Achtung: keine rechtlich bindende Beratung - redaktionelle Information
Ein KI-System erledigt eine Aufgabe nicht so, wie gewollt. Es trifft eine falsche "Entscheidung", und es entsteht ein Schaden. Nicht beabsichtigt, aber trotzdem passiert. Was bisher wie ein Randthema klang, wird für Unternehmen zunehmend real: Der Fall OpenAI (ein Angriff auf Hugging Face) beschäftigt inzwischen auch die Medien und zeigt, wie aktuell die Frage ist (Der Standard).
Die zentrale Frage dahinter: Wer haftet für KI-Fehler? Die Antwort ist komplexer als bei klassischer Software. Grund genug, sich mit dem Thema auseinanderzusetzen, bevor es zum Ernstfall kommt.
Warum KI die Haftungsfrage verändert
Bisher war Software ein Werkzeug. Der Mensch, der sie bedient, trägt die Verantwortung. Künstliche Intelligenz funktioniert anders: Sie bekommt ein Ziel und soll eigene Lösungswege entwickeln. Damit verlagert sich ein Teil der Entscheidung vom Menschen zum System.
Das verändert die haftungsrechtliche Situation. Eine falsche "Entscheidung" der KI kann Schaden auslösen, etwa im Geschäftsverkehr, bei Kundenauskünften oder in automatisierten Prozessen.
Die KI selbst haftet nicht
Die klare Ausgangslage: Die KI selbst haftet nie. Eine haftungsrechtliche Zurechnung auf ein Software-System ist nicht möglich. Entscheidend ist daher die Frage: Wem ist die Entwicklung, der Einsatz und die Kontrolle des Systems zuzurechnen?
Dabei kommen mehrere Akteure ins Spiel.
Hersteller und Anbieter haften bei fehlerhaften Systemen
Der Hersteller oder Anbieter eines KI-Systems haftet, wenn das System fehlerhaft entwickelt, unzureichend abgesichert oder nicht angemessen überwacht wurde.
Rechtlich relevant sind hier zwei europäische Rahmenwerke:
Der AI Act verlangt bei Hochrisiko-Systemen:
- ein Risikomanagement
- laufende Überwachung
- menschliche Kontrolle
Die EU-Produkthaftungsrichtlinie erfasst KI und Software ausdrücklich als Produkte (Tobias Voßberg, IP Lawyer) und macht dabei auch Cybersicherheit zu einem möglichen Haftungsfaktor. Das gilt unabhängig von der Bereitstellungsform: Cloud-Dienste, SaaS-Lösungen und API-basierte KI-Services sind ebenfalls erfasst.
Der Betreiber haftet bei unsachgemäßem Einsatz
Auch wer ein KI-System nur einsetzt, kann haften. Der Betreiber eines Systems trägt Verantwortung, wenn er:
- das System ungeeignet einsetzt
- bekannte Risiken ignoriert
- notwendige Kontrollen unterlässt
Wer die Ergebnisse einer KI im Geschäftsverkehr verwendet, haftet für die Folgen. Vertragliche und deliktische Haftung kommen hier infrage. Welche Anspruchsgrundlage im Einzelfall greift, hängt vom konkreten Sachverhalt ab.
Das persönliche Risiko für Geschäftsführer
Für Geschäftsführer gibt es eine eigene Ebene: die Organhaftung. Sie greift, wenn der KI-Einsatz im Unternehmen nicht ordnungsgemäß organisiert wird.
Konkret heißt das, die Geschäftsleitung muss für
- klare Zuständigkeiten
- einen geeigneten Freigabeprozess für KI-Tools
- regelmäßige Risikobewertungen
- laufende Überwachung der eingesetzten Systeme und
- dokumentierte Entscheidungswege
sorgen.
Wer das vernachlässigt, riskiert persönliche Haftung.
Der häufigste Fall: Der KI-Chatbot gibt eine Falschauskunft
Am häufigsten passiert es im Alltag: Ein KI-Chatbot gibt eine Falschauskunft gegenüber einem Kunden oder in einem Geschäftsprozess.
Dafür gibt es einen einfachen technischen Grund: Chatbots prüfen nicht, ob eine Quelle inhaltlich korrekt ist. Sie geben die statistisch am wahrscheinlichsten passende Antwort. Und die wahrscheinlichste Antwort ist nicht zwangsläufig die richtige Antwort.
Wer solche Auskünfte ungeprüft im Geschäftsverkehr verwendet, haftet dafür. Die Falschauskunft ist dann kein "Maschinenfehler", sondern ein vom Unternehmen zu verantwortendes Verhalten.
Was Unternehmen jetzt tun sollten: KI-Inventarisierung
Der wichtigste erste Schritt ist eine systematische KI-Inventarisierung: Welche KI-Systeme sind im Einsatz, für welche Tätigkeiten, mit welchen Risiken?
Ohne diesen Überblick lassen sich weder vertragliche noch regulatorische noch organisatorische Haftungsrisiken sinnvoll steuern. Die Bestandsaufnahme ist zugleich eine Kernforderung der KI-Verordnung.
KI-Richtlinien im Unternehmen einführen
Auf der Inventarisierung bauen interne KI-Richtlinien auf. Diese sollten folgendes regeln:
Einsatzbereich: Ob und wofür KI als Arbeitsmittel genutzt werden darf. Welche Tools freigegeben sind und dass die Nutzung auf den betrieblichen, bestimmungsgemäßen Gebrauch beschränkt ist. Private Nutzung sollte untersagt werden.
Umgang mit Daten: Klare Vorgaben, insbesondere keine Eingabe von Geschäftsgeheimnissen sowie vertraulichen Kunden- oder Personaldaten, unter Beachtung der geltenden Datenschutzvorgaben, und zum verantwortungsvollen Prompting.
Kontrolle: Anforderungen an die Prüfung von KI-Ergebnissen, etwa die Pflicht, jede Auskunft einer eigenständigen Plausibilitätsprüfung zu unterziehen.
Fazit
Wer haftet für KI-Fehler? Nicht die KI, sondern immer Menschen und Organisationen: der Hersteller, der Betreiber und im schlimmsten Fall die Geschäftsleitung persönlich. Die Frage ist also nicht, ob man haftet, sondern wie gut man vorbereitet ist.
Mit einer KI-Inventarisierung, klaren internen Richtlinien und dokumentierten Kontrollprozessen lassen sich die Risiken deutlich reduzieren. Gerade beim Einsatz von KI gilt wie überall in der IT: Wer seine Systeme und Prozesse kennt und überwacht, ist auf der sicheren Seite.
Wir beraten Sie gerne zum verantwortungsvollen KI-Einsatz in Ihrem Unternehmen.
Quellen:
- Der Standard: Der Fall OpenAI: Wer haftet, wenn KI Schäden verursacht?
- Tobias Voßberg: KI und Haftung: Wer haftet, wenn die KI Fehler macht?