KI-as-a-Service (KIaaS) und Recht – Herausforderungen, Lösungen, Anwendungsfälle

Künstliche Intelligenz as a Service (kurz KIaaS) ist die jüngste Variante des bereits weit verbreiteten Geschäftsmodells Software as a Service (SaaS). Kern des Konzepts ist die cloudbasierte Bereitstellung von KI-Software inklusive der dazugehörigen Begleitleistungen. Die ergänzenden Leistungen schaffen ein nutzerfreundliches Endprodukt, ohne dass tiefes technisches Know-how erforderlich ist.

KIaaS zeichnet sich durch einen anwenderfreundlichen Zugang zu KI aus. Die Kundschaft wird nicht mit einem einzelnen Produkt allein gelassen, sondern erhält Zugang zu einem bestehenden KI-Modell, das kontinuierlich weiterentwickelt und verbessert wird. Diese Hauptkomponente der Leistung wird regelmäßig durch eine Vielzahl variabler Nebenleistungen flankiert, die dem Kunden optimierte Integrationsmöglichkeiten bieten. Kennzeichnend ist, dass kein einmaliger Softwarekauf erfolgt, sondern Nutzungslizenzen für das KI-Modell im Rahmen eines Dauerschuldverhältnisses erworben werden. Vereinfacht lässt sich das Konzept als Abo-Modell für nutzerfreundliche KI beschreiben.

KIaaS hat den entscheidenden Vorteil, dass die hohen technischen Grundanforderungen der Erstellung und des Trainings einer KI durch die Vorarbeit professioneller Anbietender ausgelagert werden. Durch das kontinuierliche Training der KI auf professionellem Niveau bleibt diese auch technisch auf dem neuesten Stand. Auch die Anforderungen an den Betrieb der KI, wie die Bereitstellung ausreichender Rechenleistung und Wartungsmaßnahmen im Sinne von Updates und Support, werden durch den Anbietenden abgedeckt.

Natürlich hat KIaaS auch Nachteile gegenüber dem herkömmlichen Kauf von KI und dem eigenen Betrieb der Software. Durch die Nutzung eines fremden KI-Modells, auf das man nur bedingt oder gar keinen Einfluss hat, begibt man sich in ein Abhängigkeitsverhältnis. Insbesondere bei Performanceproblemen oder Serverausfällen gibt es kaum Möglichkeiten, den Problemlösungsprozess zu beschleunigen. Auch Anpassungsmöglichkeiten bestehen nur im Rahmen des vom Anbieter angebotenen Leistungsspektrums. Aus diesen und weiteren Gründen ist ein sorgfältiger Auswahlprozess bei der Providerwahl entscheidend, um Risiken zu minimieren und den bestmöglichen Fit für das eigene Unternehmen zu finden.

KI kann durch Training auf spezifischen Daten für bestimmte Zwecke individualisiert werden, um bessere Ergebnisse für bestimmte Aufgabentypen zu erzielen. Grundlage für ein solches individualisiertes Training sind sogenannte Basismodelle, die für eine Vielzahl von Anwendungsfällen trainiert wurden, um ein formbares Grundmodell für eine spätere Spezialisierung bereitzustellen.
Angebote für individualisiertes KI-Training sind zwar noch nicht im Massenmarkt angekommen, aber es gibt bereits erste Anbieter und die Prognosen für die wirtschaftliche Entwicklung lassen ein starkes Wachstum der Branche erwarten.

Die aaS-Modelle im Allgemeinen kombinieren eine Vielzahl verschiedener Leistungen und werden von der Rechtsprechung daher als typengemischte Verträge eigener Art (sui generis) angesehen. Die Gewichtung der Leistungskomponenten kann je nach Ausarbeitung des Produktbündels variieren. Dies gilt gleichermaßen für KIaaS. Während bei KI-Anbietern, die lediglich die Ergebnisse aus einzelnen Berechnungen ihres KI-Modells an den Kunden herausgeben, vertragstypologisch Werk- oder Dienstverträge in Betracht kommen, sind Geschäftsmodelle, bei denen die KI als Software dem Kunden zum Gebrauch auf Zeit überlassen wird, schwerpunktmäßig als Mietverträge einzuordnen. Im Fall der Vereinbarung eines individualisierten Trainings der KI kann es innerhalb der Abwägung der Typenmischung zu einer Verlagerung zugunsten eines Werkvertrags kommen. Allgemeingültig ist, dass für die Bestimmung des einzelnen Vertragstyps die Auswertung der konkreten Umstände des Sachverhalts notwendig ist.

