Analyse · Veröffentlicht am 20. August 2026

Der wahre KI-Vertrag steht nicht im Vertrag, sondern in der Nutzungsrichtlinie

Bob Boole

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Der Einkauf bewertet ein KI-Spitzenmodell nach Leistung und Preis. Die eigentliche Grenze zieht ein Dokument, das der Anbieter allein schreibt und nach Ihrer Unterschrift durchsetzen kann.

Das Wichtigste

Wer ein KI-Spitzenmodell lizenziert, übernimmt automatisch die Nutzungsrichtlinie des Anbieters, die per Verweis Vertragsbestandteil wird und einen laufenden Betrieb nach der Unterschrift einschränken oder aussetzen kann.
Wo das Modell läuft, innerhalb der eigenen Vertrauensgrenze oder ausschließlich in der Cloud des Anbieters, entscheidet, wie stark Sie einer Richtlinienänderung oder externem Druck auf den Anbieter ausgesetzt sind.
Self-Hosting oder offene Gewichte verringern dieses Risiko, sind aber kein sauberer Ausweg: Lizenzen binden weiterhin, offene Modelle hinken der Spitze oft hinterher, und die Sicherheitslast geht auf Sie über.
Begriffe wie „menschliche Aufsicht“ verpflichten zu nichts, solange sie nicht als prüfbare Kontrollen formuliert sind. Klären Sie das vor der Unterschrift, nicht erst im Ernstfall.

So liest sich kein Vertrag laut vor: Die Leistungsfähigkeit wird demonstriert, der Preis wird verhandelt, der Sicherheitsfragebogen wird ausgefüllt. Dann fügt jemand im Rahmenvertrag einen Link ein, und dieser Link führt zu einer Richtlinie, die der Anbieter allein geschrieben hat und nach eigenem Zeitplan ändern kann. Verhandelt haben Sie diese Richtlinie nicht. Sie haben sie geerbt, und sie kann einen laufenden Betrieb noch lange nach der Unterschrift einschränken.

Lesen Sie den Vertrag deshalb wie ein Gegner: Klausel für Klausel, mit der Frage, was sie dem Anbieter an seinem schlechtesten Tag erlaubt. Leistung und Preis werden ohnehin geprüft. Vier Klauseln selten, und zusammen entscheiden sie, wie exponiert Sie sind. Was die Richtlinien des Anbieters verbieten. Wann der Anbieter den Stecker ziehen darf. Wo das Modell physisch läuft. Ob Ihre Governance-Formulierungen im Audit überhaupt etwas bedeuten. Dieser Beitrag geht jede Klausel durch und endet mit den Fragen, die Sie über den Tisch stellen sollten, und den Antworten, die den Deal stoppen sollten.

Was verpflichten Sie sich eigentlich, wenn Sie ein Spitzenmodell lizenzieren?

Ein Enterprise-Vertrag eines führenden KI-Labors lizenziert nicht nur ein Modell. Er zieht die eigenen Richtlinien des Anbieters per Verweis in die Vereinbarung, und er behält sich ein Aussetzungsrecht vor. Die Geschäftsbedingungen für Unternehmen von OpenAI enthalten eine ausdrückliche Aussetzungsklausel: OpenAI kann den Zugang aussetzen, wenn ein Sicherheitsrisiko, eine gesetzliche oder regulatorische Anforderung oder ein Verstoß gegen die eigenen Richtlinien plausibel erscheint. Genau diese Richtlinien, darunter die Nutzungsrichtlinie, werden über denselben Vertrag einbezogen, sodass ein Dokument, das der Anbieter einseitig bearbeiten kann, zu einer laufenden Vertragsbedingung wird. Nach unserer Einschätzung des Markts ist dieses Muster die Regel, nicht die Ausnahme. Die Nutzungsrichtlinie ist kein Kleingedrucktes. Sie kodiert die Risikobereitschaft des Anbieters, nicht Ihre, und sie legt fest, was Ihr Einsatz überhaupt darf.

