Ein mittelständisches Logistikunternehmen setzt seit Monaten ein KI-gestütztes Routenplanungssystem ein. Eines Tages trifft das System eine fehlerhafte Disposition, ein Subunternehmer erleidet einen Schaden – und sofort stellt sich die Frage: Wer haftet? Das Unternehmen? Der Softwareanbieter? Der Geschäftsführer persönlich? Die Antwort ist komplex, doch sie lässt sich aus dem geltenden deutschen und europäischen Recht ableiten.
Die Haftung beim Einsatz von KI-Systemen richtet sich derzeit nach dem deutschen Produkthaftungsrecht, der deliktischen und vertraglichen Haftung nach BGB sowie – seit dem Geltungsbeginn der europäischen KI-Verordnung (EU) 2024/1689 (KI-VO) – nach einem spezifischen Hochrisiko-Regime, das Betreiber von KI-Anwendungen unmittelbar in die Pflicht nimmt. Für Geschäftsführer im Mittelstand bedeutet das: Wer KI-Systeme ohne strukturierte Risikoprüfung, dokumentierte Aufsichtsmaßnahmen und vertragliche Absicherung gegenüber dem Anbieter einsetzt, riskiert persönliche Haftungsszenarien, erhebliche Drittansprüche und Bußgeldrisiken nach der DSGVO. Dieser Beitrag analysiert die einschlägigen Rechtsgrundlagen, zeigt die praxisrelevanten Haftungskonstellationen für den Mittelstand auf und gibt konkrete Hinweise, welche Schritte jetzt erforderlich sind.
Im Folgenden erläutern wir zunächst den Rechtsrahmen aus BGB, Produkthaftungsgesetz und KI-VO, wenden uns dann den spezifischen Haftungskonstellationen für Betreiber und Geschäftsführer zu, beleuchten den Datenschutzbezug nach DSGVO und schließen mit einem Fahrplan für die praktische Risikovorsorge.
Welcher Rechtsrahmen gilt für die Haftung beim Einsatz von KI-Systemen?
Die Haftung beim Einsatz von KI-Systemen ist heute kein Nischenthema mehr, sondern trifft Unternehmen aller Branchen im täglichen Betrieb. Das geltende Recht bietet mehrere Anspruchsgrundlagen – und sie gelten nebeneinander, nicht alternativ.
Ausgangspunkt ist das allgemeine Deliktsrecht. Verursacht ein KI-System einen Schaden, prüft die Rechtsprechung zunächst, ob eine natürliche oder juristische Person durch Verletzung einer Verkehrssicherungspflicht (§ 823 Abs. 1 BGB) verantwortlich ist. Der Einsatz eines autonomen Systems entbindet den Betreiber nicht von dieser Pflicht – er verlagert sie, aber er hebt sie nicht auf. Wer ein KI-System einführt, das in Prozesse mit Außenwirkung eingreift, übernimmt die Verantwortung für dessen Aufsicht, Konfiguration und laufende Überwachung.
Parallel dazu greift das Produkthaftungsgesetz (ProdHaftG), das seinerseits auf der Produkthaftungsrichtlinie beruht und seit 2024 durch die neue europäische Produkthaftungsrichtlinie (RL (EU) 2024/2853) erheblich modernisiert wurde. Software – und damit auch KI-Modelle – gilt nach der neuen Produkthaftungsrichtlinie ausdrücklich als Produkt, womit Hersteller, Importeure und Anbieter von KI-Lösungen verschuldensunabhängig haften können. Für Betreiber, die keine Hersteller sind, bleibt die verschuldensabhängige Haftung nach § 823 BGB der primäre Angriffspunkt. In der Mandatspraxis sehen wir, dass diese Abgrenzung – Herstellerhaftung gegenüber Betreiberhaftung – oft der entscheidende Hebel in der Schadensregulierung ist.
