Haftung bei KI-Fehlern: Wer trägt die Verantwortung?

Wenn ein KI-System falsche Ergebnisse liefert, stellt sich schnell die Frage nach der Haftung bei KI-Fehlern. Betroffen sein können Unternehmen, die künstliche Intelligenz in Kundenprozessen einsetzen, Softwareanbieter, ärztliche oder anwaltliche Berufsträger, Arbeitgeber, Plattformbetreiber, Entwicklerteams und Verbraucher. Die rechtliche Bewertung ist selten mit einem einfachen Satz erledigt: Maßgeblich ist, wer das System ausgewählt, trainiert, bereitgestellt, überwacht oder auf das Ergebnis vertraut hat.

Grundsätzlich gilt: KI ist kein eigener Rechtsträger. Verantwortlich bleiben natürliche Personen, Unternehmen oder Organisationen, die KI entwickeln, vertreiben, einsetzen oder Entscheidungen auf KI-Ausgaben stützen. Je nach Fall kommen Vertragsrecht, Deliktsrecht, Produkthaftung, Datenschutzrecht, Urheberrecht, Berufsrecht, Arbeitsrecht und europäische KI-Regulierung in Betracht.

Der folgende Beitrag ordnet ein, wann KI-Fehler rechtlich relevant werden, welche Anspruchsgrundlagen denkbar sind, wie sich Verantwortlichkeiten abgrenzen lassen und welche Dokumentation im Streitfall entscheidend sein kann. Eine pauschale Haftung gibt es jedoch nicht. Ob Ansprüche bestehen, hängt regelmäßig von Vertrag, Risiko des Systems, Vorhersehbarkeit des Fehlers, Prüfpflichten, Beweisen und konkretem Schaden ab.

Inhaltsverzeichnis

1. Was gilt als KI-Fehler und warum ist die Haftung rechtlich komplex?
2. Gesetzliche Grundlagen: Welche Rechtsgebiete greifen bei KI-Fehlern?
3. Abgrenzung: KI-Fehler, Softwaremangel, Bedienfehler und falsche Entscheidung
4. Typische Fallkonstellationen aus der Praxis
5. Wer haftet bei KI-Fehlern: Anbieter, Betreiber, Nutzer oder Unternehmen?
6. Risiken, Haftung und typische Fehler im Umgang mit KI
7. Fristen und Verjährung: Wie lange können Ansprüche wegen KI-Fehlern geltend gemacht werden?
8. Beweisfragen und Dokumentation: Was muss nachgewiesen werden?
9. Handlungsschritte für Betroffene und Unternehmen
10. Vertragsgestaltung und Compliance: Wie lässt sich KI-Haftung vorbeugend steuern?
11. Besondere Konfliktfelder: Datenschutz, Urheberrecht, Arbeitsrecht und Berufsrecht
12. FAQ zur Haftung bei KI-Fehlern
13. … und 1 weitere Abschnitte

Was gilt als KI-Fehler und warum ist die Haftung rechtlich komplex?

Ein KI-Fehler liegt nicht bereits deshalb vor, weil ein Ergebnis überraschend, unvollständig oder für den Nutzer unerwartet ist. Rechtlich relevant wird ein Fehler vor allem dann, wenn eine KI-Ausgabe objektiv falsch, irreführend, diskriminierend, sicherheitsrelevant, rechtsverletzend oder für den vorgesehenen Zweck unbrauchbar ist und dadurch ein Schaden oder ein rechtlich erheblicher Nachteil entsteht. Dazu können falsche Diagnosen, fehlerhafte Bonitätsbewertungen, unzutreffende Vertragstexte, diskriminierende Bewerberauswahl, unberechtigte Kontosperrungen, fehlerhafte automatisierte Empfehlungen oder erfundene Quellen gehören.

Die Schwierigkeit besteht darin, dass KI-Systeme häufig arbeitsteilig entstehen und genutzt werden. Ein Anbieter stellt das Modell bereit, ein Unternehmen integriert es in einen Geschäftsprozess, ein Dienstleister passt Prompts oder Schnittstellen an, Mitarbeitende nutzen die Ausgabe, und Betroffene sehen am Ende nur die Entscheidung. Im Streitfall muss daher geklärt werden, an welcher Stelle der Fehler entstanden ist und wer welche Pflichten hatte.

Juristisch ist zwischen technischer Fehlfunktion, falscher Anwendung und rechtlich unzulässiger Entscheidung zu unterscheiden. Ein Sprachmodell kann beispielsweise eine plausible, aber erfundene Antwort erzeugen. Das ist technisch nicht zwingend ein Defekt im engeren Sinne, kann aber haftungsrechtlich relevant werden, wenn ein Unternehmen diese Ausgabe ungeprüft als verbindliche Auskunft an Kunden weitergibt.

Für die Haftung bei KI-Fehlern sind insbesondere folgende Fragen zentral:

• Wurde die KI nur unterstützend genutzt oder hat sie faktisch eine Entscheidung getroffen?
• War der Fehler für den Nutzer oder Anbieter vorhersehbar?
• Gab es vertragliche Zusagen zur Genauigkeit, Verfügbarkeit oder Eignung?
• Wurden gesetzliche Prüf-, Informations- oder Dokumentationspflichten eingehalten?
• Lag ein menschlicher Kontrollschritt vor und war dieser tatsächlich wirksam?
• Ist ein konkreter finanzieller, immaterieller oder sonstiger Schaden nachweisbar?
• Welche Rolle spielten Trainingsdaten, Prompts, Systemeinstellungen und Integrationsfehler?

Wichtig ist auch die Erwartungshaltung. Viele KI-Systeme arbeiten probabilistisch: Sie berechnen wahrscheinliche Ausgaben, ohne notwendigerweise Wahrheit, Vollständigkeit oder rechtliche Zulässigkeit garantieren zu können. Das entlastet Verwender aber nicht automatisch. Wer KI in einem sensiblen Bereich einsetzt, muss typische Grenzen kennen, organisatorisch berücksichtigen und Betroffene nicht über die Zuverlässigkeit des Systems täuschen.

