KI-Richtlinie für Agenturen | IT-Medienrecht

KI-Richtlinie für Externe: Risiken managen und Compliance sichern

Agenturen, Freelancer, externe Entwicklerstudios und Content-Dienstleister sind für viele Unternehmen unverzichtbar geworden. Sie sind fester Bestandteil der Wertschöpfungskette, sowohl für Konzerne als auch für Startups, die Marketing, Produktentwicklung und Wachstum mit externen Partnern skalieren. Die Nutzung künstlicher Intelligenz (KI) ist dabei zur Selbstverständlichkeit geworden.

• Textentwürfe
• Designvarianten
• Code-Snippets
• Übersetzungen
• Recherche
• Bild- und Videoerstellung
• Automatisierung von Prozessen in Ticketsystemen
• KI-gestützte Analysen von Kundendaten

Eine KI-Richtlinie für Externe ist daher kein "Nice-to-have", sondern ein operatives Steuerungsinstrument. Sie definiert, welche Systeme genutzt werden dürfen und welche Daten in welche Tools gelangen. Zudem legt sie Transparenz- und Dokumentationspflichten fest, sichert Rechte an Arbeitsergebnissen ab und gewährleistet Handlungsfähigkeit im Ernstfall. Dies ist entscheidend bei Datenschutzvorfällen, IP-Claims oder Reputationsschäden.

Ohne solche Regeln agieren Unternehmen im Blindflug: Der Dienstleister nutzt "irgendein" Tool, speist Inhalte in offene Systeme ein oder arbeitet mit Subunternehmern. Das Unternehmen erfährt davon erst, wenn es zu spät ist. Dies kann sich durch Abmahnungen, Datenschutzmeldungen oder das plötzliche Auftauchen vertraulicher Informationen an ungeeigneten Stellen zeigen.

Warum KI-Richtlinien für Externe anders sind als interne Policies

Viele Unternehmen haben inzwischen interne KI-Guidelines oder zumindest Hinweise zur Toolnutzung. Der entscheidende Unterschied ist jedoch, dass interne Policies gegenüber externen Partnern nur begrenzt greifen. Externe Dienstleister sind nicht in die Organisationsstruktur eingebunden und nutzen häufig eigene Systeme, Accounts und Prozesse.

Gerade Agenturen arbeiten oft mit standardisierten Toolchains, von Text- und Bildgeneratoren über Automationsplattformen bis hin zu Kollaborationstools. Existiert hier keine verbindliche Regelung, gerät der Auftraggeber schnell in eine schwierige Beweis- und Steuerungslage. Die Arbeitsergebnisse kommen an, aber niemand kann sicher sagen, welche Daten wo verarbeitet wurden. Auch ist unklar, ob ein Training stattfand, Dritte beteiligt waren oder der Output auf problematischen Quellen basiert. Für weitere Details zur Haftung von Agenturen beim KI-Einsatz, lesen Sie auch unseren Artikel Vibecoding, Haftung und die Verantwortung von Agenturen beim Einsatz künstlicher Intelligenz.

• Produkt-Roadmaps
• Kundenlisten
• Finanzdaten
• interne Strategiepapiere
• unveröffentlichte Kampagnen
• Quellcode

Eine KI-Richtlinie für Externe muss daher nicht nur Regeln nennen, sondern auch klar operationalisieren. Sie muss festlegen, wie Freigaben erfolgen, Transparenz hergestellt wird und welche Mindeststandards einzuhalten sind. Vergleichen Sie dies auch mit der privaten KI-Nutzung im Unternehmen, die ebenfalls klare Regeln benötigt.

Tool-Auswahl, Datenflüsse und Kontrollmechaniken

In der Praxis entscheiden sich die meisten Streitfälle nicht daran, ob KI genutzt wurde, sondern daran, wie sie genutzt wurde. Deshalb gehören in eine solide KI-Richtlinie drei entscheidende Bausteine:

1. Toolklassifizierung: Eine Unterscheidung zwischen offenen und geschlossenen Systemen. Festlegung, welche Kategorie unter welchen Bedingungen zulässig ist.
2. Freigabeprozess: Ein klar definierter Prozess für die Genehmigung neuer oder geänderter KI-Systeme.
3. Nachweis- und Dokumentationslogik: Eine einfache und praktikable Methode zur Aufzeichnung des KI-Einsatzes.

Bei der Toolklassifizierung gilt ein häufig praktikabler Ansatz: Offene Systeme sind für vertrauliche Informationen tabu oder nur nach ausdrücklicher Freigabe zulässig. Geschlossene Systeme sind eher möglich, wenn bestimmte Einstellungen (z. B. Training/Logging-Optionen) und Vertragsgrundlagen (z. B. Auftragsverarbeitung, Subunternehmerliste) geklärt sind.