Hinzu kommt die vertragliche Haftung. Schäden, die ein KI-System im Rahmen eines vertraglichen Verhältnisses zwischen Unternehmen verursacht, lösen Gewährleistungs- und Schadensersatzansprüche nach §§ 280 ff. BGB aus. Die genaue Ausgestaltung dieser Ansprüche hängt von der Vertragsstruktur ab: Ob es sich beim KI-Vertrag um einen Dienst-, Werk- oder Kaufvertrag handelt, ist bei KI-as-a-Service-Modellen oft streitig und beeinflusst Gewährleistungsfristen erheblich. Die genaue Einordnung ist im Einzelfall anwaltlich zu prüfen.
Schließlich überlagert die KI-Verordnung (EU) 2024/1689 den nationalen Rahmen für sogenannte Hochrisiko-KI-Systeme. Die KI-VO gilt unmittelbar in allen EU-Mitgliedstaaten und bringt für Anbieter und Betreiber von Hochrisiko-KI-Systemen spezifische Pflichten mit sich, deren Verletzung eigenständige Haftungsfolgen auslösen kann. Der zeitliche Geltungsbeginn ist gestaffelt: Die Verbote für unannehmbare Risiken (Artikel 5 KI-VO) gelten seit dem 2. Februar 2025, die Anforderungen an Hochrisiko-KI-Systeme ab dem 2. August 2026. Unternehmen, die jetzt planen, schaffen damit Fakten für das Haftungsregime von morgen.
Was sind Hochrisiko-KI-Systeme nach der KI-Verordnung – und welche Pflichten treffen Betreiber?
Die Einordnung eines KI-Systems als „Hochrisiko" nach der KI-VO ist für Mittelständler keine abstrakte Compliance-Frage, sondern hat unmittelbare Auswirkungen auf die Haftungsexposition. Betreiber von Hochrisiko-Systemen unterliegen einem umfangreichen Pflichtenkatalog – dessen Verletzung im Schadensfall als Indiz für eine haftungsbegründende Pflichtverletzung gewertet werden kann.
Als Hochrisiko-KI-Systeme gelten nach Anhang III der KI-VO unter anderem Systeme, die in der Personalverwaltung zur Personalauswahl und Beförderung eingesetzt werden, in der Kreditwürdigkeitsprüfung, im Bereich kritischer Infrastrukturen, im Bildungswesen oder bei der Strafverfolgung. Diese Liste ist nicht abschließend formuliert – die Kommission kann sie fortlaufend ergänzen. Was bedeutet das für einen Mittelständler? Wer ein KI-Werkzeug für die Auswahl von Bewerbern oder die Bonitätsprüfung von Geschäftspartnern nutzt, kann bereits im Hochrisiko-Bereich operieren, ohne sich dessen bewusst zu sein.
Für Betreiber von Hochrisiko-Systemen sieht die KI-VO unter anderem vor: die Erstellung und Pflege einer technischen Dokumentation, die Implementierung eines Risikomanagementsystems, die Führung von Protokollen (Logging) über den Betrieb des Systems, die Aufklärung natürlicher Personen über die ihnen gegenüber eingesetzten KI-Systeme sowie – bei Systemen mit erheblichem Risiko für Grundrechte – eine Grundrechte-Folgenabschätzung. Betreiber, die diese Pflichten nicht erfüllen, riskieren Bußgelder bis zu 15 Millionen Euro oder bis zu 3 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Nach unserer Erfahrung unterschätzen mittelständische Unternehmen diese Schwellenwerte regelmäßig, weil sie das Hochrisiko-Regime für ein Problem großer Konzerne halten. Das ist ein Irrtum.
Ist Ihr KI-System ein Hochrisiko-System? Das hängt von Einsatzzweck, Branche und konkreter Systemarchitektur ab. Eine schematische Selbsteinschätzung reicht nicht aus. Wer diese Einordnung nicht dokumentiert vornimmt, steht im Schadensfall ohne Verteidigungslinie.