Gesetzliche Grundlagen: Welche Rechtsgebiete greifen bei KI-Fehlern?

Ein einheitliches „KI-Haftungsgesetz“, das alle Fälle abschließend regelt, gibt es in Deutschland derzeit nicht. Die Haftung bei KI-Fehlern ergibt sich vielmehr aus mehreren Rechtsquellen, die je nach Fall nebeneinander anwendbar sein können. Das macht die Prüfung anspruchsvoll, ermöglicht aber auch eine differenzierte Zuordnung der Verantwortlichkeit.

Im Vertragsrecht kommt es darauf an, ob zwischen den Beteiligten ein Vertrag besteht. Hat ein Softwareanbieter eine KI-Lösung geliefert, können Mängelrechte, Schadensersatz wegen Pflichtverletzung oder Ansprüche aus Service-Level-Vereinbarungen relevant werden. Bei Beratungs-, Werk- oder Dienstverträgen ist zu prüfen, ob der Einsatz von KI den geschuldeten Leistungsstandard unterschritten hat. Entscheidend ist nicht allein, dass KI verwendet wurde, sondern ob das Ergebnis hinter der vertraglich geschuldeten Qualität zurückbleibt.

Das Deliktsrecht, insbesondere § 823 BGB, kann greifen, wenn absolute Rechte wie Eigentum, Gesundheit, Persönlichkeitsrecht oder eingerichteter und ausgeübter Gewerbebetrieb verletzt werden. Bei reinen Vermögensschäden ist die deliktische Haftung enger. Dann müssen etwa Schutzgesetze, sittenwidrige vorsätzliche Schädigung oder besondere Verkehrspflichten geprüft werden.

Für Produkte kommt die Produkthaftung in Betracht. Nach dem Produkthaftungsgesetz kann ein Hersteller verschuldensunabhängig haften, wenn ein fehlerhaftes Produkt Personen- oder bestimmte Sachschäden verursacht. Ob und wie Software beziehungsweise KI-Systeme im Einzelfall als Produkt einzuordnen sind, hängt vom konkreten rechtlichen Rahmen ab. Die europäische Produkthaftung wird zudem durch die neue Produkthaftungsrichtlinie modernisiert; sie erfasst künftig digitale Produkte und Software deutlicher. Die Umsetzung in nationales Recht ist für die Praxis besonders relevant, weil sie Beweis- und Offenlegungsthemen verändern kann.

Daneben spielt die Datenschutz-Grundverordnung eine wichtige Rolle. KI-Systeme verarbeiten häufig personenbezogene Daten, etwa bei Kundenprofilen, Bewerbungen, Gesundheitsdaten oder Scoring. Verstöße gegen Transparenzpflichten, Rechtsgrundlagen, Zweckbindung, Datenminimierung oder automatisierte Entscheidungen nach Art. 22 DSGVO können zu Unterlassungs-, Auskunfts-, Löschungs-, Beschwerde- und Schadensersatzansprüchen führen. Auch immaterielle Schäden können grundsätzlich ersatzfähig sein, müssen aber im Einzelfall substantiiert werden.

Der europäische AI Act ordnet KI-Systeme nach Risikokategorien. Er ist primär regulatorisch ausgestaltet und begründet nicht in jedem Fall unmittelbar einen zivilrechtlichen Schadensersatzanspruch. Gleichwohl kann er für Haftungsfragen bedeutsam sein, weil Pflichten zu Risikomanagement, Datenqualität, technischer Dokumentation, Transparenz, menschlicher Aufsicht und Überwachung nach dem Inverkehrbringen den Sorgfaltsmaßstab prägen können. Wer solche Pflichten missachtet, erhöht sein zivilrechtliches und aufsichtsrechtliches Risiko.

Je nach Branche kommen weitere Regelwerke hinzu. Im Medizinbereich sind Medizinprodukterecht, ärztliche Sorgfaltspflichten und Patientenrechte relevant. Im Finanzsektor können bankaufsichtsrechtliche Organisationspflichten, Wertpapierdienstleistungsrecht und Verbraucherschutzvorgaben greifen. Bei Rechts-, Steuer- oder Unternehmensberatung bleiben Berufs- und Haftungsmaßstäbe maßgeblich. Der Einsatz von KI ersetzt nicht die fachliche Verantwortung des Berufsträgers.

Abgrenzung: KI-Fehler, Softwaremangel, Bedienfehler und falsche Entscheidung

Für die rechtliche Bewertung ist eine saubere Abgrenzung entscheidend. Nicht jeder nachteilige Ausgang ist ein KI-Fehler, nicht jeder KI-Fehler ist ein haftungsbegründender Mangel, und nicht jede falsche Entscheidung lässt sich dem Systemanbieter zurechnen. Häufig scheitern Streitigkeiten nicht daran, dass kein Problem vorlag, sondern daran, dass Ursache und Verantwortungsbereich nicht präzise genug herausgearbeitet werden.

Ein Softwaremangel liegt typischerweise vor, wenn die Software nicht die vereinbarte Beschaffenheit hat oder sich nicht für die vertraglich vorausgesetzte Nutzung eignet. Bei KI-Systemen ist diese Prüfung komplizierter, weil Ergebnisse nicht immer deterministisch sind. Trotzdem können klare Fehler vorliegen, etwa wenn ein System entgegen vereinbarter Spezifikation Daten verliert, Sicherheitsmechanismen deaktiviert, Schnittstellen falsch verarbeitet oder dokumentierte Genauigkeitswerte deutlich unterschreitet.

Ein Bedienfehler liegt dagegen nahe, wenn Nutzer das System außerhalb seines vorgesehenen Zwecks einsetzen, Warnhinweise ignorieren, unzureichende Eingabedaten verwenden oder Ergebnisse ohne erforderliche Prüfung weiterverarbeiten. Das entlastet Anbieter nicht in jedem Fall: Sind Fehlbedienungen naheliegend und gefährlich, können Hinweise, Sperren oder technische Schutzmaßnahmen erforderlich sein.

