Wer haftet bei der Nutzung von KI?

Immer mehr Unternehmen nutzen künstliche Intelligenz (KI) im Arbeitsalltag. Dabei geht es vielen zunächst um eine Produktivitätssteigerung. Arbeitgeber sollten sich jedoch zudem mit der KI-Verordnung beschäftigen, deren Regelungen Stück für Stück zur Anwendung kommen werden. Ein weiteres wichtiges Thema für Arbeitgeber bei Nutzung von KI ist die Frage der Haftung. Wenn man jedoch in der KI-VO nach dem Thema Haftung sucht, sucht man vergebens. Die Haftung beim Einsatz von KI wird nämlich nicht in der KI-VO festgelegt, sondern sollte zukünftig in der KI-Haftungsrichtlinie geregelt werden. Diese KI-Haftungsrichtlinie hat die neue EU-Kommission nun jedoch laut ihrem Arbeitsprogramm zurückgezogen. Dennoch bleibt die wichtige Frage: Was passiert, wenn beim Einsatz von KI etwas schiefgeht?

Aktuelle Rechtslage: Haftung nach BGB und gegebenenfalls Produkthaftungsgesetz

Derzeit muss man zur Frage der Haftung bei der Nutzung von KI auf allgemeine Grundsätze des deutschen BGB zurückgreifen. Danach gilt, dass eine KI „selbst“ mangels Rechtspersönlichkeit nicht haftet. Wer dagegen KI verwendet, um Inhalte zu generieren, haftet dafür, also z. B. ein Unternehmen für die Nutzung KI-generierter Texte und Bilder. Ein Haftungsausschluss durch Disclaimer ist nicht möglich. Der KI-Hersteller bzw. -Entwickler haftet nach allgemeinem Mängelgewährleistungsrecht hingegen nur dafür, dass die KI die vertraglich vereinbarte Beschaffenheit aufweist und die KI-Sicherheitsvorkehrungen eingehalten sind. Ob die Herstellerhaftung nach dem Produkthaftungsgesetz (ProdHaftG) für KI greift, ist fraglich, da Software aktuell rechtlich nicht eindeutig als „Produkt“ im Sinne des § 2 ProdHaftG definiert ist.

Was passiert, wenn Arbeitnehmer die KI falsch einsetzen?

Im Arbeitsrecht gilt für Schädigungen, die Arbeitnehmer an Rechten und Rechtsgütern des Arbeitgebers oder eines Dritten im Rahmen von betrieblich veranlassten Tätigkeiten, auch beim Einsatz von KI, herbeiführen, der sogenannte innerbetriebliche Schadensausgleich. Danach haften Arbeitnehmer weder dem Arbeitgeber noch einem eventuell geschädigten Dritten gegenüber, wenn sie den Schaden nur durch leicht fahrlässiges Handeln verursacht haben. Im Falle eines geschädigten Dritten kann der Arbeitnehmer von seinem Arbeitgeber dann sogar Freistellung von der Haftung verlangen. Wenn der Arbeitnehmer bei einer betrieblichen Tätigkeit dagegen Schäden vorsätzlich oder grob fahrlässig herbeiführt, haftet er seinem Arbeitgeber und gegebenenfalls geschädigten Dritten gegenüber selbst; bei mittlerer Fahrlässigkeit allerdings nur anteilig. In der Praxis sind Schadensersatzansprüche gegen Arbeitnehmer jedoch selten bzw. sind solche für Arbeitgeber meist schwer durchsetzbar.

Was bleibt von den Vorgaben der EU?

Teile des Gesamtpakets zur Haftung hatte die EU bereits umgesetzt. So hat sie im Oktober 2024 eine Novelle der Produkthaftungsrichtlinie (2024/2853) verabschiedet, die die Mitgliedsstaaten binnen zwei Jahren in nationales Recht umsetzen müssen. Diese bringt entscheidende Neuerungen zur (KI-)Herstellerhaftung. Künftig fällt KI als „Software“ eindeutig unter die Produkthaftung (Art. 4 Nr. 1 2. Halbsatz 2 RL), so dass deren Hersteller auch nach dem ProdHaftG haften müssen. Die Richtlinie verschärft in Art. 11 Abs. 2 die Situation von Softwareherstellern, indem eine Haftung auch dann eintritt, wenn Produktfehler durch (fehlende) Updates entstehen. Dies kann für Arbeitgeber dann relevant werden, wenn sie ihren Mitarbeitern „eigene“ KI zur Verfügung stellen wollen, etwa interne Chatbots.

