Welche Vertragsklauseln sollten Modeunternehmen bei KI-Anbietern prüfen?

Formulierungen, die KI erwähnen, erschienen in 53 Prozent der Cloud-Service-Verträge, die im Jahr bis Juni 2026 unterzeichnet wurden, gegenüber 47 Prozent im Jahr 2025 und 38 Prozent im Jahr 2024. Etwa einer von fünf Verträgen wird nun mit KI-spezifischen Änderungen der Standardbedingungen verhandelt, gegenüber weniger als 4 Prozent im Jahr 2024. Führungskräfte in Modeunternehmen, die Nachfrageprognose-, Virtual-Try-on-, Personalisierungs- oder Supply-Chain-Tools einkaufen, müssen vor der Unterzeichnung Fragen zu geistigem Eigentum, Datennutzung, Freistellungsumfang, Datenspeicherort, Haftungsobergrenzen, Leistungsverpflichtungen, Kündigungsrechten und Portabilität klären.

Die Integration von KI in kommerzielle Produkte und Unternehmenssoftware-Verträge hat eine Überprüfung langjähriger Vertragsstrukturen erzwungen. Der bessere Ansatz für Käufer wie Verkäufer ist es, KI-Risiken in den Kern des Vertrags zu integrieren, einschliesslich in die IP-Bestimmungen, das Haftungssystem, die Datenschutz-Klauseln, die Compliance-Aufteilung und die Service-Level-Verpflichtungen.

Wem gehören Trainingsdaten und Modellausgaben?

Die Parteien müssen die Eigentumsverhältnisse an KI-Ausgaben klären, eine komplexe Frage, da rein KI-generierte Inhalte möglicherweise keinen Urheberrechtsschutz geniessen. Verträge sollten explizite Eigentumsklauseln enthalten, die festlegen, welche Partei die Ausgaben besitzt, einschliesslich aller abgeleiteten Werke. Leitlinien des U.S. Copyright Office und jüngste Gerichtsentscheidungen zeigen, dass rein KI-generierte Werke ohne bedeutende menschliche Mitwirkung nicht für die Urheberrechtsregistrierung in Frage kommen und dass Prompts allein im Allgemeinen nicht ausreichen, um als Urheberschaft zu gelten.

Gemäss den bezahlten und geschäftlichen Bedingungen von OpenAI, Anthropic, Google, Microsoft und AWS gehören Ihnen die Ausgaben oder der Anbieter verzichtet auf Ansprüche. Ein gehosteter Anbieter übergibt nicht das Basismodell, und ein Modell, das Sie auf der gehosteten Infrastruktur von OpenAI oder Anthropic feinabstimmen, wird als vom Anbieter gehosteter Endpunkt zurückgegeben und nicht als übertragbare Gewichte. Wenn Kundendaten zur Feinabstimmung oder Verbesserung eines Anbietermodells verwendet werden, müssen die Parteien festlegen, ob der Anbieter diese Verbesserungen für andere Kunden nutzen darf oder ob der Kunde proprietäre Rechte behält.

Der Vertrag sollte Trainingsdaten getrennt von Kundendaten definieren und klarstellen, ob der Anbieter Eingaben oder Ausgaben zum Trainieren von Foundation-Modellen verwenden darf. Formuliert, als «Verbesserung des Produkts» noch das Beheben von Fehlern und Hinzufügen von Funktionen bedeutete, deckt derselbe Wortlaut im Jahr 2026 das Training eines Foundation-Modells mit Kundeneingaben ab. Der vertretbare Vertragsstandard für KI-fähige SaaS im Jahr 2026 umfasst fünf Komponenten, beginnend mit standardmässig deaktiviertem Training: Der Vertrag verbietet die Nutzung von Kundendaten für Training, Feinabstimmung, verstärkendes Lernen oder Benchmarking jeglicher KI-Modelle ohne vorherige schriftliche Zustimmung eines benannten Kundenzeichnungsberechtigten.

Welche IP-Freistellungsschutzrechte sollten Käufer fordern?

