KI und Produkthaftung: Was die neue EU-Produkthaftungsrichtlinie ändert

KI und Produkthaftung rücken durch die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 eng zusammen. Sie stellt klar, dass auch Software einschließlich KI-Systemen ein Produkt ist. Hersteller haften dann ohne Verschulden für Schäden durch fehlerhafte Software. Die Mitgliedstaaten müssen die Richtlinie bis Dezember 2026 in nationales Recht umsetzen. Dieser Überblick ersetzt keine Rechtsberatung.

Was sich gegenüber dem alten Recht ändert

Die bisherige Produkthaftungsrichtlinie stammt aus dem Jahr 1985 und war auf körperliche Produkte zugeschnitten. Ob reine Software darunter fiel, war umstritten. Die neue Richtlinie beantwortet das eindeutig: Software ist ein Produkt, egal ob sie auf einem Gerät installiert, heruntergeladen oder über die Cloud genutzt wird. Ausgenommen ist freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.

Wer haftet?

• Hersteller des fehlerhaften Produkts, also auch Softwareentwickler und Anbieter von KI-Systemen,
• Hersteller fehlerhafter Komponenten, die in ein Produkt eingebaut werden, wozu auch Software-Bestandteile zählen können,
• wer ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert,
• bei Herstellern außerhalb der EU unter bestimmten Voraussetzungen Importeure, Bevollmächtigte oder Fulfilment-Dienstleister.

Für Unternehmen, die KI nur nutzen, gilt die Produkthaftung in der Regel nicht unmittelbar. Ihre Haftung gegenüber Kunden richtet sich nach Vertrag und allgemeinem Recht, siehe Wer haftet für KI-Fehler?. Wer aber KI in eigene Produkte einbaut und diese vertreibt, wird selbst Hersteller.

Wann ist KI-Software fehlerhaft?

Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die man erwarten darf oder die gesetzlich vorgeschrieben ist. Für KI wichtig sind unter anderem:

• die Fähigkeit des Systems, nach dem Inverkehrbringen weiterzulernen oder sich zu verändern,
• Sicherheitsanforderungen, einschließlich Cybersicherheit,
• Updates: Hersteller bleiben verantwortlich, solange sie das Produkt über Updates kontrollieren, und können haften, wenn erforderliche Sicherheitsupdates fehlen.

Welche Schäden ersetzt werden

Ersetzt werden Tod und Körperverletzung einschließlich medizinisch anerkannter Schäden der psychischen Gesundheit, Sachschäden an anderen Gegenständen als dem Produkt selbst, sofern sie nicht ausschließlich beruflich genutzt werden, sowie die Vernichtung oder Beschädigung von Daten, die nicht beruflich genutzt werden. Reine Vermögensschäden, etwa durch eine falsche KI-Auskunft, sind nicht erfasst.

Beweiserleichterungen für Geschädigte

Weil komplexe Systeme schwer zu durchschauen sind, erleichtert die Richtlinie den Nachweis. Gerichte können Hersteller zur Offenlegung von Beweismitteln verpflichten. Unter bestimmten Voraussetzungen wird ein Fehler oder der Ursachenzusammenhang vermutet, etwa wenn der Hersteller Beweise nicht offenlegt oder der Nachweis wegen technischer Komplexität übermäßig schwierig ist. Eine eigene KI-Haftungsrichtlinie hat die EU-Kommission dagegen 2025 zurückgezogen.

Vorsorge für Hersteller

1. Prüfen, ob Ihre Software oder Ihr KI-Produkt unter die neue Haftung fällt.
2. Entwicklung, Tests und Risikobewertung dokumentieren, um im Streitfall Nachweise vorlegen zu können.
3. Sicherheitsupdates planen und bereitstellen; die Pflichten aus dem Cyber Resilience Act überschneiden sich hier.
4. Verträge mit Zulieferern von Modellen und Komponenten auf Regress und Informationspflichten prüfen.
5. Versicherungsschutz mit dem Versicherer besprechen.
6. Den Stand der deutschen Umsetzung im Blick behalten.

Regeln für den Umgang mit KI im eigenen Haus legt eine KI-Richtlinie fest.