Wie einseitig das tatsächlich ist, hängt von der Verhandlungsmacht ab. Einkäufer mit Hebelwirkung erstreiten sich mitunter Ankündigungsfristen für Richtlinienänderungen, Bestandsschutz für laufende Anwendungsfälle oder ein Kündigungsrecht bei wesentlichen Verschlechterungen. Die meisten fragen gar nicht erst danach, akzeptieren die verlinkte Richtlinie wie sie ist, und stoßen erst an ihre Grenzen, wenn aus einem Pilot-Chatbot ein Agent wird, der Produktivsysteme berührt. Genau in diesem Moment streift ein Anwendungsfall eine rote Linie, und der Einkäufer, der nur Leistung und Preis geprüft hat, merkt, dass die bindende Klausel eine Richtlinienseite war, die niemand geprüft hat.

Was passiert, wenn sich Anbieter und Staat über Ihr Modell uneinig sind?

Das ist längst keine Theorie mehr, seit Spitzenmodelle in Verteidigung und öffentliche Aufträge vordringen. Die Labore veröffentlichen Nutzungsrichtlinien, die bestimmte Einsatzzwecke einseitig ausschließen. Die Nutzungsrichtlinie von Anthropic schränkt etwa Überwachung und Teile des Strafverfolgungsbereichs ein, und genau dort, wo ein Anbieter solche Linien gegen einen mächtigen Kunden verteidigt, können die Regeln des Anbieters und die Forderungen eines Staates in entgegengesetzte Richtungen ziehen. Ein gewerblicher Kunde, der denselben Anbieter nutzt, hat in diesem Streit keinen Sitz am Tisch, erbt aber das Ergebnis. Zieht die Richtlinie an, ziehen Ihre erlaubten Anwendungsfälle mit. Gibt der Anbieter dem Druck nach, kann sich das Modell, auf das Sie angewiesen sind, mit wenig Vorwarnung verändern. Das, würden wir argumentieren, ist das eigentliche Gegenparteirisiko eines Spitzenmodell-Deals, und es liegt vollständig außerhalb des Preises.

Für ein deutsches Unternehmen kommt der Druck aus mehreren Richtungen zugleich, wenn auch anders gelagert als für Anbieter außerhalb der EU: Die KI-Verordnung gilt in Deutschland unmittelbar als EU-Recht und erfasst nach Artikel 2 Absatz 1 auch Anbieter und Betreiber außerhalb der Union, deren Ausgabe in der EU genutzt wird. Ein deutsches Unternehmen entkommt der Verordnung also ohnehin nicht, gleich ob der Anbieter in Kalifornien oder anderswo sitzt. Auf nationaler Ebene ist die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die KI-Verordnung vorgesehen, während die Aufsicht über personenbezogene Daten im Rahmen der DSGVO beim BfDI und den Landesdatenschutzbehörden verbleibt, sodass ein KI-Einsatz häufig zwei Aufsichtsregime gleichzeitig berührt. Eine international vergleichbare Denkweise liefert die Lieferketten-Leitlinie des britischen NCSC: Eine kritische Softwareabhängigkeit soll mit benannten Verantwortlichen und Ausstiegsplänen gesteuert werden, nicht vorausgesetzt, ein Prinzip, das sich mit dem IT-Grundschutz-Denken des BSI deckt. Ein Spitzenmodell, ohne das Ihr Produkt nicht funktioniert, ist genau eine solche Abhängigkeit. Für Mittelstand und öffentliche Hand verschärft sich diese Prüfung eher, als dass sie sich abschwächt: Selbst britische Leitlinien zur KI-Beschaffung verlangen inzwischen eine Planung über den gesamten Lebenszyklus, und wir lesen die Richtung so, dass auch deutsche Vergabestellen zunehmend werden nachweisen müssen, wie sie den Ausfall eines Anbieters überstehen würden.

Sollte das Modell innerhalb der eigenen Vertrauensgrenze laufen?

Die Frage, die ein guter Beschaffungsprozess zuerst stellen sollte und meist zuletzt stellt, ist, wo das Modell tatsächlich läuft. Lässt es sich innerhalb der eigenen Vertrauensgrenze betreiben, mit offenen Gewichten, on-premises, im Zweifel auch abgeschottet vom Internet, oder existiert es nur als Anfrage an eine fremde Cloud? Ein selbst gehostetes Modell ist isoliert davon, dass ein Anbieter seine Meinung ändert, und davon, dass jemand auf den Anbieter einwirkt, damit er sie für Sie ändert. Ein gemietetes Modell ist beidem ausgesetzt.