Eine falsche Entscheidung kann schließlich auch dann rechtswidrig sein, wenn das KI-System technisch korrekt gearbeitet hat. Beispiel: Ein Unternehmen nutzt ein Scoring-System, das bestimmte Merkmale statistisch auswertet. Wenn die darauf gestützte Entscheidung diskriminierend ist oder datenschutzrechtliche Vorgaben verletzt, hilft es wenig, dass das System „wie programmiert“ funktioniert hat. Rechtlich verantwortlich ist dann häufig die Organisation, die die Entscheidung trifft oder die Datenverarbeitung verantwortet.

Die folgende Gegenüberstellung zeigt typische Abgrenzungen. Sie ersetzt keine Einzelfallprüfung, hilft aber bei der ersten Einordnung, an welcher Stelle Haftungsfragen ansetzen können.

In der Praxis ist die Abgrenzung selten rein technisch. Verträge, Leistungsbeschreibungen, Warnhinweise, Benutzerrollen, Protokolle und interne Freigabeprozesse müssen zusammen betrachtet werden. Besonders wichtig ist die Frage, ob die KI-Ausgabe nur als Entwurf oder als maßgebliche Entscheidungsgrundlage verwendet wurde. Wer ein System ausdrücklich als Hilfsmittel einführt, intern aber faktisch automatisierte Entscheidungen ohne Kontrolle zulässt, kann sich nicht ohne Weiteres auf den Hilfscharakter berufen.

Typische Fallkonstellationen aus der Praxis

KI-Fehler treten in sehr unterschiedlichen Lebens- und Geschäftsbereichen auf. Für Betroffene ist zunächst nicht entscheidend, ob ein großer Algorithmus, ein Sprachmodell, eine automatisierte Entscheidungslogik oder ein klassisches Machine-Learning-System beteiligt war. Rechtlich zählt, welche Pflicht verletzt wurde, wer diese Pflicht traf und ob der geltend gemachte Schaden auf den Fehler zurückzuführen ist.

Falsche KI-Auskunft im Kundenservice

Ein Unternehmen setzt einen Chatbot ein, der Kunden Vertragslaufzeiten, Kündigungsfristen oder Rückerstattungen erklärt. Der Bot teilt einem Kunden mit, eine Kündigung sei noch rechtzeitig möglich, obwohl die Frist bereits abgelaufen ist. Verlässt sich der Kunde darauf und entsteht ein Nachteil, können vertragliche Nebenpflichten, Irreführung und Verbraucherschutzfragen eine Rolle spielen. Das Unternehmen wird sich nicht ohne Weiteres darauf berufen können, dass „nur der Bot“ geantwortet habe, wenn dieser als offizieller Kundenkanal eingesetzt wurde.

KI im Bewerbungsverfahren

Arbeitgeber nutzen zunehmend Systeme zur Vorauswahl von Bewerbungen. Fehler können entstehen, wenn Lebensläufe falsch ausgelesen, Lücken überbewertet oder bestimmte Merkmale mittelbar diskriminierend gewichtet werden. Betroffene Bewerber haben häufig Schwierigkeiten, den Fehler nachzuweisen, weil die Entscheidungslogik nicht offenliegt. Dennoch können Auskunftsansprüche, Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz und datenschutzrechtliche Rechte relevant sein. Unternehmen sollten Auswahlentscheidungen daher nicht allein auf undurchsichtige Scores stützen.

Fachliche Fehlleistung durch KI-gestützte Beratung

In Kanzleien, Steuerbüros, Unternehmensberatungen, technischen Büros oder medizinischen Einrichtungen kann KI Recherche, Formulierungen oder Analysen unterstützen. Haftungsrechtlich bleibt aber der Maßstab der jeweiligen fachlichen Tätigkeit entscheidend. Ein Rechtsanwalt kann sich etwa nicht damit entlasten, dass eine fehlerhafte Fristberechnung von einem KI-Tool stammte, wenn eine eigenständige Prüfung geschuldet war. Ähnliches gilt für Ärzte, Steuerberater, Architekten oder Ingenieure.

Fehlerhafte Prognosen und Scorings

Scoring-Systeme können Kreditentscheidungen, Versicherungsprämien, Betrugsprüfungen oder Plattformzugänge beeinflussen. Falsche Daten, verzerrte Trainingsgrundlagen oder unzulässige Gewichtungen können dazu führen, dass Betroffene schlechter behandelt werden. Hier treffen Datenschutzrecht, Vertragsrecht und unter Umständen Diskriminierungsrecht aufeinander. Wichtig ist die Unterscheidung zwischen zulässiger Risikobewertung und einer nicht nachvollziehbaren automatisierten Entscheidung mit erheblichen Auswirkungen.

KI-generierte Inhalte in Marketing, Produktdesign und Medien

KI kann Texte, Bilder, Musik, Code oder Designs erstellen. Fehler liegen hier oft nicht in einer falschen Tatsache, sondern in Rechtsverletzungen: fremde Marken, urheberrechtlich geschützte Elemente, irreführende Aussagen, Persönlichkeitsrechtsverletzungen oder unzulässige Produktversprechen. Wer Inhalte veröffentlicht, trägt grundsätzlich Verantwortung für die Veröffentlichung. Anbieterbedingungen können interne Regressfragen beeinflussen, schützen aber nicht automatisch vor Ansprüchen Dritter.

Autonome oder teilautonome Systeme

Bei Robotik, Industrieanlagen, Fahrzeugassistenz, Lagerautomation oder Medizinsoftware können KI-Fehler körperliche oder materielle Schäden verursachen. Dann stehen Sicherheitsanforderungen, Produktbeobachtung, Wartung, Bedienkonzepte und Notfallmechanismen im Vordergrund. Die Haftung kann Hersteller, Betreiber, Wartungsdienstleister oder Anwender treffen. Je höher das Schadensrisiko, desto stärker sind in der Regel die Anforderungen an Tests, Dokumentation und menschliche Eingriffsmöglichkeiten.

