KI Vertrag verhandeln: AVV, Haftung und Risiken für KMU

Warum KI Verträge für KMU neue Fallstricke bergen

KI Vertrag verhandeln klingt nach Papierkram, ist aber für KMU 2026 ein echter Risikofaktor. Die KI-Nutzung hat sich im Mittelstand seit 2025 stark erhöht, doch fast die Hälfte der Unternehmen sieht Datenschutz als größten Haken. Wer den AVV, die Haftung und die Mitbestimmung des Betriebsrats übersieht, riskiert unnötige Kosten, Projektstopps oder Strafen. Die neuen Regeln mit EU AI Act, Data Act und DSGVO verlangen, dass Verträge sauber und verständlich die Risiken und Verantwortlichkeiten abbilden. Schatten-IT entsteht da, wo diese Punkte ignoriert werden und Mitarbeitende eigene KI-Lizenzen nutzen – ohne zentrale Kontrolle. Deshalb: Wer jetzt KI-Verträge abschließt, sollte die wichtigsten Hebel kennen.

Was ein KI Vertrag 2026 zwingend regeln muss

• Auftragsverarbeitungsvertrag (AVV): Muss schriftlich oder elektronisch vorliegen, Sub-Processor und Hosting-Standort benennen und Art. 28 DSGVO-konform sein.
• Risikoprofil der KI-Anwendung: Nach der vierstufigen AI-Act-Klassifizierung dokumentieren: gering, begrenzt, hoch oder unannehmbar.
• Betriebsrat: Besteht ein Betriebsrat, ist er nach § 87 BetrVG zu beteiligen, wenn die KI Verhalten oder Leistung der Beschäftigten überwachen kann.
• Technische & organisatorische Maßnahmen: Dazu zählen Datenqualitäts- und Bias-Kontrollen, Dokumentationspflichten und Reporting.
• Haftung und Transparenz: Wer haftet bei Fehlentscheidungen oder Datenschutzverstößen? Der Vertrag muss das klar regeln.
• Preismodell und Datenhoheit: Modelle sollten transparent, KMU-freundlich und auf EU-Datensouveränität ausgerichtet sein.

Ohne diese Punkte ist ein KI-Vertrag 2026 für KMU nicht tragfähig.

Haftungsklauseln: Wer trägt das Risiko bei KI Fehlern?

Die Frage, wer bei Fehlern oder Schäden durch KI haftet, ist für viele Chefs ein Unsicherheitsfaktor. KI-Systeme können eigene Fehler machen – etwa bei automatischen Entscheidungen oder durch fehlerhafte Trainingsdaten. Im Vertrag sollte stehen, ob der Anbieter, das Unternehmen oder beide gemeinsam haften. Am Markt üblich ist eine Begrenzung der Haftungssumme auf die Auftragssumme oder das typische Jahresvolumen. Wichtig ist, dass keine einseitigen Haftungsausschlüsse zugunsten des KI-Anbieters akzeptiert werden. Auch muss geregelt sein, wie mit Datenschutzpannen, etwa einem DSGVO-Verstoß durch die KI, umgegangen wird. In der Praxis lohnt sich, die Haftung für grobe Fahrlässigkeit und Verstöße gegen Datenschutz oder EU-Regularien auszuklammern – also nicht zu begrenzen. Wer es schafft, diese Punkte sauber zu verhandeln, reduziert das eigene Risiko erheblich.

AVV und Datenschutz: Was der Vertrag konkret abbilden muss

Der AVV (Auftragsverarbeitungsvertrag) ist das Herzstück beim KI Vertrag verhandeln. Er regelt, wer was mit den Daten macht, wo sie liegen und wie sie verarbeitet werden. Ein guter AVV für KI-Anwendungen führt alle Sub-Processor (z. B. Cloud-Dienste) auf und benennt den Hosting-Standort – meist EU – klar. Eine bestimmte Sprache schreibt die DSGVO nicht vor, eine deutsche Fassung erleichtert aber die Prüfung. Zentral ist die Konformität zu Art. 28 DSGVO: Das umfasst technische und organisatorische Maßnahmen, Löschkonzepte und Kontrollrechte. Wer den AVV zu knapp hält oder auf Mustertexte vertraut, läuft Gefahr, dass wichtige Details fehlen. Viele KMU unterschätzen die Pflicht, künftige Änderungen wie Codes of Practice oder neue Reporting-Anforderungen im Vertrag schon vorzudenken. Tipp: Der AVV sollte als lebendes Dokument verstanden werden, das regelmäßig überprüft und angepasst werden muss.

Beispiel: So sieht ein praxistauglicher KI Vertrag aus

Nehmen wir ein typisches KMU, das einen KI-Chatbot für den Kundensupport einführen will. Der Vertrag mit dem Anbieter enthält:

• Einen AVV mit Nennung aller eingesetzten Cloud-Sub-Processor und Hosting in Frankfurt (EU).
• Eine Betriebsratsvereinbarung, die den Einsatz der KI transparent macht und Mitbestimmungsrechte wahrt.
• Eine Haftungsklausel, die Schäden durch grobe Fahrlässigkeit oder Datenschutzverstöße nicht begrenzt.
• Eine Dokumentationspflicht für Bias-Kontrollen, Fehlerprotokolle und regelmäßige Updates zur Risiko-Klassifizierung.
• Ein Preismodell mit monatlicher Pauschale und voller Datenhoheit für das KMU.

So ein Vertrag schützt das Unternehmen vor bösen Überraschungen und erfüllt die aktuellen Compliance-Anforderungen.

Tipps für die Vertragsverhandlung mit KI-Anbietern

1. Vorbereitung: Klare Liste mit Mindestanforderungen und eigenen Risikofeldern erstellen.
2. Transparenz fordern: Anbieter müssen Sub-Processor, Hosting und technische Maßnahmen offenlegen.
3. Betriebsrat früh einbinden: Sonst drohen Projektverzögerungen oder Stopps.
4. Haftung prüfen: Keine pauschalen Haftungsausschlüsse akzeptieren, gerade bei Datenschutz.
5. Regelmäßige Updates festschreiben: Der Vertrag sollte Anpassungen an neue EU-Vorgaben ermöglichen.

Wer diese Punkte beherzigt, verschafft sich als Mittelständler eine solide Verhandlungsposition – und bleibt handlungsfähig.