KI-Haftung ist keine Theorie mehr: was Governance-Lücken Unternehmen jetzt kosten

Im März 2026 verlor Air Canada einen Prozess wegen eines Chatbots, der einem Passagier falsche Angaben zur Rückerstattung gemacht hatte. Die Fluggesellschaft argumentierte, der Bot sei eine "eigenständige juristische Person" und damit nicht ihre Verantwortung. Der Richter sah das anders. Dieses Urteil ging zwar aus einem Verbraucherstreit hervor, sendete aber ein klares Signal an Rechtsabteilungen weltweit: Wer ein KI-System einsetzt, haftet für das, was es tut. Punkt.

In diesem Umfeld arbeiten Organisationen heute. Die Hochrisiko-Vorgaben des EU AI Act sind für die meisten Kategorien im August 2025 in Kraft getreten. Der Flickenteppich auf US-Bundesstaatenebene, angeführt von Colorado, Texas und Illinois, erzeugt auch ohne Bundesgesetz echte Compliance-Pflichten. Und in regulierten Branchen wie Finanzwesen und Gesundheit warten die Aufsichtsbehörden nicht, bis die Rechtsprechung nachzieht. Die Frage für Unternehmen lautet nicht, ob sie ihren KI-Einsatz steuern, sondern wie sie eine Governance aufbauen, die einer Prüfung standhält, statt beim ersten Zwischenfall zusammenzubrechen.

Der regulatorische Boden hat sich von Prinzipien zur Durchsetzung verschoben

Während des Großteils von 2023 und 2024 war KI-Governance weitgehend freiwillig. Unternehmen veröffentlichten Prinzipien für verantwortungsvolle KI, einige richteten Ethikgremien ein, und eine Handvoll baute interne Prüfprozesse auf. Das meiste davon war Fassade. Vorstände und Führungskräfte konnten auf ein Dokument verweisen, wenn jemand fragte.

Diese Phase ist vorbei. Der EU AI Act verlangt jetzt Konformitätsbewertungen, verpflichtende Meldung von Vorfällen und Mechanismen menschlicher Aufsicht für Systeme, die als hochriskant eingestuft sind. Dazu zählt alles, was bei Personalentscheidungen, Kreditscoring, der Unterstützung von Strafverfolgung und dem Management kritischer Infrastruktur eingesetzt wird. Unternehmen, die in Europa tätig sind oder Daten über europäische Einwohner verarbeiten, müssen Compliance nachweisen, nicht behaupten.

In den USA hat die Federal Trade Commission Verfahren eingeleitet, die an KI-Systeme mit irreführenden Aussagen oder diskriminierenden Ergebnissen geknüpft waren. Das Consumer Financial Protection Bureau hat 2025 eine Leitlinie veröffentlicht, die ausdrücklich festhält, dass ein Kreditgeber "der Algorithmus hat entschieden" nicht als Verteidigung gegen eine Beschwerde wegen unfairer Kreditvergabe verwenden kann. Finanzinstitute, die KI im Underwriting einsetzen, haben nun ausdrückliche Dokumentationspflichten, die dem Geist nach dem entsprechen, was die EU gesetzlich vorschreibt.

Chinas Regulierung generativer KI, seit Mitte 2023 in Kraft und seither schrittweise verschärft, verlangt, dass KI-generierte Inhalte gekennzeichnet werden und dass Trainingsdaten den Regeln zur Datensouveränität entsprechen. Für jeden dort tätigen Konzern entsteht damit ein eigener Compliance-Strang, der sich nicht einfach durch die Übersetzung eines westlichen Policy-Dokuments abdecken lässt.

Unterm Strich unterhalten Organisationen mit globalem Geschäft mehrere Compliance-Regime parallel, häufig mit Systemen, deren Architektur keine dieser Anforderungen berücksichtigt hat.

Was das für den KI-Anwender bedeutet

Die unmittelbare operative Folge: Ein Modell auszurollen ist keine Technologieentscheidung mehr, die ein einzelnes Team trifft. Es braucht abgestimmten Input von Legal, Compliance, HR (wo Personalentscheidungen betroffen sind) und der Fachabteilung, der der Prozess gehört. Das ist keine Bürokratie um ihrer selbst willen. Es geht darum, dass ein schlecht dokumentierter Einsatz in einem HR-Screening-Tool das Unternehmen einer Diskriminierungsklage aussetzen kann, unabhängig davon, ob das Tool intern gebaut oder bei einem Anbieter gekauft wurde.

