Welche Lizenzen muss ich bei KI-generiertem Code prüfen?

Das Problem

Ihr kleines Entwicklerteam, oder die Kollegin, die abends Skripte für das Büro baut, nutzt einen KI-Assistenten zum Programmieren. Er liefert in Sekunden funktionierende Funktionen und schlägt gleich passende Bibliotheken vor. Das spart viel Zeit.

Doch Software besteht fast immer aus fremden Bausteinen, und jeder Baustein hat Bedingungen. Wer Programme an Kundschaft liefert, verkauft oder online anbietet, muss diese Bedingungen einhalten. Die KI sagt nicht von selbst, welche Lizenz ein vorgeschlagener Baustein hat, und sie kann Codeteile erzeugen, die bestehendem Code sehr ähnlich sind.

Hinzu kommt die Frage, wem der KI-geschriebene Code überhaupt gehört. Ein Computerprogramm gilt im Schweizer Urheberrecht als Werk, sofern es eine menschliche, individuelle Schöpfung ist. Rein maschinell erzeugter Code ist nach heutiger Auffassung oft nicht geschützt.

So lösen Sie es mit KI – Schritt für Schritt

1. Machen Sie eine Bestandsaufnahme. Listen Sie alle Bibliotheken, Pakete und Komponenten Ihres Projekts auf. Viele Paketverwaltungen und Werkzeuge erzeugen so eine Liste automatisch, oft als Stückliste (SBOM, Software Bill of Materials) bezeichnet.

1. Notieren Sie je Baustein die Lizenz. Suchen Sie auf der Projektseite oder in der Lizenzdatei nach Name und Version der Lizenz. Typische Namen: MIT, Apache 2.0, BSD, GPL, LGPL, AGPL. Erklärungen zu verbreiteten Lizenzen finden Sie bei der Open Source Initiative.

1. Ordnen Sie die Lizenzen ein. «Freizügige» Lizenzen wie MIT, BSD oder Apache 2.0 erlauben die Nutzung auch in kommerzieller Software, verlangen aber meist, dass Sie Lizenztext und Urhebervermerk mitliefern. «Copyleft»-Lizenzen wie die GPL können verlangen, dass Ihr eigener Code bei Weitergabe unter denselben Bedingungen offengelegt wird.

1. Beachten Sie, wie Sie die Software nutzen. Eine Software nur intern zu betreiben ist rechtlich oft anders zu beurteilen als sie auszuliefern. Bei der AGPL kann schon das Anbieten über ein Netzwerk Pflichten auslösen. Prüfen Sie den genauen Lizenztext.

1. Prüfen Sie Codeähnlichkeit. Markieren Sie grössere Codeblöcke, die die KI geliefert hat, und suchen Sie nach einem Ausschnitt in öffentlichen Quellen. Viele Entwicklungsassistenten haben Einstellungen, die Vorschläge mit öffentlichem Code abgleichen. Prüfen Sie, ob Ihr Werkzeug das anbietet.

1. Dokumentieren Sie den KI-Einsatz. Halten Sie fest, welche Teile mit KI entstanden sind, mit welchem Werkzeug und wann. Das hilft bei Rückfragen von Kundschaft oder bei einer Prüfung.

1. Nehmen Sie Lizenzhinweise in die Auslieferung auf. Legen Sie eine Datei «THIRD-PARTY-LICENSES» oder ähnlich bei, in der alle Bausteine mit Lizenz stehen. Fehlende Hinweise sind einer der häufigsten Verstösse.

1. Lassen Sie heikle Fälle prüfen. Bei Copyleft-Bausteinen in Produkten, die Sie verkaufen, oder bei Ähnlichkeit zu fremdem Code lohnt sich eine fachliche Prüfung.

Vorlage zum Kopieren

Erstelle eine Lizenz-Prüfliste für mein Softwareprojekt.
Projekt: [Name, kurze Beschreibung].
Sprache/Umgebung: [z. B. Python, JavaScript, PHP].
Weitergabe: [nur intern / an Kundschaft geliefert / als Online-Dienst].
Komponenten (Name, Version, Lizenz, soweit bekannt):
[Liste einfügen].
Erstelle eine Tabelle: Komponente, Lizenz, Typ (freizügig/Copyleft/
unbekannt), Pflichten bei meiner Weitergabeart, Offene Fragen.
Markiere Lizenzen, die ich selbst im Originaltext prüfen muss.
Behaupte keine Lizenz, die ich dir nicht genannt habe.