Wie haften Betreiber nach geltendem BGB – und welche Rolle spielt das Verschulden?
Jenseits der KI-VO bleibt das BGB die zentrale Haftungsgrundlage für den alltäglichen Betrieb von KI-Systemen im Unternehmen. Die Kernfrage ist dabei: Wann liegt eine haftungsbegründende Pflichtverletzung vor, und auf wessen Verschulden kommt es an?
Im Ausgangspunkt gilt das Verschuldensprinzip. Nach § 823 Abs. 1 BGB haftet, wer durch Handlung oder Unterlassen ein geschütztes Rechtsgut – Körper, Gesundheit, Eigentum, sonstige absolute Rechte – verletzt und dabei fahrlässig oder vorsätzlich handelt. Beim Einsatz von KI-Systemen ist die Fahrlässigkeitsbeurteilung besonders komplex: Der objektiv sorgfaltswidrige Schritt kann weit vor dem schadensauslösenden Systemverhalten liegen – etwa in der unzureichenden Prüfung des Systems vor Inbetriebnahme, in der fehlenden Schulung der Mitarbeitenden, die das System überwachen sollen, oder in der mangelnden Anpassung des Systems bei erkannten Fehlfunktionen.
Verkehrssicherungspflichten spielen hier eine entscheidende Rolle. Wer eine Gefahrenquelle schafft oder in seinem Betrieb unterhält, ist verpflichtet, die notwendigen Vorkehrungen zum Schutz Dritter zu treffen. Ein KI-System, das eigenständig Entscheidungen mit Außenwirkung trifft – etwa Preisgestaltung, automatisierte Vertragsabschlüsse oder Ablehnung von Leistungen –, ist eine solche Gefahrenquelle. Wer keine angemessene menschliche Aufsicht implementiert, verletzt seine Verkehrssicherungspflicht – unabhängig davon, ob der konkrete Schadenseintritt vorhersehbar war.
Zu beachten ist ferner § 278 BGB, der die Haftung für Erfüllungsgehilfen regelt. KI-Systeme sind keine Menschen und daher keine Erfüllungsgehilfen im technischen Sinne. Die Frage, ob und wie das Verhalten eines KI-Systems dem Betreiber wie eigenes Handeln zugerechnet wird, ist in der Rechtswissenschaft noch nicht abschließend geklärt. Die überwiegende Ansicht behandelt das KI-System als ein Werkzeug des Betreibers – und hält diesen damit für das Systemverhalten vollumfänglich verantwortlich. Das ist eine Position, die in der Mandatspraxis relevant ist: Wer einen Dritten durch ein KI-System schädigt, kann sich nicht auf das „Eigenleben" des Systems berufen.
Praktisch bedeutet das: Die Frage nach dem Haftungsrisiko ist keine Frage allein für die IT-Abteilung. Sie ist eine Frage der Unternehmensführung, die in der Entscheidung über den Einsatz eines KI-Systems mitbeantwortet werden muss.
Wann haften Geschäftsführer persönlich für KI-Schäden?
Die persönliche Haftung von Geschäftsführern ist der Aspekt, der in der Praxis die stärkste Aufmerksamkeit verdient – und der am häufigsten unterschätzt wird. Denn die Gesellschaft selbst haftet nach den allgemeinen Regeln; doch unter bestimmten Voraussetzungen trifft die Verantwortung auch die handelnde Geschäftsleitung persönlich.
Im Innenverhältnis zur Gesellschaft schuldet der Geschäftsführer die Sorgfalt eines ordentlichen Kaufmanns (§ 43 GmbHG). Entscheidet er sich für den Einsatz eines KI-Systems, ohne eine strukturierte Risikoprüfung durchzuführen, ohne rechtliche Rahmenbedingungen zu klären und ohne für angemessene Aufsichtsmaßnahmen zu sorgen, verletzt er diese Sorgfaltspflicht. Entsteht der Gesellschaft daraus ein Schaden – etwa durch Drittansprüche, Bußgelder oder Rückabwicklungskosten –, kann die Gesellschaft den Geschäftsführer in Regress nehmen.
