Volljurist und Compliance-Experte
January 7, 2026
5 Minuten
.svg)
Im EU AI Act können auch Betreiber für KI-Fehler haftbar gemacht werden, nicht nur Hersteller.
Haftung folgt der KI-Wertschöpfungskette und kann sich kaskadenartig verschieben.
Wesentliche Änderungen oder Zweckänderungen machen Nutzer rechtlich zu Anbietern.
Lückenlose Dokumentation ist der wirksamste Schutz vor Mehrfachtäterhaftung.
Stellen Sie sich vor, Sie kaufen eine Software für Ihr Unternehmen. Sie installieren sie, schulen Ihr Team und gehen live. Drei Monate später verursacht diese Software – gesteuert durch Künstliche Intelligenz – einen diskriminierenden Vorfall bei der Bewerberauswahl oder ein Sicherheitsleck in der Produktion. Die Aufsichtsbehörde klopft an Ihre Tür.
Ihre erste Reaktion ist wahrscheinlich: „Moment mal, wir haben das doch nur gekauft. Der Hersteller ist schuld!“
Doch im Zeitalter des EU AI Act ist diese Annahme gefährlich. Willkommen in der komplexen Welt der Kaskadenhaftung und der Mehrfachtäterschaft. Anders als bei klassischer Software betrachtet der europäische Gesetzgeber KI nicht als isoliertes Produkt, sondern als eine Kette von Verantwortlichkeiten. Wer hier das schwächste Glied ist oder wer den Staffelstab der Verantwortung fallen lässt, kann zur Kasse gebeten werden – oft mit Summen, die wir bisher nur aus der DSGVO kannten.
In diesem Beitrag dröseln wir das juristische Geflecht auf und zeigen Ihnen, warum Sie auch als „nur Nutzer“ einer KI plötzlich im Rampenlicht der Regulatoren stehen können.
Um zu verstehen, wer Bußgelder zahlt, müssen wir zuerst verstehen, wer überhaupt am Tisch sitzt. Der EU AI Act kennt nicht nur „Hersteller“ und „Kunden“. Er definiert klare Rollen entlang der Wertschöpfungskette.
Wenn wir über den aktuellen EU AI Act Status sprechen, müssen wir diese vier Hauptakteure unterscheiden:
Das Risiko ist hierbei nicht statisch. Es fließt.
Der Begriff „Kaskadenhaftung“ klingt abstrakt, beschreibt aber ein sehr reales Szenario: Die Verantwortung – und damit das Bußgeldrisiko – kann von oben nach unten „durchgereicht“ werden oder auf einer Stufe hängenbleiben, die man nicht erwartet hat.
Ein klassischer Fallstrick im EU AI Act ist die Umwidmung der Rolle. Ein Händler oder Importeur (und sogar ein Betreiber) kann rechtlich plötzlich als Anbieter behandelt werden.
Wann passiert das?
In diesem Moment greift die Kaskade: Die ursprünglichen Pflichten des Herstellers gehen vollumfänglich auf Sie über. Sie haften dann nicht mehr „nur“ für die falsche Anwendung, sondern für die Konformität des gesamten Systems.
Noch spannender wird es bei der Frage, was passiert, wenn mehrere Akteure Fehler machen. Der EU AI Act sieht vor, dass Bußgelder effektiv, verhältnismäßig und abschreckend sein müssen.
Wenn sowohl der Anbieter eine fehlerhafte Dokumentation liefert als auch der Betreiber (das anwendende Unternehmen) die menschliche Aufsicht vernachlässigt, haben wir es mit Mehrfachtätern zu tun.
Hier greifen Mechanismen, die der gesamtschuldnerischen Haftung ähneln:
Dabei ist entscheidend, in welche Kategorie das System fällt. Die EU AI Act Risikoklassen diktieren die Strenge der Prüfung. Bei Hochrisiko-KI sind die Pflichten für Betreiber fast so streng wie für Anbieter – und damit auch das Haftungsrisiko.
Die Komplexität dieser Haftungsverteilung zeigt eines deutlich: Manuelle Excel-Listen reichen nicht mehr aus. Um in einer Kette von Anbietern, Importeuren und Händlern den Überblick zu behalten, setzen immer mehr Unternehmen auf Compliance Automationen.
