Uppdatera kontrakt för AI: Klausuler som varje kommersiellt kontrakt bör innehålla
Om ditt företag köper, säljer eller bygger in AI i de produkter och tjänster du erbjuder, kanske du har märkt att dina befintliga kontraktsmallar inte skrevs med denna teknik i åtanke. Det är en helt förståelig lucka, eftersom de flesta kommersiella kontrakt utformades för förutsägbar programvara som beter sig på samma sätt varje gång, inte system som lär sig, anpassar sig och ibland producerar oväntade resultat som AI gör. Den här guiden förklarar vad som förändras och vilka klausuler som är värda att granska i dina egna avtal.
Varför standardavtalsvillkor inte är tillräckliga för AI
Traditionella kommersiella kontrakt tenderar att anta deterministisk programvara, vilket betyder kod som beter sig konsekvent och förutsägbart med samma indata. AI-system, särskilt de som bygger på maskininlärning, fungerar inte nödvändigtvis på detta sätt. De kan producera olika utdata från liknande indata, deras beteende kan förändras över tid när modeller uppdateras och de kan ibland generera resultat som helt enkelt är fel.
Ansvarsbestämmelser som är lämpade för traditionell IT-upphandling är sannolikt inte tillräckliga när de tillämpas på AI, eftersom AI har potential att orsaka skada i stor skala om något går fel. Det är därför det är ett viktigt steg i riskhanteringen att granska dina kontraktsmallar.
Ägarskap och utbildningsbegränsningar
Ett av de viktigaste områdena att ta itu med är vad som händer med de data du delar med en AI-leverantör. Många AI-verktyg är utformade för att lära sig av de data som matas in i dem, vilket väcker en verklig fråga om huruvida din konfidentiella information, kunddata eller proprietära innehåll kan komma att forma en modell som används av andra kunder helt och hållet.
En bra idé är att tydligt definiera äganderätten till indata, utdata och utbildningsdata och kräva att ett AI-system inte tränar på någon information du matar in, inklusive personlig eller konfidentiell information, såvida du inte har gett ditt uttryckliga skriftliga godkännande. Om ditt företag hanterar känsliga kunddata förtjänar denna klausul särskild uppmärksamhet, eftersom konsekvenserna av att göra fel sträcker sig långt bortom det omedelbara kontraktet.
En klausul som täcker detta kan formuleras enligt följande, men den bör alltid anpassas till dina egna omständigheter med korrekt juridisk input:
”Leverantören ska inte använda kunddata, inklusive personuppgifter eller konfidentiell information som lämnats av kunden, för att utbilda, finjustera eller på annat sätt förbättra någon modell eller något system, vare sig det är till kundens egen fördel eller någon annan kunds fördel, utan kundens föregående skriftliga samtycke.”
Ansvar och ersättning för AI-genererad skada
Eftersom AI-resultat kan vara oförutsägbara måste ansvarsklausuler förutse scenarier som traditionella mjukvaruavtal sällan beaktar, såsom ett AI-system som producerar diskriminerande eller sakligt felaktigt resultat som orsakar ekonomisk förlust eller anseendeskada. Företag som upphandlar AI kan vilja förhandla fram ett särskilt ansvarstak för AI-genererad skada, potentiellt kopplat till leverantörens ansvarsförsäkring, medan leverantörer vanligtvis försöker begränsa sitt ansvar där kundens egna data, uppmaningar eller konfiguration bidrog till problemet.
En användbar illustration av hur domstolar närmar sig denna fråga kom från ett kanadensiskt domstolsbeslut från 2024 mot Air Canada, som diskuterades flitigt av brittiska juridiska kommentatorer, inklusive Pinsent Masons, som en varning för alla företag som använder AI-verktyg. En kund förlitade sig på felaktig information från Air Canadas webbplatschatbot om kostnader för dödsfall, och flygbolaget hävdade att det inte kunde hållas ansvarigt eftersom chatboten borde behandlas som en separat enhet från företaget. Tribunalen avvisade det argumentet helt och fann flygbolaget ansvarigt för chatbotens utdata på samma sätt som det skulle vara ansvarigt för all annan information på sin egen webbplats. Fallet är en tydlig påminnelse om att ett företag inte kan förvänta sig att frånsäga sig ansvar för vad dess AI-verktyg säger eller gör bara för att utdata genererades automatiskt, vilket gör en tydlig avtalsenlig ansvarsfördelning mellan leverantör och kund desto viktigare.
