Welche vertraglichen Risiken bestehen bei der Einführung von KI in Unternehmen? Eine Erklärung der vom Ministerium für Wirtschaft, Handel und Industrie entwickelten "Checkliste" zur präventiven Krisenvermeidung.

In den letzten Jahren hat die Einführung von KI (Künstlicher Intelligenz) im Geschäftsumfeld zugenommen. Die Nutzung und Entwicklung von KI birgt jedoch Risiken und rechtliche Herausforderungen, die sich von herkömmlichen Systemen unterscheiden.

Vor diesem Hintergrund hat das japanische Ministerium für Wirtschaft, Handel und Industrie im Februar des Jahres Reiwa 7 (2025) eine “Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI” erstellt und veröffentlicht. Diese Checkliste ist als praktisches Werkzeug konzipiert, das verschiedenen Unternehmen, die mit KI-Dienstleistungen und deren Verträgen zu tun haben, hilft, Vertragsbedingungen effizient zu organisieren und zu überprüfen.

In diesem Artikel werden wir auf Basis der “Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI” erläutern, wie Verträge im Bereich KI typisiert werden können und auf welche Punkte man achten sollte, um Verträge abzuschließen und KI effizient im Geschäftsleben einzusetzen.

Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI-Diensten in Japan

Die Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI-Diensten umfasst ein breites Spektrum an KI-bezogenen Diensten, einschließlich generativer KI, und ist nicht auf bestimmte Branchen oder KI-Technologien beschränkt.

Die Checkliste ist so aufgebaut, dass sie aus zwei Perspektiven – “Input” und “Output” – systematisch die praktischen Diskussionspunkte im Zusammenhang mit der Bereitstellung und Nutzung von Diensten ordnet. Dadurch werden die zu berücksichtigenden Aspekte über den gesamten Lebenszyklus eines KI-Dienstes hinweg abgedeckt, während sie gleichzeitig so gestaltet ist, dass die Parteien leicht die für ihr Unternehmen relevanten Punkte extrahieren können.

Checkliste für Verträge zur Nutzung und Entwicklung von KI: Was sind Input und Output?

Die Checkliste basiert auf den folgenden zwei Phasen im Kontext von KI-Dienstleistungen:

【Input】

Dies bezieht sich auf Informationen, Daten, Spezifikationen und Bedingungen, die für den Aufbau, das Lernen und den Betrieb von KI-Diensten bereitgestellt und genutzt werden. Beispiele hierfür sind Trainingsdaten, Algorithmen, Geschäftsregeln und Systemanforderungen. Sind diese Inputs unzureichend oder ungeeignet, hat dies direkte Auswirkungen auf die Leistung und die Zuverlässigkeit der KI-Ergebnisse, weshalb sie wichtige Prüfpunkte darstellen.

【Output】

Dies umfasst die von der KI verarbeiteten, abgeleiteten oder erzeugten Ergebnisse sowie die Handhabung, Nutzung und Veröffentlichung dieser Ergebnisse. Dazu gehören beispielsweise generierte Texte und Bilder, Schlussfolgerungen, Begründungen für Entscheidungen, der Umfang der externen Bereitstellung und die Verantwortlichkeit.

Bei den Ergebnissen der KI ist eine Überprüfung hinsichtlich Genauigkeit, Transparenz und rechtlichem Risiko erforderlich. Die “Checkliste für Verträge zur Nutzung und Entwicklung von KI” ordnet wichtige vertragsrechtliche Diskussionspunkte, indem sie sowohl den Input (Bereitstellung von Voraussetzungsinformationen) als auch den Output (Ergebnisse der KI und deren Handhabung) berücksichtigt.

Definition der beteiligten Parteien

Bei Verträgen, die mit KI zu tun haben, können die Rollen der Beteiligten wie “Personen, die KI entwickeln”, “Personen, die KI bereitstellen” und “Personen, die KI nutzen”, je nach Art des KI-Dienstes variieren.

Betrachten wir zum Beispiel den Fall, dass ein generischer KI-Dienst für ein bestimmtes Unternehmen feinabgestimmt und entwickelt bzw. implementiert wird (siehe nächster Abschnitt 【Typ 2: Customized Type】). In diesem Fall wird ein generischer KI-Dienst, der von einem anderen Unternehmen angeboten wird, integriert und an die Spezifikationen des anfordernden Unternehmens angepasst (customized).

In dieser Situation wird der Anbieter B, der den Customizing-Service bereitstellt, in der Beziehung zum Auftraggeber A (KI-Nutzer) als “KI-Dienstleister (Vendor)” betrachtet (siehe Abbildung ① unten).