Warum? Weil Sie im Ernstfall beweisen müssen („Rechenschaftspflicht“), dass Sie Ihren Teil der Kaskade sauber erfüllt haben. Haben Sie die Gebrauchsanweisung des Anbieters befolgt? Haben Sie die Eingabedaten überwacht? Ohne automatisierte Dokumentation ist dieser Nachweis bei komplexen KI-Systemen kaum zu führen.
Ähnlich wie bei den ISO 27001 Sicherheitsrichtlinien, die einen klaren Lebenszyklus für Policies fordern, benötigt auch der Einsatz von KI definierte Prozesse. Wer dokumentiert, wann welche KI-Entscheidung von einem Menschen überprüft wurde? Diese „Audit Trails“ sind Ihre Versicherung gegen die volle Härte der Kaskadenhaftung.
Es ist leicht, sich im Paragraphendschungel zu verlieren. Hier sind die Kernkonzepte, die Sie im Gedächtnis behalten sollten, um Ihr Unternehmen zu schützen.
Die Kaskadenhaftung im EU AI Act klingt bedrohlich, ist aber im Grunde ein Aufruf zu sauberer Governance. Unternehmen, die verstehen, wo genau sie in der Wertschöpfungskette stehen, können Maßnahmen ergreifen, bevor das Kind in den Brunnen fällt.
Warten Sie nicht, bis der erste Vorfall passiert. Prüfen Sie jetzt:
Compliance ist kein reines Rechtsthema – es ist ein Wettbewerbsvorteil für alle, die KI sicher und langfristig nutzen wollen.
Wenn Sie ein General Purpose AI System wie ChatGPT nutzen, sind Sie in der Regel „Betreiber“. Nutzen Sie es für interne Zwecke, ist das Risiko geringer. Integrieren Sie es jedoch in ein Produkt für Ihre Kunden oder nutzen es für Entscheidungen über Personal, können Sie schnell in den Hochrisiko-Bereich rutschen. Dann treffen Sie spezifische Überwachungspflichten.
Dies ist ein Sonderfall. Grundsätzlich gibt es Ausnahmen für KI-Software, die unter freien Lizenzen steht. Sobald diese jedoch monetarisiert oder in ein Hochrisiko-System integriert wird, greifen die Haftungsregeln der Verordnung wieder vollumfänglich.
Jein. Zivilrechtlich können Sie Regressansprüche (Schadenersatz) vertraglich regeln. Öffentlich-rechtliche Bußgelder der EU können Sie jedoch nicht per Vertrag „wegdefinieren“. Wenn die Behörde feststellt, dass Sie als Betreiber Ihre Aufsichtspflicht verletzt haben, müssen Sie das Bußgeld zahlen.
Die Bußgelder sind gestaffelt und können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Dies gilt insbesondere für Verstöße gegen verbotene KI-Praktiken.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Der EU AI Act sorgt in der Open-Source-Community für viel Unsicherheit, doch mit dem richtigen Verständnis verlieren die Regeln ihren Schrecken. Dieser Leitfaden zeigt Entwicklern praxisnah, wann die Open-Source-Ausnahme wirklich gilt, welche Projekte trotz freier Lizenz voll reguliert sind und wie Sie Transparenz, Dokumentation und Risikomanagement effizient umsetzen. Erfahren Sie, wie Sie Open-Source-KI verantwortungsvoll entwickeln und gleichzeitig rechtssicher bleiben, ohne Ihre Innovationsfreiheit einzuschränken.
.avif)
TISAX® – dieses Wort fällt öfters, wenn es um Informationssicherheitsmanagementsysteme (ISMS) geht. Es handelt sich hierbei um einen speziellen Standard in der Informationssicherheit. Wir beleuchten, was es mit TISAX® auf sich hat. In diesem Artikel erfahren Sie: Was genau TISAX® ist und wer es entwickelt hat, für welche Unternehmen sich das sogenannte TISAX®-Label besonders eignet und welche Vorteile eine TISAX®-Zertifizierung mit sich bringt. Darüber hinaus zeigen wir Ihnen die Besonderheiten, Vorteile und Anforderungen von TISAX® auf und erklären Ihnen den damit einhergehenden Prozess.
Erfahren Sie, warum die Sicherheit von Unternehmensinformationen nicht länger als optionales Extra betrachtet wird, sondern als unerlässliche Säule für den Erfolg und die Nachhaltigkeit von Unternehmen jeder Größe. Wir erläutern die Definition eines ISMS und dessen umfassenden Ansatz, der technische, organisatorische, rechtliche und menschliche Aspekte berücksichtigt.
.svg)
.svg)
.svg){kind=small}