Warum KI-Verträge anders sind als herkömmliche IT-Verträge
Stellen Sie sich vor: Ihr Projektleiter erstellt mit ChatGPT ein Lastenheft, das vertrauliche Kundendaten enthält. Drei Monate später tauchen ähnliche Formulierungen in einem Konkurrenzangebot auf.
Zufall? Unwahrscheinlich.
KI-Verträge unterscheiden sich fundamental von klassischen Software-Lizenzen. Während Sie bei einer CRM-Software genau wissen, was das System kann und was nicht, agieren KI-Modelle in einer Grauzone aus Wahrscheinlichkeiten und Lernprozessen.
Der EU AI Act, der seit 2024 schrittweise in Kraft tritt, verschärft die rechtlichen Anforderungen zusätzlich. Unternehmen müssen jetzt Risikokategorien bewerten und entsprechende Schutzmaßnahmen implementieren.
Hier entstehen drei zentrale Problemfelder:
Datenfluss-Transparenz: Wo landen Ihre Eingaben? Werden sie für Training verwendet? Diese Fragen bleiben bei Standard-AGB oft unbeantwortet.
Ergebnis-Unvorhersagbarkeit: KI kann halluzinieren, diskriminieren oder schlicht falsche Outputs liefern. Wer haftet für Folgeschäden?
Vendor Lock-in: Speziell trainierte Modelle lassen sich nicht einfach migrieren. Ihre Daten und Anpassungen bleiben beim Anbieter.
Die gute Nachricht: Mit den richtigen Vertragsklauseln lassen sich diese Risiken erheblich reduzieren.
Die sieben kritischen Klauseln im Überblick
Nicht jede KI-Implementierung braucht einen 50-seitigen Vertrag. Aber sieben Kernbereiche sollten Sie immer adressieren:
- Datenverwendung und -schutz: Klare Regeln für Input-Daten, Training und Speicherung
- Haftungsverteilung: Wer trägt Risiken bei fehlerhaften KI-Outputs?
- Geistiges Eigentum: Rechtsstatus von KI-generierten Inhalten
- Service Level Agreements: Messbare Qualitäts- und Verfügbarkeitsstandards
- Compliance und Auditierung: Nachweis der Regelkonformität
- Kündigungsmodalitäten: Datenrückgabe und Löschung bei Vertragsende
- Änderungsmanagement: Umgang mit Modell-Updates und Feature-Änderungen
Diese Punkte klingen technisch, haben aber direkten Business-Impact. Ein fehlender Datenrückgabe-Prozess kann Sie monatelang vom wichtigsten KI-Tool abschneiden.
Besonders bei größeren Implementierungen – etwa einem unternehmensweiten Chatbot oder RAG-System – müssen alle Aspekte wasserdicht geregelt sein.
Der Grund ist simpel: KI-Projekte scheitern seltener an der Technik als an unklaren Verantwortlichkeiten.
Datenschutz und Compliance: Der Kern jeder KI-Vereinbarung
Hier wird es konkret: Ihre Mitarbeiter geben täglich sensible Informationen in KI-Tools ein. Kundendaten, Strategiepapiere, Kalkulationen.
Die DSGVO verlangt bei jeder Datenverarbeitung eine Rechtsgrundlage. Bei KI-Anwendungen wird das kompliziert, weil oft unklar ist, was genau mit den Daten passiert.
Verarbeitungszweck definieren: Lassen Sie sich schriftlich bestätigen, wofür Ihre Daten verwendet werden. Zur Servicebereitstellung reicht nicht aus. Fordern Sie Details: Wird für Training verwendet? Erfolgt eine Profilbildung?
Auftragsverarbeitung regeln: Wenn der KI-Anbieter personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Viele US-Anbieter bieten Standardverträge an.
Datenlokalisierung beachten: Wo werden Ihre Daten verarbeitet und gespeichert? Bei europäischen Anbietern ist das oft unkompliziert. Bei US-Diensten müssen Standardvertragsklauseln oder das Data Privacy Framework greifen.
Löschungsfristen vereinbaren: Definieren Sie explizit, wann und wie Ihre Daten gelöscht werden. Nach Vertragsende ist zu vage. Besser: 30 Tage nach schriftlicher Kündigung mit Löschungsbestätigung.
Ein praktisches Beispiel: Ein Maschinenbauer nutzt KI für Angebotserstellung. Kundenstammdaten, Preise und technische Spezifikationen fließen in das System.
Ohne klare Datenverwendungsregeln riskiert das Unternehmen DSGVO-Bußgelder bis zu 4% des Jahresumsatzes. Bei einem Mittelständler mit 50 Millionen Euro Umsatz sind das 2 Millionen Euro.
Die Lösung: Ein detaillierter Datenfluss-Plan im Vertrag. Jede Datenart bekommt eigene Regeln für Speicherung, Verarbeitung und Löschung.
Audit-Rechte sichern: Vereinbaren Sie das Recht auf Compliance-Prüfungen. Größere Anbieter stellen oft SOC-2-Berichte zur Verfügung.
Haftungsfragen und Risikoverteilung: Wer trägt was?
