KI-Dienstleistung rechtssicher anbieten und beauftragen

Eine KI-Dienstleistung kann für Unternehmen, Behörden, Freiberufler und Verbraucher erhebliche Effizienzvorteile bringen. Gemeint sind etwa KI-gestützte Chatbots, Text- und Bildgeneratoren, Analysewerkzeuge, Automatisierungslösungen, Recruiting-Tools oder branchenspezifische Entscheidungshilfen. Rechtlich ist der Begriff jedoch weniger eindeutig, als es in Angeboten und Projektbeschreibungen häufig wirkt. Es gibt nicht „das“ KI-Dienstleistungsrecht, sondern ein Zusammenspiel aus Vertragsrecht, Datenschutzrecht, Urheberrecht, Geschäftsgeheimnisschutz, Haftungsrecht und der europäischen KI-Verordnung.

Für Auftraggeber stellt sich vor allem die Frage, welche Leistung tatsächlich geschuldet ist, wer für fehlerhafte Ergebnisse einsteht und welche Daten verarbeitet werden dürfen. Anbieter müssen klären, ob sie lediglich ein Werkzeug bereitstellen, ein konkretes Ergebnis schulden oder sogar in regulierte Bereiche wie Personalentscheidung, Bonitätsbewertung, Medizin, Finanzdienstleistung oder Rechtsberatung eingreifen.

Dieser Beitrag ordnet die wichtigsten rechtlichen Punkte ein. Er ersetzt keine Prüfung des Einzelfalls, zeigt aber, welche Fragen bei Planung, Einkauf und Betrieb einer KI-Dienstleistung regelmäßig entscheidend sind.

Inhaltsverzeichnis

1. Was ist eine KI-Dienstleistung rechtlich?
2. Gesetzliche Grundlagen: KI-Verordnung, DSGVO und Vertragsrecht
3. Abgrenzung zu SaaS, Softwareentwicklung, Beratung und Auftragsverarbeitung
4. Praxisrelevante Fallkonstellationen bei KI-Dienstleistungen
5. Vertragsgestaltung: Leistungsbeschreibung, Verantwortung und Qualitätssicherung
6. Datenschutz, Geschäftsgeheimnisse und Urheberrecht
7. Risiken, Haftung und typische Fehler bei KI-Dienstleistungen
8. Fristen, Übergangsregeln und Verjährung
9. Beweisfragen und Dokumentation: Was später entscheidend sein kann
10. Praxisschritte: KI-Dienstleistung rechtssicher prüfen und gestalten
11. Besondere Anforderungen für Unternehmen und Organisationen
12. Was Verbraucher und Betroffene wissen sollten
13. … und 2 weitere Abschnitte

Was ist eine KI-Dienstleistung rechtlich?

Eine KI-Dienstleistung ist rechtlich zunächst keine eigenständige Vertragsart. Der Begriff beschreibt vielmehr eine Leistung, bei der ein Anbieter künstliche Intelligenz einsetzt oder ein KI-System für den Kunden bereitstellt. Das kann ein einmaliges Projekt sein, etwa die Entwicklung eines Chatbots für den Kundenservice. Es kann aber auch ein fortlaufender Service sein, beispielsweise ein KI-Tool zur Dokumentenanalyse, das monatlich genutzt wird.

Entscheidend ist nicht die technische Bezeichnung, sondern der konkrete Leistungsinhalt. Wird nur Zugang zu einer Software gewährt, stehen Nutzungsrechte, Verfügbarkeit, Support und Datenschutz im Mittelpunkt. Wird ein bestimmtes Ergebnis geschuldet, etwa ein funktionsfähiges Prognosemodell mit definierter Trefferquote, können werkvertragliche Elemente hinzukommen. Wird dagegen laufende Beratung, Konfiguration oder Überwachung angeboten, kann ein Dienstvertrag vorliegen.

Typisch für KI-Dienstleistungen ist, dass Ergebnisse nicht immer vollständig deterministisch sind. Ein KI-System kann bei ähnlichen Eingaben unterschiedliche Ausgaben erzeugen. Das bedeutet aber nicht, dass rechtlich keine Qualität geschuldet wäre. Anbieter können verpflichtet sein, angemessene Tests, Plausibilitätskontrollen, Sicherheitsmaßnahmen und Dokumentationen vorzunehmen. Auftraggeber wiederum dürfen sich nicht allein auf allgemeine Produktversprechen verlassen, sondern sollten konkrete Anforderungen definieren.

In der Praxis ist daher zu klären, welche Rolle die KI im Leistungsprozess spielt:

• unterstützt sie lediglich menschliche Bearbeitung,
• erstellt sie Inhalte oder Auswertungen eigenständig,
• trifft sie Vorentscheidungen über Personen,
• wird sie in kritische Geschäftsprozesse eingebunden,
• verarbeitet sie personenbezogene oder vertrauliche Daten,
• nutzt der Anbieter fremde Basismodelle oder eigene Systeme,
• werden Ergebnisse veröffentlicht oder nur intern verwendet.

