KI beschaffen als Behörde: Vertragsbedingungen, Rollen und Exit
Kurz gesagt
Beim Beschaffen von KI regeln Sie drei Dinge: was mit Ihren Daten geschieht, wer welche Rolle nach der KI-Verordnung hat und wie Sie wieder herauskommen. Die Europäische Kommission hat Mustervertragsklauseln für die öffentliche Beschaffung von KI veröffentlicht, in einer Fassung für Hochrisiko-KI und einer leichten Fassung. Nutzen Sie sie als Checkliste neben Ihren eigenen Einkaufsbedingungen.
Musterklauseln als Ausgangspunkt
Die Europäische Kommission ließ Mustervertragsklauseln für die Beschaffung von KI durch öffentliche Stellen erarbeiten, mit einer Fassung für Hochrisiko-KI und einer leichteren für den Rest. Sie behandeln Transparenz, Risikomanagement, Datenqualität, menschliche Aufsicht und Sicherheit.
Es sind Arbeitsdokumente, kein Gesetz. Sie sind aber aus den Pflichten geschrieben, die die KI-Verordnung den Betreibern auferlegt, und taugen daher als Checkliste. In der Praxis werden sie mit den eigenen IT-Einkaufsbedingungen der Verwaltung kombiniert.
Welche Rolle haben Sie selbst?
Die KI-Verordnung legt die schwersten Pflichten auf den Anbieter eines KI-Systems und leichtere, aber reale Pflichten auf den Betreiber. Eine Behörde ist meist Letzteres. Doch Vorsicht: Bringen Sie ein System unter eigenem Namen in Verkehr oder verändern Sie ein bestehendes System wesentlich, können Sie selbst als Anbieter gelten.
Fragen Sie deshalb in jeder Vergabe ausdrücklich: Welche Rolle übernimmt der Anbieter, welche Dokumentation liefert er, und welche Pflichten bleiben bei uns? Siehe Einen KI-Anbieter bewerten.
Was Sie in jedem Fall festlegen
- Daten: kein Training mit Ihren Daten, von Ihnen einstellbare Speicherfristen und Verarbeitung in der EU.
- Zugriff: welche Unterauftragsverarbeiter herankommen und ob eine Partei nichteuropäischem Recht unterliegt. Siehe Der CLOUD Act und Ihre europäischen Daten.
- Protokollierung: ein Audit-Log, das Sie in Ihr Monitoring exportieren können, mit einer Frist, die zur KI-Verordnung und zu Ihren Aufbewahrungspflichten passt.
- Änderungen: Vorabmeldung bei neuem Modell oder neuen Bedingungen, denn ein Modellwechsel verändert die Ergebnisse.
- Exit: Rückgabe von Daten, Konfiguration und Automatisierungen sowie die Möglichkeit, das Modell zu wechseln. Siehe Open-Weight-Modelle vergleichen.
Wie werqly sich dazu verhält
Bei werqly läuft die KI auf einem Node Ihrer eigenen Organisation, mit Open-Weight-Modellen. Damit ist ein Teil der Beschaffungsfragen leicht zu beantworten: kein Training mit Ihren Daten durch Dritte, kein ausländisches Recht über die Inhalte und keine Kette von Unterauftragsverarbeitern in der Verarbeitung. Die Fragen zu Protokollierung, Updates, Support und Exit bleiben und gehören in den Vertrag.
Siehe KI für Kommunen und Verwaltung und Generative KI in Kommunen.
Häufige Fragen
Fragen zu diesem Thema
Gibt es Musterklauseln für die KI-Beschaffung?
Ja. Die Europäische Kommission veröffentlichte Mustervertragsklauseln für die Beschaffung von KI durch öffentliche Stellen, in einer Fassung für Hochrisiko-KI und einer leichten Fassung. Es sind Arbeitsdokumente, folgen aber den Pflichten der KI-Verordnung.
Ist eine Behörde Anbieter oder Betreiber?
Meist Betreiber: Sie setzen das System eines Anbieters ein. Bringen Sie ein System unter eigenem Namen in Verkehr oder verändern es wesentlich, können Sie selbst als Anbieter gelten, mit schwereren Pflichten.
Was muss zum Exit im Vertrag stehen?
Wie Sie Daten, Konfiguration und Automatisierungen zurückerhalten, in welchem Format und in welcher Frist, und ob Sie das Modell wechseln können, ohne alles neu zu bauen. Halten Sie auch fest, was beim Ende der Unterstützung eines Modells geschieht.
Müssen wir KI ausschreiben?
Das hängt vom Auftragswert und Ihrem Vergaberecht ab, wie bei anderer IT auch. Neu ist vor allem der Inhalt der Leistungsbeschreibung: die Rollenverteilung nach der KI-Verordnung, die Vereinbarungen zu Daten und Protokollierung sowie die Exit-Regelungen.
Quellen
- Europäische Kommission — Public Buyers Community, Musterklauseln für die KI-Beschaffung
- KI-Verordnung — Verordnung (EU) 2024/1689, Artikel 16, 25 und 26
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.