Der Einsatz von Künstlicher Intelligenz (KI) ist eine der treibenden Kräfte der digitalen Transformation und ist in jedem größeren Unternehmen ein Thema. Doch wie so oft bei Technik geht es auch hier schnell nach dem Prinzip „erst mal machen“, vor allem weil man den Anschluss nicht verlieren möchte – da werden grundlegende Fragen zum Vertragsrecht schnell aus dem Blick verloren. Im Folgenden geht es um die wichtigsten vertraglichen Herausforderungen mit dem Versuch praxisorientierter Impulse für Softwareentwickler und das Management.
Vielfalt der Vertragstypen bei KI
KI-Leistungen können als Dienstleistung in Form des Trainings oder als Cloud-Lösung (KIaaS), Individualsoftware oder in hybriden Modellen bereitgestellt werden. Die jeweilige vertragliche Einordnung beeinflusst maßgeblich die Rechte und Pflichten der Parteien. Häufig werden KI-Verträge entweder als Miet- oder Werkverträge qualifiziert, wobei SaaS-Lösungen wie KIaaS typischerweise den Charakter eines Dauerschuldverhältnisses aufweisen.
Eine Besonderheit ist das Training von KI-Modellen, das oft externe Plattformen wie AWS oder Azure einbezieht. Hier stellt sich die Frage, ob diese Leistungen als rein technische Dienste oder als urheberrechtlich geschützte Werkverträge zu betrachten sind. Insbesondere die Verantwortung für die Trainingsdaten und ihre Qualität ist ein zentrales Thema. Ich sehe hier am Ende einen Dienstleistungsvertrag, bei dem (allein) die ordnungsgemäße Durchführung des (fortlaufenden) Trainings geschuldet ist.
Daten als KI-Vertragsgegenstand
Daten sind das Fundament jeder KI. Der Data Act schafft neue Rahmenbedingungen für den Zugang und die Nutzung von Daten, insbesondere durch die Einführung von B2B-Zugangsrechten. Unternehmen müssen klare Vereinbarungen über Datenherkunft, Nutzung und Eigentum treffen.
Dabei ergeben sich insbesondere im B2B-Bereich spezifische Herausforderungen:
- Qualität und Repräsentativität der Daten: Unzureichende oder verzerrte Daten können zu fehlerhaften Modellen führen.
- Haftung und Sicherheit: Verträge sollten regeln, wer haftet, wenn Daten falsch genutzt oder kompromittiert werden.
Gewährleistung und Haftung bei KI
KI-Systeme sind per Definition lernfähig und nicht deterministisch. Dies wirft besondere Fragen im Bereich der Mängelrechte und der Produkthaftung auf. Während klassische Software häufig anhand ihrer Funktionstüchtigkeit bewertet wird, müssen KI-Leistungen nach ihren Ergebnissen beurteilt werden. Verträge sollten daher:
- Den Zustand bei Gefahrübergang klar definieren.
- Regelungen für Nacherfüllung und Nachbesserung enthalten, die der dynamischen Natur von KI gerecht werden.
Die Beurteilung von Sachmängeln bei KI-Systemen stellt eine besondere Herausforderung dar, da diese oft dynamisch und lernfähig sind. Ein zentraler Aspekt ist die Vereinbarung der Sollbeschaffenheit. Diese sollte explizit festlegen, welche Leistungen das KI-System von Beginn an erbringen muss und in welchem Rahmen es durch Training optimiert werden kann.
Ich sehe für Entwickler von KI-Systemen im Auftragsverhältnis diverse Belehrungspflichten – diese lassen sich ideal kombinieren mit dem Versuch der Beschreibung der Limitationen und Funktionalitäten des Systems. So sollte insbesondere eine Belehrung über die jedenfalls in allen Details unberechenbare Autonomie eines KI-Systems erfolgen – und kann kombiniert werden, mit einer angestrebten Erfolgsquote bei der Bearbeitung von Ausgaben.
Eine Abweichung von der vereinbarten Beschaffenheit, etwa durch unvorhergesehene Fehlfunktionen oder unzureichendes Lernverhalten, kann als Sachmangel gewertet werden. Wichtig ist, dass Verträge auch die erwartete Lernfähigkeit definieren. Beispielsweise sollte festgelegt werden, wie schnell und unter welchen Voraussetzungen die KI ihre Leistung verbessern muss.
Ein weiterer Punkt ist die Frage nach der „anfänglichen Leistungsfähigkeit“. Hierbei geht es um die Erwartungen an das System unmittelbar nach der Übergabe. Wenn etwa eine Sprachsteuerung verkauft wird, sollte diese schon ohne weiteres Training funktionsfähig sein, sofern dies nicht anders vereinbart wurde.
Die Mängelrechte wie Nacherfüllung, Minderung oder Rücktritt bleiben wesentliche Instrumente, um auf Abweichungen zu reagieren. Dabei muss jedoch beachtet werden, dass bei KI-Systemen oft die Grenze zwischen einem Sachmangel und den natürlichen Limitationen der Technologie fließend ist. Daher sollten in Verträgen klare Regelungen getroffen werden, um die Erwartungshaltungen beider Parteien zu steuern.
