Automatisierung beseitigt die vertragliche Verantwortung nicht
Ein KI-System kann nicht selbst haften. Es ist nicht nötig, die KI als Erfüllungsgehilfen nach § 278 BGB zu bezeichnen (Erfüllungsgehilfe kann nur eine Person sein) – entscheidend ist, dass ein Schuldner seine Verantwortung nicht durch Automatisierung verliert. Der Einsatz eines fehleranfälligen Werkzeugs ist ihm als eigenes Organisationsverhalten zuzurechnen. Bei einer falschen Beratung oder mangelhaften Leistung bleibt zu prüfen, ob eine Pflichtverletzung nach § 280 Abs. 1 BGB vorliegt; daneben kommen deliktische Ansprüche (§§ 823 ff. BGB) und Gewährleistung in Betracht. Bei digitalen Produkten gegenüber Verbrauchern (§§ 327 ff. BGB) kann sogar eine Aktualisierungspflicht bestehen – bei KI-Funktionen auch die Bereitstellung von Modell- und Sicherheitsupdates.
Ein bekanntes Risiko ist kein unabwendbares Ereignis
Dass Large Language Models plausible, aber sachlich falsche Inhalte erzeugen, ist bekannt – eine Halluzination ist deshalb kein unvorhersehbares Ereignis und lässt sich rechtlich nicht als unabwendbar darstellen. Je kritischer der Anwendungsfall, desto stärker muss das Unternehmen organisatorisch mit diesem Fehlerbild umgehen und definieren, bei welchen Outputs eine fachliche Quellenprüfung zwingend ist.
Besonders tückisch – erfundene Fundstellen: Generative Systeme erzeugen Quellenangaben, Aktenzeichen, Normen und Literaturhinweise, die formal korrekt aussehen, aber nicht existieren. Gerade in beratenden Berufen suggeriert eine erfundene Fundstelle Autorität. Für die Prüfung genügt kein Plausibilitätslesen – jede Fundstelle muss an der Primärquelle verifiziert werden.
Governance ist Haftungsprävention
Haftungsrisiken entstehen nicht nur durch einzelne Mitarbeitende. Die Geschäftsleitung muss das Unternehmen so organisieren, dass typische und erhebliche Risiken beherrscht werden. Wer KI ohne Regeln, Schulung, Zugriffssteuerung oder Freigabeprozesse in sensible Prozesse einführt, riskiert bei einem Schaden den Vorwurf des Organisationsverschuldens – neben der deliktischen Organisationspflicht kommt eine Aufsichtspflichtverletzung nach § 130 OWiG in Betracht, die über § 30 OWiG auch eine Verbandsgeldbuße auslösen kann.
Eine wirksame KI-Governance zeigt, dass Risiken identifiziert, Zuständigkeiten bestimmt und Kontrollen umgesetzt wurden. Achtung: Ein umfangreiches Papierwerk ohne gelebte Kontrollen schützt nicht – eine Richtlinie, deren Nichteinhaltung dem Unternehmen bekannt war, kann die Vorwerfbarkeit sogar erhöhen.
Neue Produkthaftung – und ein Blick in die Police
Eine eigenständige EU-Richtlinie speziell für KI-Haftung gibt es nicht mehr: Der entsprechende Vorschlag wurde 2025 zurückgezogen – Beratungsunterlagen, die noch darauf verweisen, sind überholt. Stattdessen erfasst die neue Produkthaftungsrichtlinie (EU) 2024/2853 Software ausdrücklich als Produkt; sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden, und ist bis dahin national umzusetzen (bis dahin gilt das bestehende Produkthaftungsgesetz fort). Sie erweitert den Fehlerbegriff u. a. auf Cybersicherheit und Aktualisierungen und erleichtert die Beweisführung für Geschädigte. Wichtig: Wer ein Produkt nach Inverkehrbringen wesentlich verändert (tiefes Fine-Tuning, erhebliche Funktionserweiterung), kann selbst als Hersteller behandelt werden – eine bewusste Parallele zur Anbieterrolle nach Art. 25 KI-VO.
Praxishinweis: Prüfen Sie vor der breiten KI-Einführung mit Ihrem Versicherungsmakler, ob Betriebs-, Vermögensschaden-, Cyber- und Organhaftpflicht die typischen KI-Szenarien decken (falsche KI-Auskunft, schutzrechtsverletzender Output, Datenabfluss über einen Agenten, Inanspruchnahme der Geschäftsführung). Achten Sie auf Ausschlüsse für reine Vermögensschäden, Schutzrechtsverletzungen und Obliegenheiten zum Stand der Technik. Eine ausdrückliche Klarstellung im Vertrag ist günstiger als ein späterer Deckungsstreit.