KI macht Fehler. Das ist Realität, kein Defekt.
Large Language Models halluzinieren in einem gewissen Anteil der Fälle, je nach Aufgabenstellung. Computer Vision kann Objekte falsch klassifizieren. Predictive Analytics liefert manchmal völlig absurde Prognosen.
Die Frage lautet: Wer haftet für Schäden, die durch fehlerhafte KI-Outputs entstehen?
Standardausschlüsse verstehen: Die meisten KI-Anbieter schließen jede Haftung für indirekte Schäden aus. Das heißt: Wenn ein KI-generiertes Angebot zu einem Auftragsverlust führt, zahlt der Anbieter nichts.
Haftungsobergrenzen verhandeln: Fordern Sie realistische Haftungslimits. Bei kritischen Anwendungen sollten diese dem potenziellen Schaden entsprechen, nicht nur den Lizenzkosten.
Dokumentationspflichten festlegen: Der EU AI Act verlangt bei Hochrisiko-KI-Systemen umfangreiche Dokumentation. Klären Sie, wer diese Nachweise erbringt.
Ein konkreter Fall: Ein Personaldienstleister nutzt KI für Bewerbungsvorauswahl. Das System diskriminiert systematisch gegen Kandidaten über 50 Jahre.
Die Folge: Antidiskriminierungsklage, Reputationsschaden, Recruiting-Stopp.
Bei schwammigen Haftungsklauseln bleibt das Unternehmen auf allen Kosten sitzen. Besser: Eine Klausel, die algorithmische Fairness explizit zur Anbieterpflicht macht.
Versicherungsschutz prüfen: Ihre Betriebshaftpflicht deckt KI-Schäden oft nicht ab. Spezielle Cyber-Policen oder KI-Zusatzmodule werden immer wichtiger.
Incident Response definieren: Was passiert bei einem KI-Fehler? Legen Sie Meldewege, Reaktionszeiten und Korrekturmaßnahmen fest.
Realismus ist hier wichtiger als perfekte Absicherung. Kein Anbieter übernimmt unbegrenzte Haftung für KI-Outputs. Aber Sie können Mindeststandards und faire Risikoverteilung durchsetzen.
Geistiges Eigentum: Wem gehören die KI-generierten Inhalte?
Diese Frage spaltet Juristen weltweit: Kann KI urheberrechtlich geschützte Werke schaffen? In Deutschland ist die Antwort klar: Nein.
Das Urheberrecht schützt nur menschliche Schöpfungen. KI-Outputs sind grundsätzlich gemeinfrei – theoretisch.
Praktisch wird es komplizierter:
Input-Rechte beachten: Wenn Sie urheberrechtlich geschützte Texte als KI-Input verwenden, können Rechteverletzungen entstehen. Manche KI-Modelle wurden mit geschütztem Material trainiert.
Output-Verwendung klären: Auch wenn KI-Texte nicht urheberrechtlich geschützt sind, kann der Anbieter Nutzungsrechte über den Vertrag begrenzen. Lesen Sie das Kleingedruckte.
Bearbeitungsrechte sichern: Dürfen Sie KI-Outputs beliebig verändern und weiterverkaufen? Das sollte explizit geregelt sein.
Ein Praxisbeispiel: Eine Marketingagentur erstellt mit DALL-E Werbebilder für Kundenkampagnen. Das Bild ähnelt zufällig einem bestehenden Kunstwerk.
Ergebnis: Abmahnung, Schadensersatzforderung, Kampagnen-Stopp.
Die Lösung: Vertragsklauseln, die dem KI-Anbieter eine Prüfpflicht auferlegen und Indemnifikation bei Rechtsverletzungen vorsehen.
Betriebsgeheimnisse schützen: KI-generierte Inhalte basieren oft auf Ihren vertraulichen Daten. Stellen Sie sicher, dass diese nicht in die Trainingsdaten anderer Kunden einfließen.
Markenrechte bedenken: KI kann versehentlich fremde Marken verwenden. Vereinbaren Sie, wer bei Markenverletzungen haftet.
Bei der IP-Frage gibt es keine Pauschalantworten. Jeder Anwendungsfall braucht eigene Regelungen.
SLA und Performance-Garantien bei KI-Systemen
Klassische Software läuft oder läuft nicht. KI ist nuancierter.
Ein Chatbot kann technisch verfügbar sein, aber trotzdem unbrauchbare Antworten liefern. Ein Übersetzungstool übersetzt zwar, aber mit inakzeptabler Qualität.
Verfügbarkeit messbar machen: 99,9% Uptime ist Standard. Aber definieren Sie auch, was als verfügbar gilt. Antwortzeiten über 30 Sekunden sind für viele Anwendungen praktisch unbrauchbar.
Qualitätsmetriken vereinbaren: Hier wird es schwierig. Wie messen Sie die Qualität einer KI-Übersetzung oder eines generierten Textes?