Je stärker eine KI-Dienstleistung in rechtlich sensible Entscheidungen eingreift, desto höher sind die Anforderungen an Transparenz, Kontrolle und Risikomanagement. Eine einfache Textassistenz ist anders zu bewerten als ein System, das Bewerber vorsortiert, Kreditanträge bewertet oder medizinische Hinweise gibt.

Gesetzliche Grundlagen: KI-Verordnung, DSGVO und Vertragsrecht

Die rechtliche Bewertung einer KI-Dienstleistung ergibt sich aus mehreren Regelungsebenen. Im Zentrum steht seit 2024 die europäische KI-Verordnung, häufig auch EU AI Act genannt. Sie schafft ein risikobasiertes Regelwerk für KI-Systeme. Je nach Einsatzbereich gelten Verbote, Transparenzpflichten, Anforderungen an Hochrisiko-KI oder Pflichten für Anbieter allgemeiner KI-Modelle.

Die KI-Verordnung unterscheidet unter anderem zwischen Anbietern, Betreibern beziehungsweise Verwendern, Importeuren, Händlern und Produktverantwortlichen. Diese Rollen sind nicht immer identisch mit der wirtschaftlichen Bezeichnung im Vertrag. Ein Unternehmen, das ein fremdes KI-Tool nur intern nutzt, kann als Betreiber gelten. Wer ein KI-System unter eigenem Namen bereitstellt oder wesentlich verändert, kann Anbieterpflichten auslösen. Das ist besonders wichtig bei White-Label-Lösungen, individuellen Anpassungen und der Integration fremder Modelle in eigene Produkte.

Daneben bleibt die Datenschutz-Grundverordnung zentral, sobald personenbezogene Daten verarbeitet werden. Das betrifft nicht nur Kundendaten, sondern auch Beschäftigtendaten, Bewerbungsunterlagen, Kommunikationsinhalte, IP-Adressen, Nutzungsdaten und Protokolldaten. Zu prüfen sind Rechtsgrundlage, Zweckbindung, Datenminimierung, Auftragsverarbeitung, Informationspflichten, Löschung, Betroffenenrechte und internationale Datentransfers.

Vertragsrechtlich sind vor allem das Bürgerliche Gesetzbuch und handelsrechtliche Grundsätze relevant. Je nach Ausgestaltung kommen Dienstvertrag, Werkvertrag, Mietvertrag, Lizenzvertrag, Software-as-a-Service-Vertrag oder gemischte Vertragstypen in Betracht. Für Verbraucher können zusätzlich Informationspflichten, Widerrufsrechte, AGB-Kontrolle und Regeln zu digitalen Produkten einschlägig sein.

Auch weitere Rechtsgebiete können eine Rolle spielen:

• Urheberrecht, wenn Texte, Bilder, Code, Datenbanken oder Trainingsmaterial betroffen sind,
• Geschäftsgeheimnisgesetz, wenn vertrauliche Eingaben in KI-Systeme verarbeitet werden,
• Arbeitsrecht, wenn KI Beschäftigte überwacht, bewertet oder bei Personalentscheidungen eingesetzt wird,
• Wettbewerbsrecht, wenn KI-generierte Aussagen irreführend sind,
• Produkthaftungs- und Deliktsrecht, wenn Schäden durch fehlerhafte Systeme entstehen,
• Berufsrecht und Spezialgesetze, wenn regulierte Beratung erbracht wird.

Die gesetzliche Grundlage hängt daher maßgeblich vom konkreten Einsatz ab. Eine KI-Dienstleistung zur internen Zusammenfassung von Dokumenten löst andere Pflichten aus als eine automatisierte Entscheidung über Versicherungsprämien oder ein Tool, das rechtliche Handlungsempfehlungen an Verbraucher ausgibt.

Abgrenzung zu SaaS, Softwareentwicklung, Beratung und Auftragsverarbeitung

Viele Streitigkeiten über KI-Dienstleistungen entstehen nicht wegen der KI selbst, sondern wegen unklarer Erwartungen. Der Kunde erwartet ein rechtssicheres, funktionsfähiges Ergebnis. Der Anbieter meint, nur ein unterstützendes Tool oder eine Bemühensleistung geschuldet zu haben. Deshalb sollte bereits vor Vertragsschluss bestimmt werden, welche Art von Leistung vorliegt und welche Verantwortung daraus folgt.

Die folgenden Abgrenzungen sind nicht schematisch zu verstehen. In der Praxis enthalten KI-Projekte häufig mehrere Elemente. Ein Anbieter kann zugleich Softwarezugang, Beratung, Anpassung, Schulung und laufenden Betrieb erbringen. Gerade dann muss der Vertrag regeln, welche Leistungsteile erfolgsbezogen sind und welche nur nach Aufwand geschuldet werden.

