KI-Haftungstrends für Unternehmen im Überblick

KI-Haftungstrends für Unternehmen werden 2026 konkret: KI-Systeme sind längst nicht mehr nur ein IT-Thema. Wer Bewerbungen vorsortiert, Kundenanfragen automatisiert beantwortet, Preise berechnet, Inhalte erstellt oder Risiken bewertet, trifft rechtlich relevante Entscheidungen. Dabei geht es nicht allein um mögliche Bußgelder. Fehlerhafte Ergebnisse, Datenschutzverstöße, Diskriminierung, Sicherheitslücken und unklare Verantwortlichkeiten können zu Schadensersatzansprüchen, Vertragskonflikten und Reputationsschäden führen.

Rechtsstand: August 2026

Warum KI-Haftung jetzt zur Geschäftsführungsaufgabe wird

Die zentrale Frage lautet nicht, ob ein Unternehmen künstliche Intelligenz einsetzt. Entscheidend ist, wofür das System eingesetzt wird, welche Folgen seine Ergebnisse haben und wer diese Ergebnisse kontrolliert. Ein KI-gestützter Textvorschlag für eine interne Präsentation hat ein anderes Risikoprofil als ein System, das Bewerber bewertet, Kreditwürdigkeit einschätzt oder in einer Produktionsanlage Handlungsempfehlungen gibt.

Der EU AI Act gilt seit 2024 stufenweise. Seit August 2026 sind wesentliche Regeln grundsätzlich anwendbar. Für viele Unternehmen rückt damit die Einordnung ihrer KI-Anwendungen als Teil der regulären Compliance in den Vordergrund. Die Geschäftsführung kann Aufgaben zwar an IT, Datenschutz, Fachabteilungen oder externe Dienstleister übertragen. Die Verantwortung für eine angemessene Organisation bleibt jedoch beim Unternehmen.

Haftung entsteht meist nicht durch einen einzelnen spektakulären Fehler. Häufiger sind es unklare Prozesse: Niemand prüft, welche Daten ein Tool verarbeitet. Mitarbeitende verlassen sich auf eine Antwort, obwohl sie erkennbar falsch sein könnte. Oder ein Vertrag regelt nicht, wer bei einem fehlerhaften KI-Ergebnis einsteht.

KI-Haftungstrends für Unternehmen: Die vier Risikofelder

1. Fehlentscheidungen und menschliche Kontrolle

Je stärker eine KI in Entscheidungen eingreift, desto wichtiger wird eine echte menschliche Kontrolle. Das gilt besonders bei Personalentscheidungen, der Bewertung von Kunden, der Priorisierung von Fällen oder bei sicherheitsrelevanten Abläufen. Eine Kontrolle ist nicht schon deshalb ausreichend, weil ein Mitarbeiter formal auf einen Freigabeknopf klickt. Die zuständige Person muss das Ergebnis nachvollziehen, erkennen können, wann eine Überprüfung nötig ist, und tatsächlich befugt sein, abweichend zu entscheiden.

Im Arbeitsverhältnis können KI-gestützte Auswahl- oder Bewertungssysteme zudem Diskriminierungsrisiken auslösen. Werden Bewerber oder Beschäftigte wegen geschützter Merkmale benachteiligt, können Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz entstehen. Der Hinweis auf eine Softwareentscheidung entlastet den Arbeitgeber nicht. Gerade Unternehmen, die KI im Recruiting einsetzen, sollten Kriterien, Datenbasis, Eingriffstiefe und Prüfwege dokumentieren.

2. Datenschutz und vertrauliche Unternehmensdaten

Generative KI wird im Arbeitsalltag oft schnell genutzt. Problematisch wird es, wenn Beschäftigte personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse oder Vertragsinhalte ohne Freigabe in externe Systeme eingeben. Dann stellen sich Fragen nach Rechtsgrundlage, Auftragsverarbeitung, Datenübermittlung in Drittstaaten, Löschkonzepten und technischen Schutzmaßnahmen.

