KI-Haftung ist nicht mehr theoretisch: was Governance-Lücken tatsächlich kosten

Ein Krankenhaus in Dänemark setzt ein KI-Triage-Tool ein, das Symptome bei älteren Patientinnen systematisch untergewichtet. Eine Bank in Singapur nutzt ein Credit-Scoring-Modell, das über Postleitzahlen indirekt die Ethnie abbildet. Keine der beiden Organisationen wollte Schaden anrichten. Beide stehen unter regulatorischer Beobachtung, haben Reputationsschäden, in einem Fall kommt es zum Prozess. Die KI hat genau so funktioniert, wie sie konzipiert war. Genau das ist das Problem.

Das sind keine Grenzfälle mehr. Branchenübergreifend konzentrieren sich Governance-Fehler genau in der Lücke zwischen „wir haben eine KI-Richtlinie“ und „wir kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen tatsächlich Rechenschaft darüber ablegen, was unsere KI tut“. In dem MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ß, in dem KI-Systeme in folgenreiche Entscheidungen eingebettet werden, bekommt diese Lücke rechtliches, finanzielles und strategisches Gewicht.

Die Regulierung ist über Prinzipien hinaus

Jahrelang bedeutete KI-Governance, ein Ethik-Statement zu veröffentlichen und ein internes Komitee zu bilden. Diese Zeit ist vorbei. Der EU AI Act, dessen Durchsetzung ab 2025 stufenweise beginnt, klassifiziert eine erhebliche Zahl kommerzieller KI-Anwendungen als hochriskant, darunter Tools für Recruiting, Kreditvergabe, Bildung und medizinische Triage. High-Risk-Status bedeutet verpflichtende Konformitätsbewertungen, Anforderungen an menschliche Aufsicht, Audit Trails und Registrierung in einer öffentlichen EU-Datenbank. Bei Verstößen drohen Bußgelder von bis zu 30 Millionen Euro oder 6 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist.

In den USA bleibt die Bundesgesetzgebung fragmentiert, aber FTC, EEOC und CFPB haben alle Leitlinien veröffentlicht oder Verfahren wegen KI-getriebener Diskriminierung und irreführender Praktiken eingeleitet. Die EEOC-Leitlinie von 2023 zu KI im Recruiting (veröffentlicht als frühere Guidance, 2026 in der Durchsetzung weiterhin aktiv herangezogen) stellte klar, dass Arbeitgeber die Haftung nicht an einen Anbieter auslagern können. Wenn ein KI-Screening-Tool eine geschützte Gruppe benachteiligt, ist der Arbeitgeber verantwortlich, unabhängig davon, wer das Tool gebaut hat.

Chinas Regeln für generative KI, in Kraft seit Mitte 2023 und seither verfeinert, verpflichten Anbieter zu Sicherheitsbewertungen und zur Registrierung ihrer Modelle bei der Cyberspace Administration. Japan und Südkorea haben eigene Frameworks entwickelt. Die Richtung ist in jeder großen Jurisdiktion dieselbe: Konkretisierung, Verantwortlichkeit, Sanktionen.

Am deutlichsten verändert hat sich in den letzten achtzehn Monaten die Durchsetzung. Behörden verhängen Bußgelder, nicht nur Verwarnungen. Die italienische Datenschutzbehörde belegte OpenAI (den Anbieter hinter ChatGPT) Anfang 2024 mit einem Bußgeld wegen DSGVO-relevanter Datenverarbeitung, ein Fall, der sich über Rechtsmittel bis 2026 zog. Damit war jeder europäischen Organisation, die Drittanbieter-KI nutzt, klar: „unser Anbieter kümmert sich um Compliance“ ist juristisch nicht haltbar.

Was das für KI-Nutzer bedeutet

Der häufigste Fehler ist, KI-Governance als einmalige Beschaffungs-Checkliste zu behandeln. Ein Anbieter liefert Dokumentation. Die Rechtsabteilung prüft sie. Der Einkauf gibt frei. Das Tool geht in Produktion. Zwei Jahre später ist das Tool gedriftet, der Use Case hat sich über den ursprünglichen Rahmen hinaus ausgeweitet, und niemand hat das Risikoprofil neu bewertet.

Model Governance ist ein laufender Prozess, kein Gate. KI-Systeme verhalten sich anders, wenn sich die Daten, die sie verarbeiten, über die Zeit verschieben. Ein Fraud-Detection-Modell, das auf Transaktionsmustern von vor der Pandemie trainiert wurde, liefert 2026 andere Ergebnisse. Das ist keine Hypothese, sondern ein dokumentierter Failure Mode im gesamten Finanzdienstleistungssektor. Governance-Programme ohne festgelegte Re-Evaluierungszyklen funktionieren nur zum Teil.