Diese Unterscheidung hat unmittelbare Folgen. Bei einem Werkvertrag kann der Auftraggeber unter Umständen Nacherfüllung verlangen, wenn das vereinbarte Ergebnis mangelhaft ist. Bei einem reinen Dienstvertrag wird regelmäßig nur sorgfältiges Tätigwerden geschuldet, nicht aber ein bestimmter Erfolg. Bei SaaS-Verträgen stehen häufig Verfügbarkeit, Sicherheitsniveau und Nutzungsrechte im Vordergrund.

Besonders fehleranfällig ist die Abgrenzung zur Auftragsverarbeitung nach Art. 28 DSGVO. Nicht jeder KI-Anbieter ist automatisch Auftragsverarbeiter. Entscheidend ist, ob er personenbezogene Daten weisungsgebunden für den Kunden verarbeitet oder eigene Zwecke verfolgt. Nutzt der Anbieter Eingaben etwa zur Verbesserung eigener Modelle, zur Produktanalyse oder zu eigenen Forschungszwecken, kann eine eigene Verantwortlichkeit oder gemeinsame Verantwortlichkeit naheliegen. Das muss transparent geregelt werden.

Auch die Abgrenzung zu regulierter Beratung ist wichtig. Ein KI-Tool, das nur Textbausteine formuliert, ist anders einzuordnen als ein Dienst, der konkrete rechtliche, medizinische oder finanzielle Empfehlungen für eine individuelle Situation gibt. In solchen Fällen können Berufsrecht, Zulassungspflichten oder besondere Sorgfaltsanforderungen hinzukommen.

Praxisrelevante Fallkonstellationen bei KI-Dienstleistungen

Die rechtlichen Anforderungen lassen sich am besten anhand typischer Einsatzszenarien verstehen. Viele Projekte beginnen technisch harmlos, werden aber rechtlich komplex, sobald personenbezogene Daten, vertrauliche Unterlagen oder entscheidungsrelevante Bewertungen verarbeitet werden. Maßgeblich ist immer, wie die KI-Dienstleistung tatsächlich genutzt wird, nicht nur, wie sie im Vertrag bezeichnet ist.

Ein häufiger Fall ist der KI-Chatbot im Kundenservice. Er beantwortet Fragen zu Produkten, Bestellungen oder Verträgen. Rechtlich relevant sind dabei unter anderem Informationspflichten, Haftung für falsche Auskünfte, Datenschutz bei Kundendaten und die Kennzeichnung, dass Nutzer mit einem KI-System interagieren. Wird der Chatbot mit Vertragsdaten oder Reklamationen verbunden, müssen Zugriffsrechte, Protokollierung und Eskalation an menschliche Mitarbeitende geregelt sein.

Eine zweite Konstellation betrifft KI-gestützte Content-Erstellung. Agenturen erstellen Texte, Produktbeschreibungen, Bilder, Anzeigen oder Social-Media-Beiträge mithilfe generativer KI. Hier stellen sich Fragen nach Urheberrechten, Nutzungsrechten, Kennzeichnungspflichten, Plagiatsrisiken, Markenverletzungen und irreführenden Aussagen. Auftraggeber sollten nicht nur einen fertigen Text erhalten, sondern auch wissen, ob KI eingesetzt wurde, welche Prüfung erfolgt ist und ob fremde Rechte erkennbar berührt sein können.

Besonders sensibel sind KI-Dienstleistungen im Personalbereich. Tools zur Bewerbervorauswahl, Leistungsbewertung oder Schichtplanung können unter die Regeln für Hochrisiko-KI fallen. Zusätzlich sind Datenschutz, arbeitsrechtliche Mitbestimmung, Diskriminierungsverbote und Transparenz gegenüber Betroffenen zu beachten. Schon ein vermeintlich neutrales Scoring kann problematisch sein, wenn Trainingsdaten Vorurteile abbilden oder Kriterien nicht nachvollziehbar sind.

Weitere praxisrelevante Beispiele sind:

• Dokumentenprüfung in Kanzleien, Steuerberatung oder Due-Diligence-Projekten,
• KI-basierte Bonitäts- oder Betrugserkennung im Finanzbereich,
• medizinische Triage-, Diagnose- oder Empfehlungssysteme,
• automatisierte Auswertung von Kundenkommunikation und Beschwerden,
• Predictive-Maintenance-Systeme in Produktion und Logistik,
• KI-gestützte Übersetzung vertraulicher Vertragsunterlagen,
• Tools zur Erkennung von Compliance-Verstößen in Unternehmen.

In allen Fällen sollte früh geprüft werden, ob die KI nur assistiert oder faktisch Entscheidungen vorbereitet. Je näher das System an Personen, Rechtspositionen oder sicherheitsrelevante Prozesse heranrückt, desto wichtiger werden Risikoklassifizierung, menschliche Kontrolle, Dokumentation und vertragliche Verantwortungszuweisung.

Vertragsgestaltung: Leistungsbeschreibung, Verantwortung und Qualitätssicherung

Ein rechtssicherer Vertrag über eine KI-Dienstleistung beginnt nicht mit Haftungsklauseln, sondern mit einer präzisen Leistungsbeschreibung. Allgemeine Formulierungen wie „KI-basierte Optimierung“, „automatisierte Analyse“ oder „intelligente Entscheidungshilfe“ reichen in der Regel nicht aus, um spätere Streitigkeiten zu vermeiden. Der Vertrag sollte beschreiben, wofür das System eingesetzt werden darf, welche Daten es verarbeitet und welche Ergebnisse erwartet werden.

