Ohne einen definierten KI-Compliance-Beauftragten tragen Unternehmen das volle Haftungsrisiko bei Verstößen gegen den EU AI Act und angrenzende Rechtsnormen. Bußgelder nach Artikel 90 der KI-Verordnung können bis zu 7 Prozent des weltweiten Jahresumsatzes betragen. Dazu kommen zivilrechtliche Schadensersatzansprüche, arbeitsrechtliche Risiken und Reputationsschäden, die sich ohne klare Zuständigkeitsstruktur kaum kontrollieren lassen. Dieser Artikel beantwortet die wichtigsten Fragen rund um Haftungsszenarien, Verantwortlichkeiten und praktische Lösungsansätze.
Der EU AI Act schafft konkrete Haftungsszenarien für Unternehmen, die KI-Systeme einsetzen, ohne die gesetzlichen Anforderungen zu erfüllen. Besonders kritisch sind Verstöße im Bereich von Hochrisiko-KI-Systemen, fehlende Transparenzpflichten und die Verletzung von Meldepflichten gegenüber Behörden. Unternehmen haften dabei sowohl gegenüber Aufsichtsbehörden als auch gegenüber geschädigten Dritten.
Die konkreten Haftungsszenarien lassen sich in drei Kategorien einteilen:
Hinzu kommen Risiken aus dem Gesetz gegen den unlauteren Wettbewerb. Wettbewerber oder Verbände können bei Verstößen abmahnen, einstweilige Verfügungen beantragen oder Schadensersatzklagen einreichen. Bei vorsätzlichen schweren Verstößen drohen sogar strafrechtliche Konsequenzen nach §§ 16 bis 20 UWG, einschließlich Geld- oder Freiheitsstrafen bis zu fünf Jahren.
Wenn keine KI-Compliance-Zuständigkeit definiert ist, liegt die Haftung grundsätzlich beim Unternehmen als Betreiber des KI-Systems sowie bei den handelnden Personen, die die Entscheidung zum Einsatz getroffen oder überwacht haben. Eine diffuse Verantwortungsstruktur schützt nicht vor rechtlichen Konsequenzen, sie erschwert lediglich die interne Zurechnung.
Aus rechtlicher Sicht haftet der Betreiber eines Hochrisiko-KI-Systems nach der KI-Verordnung für die Einhaltung einer Vielzahl von Pflichten, darunter die Implementierung menschlicher Überwachungsmechanismen, die Aufbewahrung von Protokolldateien und die Meldung schwerwiegender Vorfälle. Fehlt eine zuständige Person, die diese Pflichten koordiniert, entstehen strukturelle Lücken, die im Schadensfall direkt zur Haftung führen.
Besonders relevant ist die Produzentenhaftung: Hersteller von KI-Lösungen müssen im Rahmen des technisch Möglichen alle erforderlichen Vorkehrungen treffen, um Schäden an Dritten zu verhindern. Fehlerarten wie Konstruktionsfehler, Instruktionsfehler oder Organisationsfehler begründen eigenständige Haftungsrisiken. Wer intern keine klare Zuständigkeit für die Überwachung dieser Anforderungen definiert, riskiert, dass Organisationsfehler im Schadensfall nicht verteidigt werden können.
Auch das Arbeitsrecht spielt eine Rolle: Wenn KI-Systeme diskriminierende Entscheidungen treffen, haften Arbeitgeber nach dem Allgemeinen Gleichbehandlungsgesetz, unabhängig davon, ob die Entscheidung durch ein KI-System getroffen wurde. Ohne eine verantwortliche Stelle, die solche Risiken identifiziert und adressiert, bleibt das Unternehmen vollständig exponiert.
Ein KI-Compliance-Beauftragter übernimmt die systematische Überwachung aller rechtlichen Anforderungen beim KI-Einsatz im Unternehmen und sorgt dafür, dass Verstöße erkannt werden, bevor sie zu Haftungsfällen werden. Die Rolle umfasst sowohl technische als auch rechtliche und organisatorische Dimensionen.