Der Freigabeprozess ist der zentrale Hebel, um aus "wir haben eine Policy" echte Steuerung zu machen. Eine reine Anzeigepflicht hilft wenig, wenn der Dienstleister zwar informiert, aber faktisch frei entscheidet. In der Praxis bewährt sich eine Regel: Neue oder veränderte KI-Systeme nur nach vorheriger Freigabe in Textform (E-Mail genügt). Dies ist niedrigschwellig, aber im Streitfall eindeutig. Ergänzend ist eine "Tool-Liste" sinnvoll: Was bereits freigegeben ist, darf weiter genutzt werden; Änderungen sind anzeigepflichtig; neue Tools benötigen Zustimmung.

Die Dokumentationslogik muss so leicht sein, dass sie wirklich gelebt wird. Niemand möchte ein 20-seitiges Protokoll pro Kampagne erstellen. Ein kurzes Einsatzprotokoll ist jedoch ein extrem wirksamer Kompromiss. Es sollte Tool/Anbieter, Einsatzumgebung/Account, ob offen/geschlossen, wesentliche Einstellungen und Subunternehmer umfassen. Es schafft Nachweisbarkeit, erleichtert Audits und reduziert das Risiko, im Ernstfall ohne Fakten dazustehen. Gerade bei größeren Unternehmen oder regulierten Bereichen ist das oft der Unterschied zwischen "kontrollierbar" und "unkontrollierbar".

Urheberrecht, Rechtekette und KI-Output

Der zweite große Risikobereich ist das Rechte- und IP-Thema. Agenturen liefern Logos, Kampagnenvisuals, Texte, Claims, Videos, Templates, Code, Musik oder UI-Elemente. Sobald KI im Spiel ist, stellen sich zwei typische Fragen:

• Entstehen überhaupt übertragbare Rechte an den KI-generierten Inhalten?
• Kann der Dienstleister diese Rechte wirksam einräumen?

Hier ist juristische Nüchternheit gefragt: Rechte können nur eingeräumt werden, soweit sie entstehen und soweit der Einräumende verfügungsberechtigt ist. Genau deshalb sollten KI-Richtlinien und begleitende Vertragsklauseln mit einer "soweit und sobald"-Logik arbeiten. Dies ist kein Selbstzweck, sondern eine Risikoreduktion. Es verhindert, dass der Dienstleister etwas "garantiert", was er in Wahrheit nicht garantieren kann. Zudem vermeidet es, dass der Auftraggeber sich auf eine scheinbar wasserdichte Rechteklausel verlässt, die im Streitfall angreifbar ist. Mehr zu diesem Thema finden Sie in unserem Beitrag KI-generierte Inhalte: Wem gehören die Rechte?

Parallel dazu ist eine Rechtekette entscheidend: Mitarbeitende, Freelancer, Subunternehmer, beteiligte Produktionsstudios – alle müssen ihre Rechte so einräumen, dass das Ergebnis beim Auftraggeber sauber ankommt. In klassischen Agenturverträgen wird dies häufig pauschal mit "der Auftragnehmer sichert zu" erledigt. Bei KI-Outputs reicht das nicht immer. Nicht, weil KI "automatisch illegal" wäre, sondern weil in der Toolkette zusätzliche Unwägbarkeiten entstehen:

• Welche Datenbasis wurde verwendet?
• Welche Lizenzbedingungen gelten?
• Welche Weiterverwendung ist gestattet?
• Welche Rechte Dritter werden möglicherweise berührt?

Eine gute Richtlinie koppelt daher Rechtezusagen an konkrete Pflichtmechaniken: Toolfreigabe, Input-Verbote, Prüfpflichten und Dokumentation. Das ist deutlich belastbarer als pauschale Zusicherungen "frei von Rechten Dritter", die in der Praxis häufig zu absolut sind. Die Wichtigkeit einer sauberen Rechtekette, insbesondere im Game Development, wird auch im Artikel Rechtekette im Game Development betont.

Ein Punkt, den viele übersehen: Auch wenn ein IP-Claim selten ist, ist er dann, wenn er kommt, meistens teuer. Kampagnenstopps, Re-Design, Neu-Schnitt, Re-Deployment, Reputationsschaden – plötzlich sind die vermeintlichen Kostenvorteile durch KI-Nutzung pulverisiert. Eine Richtlinie ist daher nicht "juristische Bürokratie", sondern eine wirtschaftliche Absicherung der Produktionskette.

Haftung, Datenschutz und Compliance

Wenn ein externer Dienstleister KI nutzt, bewegen sich Unternehmen schnell im Schnittbereich aus Datenschutzrecht, Geheimnisschutz und vertraglicher Haftung. Das Kernproblem: Viele Regelungen sind entweder zu weich ("bitte aufpassen") oder zu hart ("umfassend, unabhängig von allem"). Beides ist unpraktisch: Zu weich ist wirkungslos, zu hart wird nicht unterschrieben oder führt zu Scheinsicherheit.

Praxistauglich ist eine klare Linie: Haftung und Freistellung dort scharf, wo Pflichten verletzt werden, nicht als pauschale Gefährdungshaftung für Toolrisiken. Eine gute KI-Richtlinie definiert deshalb konkret, welche Pflichten "kritisch" sind:

• Keine offenen Systeme für vertrauliche Daten nutzen.
• Neue Tools müssen freigegeben werden.
• Transparenz ist einzuhalten.
• Unzulässige Inputs sind zu vermeiden.
• Datenschutzvorgaben sind einzuhalten.