Wichtig ist eine klare Zweckbestimmung. Ein KI-Modell, das für interne Textzusammenfassungen geeignet ist, muss nicht für rechtlich verbindliche Kundenkommunikation taugen. Ein Tool zur Mustererkennung in Maschinendaten darf nicht ohne Weiteres zur Bewertung von Beschäftigten genutzt werden. Wird der Einsatzzweck später erweitert, kann eine neue rechtliche Prüfung erforderlich sein.

Die Parteien sollten außerdem regeln, welche Qualitätsmaßstäbe gelten. Bei KI-Dienstleistungen sind hundertprozentig richtige Ergebnisse häufig unrealistisch. Dennoch können Mindestanforderungen definiert werden, etwa Testverfahren, Fehlertoleranzen, Review-Prozesse, Datenqualität, Reaktionszeiten, Modellversionen, Sicherheitsmaßnahmen oder Eskalationsregeln. Bei kritischen Anwendungen sollte ausdrücklich festgelegt werden, dass KI-Ausgaben nicht ungeprüft übernommen werden dürfen.

Zu den wesentlichen Vertragsbausteinen gehören insbesondere:

• konkreter Leistungsumfang und zulässige Nutzungszwecke,
• Rollenverteilung nach KI-Verordnung und DSGVO,
• Beschreibung eingesetzter Modelle, Subunternehmer und Schnittstellen,
• Regelungen zu Trainingsdaten, Kundendaten und Output-Nutzung,
• Verfügbarkeiten, Supportzeiten und Reaktionsfristen,
• Test-, Abnahme- und Freigabeverfahren,
• Pflichten zur Fehlerbehebung und Aktualisierung,
• Haftungsbegrenzungen und Ausnahmen,
• Geheimhaltung, Sicherheitsmaßnahmen und Löschung nach Vertragsende,
• Audit-, Auskunfts- und Dokumentationsrechte.

Auch Mitwirkungspflichten des Auftraggebers sollten nicht unterschätzt werden. KI-Projekte scheitern häufig an unvollständigen Daten, unklaren Zielvorgaben oder fehlender fachlicher Validierung. Der Anbieter kann nicht für jede Fehlleistung verantwortlich sein, wenn der Kunde falsche Trainingsdaten liefert, fachliche Freigaben unterlässt oder ein Tool außerhalb des vereinbarten Zwecks nutzt. Umgekehrt darf sich der Anbieter nicht pauschal auf die Komplexität der KI berufen, wenn grundlegende Prüfungen, Sicherheitsmaßnahmen oder Hinweise auf bekannte Grenzen fehlen.

Datenschutz, Geschäftsgeheimnisse und Urheberrecht

Bei vielen KI-Dienstleistungen ist Datenschutz der erste rechtliche Prüfstein. Werden personenbezogene Daten eingegeben, analysiert, gespeichert oder für Modellverbesserungen genutzt, braucht jede Verarbeitung eine tragfähige Rechtsgrundlage. Im Unternehmenskontext kommen je nach Fall Vertragserfüllung, berechtigtes Interesse, Einwilligung oder gesetzliche Pflichten in Betracht. Im Beschäftigtenkontext gelten zusätzliche Anforderungen, insbesondere wenn Leistung, Verhalten oder Eignung bewertet werden.

Ein häufiger Fehler besteht darin, personenbezogene Daten in frei verfügbare KI-Tools einzugeben, ohne zu prüfen, was mit den Eingaben geschieht. Werden Daten für Trainingszwecke genutzt, in Drittländer übertragen oder über Subdienstleister verarbeitet, kann das datenschutzrechtlich erheblich sein. Unternehmen sollten daher klären, ob ein Auftragsverarbeitungsvertrag erforderlich ist, welche technischen und organisatorischen Maßnahmen bestehen und wie Eingaben gelöscht oder protokolliert werden.

Geschäftsgeheimnisse sind ähnlich sensibel. Vertragsentwürfe, Quellcode, Preislisten, Forschungsdaten, Mandanteninformationen oder interne Strategiepapiere können ihren Schutz verlieren, wenn sie unkontrolliert an externe Systeme übermittelt werden. Nach dem Geschäftsgeheimnisgesetz ist entscheidend, ob angemessene Geheimhaltungsmaßnahmen bestehen. Dazu gehören klare Richtlinien, Zugriffsbeschränkungen, Vertraulichkeitsvereinbarungen und dokumentierte Freigabeprozesse.

