Welcher Fehler machen Unternehmen am häufigsten in Kaufverträgen für KI-Systeme
Der häufigste Fehler besteht darin, dass ein Unternehmen ein KI-System einkauft, ohne im Vertrag festzuhalten, wer welche Rolle hat: der Lieferant oder der Abnehmer. Viele Softwarekaufverträge wurden vor Jahren aufgestellt, lange vor der KI-Verordnung, und behandeln Lizenzen, Updates und Support. Sie sagen nichts über Risikokategorisierung, darüber, wer die Gebrauchsanweisung liefert, oder darüber, was passiert, wenn der Lieferant die Software selbst mit neuen KI-Funktionen anpasst.
Das Ergebnis ist, dass ein Unternehmen bei der Anschaffung davon ausgeht, dass der Lieferant "das bereits geregelt hat", während die Verordnung zwischen dem Anbieter eines KI-Systems und dem Nutzerverantwortlichen unterscheidet, der das System innerhalb der eigenen Organisation einsetzt. Diese beiden Rollen können zusammenfallen, müssen aber nicht. Ohne eine ausdrückliche vertragliche Vereinbarung bleibt unklar, bei wem welche Verpflichtung liegt, wenn es wirklich darauf ankommt.
Warum dies häufiger schiefgeht als erwartet
Einkaufsabteilungen und IT-Manager schauen seit jeher auf Funktionalität, Preis und Sicherheit. Das ist auch logisch: Das waren bis vor kurzem die wichtigsten Fragen beim Softwareeinkauf. Die KI-Verordnung fügt eine Schicht hinzu, die nicht von selbst in bestehende Einkaufsprozesse gelangt, schlicht weil niemand im Einkaufsteam gewohnt ist, diese Frage zu stellen. Ein Lieferant, der nicht explizit nach seiner Rolle gefragt wird, wird diese Informationen selten ungefragt liefern.
Ein zweiter Grund ist, dass viele KI-Funktionalität mittlerweile über Updates in bestehender Software Eingang findet, ohne dass ein neuer Vertrag abgeschlossen wird. Ein Buchhaltungspaket erhält einen KI-Assistenten, ein Planungstool erhält automatische Schichtvorschläge. Der ursprüngliche Vertrag deckt diese Funktion nicht, und niemand prüft im Nachhinein, ob die Bedingungen noch stimmen bei dem, was das System mittlerweile tut.
Was in der Praxis schiefgeht
Der Fehler zeigt sich meist erst in dem Moment, in dem ein Unternehmen selbst etwas nachweisen muss: bei einer Anfrage einer Aufsichtsbehörde, bei einer Audit eines Kunden oder einfach, weil der Betriebsrat fragt, wie eine KI-Anwendung entstanden ist. Dann stellt sich heraus, dass es keine Dokumentation über die Klassifizierung des Systems gibt, keinen Ansprechpartner beim Lieferanten für dieses Thema und keine vertragliche Absprache darüber, wer welche Informationen liefert, wenn sich die Software ändert.
Außerdem wird die Frage zu personenbezogenen Daten oft losgelöst von der Frage zu KI behandelt, während sie in der Praxis häufig zusammenfallen. Eine Verarbeitungsvereinbarung im Rahmen der DSGVO regelt etwas anderes als die Frage, welche Rolle eine Partei gemäß der KI-Verordnung hat; das eine ersetzt das andere nicht.
So vermeiden Sie dies bei einem neuen Vertrag
Der praktischste Schritt ist, das Gespräch mit dem Lieferanten früh im Beschaffungsprozess zu führen, nicht hinterher. Fragen Sie explizit, welche Rolle der Lieferant sich selbst zuschreibt, welche Dokumentation zum System gehört und was vertraglich über Änderungen der KI-Funktionalität während der Vertragslaufzeit festgehalten ist. Halten Sie diese Antworten fest, auch wenn die Antwort derzeit noch unvollständig ist: ein Lieferant, der noch keine Klarheit geben kann, ist auch ein Befund, den es zu dokumentieren gilt.
Es hilft, diese Frage von der üblichen Beschaffungscheckliste über Preis und Funktionalität zu trennen, gerade weil diese zwei Themen von verschiedenen Personen in der Organisation beurteilt werden. Wer dies als separaten Schwerpunkt behandelt, vermeidet, dass es zwischen Tür und Angel verloren geht. In der Wissensdatenbank pro Thema steht ein Überblick über die Fragen, die bei solchen Gesprächen häufig auftauchen, geordnet nach der Phase, in der sich ein Unternehmen befindet.
Bestehende Verträge durchgehen
Bei laufenden Verträgen ist es ratsam, bei der nächsten vertraglichen Änderung, Verlängerung oder Aktualisierungsmitteilung dieselben Fragen erneut zu stellen. Ein Vertrag muss nicht sofort überarbeitet werden, aber eine Notiz beim nächsten Kontakt mit dem Lieferanten verhindert, dass das Thema noch Jahre liegen bleibt. Unternehmen, die derzeit nicht wissen, wo sie stehen, können in ein paar Fragen eine erste Indikation erhalten welche Themen für ihre Situation relevant sind.
Ob und wie ein bestimmter Vertrag angepasst werden muss und welche Haftung damit verbunden ist, ist eine Frage für einen Rechtsanwalt oder, bei Fragen zur Überwachung, die zuständige Überwachungsbehörde. Dieser Artikel beschreibt nur, wo der Fehler normalerweise auftritt, nicht welche Anpassung für Ihren eigenen Vertrag richtig ist.
Häufig gestellte Fragen zu dieser Art von Beschaffungsfragen, einschließlich Fragen, die andere Leser bereits gestellt haben, finden Sie unter der Seite mit häufig gestellten Fragen. Wenn Sie zunächst selbst ein Bild davon bekommen möchten, wo Ihre Organisation steht, führen Sie dann den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Knowledge Base; beide sind ohne Verpflichtung zugänglich.