Andererseits wird in der Beziehung zum Unternehmen C, das die generische KI bereitstellt (KI-Entwickler/KI-Anbieter) (siehe Abbildung ② unten), der Anbieter B zum KI-Nutzer.

Aus diesem Grund ist es wichtig, bei Vertragsabschlüssen die jeweilige Position und den Verantwortungsbereich klar zu definieren, da ein und derselbe Geschäftspartner je nach beteiligter Partei sowohl als Anbieter als auch als Nutzer auftreten kann.

Quelle: Wirtschaftsministerium | Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI[ja]

Vertragstypen im Rahmen der „Checkliste für Verträge im Bereich der Nutzung und Entwicklung von KI“ unter japanischem Recht

In dieser Checkliste werden Verträge im Zusammenhang mit KI-bezogenen Dienstleistungen klassifiziert, indem drei repräsentative Vertragstypen strukturiert dargestellt werden. Das Ziel ist es, den Vertragsparteien zu ermöglichen, die für ihre Position und Ziele relevanten Prüfpunkte leichter zu erfassen.

Jeder Vertragstyp weist charakteristische Diskussionspunkte und Risiken auf, und es ist wichtig, den passenden Typ zu verstehen, abhängig vom Zweck der KI-Einführung und der Art der Dienstleistungserbringung.

Im Folgenden stellen wir Ihnen die drei Vertragstypen im Detail vor.

Typ 1: Nutzung allgemeiner Dienste

Dieser Typ beschreibt eine Vertragsform, bei der Nutzer bereits fertiggestellte und veröffentlichte KI-Dienste unverändert verwenden. Ein typisches Beispiel hierfür ist die Nutzung von generativen KI-Diensten wie ChatGPT oder Bildgenerierungs-KIs (z.B. DALL·E, Stable Diffusion) über das Web.

Bei diesen Diensten ist es üblich, dass die Nutzung auf der Grundlage von Nutzungsbedingungen und Servicekonditionen erfolgt, die vom Anbieter im Voraus festgelegt wurden. Die Nutzer haben in der Regel kaum Möglichkeiten, den Inhalt des Vertrags zu verhandeln oder zu ändern.

In der Checkliste steht im Vordergrund, wie die Nutzer die unter festgelegten Bedingungen angebotenen KI-Dienste verstehen und die damit verbundenen Risiken erfassen und bewältigen können.

Typ 2: Anpassungstyp

Dieser Typ bezieht sich auf Vertragsformen, bei denen Anbieter von KI-Diensten ihre bestehenden Modelle und Technologien als Basis nutzen und diese gemäß den Bedürfnissen des Nutzerunternehmens anpassen.

Zum Beispiel kann dies bedeuten, dass ein Nutzerunternehmen eigene Daten und Regeln in das KI-Modell des Anbieters integriert, um zusätzliches Lernen zu ermöglichen, oder dass Teile des Systems angepasst und verändert werden. Stellen Sie sich die Entwicklung eines Marketing-Chatbots vor, der innerhalb eines Unternehmens entwickelt und eingeführt wird. Ein generisches KI-Modell könnte durch das Einlesen der Produkt-Datenbank des Unternehmens und das Lernen aus Kundenfragen so feinabgestimmt werden, dass es spezifisch auf das Unternehmen zugeschnittene Antworten liefert.

Bei solchen Verträgen wird die ursprünglich vom Anbieter entwickelte Technologie und das Know-how genutzt, während gleichzeitig die spezifischen Anforderungen des Nutzers erfüllt werden. In der Checkliste sind die Zuschreibung des geistigen Eigentums an den angepassten Teilen, die Möglichkeit der Wiederverwendung und die Aufteilung der Verantwortlichkeiten wichtige Punkte zur Überprüfung.

Da der Inhalt der Anpassungen die Natur des Endprodukts und den Typ des Vertrags verändern kann, ist es wichtig, die Rollen beider Parteien sowie die Definitionen von Input und Output klar zu stellen.

Typ 3: Neuentwicklung

Dieser Typ beschreibt einen Vertragsmodus, bei dem ein Nutzer einen AI-Dienstleister mit der Entwicklung eines völlig neuen AI-Systems beauftragt. Allgemein wird dies auch als “Full-Scratch-Entwicklung” bezeichnet, bei der ein auf die Geschäftsprozesse und Bedürfnisse des Nutzers zugeschnittenes, dediziertes AI-Modell oder System von Grund auf neu erstellt wird.

In diesem Fall werden die Trainingsdaten und Spezifikationen häufig vom Nutzer bereitgestellt, und das zu entwickelnde AI-Modell oder die zu liefernden Ergebnisse werden auf Basis der spezifischen Anforderungen des Nutzers entworfen.