Urheberrechtliche Fragen entstehen vor allem bei Trainingsdaten, Eingaben und Ergebnissen. KI-generierte Inhalte sind nicht automatisch urheberrechtlich geschützt. Schutz kann in Betracht kommen, wenn ein Mensch durch Auswahl, Gestaltung oder Bearbeitung eine eigene geistige Schöpfung erbringt. Zugleich kann ein KI-Output fremde Rechte verletzen, etwa wenn er geschützte Texte, Bilder, Designs oder Marken zu ähnlich reproduziert. Anbieter sollten daher keine umfassenden Rechtegarantien abgeben, ohne die tatsächlichen Prüfprozesse abzusichern.

Für Auftraggeber sind insbesondere folgende Fragen relevant:

• Dürfen personenbezogene Daten in das System eingegeben werden?
• Werden Eingaben oder Ergebnisse zum Training genutzt?
• Wo werden Daten gespeichert und welche Unterauftragnehmer sind beteiligt?
• Welche Rechte erhält der Kunde am Output?
• Wer prüft den Output auf Rechte Dritter, Fehler und Quellen?
• Wie werden Geschäftsgeheimnisse technisch und organisatorisch geschützt?
• Gibt es Lösch-, Export- und Sperrfunktionen?
• Sind Betroffene über den KI-Einsatz zu informieren?

Die Antworten sollten nicht nur in Datenschutzinformationen stehen, sondern mit Vertragsgestaltung, internen Richtlinien und technischer Konfiguration abgestimmt werden. Rechtssicherheit entsteht hier vor allem durch konsistente Prozesse.

Risiken, Haftung und typische Fehler bei KI-Dienstleistungen

Die Haftung bei einer KI-Dienstleistung richtet sich grundsätzlich nach den allgemeinen Regeln. Wer vertragliche Pflichten verletzt, kann auf Schadensersatz, Nacherfüllung, Minderung, Rücktritt oder Kündigung in Anspruch genommen werden. Daneben kommen deliktische Ansprüche, Datenschutzschadensersatz, Wettbewerbsverstöße, arbeitsrechtliche Folgen oder behördliche Sanktionen in Betracht. Welche Ansprüche tatsächlich bestehen, hängt vom Vertrag, vom Verschulden, vom Schaden und von der Beweisbarkeit ab.

Für Anbieter ist riskant, KI-Ergebnisse als verlässlich oder rechtlich geprüft darzustellen, obwohl nur eine automatisierte Ausgabe erfolgt. Wer konkrete Zusagen macht, kann daran gemessen werden. Allgemeine Haftungsbeschränkungen in AGB sind zudem nicht beliebig wirksam. Insbesondere für Vorsatz, grobe Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit sowie wesentliche Vertragspflichten gelten Grenzen.

Für Auftraggeber liegt ein erhebliches Risiko darin, KI-Ausgaben ungeprüft in Entscheidungen zu übernehmen. Bei Personalentscheidungen, Kreditvergabe, Kundenkommunikation oder rechtlichen Schreiben kann der Nutzer nicht ohne Weiteres auf den Anbieter verweisen. Wer ein System einsetzt, muss dessen Grenzen kennen, Mitarbeitende schulen und angemessene Kontrollen einrichten.

Typische Fehler sind insbesondere:

• unklare Leistungsbeschreibung ohne messbare Anforderungen,
• fehlende Prüfung der Rolle nach KI-Verordnung und DSGVO,
• Eingabe personenbezogener oder vertraulicher Daten ohne Freigabe,
• unveränderte Übernahme von KI-Ausgaben in Verträge, Bescheide oder Kundenkommunikation,
• keine Dokumentation von Tests, Entscheidungen und menschlicher Kontrolle,
• fehlende Regelung zu Trainingsnutzung, Subdienstleistern und Datenlöschung,
• irreführende Werbeaussagen über Genauigkeit oder Rechtssicherheit,
• Nutzung eines Tools außerhalb des vereinbarten oder geprüften Zwecks,
• fehlende Schulung von Beschäftigten im Umgang mit KI-Systemen,
• keine Prüfung von Urheberrechten, Markenrechten oder Quellen beim Output.

Besonders hoch sind Risiken, wenn KI-Dienstleistungen in regulierten oder grundrechtsrelevanten Bereichen eingesetzt werden. Dazu zählen Beschäftigung, Bildung, Kreditwürdigkeit, Strafverfolgung, kritische Infrastruktur, Medizin und Zugang zu wesentlichen privaten oder öffentlichen Leistungen. In diesen Fällen sollte nicht nur der Vertrag geprüft werden. Erforderlich sind regelmäßig ein dokumentiertes Risikomanagement, technische Prüfungen, Datenschutz-Folgenabschätzungen und klare menschliche Verantwortlichkeiten.

Fristen, Übergangsregeln und Verjährung

Fristen spielen bei KI-Dienstleistungen auf mehreren Ebenen eine Rolle. Besonders wichtig sind die Übergangsregelungen der europäischen KI-Verordnung. Die Verordnung ist im Jahr 2024 in Kraft getreten, gilt aber stufenweise. Bestimmte Verbote und Anforderungen greifen früher als die allgemeinen Pflichten. Unternehmen sollten deshalb nicht erst bis zum vollständigen Anwendungsbeginn warten, sondern bestehende und geplante KI-Systeme rechtzeitig erfassen.