KI-Freistellungen versprechen routinemässig, Ansprüche abzuwehren, dass die Dienste oder die Software verletzen, was Ansprüche aus Ausgaben ausserhalb des Versprechens lässt. Eine Freistellung, die gegen die «Dienste» oder die «Software» geschrieben ist und Ausgaben nie erwähnt, lässt den Anspruch, dem Sie am wahrscheinlichsten gegenüberstehen, ausserhalb des Versprechens. Käufer sollten breite Freistellungen fordern, die die Nutzung des KI-Systems und der Ausgaben abdecken, alle Ansprüche Dritter wegen Verletzung geistigen Eigentums, die aus der Nutzung von Ausgaben oder Trainingsdaten entstehen, sowie alle Verletzungen von Datenschutzrechten oder Vertraulichkeit.

KI-Freistellung bei Unternehmensverträgen ist die fluideste Vertragsklauselkategorie im Jahr 2026. 47 Prozent enthalten KI-Freistellung innerhalb der allgemeinen Haftungsobergrenze, 31 Prozent nutzen eine dedizierte erhöhte Obergrenze beim 2- bis 3-Fachen, 22 Prozent enthalten unbegrenzte IP-Freistellung. Eine KI-Klausel verpflichtet Sie, dafür einzustehen, wie ein KI-Anbieter sein Modell trainiert hat, was Sie nicht überprüfen können. Gepaart mit einer unbegrenzten Freistellung ist dies die Klausel, die einem kleinen Unternehmen am meisten schaden kann. Kunden sollten Anbieterdarstellungen zur Herkunft der Trainingsdaten und zur Einhaltung der Gesetze zum geistigen Eigentum sorgfältig prüfen.

Wo müssen Daten gespeichert und verarbeitet werden?

Die EU schreibt keine physische Datenlokalisierung vor. Der EU AI Act (vollständig anwendbar ab August 2026) verlangt bei Hochrisiko-KI-Systemen dokumentierte Datenverwaltung, Erkennung und Korrektur von Verzerrungen sowie Datensätze, die die spezifischen Merkmale der Einsatzumgebung widerspiegeln. Das Gesetz schreibt keine EU-Datenspeicherung vor, aber die Verarbeitung in Europa zu belassen macht die Verwaltung und Prüfungspfad einfacher nachweisbar. Die GPAI-Verpflichtungen des EU AI Act traten im August 2025 in Kraft. Sie schreiben keine Datenspeicherung vor, erhöhen aber die Anforderungen an Transparenz und Trainingsdaten-Dokumentation, was einfacher nachweisbar ist, wenn die Verarbeitung in Europa bleibt.

Mistral (französisch, EU-nativ, alle Daten EU), Aleph Alpha (deutsch, nur EU), Anthropic Claude via AWS-EU-Region (mit Enterprise-Vertrag), OpenAI Enterprise mit Frankfurt-Region (verfügbar seit 2024), Google Vertex AI mit europe-west-Region (Belgien/Frankfurt) und Microsoft Azure OpenAI Service mit West-Europe-Region bieten EU-Datenspeicherungsoptionen. Der Preisaufschlag für OpenAI-Datenspeicherung beträgt 10 Prozent für berechtigte Modelle, die am oder nach dem 5. März 2026 veröffentlicht wurden. Datenspeicherungs-Endpunkte tragen einen Aufschlag von 10 Prozent für berechtigte Modelle, die am oder nach dem 5. März 2026 veröffentlicht wurden.

Prüfen Sie Datenverarbeitungsverträge auf KI-spezifische Klauseln. Viele DPAs wurden vor generativer KI verfasst und behandeln keine Trainingsdaten oder Inferenz-Datenspeicherung. Modeunternehmen, die personenbezogene Daten verarbeiten, sollten die Rechenzentrumsregion, den Verarbeitungsort für Inferenz, die Speicherung für Backups und ob Unterauftragsverarbeiter gleichwertige Datenspeicherungsverpflichtungen haben, festlegen.