Daher sind insbesondere die folgenden Punkte im Vertrag von besonderer Bedeutung:

• Klärung des Umfangs und Inhalts der Ergebnisse
• Definition von Genauigkeits- und Leistungszielen
• Bereitstellung und Handhabung von Trainingsdaten
• Eigentumsrechte an geistigem Eigentum und Zugehörigkeit der Ergebnisse
• Verantwortungsteilung für Wartung und Updates

Bei diesem Typ ist die Abstimmung von Design und Spezifikationen zwischen Anbieter und Nutzer von großer Bedeutung, weshalb in der Checkliste eine detaillierte Prüfung erforderlich ist.

Lassen Sie uns nun erneut einen Blick auf konkrete Beispiele für Inputs und Outputs werfen, unter Bezugnahme auf die untenstehende Abbildung.

Zitat: Wirtschaftsministerium Japan | Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI[ja]

Checkliste: Input

Wie bereits erwähnt, bezieht sich der Input auf die Inhalte, die in die KI eingespeist werden. Konkrete Beispiele hierfür sind Trainingsdaten, Algorithmen und Prompts (Anweisungen oder Befehle an die KI).

Bei KI-Diensten ist der Input unerlässlich. Ohne diesen können die Anbieter den Entwurf, das Lernen und die Inferenzverarbeitung der KI nicht vorantreiben. Welche Aspekte sollten also bei solchen Inputs beachtet werden?

Handhabung von Nutzereingaben an Anbieter unter japanischem Recht

Daher ist es notwendig, in den Vertragsklauseln klar festzulegen, ob und in welchem Umfang Nutzer verpflichtet sind, Informationen wie Lernmaterial, Regeln und Spezifikationen (=”Inputs”) an Anbieter zu liefern. Konkret sollten folgende Inhalte geregelt werden:

• Welche Art von Inputs der Nutzer bereitstellt
• Zeitpunkt, Format und Qualitätsstandards der Bereitstellung
• Ob es bestimmte Anforderungen an die Inhalte der vom Nutzer bereitgestellten Inputs gibt (Natur, Menge, Detaillierungsgrad und andere Aspekte)
• Ob die oben genannten Inhalte im Hinblick auf den Nutzungszweck des Nutzers akzeptabel sind

Umgang mit Input-Informationen von Vendoren an Dritte unter japanischem Recht

Bei AI-Dienstleistungen bauen und liefern Vendoren die AI, indem sie Inputs (zum Beispiel Daten oder Spezifikationen) verwenden, die sie von Nutzern erhalten haben.

Es ist jedoch wichtig, im Vertrag zu klären, ob und unter welchen Bedingungen der Vendor diese Inputs an Dritte weitergeben oder wiederverwenden darf, da solche Fälle möglich sind.

Insbesondere, da Inputs Geschäfts-Know-how, vertrauliche Informationen, persönliche Daten oder geistiges Eigentum der Nutzer enthalten können, entsteht ein erhebliches Risiko, wenn diese an Dritte weitergegeben werden.

Daher ist es notwendig, in Verträgen klarzustellen, ob folgende Punkte geregelt sind:

• Ob der Vendor die von Nutzern erhaltenen Inputs an Dritte weitergeben darf
• Wenn eine Weitergabe an Dritte erlaubt ist, gibt es Einschränkungen bezüglich der Empfänger, des Umfangs und des Zwecks der Weitergabe?
• Die Handhabung von geistigen Eigentumsrechten oder vertraulichen Informationen in den Inputs der Nutzer

Wenn Bedenken bezüglich der oben genannten Punkte bestehen, können Maßnahmen wie “Keine unnötigen Informationen bereitstellen” oder “Vertragsabschluss ablehnen, wenn die Weitergabe von Inputs an Dritte nicht akzeptabel ist” in Betracht gezogen werden.

Management von Vendor-Inputs

In AI-Diensten enthalten die Inputs, die Benutzer an Vendoren liefern (zum Beispiel Trainingsdaten, Geschäftsregeln, Spezifikationen usw.), oft persönliche Informationen, vertrauliche Informationen oder geistiges Eigentum.

Daher ist es wichtig, klarzustellen, welche Verantwortung der Vendor für die Handhabung und das Management dieser Inputs trägt.

