Definition: KI-Haftung
KI-Haftung ist der rechtliche Rahmen, der bestimmt, wer für Schäden durch ein KI-System verantwortlich ist - verschuldensunabhängig für Anbieter nach der überarbeiteten EU-Produkthaftungsrichtlinie, verschuldensabhängig für Betreiber nach §823 BGB, und als Bußgeldrisiko nach der EU-KI-Verordnung.
Kernmerkmale von KI-Haftung
KI-Haftung unterscheidet sich von klassischer Produkthaftung, weil KI-Systeme von Natur aus intransparent sind, sich durch Updates und selbstlernendes Verhalten nach der Inbetriebnahme verändern, und weil eine Kette aus Anbieter, Integrator und Betreiber an jedem Schaden beteiligt sein kann.
- Anbieter-Betreiber-Unterscheidung bestimmt, wer verschuldensunabhängig und wer verschuldensabhängig haftet
- KI-Act-Non-Compliance löst eine Fehlervermutung in Zivilverfahren aus
- Offenlegungspflichten erlauben Gerichten, Trainingsdaten und Quellcode vom Anbieter anzufordern
- Versicherungslücken: Berufs- und Produkthaftpflicht-Policen decken KI-spezifische Risiken oft nicht ab
KI-Haftung vs. klassische Produkthaftung
Die bisherige EU-Produkthaftungsrichtlinie von 1985 verlangte vom Kläger den Nachweis von Fehler, Schaden und Kausalzusammenhang - für KI-Systeme, deren Fehler aus statistischem Modellverhalten entstehen, ein nahezu unerfüllbares Beweismaß. Die überarbeitete Richtlinie 2024/2853 schließt diese Lücke: Software einschließlich KI gilt als Produkt, die Haftung erstreckt sich über den gesamten Lebenszyklus inklusive Cloud-Updates, und bei technisch-wissenschaftlicher Komplexität kann das Gericht sowohl Fehler als auch Kausalzusammenhang vermuten - was KI-Systeme systematisch qualifiziert.
Bedeutung von KI-Haftung im Enterprise-KI-Umfeld
Mit 13 % der Unternehmen, die bereits Angriffe auf KI-Modelle oder -Anwendungen gemeldet haben (IBM 2025), und 53 % der deutschen Unternehmen, die Rechtsunsicherheit als größtes Adoptionshemmnis nennen (Bitkom 2025), ist Haftungsexposition die praktische Realität hinter abstrakten Compliance-Gesprächen. Drei parallele Rechtsrahmen greifen bei jedem Unternehmen, das KI in folgenreichen Entscheidungen einsetzt: überarbeitete PLD (verschuldensunabhängige Anbieter-Haftung ab Dezember 2026), DSGVO Art. 22 (Recht auf Nichtautomatisierung), und EU-KI-VO-Bußgelder bis 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
Methoden und Verfahren für KI-Haftung
Drei operative Ansätze reduzieren das Haftungsrisiko für Unternehmen, die KI einsetzen.
Risikoklassifizierung vor dem Einsatz
Jedes KI-Tool muss vor der Inbetriebnahme gegen Anhang III der EU-KI-VO geprüft werden. Bewerberscreening, Kreditscoring, Mitarbeiterüberwachung und sicherheitskritische Qualitätskontrolle sind explizit als Hochrisiko eingestuft.
- Jedes KI-Tool einer Anhang-III-Kategorie zuordnen und die Klassifizierung dokumentieren
- Für Hochrisiko-Systeme: benannte Aufsichtsperson mit Überschreibungsbefugnis ernennen
- KI-System-Protokolle mindestens sechs Monate aufbewahren (EU-KI-VO-Minimum), länger für Litigation-Hold
Menschliche Aufsicht als primäre Schutzmaßnahme
Human-in-the-Loop-Prüfung, die dokumentiert ist - nicht nur theoretisch verfügbar -, ist die wirksamste Einzelmaßnahme gegen Haftungsrisiken. Das Urteil Moffatt v. Air Canada (British Columbia Civil Resolution Tribunal, 2024) stellte fest, dass Unternehmen vollständig für KI-System-Ausgaben haften, unabhängig vom zugrunde liegenden Anbieter. Eine dokumentierte menschliche Überprüfungsebene verlagert Ansprüche von absoluter Haftung auf Fahrlässigkeit im Überwachungsprozess - eine deutlich engere und besser verteidigbare Exposition.