Kommt es wegen eines Verstoßes zu Schaden oder Drittansprüchen, wird die Haftung scharf. Hält der Dienstleister sich an die Regeln, bleibt das Risiko beherrschbar.

• CRM-Exports
• Newsletterlisten
• Lead-Daten
• Supportfälle
• Nutzerfeedback

Auch die KI-Verordnung (AI Act) spielt zunehmend eine Rolle. Weniger, weil jede Agentur plötzlich Herstellerpflichten übernimmt, sondern weil Unternehmen ein Interesse daran haben, dass Pflichten entlang der Kette sauber zugeordnet werden: Was liegt beim Anbieter? Was liegt beim Betreiber? Was muss dokumentiert werden? Eine sinnvolle Richtlinie formuliert hier nicht "wir stellen alles sicher" (was häufig objektiv nicht möglich ist), sondern "wir erfüllen die Pflichten, die uns in unserer Rolle treffen, und wirken an Nachweisen mit". Das ist juristisch sauber und operativ machbar.

Umsetzung in der Praxis

Eine KI-Richtlinie entfaltet nur dann Wirkung, wenn sie verbindlich eingebunden wird. Typischerweise geschieht dies als Anlage zum Dienstleistungs-, Agentur- oder Rahmenvertrag. Dabei sind drei Dinge entscheidend:

1. Geltung und Rangverhältnis: Klare Regel, dass die Richtlinie Bestandteil des Vertrags ist und wie sie zu anderen Regelungen steht (z. B. MSA/SOW-Struktur).
2. Änderungsmechanik: KI-Toollandschaften ändern sich laufend. Eine Richtlinie muss aktualisierbar sein, ohne jedes Mal den gesamten Vertrag neu zu verhandeln. Das gelingt über Textform-Mitteilung, angemessene Frist und eine praktikable Konfliktlösung (Widerspruch/Abstimmung).
3. Operative Anschlussfähigkeit: Freigaben müssen in den Alltag passen. Ein Prozess, der nur mit Compliance-Ticket und drei Unterschriften funktioniert, wird ignoriert. Ein Prozess, der per E-Mail und Tool-Liste läuft, wird gelebt.

Für Startups ist die Versuchung groß, das Thema kleinzureden: "Wir sind zu früh, zu klein, das wird schon gutgehen." Genau dort entstehen aber die typischen Langzeitschäden. Verträge werden mit Standard-Templates geschlossen, Agenturen arbeiten schnell und kreativ, und niemand achtet darauf, was mit Produkt- und Kundendaten passiert. Wenn das Startup später wächst, kommt die Due Diligence – und plötzlich ist unklar, ob IP sauber übertragen wurde, Daten sauber verarbeitet wurden oder Subunternehmer sauber eingebunden waren. Eine schlanke, gut formulierte KI-Richtlinie kostet am Anfang wenig, spart später aber erheblich Zeit, Geld und Diskussionen.

Für größere Unternehmen gilt das Gegenteil: Hier sind häufig bereits Compliance-Strukturen vorhanden, aber sie greifen nicht bis in die operative Agenturarbeit. Dann entstehen "Policy-Parallelwelten": intern streng, extern unklar. Eine externe KI-Richtlinie schließt genau diese Lücke.

Fazit

Sobald externe Dienstleister mit KI arbeiten, ist die Frage nicht mehr, ob es Risiken gibt, sondern ob sie beherrscht werden. Eine KI-Richtlinie für Externe ist dabei eines der effizientesten Werkzeuge. Sie schafft Klarheit über Tools, Daten, Freigaben, Dokumentation, Rechtekette und Haftung. Dies reduziert Streitpotenzial, verbessert die Nachweisbarkeit und verhindert, dass Unternehmen im Ernstfall ohne Fakten und ohne Vertragsschutz dastehen.

Wer mit Agenturen, Studios, Freelancern oder externen Tech-Teams zusammenarbeitet, sollte das Thema nicht dem Zufall überlassen. In vielen Fällen reicht eine kompakte, praxistaugliche Richtlinie. Diese muss sauber an den Vertrag angebunden sein und im Alltag funktionieren. Genau dafür gibt es keine "One-size-fits-all"-Vorlage: Toollandschaft, Risikoprofil, Datenarten und Wertschöpfung sind von Unternehmen zu Unternehmen verschieden.

Für die Erstellung, Anpassung und vertragliche Einbindung solcher KI-Richtlinien ist typischerweise eine Kombination aus operativer Kenntnis der Toolkette und präziser Vertragsarbeit erforderlich. Dies gilt insbesondere für Agentur- und Dienstleisterkonstellationen in Marketing, Content, Software, Games und Media. Die Ausarbeitung einer passgenauen KI-Richtlinie, inklusive Freigabeprozessen, Rechtekette und Haftungslogik, kann kurzfristig strukturiert umgesetzt werden. So können Unternehmen die Zusammenarbeit mit Externen skalieren oder bereits laufende Projekte absichern.