KI-Werkzeug auswählen: der Fragenkatalog
Die meisten rechtlichen Probleme beim KI-Einsatz entstehen bei der Auswahl. Wer die richtigen Fragen vor dem Vertrag stellt, spart sich die schwierigen danach.
Über den Erfolg einer Einführung entscheiden Fragen, die einzeln klein wirken und zusammen den Ausschlag geben. Sie ersetzen keine Prüfung des Einzelfalls.
Welche Werkzeuge gemeint sind
Die Frage kommt meist zuerst, deshalb hier die Werkzeuge, um die es in der Praxis geht:
- Allgemeine AssistentenClaude, ChatGPT und Gemini, jeweils als Weboberfläche, als App oder über eine Schnittstelle. Der Unterschied zwischen privatem Konto und Unternehmenstarif ist rechtlich größer als der zwischen den Anbietern.
- In Microsoft 365 eingebettetMicrosoft 365 Copilot und weitere Assistenzfunktionen in Outlook, Teams und Word. Hier verschränken sich Bestandsdaten und Modellnutzung, was die Bewertung von der bestehenden Microsoft-Konstellation abhängig macht.
- In der EntwicklungGitHub Copilot und vergleichbare Assistenten in der Entwicklungsumgebung. Die eigenen Fragen dazu stehen unter KI in der Softwareentwicklung.
- Über eine Cloud-PlattformDieselben Modelle, bezogen über Azure, AWS oder Google Cloud. Vertragspartner ist dann der Plattformbetreiber. Die Bedingungen weichen von denen des Modellanbieters ab.
- Im eigenen BetriebOffen verfügbare Modelle wie Llama oder Mistral auf eigener oder gemieteter Infrastruktur. Der Datenabfluss entfällt, die Pflichten aus der KI-Verordnung entfallen nicht.
- In FachanwendungenAssistenzfunktionen, die ein Fachverfahren mitbringt. Hier ist häufig unklar, welches Modell dahintersteht und wohin die Eingaben gehen. Genau das gehört erfragt.
Zwei Punkte, die dabei oft unterschätzt werden. Erstens ist die Bezeichnung eines Tarifs keine Zusage. Dass ein Tarif als geschäftlich bezeichnet wird, sagt für sich genommen nichts darüber, wie mit Eingaben verfahren wird. Zweitens ändern sich die Bedingungen. Was bei der Auswahl geprüft wurde, gilt nicht dauerhaft. Die Änderungsmitteilung erreicht selten die Stelle, die den Vertrag bewertet hat.
In dieser Reihenfolge
Schritt 1: Einsatz beschreiben
Zweck, Datenarten, betroffene Personengruppen und die Frage, ob Entscheidungen über Menschen vorbereitet oder getroffen werden.
Schritt 2: Zulässigkeit und Einstufung
Ist der Einsatz überhaupt erlaubt, welche Risikoklasse liegt vor und sind Sie Anbieter oder Betreiber?
Schritt 3: Anbieter befragen
Die Fragen aus der Liste unten, schriftlich und vor dem Vertrag. Was mündlich zugesagt wird, gilt später nicht.
Schritt 4: Vertrag und Regelung
Die tragenden Zusagen in den Vertrag, der Rest in eine interne Nutzungsregelung, die den Beschäftigten klare Grenzen gibt.
Die Fragen an den Anbieter
- Werden Eingaben zum Training verwendet und lässt sich das vertraglich ausschließen?
- Werden Stimmen, Gesichter oder andere biometrische Merkmale verarbeitet?
- Wo wird verarbeitet und welche Unterauftragnehmer haben Zugriff?
- Wie lange werden Eingaben und Ergebnisse gespeichert und wer sieht sie?
- Welche Rechte werden an Eingaben und Ergebnissen eingeräumt?
- Gibt es eine Freistellung für Ansprüche Dritter und unter welchen Bedingungen?
- Welche Dokumentation stellt der Anbieter für Ihre eigenen Nachweispflichten bereit?
- Wie wird über wesentliche Änderungen an Modell und Funktionsumfang informiert?
- Was passiert mit den Daten am Ende des Vertrags?
Wie wir unterstützen
Wir führen den Katalog mit Ihnen durch, ordnen die Antworten rechtlich ein und verhandeln die Punkte, die in den Vertrag gehören. Daraus entsteht eine Nutzungsregelung, die in der Anwendung trägt und nicht nur im Ordner liegt.
Werkzeug in der Auswahl?
Wir stellen die Fragen, die später zählen, bevor der Vertrag steht.
Auswahl begleiten lassenHäufige Fragen
Womit fangen wir an?
Mit dem geplanten Einsatz, nicht mit dem Produkt. Zweck, Datenarten und betroffene Personengruppen bestimmen, welche Anforderungen überhaupt gelten. Ein Werkzeug, das für einen Zweck unbedenklich ist, kann für einen anderen erhebliche Pflichten auslösen.
Ist das für kleine Unternehmen nicht überzogen?
Der Umfang richtet sich nach dem Risiko. Für einen Assistenten, der Texte formuliert, genügen wenige Punkte und eine kurze Nutzungsregelung. Aufwendig wird es erst, wenn personenbezogene Daten in erheblichem Umfang oder Entscheidungen über Menschen betroffen sind.
Das Werkzeug läuft schon. Ist der Katalog jetzt sinnlos?
Nein, er wird zur Bestandsaufnahme. Die Punkte bleiben dieselben, nur die Verhandlungsposition ist schlechter. Was sich vertraglich nicht mehr ändern lässt, muss dann durch interne Regeln aufgefangen werden, etwa durch Vorgaben, welche Inhalte nicht eingegeben werden.
Welche Modelle und Dienste sind gemeint?
In der Praxis begegnen uns vor allem Claude, ChatGPT, Gemini, Microsoft 365 Copilot, GitHub Copilot und die Assistenzfunktionen, die in Microsoft 365 eingebettet sind. Dazu kommen offen verfügbare Modelle wie Llama oder Mistral, die im eigenen Betrieb laufen. Die rechtliche Bewertung hängt am Tarif und nicht am Namen. Derselbe Dienst kann als privates Konto, als Unternehmenstarif oder über eine Cloud-Plattform zu völlig unterschiedlichen Bedingungen laufen.