Diese Beispiele zeigen: Die Haftung hängt weniger am Schlagwort „KI“ als an Rolle, Pflichtenkreis und konkreter Risikolage. Ein und derselbe technische Fehler kann je nach Einsatzumgebung unterschiedlich bewertet werden. Ein unzutreffender Textvorschlag in einem internen Entwurf ist rechtlich anders einzuordnen als dieselbe falsche Aussage in einer verbindlichen Kundenmitteilung oder medizinischen Empfehlung.

Wer haftet bei KI-Fehlern: Anbieter, Betreiber, Nutzer oder Unternehmen?

Die wichtigste praktische Frage lautet: Gegen wen richten sich Ansprüche? Eine pauschale Antwort gibt es nicht. Bei KI-Systemen können mehrere Beteiligte gleichzeitig Verantwortung tragen. Im Außenverhältnis haftet häufig diejenige Person oder Organisation, die gegenüber Betroffenen auftritt, Entscheidungen trifft oder Leistungen schuldet. Im Innenverhältnis kann anschließend zu prüfen sein, ob Regress gegen Anbieter, Integratoren oder Mitarbeitende möglich ist.

Der Anbieter einer KI-Lösung kann haften, wenn das System mangelhaft ist, Sicherheitsanforderungen nicht erfüllt, zugesicherte Eigenschaften fehlen oder Informationspflichten verletzt wurden. Relevante Unterlagen sind hier Lizenzbedingungen, Leistungsbeschreibungen, Dokumentation, Risikohinweise, Service-Level-Agreements und Updatepflichten. Allerdings schließen Anbieter Verträge häufig mit Haftungsbegrenzungen ab. Deren Wirksamkeit hängt von AGB-Recht, Vertragstyp, Verschuldensgrad und betroffenen Rechtsgütern ab.

Der Betreiber oder Deploying-Anwender haftet, wenn er das System in eigene Prozesse einbindet und dabei Sorgfaltspflichten verletzt. Das betrifft etwa Unternehmen, die KI im Kundenservice, Personalwesen, Risikomanagement oder in der Produktion einsetzen. Wer KI verwendet, muss den Einsatzzweck prüfen, geeignete Daten verwenden, Mitarbeitende schulen, Ergebnisse kontrollieren und Betroffenenrechte beachten. Die Pflichten steigen mit der Sensibilität des Einsatzes.

Ein Integrator oder IT-Dienstleister kann verantwortlich sein, wenn Fehler durch fehlerhafte Schnittstellen, unzureichende Konfiguration, mangelhafte Tests oder falsche Implementierung entstehen. Gerade bei individuell angepassten KI-Lösungen ist die Grenze zwischen Produktmangel des Anbieters und Projektfehler des Integrators oft streitig. Hier kommt es auf Pflichtenhefte, Abnahmeprotokolle, Testfälle, Änderungsdokumentation und Projektkommunikation an.

Mitarbeitende haften im Verhältnis zum Arbeitgeber nur eingeschränkt nach den Grundsätzen des innerbetrieblichen Schadensausgleichs. Bei leichter Fahrlässigkeit scheidet eine persönliche Haftung häufig aus, bei grober Fahrlässigkeit oder Vorsatz kann sie in Betracht kommen. Gegenüber Dritten haftet regelmäßig zunächst das Unternehmen, wenn Mitarbeitende im Rahmen ihrer Tätigkeit handeln. Dies bedeutet jedoch nicht, dass interne Pflichtverstöße folgenlos bleiben; arbeitsrechtliche Maßnahmen sind gesondert zu prüfen.

Betroffene Verbraucher oder Kunden sollten beachten, dass sie nicht immer alle technischen Hintergründe kennen müssen, um erste Rechte geltend zu machen. Häufig kann zunächst gegenüber dem Vertragspartner, Plattformbetreiber oder datenschutzrechtlich Verantwortlichen Auskunft verlangt oder ein Anspruch angemeldet werden. Ob zusätzlich Ansprüche gegen Hersteller oder Dienstleister bestehen, ergibt sich oft erst nach Einsicht in Unterlagen.

Für Unternehmen ist es umgekehrt wichtig, Verantwortlichkeiten vertraglich und organisatorisch vorab zu klären. Dazu gehören Rollen nach DSGVO, Support- und Updatepflichten, Haftungsgrenzen, Prüfpflichten, Protokollierung, Eskalationswege und Pflichten bei Sicherheitsvorfällen. Wer erst nach einem Schaden klärt, wer zuständig war, hat regelmäßig ein Beweis- und Organisationsproblem.

Risiken, Haftung und typische Fehler im Umgang mit KI

Die rechtlichen Risiken bei KI-Fehlern entstehen selten nur durch das KI-System selbst. Häufig werden sie durch organisatorische Versäumnisse verstärkt: fehlende Zuständigkeiten, unklare Freigaben, unzureichende Tests oder eine überzogene Erwartung an die Verlässlichkeit des Systems. Grundsätzlich gilt: Je stärker ein KI-Ergebnis nach außen wirkt oder rechtliche, wirtschaftliche oder persönliche Folgen auslöst, desto höher sind die Anforderungen an Kontrolle und Dokumentation.

Unternehmen riskieren bei fehlerhaftem KI-Einsatz Schadensersatzansprüche, Gewährleistungsstreitigkeiten, aufsichtsrechtliche Maßnahmen, Bußgelder, Unterlassungsansprüche, Reputationsschäden und interne Haftungsfragen gegenüber Geschäftsleitung oder Mitarbeitenden. Bei personenbezogenen Daten können Datenschutzaufsichtsbehörden einschreiten. Bei Hochrisiko-KI nach dem AI Act kommen zusätzliche Compliance-Anforderungen hinzu, deren Verletzung empfindliche regulatorische Folgen haben kann.

