KI in der Softwareentwicklung: Warum Dokumentation und Entwicklungsprovenienz jetzt entscheidend werden

Künstliche Intelligenz ist in der Softwareentwicklung angekommen. Was vor wenigen Jahren noch als Zukunftstechnologie galt, ist heute in vielen Entwicklungsprozessen tägliche Praxis. KI-Tools schreiben Code, erstellen Tests, dokumentieren bestehende Programme, unterstützen beim Refactoring oder helfen bei der Migration alter Systeme.

Für Softwareunternehmen, Auftraggeber und Investoren stellt sich damit eine zentrale rechtliche Frage:

Ist Software, die mithilfe von KI entwickelt wurde, überhaupt urheberrechtlich geschützt?

Die Antwort lautet: Es kommt darauf an. Entscheidend ist nicht allein, dass KI eingesetzt wurde. Entscheidend ist vielmehr, welche Rolle der Mensch im Entwicklungsprozess gespielt hat.

Software ist grundsätzlich urheberrechtlich geschützt

Nach österreichischem Urheberrecht können Computerprogramme als Werke geschützt sein. Der Schutz knüpft insbesondere an den Quellcode, den Objektcode und bestimmte Entwicklungsmaterialien an.

Voraussetzung ist jedoch, dass das Computerprogramm Ergebnis einer eigenen geistigen Schöpfung ist. Das Urheberrecht schützt also menschliche schöpferische Leistungen. Genau hier beginnt das Problem bei KI-generierter Software.

Wenn ein Mensch programmiert und KI lediglich unterstützend verwendet, kann urheberrechtlicher Schutz weiterhin bestehen. Wenn aber die KI die eigentliche Entwicklungsleistung erbringt, fehlt es möglicherweise an der erforderlichen menschlichen Schöpfung.

KI als Werkzeug oder KI als autonomer Generator?

Rechtlich ist daher zu unterscheiden, ob KI lediglich als Werkzeug eingesetzt wird oder ob sie den wesentlichen schöpferischen Beitrag leistet.

Unproblematischer ist der Einsatz von KI etwa bei:

• Autocomplete-Funktionen,
• Code Review,
• Debugging,
• Refactoring,
• Dokumentationsvorschlägen,
• Testgenerierung,
• Unterstützung bei Architekturentscheidungen.

In diesen Fällen bleibt der Mensch regelmäßig steuernd tätig. Er entscheidet, was übernommen, verworfen, angepasst, integriert und veröffentlicht wird.

Anders kann es beim sogenannten Vibe-Coding sein. Dabei beschreibt der Nutzer in natürlicher Sprache, was die Software können soll, und die KI erzeugt weitgehend selbstständig den Code. Je weniger konkrete menschliche Vorgaben, Strukturentscheidungen und Bearbeitungsschritte vorliegen, desto eher stellt sich die Frage, ob überhaupt noch ein urheberrechtlich geschütztes Werk entstanden ist.

Der menschliche Beitrag muss nachvollziehbar sein

In der Praxis wird die entscheidende Frage künftig lauten:

Kann das Softwareunternehmen nachweisen, welche menschliche Leistung in die Software eingeflossen ist?

Es reicht nicht mehr aus, pauschal zu behaupten, dass Entwickler an der Software gearbeitet haben. Wenn KI-Tools im Entwicklungsprozess eingesetzt wurden, muss nachvollziehbar sein:

• wo KI eingesetzt wurde,
• welche Codebestandteile KI-generiert sind,
• welche Outputs übernommen wurden,
• welche Outputs verworfen wurden,
• welche menschlichen Änderungen vorgenommen wurden,
• welche Architekturentscheidungen vom Menschen stammen,
• welche Sicherheits-, Datenschutz- und Compliance-Überlegungen eingeflossen sind,
• welche Integrations- und Qualitätskontrollen erfolgt sind.

Damit wird die Entwicklungsprovenienz zu einem zentralen Element moderner Softwareentwicklung.

Was bedeutet Entwicklungsprovenienz?

Entwicklungsprovenienz beschreibt die nachvollziehbare Herkunft und Entstehung einer Software. Sie beantwortet die Frage, wie ein bestimmter Codebestandteil entstanden ist und welche Rolle Mensch und KI dabei gespielt haben.

Dabei kann sinnvoll unterschieden werden zwischen:

• rein menschlich entwickeltem Code,
• KI-generiertem Code,
• KI-generiertem, aber menschlich bearbeitetem Code,
• menschlich konzipierter, aber KI-unterstützt ausgeführter Software.

Diese Unterscheidung ist nicht bloß technisch interessant. Sie ist rechtlich relevant, weil nur menschliche schöpferische Leistungen urheberrechtlichen Schutz begründen können.

Ohne Dokumentation droht ein Beweisproblem

Wer sich auf urheberrechtlichen Schutz beruft, muss im Streitfall darlegen können, worin die menschliche schöpferische Leistung liegt.

Fehlt eine nachvollziehbare Dokumentation, kann dies erhebliche Folgen haben. Es entsteht dann nicht automatisch Schutzlosigkeit. In der Praxis kann das Softwareunternehmen aber in einen Beweisnotstand geraten.

Das bedeutet:

Ohne dokumentierte Entwicklungsprovenienz kann es schwierig werden, den urheberrechtlichen Schutz KI-assistierter Software erfolgreich geltend zu machen.