Avtal bör tydligt fördela ansvaret för AI-utdata, särskilt där dessa utdata bidrar till beslut som påverkar individer, såsom HR-, kredit- eller försäkringsbeslut, och bör säkerställa att eventuella undantag eller tak för ansvar inte olagligen utesluter ansvar för frågor som personskada eller bedrägeri.
Illustrativ formulering för ett ansvarstak som tar upp detta kan lyda:
"Leverantörens sammanlagda ansvar för förlust eller skada som uppstår till följd av en utdata som genereras av AI-systemet ska inte överstiga de totala avgifter som kunden betalat under de tolv månader som föregår kravet, förutom att ingenting i denna klausul ska begränsa ansvaret för dödsfall, personskada, bedrägeri eller annat ansvar som inte lagligen kan uteslutas eller begränsas."
Immateriella rättigheter och intrång från tredje part
AI-genererat innehåll kan ge upphov till svåra frågor om immateriella rättigheter, särskilt kring huruvida utdata oavsiktligt kan reproducera eller likna befintligt upphovsrättsskyddat material. Kunder som upphandlar AI-tjänster vill ofta ha ersättning som skyddar dem mot tredjepartsanspråk om att ett AI-systems utdata gör intrång i någon annans immateriella rättigheter, eftersom denna risk till stor del ligger utanför deras kontroll men kan utsätta dem för rättsliga anspråk oavsett.
Detta är inte en teoretisk fråga. I november 2025 avkunnade High Court dom i Getty Images mot Stability AI, det första brittiska fallet som behandlade upphovsrättsintrång till följd av träning och användning av en generativ AI-modell. Stability AI ogillade slutligen Gettys huvudsakliga upphovsrättsanspråk, till stor del för att Getty inte kunde visa att den relevanta träningen hade ägt rum i Storbritannien, men domstolen fann begränsat varumärkesintrång där modellen hade reproducerat Gettys vattenstämplar i sina utdata. Fallet lämnade många av de centrala frågorna om träningsdata och upphovsrätt olösta, vilket är just därför som ersättnings- och garantiklausuler som adresserar IP-risk fortfarande är så viktiga. Företag kan inte anta att lagen skyddar dem bara för att ett tidigt fall gick på ett visst sätt baserat på sina egna specifika fakta.
En grundläggande ersättning som hanterar denna risk kan formuleras enligt följande:
"Leverantören ska hålla kunden skadeslös för alla anspråk, förluster eller kostnader som uppstår till följd av en anklagelse om att kundens korrekta användning av utdata gör intrång i en tredje parts immateriella rättigheter, förutsatt att kunden omedelbart meddelar leverantören om sådana anspråk och tillåter leverantören att kontrollera sitt försvar och sin förlikning."
Transparens, mänsklig tillsyn och revisionsrättigheter
När ett AI-system används för att fatta eller påverka beslut om människor bör kontrakt innehålla tydliga skyldigheter kring transparens och mänsklig tillsyn. Detta innebär att man anger vem som är ansvarig för att granska AI-utdata innan de ageras utifrån, och att det finns en dokumenterad process för att eskalera oro över systemets prestanda.
För AI-system som faller inom kategorier med högre risk rekommenderas att du säkrar rätten att granska eller granska AI-systemets prestanda och eventuella uppdateringar som gjorts i det, så att din organisation kan upprätthålla kontinuerlig tillsyn snarare än att enbart förlita sig på försäkringar som ges vid undertecknandet.