Im Außenverhältnis gegenüber Dritten ist die persönliche Haftung des Geschäftsführers nach § 823 BGB grundsätzlich möglich, wenn er die schädigende Handlung selbst vorgenommen oder gezielt zugelassen hat. Bei KI-Systemen, die ohne ausreichende Aufsicht betrieben werden, kann das der Fall sein, wenn der Geschäftsführer von konkreten Risiken Kenntnis hatte oder haben musste und dennoch keine Gegenmaßnahmen ergriffen hat. Die Beweislastverteilung wirkt sich hier für den Geschäftsführer ungünstig aus: Er muss nachweisen, dass er seiner Sorgfaltspflicht genügt hat – nicht der Kläger, dass er sie verletzt hat.
Für inhabergeführte Mittelstandsunternehmen ist die Situation besonders heikel. Der Geschäftsführer-Gesellschafter trägt oft keine ausreichend differenzierte Haftungsstruktur – er ist zugleich Entscheider, Genehmiger und unmittelbar Haftender. Wenn ein KI-System in seinem Unternehmen einen Schaden verursacht, steht er in einer Vielzahl von Rollen gleichzeitig unter Prüfung. Wir beraten regelmäßig Unternehmen, bei denen genau diese Konstellation zu erheblichem persönlichem Haftungsrisiko führt.
Was ist also zu tun? Der Geschäftsführer sollte die Entscheidung für den Einsatz eines KI-Systems schriftlich dokumentieren, einschließlich der zugrunde gelegten Risikoanalyse, der getroffenen Aufsichtsmaßnahmen und der konsultierten Fachleute. Diese Dokumentation ist im Haftungsfall die wichtigste Verteidigungslinie.
Wie wirkt sich die DSGVO auf die KI-Haftung aus?
KI-Systeme verarbeiten in aller Regel personenbezogene Daten. Damit ist die Datenschutz-Grundverordnung (DSGVO) ein weiterer, selbstständiger Haftungsrahmen, der parallel zu den zivilrechtlichen Anspruchsgrundlagen und zur KI-VO gilt. Wer KI-Systeme ohne datenschutzkonforme Grundlage betreibt, setzt sich einem erheblichen Bußgeldrisiko aus.
Bußgelder nach Art. 83 DSGVO können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Für Mittelständler mit einem Jahresumsatz von 50 Millionen Euro kann das 2 Millionen Euro bedeuten. Das ist kein theoretisches Risiko: Deutsche und europäische Datenschutzbehörden haben in den letzten Jahren in einer Vielzahl von Fällen empfindliche Bußgelder verhängt, auch gegen mittelständische Betreiber.
Konkret stellen sich beim KI-Einsatz folgende datenschutzrechtliche Fragen: Gibt es eine Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO)? Findet eine automatisierte Einzelentscheidung nach Art. 22 DSGVO statt, die ohne Einwilligung oder gesetzliche Grundlage unzulässig ist? Wurde eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) durchgeführt, wenn das System voraussichtlich ein hohes Risiko für betroffene Personen aufweist? Und: Werden betroffene Personen nach Art. 13, 14 DSGVO transparent über den Einsatz des KI-Systems informiert?
Im Bereich der automatisierten Entscheidungsfindung – etwa bei einem KI-System, das Kreditanträge, Bewerbungen oder Versicherungsangebote automatisiert auswertet – sind nach Art. 22 DSGVO besondere Schutzmaßnahmen vorgeschrieben. Betroffene Personen haben das Recht auf eine menschliche Überprüfung der Entscheidung. Wer dieses Recht nicht gewährt, verletzt geltendes Recht – und öffnet die Tür für Schadensersatzansprüche nach Art. 82 DSGVO.
