Wer haftet, wenn ein KI-System einen Schaden anrichtet

Eine eigene Haftungsordnung für KI gibt es nicht. Zugerechnet wird nach allgemeinem Vertrags- und Deliktsrecht, wobei die Pflichten der KI-Verordnung als Schutzgesetze wirken und die reformierte Produkthaftung Software ausdrücklich erfasst.

Für Schäden durch KI gibt es kein eigenes Haftungsregime. Es bleibt beim allgemeinen Vertrags- und Deliktsrecht, ergänzt um die Produkthaftung. Neu ist, was daneben tritt. Die Pflichten der KI-Verordnung wirken als Schutzgesetze, und die reformierte Produkthaftung erfasst Software ausdrücklich.

Daneben steht die aufsichtsrechtliche Seite. Verstöße gegen die KI-Verordnung sind mit Geldbußen bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes bewehrt, je nachdem, welcher Betrag höher ist. Bei kleinen und mittleren Unternehmen begrenzt der niedrigere Wert die Höhe. Bußgeld und Schadensersatz schließen einander nicht aus, sie treten nebeneinander.

Drei Risiken, die KI eigen sind

AutonomierisikoDas System verselbständigt sich in einer Weise, die weder Anbieter noch Betreiber vorgesehen hatten.
InteraktionsrisikoDas System bildet menschliche Maßstäbe nach, statt nach ihnen zu handeln. Im Zusammenspiel mit Menschen entstehen daraus Schäden.
VernetzungsrisikoAgenten greifen auf fremde Dienste zu. Ein Fehler in einer Komponente pflanzt sich über die ganze Kette fort.

Drei Wege, auf denen Ansprüche entstehen

Zwischen Unternehmen bleibt viel Gestaltungsspielraum. Das Kernstück ist eine präzise Zweckbestimmungsklausel, weil an ihr die Abgrenzung von Anbieter- und Betreiberpflichten nach Art. 25 KI-VO hängt. Daneben gehören Haftungsobergrenzen, eine Freistellung für den zweckfremden Einsatz, Zusicherungen zur Einhaltung der KI-VO sowie Regelungen zu Beobachtung, Vorfallsmeldung und Aktualisierungen in den Vertrag. Gegenüber Verbrauchern ist der Spielraum eng. Ausschlüsse für Leben, Körper und Gesundheit und für grobe Fahrlässigkeit sind nach § 309 Nr. 7 BGB unwirksam.

Die §§ 823 folgende BGB stoßen bei KI an strukturelle Grenzen. Der Nachweis der Kausalität ist schwierig, weil sich die Entscheidung des Systems nicht ohne Weiteres nachvollziehen lässt. Autonomes Verhalten passt zudem schlecht in die Zurechnung über Erfüllungs- oder Verrichtungsgehilfen. Einen weiteren Weg eröffnet § 823 Abs. 2 BGB, weil die meisten Vorschriften der KI-VO Schutzgesetze sind. Das Verschulden muss sich dann nur auf die Verletzung der Pflicht beziehen. Wer KI ohne interne Kontrolle betreibt, riskiert daneben eine Haftung wegen Verletzung der Organisationspflicht.

Die Produkthaftungsrichtlinie 2024 ordnet Software ausdrücklich dem Produktbegriff zu und erfasst Anbieter von KI-Systemen als Hersteller. Der Zeitpunkt des Inverkehrbringens verschiebt sich auf den Verlust der Kontrolle über das Produkt. Bei laufend bereitgestellten Systemen tritt er erst mit der dauerhaften Einstellung ein. Bis dahin trägt der Hersteller das Entwicklungsrisiko. Weist der Kläger einen Verstoß gegen die KI-VO nach, wird die Fehlerhaftigkeit vermutet. Umzusetzen ist die Richtlinie bis zum 9. Dezember 2026.

Was die Protokolle wert sind

Art. 12 KI-VO verlangt die automatische Aufzeichnung der Systemaktivitäten, Art. 26 Abs. 5 KI-VO verpflichtet Betreiber, die Protokolle mindestens sechs Monate aufzubewahren, soweit sie darüber Kontrolle haben. Im Prozess sind diese Aufzeichnungen häufig das einzig verbliebene Beweismittel für den Ablauf. Eine revisionssichere Protokollierung ist deshalb keine Formalie, sondern die Grundlage der eigenen Verteidigung.