Zwingende Voraussetzung eines guten Vertrags ist, dass der zugrundeliegende Lebenssachverhalt bzw. der zu regelnde Vertragsgegenstand möglichst treffend abgebildet wird. In KIaaS-Verträgen erfolgt eine solche Abbildung per Beschreibung der KI und der damit verbundenen Leistungen innerhalb der Leistungsbeschreibung und dem Service Level Agreement. Die Leistungsbeschreibung bezieht sich dabei auf die Qualitäten und Eigenschaften des Hauptleistungsgegenstands, also der KI selbst und sofern vereinbart ihrem Training. Das Service Level Agreement regelt die wiederkehrenden Leistungen, die zur Erfüllung der eigentlichen Hauptleistung dienen, wie beispielsweise Verfügbarkeits- bzw. Erreichbarkeitsregelungen, Support- und Wartungstätigkeiten und Reaktionszeiten bei Sicherheitsvorfällen oder Ähnlichem. Die Inhalte von Leistungsbeschreibung und SLA sind für Anbieter und auch Kunden von essenzieller Bedeutung, da sie einerseits vermitteln, ob das Produkt für den angestrebten Use Case geeignet ist, andererseits aber auch Sicherheit darüber verschaffen was für ein Leistungsniveau zu bewirken ist. Die Erarbeitung dafür tauglicher Inhalte erfordert ein sorgfältiges Vorgehen und ist entsprechend fordernd.

Besonderes Augenmerk ist darüber hinaus auf Regelungen zur Datenbereitstellung zu legen, da diese für das Training von KI einen zentralen Stellenwert einnehmen. Grundlegend ist deren Wichtigkeit darin zu sehen, dass die bereitgestellten Daten den entscheidenden Faktor dafür darstellen, ob ein individuelles Training der KI den geplanten Use Case tatsächlich abbilden kann. Aber auch wenn kein individuelles Training vereinbart ist, ist die Datenbereitstellung ein wichtiger Punkt, da durch die Produktivbetriebsdaten wertvolle Trainingsdaten für die Weiterentwicklung der KI des Anbieters gewonnen werden können. Insofern sollte diese Form der „Bezahlung“ mittels Daten innerhalb der Vertragsverhandlungen berücksichtigt werden. Zuletzt ist zu beachten, dass die bereitgestellten Daten wertvolle unternehmerische Informationen über die Prozesse des Branchensektors des Kunden enthalten können, wenn nicht sogar Geschäftsgeheimnisse. Insofern ist es von großer Bedeutung innerhalb der Datenbereitstellungsvereinbarung auf Maßnahmen zur Gewährleistung der Sicherheit der Informationen zu achten.

Ein dritter fordernder Themenkomplex ist die Lizenzgebung und der Schutz der KI und ihrem Output gegenüber Dritten. Die Problematik findet ihren Ursprung darin, dass das deutsche Urheberrecht nach dem derzeitigen herrschenden Verständnis keine passende Werktypkategorie beinhaltet unter die subsumiert werden könnte. Infolgedessen können gegenüber dem Kunden keine urheberrechtlich wirksamen Nutzungsrechte übertragen werden, wodurch lediglich die Option einer einfachrechtlichen tatsächlichen Nutzungslizenz bleibt. Zwar ermöglicht diese das wirksame Geschäftsverhältnis zwischen Anbieter und Kunde, jedoch stellt sich das Problem, dass die urheberrechtlichen Abwehrrechte gegenüber der unbefugten Nutzung Dritter für sowohl die KI selbst, als auch für den von der KI geschaffenen Output, nicht genutzt werden können. Dies stellt sowohl für Anbieter als auch für Kunden ein Problem dar, da beide ein Interesse an der Exklusivität der jeweiligen Produkte haben. Eine Lösung für dieses Bedürfnis findet sich im Geschäftsgeheimnisrecht, da dieses zum Urheberrecht vergleichbare Abwehrrechte gegenüber Dritten ermöglichen kann. Bedingung dafür ist jedoch die Ausarbeitung eines geeigneten Konzepts technischer und organisatorischer Maßnahmen begleitet von tauglichen Vertragsklauseln zur Regelung des Verhältnisses zwischen Anbieter der KI und dem Kunden.