Auch Einzelpersonen können betroffen sein. Wer KI-generierte Inhalte beruflich nutzt, kann für Falschinformationen, Urheberrechtsverletzungen oder fehlerhafte Beratung verantwortlich sein. Im privaten Bereich sind Haftungsrisiken meist geringer, aber nicht ausgeschlossen, etwa bei Veröffentlichungen, Bewertungen, Bildbearbeitungen oder automatisierten Entscheidungen in kleinen Unternehmen.

Typische Fehler, die in Haftungsfällen immer wieder eine Rolle spielen, sind:

• Ungeprüfte Übernahme von KI-Ausgaben: Texte, Analysen oder Empfehlungen werden direkt verwendet, obwohl eine fachliche Prüfung erforderlich gewesen wäre.
• Unklarer Einsatzzweck: Ein Tool wird für Entscheidungen eingesetzt, für die es nicht vorgesehen oder nicht ausreichend validiert ist.
• Fehlende menschliche Aufsicht: Formal gibt es einen Kontrollschritt, tatsächlich fehlt aber Zeit, Kompetenz oder Zugriff auf relevante Informationen.
• Mangelhafte Datenbasis: Veraltete, unvollständige, rechtswidrig erhobene oder verzerrte Daten führen zu fehlerhaften Ergebnissen.
• Unzureichende Dokumentation: Prompts, Versionen, Datenquellen, Entscheidungen und Freigaben werden nicht nachvollziehbar gespeichert.
• Missverständliche Kommunikation: Kunden oder Betroffene erkennen nicht, dass eine KI beteiligt ist oder welche Grenzen die Auskunft hat.
• Ungeklärte Anbieterhaftung: Verträge regeln Support, Sicherheitsupdates, Datenverwendung oder Haftung nur unzureichend.
• Keine Prüfung von Datenschutz und Urheberrecht: Personenbezogene Daten oder fremde Inhalte werden ohne klare Rechtsgrundlage verarbeitet.

Besonders kritisch ist der sogenannte Automation Bias: Menschen neigen dazu, maschinell erzeugten Ergebnissen eine höhere Objektivität zuzuschreiben, als ihnen tatsächlich zukommt. Wird eine KI-Ausgabe nur oberflächlich bestätigt, ohne echte Prüfung, kann ein Unternehmen nicht überzeugend darlegen, dass menschliche Aufsicht stattgefunden hat. Dies gilt besonders in Bereichen wie Personal, Finanzen, Medizin, Recht, Sicherheit und behördlichen Entscheidungen.

Geschäftsleitungen sollten KI-Risiken außerdem als Organisations- und Compliance-Thema verstehen. Werden KI-Systeme ohne Risikoklassifizierung, klare Verantwortlichkeiten und angemessene Kontrollen eingeführt, können nicht nur operative Fehler entstehen. Unter Umständen stellt sich auch die Frage, ob Leitungspflichten verletzt wurden. Die Anforderungen hängen von Größe, Branche, Risikoprofil und konkreter Nutzung ab; kleine Unternehmen müssen nicht dieselben Strukturen wie Konzerne vorhalten, benötigen aber zumindest ein angemessenes Mindestmaß an Steuerung.

Fristen und Verjährung: Wie lange können Ansprüche wegen KI-Fehlern geltend gemacht werden?

Fristen sind bei KI-Fehlern ein häufig unterschätztes Thema. Viele Betroffene konzentrieren sich zunächst darauf, den technischen Hintergrund zu verstehen. Das ist nachvollziehbar, darf aber nicht dazu führen, dass vertragliche Rügepflichten, Ausschlussfristen oder Verjährungsfristen versäumt werden. Welche Frist gilt, hängt von der Anspruchsgrundlage, dem Vertragstyp und dem Schaden ab.

Für viele zivilrechtliche Schadensersatzansprüche gilt die regelmäßige Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB. Die Frist beginnt grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Anspruchsteller von den anspruchsbegründenden Umständen sowie der Person des Schuldners Kenntnis erlangt oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Im Einzelfall kann streitig sein, wann ausreichende Kenntnis vorlag, insbesondere wenn die Beteiligung eines KI-Systems zunächst nicht erkennbar war.

Daneben gibt es besondere Fristen. Bei Kauf- oder Werkmängeln können Gewährleistungsfristen einschlägig sein. Im kaufrechtlichen Unternehmerverkehr kann § 377 HGB eine unverzügliche Untersuchungs- und Rügepflicht begründen. Wird eine KI-Software, ein KI-Modul oder eine digitale Leistung in einem B2B-Verhältnis geliefert, sollte daher früh geprüft werden, ob Mängel rechtzeitig gerügt werden müssen. Eine verspätete Rüge kann Rechte erheblich beeinträchtigen.

Bei Produkthaftung gelten besondere Regelungen. Ansprüche nach dem Produkthaftungsgesetz verjähren grundsätzlich in drei Jahren ab Kenntnis von Schaden, Fehler und Ersatzpflichtigem. Zusätzlich gibt es eine Erlöschensfrist von zehn Jahren ab Inverkehrbringen des Produkts. Bei KI und Software ist im Detail zu prüfen, welches Produkt, welches Update und welcher Zeitpunkt maßgeblich sind. Künftige gesetzliche Anpassungen durch europäische Vorgaben können diese Bewertung beeinflussen.

Im Datenschutzrecht gibt es keine einheitliche kurze Spezialverjährung für Schadensersatzansprüche aus Art. 82 DSGVO. In Deutschland wird regelmäßig an die allgemeinen Verjährungsregeln angeknüpft. Daneben bestehen Betroffenenrechte wie Auskunft, Löschung oder Widerspruch, die unabhängig von einem Schadensersatzanspruch geltend gemacht werden können. Beschwerden bei Datenschutzaufsichtsbehörden sollten nicht unnötig aufgeschoben werden, weil Sachverhalte mit der Zeit schwerer aufklärbar werden.

