Welche Klauseln Verträge mit KI-Bezug enthalten müssen und welche Risiken in bestehenden Verträgen jetzt geprüft werden sollten
Mit jeder neuen Vorgabe der KI-Verordnung verschiebt sich die vertragliche Risikoverteilung: im Einkauf, in Lizenzverhältnissen mit KI-Anbietern, in Kundenverträgen sowie in Beschäftigungs- und Beratungsverhältnissen. Wir analysieren Ihre Bestandsverträge auf KI-bezogene Risiken und gestalten Neuverträge so, dass Compliance, Haftungsverteilung und der Schutz Ihrer Geschäftsgeheimnisse belastbar abgesichert sind.
Warum Bestandsverträge mit KI-Bezug jetzt einer Prüfung bedürfen
Verträge, die vor 2024 geschlossen wurden, bilden die Anforderungen der KI-Verordnung naturgemäß nicht ab, da diese zum Zeitpunkt des Vertragsschlusses noch nicht in Kraft war. Was vormals als gewöhnliche Software-Lizenz einzuordnen war, stellt sich heute vielfach als Bereitstellung eines KI-Systems mit eigenständigem Pflichtenkanon dar. Was als allgemeine Beratungsleistung vereinbart wurde, erweist sich mitunter als KI-gestützte Dienstleistung, die eigenen Transparenz- und Dokumentationspflichten unterliegt.
Hinzu tritt eine strukturelle Besonderheit: Die Pflichten der KI-VO treffen Anbieter und Betreiber in unterschiedlichem Umfang, wobei sich die maßgebliche Rolle nicht aus der vertraglichen Bezeichnung, sondern aus der tatsächlich ausgeübten Tätigkeit ergibt. Ein Unternehmen, das in einem Bestandsvertrag als bloßer Anwender geführt wird, kann durch eigene Anpassungen am System unbemerkt in die Anbieterrolle wechseln und damit weitreichende zusätzliche Pflichten auslösen. Derartige Rollenwechsel sind in Bestandsverträgen praktisch nie geregelt.
Auch in versicherungsrechtlicher Hinsicht verschiebt sich die Ausgangslage. KI-induzierte Schäden, etwa durch fehlerhafte automatisierte Entscheidungen oder durch Halluzinationen mit Außenwirkung, sind in zahlreichen Bestandspolicen nicht gedeckt. Fehlt im Lieferantenvertrag eine eindeutige Haftungszuweisung, verlagert sich das Haftungsrisiko im Zweifel auf das anwendende Unternehmen.
Setzen Sie KI im Tagesgeschäft ein, sollte sich dies in Ihren Vertragswerken konsistent widerspiegeln. Wir identifizieren die kritischen Regelungslücken und entwickeln konkrete Nachverhandlungs- und Anpassungsstrategien.
Vertragsarten mit KI-Bezug
Ein KI-Bezug findet sich in deutlich mehr Vertragstypen, als auf den ersten Blick erkennbar ist. Eine systematische Prüfung sollte mindestens die folgenden Kategorien erfassen:
Software- und Lizenzverträge
Klassische SaaS-Verträge, On-Premises-Lizenzen, API-Nutzungsverträge mit KI-Anbietern.
Beratungs- und Dienstleistungsverträge
Verträge, in denen Dienstleister KI-gestützte Leistungen erbringen – Marktforschung, Texterstellung, Datenanalyse, Recruiting-Vorauswahl.
Lieferantenverträge mit KI-Komponente
Hardware- oder Software-Lieferungen, in denen KI eingebettet ist – Sensorik mit KI-Auswertung, Maschinensteuerung, Telematik.
Kundenverträge mit KI-Leistung
Verträge, in denen Sie selbst KI-Leistungen anbieten – KI-gestützte Beratung, automatisierte Auswertungen, KI-Funktionen in Ihrem Produkt.
Arbeits- und Beratungsverträge
Vertraulichkeit, Nutzungsregelungen für KI-Tools, Wettbewerbsverbote im Lichte von KI-gestützter Erkenntnisgewinnung.
Cloud- und Datenverarbeitungsverträge
Rechenzentrumsbetreibern und Hyperscalern, in denen KI-Workloads laufen oder Trainingsdaten verarbeitet werden.
Wir erschließen Ihren Vertragsbestand anhand dieses Rasters und priorisieren nach Risikoexposition. So entsteht ein effizienter Prüfungsplan, der ohne flächendeckenden Mehraufwand auskommt.