Speziell zur Anbieterfrage: Wenn Sie ein KI-gestütztes Produkt kaufen, geht die Haftung für dessen Outputs nicht automatisch auf den Anbieter über. Ihr Vertrag mag dessen Risiko begrenzen, aber Aufsichtsbehörden und Gerichte schauen auf die Organisation, die das System eingesetzt und darauf gestützt Entscheidungen getroffen hat. Einkaufsteams sollten vor Vertragsunterzeichnung Model Cards, Berichte zur Bias-Bewertung und Historien offengelegter Vorfälle verlangen. Sehr wenige tun das derzeit.

Für Teams, die intern Modelle bauen oder fine-tunen, ist die zentrale Governance-Lücke in den meisten Organisationen derzeit das Fehlen eines KI-Incident-Logs. Security-Teams protokollieren Datenschutzverletzungen. Fast niemand erfasst systematisch, wann ein KI-System einen Output erzeugt hat, der ein geschäftliches Problem verursacht hat, korrigiert wurde oder hätte eskaliert werden müssen. Ohne dieses Log kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie systemische Fehlermuster nicht erkennen, und Sie können einer Aufsichtsbehörde nicht zeigen, dass Sie einen operativen Aufsichtsprozess haben und nicht nur ein Policy-Dokument.

Es gibt außerdem ein Problem mit der Data LineageData LineageData lineage maps how data moves and transforms across systems, from origin to consumption, showing where it came from, what changed it, and where it goes.Vollständige Definition ansehen →, das still und leise juristisches Risiko aufbaut. Viele Deployments generativer KI, darunter Retrieval-Augmented-Generation-Systeme, greifen auf interne Wissensdatenbanken zu, die ohne Rücksicht auf eine spätere KI-Nutzung zusammengestellt wurden. Dokumente mit unklarer Herkunft, veraltetem Compliance-Status oder Annahmen über einen eingeschränkten Empfängerkreis speisen nun Modell-Outputs. Das aufzuräumen ist undankbare Arbeit, und die meisten Organisationen haben damit nicht begonnen.

Konkrete Schritte, die sich jetzt lohnen

• Prüfen Sie jedes derzeit produktiv eingesetzte KI-System gegen die Hochrisiko-Kategorien des EU AI Act, auch wenn Ihr Hauptmarkt außerhalb Europas liegt. Kunden, Partner und Käufer in Europa werden danach fragen.
• Richten Sie ein KI-Incident-Register ein. Es muss am Anfang nicht ausgefeilt sein: ein gemeinsames Log mit Feldern für Systemname, Datum, Beschreibung des Problems, wer betroffen war und was unternommen wurde, reicht, um das institutionelle Gedächtnis aufzubauen, das Sie brauchen werden.
• Sehen Sie Anbieterverträge durch, um zu verstehen, mit welchen Daten Ihre KI-Tools trainiert oder fine-getunt werden, welche Auditrechte Sie haben und welche Offenlegungspflichten der Anbieter hat, wenn sein Modell in großem MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßstab schädliche Outputs erzeugt. Die meisten Standard-SaaS-Verträge, die vor 2024 geschrieben wurden, sagen zu keinem dieser Punkte etwas Brauchbares.
• Verlangen Sie für jede KI-Anwendung, die Entscheidungen zu Beschäftigung, Kredit oder Gesundheit berührt, vor dem Rollout eine Bias-Bewertung und dokumentieren Sie die Ergebnisse. Genau das bedeutet "Due Diligence" in diesen Sektoren zunehmend.
• Benennen Sie einen namentlichen Verantwortlichen für KI-Governance, der an jemanden mit P&L- oder Executive-Verantwortung berichtet. Ein Ethikkomitee, das an niemanden berichtet, trifft keine Entscheidungen.

Die Unternehmen, die das gut hinbekommen, sind nicht zwangsläufig die mit den größten Compliance-Teams. Es sind die, die Governance als operative Disziplin behandeln und nicht als Kommunikationsübung. Eine zweiseitige Richtlinie im Intranet hilft Ihnen nicht, wenn eine Aufsichtsbehörde Ihre Vorfallhistorie sehen will oder ein Gericht fragt, wer den Einsatz freigegeben hat.