Anbieterverträge und KI-Act-Konformität
Nach Art. 9 der überarbeiteten PLD können Gerichte Anbieter zur Offenlegung von Trainingsdaten, Quellcode und Testberichten verpflichten. Für Betreiber entsteht daraus eine Beschaffungssorgfaltspflicht. Verträge mit KI-Anbietern sollten enthalten: Garantien für EU-KI-VO-Konformität, DSGVO-Auftragsverarbeitungsverträge, Freistellungsklauseln für Drittansprüche aus KI-Fehlern, und ausdrückliche Rechte an der Dokumentation, die für Gerichts-Disclosure benötigt wird.
Wichtige Kennzahlen für KI-Haftung
Haftungsexposition erfordert aktives Monitoring über drei Dimensionen.
Operative Compliance-Kennzahlen
- KI-Inventar-Abdeckung: 100 % der eingesetzten KI-Systeme klassifiziert und dokumentiert
- Human-Oversight-Quote: 100 % für Hochrisiko-Systeme, 80 %+ für Systeme mit begrenztem Risiko
- Art.-50-Offenlegungsquote: 100 % der kundenseitigen KI-Tools weisen beim ersten Kontakt auf KI hin (Pflicht ab August 2026)
- Reaktionszeit auf Behördenanfragen: Antwortfähigkeit innerhalb von fünf Werktagen
Finanzielles Haftungsmaß
Bußgelder allein schaffen erhebliche Exposition: bis 35 Millionen Euro oder 7 % des Jahresumsatzes für verbotene KI-Praktiken, bis 15 Millionen Euro oder 3 % für Verstöße gegen Art. 50 Transparenzpflichten, und bis 7,5 Millionen Euro oder 1 % für falsche Angaben gegenüber Behörden. Zivilrechtliche Ansprüche nach der überarbeiteten PLD und §823 BGB kommen hinzu. BCG-Daten zeigen, dass 70 % der KI-Transformationen ohne adäquate Governance ihre Ziele verfehlen - die finanziellen Folgekosten mangelhafter KI-Steuerung übersteigen oft die direkten Bußgeldrisiken.
Versicherungsdeckung
Berufshaftpflicht- und Produkthaftpflicht-Policen auf KI-spezifische Ausschlüsse prüfen. Neun von zehn Unternehmen bekunden Interesse an spezieller GenAI-Haftpflichtdeckung (Genfer Vereinigung 2025). Der KI-Versicherungsmarkt wächst mit ~21,5 % p.a. auf prognostizierte 45 Milliarden US-Dollar bis 2035 - ein deutliches Signal, dass Standardpolicen zunehmend unzureichend werden.
Risikofaktoren und Kontrollen bei KI-Haftung
Drei strukturelle Risiken erfordern explizites Management.
Unbeabsichtigter Anbieterstatus
Ein Betreiber, der ein KI-System wesentlich verändert - durch Fine-Tuning auf eigene Daten, Zweckänderung oder Vertrieb unter eigenem Markennamen - wird automatisch zum Hersteller im Sinne der EU-KI-VO und der überarbeiteten PLD. Dieser Wechsel ist automatisch; keine Meldung oder Registrierung löst ihn aus.
- Fine-Tuning eines Anbieter-Modells auf Unternehmensdaten für den internen Einsatz: potenzieller Anbieterstatus
- Aufbau eines kundenseitigen Produkts auf Basis eines LLM: wahrscheinlicher Anbieterstatus
- Einsatz eines KI-Tools unter eigenem Markennamen gegenüber Kunden: Anbieterstatus unabhängig von der zugrunde liegenden Technologie
Black-Box-Opazität und Beweisführung
KI-Governance-Dokumentation - Risikoanalysen, Model Cards, Testprotokolle - ist sowohl Compliance-Pflicht als auch primäre Verteidigung vor Gericht. Art. 9 PLD erlaubt Klägern, die Offenlegung technischer KI-Dokumentation zu erzwingen. Anbieter, die keine zugängliche Dokumentation vorlegen können, riskieren eine eigenständige Fehlervermutung. Für Betreiber entsteht daraus eine Prüfpflicht bei der Beschaffung.
Shadow AI und unerlaubter Mitarbeitereinsatz
Mitarbeitende, die unerlaubt Shadow-AI-Tools nutzen, begründen eine Arbeitgeberhaftung für Schäden, die im Rahmen der beruflichen Tätigkeit entstehen - selbst für nicht freigegebene Tools. IBM 2025 zeigt: 63 % der von Datenpannen betroffenen Unternehmen hatten keine KI-Governance-Richtlinien. Eine schriftliche KI-Nutzungsrichtlinie und Pflichtschulung reduziert diese Exposition erheblich.
