EU’s regulering presser nu direkte ind i kontrakter om udvikling, levering og brug af AI-løsninger. Parterne må eksplicit aftale ansvar, dokumentation og test, fordi AI Act fastlægger produktkrav og roller, men ikke fordeler de kontraktuelle risici mellem kunde og leverandør. Konsekvensen er, at klassiske softwarevilkår skal suppleres med særregler om probabilistiske output, forklarbarhed og databrug.
Udviklingskontrakter for AI
AI er software, men adskiller sig fra traditionel udvikling ved, at output ofte beror på sandsynlighed. Det udfordrer acceptprøver og mangelsvurdering, fordi et svar kan være nyttigt, men ikke deterministisk korrekt i alle scenarier. Kontrakten bør derfor definere præcise acceptkriterier, mål for nøjagtighed og metoder til validering, herunder realistiske sandkassetests, så parterne kan vurdere performance under forhold, der ligner drift.
Rettighedsregulering er også central. Generative systemer kan skabe værdifulde resultater, der ikke nødvendigvis nyder ophavsretlig beskyttelse. Det taler for aftalte brugsrettigheder til output, klare regler for træningsdata, og beskyttelse af forretningshemmeligheder og databaser. Leverandørens garantier om oprindelse, frihed for tredjemandsrettigheder og dokumenteret modelstyring kan reducere konflikter.
Forklarbarhed og logning er kritiske, særligt ved behandling af personoplysninger og automatiske afgørelser efter GDPR. Offentlige myndigheder skal kunne begrunde afgørelser efter forvaltningsloven. Kontrakten bør derfor sikre adgang til relevante logs, model- og versionshistorik samt beskrivelse af beslutningslogik gennem hele systemets livscyklus.
Outsourcing med AI
Ved outsourcing, hvor leverandøren anvender AI til at udføre opgaver, opnås gevinster i tid og omkostninger. Men risikoen for fejlbehæftet output, tvivl om ophavsret til AI-genereret kode og skjult brug af tredjepartsværktøjer kræver kontraktuel styring. Parterne bør aftale ejerskab til leverancer og output, samt hvordan open source- eller copyleft-vilkår håndteres.
Ansvarsplacering for rådgivningsfejl eller urigtige rapporter, der stammer fra AI-værktøjer, bør være tydelig. Det kan ske gennem garantier, professional standard-udmåling, ansvarsbegrænsninger og krav om kvalitetskontrol, modelovervågning og menneskelig review. For persondata bør der stilles krav om dataminimering, DPIA, gennemsigtighed, tekniske og organisatoriske foranstaltninger samt audit- og informationsrettigheder.
Regulering og standarder
AI Act definerer bl.a. højrisikosystemer og opstiller overholdelseskrav, men adresserer ikke betalingsvilkår, ansvarsbegrænsning, tvister eller lovvalg. EU-Kommissionens modelklausuler for offentlige indkøb af højrisko- og ikke-højrisikosystemer er nyttige som startpunkt, men dækker primært overholdelse af AI Act. De bør udvides med almindelige kommercielle vilkår.
Som minimum bør AI-kontrakter eksplicit regulere følgende fokusområder:
- Forklarbarhed, logning, dokumentation og adgang til beviser i hele livscyklussen.
- Test, nøjagtighedsmål, sandkassetest og klare acceptkriterier.
- Rettigheder til træningsdata, modeller og output samt håndtering af tredjepartsrettigheder.
- Ansvarsplacering, begrænsninger, forsikring og afhjælpning ved fejl og bias.
- Compliance med GDPR, NIS2, DORA og Data Act, inkl. audit- og underleverandørstyring.
Området er i hurtig udvikling. Hold øje med retspraksis og opdateret best practice, herunder EU’s modelklausuler, som kan tilgås via EU’s platform for offentlige indkøbere: Updated EU AI model contractual clauses | Public Buyers Community.