Die Meldefrist bei Datenschutzverletzungen beträgt 72 Stunden ab dem Zeitpunkt, zu dem der Verantwortliche von der Verletzung Kenntnis erlangt (Art. 33 DSGVO). Wenn ein KI-System fehlerhafte Daten verarbeitet oder Daten unbefugt an Dritte weitergibt, beginnt diese Frist zu laufen. In der Mandatspraxis sehen wir, dass viele Unternehmen diese Frist nicht einhalten – mit entsprechenden behördlichen Konsequenzen.
Welche vertraglichen Absicherungen sind beim KI-Einsatz unverzichtbar?
Die Haftung im Innen- und Außenverhältnis wird maßgeblich durch die Vertragsgestaltung mit dem KI-Anbieter bestimmt. Wer hier nachlässig agiert, übernimmt Risiken, die der Anbieter vertraglich auf den Betreiber abgewälzt hat – oft in allgemeinen Geschäftsbedingungen, deren Reichweite in der Praxis erst im Schadensfall erkannt wird.
Zunächst zur Frage der Vertragsqualifikation: KI-as-a-Service-Verträge sind in der Regel als Dienst- oder Mietverträge strukturiert. Das bedeutet: Der Anbieter schuldet nicht einen bestimmten Erfolg, sondern die Bereitstellung des Systems in einem funktionsfähigen Zustand. Gewährleistungsansprüche wegen Schlechtleistung sind bei dieser Vertragsstruktur schwieriger durchzusetzen als bei einem Werkvertrag. Wer auf einem werkvertraglichen Regime oder zumindest auf klar definierten Service-Level-Agreements (Vereinbarungen über Leistungsstandards) besteht, schafft sich eine deutlich bessere Ausgangsposition.
Vertraglich unverzichtbar sind Regelungen zur Haftungsverteilung: Wer haftet für Fehler im Trainingsmaterial (dem sogenannten Trainingsdatensatz)? Wer haftet für Fehler im Modell selbst? Wer für die Fehlanwendung durch den Betreiber? Diese drei Ebenen der Verantwortlichkeit müssen im Vertrag ausdrücklich adressiert werden. Haftungsausschlüsse des Anbieters für mittelbare Schäden sind in deutschen AGB unwirksam, soweit sie grobe Fahrlässigkeit oder Vorsatz betreffen (§§ 305 ff. BGB) – doch die Kontrolle dieser Klauseln erfordert eine rechtliche Prüfung im Einzelfall.
Zu den weiteren vertraglichen Gestaltungselementen gehören: Transparenzpflichten des Anbieters über Systemänderungen (insbesondere Modell-Updates, die das Systemverhalten verändern können), Audit-Rechte des Betreibers, Regelungen zur Datenverarbeitung und Auftragsverarbeitung nach Art. 28 DSGVO sowie Regelungen zur Exportkontrolle bei grenzüberschreitenden KI-Diensten. Wer diese Punkte nicht im Voraus klärt, überlässt die Risikoverteilung dem Anbieter – und das geht in aller Regel zu Lasten des Betreibers.