Versicherung und ihre Grenzen

Ein Restrisiko bleibt auch bei sorgfältiger Governance. Dafür ist die Versicherung das übliche Instrument. Ein Produkt, das KI-Risiken geschlossen abdeckt, gibt es bisher nicht. Die Risiken verteilen sich auf mehrere Sparten, die jeweils nur Teile erfassen: Haftungsansprüche Dritter, Bußgelder und Schadensersatz bei Datenschutzverstößen, Sicherheitsvorfälle, Urheberrechts- und Diskriminierungsschäden.

Hinzu kommt eine Bewegung in die andere Richtung. Auf dem US-Markt haben seit Januar 2026 mehrere große Versicherer ausdrückliche Ausschlüsse für Schäden durch KI-erzeugte Inhalte aufgenommen, unabhängig davon, ob das System selbst entwickelt oder zugekauft wurde. Im europäischen Markt ist das noch nicht standardisiert, bei der nächsten Überarbeitung der Bedingungswerke aber zu erwarten. Für Betreiber entsteht daraus ein Ungleichgewicht. Die Anbieter begrenzen ihre Haftung vertraglich, die Versicherer schließen aus und der Rest bleibt beim Betreiber.

Bestehende Policen darauf durchsehen, ob KI-typische Schäden gedeckt sind
Die Durchsicht in die Verlängerung legen, weil dort die Bedingungen ohnehin neu verhandelt werden
Ausschlüsse für KI-erzeugte Inhalte gezielt suchen, sie stehen oft unter anderen Überschriften
Deckungslücken benennen und mit dem Makler klären, ob sie sich schließen lassen
Zweckbestimmung und Aufsicht dokumentieren, weil beides im Schadensfall die Deckung mitentscheidet

Schaden durch ein KI-System, oder Vertrag vor der Unterschrift?

Wir ordnen die Haftung zu, prüfen die Klauseln und sagen Ihnen, was Ihre Police abdeckt.

Kontakt aufnehmen

Häufige Fragen

Haftet der Anbieter oder wir als Betreiber?

Beide, an unterschiedlichen Stellen. Der Anbieter schuldet Konformitätsbewertung, Dokumentation und die Beobachtung nach dem Inverkehrbringen. Der Betreiber schuldet den Einsatz gemäß Gebrauchsanweisung und eine wirksame menschliche Aufsicht. Bei zweckfremdem Einsatz kann der Betreiber in die Anbieterrolle wechseln und deren Pflichten übernehmen.

Hilft ein Verstoß gegen die KI-Verordnung dem Geschädigten?

In Teilen. Die meisten Vorschriften der KI-VO sind Schutzgesetze im Sinne des § 823 Abs. 2 BGB. Das Verschulden muss sich dann nur auf die Schutzgesetzverletzung beziehen, nicht auf den Folgeschaden. Das Kausalitätsproblem bleibt jedoch bestehen. Die geplanten Beweiserleichterungen der KI-Haftungsrichtlinie kommen nicht mehr, weil das Verfahren eingestellt wurde.

Was ändert die neue Produkthaftungsrichtlinie?

Software fällt ausdrücklich unter den Produktbegriff. KI-Systeme werden als Software verstanden. Anbieter im Sinne der KI-VO gelten als Hersteller. Der maßgebliche Zeitpunkt verschiebt sich auf den Verlust der Kontrolle über das Produkt, was bei laufend bereitgestellten Systemen erst mit der dauerhaften Einstellung eintritt. Und die Fehlerhaftigkeit wird vermutet, wenn ein Verstoß gegen die KI-VO nachgewiesen ist. Die Umsetzungsfrist läuft bis zum 9. Dezember 2026.

Können wir die Haftung im Vertrag begrenzen?

Im Verhältnis zwischen Unternehmen in weitem Umfang, solange Vorsatz und grobe Fahrlässigkeit ausgenommen bleiben. Gegenüber Verbrauchern sind Ausschlüsse für Schäden an Leben, Körper und Gesundheit sowie für grobe Fahrlässigkeit nach § 309 Nr. 7 BGB unwirksam. Eine Freistellung im Verhältnis zum Vertragspartner wirkt außerdem nur zwischen den Parteien. Geschädigte Dritte können sich weiterhin an den Anbieter halten.

Deckt unsere bestehende Versicherung KI-Schäden ab?

Die Deckung lässt sich nur an der konkreten Police beurteilen. KI-typische Schäden passen häufig in keine der bestehenden Sparten. Auf dem US-Markt haben mehrere große Versicherer seit Januar 2026 ausdrückliche Ausschlüsse für Schäden durch KI-erzeugte Inhalte aufgenommen. Für den europäischen Markt ist eine vergleichbare Entwicklung bei der nächsten Überarbeitung der Bedingungswerke zu erwarten.