Nach dem Regelungsplan gelten insbesondere Verbote bestimmter KI-Praktiken und Anforderungen an KI-Kompetenz früher als viele andere Pflichten. Pflichten für Anbieter allgemeiner KI-Modelle folgen ebenfalls vor dem allgemeinen Anwendungszeitpunkt. Der überwiegende Teil der Anforderungen wird erst später vollständig anwendbar, bei bestimmten Hochrisiko-Systemen gelten nochmals besondere Übergangsfristen. Die genaue Einordnung sollte anhand des konkreten Systems geprüft werden, weil Produktintegration, Einsatzbereich und Rolle des Unternehmens entscheidend sind.

Auch datenschutzrechtlich sind Fristen relevant. Betroffenenanfragen müssen grundsätzlich innerhalb eines Monats beantwortet werden. Datenschutzverletzungen sind der Aufsichtsbehörde grundsätzlich binnen 72 Stunden zu melden, wenn ein meldepflichtiges Risiko besteht. Löschfristen müssen definiert und eingehalten werden. Bei KI-Systemen ist dies praktisch anspruchsvoll, weil Daten in Protokollen, Trainingsdatensätzen, Backups oder Analyseumgebungen liegen können.

Verjährungsfragen hängen vom Anspruch ab. Vertragliche Mängelansprüche, Schadensersatzansprüche, Zahlungsansprüche oder Unterlassungsansprüche können unterschiedlichen Fristen unterliegen. Im Regelfall beginnt die regelmäßige Verjährung mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Anspruchsteller Kenntnis von den maßgeblichen Umständen hatte oder ohne grobe Fahrlässigkeit hätte haben müssen. Bei werkvertraglichen Mängeln, Softwareleistungen oder digitalen Produkten können besondere Fristen in Betracht kommen.

Für die Praxis bedeutet das: Mängel, Fehlfunktionen und Schäden sollten zeitnah dokumentiert und gerügt werden. Auch wenn eine gesetzliche Verjährung noch nicht unmittelbar droht, können vertragliche Ausschlussfristen, Untersuchungs- und Rügeobliegenheiten im Handelsverkehr oder Beweisschwierigkeiten erheblich werden. Wer eine KI-Dienstleistung geschäftlich nutzt, sollte daher ein internes Fristenmanagement für Vorfälle, Betroffenenrechte, Vertragsrügen und Compliance-Prüfungen einrichten.

Beweisfragen und Dokumentation: Was später entscheidend sein kann

Bei Streitigkeiten über KI-Dienstleistungen ist die Beweislage häufig komplex. Anders als bei klassischen Leistungen ist nicht immer sofort nachvollziehbar, warum ein bestimmter Output entstanden ist. Modellversion, Prompt, Trainingsstand, Systemeinstellungen, Datenbasis und menschliche Nachbearbeitung können das Ergebnis beeinflussen. Wer später Ansprüche durchsetzen oder sich gegen Vorwürfe verteidigen möchte, braucht daher belastbare Dokumentation.

Für Auftraggeber ist wichtig, nicht nur das fehlerhafte Ergebnis zu sichern, sondern auch den Kontext. Dazu gehören Eingabedaten, Zeitpunkt, Nutzerkonto, verwendete Version, Screenshots, Exportdateien, Kommunikationsverlauf und etwaige Folgeentscheidungen. Wenn ein KI-Tool beispielsweise einen falschen Vertragsentwurf, eine fehlerhafte Risikobewertung oder eine diskriminierende Bewerberauswahl erzeugt, muss nachvollziehbar bleiben, wie es dazu kam.

Anbieter sollten umgekehrt dokumentieren, welche Hinweise sie gegeben haben, welche Tests durchgeführt wurden, welche Grenzen bekannt waren und welche Mitwirkungspflichten der Kunde hatte. Diese Unterlagen sind nicht nur prozessual relevant, sondern auch für Audits, Behördenanfragen und interne Qualitätssicherung.

Regelmäßig hilfreich sind folgende Nachweise:

• Vertrag, Leistungsbeschreibung, Anlagen und Change-Requests,
• Datenschutzvereinbarungen, AV-Vertrag und Subunternehmerlisten,
• Systemdokumentation, Modellversionen und Konfigurationen,
• Testprotokolle, Abnahmeunterlagen und Freigabevermerke,
• Prompts, Eingabedaten, Ausgaben und Bearbeitungshistorie,
• Schulungsunterlagen und interne KI-Richtlinien,
• Fehlermeldungen, Tickets, Supportkommunikation und Reaktionszeiten,
• Protokolle menschlicher Kontrolle und fachlicher Prüfung,
• Datenschutz-Folgenabschätzungen oder Risikobewertungen, soweit erstellt,
• Nachweise über Löschung, Sperrung oder Export von Daten.

