Volljurist und Compliance-Experte
06 Jan 2026
5 Minuten
.svg)
Im EU AI Act können auch Betreiber für KI-Fehler haftbar gemacht werden, nicht nur Hersteller.
Haftung folgt der KI-Wertschöpfungskette und kann sich kaskadenartig verschieben.
Wesentliche Änderungen oder Zweckänderungen machen Nutzer rechtlich zu Anbietern.
Lückenlose Dokumentation ist der wirksamste Schutz vor Mehrfachtäterhaftung.
Stellen Sie sich vor, Sie kaufen eine Software für Ihr Unternehmen. Sie installieren sie, schulen Ihr Team und gehen live. Drei Monate später verursacht diese Software – gesteuert durch Künstliche Intelligenz – einen diskriminierenden Vorfall bei der Bewerberauswahl oder ein Sicherheitsleck in der Produktion. Die Aufsichtsbehörde klopft an Ihre Tür.
Ihre erste Reaktion ist wahrscheinlich: „Moment mal, wir haben das doch nur gekauft. Der Hersteller ist schuld!“
Doch im Zeitalter des EU AI Act ist diese Annahme gefährlich. Willkommen in der komplexen Welt der Kaskadenhaftung und der Mehrfachtäterschaft. Anders als bei klassischer Software betrachtet der europäische Gesetzgeber KI nicht als isoliertes Produkt, sondern als eine Kette von Verantwortlichkeiten. Wer hier das schwächste Glied ist oder wer den Staffelstab der Verantwortung fallen lässt, kann zur Kasse gebeten werden – oft mit Summen, die wir bisher nur aus der DSGVO kannten.
In diesem Beitrag dröseln wir das juristische Geflecht auf und zeigen Ihnen, warum Sie auch als „nur Nutzer“ einer KI plötzlich im Rampenlicht der Regulatoren stehen können.
Um zu verstehen, wer Bußgelder zahlt, müssen wir zuerst verstehen, wer überhaupt am Tisch sitzt. Der EU AI Act kennt nicht nur „Hersteller“ und „Kunden“. Er definiert klare Rollen entlang der Wertschöpfungskette.
Wenn wir über den aktuellen EU AI Act Status sprechen, müssen wir diese vier Hauptakteure unterscheiden:
Das Risiko ist hierbei nicht statisch. Es fließt.
Der Begriff „Kaskadenhaftung“ klingt abstrakt, beschreibt aber ein sehr reales Szenario: Die Verantwortung – und damit das Bußgeldrisiko – kann von oben nach unten „durchgereicht“ werden oder auf einer Stufe hängenbleiben, die man nicht erwartet hat.
Ein klassischer Fallstrick im EU AI Act ist die Umwidmung der Rolle. Ein Händler oder Importeur (und sogar ein Betreiber) kann rechtlich plötzlich als Anbieter behandelt werden.
Wann passiert das?
In diesem Moment greift die Kaskade: Die ursprünglichen Pflichten des Herstellers gehen vollumfänglich auf Sie über. Sie haften dann nicht mehr „nur“ für die falsche Anwendung, sondern für die Konformität des gesamten Systems.
Noch spannender wird es bei der Frage, was passiert, wenn mehrere Akteure Fehler machen. Der EU AI Act sieht vor, dass Bußgelder effektiv, verhältnismäßig und abschreckend sein müssen.
Wenn sowohl der Anbieter eine fehlerhafte Dokumentation liefert als auch der Betreiber (das anwendende Unternehmen) die menschliche Aufsicht vernachlässigt, haben wir es mit Mehrfachtätern zu tun.
Hier greifen Mechanismen, die der gesamtschuldnerischen Haftung ähneln:
Dabei ist entscheidend, in welche Kategorie das System fällt. Die EU AI Act Risikoklassen diktieren die Strenge der Prüfung. Bei Hochrisiko-KI sind die Pflichten für Betreiber fast so streng wie für Anbieter – und damit auch das Haftungsrisiko.