Welche Aspekte sollten also vertraglich geregelt werden, wenn es um das Management von Inputs geht? Hier einige Beispiele:

(Verpflichtung und Standard des Managements)

• Welche Managementverpflichtungen der Vendor für die vom Benutzer erhaltenen Inputs hat
• Welche Managementstandards und Maßnahmen erforderlich sind, wenn der Vendor eine Managementverpflichtung hat
• Ob der Benutzer Audits und Informationsbereitstellung vom Vendor verlangen kann bezüglich dessen Managementstruktur
• Ob die Managementstruktur angemessen ist im Hinblick auf den Zweck der Nutzung des Dienstes durch den Benutzer

(Aufbewahrungszeitraum der Inputs)

• Wie lange der Vendor die Inputs aufbewahren kann
• Welche Maßnahmen der Vendor nach Ablauf der Aufbewahrungszeit ergreift

(Löschpflicht)

• Ob der Vendor verpflichtet ist, die Inputs auf Anfrage des Benutzers oder bei Vertragsende zu löschen
• Ob eine Verpflichtung besteht, ein Zertifikat über die Löschung (Löschungsnachweis usw.) auszustellen
• Ob solche Löschmaßnahmen angemessen sind im Hinblick auf den Geschäftszweck des Benutzers

Wenn die Bereitstellung von personenbezogenen Daten einhergeht, muss das Schema für die Handhabung dieser Daten sorgfältig geprüft werden, da eine Nutzung zu eigenen Zwecken oder ein Abgleich durch den Vendor als Drittanbieter gelten und die Zustimmung des Betroffenen erforderlich machen könnte.

Bei der Beauftragung von personenbezogenen Daten muss geprüft werden, ob die Überwachungsbefugnisse, die dem Vendor auferlegt werden können, ausreichend sind, um die Daten als Auftrag zu verarbeiten (wenn nicht, sollte die Verarbeitung als Drittanbieter in Betracht gezogen werden). Darüber hinaus ist besondere Aufmerksamkeit erforderlich, wenn die Übertragung von personenbezogenen Daten ins Ausland erfolgt, da unabhängig von der “Bereitstellung” nach dem Datenschutzgesetz Informationen über die gehaltenen personenbezogenen Daten erforderlich sein können.

Wenn die Bereitstellung von personenbezogenen Informationen einhergeht, kann es insbesondere erforderlich sein, dass der Benutzer bei einem Datenleck durch den Vendor eine Meldung an die Aufsichtsbehörden vornehmen muss.

Was die Löschpflicht betrifft, so kann, wenn gesetzliche Vorschriften eine Löschpflicht des Vendors vorsehen, die Löschung auch als Rechtsausübung außerhalb des Vertrags gefordert werden.

Checkliste: Output

Unter Output versteht man im Allgemeinen das Ergebnis, das von einer KI ausgegeben wird. Dies kann in Form von Texten oder Bildern sein, aber auch Programmcode, Konstruktionspläne oder Marketingstrategie-Dokumente gehören dazu, und die Formate des Outputs können vielfältig sein. Oftmals enthalten sie vertrauliche Informationen, daher ist beim Umgang besondere Vorsicht geboten.

Wenn Nutzer den Output nach außen weitergeben

Durch die Nutzung von KI-Diensten wie generativen KIs können Nutzer verschiedene Outputs (erzeugte Texte, Bilder, Schlussfolgerungen usw.) erhalten.

Es ist nicht unüblich, dass solche Outputs nicht nur intern genutzt, sondern auch an Kunden, Geschäftspartner oder die allgemeine Öffentlichkeit weitergegeben oder veröffentlicht werden.

Jedoch können Outputs, die durch KI erzeugt wurden, Risiken wie ungenaue Informationen, Rechtsverletzungen oder ethische Probleme bergen. Um unbeabsichtigte Weitergabe an Dritte (einschließlich Informationslecks) zu vermeiden, ist es notwendig, ein Management-System zu etablieren und ausreichende interne Schulungen durchzuführen.

Daher sind vertragliche Vereinbarungen und Risikomanagement wichtige Überlegungen, wenn Nutzer den Output nach außen weitergeben möchten. Überprüfen Sie die folgenden Checkpunkte:

• Ob der Nutzer den Output an Dritte weitergeben darf
• Unter welchen Bedingungen eine Weitergabe an Dritte möglich ist (Empfänger, Umfang der Weitergabe und andere Bedingungen). Muss bei nutzungsbasierten Diensten darauf hingewiesen werden, dass der Service KI-basiert ist?
• Ob die oben genannten Punkte im Hinblick auf den Nutzungszweck des Nutzers akzeptabel sind

Output vom Anbieter zum Nutzer (b−5−1)

Outputs, die durch die Nutzung von KI-Diensten erzielt werden (erzeugte Texte, Bilder, Konstruktionspläne, Berichte usw.), stellen für den Nutzer wertvolle Ergebnisse dar.