Fügen Sie Ihre Komponentenliste ein, und kontrollieren Sie jede Lizenz anschliessend an der Quelle selbst.

Was bedeuten die gängigen Lizenzarten?

Worauf Sie achten müssen

• Die KI kennt Lizenzen nicht zuverlässig: Sie kann eine falsche Lizenz nennen oder Pakete erfinden. Lesen Sie die Lizenz in der Originalquelle des Pakets.
• Verwechslung ähnlicher Pakete: KI schlägt manchmal Pakete vor, die es nicht gibt oder die ähnlich klingen wie ein echtes. Das ist auch ein Sicherheitsrisiko. Prüfen Sie Herkunft und Betreuung jedes Pakets.
• Geheimnisse nicht einfügen: Geben Sie keine Zugangsdaten, Kundendaten oder vertraulichen Quelltexte in öffentliche KI-Dienste ein. Beachten Sie dazu Geschäftsgeheimnisse schützen.
• Vertragliche Zusagen: Wenn Sie Software verkaufen, versichern Verträge oft, dass keine Rechte Dritter verletzt werden. Prüfen Sie, was Sie zusichern.
• Schutz Ihres Codes: Reine KI-Ausgabe ist oft nicht geschützt. Wo Ihr Code ein Wettbewerbsvorteil ist, sollten Menschen die wesentlichen Teile gestalten und überarbeiten.
• Keine Rechtsberatung: Bei Produkten mit hoher Bedeutung hilft eine Fachperson für Software- und Lizenzrecht.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Informatik-Dienstleister in Rapperswil baut für einen Treuhandbetrieb ein Tool, das Belege einliest. Ein Entwickler nutzt dafür einen KI-Assistenten, der mehrere Bibliotheken vorschlägt. Das Tool läuft, und die Auslieferung steht an.

Vorher gab es keine Liste der Bausteine. Nachher erstellt die Teamleiterin mit der Vorlage eine Tabelle. Bei einer Bibliothek steht «unbekannt»; beim Nachschauen zeigt sich eine Copyleft-Lizenz, die für die geplante Weitergabe Folgen hätte.

Das Team ersetzt den Baustein durch eine freizügig lizenzierte Alternative und legt die Lizenzdatei der übrigen Pakete bei. Der KI-Einsatz ist im Projektprotokoll vermerkt. Der Kunde erhält die Software samt Lizenzübersicht.

So hilft Ihnen Alpasana

Der Kurs KI für Developer mit Claude und Codex auf absofort behandelt Codegenerierung, Debugging, Refactoring und Review sowie Datenschutzgrenzen. Sie lernen, Aufgaben an KI zu delegieren und die Ergebnisse systematisch zu verifizieren, und erhalten ein Entwickler-Playbook mit Review-Regeln und Tests.

Eine Lizenzberatung ist darin nicht enthalten. Zur Vertiefung lesen Sie Wem gehören Texte und Bilder aus einer KI? und Checkliste für Verträge mit KI-Anbietern.

Häufige Fragen

Gehört mir der Code, den die KI geschrieben hat?

Viele Anbieter überlassen Ihnen ihre Rechte am Ergebnis. Ob überhaupt ein Urheberrecht besteht, hängt davon ab, wie viel menschliche Gestaltung im Code steckt. Reine KI-Ausgabe ist nach heutiger Auffassung oft nicht geschützt.

Muss ich meinen Code veröffentlichen, wenn die KI GPL-Code kopiert hat?

Das lässt sich nicht pauschal sagen. Es kommt darauf an, ob tatsächlich geschützter Code übernommen wurde und wie Sie ihn nutzen. Bei einem Verdacht prüfen Sie den Fall mit einer Fachperson, bevor Sie ausliefern.

Reicht es, wenn der Anbieter versichert, der Code sei sicher nutzbar?

Nur eingeschränkt. Zusagen von Anbietern gelten oft nur unter Bedingungen und für bestimmte Tarife. Lesen Sie, was genau zugesichert wird, und prüfen Sie weiterhin selbst.