Praktisch heißt das für Teams, die KI einsetzen, mehreres:

• Verstehen Sie, was Ihr Anbieter Ihnen sagen kann und was nicht. Wenn Sie ein Drittanbieter-Modell nutzen und keine Dokumentation zu den Trainingsdatenquellen, zur Methodik der Bias-Tests oder zur Performance über demografische Untergruppen bekommen, ist das ein Risikosignal und keine administrative Unannehmlichkeit. Setzen Sie es in Vertragsverhandlungen durch oder berücksichtigen Sie die Unsicherheit in Ihrer Risikobewertung.
• Trennen Sie die Frage „wir haben es gebaut“ von der Frage „wir sind dafür verantwortlich“. Nach dem EU AI Act und vergleichbaren Frameworks tragen Betreiber (die Organisationen, die KI einsetzen) erhebliche Pflichten, nicht nur Entwickler. Wenn Ihr HR-Team ein KI-Recruiting-Tool eines Anbieters nutzt, ist Ihre Organisation der Betreiber und trägt damit die Verantwortung für die Ergebnisse.
• Dokumentieren Sie Entscheidungen, nicht nur Prozesse. Behörden und Kläger wollen Belege dafür sehen, dass menschliche Aufsicht substanziell war und nicht nur Show. Ein Log, das zeigt, dass ein Mensch 400 KI-generierte Kreditentscheidungen in vierzig Minuten „geprüft“ hat, belegt keine Aufsicht. Es belegt womöglich das Gegenteil.
• Achten Sie auf Use Cases zweiter Ordnung. KI-Tools werden nach dem ersten Rollout häufig umgewidmet. Ein Tool zur Zusammenfassung, eingeführt für Meeting-Notizen, wird für Leistungsbeurteilungen genutzt. Ein Kundenservice-Chatbot beginnt, sensible Beschwerden zu bearbeiten. Jede solche Verschiebung kann ein Tool in eine höhere Risikokategorie befördern, ohne dass es formal neu bewertet wird.

Das Haftungsrisiko aus diesen Lücken ist nicht mehr abstrakt. IBMs Institute for Business Value (eine anbieternahe Research-Einheit, die konkreten Zahlen also mit entsprechender Vorsicht behandeln) schätzte 2024, dass Organisationen ohne ausgereifte KI-Governance-Frameworks bei KI-bezogenen Vorfällen deutlich höhere Kosten tragen, sei es durch Anwaltskosten, Nachbesserung oder Reputationseffekte auf die Kundenbindung. Unabhängige Forscher der MIT Sloan haben ebenfalls dokumentiert, dass Governance-Fehler bei KI mit größeren operativen Störungen korrelieren als vergleichbar dimensionierte Fehler in konventioneller Software.

Konkrete Schritte, die Risiko tatsächlich senken

• Lassen Sie ein internes Audit über jedes KI-Tool durchführen, das aktuell in Produktion ist, auch über die von Drittanbietern. Ordnen Sie jedes den Risikostufen des EU AI Act zu, auch wenn Ihre Organisation nicht in der EU sitzt. Multinationale Unternehmen und Firmen mit europäischen Kunden oder Mitarbeitern können sich dem nicht entziehen.
• Verpflichten Sie Anbieter vertraglich dazu, Bias-Evaluierungsberichte und nach relevanten demografischen Variablen aufgeschlüsselte Performance-Daten zu liefern. Kann ein Anbieter das nicht, dokumentieren Sie die Verweigerung in Ihrem Risikoregister.
• Benennen Sie eine konkrete Person mit echter Entscheidungsbefugnis, nicht bloß mit einem Titel, die für die Ergebnisse der KI-Governance verantwortlich ist. Verteilte Verantwortung ist faktisch keine Verantwortung.
• Bauen Sie Re-Evaluierungs-Trigger in Einsatzverträge ein: eine terminlich festgelegte Überprüfung oder eine Überprüfung, die durch jede wesentliche Änderung von Use Case, Nutzervolumen oder Modellversion ausgelöst wird.
• Führen Sie Red-Team-Übungen für KI-Anwendungen mit hohem Einsatz durch. Das heißt, bewusst Failure Modes zu suchen, bevor Behörden oder Kläger sie finden.

Governance-Lücken bei KI sind in erster Linie kein Technologieproblem. Sie sind ein Prozess- und Verantwortungsproblem und damit mit den richtigen Strukturen gut beherrschbar. Organisationen, die das jetzt ernst nehmen, werden in drei Jahren deutlich weniger Zeit und Geld dafür aufwenden als die, die auf einen formalen Vorfall warten, der sie dazu zwingt.