Mikro-Fall aus der Mandatspraxis: Ein mittelständisches Industrieunternehmen aus dem Maschinenbau setzte ein KI-gestütztes Qualitätsprüfsystem ein, das Fertigungsfehler automatisiert erkennen sollte. Ausgangslage: Das System war auf Basis eines Cloud-Dienstes eines US-amerikanischen Anbieters implementiert worden; der Vertrag war in englischer Sprache ohne anwaltliche Prüfung unterzeichnet worden, mit einem weitreichenden Haftungsausschluss des Anbieters für Folgeschäden. Das KI-System klassifizierte fehlerhafte Bauteile als einwandfrei; eine Charge gelangte in den Markt. Vorgehen: Die Kanzlei prüfte zunächst die Wirksamkeit des vertraglichen Haftungsausschlusses nach deutschem AGB-Recht. Parallel wurde geprüft, ob eine Herstellerhaftung des Anbieters nach der neuen Produkthaftungsrichtlinie in Betracht kommt. Für die laufenden Drittansprüche wurde eine Haftungsstrategie auf Basis der Verkehrssicherungspflicht entwickelt, die das Überwachungsversagen des Unternehmens von der Systemfehlfunktion des Anbieters abgrenzte. Ergebnis: Die Kanzlei konnte die interne Haftungsexposition des Unternehmens gegenüber den Drittgeschädigten durch den Nachweis ausreichender interner Aufsichtsmaßnahmen erheblich begrenzen. Die vertragliche Auseinandersetzung mit dem Anbieter über die Wirksamkeit der Haftungsklauseln dauerte zum Zeitpunkt der Berichterstellung an. Zahlen zur Schadenshöhe oder zum Verfahrensergebnis werden nicht genannt.
Was leistet die geplante KI-Haftungsrichtlinie – und worauf müssen sich Unternehmen einstellen?
Parallel zur KI-VO hat die Europäische Kommission einen Entwurf für eine KI-Haftungsrichtlinie vorgelegt, die speziell die zivilrechtliche Haftung für KI-Schäden harmonisieren soll. Dieser Richtlinienentwurf sieht unter anderem eine Beweislastumkehr zugunsten Geschädigter vor: Wer nachweist, dass ein KI-Betreiber gegen Pflichten aus der KI-VO verstoßen hat, soll davon profitieren, dass dieser Verstoß als kausal für den Schaden gilt – es sei denn, der Betreiber beweist das Gegenteil. Das wäre ein paradigmatischer Wandel in der Haftungslogik.
Zum Stand Juni 2026 hat die KI-Haftungsrichtlinie den europäischen Gesetzgebungsprozess noch nicht abgeschlossen. Das bedeutet: Konkrete Fristen oder Bußgeldbeträge aus dem Richtlinienentwurf dürfen nicht als geltendes Recht behandelt werden. Doch die Richtung ist klar: Europäische Gesetzgeber wollen die Durchsetzung von Schadensersatzansprüchen gegenüber KI-Betreibern erleichtern, indem sie Beweisdefizite auf Seiten der Geschädigten durch Transparenzpflichten und Beweislasterleichterungen ausgleichen.
Für Mittelständler ergibt sich daraus eine strategische Konsequenz: Wer jetzt in gute Dokumentation, strukturierte Risikoprüfung und vertragliche Absicherung investiert, positioniert sich nicht nur für das geltende Recht, sondern auch für das künftige Haftungsregime günstig. Die Frage ist nicht, ob die Rahmenbedingungen strenger werden – sie werden es. Die Frage ist, ob Ihr Unternehmen vorbereitet ist.
Wie sieht das konkret aus? Die einschlägige Entscheidungsmatrix zeigt die Hauptkonstellationen: Betreiber eines Nicht-Hochrisiko-KI-Systems ohne Personenbezug → Haftung nach §§ 823 ff. BGB, ProdHaftG → Risiko: mittel → Maßnahme: Risikoprüfung, Aufsichtskonzept, Vertragsgestaltung. Betreiber eines Hochrisiko-KI-Systems mit Personenbezug (z. B. HR-Software, Kreditprüfung) → Haftung nach BGB + DSGVO + KI-VO → Risiko: hoch → Maßnahme: DSFA, technische Dokumentation, Grundrechte-Folgenabschätzung, Logging, menschliche Aufsicht. Betreiber mit Verstoß gegen Art. 5 KI-VO (verbotene KI-Praktiken) → eigener Bußgeldtatbestand → Risiko: sehr hoch → Maßnahme: sofortige rechtliche Prüfung und ggf. Einstellung des Systems.