Besondere Vorsicht ist bei Personalakten, Gesundheitsdaten, Mandatsinformationen, Entwicklungsunterlagen und nicht veröffentlichten Finanzdaten geboten. Eine interne KI-Richtlinie sollte daher nicht nur allgemein zur Vorsicht auffordern. Sie sollte verständlich festlegen, welche Tools zugelassen sind, welche Daten niemals eingegeben werden dürfen und wann eine Freigabe durch Datenschutz oder IT erforderlich ist.

Datenschutzrechtliche Verantwortung lässt sich auch dann nicht vollständig auf den Anbieter verlagern, wenn dieser mit hohen Sicherheitsstandards wirbt. Unternehmen müssen prüfen, ob der konkrete Einsatz zu ihren Daten und Prozessen passt. Bei KI-Systemen mit umfangreicher Verarbeitung personenbezogener Daten kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein.

3. Produkte, Software und fehlerhafte KI-Ergebnisse

Unternehmen, die KI-gestützte Produkte oder Software anbieten, sollten die zivilrechtliche Haftung früh mitdenken. Gibt eine KI fehlerhafte Empfehlungen, verursacht sie Sicherheitsprobleme oder liefert sie unzuverlässige Analyseergebnisse, können vertragliche Gewährleistungs- und Schadensersatzansprüche im Raum stehen. Ob ein Haftungsausschluss wirksam ist, hängt unter anderem vom Vertragsmodell, der Kundenstruktur und der konkreten Klausel ab.

Für Hersteller und Anbieter gewinnen Produktbeobachtung, Testkonzepte, Versionskontrolle und nachvollziehbare Änderungsprozesse an Bedeutung. Das betrifft nicht nur physische Produkte mit KI-Komponenten. Auch bei reiner Software ist entscheidend, ob zugesicherte Funktionen, Sicherheitsanforderungen und vertraglich vereinbarte Leistungsmerkmale eingehalten werden.

Zusätzlich verändert sich das europäische Produkthaftungsrecht. Die neue EU-Produkthaftungsrichtlinie erweitert den Blick auf Software, digitale Komponenten und bestimmte Fehlerkonstellationen. Die Mitgliedstaaten müssen sie bis Dezember 2026 in nationales Recht umsetzen. Für Unternehmen ist das ein Anlass, bestehende Produkt- und Entwicklungsprozesse rechtzeitig darauf zu prüfen, ob Zuständigkeiten, Dokumentation und Lieferanteninformationen ausreichen.

4. Lieferanten, Open Source und Vertragsketten

Viele KI-Lösungen bestehen aus mehreren Bausteinen: Basismodell, Cloud-Infrastruktur, Schnittstellen, Trainingsdaten, eigener Anwendung und individuellen Anpassungen. Dadurch wird die Verantwortlichkeit in Vertragsketten schnell unübersichtlich. Ein Vertrag mit einem KI-Anbieter ersetzt keine Prüfung des eigenen Einsatzes.

Unternehmen sollten insbesondere klären, welche Leistungen zugesagt werden, welche Daten der Anbieter verarbeitet, ob Unterauftragnehmer eingesetzt werden und wie Sicherheitsvorfälle gemeldet werden. Relevant sind auch Regelungen zu Verfügbarkeit, Support, Auditrechten, Änderungsmitteilungen und Exit-Szenarien. Wenn ein Anbieter sein Modell oder seine Nutzungsbedingungen wesentlich ändert, kann dies unmittelbare Auswirkungen auf Datenschutz, Qualität und rechtliche Einordnung der eigenen Anwendung haben.

Bei Open-Source-Komponenten kommen Lizenzbedingungen, Sicherheitsupdates und die Frage hinzu, wer für Wartung und Schwachstellenmanagement zuständig ist. Gerade Startups und mittelständische Unternehmen in der Region Stuttgart profitieren davon, diese Themen nicht erst bei einer Kundenanfrage oder einem Sicherheitsvorfall zu ordnen.

Der EU AI Act: Nicht jede KI ist gleich riskant

Der EU AI Act verfolgt einen risikobasierten Ansatz. Bestimmte Praktiken sind verboten. Für Hochrisiko-KI gelten weitreichende Anforderungen, etwa an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Genauigkeit. Weitere Transparenzpflichten können etwa bei bestimmten Interaktionen mit KI oder bei KI-generierten Inhalten greifen.

