Beschaffung von KI

In ihrem Aufsatz beleuchten die Verfasser die vergabe- und vertragsrechtlichen Anforderungen an die Beschaffung von KI durch öffentliche Auftraggeber. Ausgangspunkt ihrer Untersuchung ist, dass eine rechtssichere KI-Beschaffung nur durch eine frühzeitige Verzahnung von Vergabeverfahren und Vertragsgestaltung gelinge. Daher geben die Verfasser in ihrem Beitrag zahlreiche Praxistipps zur Umsetzung der zahlreichen Anforderungen. Dabei messen sie der Risikoklassifizierung nach der Verordnung (EU) 2024/1689 (KI-VO) zentrale Bedeutung bei, da diese sowohl die Vergabeunterlagen als auch die Vertragsgestaltung maßgeblich beeinflusse. Zunächst wird herausgearbeitet, dass die erste Herausforderung für die Beschaffungspraxis in der Bestimmung eines konkreten Beschaffungsgegenstandes aus der heterogenen KI-Anbieterlandschaft liege. Dafür unterscheiden die Verfasser zwischen eigenständigen KI-Anwendungen und IT-Systemen mit integrierten KI-Funktionalitäten. Sie zeigen auf, dass diese Differenzierung Auswirkungen auf die Verfahrenswahl, die Art der Leistungsbeschreibung sowie die Eignungs- und Zuschlagskriterien habe. Für innovative KI-Projekte empfehlen sie insbesondere Markterkundungen, funktionale Leistungsbeschreibungen sowie dialog- oder verhandlungsorientierte Vergabeverfahren, um technologische Entwicklungen und unterschiedliche Lösungsansätze angemessen berücksichtigen zu können. Zudem zeigen sie auf, dass die Losbildung wettbewerbsfördernd ausgestaltet werden solle, um insbesondere innovative KMU-Anbieter nicht auszuschließen. Bezüglich des Verfahrens betonen die Verfasser, dass öffentliche Auftraggeber im Beschaffungsprozess bereits die Systemintegration mitbedenken müssten, um eine rechtssichere, praktikable und insbesondere anpassungsfähige Lösung zu erhalten. Anschließend befassen sich die Verfasser mit der vertragsrechtlichen Umsetzung der KI-Beschaffung. Sie stellen heraus, dass sich die Vertragsart nach dem konkreten Leistungsgegenstand richte und eine präzise Leistungsbeschreibung mit messbaren Qualitätsparametern erforderlich sei. Ferner erläutern sie die regulatorischen Anforderungen der KI-VO sowie der DSGVO, insbesondere hinsichtlich Risikomanagement, Transparenz, menschlicher Aufsicht, Data Governance und Auftragsverarbeitung nach Art. 28 DSGVO. Darüber hinaus heben sie die Bedeutung klarer Regelungen zu Daten- und Nutzungsrechten hervor, um Datenschutzverstöße und sogenannte Vendor-Lock-in-Effekte zu vermeiden. Abschließend gelangen die Verfasser zu dem Ergebnis, dass eine erfolgreiche KI-Beschaffung nur durch ein abgestimmtes Zusammenspiel von Vergabe- und Vertragsrecht erreicht werden könne. Sie empfehlen, die EU-Mustervertragsklauseln zur KI-VO mit den EVB-IT-Verträgen zu kombinieren und projektspezifisch zu ergänzen, um KI-Projekte rechtskonform und zugleich flexibel auszugestalten.