Die Komplexität dieser Haftungsverteilung zeigt eines deutlich: Manuelle Excel-Listen reichen nicht mehr aus. Um in einer Kette von Anbietern, Importeuren und Händlern den Überblick zu behalten, setzen immer mehr Unternehmen auf Compliance Automationen.
Warum? Weil Sie im Ernstfall beweisen müssen („Rechenschaftspflicht“), dass Sie Ihren Teil der Kaskade sauber erfüllt haben. Haben Sie die Gebrauchsanweisung des Anbieters befolgt? Haben Sie die Eingabedaten überwacht? Ohne automatisierte Dokumentation ist dieser Nachweis bei komplexen KI-Systemen kaum zu führen.
Ähnlich wie bei den ISO 27001 Sicherheitsrichtlinien, die einen klaren Lebenszyklus für Policies fordern, benötigt auch der Einsatz von KI definierte Prozesse. Wer dokumentiert, wann welche KI-Entscheidung von einem Menschen überprüft wurde? Diese „Audit Trails“ sind Ihre Versicherung gegen die volle Härte der Kaskadenhaftung.
Es ist leicht, sich im Paragraphendschungel zu verlieren. Hier sind die Kernkonzepte, die Sie im Gedächtnis behalten sollten, um Ihr Unternehmen zu schützen.
Die Kaskadenhaftung im EU AI Act klingt bedrohlich, ist aber im Grunde ein Aufruf zu sauberer Governance. Unternehmen, die verstehen, wo genau sie in der Wertschöpfungskette stehen, können Maßnahmen ergreifen, bevor das Kind in den Brunnen fällt.
Warten Sie nicht, bis der erste Vorfall passiert. Prüfen Sie jetzt:
Compliance ist kein reines Rechtsthema – es ist ein Wettbewerbsvorteil für alle, die KI sicher und langfristig nutzen wollen.
Wenn Sie ein General Purpose AI System wie ChatGPT nutzen, sind Sie in der Regel „Betreiber“. Nutzen Sie es für interne Zwecke, ist das Risiko geringer. Integrieren Sie es jedoch in ein Produkt für Ihre Kunden oder nutzen es für Entscheidungen über Personal, können Sie schnell in den Hochrisiko-Bereich rutschen. Dann treffen Sie spezifische Überwachungspflichten.
Dies ist ein Sonderfall. Grundsätzlich gibt es Ausnahmen für KI-Software, die unter freien Lizenzen steht. Sobald diese jedoch monetarisiert oder in ein Hochrisiko-System integriert wird, greifen die Haftungsregeln der Verordnung wieder vollumfänglich.
Jein. Zivilrechtlich können Sie Regressansprüche (Schadenersatz) vertraglich regeln. Öffentlich-rechtliche Bußgelder der EU können Sie jedoch nicht per Vertrag „wegdefinieren“. Wenn die Behörde feststellt, dass Sie als Betreiber Ihre Aufsichtspflicht verletzt haben, müssen Sie das Bußgeld zahlen.
Die Bußgelder sind gestaffelt und können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Dies gilt insbesondere für Verstöße gegen verbotene KI-Praktiken.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema
Qualitätsmanagement ist für viele Mittelständler noch immer ein Schreckgespenst: hoher Aufwand, viel Papier, fraglich ob sich's lohnt. Dabei zeigt die Realität: Unternehmen, die ein QM-System systematisch aufbauen, senken ihre Fehlerquoten um 20-40 Prozent.
ISO 27001 deckt einen Großteil der NIS2-Anforderungen ab, aber nicht alle. Erfahren Sie, wo Überschneidungen liegen, welche Lücken bleiben und wie eine Doppel-Compliance-Strategie funktioniert.
NIS2 betrifft rund 30.000 Unternehmen in Deutschland. Drei Kriterien bestimmen, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung gilt.
.svg)
.svg)
.svg){kind=small}