Die Dokumentation sollte verhältnismäßig sein. Nicht jedes einfache KI-Tool erfordert eine umfangreiche technische Akte. Je sensibler der Einsatz, desto mehr spricht jedoch für strukturierte Nachweise. Das gilt besonders bei Hochrisiko-Anwendungen, personenbezogenen Entscheidungen und geschäftskritischen Prozessen.

Praxisschritte: KI-Dienstleistung rechtssicher prüfen und gestalten

Eine KI-Dienstleistung sollte nicht erst rechtlich geprüft werden, wenn ein Schaden eingetreten ist oder eine Behörde nachfragt. Sinnvoll ist ein gestufter Prüfprozess vor Einführung, bei wesentlichen Änderungen und während des laufenden Betriebs. Dabei müssen technische, organisatorische und rechtliche Fragen zusammengeführt werden. Reine Vertragsprüfung reicht nicht aus, wenn intern keine Regeln zur Nutzung bestehen.

Die folgenden Schritte helfen, typische Risiken früh zu erkennen. Sie sind keine starre Checkliste für jeden Einzelfall, bilden aber einen praxistauglichen Rahmen für Anbieter und Auftraggeber.

1. Einsatzzweck festlegen: Beschreiben Sie konkret, welche Aufgabe die KI übernimmt und welche Entscheidungen weiterhin Menschen vorbehalten bleiben.
2. Rollen bestimmen: Prüfen Sie, ob Ihr Unternehmen Anbieter, Betreiber, Auftragsverarbeiter, Verantwortlicher oder gemeinsam Verantwortlicher ist.
3. Risikoklasse prüfen: Ordnen Sie das System nach der KI-Verordnung ein, insbesondere bei Personal, Kredit, Bildung, Medizin oder kritischen Infrastrukturen.
4. Dateninventar erstellen: Dokumentieren Sie, welche personenbezogenen Daten, Geschäftsgeheimnisse und urheberrechtlich geschützten Inhalte verarbeitet werden.
5. Fristen erfassen: Hinterlegen Sie relevante Umsetzungsfristen der KI-Verordnung, Datenschutzfristen und vertragliche Rüge- oder Kündigungsfristen.
6. Vertrag konkretisieren: Regeln Sie Leistungsumfang, Qualität, Prüfpflichten, Nutzungsrechte, Support, Haftung, Subunternehmer, Löschung und Auditmöglichkeiten.
7. Datenschutz absichern: Prüfen Sie Rechtsgrundlagen, Informationspflichten, Auftragsverarbeitung, Drittlandtransfers, Löschkonzept und gegebenenfalls eine Datenschutz-Folgenabschätzung.
8. Dokumentation einrichten: Legen Sie fest, welche Prompts, Outputs, Entscheidungen, Modellversionen, Tests und Freigaben gespeichert werden.
9. Menschliche Kontrolle definieren: Bestimmen Sie, wann KI-Ausgaben überprüft werden müssen und wer für Freigaben verantwortlich ist.
10. Mitarbeitende schulen: Vermitteln Sie zulässige Nutzungszwecke, Datenschutzgrenzen, Prompt-Regeln, Fehlerquellen und Eskalationswege.
11. Output-Prüfung organisieren: Kontrollieren Sie Inhalte auf sachliche Richtigkeit, Diskriminierung, Urheberrechte, Markenrechte und irreführende Aussagen.
12. Änderungen überwachen: Prüfen Sie bei neuen Modellversionen, neuen Datenquellen oder erweitertem Einsatz, ob Vertrag und Compliance noch passen.

Für Anbieter ist zusätzlich wichtig, keine Leistungsversprechen abzugeben, die technisch nicht abgesichert sind. Für Auftraggeber ist entscheidend, interne Verantwortung nicht vollständig an den Dienstleister auszulagern. Selbst bei sorgfältiger Vertragsgestaltung bleibt der konkrete Einsatz im eigenen Betrieb ein eigenständiger Risikofaktor.

Besondere Anforderungen für Unternehmen und Organisationen

Unternehmen, die KI-Dienstleistungen einkaufen oder selbst anbieten, sollten das Thema nicht nur als IT-Projekt behandeln. KI betrifft regelmäßig Datenschutz, Compliance, Einkauf, Fachabteilungen, Informationssicherheit, Betriebsrat, Rechtsabteilung und Geschäftsleitung. Werden diese Bereiche zu spät eingebunden, entstehen Lücken zwischen technischer Nutzung und rechtlicher Verantwortung.

Bei der Beschaffung empfiehlt sich ein strukturierter Vendor-Check. Der Anbieter sollte erklären können, welche Modelle eingesetzt werden, wo Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind, welche Sicherheitsstandards gelten und wie Fehler gemeldet werden. Bei sensiblen Anwendungen kann es angemessen sein, Nachweise zu Tests, Zertifizierungen, Risikomanagement, Incident-Response-Prozessen und Datenschutzkonzepten anzufordern.