Praxisfahrplan: Welche Schritte schützen Ihr Unternehmen jetzt?
Die vorstehende Analyse zeigt: Die Haftungsrisiken beim Einsatz von KI-Systemen sind vielschichtig, und kein einziges Instrument bietet vollständigen Schutz. Was wirksam schützt, ist ein systematischer, dokumentierter Ansatz, der rechtliche, technische und organisatorische Maßnahmen kombiniert.
Schritt eins: Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme. Welche Systeme treffen Entscheidungen mit Außenwirkung? Welche verarbeiten personenbezogene Daten? Welche könnten als Hochrisiko-KI-Systeme nach der KI-VO einzuordnen sein? Diese Inventarisierung ist die Grundlage jeder weiteren Maßnahme – und sie fehlt in der Mandatspraxis erschreckend häufig.
Schritt zwei: Rechtliche Einordnung der identifizierten Systeme. Für jedes System ist zu klären: Handelt es sich um ein Hochrisiko-System nach Anhang III KI-VO? Liegt eine Verarbeitung personenbezogener Daten vor, die eine DSFA erfordert? Wie ist der Vertrag mit dem Anbieter ausgestaltet, und welche Haftungsverteilung trifft er?
Schritt drei: Implementierung von Aufsichtsmaßnahmen. Die KI-VO fordert für Hochrisiko-Systeme eine wirksame menschliche Aufsicht (Art. 14 KI-VO). Das bedeutet nicht eine formale Überwachung ohne Substanz, sondern die Fähigkeit, das System bei erkannten Fehlfunktionen zu unterbrechen, zu korrigieren oder abzuschalten. Diese Fähigkeit muss organisatorisch verankert und dokumentiert sein.
Schritt vier: Dokumentation und Governance. Entscheidungen über KI-Einsatz, Risikoprüfungen, Aufsichtsmaßnahmen und Vertragsgestaltung sind schriftlich zu dokumentieren. Diese Dokumentation ist im Haftungsfall die wichtigste Verteidigungslinie für den Geschäftsführer persönlich – und für das Unternehmen gegenüber Behörden und Gerichten.
Schritt fünf: Regelmäßige Überprüfung. KI-Systeme werden durch Anbieter-Updates verändert, ohne dass der Betreiber es immer bemerkt. Eine Routine-Überprüfung der Systemkonformität – mindestens jährlich, bei wesentlichen Updates sofort – ist keine optionale Best Practice, sondern Teil der Betreiberpflicht.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen – Verträge mit KI-Anbietern, interne Governance-Dokumente, DSFA-Entwürfe – erreichen Sie uns unter info@brandtfalk.com.
Setzen Sie KI-Systeme in Ihrem Unternehmen ein oder planen Sie dies? Die rechtliche Einordnung Ihres konkreten Systems – Hochrisiko-Klassifikation, DSGVO-Konformität, Vertragsstruktur mit dem Anbieter – erfordert eine individuelle Prüfung. Senden Sie Ihre Unterlagen an info@brandtfalk.com; wir melden uns in der Regel innerhalb von 48 Stunden.
Verwandte Leistungen
Häufige Fragen zur Haftung beim Einsatz von KI-Systemen
Wer haftet, wenn ein KI-System in meinem Unternehmen einen Dritten schädigt?
In erster Linie haftet der Betreiber des KI-Systems – das Unternehmen, das das System einsetzt – nach den allgemeinen Regeln des BGB (insbesondere § 823 Abs. 1 BGB) und ggf. des Produkthaftungsgesetzes. Der Hersteller oder Anbieter des KI-Systems kann daneben verschuldensunabhängig nach der neuen Produkthaftungsrichtlinie haften, sofern er als Hersteller im Sinne dieser Richtlinie gilt. Die genaue Haftungsverteilung hängt von den vertraglichen Regelungen und dem konkreten Schadensbild ab und ist anwaltlich zu prüfen.