Dennoch können Unklarheiten über die Rechte an diesen Outputs, wie “Wer besitzt die Rechte?” oder “Darf ich sie frei verwenden?”, später zu Problemen führen, wenn sie nicht vertraglich klar geregelt sind. Konkret müssen die folgenden Punkte geklärt werden:

• Ob der Nutzer bestimmte Rechte, wie geistiges Eigentum, am Output erwirbt
• Unter welchen Bedingungen der Nutzer Rechte erwirbt (Gegenstand des Rechtstransfers, ob eine Gegenleistung erforderlich ist, ob und welche Lizenzbedingungen bestehen und andere Bedingungen)
• Ob die oben genannten Punkte im Hinblick auf den Nutzungszweck des Nutzers akzeptabel sind

Hinweise zur Nutzung von Checklisten

Diese Checkliste hat keine rechtliche Wirkung als Vertragsdokument, sondern dient dazu, aus der Perspektive von Nutzern und Anbietern die vertraglichen Diskussionspunkte bei der Bereitstellung und Nutzung von KI-bezogenen Diensten zu ordnen. Daher ist es beim Abschluss eines tatsächlichen Vertrags erforderlich, auf der Grundlage der konkreten Tatsachen des Vertrags (Vertragsform, Dienstleistungsinhalt, Natur der Inputs und Outputs, Rechte und Pflichten der Parteien usw.) die notwendigen Prüfpunkte auszuwählen, die Vertragsbedingungen für jedes Element zu konkretisieren und anzupassen.

Wie man auf Basis der Checkliste angemessen reagiert, hängt von den spezifischen Umständen des einzelnen Nutzers ab. Daher ist es notwendig, eine umfassende Beurteilung unter Berücksichtigung der folgenden relevanten Faktoren vorzunehmen:

• Inhalt der vom Anbieter bereitgestellten KI-bezogenen Dienste
• Vertragsform (Nutzungsbedingungen oder individuelle Verträge)
• Risiken, die durch die Akzeptanz der Vertragsbedingungen entstehen
• Durchführbarkeit der vertraglichen Pflichten
• Vorhandensein von alternativen Diensten und Methoden im Hinblick auf den Verwendungszweck der KI
• Aufwand, der für Vertragsverhandlungen erforderlich ist
• Möglichkeit der Risikominderung durch Methoden außerhalb des Vertrags (tatsächliche Durchführung usw.)

Fazit: Konsultieren Sie Experten bei AI-Verträgen

Bis hierhin haben wir uns eingehend mit den Vertragsaspekten bezüglich Input und Output, den Vertragstypen und den zu beachtenden Punkten bei der Nutzung basierend auf der von dem japanischen Ministerium für Wirtschaft, Handel und Industrie (METI) veröffentlichten “Checkliste für Verträge im Zusammenhang mit der Nutzung und Entwicklung von KI” beschäftigt.

Es wird erwartet, dass KI-Technologien, einschließlich generativer KI, zunehmend in das Kerngeschäft integriert werden. Bei deren Nutzung gibt es jedoch viele rechtliche und praktische Punkte, wie Urheberrechte, persönliche Daten, Vertraulichkeit, die Möglichkeit der Wiederverwendung und die Aufteilung der Verantwortlichkeiten, die sorgfältig geordnet werden müssen.

Um KI angemessen zu nutzen, ist es nicht ausreichend, nur die Technologie einzuführen. Es ist unerlässlich, durch “Verträge” die Rechte und Pflichten zwischen den Parteien zu klären und Risiken im Voraus zu verhindern. Insbesondere bei komplexen KI-Verträgen ist es sicher und praktisch, diese mit der Unterstützung von internen Rechts- und IP-Abteilungen oder externen Experten voranzutreiben.

Während Sie die Nutzung von KI fördern, sollten Sie nicht versäumen, Vertragsinhalte zu überprüfen und mit Experten zusammenzuarbeiten, um rechtliche Risiken so gering wie möglich zu halten.

Vorstellung der Maßnahmen unserer Kanzlei

Die Monolith Rechtsanwaltskanzlei zeichnet sich durch hohe Fachkompetenz in den Bereichen IT und Recht, insbesondere im Internetrecht, aus. Wir bieten ein breites Spektrum an rechtlicher Unterstützung für Unternehmen, von an der Tokioter Börse gelisteten Großunternehmen bis hin zu Start-ups, einschließlich der Erstellung und Überprüfung von Verträgen. Für weitere Informationen lesen Sie bitte den folgenden Artikel.

Rechtsgebiete der Monolith Rechtsanwaltskanzlei: Unternehmensrecht für IT- und Start-up-Unternehmen in Japan[ja]