Urheberrechtliche Herausforderungen
Die Frage der Schutzfähigkeit von KI-generierten Inhalten bleibt umstritten. Nach aktuellem Recht genießen nur Werke mit menschlicher Prägung Urheberrechtsschutz. Unternehmen sollten daher vertraglich festlegen, wem die Rechte an KI-Erzeugnissen gehören und wie diese verwendet werden dürfen.
KIaaS: Spezifische Herausforderungen
KI-as-a-Service (KIaaS) bietet flexible Nutzungsmöglichkeiten, stellt jedoch auch besondere Anforderungen an die Vertragsgestaltung. Zentral sind:
- Leistungsbeschreibungen: Klare Festlegungen zur Funktion und Performance der KI.
- Trainingsdaten: Klärung, wer für deren Bereitstellung und Qualität verantwortlich ist.
- Compliance: Sicherstellung, dass der Anbieter regulatorische Vorgaben wie den AI Act einhält.
Der Einfluss des AI Act
Der AI Act der EU bringt tiefgreifende Auswirkungen auf die Vertragsgestaltung für KI-Systeme, insbesondere hinsichtlich Hochrisiko-Anwendungen. Die Verordnung sieht strikte Anforderungen an Anbieter und Betreiber vor, um die Sicherheit und Transparenz von KI-Systemen zu gewährleisten. Zentral sind hier die Verpflichtungen für Training und Inverkehrbringen:
- Risikomanagement: Anbieter von KI-Systemen müssen ein umfassendes Risikomanagementsystem implementieren, das die gesamte Lebensdauer eines KI-Systems abdeckt. Dieses System soll nicht nur potenzielle Risiken minimieren, sondern auch kontinuierlich überwacht werden, um Anpassungen vorzunehmen.
- Daten und Daten-Governance: Für Trainingsdaten sind strenge Standards vorgesehen. Daten müssen repräsentativ, valide und frei von Verzerrungen sein. Darüber hinaus sind Anbieter verpflichtet, ihre Datenverarbeitungsprozesse genau zu dokumentieren, um sicherzustellen, dass die Trainingsdaten den beabsichtigten Zweck erfüllen.
- Transparenz und Dokumentation: Die Verordnung fordert detaillierte technische Dokumentationen. Anbieter müssen die Funktionsweise der KI erklären und darlegen, wie Entscheidungen zustande kommen. Dies soll auch für Betreiber zugänglich gemacht werden, um deren Einhaltung der Vorschriften zu erleichtern.
- Hochrisiko-Systeme: Insbesondere bei Hochrisiko-KI-Systemen ist eine Konformitätsbewertung durch Dritte verpflichtend. Dies stellt sicher, dass das System die regulatorischen Anforderungen erfüllt, bevor es in Verkehr gebracht wird. Anbieter sind darüber hinaus verpflichtet, ein kontinuierliches Monitoring-System einzurichten, das Vorfälle oder Fehlfunktionen meldet.
- Vertragsgestaltung: Unternehmen, die KI-Systeme entwickeln oder nutzen, sollten Verträge so gestalten, dass die Verantwortlichkeiten klar geregelt sind. Hierzu gehören explizite Regelungen zu Datenquellen, Compliance mit dem AI Act und Prozesse für die Zusammenarbeit zwischen Anbieter und Betreiber.
Die KI-Verordnung verleiht der Vertragsgestaltung eine neue Dimension, da sie spezifische Anforderungen direkt in die rechtlichen Beziehungen zwischen den Parteien integriert. Unternehmen sollten daher sicherstellen, dass ihre Verträge sowohl die technischen als auch die regulatorischen Anforderungen abdecken.
Ausblick
Die rechtlichen Herausforderungen im Bereich KI und Vertragsrecht sind ebenso vielfältig wie die Technologie selbst. Unternehmen sollten frühzeitig strategische und juristische Expertise einbinden, um rechtliche Risiken zu minimieren und die Chancen der KI bestmöglich zu nutzen. Klare, an die Besonderheiten von KI angepasste Verträge sind dabei ein zentraler Schlüssel zum Erfolg – soweit die Binsenweisheit.
Tatsächlich zeigt sich aus meiner Sicht, dass hier noch zu viel im Argen ist. Die juristischen Aufsätze zum Thema gehen an das KI-Feld heran, als würde man (wie früher) Software entwickeln. Allerdings sind jedenfalls in meinen Mandaten gar klar Lösungen vorherrschend, bei denen Cloud-Lösungen mit eigenen Daten trainiert werden – um dann fortlaufend nachkalibriert werden zu müssen. Derartige Verträge sind eher Dienstleistungen in Dauerschuldverhältnissen, gerne gepaart mit recht einfachen Individualentwicklungen, um die KI an vorhandene Systeme anzubinden. Dazu kommt, dass meines Erachtens die Entwickler von KI-Systemen originäre Hinweispflichten gegenüber Ihren Auftraggebern hinsichtlich der Vorgaben der KI-VO bei Transparenz und Hochrisiko-System haben. Auf gar keinen Fall darf man sich darauf zurückziehen, dass das alleine Aufgabe des Auftraggebers ist!
- Gewährleistungsrecht bei KI-Systemen: Worauf Unternehmen achten sollten - Januar 5, 2025
- Datenschutz und Künstliche Intelligenz - Dezember 23, 2024
- Künstliche Intelligenz und Vertragsrecht - Dezember 21, 2024
