Wer haftet, wenn die KI einen Fehler macht? Neue Produkthaftung ab Dezember 2026

Der Telefonassistent sagt einem Kunden einen Liefertermin zu, den die Produktion nicht hält. Der Chatbot nennt einen Preis, der auf der Preisliste nicht existiert. Das KI-gestützte Sichtsystem lässt fehlerhafte Teile durch. In allen drei Fällen steht die gleiche Frage im Raum: Wer zahlt?

Die kurze Antwort heute: in der Regel Sie, nicht der Anbieter. Und die lange Antwort ändert sich zum 9. Dezember 2026, wenn die neue europäische Produkthaftungsrichtlinie in deutsches Recht umgesetzt sein muss. Sie erklärt Software und KI-Systeme erstmals ausdrücklich zu Produkten - mit verschuldensunabhängiger Herstellerhaftung. Was davon einen Mittelständler wirklich betrifft, ist allerdings nicht die Werbebotschaft "die Hersteller haften jetzt", sondern zwei Punkte, die in den meisten Zusammenfassungen untergehen: Betriebsschäden sind weiterhin nicht gedeckt, und wer KI unter eigenem Namen einsetzt oder umbaut, kann selbst zum Hersteller werden.

Das Wichtigste in Kürze: Wer im Mittelstand KI einsetzt, haftet seinen Kunden gegenüber selbst für deren Fehler - die Nutzungsbedingungen der Modellanbieter schließen die Haftung für Ausgaben und Folgeschäden weitgehend aus. Ab dem 9. Dezember 2026 gilt die neue Produkthaftungsrichtlinie (EU) 2024/2853: Software und KI-Systeme sind dann Produkte, deren Hersteller ohne Verschulden haften. Der Schutz deckt aber Personen- und Privatschäden, nicht den Maschinenschaden im eigenen Werk. Die eigentliche Neuerung sitzt woanders: Wer ein Produkt unter eigenem Namen oder mit eigener Marke anbietet, es herstellen lässt oder wesentlich verändert, gilt selbst als Hersteller - und haftet verschuldensunabhängig, ohne Obergrenze.

Wer haftet heute, wenn die KI einen Fehler macht?

Ihrem Kunden gegenüber Sie. Der Kunde hat einen Vertrag mit Ihnen, nicht mit dem Modellanbieter; ob Ihre Antwort von einem Menschen oder einem Agenten kam, ändert am Vertrag nichts. Gegenüber dem KI-Anbieter gilt dagegen nur, was der Vertrag hergibt - und die Bedingungen der großen Anbieter schließen die Haftung für die Richtigkeit von Ausgaben und für Folgeschäden regelmäßig weitgehend aus, mit niedrigen Haftungsobergrenzen.

Dazu kommt die Ebene, die nichts mit dem Modell zu tun hat: Führt der Fehler zu einem Schaden bei Dritten - etwa weil ein KI-Agent eigenständig eine Bestellung auslöst oder eine Auskunft verbreitet -, bleibt deliktisch das Unternehmen in der Pflicht, das den Prozess verantwortet. Und intern droht die Geschäftsführerhaftung nach § 43 GmbHG, wenn hinter dem Einsatz keine dokumentierte Organisation stand. Was genau ein ordentlicher Geschäftsmann dabei belegen können muss, steht im Beitrag zur KI-Einführung für Geschäftsführer.

Was ändert die neue Produkthaftungsrichtlinie zum 9. Dezember 2026?

Die Richtlinie (EU) 2024/2853 löst die Produkthaftungsrichtlinie von 1985 ab und muss bis zum 9. Dezember 2026 in nationales Recht umgesetzt sein. Sie gilt für Produkte, die nach diesem Stichtag in Verkehr gebracht oder in Betrieb genommen werden (Artikel 2). Der deutsche Umsetzungsentwurf liegt als Bundestagsdrucksache 21/4297 vor, ist aber noch nicht verabschiedet - Aussagen zum endgültigen Gesetzestext bleiben Entwurfsstand.

Vier Änderungen zählen für den Mittelstand:

1. Software und KI-Systeme sind ausdrücklich Produkte (Artikel 4). Damit haftet der Hersteller verschuldensunabhängig - es genügt, dass das Produkt fehlerhaft war, nicht dass ihn ein Verschulden trifft.
2. Beweiserleichterungen für Geschädigte: Der Hersteller muss auf Verlangen Beweismittel offenlegen (Artikel 9), der Fehler wird unter bestimmten Umständen vermutet, und bei technisch-wissenschaftlicher Komplexität reicht der Wahrscheinlichkeitsbeweis (Artikel 10). Gerade bei einem KI-System, dessen Innenleben niemand vollständig dokumentiert, ist das eine spürbare Verschiebung.
3. Alte Grenzen fallen: Der 500-Euro-Selbstbehalt bei Sachschäden und die Kappung bei 85 Millionen Euro für Personenschäden entfallen.
4. Freie Software bleibt außen vor - aber nur, solange sie nicht geschäftlich bereitgestellt wird (Artikel 4). Wer Open Source in ein Produkt einbaut, kauft die Freistellung nicht mit.

