KI-Lösungen: Verträge über die Nutzung von KI-Lösungen
Dr. Alesch Staehelin
Alesch Staehelin ist Rechtsanwalt in Zürich und als Partner der Kanzlei Uto Legal in den Bereichen «Data, IT/IP & Media» tätig: Er berät in Fragen des Datenschutzes, der IT-Sicherheit, der digitalen Transformation, der neuen Technologien (KI, IoT, VR, AR usw.), der sozialen Medien, des E-Commerce, von ESG, des Urheber-, Unterhaltungs- und Medienrechts, des Marken-, Designund Patentrechts (inkl. Know-how-Schutz) sowie des Wettbewerbsrechts, er entwirft, prüft und verhandelt Verträge aller Art (insbesondere in komplexen, zeitkritischen und grenzüberschreitenden Tech-Deals), er vermittelt in strittigen Projekten, und er führt Gerichts- und Schiedsverfahren. Zuvor leitete Alesch Staehelin seine eigene Kanzlei, und er war über ein Jahrzehnt Partner in einer anderen schweizerischen Anwaltskanzlei sowie Senior Corporate Counsel in diversen Managementfunktionen bei IBM.
Hinweis: Dieser Beitrag ist Teil des WEKA PLUS (W+) Abos und steht Ihnen für 48 Stunden kostenlos zur Verfügung. Mit der neuen W+ Membership profitieren Sie von exklusiven Fachbeiträgen und allen 1'100 Arbeitshilfen zum Sofort-Download. Jetzt W+ abonnieren und Member werden!
KI-Lösungen: Vorvertragliche Abklärungen
KI-Kundinnen haben einen Informationsnachteil und sollten daher in der Prüfungs- und Verhandlungsphase möglichst gründlich sein. Folgende Fragen stehen dabei im Vordergrund: AGB oder ausgehandelter Vertrag? KI-Nutzungsbeschränkungen? Wird die Anbieterin eine Beschreibung des KI-Modells offenlegen? Welche Daten wurden und werden für die Entwicklung und das Training des Modells verwendet? Verfügt die Anbieterin über alle erforderlichen Rechte zur Nutzung der Trainingsdaten? Was wird die Anbieterin mit den Inputs tun? Welche technischen Abhängigkeiten bestehen seitens der Anbieterin? Verfügt die Anbieterin über ein solides Datenschutz- und Sicherheitsprogramm? Unterhält die Anbieterin Kontrollen, um sog. Halluzinationen durch das KI-Modell zu verhindern oder einzuschränken? Verfügt die Anbieterin über ein Programm zum Überwachen und Einhalten aktueller und künftiger Gesetze und Vorschriften?
Regelungen betreffend Inputs
Die Kundin kann der Anbieterin verschiedene Inputs zur Verfügung stellen: Trainingsdaten, um das Basismodell zu «tunen», Testdaten, um das Modell vor dem Produktionseinsatz zu testen, und «Prompts», um den Output während des Produktionseinsatzes zu erzeugen. Eine umsichtige Kundin kann der Anbieterin vertraglich verbieten wollen, die Inputs und das «getunte» Modell zum Nutzen des Anbieters oder anderer Kunden zu verwenden. Viele Anbieterinnen werden sich jedoch angesichts der branchenüblichen Verwendung von Inputs zur Verbesserung der Gen-KI dagegen wehren.
Kundinnen sollten sich nicht auf «Eigentums»-Bestimmungen verlassen, um die Verwendung und Weitergabe von Inputs durch die Anbieterin zu beschränken, denn «Eigentum» an den Inputs (soweit rechtlich überhaupt möglich) bietet nicht immer die notwendigen Mittel, um der Anbieterin zu verbieten, die Inputs zum Nutzen anderer Kunden zu verwenden oder sie an Dritte weiterzugeben.
Die Kundinnen sollten sicherstellen, dass sie über alle erforderlichen Rechte und Genehmigungen verfügen, um der Anbieterin die Eingaben zum Zweck der Bereitstellung der Gen-KI und der Schulung des Modells offen zu legen und davon absehen, Eingaben offen zu legen, die Geschäftsgeheimnisse oder personenbezogene Daten enthalten, es sei denn, die Anbieterin stimmt ausreichenden Einschränkungen hinsichtlich der Verwendung und Offenlegung solcher Eingaben zu. Auch wenn eine Kundin Inputs als «ihre Daten» betrachtet, können verschiedene Gesetze und Verträge mit Dritten es der Kundin verbieten, der Anbieterin Inputs zum Zweck der Bereitstellung von Gen-KI offenzulegen.
Seminar-Empfehlungen
Bestimmungen über die Outputs
Ein Output, der von der Kundin intern oder für den persönlichen Gebrauch verwendet wird, birgt meist ein geringeres Risiko als ein Output, den die Kundin vermarkten oder in externe Produkte, Dienstleistungen oder Marketing einbinden wird. In jedem Fall sollte die Kundin sicherstellen, dass der Vertrag der Kundin das unbefristete, unwiderrufliche, unentgeltliche Recht und die Lizenz zur Nutzung des Outputs für alle von der Kundin beabsichtigten Zwecke einräumt und keine Nutzungsbeschränkungen enthält, die die vorgesehene Nutzung des Output durch die Kundin untersagen. Dadurch wird sichergestellt, dass die Kundin den Output wie beabsichtigt und frei von möglichen Ansprüchen der Anbieterin nutzen kann.