Für Softwareunternehmen sollte daher gelten:

KI-Einsatz ist nicht bloß eine technische Frage. KI-Einsatz ist eine Dokumentations-, Compliance- und Beweisfrage.

Art 50 Abs 2 KI-Verordnung als Transparenzleitbild

Auch die europäische KI-Verordnung zeigt, dass Transparenz bei KI-generierten Inhalten immer wichtiger wird. Art 50 Abs 2 KI-VO verpflichtet Anbieter bestimmter KI-Systeme dazu, synthetisch erzeugte Inhalte maschinenlesbar zu kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar zu machen.

Ob und in welchem Umfang diese Bestimmung unmittelbar auf Quellcode anwendbar ist, ist rechtlich zu diskutieren. Für die Softwareentwicklung ist die Regelung dennoch richtungsweisend.

Sie zeigt: Das Recht misst der Unterscheidbarkeit zwischen menschlich erzeugten und KI-generierten Inhalten zunehmende Bedeutung bei.

Für Softwareunternehmen folgt daraus jedenfalls ein praktischer Grundsatz:

KI-generierte Bestandteile sollten intern nachvollziehbar gekennzeichnet und dokumentiert werden.

Was sollte dokumentiert werden?

Eine rechtlich belastbare Entwicklungsdokumentation sollte insbesondere folgende Punkte enthalten:

• eingesetzte KI-Tools,
• Zeitpunkt und Zweck des KI-Einsatzes,
• verwendete Prompts,
• erzeugte KI-Outputs,
• übernommene Codebestandteile,
• verworfene Vorschläge,
• menschliche Änderungen,
• Commit Notes,
• Architekturentscheidungen,
• Code Reviews,
• Security Reviews,
• Testdokumentation,
• Freigabeentscheidungen,
• Kennzeichnung von KI-generierten Bestandteilen.

Besonders wichtig ist die Dokumentation dort, wo KI-generierter Code nachträglich durch Menschen verändert wurde. Denn gerade dort stellt sich die Frage, ob aus einem zunächst KI-generierten Output durch menschliche Bearbeitung ein urheberrechtlich schutzfähiges Werk oder Werkteil entstanden ist.

Falsche Angaben sind keine Lappalie

Unrichtige Angaben über den Einsatz von KI können erhebliche rechtliche Folgen haben.

Das betrifft insbesondere Fälle, in denen gegenüber Kunden, Investoren oder Vertragspartnern erklärt wird, eine Software sei vollständig menschlich entwickelt oder exklusiv urheberrechtlich geschützt, obwohl wesentliche Bestandteile KI-generiert und nicht ausreichend geprüft oder dokumentiert wurden.

Mögliche Folgen können sein:

• Gewährleistungsansprüche,
• Schadenersatzansprüche,
• Irrtumsanfechtung,
• Anfechtung wegen List,
• Verletzung vertraglicher Aufklärungspflichten,
• Probleme bei Rechtegarantien,
• Risiken in M&A-Transaktionen,
• in qualifizierten Einzelfällen auch strafrechtliche Prüfung.

Gerade bei Individualsoftware, White-Label-Produkten, SaaS-Lösungen und Softwareunternehmenstransaktionen kann die Frage der Entwicklungsprovenienz daher wirtschaftlich entscheidend sein.

Geschäftsgeheimnisse als alternative Schutzstrategie

Wenn der urheberrechtliche Schutz unsicher ist, rückt ein anderes Schutzregime in den Vordergrund: der Geschäftsgeheimnisschutz.

Nach § 26b UWG kann eine Information als Geschäftsgeheimnis geschützt sein, wenn sie:

• geheim ist,
• einen kommerziellen Wert hat,
• Gegenstand angemessener Geheimhaltungsmaßnahmen ist.

Der Vorteil: Der Geschäftsgeheimnisschutz knüpft nicht daran an, ob die Information von einem Menschen oder einer KI geschaffen wurde. Entscheidend ist vielmehr, ob die Information geheim und wirtschaftlich wertvoll ist und ob sie angemessen geschützt wird.

Für Softwareunternehmen bedeutet das:

• Quellcode sollte nicht unkontrolliert offengelegt werden.
• Zugriffsrechte sollten beschränkt sein.
• Geheimhaltungsvereinbarungen sollten verwendet werden.
• interne KI-Nutzung sollte geregelt werden.
• vertraulicher Code sollte nicht ohne Prüfung in öffentliche KI-Systeme eingegeben werden.
• technische und organisatorische Schutzmaßnahmen müssen dokumentiert werden.

Praktische Empfehlungen für Softwareunternehmen

Softwareunternehmen sollten ihre Entwicklungsprozesse an die neue Realität anpassen. Empfehlenswert sind insbesondere:

• interne KI-Richtlinien für Entwickler,
• Freigabe bestimmter KI-Tools,
• Verbot der Eingabe vertraulicher Kundendaten in ungeprüfte KI-Systeme,
• Kennzeichnung KI-generierter Codebestandteile,
• Dokumentation von Prompts und Outputs,
• verpflichtende Code Reviews,
• Security- und Compliance-Prüfungen,
• vertragliche Regelungen zum KI-Einsatz,
• klare Rechte- und Gewährleistungsklauseln,
• Schutzkonzept für Geschäftsgeheimnisse.

Wichtig ist: Dokumentation sollte nicht erst im Streitfall beginnen. Sie muss projektbegleitend erfolgen.

‍