Wie sind Haftungsobergrenzen und Haftungsausschlüsse strukturiert?

Standard-SaaS-Verträge für KI-Produkte enthalten häufig breite Haftungsausschlüsse, die jegliche Gewährleistung hinsichtlich Genauigkeit oder Eignung für einen bestimmten Zweck verwerfen. Wenn KI in Kerngeschäftsprozesse eingebettet ist und Ergebnisse wichtig sind, sind Käufer zunehmend nicht bereit, eine gewährleistungsfreie Haltung zu akzeptieren. Mehr Verträge enthalten Verpflichtungen zu Leistungsbenchmarks, Genauigkeitsschwellenwerten und Verpflichtungen zur Abhilfe, wenn Ausgaben unzureichend sind.

Anbieter konzentrieren sich hauptsächlich darauf, sich gegen Haftung für KI-Ausgaben zu verteidigen. In Verträgen zeigt sich dies als neue «KI-Konfiguration und Haftung»-Formulierungen wie: Der Kunde kontrolliert, wie sich die KI verhält, daher ist der Kunde für ihre Ausgaben verantwortlich, und der Anbieter garantiert nicht, dass KI-generierte Ergebnisse genau sind. Der Berater haftet nicht für Entscheidungen oder Handlungen des Kunden (oder Dritter), die auf KI-Ausgaben basieren.

Ausschlüsse und Haftungsobergrenzen sollten nicht rechtswidrig die Haftung für Personenschäden, Betrug oder vorsätzliches Fehlverhalten ausschliessen. Anforderungen zur Aufrechterhaltung einer Berufs- oder Cyber-Versicherung, die KI-bezogene Risiken und Ansprüche Dritter abdeckt. Käufer sollten Haftungsobergrenzen für KI-spezifische Schäden anpassen, bestimmte Kategorien (z.B. Datenschutzverletzungen, IP-Verletzungen, vorsätzliches Fehlverhalten, behördliche Bussen) von Haftungsbeschränkungen oder -ausschlüssen ausnehmen und Freistellungsverpflichtungen an den Ort des tatsächlichen Risikos anpassen.

Welche Leistungs-SLAs sollten Verträge enthalten?

Die SLA-Benchmarks für 2026 umfassen Verfügbarkeits-SLA bei 99,5 Prozent bis 99,99 Prozent, Antwortzeit unter 500 ms bis 5 Sekunden, Incident-Response 1-4 Stunden SLA und Modellgenauigkeit selten angeboten. Anspruchsvolle Käufer drängen auf serviceorientierte Bedingungen: definierte Servicebeschreibungen, leistungsbasierte Gewährleistungen, Verwaltungs- und Prüfungsrechte sowie ergebnisgebundene Haftungsstrukturen.

Modeunternehmen sollten Verfügbarkeitsverpflichtungen mit Service-Credits, Antwortzeitzielen für API-Aufrufe, definierten Incident-Response-Fenstern nach Schweregrad und wo möglich minimale Genauigkeitsschwellenwerte für kritische Anwendungsfälle wie Nachfrageprognosen oder Grössenempfehlungen verhandeln. Ein gut formulierter KI-Vertrag spiegelt den spezifischen Anwendungsfall und das tatsächliche Risikoprofil des Geschäfts wider. Der Vertrag sollte definieren, was einen Ausfall darstellt, wie Ausfallzeit gemessen wird, Berechnungsmethoden für Credits und etwaige Ausschlüsse.

Welche Kündigungs- und Datenportabilitätsrechte sind erforderlich?

Ab dem 12. September 2025 müssen SaaS-Anbieter Kunden ermöglichen, den Wechselprozess mit einer maximalen Kündigungsfrist von zwei Monaten einzuleiten. Dies wird eine ähnliche Wirkung haben wie die Erlaubnis einer vorzeitigen Kündigung aus Bequemlichkeit. Tatsächlich gibt das Datengesetz allen Cloud-Kunden das Recht, ihren Vertrag jederzeit zu beenden, unabhängig von der Vertragslaufzeit. Nutzer müssen SaaS-Verträge mit maximal zweimonatiger Frist kündigen dürfen. Anbieter dürfen für Datenübertragungen keine Gebühren erheben oder restriktive Migrationsprozeduren auferlegen.