Ist für die Kundin wichtig, anderen die Nutzung des Output zu untersagen, kann sie von der Anbieterin verlangen, dass sie ihr alle Rechte am geistigen Eigentum (z.B. das Urheberrecht) am Output überträgt. In der Praxis bietet dies der Kundin aber oft nicht mehr als wiederum die Möglichkeit, den Output wie beabsichtigt und frei von möglichen Ansprüchen der Anbieterin zu nutzen, da die Frage, ob Immaterialgüterrechte auf von Gen-KI erzeugte Ergebnisse anwendbar sind oder nicht, rechtlich offen ist und von Fall zu Fall geprüft werden muss.
Nahezu unmöglich ist es, Dritten zu verbieten, die von Gen-KI entwickelte Leistung zu «stehlen». Entsprechend können Kundinnen grosse Schwierigkeiten haben, Output zu vermarkten, der der Öffentlichkeit zugänglich ist (z.B. Bilder, Geschichten, Drehbücher usw.), da sie möglicherweise nicht über die erforderlichen Immaterialgüterrechte verfügen, um andere daran zu hindern, diesen Output zu kopieren und zu vermarkten, und da sie nicht über eine Vereinbarung verfügen, die solche Aktivitäten ausdrücklich untersagt. Wenn die Möglichkeit, andere an der Nutzung des Outputs zu hindern, von entscheidender Bedeutung ist, sollten die Kundinnen also grundsätzlich überlegen, ob Gen-KI überhaupt das geeignete Werkzeug für das Erstellen solchen Materials ist.
Kundinnen können auch Klagen Dritter ausgesetzt sein, die geltend machen, dass der Output ihre Immaterialgüter- oder Datenschutzrechte verletzt. Vorsichtige Kundinnen wollen Vertragsbestimmungen, die diese Haftung auf die Anbieterin verlagern. Fast alle Anbieterinnen werden die Kundinnen jedoch nicht vor diesem Risiko schützen, da es sich hierbei vielleicht um die grösste «Black Box» im Zusammenhang mit Gen-KI handelt und das Risiko unter den derzeitigen rechtlichen Rahmenbedingungen schwer zu quantifizieren bzw. zu mindern ist.
KI-Lösungen: Dauerthema Compliance
Im Idealfall möchten die Kundinnen ausdrückliche Bestimmungen in den Vertrag aufnehmen, die die Anbieterinnen verpflichten, alle derzeit und künftig geltenden Gesetze und Vorschriften einzuhalten. Wenn die Anbieterin hierzu nicht bereit ist, kann die Kundin verlangen, dass es ihr erlaubt ist, die Anbieterin und ihre Musterschulungspraktiken zu überprüfen, und die Anbieterin verpflichten, bei den Bemühungen der Kundin um das Einhalten gesetzlicher Vorschriften mitzuwirken und mit der Kundin im Zusammenhang mit behördlichen Untersuchungen oder Ermittlungen zusammenzuarbeiten.
Wenn die Eingaben personenbezogene Daten enthalten, muss die Kundin der Anbieterin zwingend solide Datenschutz- und Sicherheitspflichten auferlegen. Diese Verpflichtungen betreffen das Einhalten von Datenschutzgesetzen, das Implementieren von Datensicherheitssystemen, die Meldung von Datenschutzverletzungen usw. Typischerweise wehren sich die Anbieterinnen gegen solche Verpflichtungen; manche verbieten gar ihren Kundinnen, Inputs zu liefern, die personenbezogene Daten enthalten.
Schliesslich kann Output auch zu einer Haftung gegenüber Dritten führen, die über die Verletzung von Immaterialgüter- und Datenschutzrechten hinausgeht: Der Output kann etwa Material enthalten, das verleumderisch oder diskriminierend ist. Wenn möglich, wird eine Kundin von der Anbieterin verlangen, dass sie sicherstellt, dass die Gen-KI keinen solchen Output erzeugt. Es ist jedoch unwahrscheinlich, dass eine Anbieterin solche Garantien abgibt. Das Risiko lässt sich mindern, indem jeglicher Output vor dem Einsatz erst von Menschen kontrolliert wird.
Risikoverteilung
Bestimmungen zur Risikoverteilung beziehen sich in der Regel auf Zusicherungen, Gewährleistungen, Freistellungen und Haftungsbeschränkungen, die das Risiko im Zusammenhang mit den im jeweiligen Vertrag vorgesehenen Transaktionen ausschliessen, übertragen und begrenzen. Bei der Nutzung von Gen-KI-Lösungen gemäss AGB sollte die Kundin die Bestimmungen zur Risikozuweisung sorgfältig prüfen. Die meisten Anbieterinnen werden so viel Risiko wie möglich auf ihre Kunden abwälzen und ihr eigenes Risiko so weit wie möglich begrenzen. Die Anbieterinnen tun dies auf verschiedene Weise: Erstens verlangen sie meist, dass die Kunden zusichern und gewährleisten, dass sie alle erforderlichen Genehmigungen und Lizenzen erworben haben, um den Input für die Nutzung durch Gen-KI bereitzustellen. Zweitens schränken die Anbieterinnen ihr Risiko gegenüber den Kunden ein oder eliminieren es nahezu. Fast alle Gen-KI-AGB enthalten Haftungsausschlüsse, wonach die Anbieterin keine Zusicherungen oder Garantien hinsichtlich der Beschaffung von Trainingsdaten, des Trainings des Modells oder des Output gibt. Schliesslich sehen die meisten Anbieterinnen sehr strenge Bestimmungen über den Verzicht auf Folgeschäden und Haftungsbeschränkungen vor.