Praxisbeispiel
Ein 85-köpfiger Personaldienstleister aus Hamburg nutzte ein KI-gestütztes Bewerberscreening-Tool, das Lebensläufe automatisch vorrankte und ältere Kandidaten systematisch schlechter bewertete. Drei abgelehnte Bewerberinnen im Alter über 55 reichten eine Diskriminierungsbeschwerde nach dem AGG ein. Das Bewerberscreening fällt explizit unter Anhang III EU-KI-VO (Hochrisiko). Das Unternehmen hatte weder menschliche Aufsicht dokumentiert, noch eine Risikoklassifizierung vorgenommen, noch die Kandidaten über den KI-Einsatz informiert. Als KI-Beauftragter fehlte ebenfalls jemand, der diese Pflichten hätte verantworten können.
- AGG-Beschwerde wegen mittelbarer Altersdiskriminierung durch KI-Ranking
- Fehlende Risikoklassifizierung: Hochrisiko-System ohne Anhang-III-Konformitätsmaßnahmen
- Keine dokumentierte menschliche Überprüfung der KI-Bewerberwertungen
- Keine Hinweispflicht erfüllt: Kandidaten nicht über automatisierte Vorauswahl informiert
Aktuelle Entwicklungen und Auswirkungen
Drei Regulierungsentwicklungen formen das KI-Haftungsrisiko in 2025 und 2026.
Überarbeitete PLD in Kraft, deutsche Umsetzung bis Dezember 2026
Die überarbeitete EU-Produkthaftungsrichtlinie 2024/2853 ist seit dem 8. Dezember 2024 in Kraft. Das Bundesministerium der Justiz veröffentlichte im September 2025 den Referentenentwurf für das neue ProdHaftG; die erste Lesung im Bundestag fand im März 2026 statt. Ab dem 9. Dezember 2026 gelten KI-Systeme in Deutschland ausdrücklich als Produkte im Sinne der Produkthaftung.
- KI-as-a-Service eingeschlossen: Haftung gilt so lange der Anbieter durch Updates Kontrolle behält
- Datenschutzbezogene Schäden aus KI-Datenpannen neben Personenschäden ausdrücklich einklagbar
- Update-Pflicht: Anbieter, die bekannte KI-Sicherheitslücken nicht schließen, haften auch nach Markteinführung weiter
KI-Omnibus verschiebt Compliance, nicht die Zivilhaftung
Die Einigung zum KI-Omnibus vom Mai 2026 verschob die Hochrisiko-Pflichten nach Anhang III von August 2026 auf Dezember 2027. Das betrifft nur Verwaltungsfristen - die zivilrechtliche Haftung nach der überarbeiteten PLD und DSGVO Art. 22 bleibt davon völlig unberührt. Unternehmen, die die Omnibus-Verschiebung als Signal zur Governance-Verzögerung werten, verschärfen ihre Haftungsexposition in der Lücke zwischen dem Dezember-2026-Termin der PLD und dem verschobenen KI-Act-Termin.
Branchenspezifische Leitlinien erweitern den Haftungsmaßstab
Die BaFin veröffentlichte im Dezember 2025 ihre Orientierungshilfe zu IKT-Risiken beim KI-Einsatz im Finanzsektor; Abweichungen müssen durch gleichwertige Alternativmaßnahmen belegt werden. BSI-Leitlinien für KI in der Operational Technology (Dezember 2025) setzen ähnliche Standards für Industrieunternehmen. Diese Guidance-Dokumente schaffen de-facto-Haftungsmaßstäbe, die über das EU-Kernrecht hinausgehen.
Fazit
KI-Haftung ist kein Zukunftsrisiko mehr: Die überarbeitete EU-Produkthaftungsrichtlinie gilt, der EU-KI-VO-Vollzugszeitplan läuft, und Gerichte stellen bereits fest, dass Unternehmen die Verantwortung für ihre KI-Systeme nicht auf Anbieter auslagern können. Für die meisten Mittelstandsunternehmen, die KI als Betreiber nutzen statt es selbst zu bauen, ist das praktische Haftungs-Toolkit überschaubar: KI-Tools klassifizieren, menschliche Aufsicht dokumentieren, KI-Act-Konformität vertraglich absichern, Nutzungsrichtlinie veröffentlichen. Wer diese Grundlagen vor Dezember 2026 legt, steht bei Behördenanfragen und zivilrechtlichen Verfahren erheblich besser da.