Värdet av den här typen av klausul demonstrerades i januari 2024, när det brittiska paketleveransföretaget DPD var tvunget att inaktivera en del av sin kundtjänstchattbot efter att en rutinmässig systemuppdatering fick dem att svära på en kund och skriva en dikt där de kritiserade företaget, en incident som rapporterades flitigt vid den tiden. Felet blev uppenbart först när en frustrerad kund publicerade skärmdumpar online, snarare än genom någon intern övervakningsprocess. Oavsett om du är företaget som driftsätter AI-verktyget eller leverantören som tillhandahåller det, är en avtalsenlig rätt att bli meddelad om viktiga uppdateringar, tillsammans med en tydlig process för att testa och övervaka beteende efter att ändringar har gjorts, ett praktiskt skydd mot just denna typ av fel.
Formuleringar som omfattar meddelande- och revisionsrättigheter kan se ut ungefär så här:
"Leverantören ska ge kunden minst [infoga antal] dagars skriftligt meddelande om alla väsentliga uppdateringar av AI-systemets underliggande modell, träningsdata eller konfiguration, och ska tillåta kunden att, med rimligt varsel och under normal kontorstid, granska eller testa AI-systemets prestanda och resultat."
Efterlevnad av föränderlig regelverk
Med tanke på hur snabbt AI-regleringen utvecklas i EU och Storbritannien bör kontrakt hänvisa till efterlevnad av relevanta ramverk som EU:s AI-lag och tillämplig brittisk GDPR och ICO-vägledning om AI och dataskydd, samtidigt som de detaljerade tekniska kontrollerna hålls i ett schema som kan uppdateras utan att hela avtalet skrivas om. Denna metod undviker att kontraktet blir föråldrat varje gång riktlinjerna ändras, samtidigt som efterlevnadsskyldigheterna fortfarande är bindande.
Det är också värt att inkludera en upplysningsskyldighet som kräver att din leverantör, före användning, informerar dig om något AI-system kommer att beröra dina data eller leveranser, tillsammans med ett krav på skriftligt godkännande innan AI används i scenarier med högre risk, såsom innehåll som publiceras utan mänsklig granskning.
Uppsägning, dataradering och utträdesarrangemang
Slutligen, glöm inte bort vad som händer när relationen upphör. Kontrakt bör specificera vad som händer med dina data och eventuella modeller som tränats på dem när avtalet upphör, inklusive tydliga tidsramar för radering och, i förekommande fall, ett krav på att leverantören ska lämna skriftlig bekräftelse på att radering har skett.
En enkel utträdesklausul som täcker detta kan lyda:
"Vid uppsägning eller utgång av detta avtal ska leverantören, inom [infoga antal] dagar, radera eller säkert returnera all kunddata som lagras i eller behandlas av AI-systemet, inklusive all kunddata som används för utbildningsändamål, och ska ge kunden skriftlig bekräftelse på att sådan radering har ägt rum."
Uppdatera dina avtal
AI utvecklas tillräckligt snabbt för att kontraktsmallar som utarbetats för bara ett eller två år sedan redan kan sakna viktiga skydd. Att granska dina standardvillkor, oavsett om du är det företag som levererar AI-kapacitet eller det som upphandlar den, är ett av de mest praktiska stegen du kan vidta för att hantera de juridiska och kommersiella risker som följer med denna teknik.
Om du är osäker på om dina nuvarande avtal tillräckligt tar upp AI-användningen, antingen av dig eller av dina leverantörer, är det mycket enklare att få specialistjuridisk input om dina mallar nu än att försöka omförhandla efter att något har gått fel.
Hur kan Gerrish Legal hjälpa till?
Gerrish Legal är en dynamisk digital advokatbyrå. Vi är stolta över att ge högkvalitativ och expertjuridisk rådgivning till våra värderade kunder. Vi är specialiserade på många aspekter av digital rätt, såsom GDPR, dataskydd, digital och teknologisk rätt, handelsrätt och immaterialrätt. Vi ger företag det stöd de behöver för att framgångsrikt och tryggt driva sina verksamheter samtidigt som de följer lagstadgade regler utan bördorna av att hålla jämna steg med ständigt föränderliga digitala krav. Vi finns här för att hjälpa dig, kontakta oss idag för mer information.