Der KI-Compliance-Beauftragte stellt sicher, dass alle relevanten Rechtsnormen eingehalten werden. Dazu gehören die Anforderungen des EU AI Act, der DSGVO, des Urheberrechts, des Arbeitsrechts und des Informationssicherheitsrechts. Er koordiniert Datenschutz-Folgenabschätzungen für Hochrisiko-KI-Systeme, überwacht Aufbewahrungspflichten für automatisierte Protokolle und stellt sicher, dass Meldepflichten gegenüber Behörden fristgerecht erfüllt werden. Eine strukturierte Dokumentation ist dabei nicht nur Pflicht, sondern auch ein zentrales Instrument der Haftungsabwehr.
Artikel 4 der KI-Verordnung verpflichtet Betreiber, ihre Mitarbeiter im Umgang mit KI-Systemen zu schulen. Ein KI-Compliance-Beauftragter trägt die Verantwortung dafür, dass diese Schulungspflichten erfüllt werden, und fungiert als interner Multiplikator für rechtliche Anforderungen. Er kommuniziert Compliance-Vorgaben verständlich in die Organisation, identifiziert Schulungsbedarfe und koordiniert entsprechende Maßnahmen. Fehlt diese Funktion, kann allein das Versäumnis einer vorgeschriebenen Mitarbeiterschulung eine deliktische Haftung begründen.
Die KI-Verordnung schreibt keine explizite Mindestgröße für die Benennung eines KI-Compliance-Beauftragten vor. Die Notwendigkeit ergibt sich stattdessen aus dem tatsächlichen KI-Einsatz im Unternehmen, insbesondere daraus, ob Hochrisiko-KI-Systeme betrieben werden oder ob KI-Systeme in sensiblen Bereichen wie Personalentscheidungen, Kreditvergabe oder medizinischen Anwendungen eingesetzt werden.
Praktisch lässt sich die Notwendigkeit anhand folgender Kriterien beurteilen:
Auch kleinere Unternehmen, die KI-Governance nach ISO 42001 aufbauen möchten, profitieren von einer klar definierten Zuständigkeit. Die Funktion muss dabei nicht zwingend eine Vollzeitstelle sein. In kleineren Organisationen kann sie als Teilaufgabe einer bestehenden Rolle, etwa im Bereich Datenschutz oder IT-Sicherheit, verankert werden, solange die Zuständigkeit klar dokumentiert ist.
KI-Compliance lässt sich auch ohne dedizierte interne Ressourcen umsetzen, indem bestehende Mitarbeiter gezielt qualifiziert, Zuständigkeiten klar verteilt und externe Schulungsangebote genutzt werden. Der Schlüssel liegt nicht in der Schaffung einer neuen Vollzeitstelle, sondern in der Systematisierung von Verantwortlichkeiten und dem Aufbau von Rechtswissen in der Organisation.
Folgende Ansätze haben sich in der Praxis bewährt:
Wichtig ist, dass die gewählte Lösung dokumentiert und nachweisbar ist. Im Schadensfall reicht es nicht aus, Compliance-Maßnahmen informell zu handhaben. Behörden und Gerichte erwarten eine strukturierte, belegbare Auseinandersetzung mit den gesetzlichen Anforderungen. Wer KI-Schulungen für Mitarbeiter frühzeitig einsetzt, reduziert nicht nur das Haftungsrisiko, sondern schafft auch die interne Wissensbasis, die für eine nachhaltige Compliance-Kultur notwendig ist.
Wir bei mITSM bieten spezialisierte Aus- und Weiterbildungen, die Fach- und Führungskräfte gezielt auf die Anforderungen des EU AI Act und angrenzender Rechtsnormen vorbereiten. Unsere Trainer sind zertifizierte Experten, die KI-Compliance nicht nur aus der Theorie kennen, sondern aus der praktischen Arbeit in Unternehmen.
Unser Angebot im Bereich KI-Compliance umfasst:
Unternehmen, die ihre KI-Governance strukturiert aufbauen und Haftungsrisiken gezielt reduzieren möchten, finden bei uns das passende Weiterbildungsformat. Informieren Sie sich jetzt über unser Schulungsangebot im Bereich KI-Compliance und machen Sie den ersten Schritt zur rechtssicheren KI-Nutzung in Ihrem Unternehmen.
Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.