Bin ich als Betreiber auch dann verantwortlich, wenn das KI-System eigenständig eine fehlerhafte Entscheidung trifft?
Ja. Nach der überwiegenden Rechtsauffassung gilt das KI-System als Werkzeug des Betreibers; dessen Verhalten wird dem Betreiber zugerechnet. Wer kein ausreichendes Aufsichts- und Kontrollsystem implementiert hat, verletzt seine Verkehrssicherungspflicht – unabhängig davon, ob er den konkreten Fehler vorhersehen konnte. Die eigene Kontrolle über das System muss organisatorisch und technisch sichergestellt und dokumentiert sein.
Muss ich eine Datenschutz-Folgenabschätzung durchführen, bevor ich ein KI-System einsetze?
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist verpflichtend, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Beim Einsatz von KI-Systemen, die systematisch und umfangreich personenbezogene Daten verarbeiten oder automatisierte Entscheidungen nach Art. 22 DSGVO treffen, ist eine DSFA in der Regel durchzuführen. Die genaue Einordnungspflicht hängt vom Einzelfall ab.
Was ist ein Hochrisiko-KI-System nach der KI-Verordnung?
Hochrisiko-KI-Systeme sind in Anhang III der KI-Verordnung (EU) 2024/1689 aufgeführt. Dazu gehören unter anderem KI-Systeme in der Personalauswahl, bei der Kreditwürdigkeitsprüfung, im Bildungswesen und in kritischen Infrastrukturen. Für Betreiber dieser Systeme gelten besondere Pflichten – unter anderem Risikomanagementsystem, technische Dokumentation, Logging und menschliche Aufsicht. Verstöße können mit erheblichen Bußgeldern geahndet werden.
Kann ich meine Haftung vertraglich auf den KI-Anbieter abwälzen?
Eine vollständige Abwälzung ist in der Praxis kaum möglich, weil Haftungsausschlüsse für Vorsatz und grobe Fahrlässigkeit nach deutschem AGB-Recht (§§ 305 ff. BGB) unwirksam sind und weil Dritte, die von einem KI-System geschädigt werden, ihre Ansprüche direkt gegen den Betreiber richten können. Sorgfältig gestaltete Verträge können jedoch die interne Haftungsverteilung zwischen Betreiber und Anbieter klarer regeln und dem Betreiber Regress- und Auskunftsansprüche sichern.
Was droht mir, wenn ich die 72-Stunden-Meldefrist bei einer Datenschutzverletzung nicht einhalte?
Die Verletzung der Meldefrist nach Art. 33 DSGVO kann als eigenständige Pflichtverletzung mit einem Bußgeld nach Art. 83 DSGVO geahndet werden – unabhängig von der Schwere der eigentlichen Datenpanne. Die Bußgeldhöhe liegt nach Art. 83 Abs. 4 DSGVO bei bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. In der Praxis sind zudem Reputationsschäden und zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO zu berücksichtigen.
Wie schütze ich mich als Geschäftsführer persönlich vor Haftungsrisiken beim KI-Einsatz?
Der wirksamste Schutz ist die Dokumentation: eine schriftliche Risikoprüfung vor Einführung des KI-Systems, eine nachvollziehbare Entscheidungsgrundlage für den Einsatz, die Implementierung und Dokumentation von Aufsichtsmaßnahmen sowie eine regelmäßige Überprüfung der Systemkonformität. Diese Dokumentation belegt, dass der Geschäftsführer seiner Sorgfaltspflicht nach § 43 GmbHG nachgekommen ist, und bildet die wichtigste Verteidigungslinie im Haftungsfall.
Die vorstehende Darstellung betrifft die Regelfälle des geltenden Rechts. Ihr konkreter Fall – die Einordnung Ihres KI-Systems, die Prüfung Ihrer Anbieterverträge und die Bewertung Ihrer internen Governance – erfordert eine individuelle rechtliche Würdigung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.