Verhandeln Sie Datenaustrittsbedingungen im Voraus: Legen Sie fest, dass der Anbieter bei Kündigung aus beliebigem Grund einen vollständigen Export Ihrer Daten in einem Standardformat (z.B. CSV oder JSON) ohne zusätzliche Kosten innerhalb von 30 Tagen bereitstellen muss. Ohne explizite Formulierungen zur Datenportabilität, zum Exportformat und zum Aufbewahrungsfenster nach Kündigung haben Kunden kein vertragliches Recht auf ihre Daten nach der Kündigung, eine Anforderung gemäss DSGVO Artikel 28(3)(g) und eine standardmässige Unternehmensredline. Die Abonnementvereinbarung sollte Datenportabilitätsrechte, Exportformate und ein Aufbewahrungsfenster nach Kündigung, typischerweise 30 bis 90 Tage, festlegen. DSGVO Artikel 28(3)(g) verlangt von Auftragsverarbeitern, alle personenbezogenen Daten nach Ende der Dienstleistungen zu löschen oder zurückzugeben. Bei KI-fähiger SaaS muss der Vertrag separat die Löschung von Modellgewichten, Embeddings oder abgeleiteten Artefakten verlangen, die auf Kundendaten trainiert wurden.

Der Vertrag sollte Datenformate (CSV, JSON, Parquet) auflisten, festlegen, ob API-Zugang für eine Übergangszeit fortbesteht, die Frist für Löschungsbestätigung klären und behandeln, was mit feinabgestimmten Modellen, Embeddings oder KI-generierten Erkenntnissen geschieht, die aus Kundendaten abgeleitet wurden. Vertragslückenanalysen zeigen, dass 30 Prozent der KI-Unternehmensverträge keine Klauseln zur Datenportabilität bei Austritt enthalten.

Checkliste für Verhandlungen

• Definieren Sie Trainingsdaten getrennt von Kundendaten; verlangen Sie Opt-in-Zustimmung, bevor eines davon zum Trainieren oder Feinabstimmen von Modellen verwendet wird
• Sichern Sie sich die explizite Übertragung aller Eigentumsrechte an Ausgaben, die der Anbieter hält, plus eine Lizenz für alles, was er nicht übertragen kann
• Fordern Sie IP-Freistellung, die Ausgaben und Trainingsdaten abdeckt, nicht nur die Software oder den Dienst; klären Sie die Obergrenzstruktur
• Legen Sie Rechenzentrumsregion, Inferenzverarbeitungsort, Backup-Speicherung und Datenspeicherungsverpflichtungen von Unterauftragsverarbeitern fest
• Verhandeln Sie Verfügbarkeits-SLA (99,9 Prozent minimum), Antwortzeitzielen, Incident-Response-Fenstern und, wo machbar, Genauigkeitsschwellenwerten
• Fügen Sie Kündigungsrechte mit maximal zweimonatiger Frist hinzu, Datenexport in Standardformaten ohne Kosten innerhalb von 30 Tagen
• Verlangen Sie die Löschung von Modellgewichten, Embeddings und abgeleiteten Artefakten, die auf Kundendaten trainiert wurden, bei Kündigung
• Nehmen Sie Datenschutzverletzungen, IP-Verletzungen, vorsätzliches Fehlverhalten und behördliche Bussen von Haftungsobergrenzen aus
• Fordern Sie eine 30- bis 90-tägige Übergangsunterstützungsperiode mit fortgesetztem API-Zugang für Datenextraktion

Für Fälle, in denen KI ein zentrales Thema ist, kann ein KI-Addendum zum Hauptvertrag hinzugefügt werden, um Datennutzung, geistiges Eigentum, Trainingsrechte, Haftung und ethische Überlegungen abzudecken.