Self-Hosting ist Isolation, keine Immunität, und die Grenzen sollten klar benannt werden. Modelle mit offenen Gewichten stehen weiterhin unter Lizenzen, die kommerzielle oder hochriskante Nutzung einschränken können, der Download der Gewichte befreit also nicht von Bedingungen. Die stärksten offenen Modelle liegen zudem meist hinter den führenden geschlossenen zurück, Resilienz kann also Leistungsfähigkeit kosten. Und die Last für Sicherheit, Patches und Evaluierung, die bisher der Anbieter trug, geht auf Sie über. Für den Mittelstand, der selten eine eigene Sicherheitsabteilung vorhält, wiegt dieser Kompromiss besonders schwer. Der Kompromiss ist real, spricht bei einer regulierten, eingestuften oder souveränen Anwendung aber in der Regel für Kontrolle, genau die Disziplin, für die wir bei der Konzeption sicherer agentenbasierter Systeme plädieren, wo nie nur die Frage zählt, was ein Modell kann, sondern wer die Kontrolle behält, wenn sich Anreize verschieben.

Wozu verpflichtet „menschliche Aufsicht“ den Anbieter wirklich?

Es gibt ein leiseres Scheitern, und es versteckt sich in den Zusicherungen, bei denen Einkäufer sich am sichersten fühlen. „Menschliche Aufsicht.“ „Human in the loop.“ Solche Formulierungen bestehen jede Prüfung, weil alle zustimmend nicken und sich dabei etwas anderes vorstellen. Der eine Einkäufer liest „Human in the loop“ als eine Person, die jede folgenreiche Aktion freigibt. Der andere liest darin ein Dashboard, auf das wöchentlich jemand einen Blick wirft. Gleicher Wortlaut, gegensätzlicher Spielraum, und die Lücke zeigt sich erst während eines Vorfalls, im denkbar ungünstigsten Moment, um zu erfahren, wofür der Begriff eigentlich stand.

Lösen Sie jede solche Formel in etwas auf, das Sie in einem Audit auch verfehlen könnten. Das AI Risk Management Framework des NIST benennt die Methode unmissverständlich: menschliche und KI-Rollen definieren und trennen, den Aufsichtsprozess dokumentieren, Kontrollen von Drittparteien identifizieren, mit objektiven, wiederholbaren Test- und Validierungsverfahren arbeiten. Verwandeln Sie jede allgemeine Zusicherung vor der Unterschrift in eine konkrete, prüfbare Kontrolle. Wenn sich „Aufsicht“ nicht als Kontrolle formulieren lässt, an der man auch scheitern kann, ist es Dekoration. Denselben Punkt machen wir in unserem Beitrag zu praktischer KI mit menschlicher Kontrolle, wo der Mechanismus trägt und das Vokabular nicht.

Welche Fragen stoppen tatsächlich einen schlechten KI-Deal?

Due Diligence ist nur so gut wie die Fragen, bei denen Sie auch wirklich abbrechen würden. Stellen Sie einem Anbieter diese sieben Fragen der Reihe nach, und behandeln Sie die kursiv gesetzte Antwort als diejenige, die das Gespräch beenden sollte, oder es zumindest vor jeder Unterschrift zu Ihrer Rechtsabteilung trägt. Jede Frage bildet eine Klausel ab, die in Ihrem Vertrag bereits steht.

