KI-Verträge gestalten und prüfen — damit der Vertrag zur KI passt
Wer KI einkauft oder anbietet, braucht mehr als ein SaaS-Muster. Ich gestalte und prüfe KI-Verträge und KIaaS-Verträge so, dass Leistung, Modell-Updates, Datennutzung, Haftung und die Pflichten aus der KI-Verordnung belastbar geregelt sind.
Warum klassische IT-Muster bei KI versagen
Viele Unternehmen beschaffen KI-Systeme mit den Vorlagen, die sich für Software bewährt haben: SaaS-Vereinbarung, Lizenzvertrag, IT-Rahmenvertrag. Das Problem liegt nicht in der Qualität dieser Muster, sondern in ihrer Grundannahme. Sie wurden für deterministische Software geschrieben, die bei gleichen Eingaben gleiche Ergebnisse liefert und gegen eine Spezifikation getestet werden kann.
KI-Systeme, insbesondere große Sprachmodelle, die als Service bezogen werden (KIaaS), funktionieren anders. Ergebnisse sind probabilistisch, Modelle werden laufend aktualisiert, die Qualität hängt von Prompts und Daten ab, und an der Wertschöpfung wirken Modellanbieter, Integrator und Betreiber gemeinsam mit. Ein Vertrag, der das nicht abbildet, enthält im Streitfall keinen Maßstab, an dem sich ein „Fehler“ überhaupt messen ließe.
Welcher Vertragstyp gilt?
Das deutsche Recht kennt keinen eigenen Vertragstyp für KI. Je nach Ausgestaltung liegt ein Mietvertrag (Plattformzugang), ein Dienstvertrag (Betrieb, Support) oder ein Werkvertrag (konkretes Ergebnis) vor, in der Praxis meist ein typengemischter Vertrag. Die Einordnung entscheidet über Gewährleistung, Kündigungsrechte und Verjährung. Wer sie im Vertrag offenlässt, überlässt sie dem Gericht.
Die Hintergründe habe ich im Fachbeitrag KI-Verträge: Warum klassische IT-Muster versagen ausführlich dargestellt.
Sieben Punkte, die jeder KI-Vertrag regeln muss
Diese Bereiche prüfe ich bei jedem KI-Vertrag, unabhängig davon, ob Sie einkaufen oder anbieten.
- Leistungsbeschreibung auf zwei Ebenen — Betrieb (Verfügbarkeit, Reaktionszeit, Sicherheit) und Ergebnisqualität mit messbaren Parametern wie Fehler- oder Halluzinationsraten auf definierten Testdatensätzen
- Modell-Updates und Versionierung — Ankündigungsfristen, Testphasen, Rückfalloptionen auf die bisherige Version und Sonderkündigungsrechte bei wesentlichen Änderungen
- Eingaben, Ausgaben und Trainingsdaten — Wer darf Prompts, Kundendaten und Ergebnisse wofür nutzen? Ausschluss oder Freigabe der Nutzung für das Training des Anbietermodells
- Rechte an Ergebnissen — Nutzungsrechte am Output, Freistellung bei Rechtsverletzungen Dritter, Umgang mit urheberrechtlich nicht geschützten Ergebnissen
- Rollen und Pflichten nach der KI-Verordnung — Anbieter oder Betreiber? Zuweisung von Dokumentations-, Transparenz- und Mitwirkungspflichten, Informationen für die eigene Compliance
- Datenschutz und Datensicherheit — Auftragsverarbeitung nach Art. 28 DSGVO, Drittlandübermittlung, Unterauftragsverarbeiter, Löschung und Exit
- Haftung, Gewährleistung und Exit — Haftungsbegrenzung, die zur Risikolage passt, Mängelrechte bei probabilistischen Systemen, Datenrückgabe und Anbieterwechsel
Was die KI-Verordnung für Ihre Verträge bedeutet
Die KI-Verordnung (Verordnung (EU) 2024/1689) verteilt Pflichten nach Rollen: Anbieter, Betreiber, Einführer und Händler. Welche Rolle Ihr Unternehmen einnimmt, hängt nicht vom Vertragstitel ab, sondern davon, wer ein System entwickelt, unter eigenem Namen in Verkehr bringt oder in eigener Verantwortung einsetzt. Wer ein eingekauftes System wesentlich verändert oder unter eigener Marke anbietet, kann selbst zum Anbieter werden.
Mit der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744), die am 27. Juli 2026 in Kraft getreten ist, hat sich der Zeitplan verschoben: Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Die Pflicht zur KI-Kompetenz nach Art. 4 wurde neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern.
Für die Vertragsgestaltung heißt das: Die Übergangszeit ist der richtige Moment, Informations- und Mitwirkungspflichten des Anbieters jetzt zu verankern. Wer einen Vertrag mit mehrjähriger Laufzeit schließt, schließt ihn in die Geltung der Hochrisiko-Pflichten hinein.
Für Anbieter von KI-Produkten
Wer selbst KI-Funktionen anbietet, braucht Nutzungsbedingungen, die Leistungsgrenzen klar beschreiben, unzulässige Nutzungen ausschließen, Haftung wirksam begrenzen und die AGB-rechtliche Inhaltskontrolle bestehen. Auch hier gilt: Ein Standard-SaaS-AGB-Werk deckt die Besonderheiten von KI-Ausgaben nicht ab.
Weiterführend: KI-Recht und AI-Act-Compliance · SaaS-Recht und Legal Tech · IT-Vertragsrecht in Köln
FAQ: KI-Verträge
KIaaS steht für KI as a Service. Ein Unternehmen nutzt ein KI-System, etwa ein Sprachmodell, über eine Plattform oder Schnittstelle des Anbieters, ohne die Software selbst zu betreiben. Rechtlich ist das meist ein typengemischter Vertrag aus Miet-, Dienst- und Werkvertragselementen.
In der Regel nicht. SaaS-Verträge regeln Verfügbarkeit und Funktionsumfang, aber selten die Qualität der Ergebnisse, Modell-Updates, die Nutzung von Eingaben für das Training und die Rollen nach der KI-Verordnung. Diese Punkte sollten ergänzt werden.
Nur wenn der Vertrag es erlaubt und, bei personenbezogenen Daten, eine Rechtsgrundlage besteht. Viele Standardbedingungen erlauben die Nutzung von Eingaben für die Verbesserung der Modelle. Für Geschäftsgeheimnisse und Kundendaten sollte das ausdrücklich ausgeschlossen werden.
Nach der Digital-Omnibus-Verordnung zur KI gelten die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.
Das hängt vom Umfang ab. Nach einem kostenfreien Erstgespräch erhalten Sie ein Angebot, für einzelne Vertragsprüfungen in der Regel als Festpreis.
KI-Vertrag prüfen lassen, bevor Sie unterschreiben.
30 Minuten Erstgespräch, kostenfrei und ohne Verpflichtung. Danach wissen Sie, wo Ihr KI-Vertrag nachgebessert werden sollte.