaltungsgericht Kassel mit dem zentralen Argument, Künstliche Intelligenz sei lediglich ein technisches Hilfsmittel, das in seiner Funktionsweise mit der Suchmaschine Google vergleichbar sei.

Key provisions:

  • Allgemeine Bestimmungen für Fachprüfungsordnungen der Universität Kassel (insb. Regelungen zu Täuschung und Wiederholungsprüfungen)
  • § 42 VwGO (Anfechtungsklage)

Decision: Das Verwaltungsgericht Kassel wies die Klage ab. Das Gericht stellte unmissverständlich klar, dass der ungekennzeichnete Einsatz von generativer Künstlicher Intelligenz, der über eine reine Rechtschreibkontrolle hinausging, eine unzulässige Täuschung und die Inanspruchnahme "fremder Hilfe" darstellte. Es war dabei rechtlich völlig unerheblich, ob die bestehende Prüfungsordnung die Nutzung von Künstlicher Intelligenz bereits ausdrücklich verboten hatte. Da die Künstliche Intelligenz ihre Antworten auf Basis von Wahrscheinlichkeiten aus fremden Quellen generierte, bewertete das Gericht die ungekennzeichnete Übernahme dieser Inhalte zwingend als Plagiat. Die inhaltliche Gleichsetzung von Künstlicher Intelligenz mit einer klassischen Suchmaschine ließ das Gericht nicht gelten, da bei einer KI-Nutzung die eigenständige inhaltliche Aus- und Verwertung der gesuchten Quellen durch den menschlichen Anwender fehlte.

Conclusion & practical takeaway: Dieses Urteil war ein wegweisendes Signal für die rechtliche Bewertung von Künstlicher Intelligenz im Kontext von strikten höchstpersönlichen Leistungspflichten. Für Arbeitgeber, Geschäftsführer und Inhouse-Juristen in der Digitalbranche bedeutete dies: Die unbedarfte Nutzung von generativer KI erwies sich schnell als rechtlicher Bumerang. Wenn Mitarbeiter, freie Dienstleister oder Bewerber vertraglich geschuldete Eigenleistungen (wie beispielsweise rechtliche Gutachten, Programmcode oder redaktionelle Texte) heimlich durch Künstliche Intelligenz erbringen ließen, drohten weitreichende Konsequenzen bis hin zur fristlosen Kündigung oder zu Schadensersatzforderungen. Unternehmen mussten daher dringend klare KI-Richtlinien (AI Policies) etablieren, die den erlaubten Einsatz von Künstlicher Intelligenz am Arbeitsplatz transparent regelten und strikte Kennzeichnungspflichten für KI-generierte Ergebnisse festlegten.

VG (Administrative Court (Germany)) Kassel · Judgment · 25/02/2026 · 7 K 2515/25.KS

From our blog on AI law

31. May 2026

Digital contract drafting with artificial intelligence: opportunities, duties, and liability

Generative AI is fundamentally changing contract creation—with new liability and compliance questions.

Dr. Valentin Zipfel

Dr. Valentin Zipfel

31. May 2026

AI agents in e-commerce: what online shop operators must observe under data protection law

AI agents shop on users' behalf—and change the data-protection risk profile of online shops.

Dr. Valentin Zipfel

Dr. Valentin Zipfel

31. May 2026

AI in public authorities: where the state already uses artificial intelligence and where the legal limits lie

AI has arrived in day-to-day government—from predictive policing to chatbots in citizen services.

Dr. Valentin Zipfel

Dr. Valentin Zipfel

Not in Frankfurt am Main? We also serve clients in other cities:

Contact

Have an issue? Tell us by email or via the contact form.
Standort Frankfurt am Main
Rechtsanwalt Dr. Valentin Zipfel
c/o GÖRG Partnerschaft von Rechtsanwälten mbB
Ulmenstraße 30, 60325 Frankfurt am Main