Auch außergerichtliche Fristen sind wichtig. Plattformen, Arbeitgeber, Versicherer oder Anbieter setzen oft interne Reaktionsfristen. Diese ersetzen gesetzliche Fristen nicht, können aber für die Sicherung von Beweisen oder die Vermeidung weiterer Schäden bedeutsam sein. Wer eine fehlerhafte KI-Entscheidung bemerkt, sollte zeitnah widersprechen, Berichtigung verlangen und Unterlagen sichern.

Praktisch empfiehlt sich eine Fristenübersicht mit mindestens folgenden Punkten: Datum des Fehlers, Datum der Kenntnis, betroffene Entscheidung, Vertragspartner, mögliche Anspruchsgegner, gesetzte Antwortfristen, Rügefristen, Verjährungsende und bereits ergriffene Maßnahmen. Gerade bei digitalen Sachverhalten können Logs überschrieben und Versionen aktualisiert werden. Eine frühe Frist- und Beweissicherung ist deshalb oft entscheidender als eine sofort vollständige rechtliche Bewertung.

Beweisfragen und Dokumentation: Was muss nachgewiesen werden?

Die Beweisführung ist bei KI-Fehlern häufig der schwierigste Teil. Betroffene müssen grundsätzlich darlegen und beweisen, dass ein Fehler vorlag, ein Schaden entstanden ist und der Schaden kausal auf das Verhalten des Anspruchsgegners zurückzuführen ist. Je nach Anspruchsgrundlage können Beweiserleichterungen, Auskunftsansprüche oder Dokumentationspflichten helfen. Dennoch bleibt die technische Intransparenz vieler KI-Systeme ein praktisches Hindernis.

Für Unternehmen ist Dokumentation nicht nur Verteidigungsmittel, sondern Teil ordnungsgemäßer Organisation. Wer nachvollziehbar dokumentiert, warum ein KI-System ausgewählt wurde, welche Risiken geprüft wurden, welche Tests erfolgten und wie menschliche Aufsicht umgesetzt wurde, kann im Streitfall besser darlegen, dass angemessene Sorgfalt eingehalten wurde. Umgekehrt kann fehlende Dokumentation den Eindruck verstärken, dass Prüfpflichten vernachlässigt wurden.

Betroffene sollten möglichst früh alle verfügbaren Informationen sichern. Digitale Inhalte können gelöscht, Chatverläufe überschrieben und Modelle aktualisiert werden. Screenshots allein reichen nicht immer, sind aber ein wichtiger erster Schritt. Besser ist eine Kombination aus Originaldateien, Zeitstempeln, E-Mails, Vertragsunterlagen, Protokollen und Zeugenangaben.

Benötigte Nachweise können insbesondere sein:

• Screenshot oder Export der fehlerhaften KI-Ausgabe mit Datum und Uhrzeit
• verwendete Eingaben, Prompts, Formulare oder Datensätze
• Kommunikation mit Anbieter, Unternehmen, Arbeitgeber oder Plattform
• Verträge, Leistungsbeschreibungen, AGB, Datenschutzhinweise und Produktdokumentation
• Nachweise über den eingetretenen Schaden, etwa Rechnungen, Ablehnungen, Mehrkosten oder Verdienstausfall
• Protokolle zu menschlicher Prüfung, Freigaben, Eskalationen und internen Entscheidungen
• Versionsinformationen zum verwendeten KI-Modell, Tool, Update oder Plug-in
• Zeugen, die den Ablauf, die Anzeige oder die Entscheidung bestätigen können

Bei Unternehmen sollten zusätzlich technische Logs, Audit-Trails, Testberichte, Risikobewertungen, Datenschutz-Folgenabschätzungen, Rollen- und Berechtigungskonzepte sowie Schulungsnachweise gesichert werden. Dabei ist Datenschutz zu beachten: Beweissicherung berechtigt nicht automatisch dazu, beliebig personenbezogene Daten zu kopieren oder weiterzugeben. Es sollte geprüft werden, welche Daten erforderlich sind und wie sie geschützt werden.

In gerichtlichen Verfahren kann ein Sachverständigengutachten erforderlich werden. Bei komplexen KI-Systemen ist jedoch nicht immer der gesamte Modellaufbau zugänglich. Dann gewinnen Indizien an Bedeutung: fehlerhafte Vergleichsfälle, systematische Muster, fehlende Plausibilitätskontrollen, Verstöße gegen Dokumentationspflichten oder widersprüchliche Anbieterangaben. Die Strategie hängt stark davon ab, ob der Anspruch auf Vertrag, Delikt, Datenschutz oder Produkthaftung gestützt wird.

Handlungsschritte für Betroffene und Unternehmen

Bei einem vermuteten KI-Fehler sollte nicht vorschnell unterstellt werden, dass automatisch ein Anspruch besteht. Ebenso wenig sollte der Sachverhalt als rein technisches Problem abgetan werden. Sinnvoll ist ein strukturiertes Vorgehen, das Schadenbegrenzung, Beweissicherung, Fristenkontrolle und rechtliche Einordnung verbindet. Die folgenden Schritte richten sich sowohl an Betroffene als auch an Unternehmen, müssen aber je nach Rolle angepasst werden.

