Künstliche Intelligenz einkaufen – aber wie?
Die EU hat auf diese Frage eine praktische Antwort gegeben: Im März 2025 veröffentlichte die Europäische Kommission erstmals Modellvertragsklauseln für die öffentliche Beschaffung von KI-Systemen, kurz MCC-AI. Was als Leitlinie für öffentliche Auftraggeber begann, entwickelt sich nun zur Blaupause für private Einkaufsverträge, insbesondere für Unternehmen mit hohem Drittanbieteranteil in ihren KI-Prozessen.
Aber wie sinnvoll ist der Einsatz der MCC-AI im unternehmerischen Alltag? Was davon ist Pflicht – und was Kür? Und wann ist weniger vielleicht sogar mehr?
Was sind die MCC-AI überhaupt?
Die Model Contractual Clauses for AI Procurement wurden von der Public Buyers Community der EU-Kommission entwickelt, einer Initiative der Generaldirektion „Wachstum“. Ziel: einheitliche, praktikable Standards für den sicheren und verantwortungsvollen KI-Einkauf – besonders für kleine und mittlere Unternehmen.
Die MCC-AI liegen in zwei Varianten vor:
-
MCC-AI-Light für niedriges Risiko (z. B. transparente Algorithmen ohne hohe Eingriffsintensität),
-
MCC-AI-High-Risk für Hochrisiko-Anwendungen im Sinne des AI Acts.
Wann sollte man MCC-AI einsetzen – und wann nicht?
Nicht jede KI-Anwendung braucht ein eigenes Regelwerk. Der EU-AI-Act stuft viele Use Cases als „minimal risk“ ein – etwa einfache Empfehlungsdienste, Spamfilter oder Marketing-Textgeneratoren ohne Personenbezug. In solchen Fällen wären die MCC-AI oft überdimensioniert.
Anders sieht es bei Systemen aus, die:
-
persönliche Daten verarbeiten,
-
automatisierte Entscheidungen treffen oder
-
Prognosen mit geschäftskritischen Folgen liefern.
Hier können die MCC-AI sinnvoll genutzt – oder angepasst – werden, um Risiken sauber zu adressieren.
Was regeln die MCC-AI konkret?
Beide Varianten – Light und High-Risk – enthalten u. a. folgende Bausteine:
Risiko-Management (12 Schritte)
Von der Vorprüfung bis zur kontinuierlichen Überwachung des KI-Systems über die gesamte Vertragslaufzeit.
Transparenz & Erklärbarkeit
Informationen über Funktionsweise, Grenzen und Zielsetzung des Systems – inkl. Protokollierung und Zugriffsmöglichkeiten.
Datenqualität & Governance
Sicherstellung von Relevanz, Genauigkeit und Kontextbezug der eingesetzten Datensätze.
Sicherheit & Aufsicht
Vorgaben zur IT-Sicherheit, menschlicher Kontrolle und Reaktionspflichten bei Vorfällen.
⚖ Rechte & Haftung
Geregelte Zugriffsrechte, klare Indemnifizierung (Haftungsfreistellung) und Mechanismen zur Wahrung der Grundrechte.
Die High-Risk-Variante geht noch weiter und verlangt u. a.:
-
ein Qualitätsmanagementsystem (z. B. nach ISO 9001),
-
eine Konformitätsbewertung vor der Lieferung,
-
einen Eintrag ins öffentliche KI-Register.
Warum die MCC-AI auch für den privaten Sektor interessant sind
Auch wenn es keine Pflicht zur Anwendung gibt, bieten die MCC-AI klare Vorteile:
-
Standardisierung von Beschaffungsprozessen im KI-Bereich,
-
Vermeidung von Haftungsrisiken durch klare Vertragsregeln,
-
Kompatibilität mit dem EU AI Act und der DSGVO,
-
Sicherheit in der Lieferkette durch dokumentierte Anforderungen.
Zudem lassen sich MCC-AI-Bausteine modular einsetzen: Nicht jeder Vertrag muss vollständig übernommen werden – oft reicht eine gezielte Integration einzelner Klauseln.
Fazit
Die EU macht vor, wie praktikabler KI-Einkauf aussehen kann. Die MCC-AI sind kein starres Korsett, sondern ein Werkzeugkasten für bessere Verträge im KI-Zeitalter. Unternehmen sollten jetzt prüfen, ob ihre Einkaufsbedingungen auf dem Stand der Technik sind – rechtlich wie technisch.
Als Kanzlei mit Fokus auf Datenschutz, Vertragsrecht und digitale Regulierung helfen wir dabei, die richtigen Klauseln zu wählen – passgenau für den jeweiligen Use Case, abgestimmt auf bestehende Governance- und Compliance-Strukturen.
MCC-AI auf einen Blick: Die 5 wichtigsten Elemente
1. Risikobasierter Vertragsrahmen
Die MCC-AI unterscheiden zwei Risiko-Stufen:
▪ Light für geringes Risiko
▪ High-Risk für sensible KI-Anwendungen (z. B. biometrische Systeme, Profiling, automatisierte Entscheidungen)
2. Daten- und Dokumentationspflichten
▪ Anforderungen an Datenqualität, Kontextbezug & Relevanz
▪ Pflicht zur Dokumentation von Spezifikationen, Nutzung & Änderungen
▪ Automatisierte Protokollierung & Zugriffsrechte für Betroffene
3. Transparenz & Erklärbarkeit
▪ Offenlegung von Funktionen, Zielen und Grenzen des Systems
▪ Regelungen zur menschlichen Kontrolle & Nachvollziehbarkeit
▪ Erklärungspflichten bei KI-gestützten Entscheidungen
⚖ 4. Verantwortung & Haftung
▪ Indemnifizierungsregelungen (zweiseitig möglich)
▪ Regelung von Verantwortlichkeiten für Trainingsdaten, Modell-Updates und Outputs
▪ Vorgaben für Sofortmaßnahmen bei Störungen
5. Erweiterungen bei High-Risk-Klauseln
▪ Qualitätssicherungssystem (z. B. ISO 9001)
▪ Konformitätsprüfung vor Auslieferung
▪ Registrierungspflicht im EU-KI-Register
▪ Ausweitung der Risikobewertung über die Vertragslaufzeit hinaus
Hinweis: Die MCC-AI sind kein Pflichtprogramm – aber ein hilfreiches Werkzeug für rechtssichere und zukunftsfeste KI-Beschaffung.
Tipp: Prüfen Sie jetzt, ob Ihre Einkaufsverträge mit KI-Bezug den Anforderungen des AI Act und der DSGVO gerecht werden.