Häufig gestellte Fragen
Wer haftet, wenn ein KI-System einen Schaden verursacht - der Softwareanbieter oder das Unternehmen?
Nach der überarbeiteten EU-Produkthaftungsrichtlinie 2024/2853 haftet der KI-Software-Hersteller (Anbieter) verschuldensunabhängig für fehlerhafte Produkte ab Dezember 2026. Das einsetzende Unternehmen (Betreiber) haftet verschuldensabhängig nach §823 BGB, wenn es das System fahrlässig betrieben hat - etwa ohne menschliche Aufsicht oder entgegen den Anbieteranweisungen. Beide Ansprüche können gleichzeitig bestehen; der Betreiber kann den Anbieter vertraglich in Regress nehmen.
Gilt die EU-KI-Haftungsrichtlinie noch?
Nein. Die Europäische Kommission hat den Richtlinienentwurf im Oktober 2025 zurückgezogen, nachdem keine politische Einigung erzielt werden konnte. Ihre Kernmechanismen - Kausalitätsvermutung und Offenlegungspflichten - sind nun teilweise in der überarbeiteten Produkthaftungsrichtlinie 2024/2853 verankert, die seit Dezember 2024 in Kraft ist und ab Dezember 2026 gilt.
Lohnt sich KI-Einsatz trotz Haftungsrisiken für ein KMU?
Ja - die Haftungsrisiken sind bei sachgerechtem Governance-Aufwand beherrschbar. Für Betreiber (Unternehmen, die KI nur nutzen, nicht bauen) liegt das Kernrisiko nicht in verschuldensunabhängiger Haftung, sondern in Fahrlässigkeit bei der Aufsicht. Eine Risikoklassifizierung vor dem Einsatz, dokumentierte menschliche Überprüfung folgenreicher KI-Entscheidungen und ein solider Anbietervertrag decken den überwiegenden Teil der Exposition ab - ohne unverhältnismäßigen Aufwand für Unternehmen ab 50 Mitarbeitenden.
Was genau ändert sich für Unternehmen ab Dezember 2026?
Ab dem 9. Dezember 2026 gilt KI-Software als Produkt im Sinne der EU-Produkthaftung. Schädigte vorher Kunden durch KI-Fehler, war Verschulden nachzuweisen. Ab diesem Datum müssen Kläger nur noch beweisen, dass das Produkt fehlerhaft war und Schaden verursacht hat - der Anbieter haftet verschuldensunabhängig. Gleichzeitig löst KI-Act-Non-Compliance automatisch eine Fehlervermutung aus. Für Betreiber ändert sich die zivilrechtliche Exposition nach §823 BGB nicht - aber das Drohpotenzial aus Klagen gegen Anbieter, die Betreiber schädigen, steigt deutlich.
Wie schützt sich ein Mittelstandsunternehmen das KI-Tools nur nutzt (Betreiber)?
Fünf Maßnahmen decken den Kern ab: 1. KI-Inventar anlegen und alle eingesetzten Tools nach Anhang III klassifizieren. 2. Für folgenreiche KI-Entscheidungen (Einstellungen, Kredite, Qualitätsfreigabe) eine benannte Person mit Überschreibungsbefugnis einsetzen und dokumentieren. 3. Anbieterverträge mit EU-KI-VO-Konformitätsgarantie und Freistellungsklausel abschließen. 4. Kundenseitige KI-Chatbots ab August 2026 als KI kennzeichnen. 5. KI-Nutzungsrichtlinie für Mitarbeitende veröffentlichen und schulen.
Haftet mein Unternehmen auch für KI-Tools, die Mitarbeitende ohne Erlaubnis nutzen?
Ja, sofern die Nutzung im Rahmen der beruflichen Tätigkeit stattfindet. Arbeitgeber haften grundsätzlich für Handlungen von Mitarbeitenden im Rahmen ihrer beruflichen Tätigkeit - auch für nicht freigegebene KI-Tools. Eine schriftliche Nutzungsrichtlinie, die erlaubte Tools benennt und unerlaubte ausdrücklich untersagt, kombiniert mit nachweisbarer Schulung, begründet eine Sorgfaltspflichterfüllung und reduziert die persönliche Haftungsexposition der Unternehmensleitung erheblich.
