KI-Monitoring: Wer haftet bei Fehlern?

Wer sein Rechtskataster einer KI anvertraut, sollte vor allem den Vertrag des Anbieters lesen, denn dort entscheidet sich, wer im Ernstfall die Rechnung zahlt.

Ein Szenario, das jeder CISO kennt

Eine neue Vorschrift erscheint im Amtsblatt, das Monitoring-Tool schlägt nicht an, Monate später folgt ein Bußgeld oder ein verlorener Auftrag. Der Verweis auf das Werkzeug nützt dann wenig. Auditoren interessiert nicht, welche Software im Einsatz war, sondern ob das Unternehmen seine Pflichten kannte. Nach ISO/IEC 27001:2022, Control A.5.31, sowie ISO 14001 und ISO 45001 gehört genau das zum Prüfstandard. Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes kommt die persönliche Ebene hinzu: § 38 BSIG macht die Geschäftsleitung für die Überwachung des Risikomanagements letztverantwortlich.

Warum der Gesetzgeber nicht einspringt

Wer auf gesetzlichen Schutz hofft, wird enttäuscht. Die Produkthaftungsrichtlinie (EU) 2024/2853, die bis 9. Dezember 2026 in deutsches Recht zu überführen ist, stuft Software zwar als Produkt ein, zielt aber auf Schäden natürlicher Personen. Typische Unternehmensschäden bleiben außen vor. Eine eigene KI-Haftungsrichtlinie ist seit dem Rückzug durch die EU-Kommission 2025 vom Tisch, und der AI Act regelt Anbieterpflichten, nicht die Haftung für falsche Ergebnisse. Übrig bleibt der Vertrag, und dort schieben die meisten Anbieter das Risiko per AGB konsequent zum Kunden. Die Folge ist paradox: Unternehmen automatisieren, kontrollieren anschließend alles von Hand und verlieren so den Zeitvorteil wieder.

Woran sich seriöse Anbieter erkennen lassen

Einige Anbieter gehen inzwischen einen anderen Weg und stehen vertraglich für ihr KI-gestütztes Rechtskataster ein. Entscheidend ist, was genau zugesichert wird. Glaubwürdig ist eine Garantie auf das rechtzeitige Erfassen von Änderungen in definierten Quellen, nicht ein pauschales Versprechen vollständiger Compliance. Hinzu kommen messbare Kriterien für den Garantiefall, offen benannte Mitwirkungspflichten des Kunden und eine unabhängige Prüfung der Fehlerquote. Für Geschäftsleitung und Compliance-Verantwortliche heißt das: Nicht die Werbung vergleichen, sondern Haftungsklauseln, Obergrenzen und Audit-Nachweise.