Pflicht-Klauseln nach KI-VO und ergänzender Gesetzgebung
Nicht jede der nachfolgenden Klauseln ist formalrechtlich zwingend; in der Praxis sollten Verträge mit KI-Bezug jedoch einen Mindeststandard abbilden, dessen Fehlen Haftungs- und Compliance-Lücken eröffnet. Dazu gehören:
- Rollenklärung: Wer ist Anbieter, wer Betreiber, wer Bereitsteller im Sinne der KI-VO? Was passiert bei Rollenwechseln durch Anpassungen am System?
- Konformitätszusicherung: Zusicherung, dass das gelieferte System die Pflichten der KI-VO erfüllt – differenziert nach Risikoklasse.
- Dokumentations- und Auskunftsrechte: Anspruch auf technische Dokumentation, Konformitätsbewertungen, Trainingsdatennachweise und Modellinformationen.
- Update- und Aktualisierungspflichten: Pflicht des Anbieters, das System an neue rechtliche Vorgaben anzupassen, und Regelung der Kostentragung.
- Haftungsregelungen: Haftung für Konformitätsverstöße, für Schäden aus KI-Fehlentscheidungen, für IP-Verletzungen durch Trainingsdaten.
- Datennutzungs- und Trainingsklauseln: Ob und wie der Anbieter Ihre Eingabedaten zum Training nutzen darf – ein häufig unterschätzter Punkt.
- Vertraulichkeit und Geschäftsgeheimnisse: Schutz Ihrer Eingaben, Output-Daten und Modellanpassungen gegen Weitergabe.
- Kündigung und Migration: Rückgaberecht für Trainingsdaten, Migrationsunterstützung, Folgen bei Lizenzentzug oder Anbieterausfall.
Welche Klauseln in welcher Regelungstiefe im konkreten Vertrag erforderlich sind, richtet sich nach Vertragsart, Risikoklasse und geschäftlicher Bedeutung. Wir entwickeln passgenaue Klauselkataloge und gleichen Ihre Bestandsverträge mit diesem Standard ab.
Typische Risikofelder in bestehenden Verträgen
In der Vertragsprüfung treten regelmäßig dieselben Schwachstellen zutage. Ihre Kenntnis erlaubt es, den Prüfungseinstieg gezielt zu wählen.
Wir prüfen jeden Vertrag gezielt entlang dieser fünf Felder und stellen Ihnen eine priorisierte Risiko-Heatmap zur Verfügung.
Ablauf einer KI-Vertragsprüfung
Eine systematische KI-Vertragsprüfung verläuft in vier Stufen, die sich nahtlos in bestehende Compliance-Prozesse integrieren lassen.
Vertragsinventar
Wir erfassen sämtliche Verträge mit tatsächlichem oder potenziellem KI-Bezug. Erfahrungsgemäß betrifft dies auch Verträge über Standard-Software, deren KI-Funktionen erst nachträglich aktiviert wurden; diese sind zwingend einzubeziehen.
Risikopriorisierung
Die Verträge werden nach geschäftlicher Bedeutung, Risikoexposition und vertraglicher Bindungsdauer klassifiziert. Hieraus leitet sich die Reihenfolge der vertieften Prüfung ab.
Klauselprüfung
Die priorisierten Verträge werden anhand des definierten Klauselkatalogs geprüft. Je Vertrag erhalten Sie eine Bewertung der Risikofelder sowie eine begründete Empfehlung zu Nachverhandlung, Anpassung oder Hinnahme.
Umsetzung
Nachverhandlungen führen wir mit den Vertragspartnern, Anpassungen werden schriftlich fixiert. Für Neuverträge stellen wir Mustertexte und Verhandlungsleitfäden bereit.
In der Regel beginnen wir mit einem überschaubaren Pilotbatch von fünf bis zehn Verträgen, um Risikobild und Aufwand belastbar zu bestimmen. Auf dieser Grundlage lässt sich die Gesamtprüfung kontrolliert skalieren.
Verhandlungspositionen bei Neuverträgen
Bei Vertragsabschlüssen sind drei Positionen entscheidend, die häufig erst spät im Verhandlungsprozess aufgerufen und gerade deshalb am schwächsten ausgehandelt werden.
Erstens die Datenverwendung. Die Standardklauseln vieler internationaler Anbieter räumen weitreichende Nutzungsrechte an den Eingabedaten ein. Eine eindeutige Opt-out-Regelung mit auditierbarer Umsetzung gehört in jeden Vertrag mit relevantem KI-Bezug.