Mögliche Ansätze:
- Human-Evaluation-Scores für einen Stichprobenumfang
- Benchmarks gegen etablierte Systeme
- Kundenzufriedenheits-Schwellwerte
- Fachliche Korrektheit bei standardisierten Testfällen
Performance-Verschlechterung adressieren: KI-Modelle können nach Updates schlechter werden. Vereinbaren Sie Rückfall-Optionen auf vorherige Versionen.
Ein reales Problem: Ein Unternehmen setzt auf KI-basierte Dokumentenextraktion. Nach einem Anbieter-Update sinkt die Erkennungsrate von 94% auf 78%.
Ohne SLA-Klauseln haben Sie keine Handhabe. Mit cleveren Vereinbarungen können Sie Rollbacks oder Kompensationen durchsetzen.
Skalierungsgarantien fordern: Was passiert, wenn Ihr KI-Bedarf um 500% steigt? Gerade bei erfolgreichen Implementierungen müssen Sie Kapazitätsgrenzen kennen.
Wichtig: Seien Sie realistisch bei den Anforderungen. KI-Qualität schwankt naturgemäß. Aber Mindeststandards lassen sich durchaus durchsetzen.
Exit-Klauseln und Datenportabilität
Der Worst Case: Ihr KI-Anbieter wird übernommen, ändert die Preise um 300% oder stellt den Service ein.
Ohne Exit-Strategie stehen Sie vor einem Problem: Monate oder Jahre der Datenarbeit sind gefangen.
Datenexport-Formate festlegen: In welchen Formaten bekommen Sie Ihre Daten zurück? CSV? JSON? Proprietäre Formate helfen Ihnen nicht weiter.
Transferzeiten vereinbaren: Wie lange dauert der Datenexport? Bei großen Datenmengen können das Wochen sein. Planen Sie entsprechende Übergangszeiten.
Modell-Portabilität klären: Können Sie ein custom-trainiertes Modell mitnehmen? Oft ist das technisch unmöglich, aber Trainingsdaten lassen sich exportieren.
Ein praktisches Beispiel: Ein Industrieunternehmen hat zwei Jahre lang einen KI-Chatbot mit firmenspezifischen FAQ trainiert. Der Anbieter verdoppelt die Preise.
Mit guten Exit-Klauseln: Export der Trainingsdaten, 90 Tage Parallelbetrieb, neue Implementierung beim Wettbewerber.
Ohne Exit-Strategie: Monate ohne Chatbot oder Zahlung der Preiserhöhung.
Löschungsbestätigung einfordern: Nach dem Datenexport müssen alle Ihre Daten beim alten Anbieter gelöscht werden. Lassen Sie sich das schriftlich bestätigen.
Migrationshilfe verhandeln: Größere Anbieter bieten oft Migrationssupport zu Konkurrenzprodukten. Das klingt paradox, ist aber Standard bei professionellen B2B-Services.
Exit-Klauseln sind Versicherungspolicen. Sie hoffen, sie nie zu brauchen – aber wenn doch, retten sie Ihr Projekt.
Praktische Checkliste für Ihre Verhandlungen
Bevor Sie in Vertragsverhandlungen gehen, bereiten Sie diese Punkte vor:
Vor der Verhandlung:
- Datenkategorien auflisten: Welche Daten fließen in das System?
- Risikobewertung durchführen: Was sind die schlimmsten denkbaren Szenarien?
- Budget für Rechtsberatung einplanen: Bei Verträgen über 50.000 Euro jährlich lohnt sich spezialisierte Beratung
- Alternative Anbieter evaluieren: Ihre Verhandlungsposition ist stärker mit Plan B
Must-have-Klauseln:
- Detaillierte Datenverwendungsregeln
- DSGVO-konforme Auftragsverarbeitung
- Realistische Haftungslimits
- Messbare SLA-Vorgaben
- Vollständige Datenportabilität
Nice-to-have-Ergänzungen:
- Kostenlose Testphasen für Updates
- Escrow-Vereinbarungen für kritische Systeme
- Bevorzugte Supportzeiten
- Regelmäßige Compliance-Reports
Vergessen Sie nicht: Verträge sind Verhandlungssache. Standard-AGB sind Startpunkte, keine ultimativen Bedingungen.
Bei größeren Deals haben Sie mehr Spielraum als bei kleinen Lizenz-Käufen. Nutzen Sie das aus.
Fazit: Rechtssicherheit ohne Innovationsbremse
KI-Verträge sind komplexer als herkömmliche Software-Lizenzen. Aber sie sind nicht unlösbar.
Die wichtigste Erkenntnis: Lassen Sie sich nicht von der technischen Komplexität abschrecken. Konzentrieren Sie sich auf geschäftskritische Risiken.
Datenschutz, Haftung und Exit-Strategien sind Pflicht. Alles andere ist Verhandlungssache.
Die rechtlichen Hürden sind überwindbar – wenn Sie frühzeitig planen und realistische Erwartungen haben.
Ihr nächster Schritt: Identifizieren Sie Ihre kritischsten KI-Anwendungsfälle und entwickeln Sie eine Vertragsvorlage, die Sie bei allen Anbietern verwenden können.
So sparen Sie Zeit und schaffen Konsistenz bei Ihren KI-Investitionen.
