Warum „KI-Klauseln“ im Softwarevertrag unverzichtbar sind
In der Praxis tauchen KI-Funktionalitäten inzwischen fast in jedem Softwareprodukt auf – besonders in SaaS-Lösungen. Was viele unterschätzen: Mit der Integration von KI verändert sich die Risikostruktur erheblich. Klassische Software war oft deterministisch. KI dagegen ist – vereinfacht gesagt – eine Blackbox. Das hat unmittelbare Auswirkungen auf Ihre Vertragsgestaltung.
Während bei klassischer Software meist relativ klar war, welche Verarbeitungsschritte ein Algorithmus ausführt und welche Ergebnisse zu erwarten sind, arbeiten viele KI-Systeme deutlich weniger vorhersehbar. Genau daraus entstehen neue rechtliche und vertragliche Herausforderungen.
Für die rechtlichen Grundlagen lohnt sich ein Blick auf die IT-Recht: Ein Überblick über ein komplexes Querschnittsgebiet.
Gerade bei vorformulierten Verträgen oder AGB besteht akuter Handlungsbedarf. Wenn Sie hier keine angepassten Klauseln einsetzen, holen Sie sich schnell erhebliche Haftungsrisiken ins Haus. Weitere Informationen finden Sie im Beitrag Software-AGB rechtssicher erstellen: Worauf es bei SaaS-Verträgen ankommt oder im Beitrag SaaS-Vertrag: Was muss geregelt werden?.
Das zentrale Problem: Input, Output und fehlende Vorhersehbarkeit
Typischerweise speist der Kunde Daten (Input) in die Software ein. Während früher relativ klar war, was mit diesen Daten passiert, gilt bei KI:
- Der Output ist nicht vollständig vorhersehbar
- Die Verarbeitung erfolgt häufig über Modelle Dritter
- Eine inhaltliche Kontrolle durch den Anbieter ist oft nicht möglich
Die Konsequenz ist unbequem, aber zwingend: Sie können den Output rechtlich nicht mehr im gleichen Umfang gewährleisten. Genau das muss sich in Ihren KI Klauseln im Softwarevertrag widerspiegeln.
Haftung richtig begrenzen
Ein häufiger Fehler: Anbieter werben offensiv mit leistungsfähiger KI – übernehmen aber gleichzeitig implizit Verantwortung für die Ergebnisse. Das passt nicht zusammen.
Ihre Verträge sollten daher klarstellen:
- Keine Gewährleistung für inhaltliche Richtigkeit von KI-Ergebnissen
- Kein blindes Vertrauen des Nutzers in Outputs
- Verlagerung der Prüfpflichten zumindest anteilig auf den Kunden
Ohne solche Regelungen entsteht ein erhebliches Haftungsrisiko, das sich kaum kontrollieren lässt.
Die praktische Realität ist dabei häufig widersprüchlich: Einerseits wird die KI-Funktion als Mehrwert der Software vermarktet, andererseits kann der Anbieter aufgrund der Funktionsweise der Modelle oft nicht zuverlässig garantieren, welche konkreten Ergebnisse erzeugt werden. Genau deshalb müssen Haftungs- und Gewährleistungsregelungen bei KI deutlich präziser formuliert werden als bei klassischer Software.
Die technische KI-Implementierung verstehen
Bevor überhaupt Vertragsklauseln formuliert werden, muss zunächst die konkrete technische Umsetzung analysiert werden. Denn die rechtliche Bewertung hängt maßgeblich davon ab, wie die KI tatsächlich eingebunden ist.
Insbesondere sollten folgende Fragen beantwortet werden:
- Wird ein eigenes KI-Modell eingesetzt oder ein Modell eines Drittanbieters?
- Wird das Modell selbst gehostet oder über eine API eingebunden?
- Welche Anbieter sind an der Verarbeitung beteiligt?
- Welche Daten verlassen das eigene System und wohin werden sie übertragen?
- Welche vertraglichen Vereinbarungen bestehen mit den eingesetzten KI-Anbietern?
Erst wenn diese Fragen geklärt sind, lassen sich die tatsächlichen Risiken rechtlich sauber abbilden.
Datenflüsse und Training: Was passiert mit Kundendaten?
Ein besonders sensibler Punkt ist die Frage: Wohin gehen die Daten eigentlich?
Sie müssen sehr konkret prüfen und regeln:
- Wird ein eigenes KI-Modell genutzt oder ein Drittanbieter?
- Werden Daten an externe Anbieter übertragen?
- Werden Inputs oder Outputs für Trainingszwecke verwendet?
Wenn Drittanbieter im Spiel sind – was regelmäßig der Fall ist – reicht es nicht, dies nur technisch zu wissen. Sie müssen es vertraglich sauber abbilden und idealerweise auch gegenüber Ihren Kunden transparent machen.