Unternehmen müssen außerdem interne Richtlinien entwickeln. Beschäftigte sollten wissen, welche KI-Tools zugelassen sind, welche Daten nicht eingegeben werden dürfen, wie Ergebnisse geprüft werden und wann eine Freigabe erforderlich ist. Ohne solche Regeln besteht die Gefahr sogenannter Schatten-KI: Mitarbeitende nutzen frei verfügbare Tools, weil sie praktisch sind, obwohl vertrauliche oder personenbezogene Daten betroffen sind.

Besondere Vorsicht gilt bei KI im Personalbereich. Die Einführung kann Mitbestimmungsrechte des Betriebsrats auslösen, wenn Verhalten oder Leistung überwacht werden können oder technische Einrichtungen entsprechende Auswertungen ermöglichen. Auch Diskriminierungsrisiken sind zu prüfen, etwa wenn Trainingsdaten bestimmte Gruppen benachteiligen oder Auswahlkriterien nicht nachvollziehbar sind.

Organisationen sollten schließlich Verantwortlichkeiten festlegen. Wer entscheidet über den Einsatz? Wer genehmigt neue Tools? Wer prüft Verträge? Wer dokumentiert Risiken? Wer reagiert auf Betroffenenanfragen oder Sicherheitsvorfälle? Je klarer diese Zuständigkeiten sind, desto eher lassen sich rechtliche und operative Risiken beherrschen.

Was Verbraucher und Betroffene wissen sollten

Auch Verbraucher, Bewerber, Beschäftigte oder Kunden können von KI-Dienstleistungen betroffen sein, ohne den Vertrag mit dem Anbieter selbst geschlossen zu haben. Ein Chatbot beantwortet eine Anfrage falsch, ein automatisiertes System bewertet eine Bewerbung negativ oder ein KI-Tool schlägt eine Vertragsentscheidung vor. Betroffene sollten dann zunächst klären, ob tatsächlich eine KI eingesetzt wurde und welche Folgen die Ausgabe hatte.

Die DSGVO gibt Betroffenen verschiedene Rechte, wenn personenbezogene Daten verarbeitet werden. Dazu gehören Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Bei automatisierten Entscheidungen können zusätzliche Anforderungen gelten, insbesondere wenn eine Entscheidung rechtliche Wirkung entfaltet oder Betroffene ähnlich erheblich beeinträchtigt. Ob Art. 22 DSGVO einschlägig ist, hängt davon ab, ob die Entscheidung ausschließlich automatisiert getroffen wurde und welche Wirkung sie hat.

Bei KI-generierten Falschauskünften ist entscheidend, wer die Erklärung abgegeben hat und ob sie rechtlich verbindlich war. Eine unverbindliche Chatbot-Antwort ist anders zu bewerten als eine bestätigte Vertragszusage, ein abgelehnter Antrag oder eine personalrechtliche Entscheidung. Dennoch sollten Betroffene fehlerhafte Kommunikation sichern und zeitnah widersprechen, wenn daraus Nachteile entstehen.

Sinnvolle erste Schritte sind:

• Screenshot oder Kopie der KI-Kommunikation sichern,
• Zeitpunkt, Plattform, Nutzerkonto und beteiligte Personen notieren,
• Auskunft über verarbeitete personenbezogene Daten verlangen,
• um menschliche Überprüfung einer Entscheidung bitten,
• Fristen in Schreiben, Bescheiden oder Verträgen beachten,
• fehlerhafte Daten berichtigen oder löschen lassen,
• bei erheblichen Nachteilen rechtliche Prüfung veranlassen.

Betroffene sollten zugleich realistisch einordnen, dass nicht jede KI-Nutzung automatisch rechtswidrig ist. Entscheidend ist, ob Transparenzpflichten, Datenschutzregeln, Vertragsgrundlagen und Schutzrechte eingehalten wurden und ob ein konkreter Nachteil nachweisbar ist.

FAQ zur KI-Dienstleistung

Fazit: KI-Dienstleistung mit klaren Rollen und belastbarer Dokumentation nutzen

Eine KI-Dienstleistung kann wirtschaftlich sinnvoll sein, erfordert aber eine klare rechtliche Einordnung. Vorrangig sollten Einsatzzweck, Datenarten, Rollen nach KI-Verordnung und DSGVO sowie die vertraglich geschuldete Leistung geklärt werden. Danach folgen Datenschutz, Schutz von Geschäftsgeheimnissen, Urheberrechte, Haftung, Schulung und laufende Kontrolle.

Besonders wichtig ist, KI-Ausgaben nicht als automatisch richtig oder rechtlich abgesichert zu behandeln. Je stärker ein System Entscheidungen über Menschen, Verträge oder Vermögenswerte beeinflusst, desto höher sind die Anforderungen an Prüfung und Dokumentation. Auftraggeber sollten Verträge konkretisieren und interne Nutzungsregeln schaffen. Anbieter sollten Leistungsgrenzen transparent machen und ihre Prüfprozesse nachweisbar organisieren.

Welche Pflichten im Einzelfall bestehen, hängt vom konkreten System, Einsatzbereich, Datenumfang und Vertrag ab. Eine frühzeitige Prüfung reduziert nicht jedes Risiko, erleichtert aber belastbare Entscheidungen.