AI-implementeringskontrakt: otte klausuler, der mangler i standard IT-aftaler

Vejledende materiale skrevet fra leverandørens perspektiv. Beskriver typiske løsninger, afgør ikke konkrete enkeltsager. På møder forud for implementeringer i virksomheder med 50–250 ansatte dukker ét argument jævnligt op: til AI-implementering rækker en standard IT-aftale plus et GDPR-tillæg. Det lyder fornuftigt. En standard IT-kontrakt regulerer tidsfrister, godkendelse, bod, rettigheder til kode og databehandling. Hvis en chatbot eller dokumentautomatisering blot er "endnu et system", hvorfor så formulere nye bestemmelser. Desuden stiller AI Act ikke krav om en særskilt aftaleform for lavrisikosystemer.

Modpartens stærkeste argument

Argumentet bygger på et solidt grundlag. En standard IT-aftale indeholder normalt en godkendelsesplan, konventionalbod, overdragelse af ophavsret til kode, fejlrapporteringsprocedurer samt en databehandleraftale i henhold til artikel 28 i GDPR. Ved udrulning af ERP eller en e-handelsplatform var dette som regel tilstrækkeligt. Leverandører af AI-systemer tilbyder også skabeloner med generelle formuleringer om sikkerhed og forbud mod træning på kundens data. Bøder under GDPR når op på 4% af den årlige globale omsætning, så en databehandleraftale betragtes ofte som tilstrækkelig beskyttelse. Dertil kommer, at sanktionerne i AI Act, op til 15.000.000 EUR eller 3% af den globale omsætning, primært gælder udbydere af højrisikosystemer og ikke virksomheden, der implementerer en chatbot til ordrehåndtering.

AIBillede genereret af AI.

Hvad dette argument ikke dækker

En standard IT-kontrakt afklarer ikke fire forhold, der afgør risikoniveauet inden for AI. For det første: prompt og konfiguration. Hvorvidt de udgør et værk i henhold til ophavsretsloven, afhænger af deres kreative karakter, men standardskabelonen forholder sig sjældent til, hvem de økonomiske ophavsrettigheder tilhører. Resultatet er ofte, at leverandøren efter aftalens ophør kan genbruge det samme prompt-lag hos en konkurrent. For det andet: modelversionering. OpenAI og Anthropic udfaser modeller med få ugers eller måneders varsel, som det fremgår af udfasningsdokumentationen, og en standardkontrakt giver ikke kunden ret til at blokere for automatiske opgraderinger før gennemførte accepttests. For det tredje: dataeksport. Samtalelogfiler og vektorembeddings er ikke almindelige SQL-tabeller, så en klausul om, at "leverandøren tilbageleverer dataene", er ofte værdiløs i praksis. For det fjerde: hallucinationer. Ansvar for et "fejlbehæftet resultat" kræver en defineret tærskelværdi, da ethvert ukorrekt svar ellers udløser en tvist om kvalitet. Dertil kommer ansvarsfordelingen i henhold til AI Act: Udbydere af AI-systemer og implementerende parter har forskellige forpligtelser, og en standard IT-kontrakt skelner sjældent mellem dem. Fra 2.08.2026 skal chatbots oplyse om interaktion med AI og mærke genereret indhold.

Vores holdning

I vores praksis indeholder en kontrakt om produktionsimplementering af AI otte klausuler, som mangler i en standard IT-kontrakt: rettigheder til prompts og konfiguration (overdragelse af økonomiske ophavsrettigheder eller en uigenkaldelig, eviggyldig licens med ret til ændring og videreoverdragelse), 60 dages varsel ved udfasning af modeller og forbud mod automatiske opgraderinger uden accepttests, dataeksport inden for 30 dage i JSON-, CSV- eller JSONL-format, sletning af sikkerhedskopier inden for 60 dage, en hallucinationstærskel på ≤5% på et testsæt, ansvarsbegrænsning for leverandøren svarende til 12 måneders vederlag, deponering af prompts og kode hos notar eller i escrow samt support ved udfasning i 3 måneder til standardtakst. Hos os fungerer det således, at vi ved implementering af en mailassistent på en stikprøve på 500 beskeder først modtog et modelkort med nøgletal, hvorefter accepttests på denne stikprøve afgjorde den endelige version. Uden disse vilkår står kunden med et fungerende system, men uden en exitstrategi og uden en defineret ansvarsgrænse for systemets output.

AIBillede genereret af AI.

Anbefalede tiltag i dette kvartal

I dette kvartal, før en aftale underskrives, bør det undersøges, om leverandøren overhovedet er villig til at forhandle om dataeksport inden for 30 dage og en hallucinationstest på ≤5%. Afvises begge dele, betyder det ikke, at projektet må opgives, men det tydeliggør, hvilke risici kunden selv bærer. Vi ville kun ændre holdning på én betingelse: Hvis leverandøren stiller en lokal instans af en open source-model til rådighed med et auditeret modelkort og fuld adgang til vægtene, mister klausulerne om udfasning af eksterne API'er deres betydning. Indtil da behandler vi en AI-implementeringsaftale som et selvstændigt dokument, ikke som et tillæg til en IT-standardskabelon.