Wer haftet wenn ein KI-Agent im Unternehmen einen Fehler macht?

Wenn ein KI-Agent im Unternehmen einen Fehler macht, haftet in der Regel das Unternehmen, das den Agenten einsetzt, nicht der Technologieanbieter. KI-Agenten gelten rechtlich nicht als eigenständige Akteure, sondern als Werkzeuge, deren Betrieb in der Verantwortung der einsetzenden Organisation liegt. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um KI-Haftung im Unternehmen konkret und praxisnah.

Wer trägt die rechtliche Verantwortung für KI-Agenten-Fehler?

Die rechtliche Verantwortung für Fehler eines KI-Agenten liegt beim Unternehmen, das ihn betreibt. KI-Agenten besitzen keine eigene Rechtspersönlichkeit und können daher weder klagen noch verklagt werden. Das Unternehmen, das einen Agenten einsetzt, konfiguriert und in Prozesse einbindet, übernimmt damit auch die Verantwortung für dessen Handlungen und Entscheidungen.

Das klingt zunächst einfach, wird in der Praxis jedoch schnell komplex. KI-Agenten der neuen Generation, sogenannte Agentic AI, handeln nicht mehr nur reaktiv auf Eingaben, sondern führen Prozesse eigenständig aus: Sie starten Workflows, aktualisieren Daten, stoßen Entscheidungen an. Wer diese Systeme in Unternehmensabläufe integriert, übernimmt damit auch die Verantwortung für deren Konsequenzen, selbst wenn kein Mensch jeden einzelnen Schritt aktiv genehmigt hat.

Rechtlich gesehen greift hier das Prinzip der Betreiberhaftung: Wer ein System in Betrieb nimmt und davon profitiert, trägt auch das Risiko. Vergleichbar ist das mit dem Einsatz von Maschinen oder automatisierten Produktionsanlagen, bei denen das Unternehmen für Fehlfunktionen einsteht, nicht der Hersteller der Anlage.

Was sagt die EU-KI-Verordnung zur Unternehmenshaftung?

Die EU-KI-Verordnung (AI Act), die seit 2024 schrittweise in Kraft tritt, legt klare Pflichten für Unternehmen fest, die KI-Systeme einsetzen. Sie unterscheidet zwischen KI-Anbietern (Herstellern) und Betreibern (Unternehmen, die KI im eigenen Kontext nutzen). Betreiber tragen eine eigenständige Verantwortung für den sicheren, zweckgemäßen und transparenten Einsatz der Systeme.

Besonders relevant für den Einsatz von KI-Agenten im Unternehmen ist die Risikoeinstufung. Der AI Act klassifiziert KI-Systeme nach ihrem Risikopotenzial: von minimalem Risiko bis hin zu inakzeptablem Risiko. Agenten, die in sensiblen Bereichen wie Personalentscheidungen, Kreditvergabe oder medizinischen Prozessen eingesetzt werden, fallen unter die Kategorie Hochrisiko-KI und unterliegen damit strengen Anforderungen an Transparenz, Dokumentation, menschliche Aufsicht und technische Robustheit.

Für Unternehmen bedeutet das konkret: Der Einsatz von KI-Agenten ist nicht nur eine technische, sondern auch eine Compliance-Entscheidung. Wer einen Agenten ohne angemessene Risikoprüfung, ohne Dokumentation und ohne klare Aufsichtsstrukturen betreibt, riskiert nicht nur Haftungsansprüche, sondern auch Bußgelder nach dem AI Act.

Haftet der KI-Anbieter oder das Unternehmen, das die KI einsetzt?

In den meisten Fällen haftet das Unternehmen, das die KI einsetzt, nicht der Technologieanbieter. Anbieter wie Microsoft schließen in ihren Nutzungsbedingungen eine Haftung für Schäden aus, die durch den Einsatz ihrer Modelle entstehen, insbesondere wenn das Unternehmen die Konfiguration, die Datengrundlage und den Einsatzkontext selbst verantwortet.

Das bedeutet: Wenn du einen Copilot-Agenten mit falschen Daten fütterst, ihn für einen nicht vorgesehenen Anwendungsfall konfigurierst oder ohne ausreichende Aufsicht in kritische Prozesse einbindest, liegt die Verantwortung für daraus entstehende Schäden bei deinem Unternehmen. Microsoft stellt die Infrastruktur und das Modell bereit, aber nicht die Entscheidung, wie und wo du es einsetzt.

Eine Ausnahme kann bestehen, wenn ein nachgewiesener Produktfehler des Anbieters vorliegt, also ein technisches Versagen, das unabhängig von der Konfiguration durch das Unternehmen auftritt. Solche Fälle sind jedoch rechtlich schwer durchzusetzen und selten erfolgreich, da die Beweislast beim klagenden Unternehmen liegt.

Welche internen Maßnahmen schützen Unternehmen vor KI-Haftungsrisiken?

Unternehmen schützen sich vor KI-Haftungsrisiken vor allem durch eine strukturierte Governance: klare Zuständigkeiten, definierte Einsatzbereiche, nachvollziehbare Entscheidungswege und dokumentierte Freigabeprozesse. Ohne diese Rahmenbedingungen ist es im Schadensfall kaum möglich zu belegen, dass der Betrieb des Agenten sorgfältig und verantwortungsvoll erfolgt ist.

