Wer KI-Dienste einkauft, schließt Verträge, die Daten, Haftung und Abhängigkeiten regeln. Diese Punkte sollten Einkauf, IT, Datenschutz und Recht gemeinsam prüfen.
- Datenverwendung: Werden Ihre Eingaben zum Training verwendet? Lässt sich das ausschließen? Was gilt für Ausgaben?
- Auftragsverarbeitung: Gibt es einen Vertrag nach Artikel 28 DSGVO, und wer sind Unterauftragnehmer?
- Verarbeitungsort: Wo werden Daten verarbeitet und gespeichert? Bei Übermittlung in Drittländer sind zusätzliche Anforderungen zu beachten.
- Vertraulichkeit und Sicherheit: Welche Maßnahmen und Nachweise nennt der Anbieter, etwa Zertifizierungen?
- Rechte an Ergebnissen: Wer darf Ausgaben nutzen, und welche Haftung besteht bei Urheberrechtsstreit?
- Ausstieg: Wie lassen sich Daten exportieren und löschen, und was gilt bei Preis- oder Modelländerungen?
Bitten Sie den Anbieter außerdem um Informationen, die Sie für Ihre eigenen Pflichten brauchen, etwa zur Einordnung nach EU AI Act und zur Gebrauchsanweisung. Dokumentieren Sie die Prüfung im KI-Inventar.
Dieser Text gibt Orientierung. Vertragsprüfung im Einzelfall übernehmen Fachjuristen.