Zweitens die Konformitätsverantwortung. Anbieter neigen dazu, Compliance-Pflichten auf den Kunden zu verlagern. Verhandlungsziel ist eine differenzierte Regelung, die die Verantwortung der Risikoklasse zuordnet und hinreichende Auskunfts- und Dokumentationsrechte sichert.
Drittens die Haftung bei Konformitätsverstößen. Liefert der Anbieter ein nicht KI-VO-konformes System, müssen Bußgelder, Folgeschäden und Nachbesserungskosten ersatzfähig sein. Eine pauschale Haftungsbegrenzung greift in diesen Fällen zu kurz.
Wir begleiten Vertragsverhandlungen wahlweise federführend oder beratend im Hintergrund und liefern die juristische Argumentation für das Gespräch mit Ihrem Anbieter.
FAQs – Häufig gestellte Fragen zur KI-Vertragsprüfung
Welche Verträge müssen auf KI-Bezug geprüft werden?
Alle Verträge, in denen KI-Systeme entwickelt, geliefert, lizenziert oder eingesetzt werden – einschließlich Bestandsverträgen mit Standard-Software, die nachträglich KI-Funktionen erhalten haben. Auch Cloud-, Beratungs- und Arbeitsverträge können betroffen sein.
Was muss in einen Vertrag mit einem KI-Anbieter?
Mindestens Rollenklärung, Konformitätszusicherung, Dokumentations- und Auskunftsrechte, Update-Verpflichtung, Haftungsregelung, Datennutzungsklausel sowie eine Exit- und Migrationsregelung. Tiefe und Formulierung hängen von Risikoklasse und Vertragsart ab.
Wer haftet bei Schäden durch KI?
Im Verhältnis zum Geschädigten zunächst derjenige, der die KI eingesetzt hat. Im Innenverhältnis zwischen Anbieter und Anwender hängt die Haftung von der vertraglichen Regelung ab – fehlt sie, ist die Verteilung unklar und im Streitfall langwierig zu klären.
Wie lange dauert eine KI-Vertragsprüfung?
Ein Einzelvertrag wird typischerweise in einer bis zwei Wochen geprüft. Eine Bestandsprüfung über mehrere Verträge dauert je nach Umfang vier bis zwölf Wochen. Ein priorisiertes Vorgehen mit Pilot-Batch verkürzt den Zeitraum erheblich.
Was kostet eine Vertragsprüfung?
Einzelne Verträge werden in der Regel pauschal abgerechnet, größere Bestandsprüfungen über Stundenkontingente oder Festpreise pro Vertrag. Eine belastbare Angabe ist nach einer ersten Sichtung der Vertragslandschaft möglich.
Muss ich auch Cloud-Verträge prüfen lassen?
Ja, wenn dort KI-Workloads laufen, Trainingsdaten verarbeitet werden oder KI-Funktionen des Cloud-Anbieters genutzt werden. Auch reine Speicherverträge sind relevant, wenn personenbezogene Daten oder Trainingsdaten betroffen sind.
Was ist mit Verträgen aus der Zeit vor der KI-VO?
Sie decken die Anforderungen der KI-Verordnung nicht ab und müssen entweder geprüft, nachverhandelt oder bei Vertragsverlängerung angepasst werden. Das Risiko liegt sonst beim anwendenden Unternehmen.
Welche Klauseln sollten in Kundenverträge?
Klauseln zu Transparenz, Kennzeichnung KI-generierter Inhalte, Datennutzung, Haftungsbegrenzung, Auskunfts- und Beanstandungsrechten – abgestimmt auf die Risikoklasse der von Ihnen angebotenen KI-Leistung.
Schützt eine AGB-Klausel vor Haftung?
Nur eingeschränkt. AGB-rechtlich sind Haftungsbegrenzungen Grenzen gesetzt – insbesondere bei vorsätzlichem oder grob fahrlässigem Verhalten, bei Verletzung wesentlicher Vertragspflichten und gegenüber Verbrauchern. Im B2B-Verhältnis sind weitergehende Begrenzungen möglich, aber im Detail zu prüfen.
Wann sollte ich einen Anwalt einschalten?
Vor Vertragsabschluss bei neuen KI-Verträgen, bei Verlängerung oder Anpassung bestehender Verträge, bei Streit über KI-bezogene Pflichten oder Schäden und bei behördlichen Anfragen. Eine bestehende Rechtsschutzversicherung übernimmt anwaltliche Beratung in Vertragsfragen häufig – die Übernahme lässt sich vorab klären.