Welche Ihrer Richtlinien sind Bestandteil dieses Vertrags, und können Sie diese ohne meine Zustimmung ändern? Damit prüfen Sie die Klausel zur Einbeziehung per Verweis. Abbruchsignal: alle, änderbar nach freiem Ermessen, wirksam sobald wir sie veröffentlichen.
Unter welchen Bedingungen können Sie einen laufenden Einsatz aussetzen oder drosseln, mit welcher Frist und welcher Nachbesserungsmöglichkeit? Das ist die Aussetzungsklausel in Klartext. Abbruchsignal: sofort, nach eigenem Ermessen, ohne Frist, ohne Nachbesserung.
Wenn Sie die Nutzungsrichtlinie so ändern, dass mein Anwendungsfall nicht mehr funktioniert, bekomme ich Vorlauf und einen Ausstieg mit meinen Daten? Damit bepreisen Sie das Kündigungs- und Ausstiegsrecht bei Änderungen. Abbruchsignal: kein Ausstiegsrecht bei wesentlicher Verschlechterung, und die Kündigung zur Unzeit steht nur Ihnen zu, nicht uns.
Kann das innerhalb meiner eigenen Vertrauensgrenze laufen, in einer Private Cloud, on-premises oder abgeschottet, oder nur in Ihrer Cloud? Das entscheidet über Ihre Exponierung gegenüber allen vorherigen Antworten. Abbruchsignal: nur API-Zugriff in unserer Region ohne Isolationsoption, bei regulierten, eingestuften oder souveränen Anwendungen.
Wo werden meine Daten verarbeitet, von welchen Subunternehmern, und unter wessen rechtlichem Zwang könnten sie offengelegt werden? Damit kartieren Sie Jurisdiktion und Subunternehmerkette. Abbruchsignal: wir nennen keine Subunternehmer und verpflichten uns auf keine Verarbeitungsregion.
Formulieren Sie „menschliche Aufsicht“ als Kontrolle, an der ich auch scheitern könnte. Freigabe je Aktion liest sich sehr anders als ein wöchentliches Dashboard. Abbruchsignal: es ist, was auch immer wir umsetzen, und wir verpflichten uns zu nichts.
Wie viel Vorlauf gibt es, bevor Sie die von mir validierte Modellversion abkündigen oder wesentlich ändern? Modellwechsel können Ihre Tests über Nacht entwerten. Abbruchsignal: wir kündigen nach unserem Zeitplan ab, und Sie validieren auf eigene Kosten neu.

Nichts davon ist exotisch. Es ist Ihr eigener Vertrag, laut vorgelesen mit dem schlechtesten Tag des Anbieters im Kopf.

Der eigentliche Vertrag lebt an vier Stellen, die die Unterschriftenseite kaum erwähnt: den Richtlinien, auf die sie verweist, dem Moment, in dem der Zugang entzogen werden kann, der Cloud, in der das Modell läuft, und den Governance-Begriffen, die niemand in einen Test übersetzt hat. Prüfen Sie diese vier, in dieser Reihenfolge, und Sie kaufen eine Anbieterbeziehung, die sich zur Rechenschaft ziehen lässt. Überspringen Sie sie, und Sie kaufen eine Abhängigkeit, aus der Sie sich unter Druck nicht lösen können. Wenn Sie diese Disziplin in den Einkaufsprozess einbauen wollen, statt sie nachträglich aufzusetzen, setzt unsere Praxis technische Strategie genau dort an.

Häufige Fragen

Was sollte eine KI-Anbieter-Due-Diligence-Checkliste über Leistung und Preis hinaus abdecken?

Über Leistung und Preis hinaus gehört die Nutzungsrichtlinie und das Recht des Anbieters, sie zu ändern oder den Zugang auszusetzen, ebenso dazu wie das Einsatzmodell (ob das Modell innerhalb der eigenen Vertrauensgrenze laufen kann) und die genaue, prüfbare Bedeutung von Governance-Begriffen wie „menschliche Aufsicht“, geklärt vor der Unterschrift, nicht erst während eines Vorfalls.

Kann ein KI-Anbieter den Zugang zu einem bereits bezahlten Modell kappen?

In der Regel ja. Enterprise-Verträge, die die Richtlinien des Anbieters einbeziehen, behalten sich typischerweise ein Recht vor, den Zugang bei Richtlinienverstoß, gesetzlicher Anforderung oder einem Sicherheitsvorfall auszusetzen oder einzuschränken, so wie es die Geschäftsbedingungen von OpenAI tun. Vorlauffristen oder Ausstiegsrechte lassen sich mitunter verhandeln, und Self-Hosting oder offene Gewichte sind die wichtigste strukturelle Absicherung, wenn auch mit eigenen Lizenz- und Betriebsauflagen.

Warum führt „Human in the loop“ in KI-Verträgen zu Streit?

Weil der Begriff undefiniert bleibt. Zwei Parteien können denselben Wortlaut entweder als Freigabe je Aktion oder als gelegentliche Beobachtung lesen, sodass sich die Zusicherung erst im Ernstfall auflöst. Übersetzen Sie sie vorab in dokumentierte, prüfbare Kontrollen, etwa entlang des AI Risk Management Framework des NIST, und die Mehrdeutigkeit verschwindet.