Konkret sollten Unternehmen folgende Maßnahmen umsetzen:

• Rollenbasierte Zugriffssteuerung: KI-Agenten sollten nur auf Daten zugreifen können, für die sie explizit berechtigt sind. Unkontrollierter Datenzugriff erhöht sowohl das Haftungs- als auch das Datenschutzrisiko.
• Menschliche Aufsicht für kritische Entscheidungen: Agenten, die Prozesse mit rechtlicher oder finanzieller Relevanz beeinflussen, sollten nicht vollständig autonom agieren, sondern einen menschlichen Freigabeschritt erfordern.
• Prozessstandardisierung vor Automatisierung: Rund 95 Prozent der generativen KI-Projekte liefern keinen positiven Return on Investment, weil Prozesse vor der Automatisierung nicht sauber standardisiert wurden. Wer einen unklaren Prozess automatisiert, automatisiert auch dessen Fehler.
• Technische Protokollierung: Alle Aktionen eines Agenten sollten nachvollziehbar protokolliert werden, damit im Fehlerfall eine Ursachenanalyse möglich ist.
• Regelmäßige Überprüfung: KI-Agenten sollten nicht einmalig konfiguriert und dann vergessen werden. Regelmäßige Reviews stellen sicher, dass sie weiterhin korrekt und im vorgesehenen Rahmen funktionieren.

Was passiert, wenn ein KI-Agent einem Dritten Schaden zufügt?

Wenn ein KI-Agent einem Dritten, also einem Kunden, einem Geschäftspartner oder einer anderen Person außerhalb des Unternehmens, einen Schaden zufügt, haftet das betreibende Unternehmen nach allgemeinen zivilrechtlichen Grundsätzen. Das gilt unabhängig davon, ob der Schaden durch eine falsche Auskunft, eine fehlerhafte Transaktion oder eine automatisierte Entscheidung entstanden ist.

Besonders heikel wird es, wenn ein Agent im Kundenkontakt eingesetzt wird, etwa zur Beantwortung von Anfragen, zur Vertragsvorbereitung oder zur Beratung. Erteilt der Agent falsche Informationen, auf deren Basis ein Dritter eine Entscheidung trifft und dadurch einen Schaden erleidet, kann das Unternehmen für diesen Schaden in Haftung genommen werden, auch wenn kein Mensch die fehlerhafte Auskunft bewusst erteilt hat.

Relevant ist in solchen Fällen auch die Frage der Transparenz: Wusste der Dritte, dass er mit einem KI-System interagiert? Der AI Act verpflichtet Unternehmen in bestimmten Kontexten zur Kennzeichnung von KI-generierten Inhalten und zur Offenlegung des KI-Einsatzes. Fehlende Transparenz kann die Haftungssituation zusätzlich verschärfen.

Wie sollten Unternehmen KI-Agenten intern dokumentieren und freigeben?

KI-Agenten sollten vor dem produktiven Einsatz einen strukturierten Freigabeprozess durchlaufen, der Use Case, Risikoeinstufung, Datengrundlage, Zugriffsberechtigungen und Aufsichtsverantwortung schriftlich festhält. Diese Dokumentation ist nicht nur eine interne Best Practice, sondern im Hochrisikobereich nach dem AI Act eine rechtliche Pflicht.

Ein praxistauglicher Freigabeprozess umfasst mindestens folgende Schritte:

1. Use-Case-Beschreibung: Was soll der Agent tun, in welchem Kontext, mit welchen Daten?
2. Risikobewertung: Welche Fehler kann der Agent machen, welche Konsequenzen hätten sie?
3. Technische Prüfung: Sind Zugriffsberechtigungen korrekt gesetzt, ist die Datenqualität ausreichend?
4. Testphase: Der Agent sollte vor dem Rollout in einer kontrollierten Umgebung getestet werden.
5. Freigabe durch Verantwortliche: Eine benannte Person, zum Beispiel aus IT oder Compliance, gibt den Agenten formell frei und übernimmt die Betriebsverantwortung.
6. Laufende Dokumentation: Änderungen an Konfiguration oder Datenquellen werden protokolliert und erneut geprüft.

Laut Gartner werden bis Ende 2026 rund 40 Prozent aller Unternehmensanwendungen aufgabenspezifische KI-Agenten integrieren. Wer jetzt Governance-Strukturen aufbaut, ist nicht nur rechtlich besser abgesichert, sondern auch operativ besser vorbereitet für eine Welt, in der KI-gestützte Prozesse zur Normalität werden.

Wie Communardo Smart Work beim sicheren Einsatz von KI-Agenten unterstützt

Die Frage der KI-Haftung im Unternehmen ist keine rein juristische, sondern vor allem eine operative Herausforderung. Communardo Smart Work begleitet Unternehmen dabei, KI-Agenten nicht nur technisch zu implementieren, sondern von Anfang an auf einer sicheren, governance-konformen Grundlage aufzubauen. Das Angebot umfasst:

• Copilot Readiness und Governance Health Check: Standortbestimmung zu Daten, Berechtigungen, Sicherheit und Compliance, bevor ein Agent in Betrieb geht
• KI-Strategie- und Use-Case-Workshop: Gemeinsame Entwicklung eines Zielbilds mit klaren Verantwortlichkeiten und einer realistischen Roadmap
• Agent Lab: Entwicklung individueller Copilot Agents vom Use Case bis zur fertigen Lösung, inklusive Governance und Rollenmodell
• Value und ROI Assessment: Bewertung von Use Cases nach Nutzen, Aufwand und Risiko, damit Investitionen gezielt und verantwortungsvoll priorisiert werden

Wenn du wissen möchtest, wie dein Unternehmen KI-Agenten rechtssicher einführen kann, melde dich direkt bei Communardo Smart Work. Gemeinsam entwickeln wir einen Ansatz, der Technologie, Prozesse und Compliance von Anfang an zusammendenkt.