Besonders wichtig ist dabei die Frage, ob Kundendaten zum Training von Modellen verwendet werden können und ob entsprechende Zusicherungen der eingesetzten KI-Anbieter existieren.
Gerade im Datenschutzkontext ist das entscheidend. Falls Unsicherheiten bestehen, kann ein Datenschutz-Check mit kostenfreier Ersteinschätzung helfen, Risiken frühzeitig zu erkennen.
IT-Recht für Ihr Unternehmen
Erhalten Sie fundierte Unterstützung im IT-Recht – abgestimmt auf Ihr Unternehmen und Ihre konkreten digitalen Herausforderungen.
Rechtemanagement: Wem gehören Input und Output?
Auch das Thema Rechte wird durch KI komplexer:
- Bleiben die Eingabedaten vollständig beim Kunden?
- Entstehen neue Rechte am Output?
- Wer darf Ergebnisse weiterverwenden?
Während klassische Software hier oft klar geregelt ist, müssen KI-spezifische Konstellationen deutlich differenzierter betrachtet werden. Standardklauseln greifen häufig zu kurz.
Drittanbieter und Regressmöglichkeiten
Viele Unternehmen nutzen KI-Systeme großer Anbieter via API. Das bedeutet:
- Sie sind abhängig von deren Vertragsbedingungen
- Sie haben nur begrenzten Einfluss auf Datenverarbeitung und Training
Zumindest sollten Sie sicherstellen, dass entsprechende Vereinbarungen mit Ihren Subdienstleistern bestehen. Nur so können Sie im Ernstfall überhaupt Regress nehmen.
In der Beratung zeigt sich immer wieder: Diese Punkte sind oft nicht geklärt – schlicht, weil sich niemand im Detail damit beschäftigt hat.
Hinzu kommt, dass die Rechteverteilung stark davon abhängen kann, welche KI-Lösung konkret eingesetzt wird und welche Nutzungsbedingungen der jeweilige Anbieter vorgibt.
AI Act im Blick behalten
Zusätzlich rückt die regulatorische Perspektive stärker in den Fokus. Je nach Anwendungsfall kann Ihr System unterschiedlichen Risikoklassen unterliegen.
Relevant sind insbesondere:
- Transparenzpflichten gegenüber Nutzern
- Klassifizierung des Systems
- Einsatz in sensiblen Bereichen (z. B. HR, Scoring, Auswahlverfahren)
Bereits bei vergleichsweise einfachen KI-Anwendungen können Transparenzpflichten greifen. Nutzer müssen unter Umständen darüber informiert werden, dass sie mit KI-generierten Inhalten oder KI-gestützten Funktionen interagieren.
Je nach Einsatz kann Ihr System sogar als Hochrisiko-KI eingeordnet werden. Einen Überblick dazu finden Sie hier: Hochrisiko-KI-Systeme nach dem AI Act oder zur Einordnung konkret KI-Systeme richtig klassifizieren.
Besonders relevant wird dies bei Anwendungen in sensiblen Bereichen wie HR-Systemen, etwa wenn Bewerbungen automatisiert ausgewertet oder Entscheidungen vorbereitet werden. Hier können deutlich strengere regulatorische Anforderungen greifen.
Gerade im Personalbereich kommen zudem neue Compliance-Pflichten hinzu. Welche Anforderungen bereits heute gelten, erfahren Sie im Beitrag Pflicht zu KI-Schulungen für Mitarbeiter: Was Unternehmen jetzt wissen müssen.
Fazit: KI erfordert präzise Vertragsarbeit
KI Klauseln im Softwarevertrag sind kein „Nice-to-have“, sondern zwingend erforderlich. Entscheidend ist nicht, ob KI eingesetzt wird, sondern wie genau.
Sie sollten jeden Einzelfall sauber durchdeklinieren:
- Welche Modelle werden genutzt?
- Wo werden Daten verarbeitet?
- Welche Risiken entstehen daraus?
Erst dann lassen sich rechtssichere Klauseln formulieren. Wer die konkrete KI-Implementierung nicht analysiert und vertraglich abbildet, holt sich schnell erhebliche – teilweise sogar existenzbedrohende – Haftungsrisiken ins Unternehmen.
Wenn Sie das sauber umsetzen, bekommen Sie die Risiken in den Griff. Wenn nicht, entstehen schnell gravierende Haftungsprobleme.
Wenn Sie Ihre Verträge überprüfen oder anpassen möchten, lohnt sich ein Blick auf die praxisnahe Gestaltung von Softwareentwicklungsverträgen oder eine Beratung durch einen Fachanwalt für IT-Recht.