Eine häufig auftretende Frage aus der Wirtschaftspraxis ist, ob beim Bestehen eines Betriebsrats im Unternehmen, dieser bei der Einführung der KI ins Unternehmen involviert werden muss oder ob er möglicherweise sogar ein Mitbestimmungsrecht über die Einführung hat. Grundsätzlich gilt, dass der Arbeitgeber die freie Wahl über die zu nutzenden Arbeitsmittel hat, also auch bei Softwareanwendungen. Aufgrund der potenziell disruptiven Wirkung von Künstlicher Intelligenz am Arbeitsplatz schreibt der Gesetzgeber jedoch vor, dass der Betriebsrat ausreichend über die Zwecke und Eigenschaften der einzuführenden KI informiert werden muss, um einschätzen zu können, ob weiterführende Schritte eingeleitet werden müssen. Solche weiterführenden Schritte können beispielsweise notwendig sein, wenn die KI eine objektive Eignung zur Überwachung der Mitarbeiter aufweist. In diesem Fall wäre es dem Betriebsrat sogar möglich über die Einführung der Technologie mitzubestimmen, um die Mitarbeiter:innen zu schützen. Allgemein gilt also eine Informationspflicht gegenüber dem Betriebsrat ohne dessen Mitbestimmungsberechtigung und in bestimmten Ausnahmefällen kann es zur weitergehenden Rechten des Betriebsrats kommen. Eine genaue Prüfung ist daher ratsam.

KI im Allgemeinen stellt den Datenschutz vor eine Herausforderung. Grund dafür ist, dass die interne Funktionsweise von künstlichen Intelligenzen eine Black Box darstellt. Dies meint, dass die Arbeitsweise eines neuronalen Netzwerks sich aus einer Vielzahl nichtlinearer Zusammenhänge der genutzten Trainingsdaten ergibt und aus diesem Grund in der Regel für das menschliche Verständnis nicht nachvollziehbar ist. Durch das fehlende Verständnis der Funktionsweise stellt sich das Problem, dass eine gezielte Löschung bestimmter Informationen nicht möglich ist, sobald sie einmal in die KI eintrainiert worden ist. Diese fehlende Möglichkeit eines gezielten Löschens steht im Widerspruch zu den zu gewährleistenden Betroffenenrechten der DSGVO, da für die Verarbeitung personenbezogener Daten die Möglichkeit der Umsetzung der Betroffenenrechte strikte Voraussetzung einer rechtmäßigen Verarbeitung ist. Zwar zieht die Eingabe von Daten zu Arbeitszwecken in eine KI nicht automatisch ein Eintrainieren der Daten in die KI nach sich, jedoch sammelt sich durch den Umfang der dabei generierten Daten die Gefahr, dass personenbezogene Daten versehentlich in die Trainingsdaten gelangen. Infolgedessen muss im Vorfeld zur Einführung von KI ein sorgfältiges Datenschutzkonzept samt zugehöriger vertraglicher Verpflichtungen und technischer und organisatorischer Maßnahmen getroffen werden.

Generell sieht auch die zukünftig in Kraft tretende KI-VO in ihren Entwürfen Pflichten für Anwendende vor. Diese sind jedoch im Vergleich zur Pflichtenlage für Anbietende und Betreibende von KI-Modellen, die unter das Risikoklassifizierungssystem der KI-VO fallen, deutlich abgeschwächt. Zwar zeichnet sich ab, dass in die finale Fassung der Verordnung Ausnahmen aufgenommen werden, die auch Anwendenden weitergehende Pflichten auferlegen. Unter anderem eine Pflichtengleichheit mit dem Anbietenden, wenn Nutzer:innen eigene Änderungen am KI-Modell vornehmen. Allerdings werden KIaaS-Kund:innen solche Anpassungen regelmäßig durch ihren Anbietenden vornehmen lassen. Insofern werden KIaaS-Kund:innen den Vorteil haben, eine Verpflichtungsgleichstellung vermeiden zu können, so dass auch bei individualisierten Modifikationen der KI die einfachen Nutzungspflichten gelten.