1. Fehler konkret beschreiben: Halten Sie fest, welche KI-Ausgabe oder Entscheidung falsch war, wann sie erfolgte und welche Folgen daraus entstanden sind.
2. Beweise sofort sichern: Speichern Sie Screenshots, Exporte, E-Mails, Vertragsunterlagen, Protokolle und Zeitstempel. Dokumentieren Sie auch die verwendeten Eingaben oder Prompts.
3. Schaden begrenzen: Prüfen Sie, ob eine Korrektur, Sperrung, Rücknahme, Gegendarstellung, manuelle Überprüfung oder technische Abschaltung erforderlich ist.
4. Fristen notieren: Erfassen Sie mögliche Rügefristen, Antwortfristen, arbeitsrechtliche Fristen, Gewährleistungsfristen und das voraussichtliche Verjährungsende.
5. Vertragspartner und Verantwortliche identifizieren: Klären Sie, wer Anbieter, Betreiber, Integrator, datenschutzrechtlich Verantwortlicher und unmittelbarer Entscheider war.
6. Auskunft und Begründung verlangen: Fordern Sie nachvollziehbare Informationen zur Entscheidungsgrundlage, Datenverarbeitung und menschlichen Prüfung an, soweit Ihnen entsprechende Rechte zustehen.
7. Interne Eskalation einleiten: Unternehmen sollten Rechtsabteilung, Datenschutzbeauftragte, IT-Sicherheit, Fachbereich und Management einbinden, wenn der Fehler erhebliche Folgen haben kann.
8. Technische Änderungen dokumentieren: Wenn Systeme korrigiert, Modelle aktualisiert oder Prompts geändert werden, sollte vorher der Zustand beweissicher dokumentiert werden.
9. Ansprüche und Verteidigung prüfen: Unterscheiden Sie zwischen vertraglichen Ansprüchen, Datenschutzrechten, Unterlassung, Schadensersatz, Produkthaftung und Regress.
10. Kommunikation kontrollieren: Geben Sie keine vorschnellen Schuldanerkenntnisse ab, vermeiden Sie aber auch pauschales Bestreiten ohne Sachverhaltsprüfung.
11. Wiederholungsrisiken reduzieren: Passen Sie Freigabeprozesse, Schulungen, Hinweise, Monitoring und Dokumentation an, wenn sich ein strukturelles Problem zeigt.

Für Betroffene kann es sinnvoll sein, zunächst eine kurze, sachliche Beschwerde oder Anspruchsanmeldung zu formulieren. Darin sollten der konkrete Vorgang, das beanstandete Ergebnis, der entstandene Nachteil und das gewünschte Ziel genannt werden. Je nach Fall kann dies eine Korrektur, Auskunft, Löschung, erneute manuelle Prüfung, Schadensersatz oder Unterlassung sein.

Unternehmen sollten parallel vermeiden, Beweise durch gut gemeinte Sofortmaßnahmen zu vernichten. Wenn ein fehlerhafter Bot abgeschaltet, ein Modell aktualisiert oder ein Datensatz bereinigt wird, sollte zuvor dokumentiert werden, welcher Zustand bestand. Dies ist nicht nur für eine mögliche Verteidigung wichtig, sondern auch für Ursachenanalyse und künftige Compliance.

In sensiblen Fällen kann zudem eine Meldepflicht bestehen, etwa bei Datenschutzverletzungen nach Art. 33 DSGVO. Nicht jeder KI-Fehler ist automatisch eine Datenschutzverletzung. Werden aber personenbezogene Daten unbefugt offengelegt, falsch verarbeitet oder Betroffenenrechte erheblich beeinträchtigt, muss eine Melde- und Benachrichtigungspflicht zeitnah geprüft werden. Die 72-Stunden-Frist bei meldepflichtigen Datenschutzverletzungen macht eine frühe Einordnung besonders wichtig.

Vertragsgestaltung und Compliance: Wie lässt sich KI-Haftung vorbeugend steuern?

Viele Haftungsfragen lassen sich nicht erst im Streitfall lösen. Wer KI-Systeme geschäftlich einsetzt oder anbietet, sollte Verantwortlichkeiten, Pflichten und Grenzen bereits vor Einführung regeln. Das bedeutet nicht, dass jedes Unternehmen umfangreiche Konzernstrukturen benötigt. Erforderlich ist ein risikogerechter Rahmen, der zum Einsatzbereich, zur Branche und zur möglichen Schadenshöhe passt.

Auf Vertragsebene sollten Leistungsumfang und Einsatzzweck möglichst konkret beschrieben werden. Unklare Formulierungen wie „KI-gestützte Optimierung“ oder „automatische Analyse“ reichen für kritische Prozesse oft nicht aus. Relevant sind Genauigkeitsanforderungen, Datenquellen, Aktualität, Verfügbarkeit, Support, Updates, Sicherheitsmaßnahmen, Audit-Rechte, Haftungsbegrenzungen und Pflichten bei Fehlern. Auch die Frage, ob der Anbieter Kundendaten zum Training verwenden darf, sollte ausdrücklich geregelt werden.

Besonders wichtig sind Regelungen zur menschlichen Kontrolle. Wenn KI nur Vorschläge erzeugen soll, muss festgelegt werden, wer prüft, welche Kriterien gelten und wann eine Entscheidung eskaliert wird. Eine bloße Klausel, dass Ergebnisse zu prüfen seien, genügt organisatorisch oft nicht, wenn Mitarbeitende dafür weder Zeit noch Qualifikation erhalten. Prüfpflichten müssen praktisch umsetzbar sein.

Datenschutzrechtlich sind Rollen zu klären. Ist der Anbieter Auftragsverarbeiter, gemeinsam Verantwortlicher oder eigenständig Verantwortlicher? Welche Daten werden verarbeitet? Gibt es besondere Kategorien personenbezogener Daten? Ist eine Datenschutz-Folgenabschätzung erforderlich? Wie werden Betroffene informiert? Wie lassen sich Auskunft, Löschung, Berichtigung und Widerspruch technisch erfüllen? Diese Fragen sollten vor Produktivbetrieb beantwortet werden.

Für Hochrisiko-Anwendungen im Sinne des AI Act kommen zusätzliche Anforderungen hinzu. Dazu zählen unter anderem Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Ob ein System Hochrisiko-KI ist, hängt vom konkreten Anwendungsfall ab, etwa in Beschäftigung, Bildung, kritischer Infrastruktur, Strafverfolgung oder bestimmten Zugangssituationen zu wesentlichen Diensten.