Für Nutzerunternehmen ist die Rolle im Einzelfall entscheidend. Wer ein System lediglich einsetzt, ist regelmäßig anders verpflichtet als ein Anbieter. Wer ein System aber unter eigenem Namen anbietet, wesentlich verändert oder den vorgesehenen Zweck verändert, kann in eine andere Rolle geraten. Diese Abgrenzung ist rechtlich und praktisch bedeutsam.

Nicht jede interne Nutzung eines Sprachmodells fällt deshalb automatisch in die strengsten Kategorien. Umgekehrt ist ein niedrigschwellig beschafftes Tool nicht automatisch unkritisch. Maßgeblich sind die konkrete Funktion, der Einsatzbereich, die betroffenen Personen und die möglichen Folgen einer Fehlentscheidung.

Was Unternehmen jetzt praktisch tun sollten

Ein wirksames KI-Compliance-System muss nicht mit einem umfangreichen Handbuch beginnen. Der erste Schritt ist ein vollständiger Überblick. Viele Risiken bleiben unsichtbar, weil Fachabteilungen Tools eigenständig testen oder nutzen. Eine zentrale Erfassung schafft die Grundlage für sinnvolle Prioritäten.

Danach empfiehlt sich eine risikoorientierte Prüfung. Anwendungen mit Bezug zu Beschäftigten, Kundenentscheidungen, personenbezogenen Daten, kritischen Geschäftsprozessen oder sicherheitsrelevanten Bereichen sollten zuerst bewertet werden. Für jede relevante Anwendung sollte nachvollziehbar sein, welchen Zweck sie erfüllt, welche Daten eingehen, wer sie bedient, welche Kontrollschritte gelten und wann Ergebnisse nicht ohne menschliche Prüfung verwendet werden dürfen.

Eine klare Freigabeordnung reduziert Grauzonen. Sie kann festlegen, wer neue KI-Tools beschaffen darf, welche Prüfung vor dem Einsatz nötig ist und welche Fachstellen einzubinden sind. Dazu gehören je nach Fall IT-Sicherheit, Datenschutz, Legal, Einkauf, Personalabteilung und der Betriebsrat. Bei Systemen zur Verarbeitung oder Auswertung von Beschäftigtendaten können Beteiligungsrechte des Betriebsrats zu beachten sein.

Ebenso wichtig sind Schulungen. Die Pflicht zu ausreichender KI-Kompetenz richtet sich nicht nur an Spezialisten. Mitarbeitende müssen die Grenzen der von ihnen genutzten Systeme kennen: keine vertraulichen Daten eingeben, Ergebnisse kritisch prüfen, auffällige Fehler melden und vorgegebene Freigabewege einhalten. Kurze, auf die tatsächliche Nutzung zugeschnittene Hinweise sind oft wirksamer als allgemeine Schulungsfolien.

Dokumentation ist kein Selbstzweck

Dokumentation hilft, Entscheidungen später erklären zu können. Sie zeigt, dass ein Unternehmen Risiken erkannt, Zuständigkeiten bestimmt und angemessene Maßnahmen getroffen hat. Das kann bei Kundenanfragen, Audits, Datenschutzvorfällen oder Streitigkeiten eine wichtige Rolle spielen.

Entscheidend ist die Qualität, nicht die Menge. Ein praxistaugliches Verzeichnis mit Einsatzbereich, Verantwortlichen, Datenarten, Lieferanten, Risikoeinschätzung und Kontrollmaßnahmen ist häufig wertvoller als eine umfangreiche Richtlinie, die niemand im Arbeitsalltag nutzt. Bei höherem Risiko müssen Prüfungen und Nachweise entsprechend vertieft werden.

Wer KI einsetzt, sollte Haftungsfragen nicht erst nach einem Fehler bearbeiten. Eine frühe rechtliche und organisatorische Einordnung schafft Handlungssicherheit, ohne sinnvolle Innovation auszubremsen. Für Unternehmen aus Fellbach, Stuttgart und bundesweit kann eine individuelle Prüfung der eingesetzten KI-Systeme, Verträge und internen Prozesse der passende nächste Schritt sein. Die Quteco Rechtsanwaltsgesellschaft unterstützt bei der rechtlichen Einordnung und bei praxistauglichen Maßnahmen für den konkreten Einsatzfall.