Wer haftet, wenn die KI einen Fehler macht?

Kein eigenes Haftungssubjekt

Eine KI kann nicht haften. Sie hat kein Vermögen, keine Rechtsfähigkeit und keinen Willen im rechtlichen Sinne. Auch die im Zivilrecht bekannte Zurechnung fremden Verschuldens über Erfüllungsgehilfen (§ 278 BGB) greift nicht: Ein Erfüllungsgehilfe ist ein Mensch. Ein fehlerhaftes Modellergebnis ist deshalb kein Fremdverschulden, sondern schlicht ein Mangel des eingesetzten Werkzeugs – und fällt in die Verantwortung dessen, der es verwendet.

Drei Ebenen, die getrennt zu betrachten sind

Wer ein KI-System im eigenen Namen einsetzt, haftet nach außen zuerst selbst. Ob er Rückgriff beim Lieferanten nehmen kann, entscheidet der Vertrag.

Die neue Produkthaftung erfasst Software ausdrücklich

Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte löst die alte Produkthaftungsrichtlinie ab. Sie behandelt Software – einschließlich KI-Systemen – ausdrücklich als Produkt und erfasst auch Schäden durch Verlust oder Beschädigung von Daten. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen; sie gilt für Produkte, die danach in Verkehr gebracht werden. Ein gesonderter EU-Rechtsakt speziell zur KI-Haftung ist nicht in Kraft.

Der entscheidende Punkt in der Praxis: der Mensch in der Schleife

Art. 22 DSGVO gibt Betroffenen grundsätzlich das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Für Hochrisiko-Systeme verlangt Art. 14 der KI-Verordnung (EU) 2024/1689 wirksame menschliche Aufsicht.

Daraus folgt eine sehr praktische Gestaltungsregel: Je schwerer die Folgen einer Entscheidung, desto zwingender ist eine Freigabe durch einen Menschen – und desto genauer muss protokolliert werden, wer wann was freigegeben hat. Ohne Protokoll ist im Streitfall nicht rekonstruierbar, ob das System oder der Mensch geirrt hat.

Grenzen einer Haftungsobergrenze

Eine vertragliche Obergrenze ist zulässig, aber nicht beliebig:

• Vorsatz und grobe Fahrlässigkeit lassen sich in Allgemeinen Geschäftsbedingungen nicht ausschließen (§ 309 Nr. 7 Buchst. b BGB).
• Für Schäden aus der Verletzung von Leben, Körper und Gesundheit gilt dasselbe (§ 309 Nr. 7 Buchst. a BGB).
• Wesentliche Vertragspflichten dürfen nicht so beschränkt werden, dass der Vertragszweck gefährdet wird (§ 307 Abs. 2 Nr. 2 BGB); für deren Verletzung bleibt die Haftung für den vorhersehbaren, typischen Schaden bestehen.

Die Obergrenze der Ouhud GmbH: auf Anfrage.

Datenschutzhaftung läuft parallel

Art. 82 DSGVO begründet einen eigenen Schadenersatzanspruch der betroffenen Person – unabhängig davon, was im Vertrag zwischen den Unternehmen steht. Wer Eingaben an ein Modell weitergibt, verarbeitet damit unter Umständen personenbezogene Daten. Deshalb ist der Betriebsort keine technische Fußnote, sondern eine Haftungsfrage: eigener Server, keine Übermittlung in die USA.

Was in den Vertrag gehört

• die Zweckbestimmung: wofür das System eingesetzt werden darf und wofür nicht
• die Freigabepflicht bei Entscheidungen mit Außenwirkung
• Protokollierung von Ein- und Ausgaben, mit Aufbewahrungsdauer
• eine Regel für Modellwechsel: Ein anderes Modell ist ein anderes Verhalten

Was ehrlicherweise dazugehört

Generative Modelle liefern keine deterministischen Ergebnisse. Dieselbe Eingabe kann unterschiedliche Ausgaben erzeugen. Wer eine Garantie für inhaltliche Richtigkeit braucht – bei Steuerbeträgen, Dosierungen, Rechtsfolgen –, sollte kein Sprachmodell einsetzen, sondern feste Regeln. Diese Grenze lässt sich vertraglich nicht wegverhandeln.

Dieser Text ersetzt keine Rechtsberatung.