Ein praktikables KI-Compliance-Konzept enthält typischerweise:

• Inventar der eingesetzten KI-Tools und ihrer Zwecke
• Risikoklassifizierung nach Einsatzbereich und möglichem Schaden
• Freigabeprozess für neue KI-Anwendungen
• Vorgaben zu Datenquellen, Datenschutz und Geheimnisschutz
• Regeln für menschliche Prüfung und Eskalation
• Dokumentationspflichten für Prompts, Ausgaben und Entscheidungen in kritischen Fällen
• Schulungen für Mitarbeitende und klare Nutzungsrichtlinien
• Monitoring, Fehlerberichte und regelmäßige Überprüfung
• Vertragsstandards für Anbieter, Integratoren und Dienstleister
• Notfallplan bei fehlerhaften oder rechtswidrigen KI-Ausgaben

Vorbeugende Maßnahmen können Haftung nicht ausschließen, aber sie reduzieren Fehlerwahrscheinlichkeit und verbessern die rechtliche Position. Im Streitfall ist es ein Unterschied, ob ein Unternehmen ein geprüftes System mit dokumentierter Aufsicht eingesetzt hat oder ob Mitarbeitende ohne Vorgaben frei zugängliche KI-Tools für kritische Entscheidungen nutzten.

Besondere Konfliktfelder: Datenschutz, Urheberrecht, Arbeitsrecht und Berufsrecht

KI-Fehler werden häufig erst sichtbar, wenn sie mit anderen Rechtsgebieten kollidieren. Besonders relevant sind Datenschutz, Urheberrecht, Arbeitsrecht und Berufsrecht. Diese Bereiche haben jeweils eigene Maßstäbe, die neben allgemeinen Haftungsregeln zu beachten sind.

Datenschutz und automatisierte Entscheidungen

Wenn KI personenbezogene Daten verarbeitet, muss eine Rechtsgrundlage bestehen. Zudem müssen Betroffene transparent informiert werden. Bei Entscheidungen, die ausschließlich automatisiert erfolgen und rechtliche Wirkung entfalten oder Betroffene erheblich beeinträchtigen, ist Art. 22 DSGVO zu prüfen. In solchen Fällen können besondere Schutzmechanismen erforderlich sein, etwa menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung der Entscheidung. Ob eine Entscheidung „ausschließlich automatisiert“ ist, hängt nicht allein vom Papierprozess ab. Eine nur formale menschliche Bestätigung kann unzureichend sein.

Urheberrecht und KI-generierte Inhalte

Bei KI-generierten Inhalten besteht ein doppeltes Risiko. Erstens können Eingaben fremde Rechte verletzen, wenn geschützte Texte, Bilder, Codes oder Geschäftsgeheimnisse ohne Erlaubnis verwendet werden. Zweitens kann die Ausgabe fremden Werken ähneln oder geschützte Bestandteile enthalten. Wer solche Inhalte veröffentlicht, sollte Rechteklärung, Ähnlichkeitsprüfung und Dokumentation nicht vernachlässigen. Anbieterzusagen zur kommerziellen Nutzbarkeit sind hilfreich, ersetzen aber keine Prüfung bei besonders wichtigen Kampagnen, Produkten oder Veröffentlichungen.

Arbeitsrecht und Mitarbeiterkontrolle

Im Arbeitsverhältnis kann KI bei Leistungsbewertung, Schichtplanung, Bewerberauswahl oder Überwachung eingesetzt werden. Fehler können Beschäftigte erheblich treffen. Neben Datenschutzrecht sind Mitbestimmungsrechte des Betriebsrats, Gleichbehandlung und Persönlichkeitsrechte zu beachten. Unternehmen sollten vermeiden, Beschäftigte anhand intransparenter Scores zu sanktionieren, ohne eine nachvollziehbare menschliche Prüfung zu ermöglichen. Arbeitnehmer wiederum sollten fehlerhafte KI-basierte Bewertungen zeitnah dokumentieren und intern rügen.

Berufsrechtliche Verantwortung

Berufsträger mit besonderen Sorgfaltspflichten können KI nutzen, bleiben aber verantwortlich. Anwälte, Steuerberater, Ärzte, Architekten oder Wirtschaftsprüfer müssen fachliche Ergebnisse eigenständig prüfen. Der Einsatz von KI kann Effizienz steigern, senkt aber nicht den geschuldeten Qualitätsmaßstab. Vertraulichkeit, Datenschutz und Mandats- beziehungsweise Patientengeheimnisse sind besonders zu beachten. Die Eingabe sensibler Informationen in ungeprüfte KI-Tools kann eigenständige Pflichtverletzungen auslösen.

Diese Konfliktfelder zeigen, dass KI-Haftung selten isoliert betrachtet werden kann. Wer einen Anspruch prüfen oder ein Risiko bewerten möchte, sollte den konkreten Lebensbereich einbeziehen. Ein fehlerhaftes KI-Ergebnis im Marketing hat andere Rechtsfolgen als ein fehlerhafter Score im Bewerbungsverfahren oder eine falsche Empfehlung in einer medizinischen Anwendung.

FAQ zur Haftung bei KI-Fehlern

Fazit: KI-Fehler rechtlich nicht unterschätzen, aber sauber einordnen

Die Haftung bei KI-Fehlern hängt vom konkreten Einsatz, den beteiligten Rollen, der verletzten Pflicht und dem nachweisbaren Schaden ab. Verantwortlich ist nicht die KI selbst, sondern der Anbieter, Betreiber, Integrator, Verwender oder Entscheider, dem der Fehler rechtlich zugerechnet werden kann. Pauschale Aussagen helfen deshalb wenig.

Betroffene sollten zuerst Beweise sichern, Fristen notieren, den Fehler konkret beschreiben und eine nachvollziehbare Korrektur oder Auskunft verlangen. Unternehmen sollten KI-Systeme nicht nur technisch, sondern auch vertraglich, datenschutzrechtlich und organisatorisch steuern. Besonders wichtig sind klare Zuständigkeiten, menschliche Kontrolle, dokumentierte Prüfungen und realistische Kommunikation über Grenzen von KI.

Ob Schadensersatz, Unterlassung, Berichtigung, Auskunft oder Regress in Betracht kommen, erfordert eine Prüfung des Einzelfalls. Je früher Ablauf, Dokumente und Verantwortlichkeiten gesichert werden, desto belastbarer lässt sich die rechtliche Position bewerten.