Die gescheiterte KI-Haftungsrichtlinie

Die KI-VO selbst greift nur die Pflichten für Anbieter von KI-Systemen auf. Die seit 2022 in Planung befindliche KI-Haftungsrichtlinie, von der bereits ein Entwurf vorlag, der nun aber zurückgezogen wurde, sollte auf einer zweiten Stufe Schadensersatzansprüche regeln, wenn jene Pflichten missachtet werden. Insoweit stellten die beiden Gesetzgebungsakte „zwei Seiten einer Medaille“ dar. Der Entwurf der Richtlinie zielte dabei vor allem auf die deliktische Haftung ab. Dies hätte in Deutschland zu einer Erweiterung des § 823 Abs. 1 BGB geführt bzw. einen Anspruch aus § 823 Abs. 2 BGB in Verbindung mit der KI-VO als sogenanntes Schutzgesetz (das nach EuGH-Rechtsprechung weit zu verstehen ist) begründet. Insbesondere zwei Kernaspekte des Entwurfs sind trotz des „Zurückruderns“ der EU-Kommission hervorzuheben:

• Die Offenlegung von Beweisen

Art. 3 des Entwurfs der Richtlinie enthält für die Verwendung von KI-Hochrisiko-Systemen einen Auskunftsanspruch, um den richtigen Anspruchsgegner des Geschädigten ermitteln zu können. Zuvor muss der Geschädigte zwar alle angemessenen Mittel erfolglos ausgeschöpft haben, um Beweise zu erlangen. Sollte jedoch beispielsweise kein Zugang zu den Beweismitteln gegeben sein, kann der Anbieter oder Betreiber des Hochrisiko-KI-Systems gerichtlich zur Offenlegung von Beweisen verpflichtet werden. Hierfür muss der Geschädigte lediglich den plausiblen Verdacht begründen, dass die Schädigung auf einem Hochrisiko-KI-System beruht. Um eine Ausuferung zu vermeiden, sind die Offenlegungspflichten inhaltlich auf das erforderliche Mindestmaß begrenzt.

• Die Kausalitätsvermutung

Die Kausalitätsvermutung ist in Art. 4 des Richtlinienentwurfs festgehalten. Danach muss bei Nicht-Hochrisiko-KI-Systemen für das Eingreifen dieser Kausalitätsvermutung der Kausalnachweis allerdings „übermäßig schwierig“ sein (Abs. 6). Des Weiteren enthält Erwägungsgrund 22 eine Einschränkung für die Geltung der Kausalitätsvermutung. Demnach muss der Zweck der verletzten Sorgfaltspflicht gerade unmittelbar darin bestanden haben, den eingetretenen Schaden zu verhindern.

Da unter anderem vorgenannte Regelungen bis auf Weiteres nicht eingeführt werden, bleibt es nach deutschem Recht zunächst bei der Anwendung des innerbetrieblichen Schadenausgleichs. Dabei gelten die üblichen Regelungen zur Beweisgewinnung sowie zur Darlegung der Kausalität, was den Nachweis von Schäden erschwert.

Praxishinweis

Die Nutzung von KI am Arbeitsplatz begründet für Arbeitgeber weiterhin ein nicht zu unterschätzendes Haftungsrisiko. Es fehlt an einer eindeutigen gesetzlichen Regelung. Auch die KI-Haftungsrichtlinie wird offenbar zunächst keine Rolle mehr spielen. Bis auf Weiteres sollten Unternehmen daher zumindest eine betriebsinterne KI-Richtlinie erstellen, die den Arbeitnehmern Vorgaben zur Verwendung der KI macht. Eine solche Richtlinie muss dann jedoch auch fortlaufend up-to-date gehalten werden, entsprechend der Weiterentwicklung der KI selbst. Abzuwarten bleibt, ob der nationale oder europäische Gesetzgeber doch noch einmal aktiv wird, zum Beispiel wenn die ersten größeren Haftungsfälle eintreten und es uneinheitliche Rechtsprechung zur Haftungsfrage gibt.