Warum schützt die neue Haftung Ihren Betrieb kaum?

Weil die Richtlinie Verbraucher schützt, nicht Firmen. Gedeckt sind Tod, Körperverletzung und Gesundheitsschäden sowie Sachschäden an Sachen, die der Privatnutzung dienen; für Daten gilt die Deckung nur bei Vernichtung oder Beschädigung nicht beruflich genutzter Daten. Ein fehlerhaftes KI-Modul, das Ihre Produktionsanlage beschädigt oder Ihre Warenwirtschaft korrumpiert, fällt damit aus dem Anwendungsbereich heraus - verletzt dasselbe Modul einen Mitarbeiter, greift sie.

Der ehrliche Befund für den Einkauf lautet deshalb: Für betriebliche Schäden bleibt der Vertrag mit dem Anbieter der einzige Hebel. Haftungsklauseln, Einsatzgrenzen und Regressregeln gehören in den Vertrag, nicht in die Hoffnung, dass eine Richtlinie es schon regelt. Das gilt umso mehr, weil die Bedingungen der Modellanbieter genau diese Schäden ausschließen.

Wann werden Sie selbst zum Hersteller?

Das ist die eigentliche Nachricht der Richtlinie, und sie betrifft mehr Mittelständler, als es den Anschein hat. Nach Artikel 4 Nummer 10 gilt als Hersteller, wer ein Produkt entwickelt oder herstellt, wer es entwerfen oder herstellen lässt - und wer seinen Namen, seine Marke oder ein anderes Erkennungszeichen auf dem Produkt anbringt. Nach Artikel 8 Absatz 2 gilt außerdem als Hersteller, wer ein Produkt außerhalb der Kontrolle des ursprünglichen Herstellers wesentlich verändert und erneut bereitstellt oder in Betrieb nimmt.

Drei Konstellationen aus dem Mittelstand treffen das direkt:

• White-Label und Eigenmarke: Sie lassen sich einen KI-Agenten bauen und bieten ihn Ihren Kunden unter eigenem Namen an - etwa als Bestandteil Ihrer Software oder als "KI-Service der Firma XY". Immer wenn Ihr Name draufsteht, haften Sie wie der Produzent, auch wenn die Technik von einem Dritten stammt.
• KI als Komponente: Sie bauen ein KI-Modul in ein eigenes Produkt ein - die Vision-Prüfung in der Maschine, die Steuerung im Gerät. Für Fehlerhaftigkeit haften dann Sie als Produkt- und gegebenenfalls der Komponentenhersteller nebeneinander (Artikel 8).
• Wesentliche Veränderung: Wer ein vorhandenes Modell so weit anpasst, dass die Änderung außerhalb der Kontrolle des Originalherstellers liegt, stellt rechtlich ein neues Produkt her - inklusive der Herstellerhaftung.

Relevant wird die Richtlinie außerdem aus der anderen Richtung: Sitzt der Hersteller außerhalb der Union, haften sein Bevollmächtigter, der Importeur und unter Umständen Lieferant oder Fulfilment-Dienstleister mit (Artikel 8 Absatz 1). Für KI-Software aus den USA gibt es damit ab Dezember 2026 erstmals einen Haftungsadressaten innerhalb der EU.

Wer trägt im Ernstfall was?

Zwei Punkte stehen daneben, die keine Tabelle trägt: die Versicherung und die Dokumentation. Ob die Betriebs- oder Cyberhaftpflicht KI-bedingte Schäden deckt, entscheidet allein der Versicherungsschein - das gehört auf die Prüfliste, bevor der Fall eintritt, nicht danach. Und wer die Auswahl des Systems, seine Einsatzgrenzen und die Freigaben schriftlich festhält, steht in jeder Haftungsfrage besser da; dieselbe Dokumentation verlangt die KI-Richtlinie im Unternehmen ohnehin.

Was ist aus der geplanten KI-Haftungsrichtlinie geworden?

Sie ist nicht gekommen. Die Kommission hatte 2022 mit der KI-Haftungsrichtlinie ein eigenes Regime für KI-Schäden vorgeschlagen - mit Vermutungsregeln und Erleichterungen für Geschädigte, die über die Produkthaftung hinausgingen. Im Oktober 2025 hat sie den Vorschlag formell zurückgezogen; begründet wurde das damit, dass die wesentlichen Anliegen - Software und KI-Fehler - inzwischen die reformierte Produkthaftung abdeckt.

Für Anwender heißt das nüchtern: Es gibt kein eigenes KI-Haftungsregime und wird auch keines geben. Was bleibt, ist die neue Produkthaftung für Privatschäden einerseits und das gewöhnliche Vertrags- und Deliktsrecht andererseits. Die Mitte - die betrieblichen Schäden, um die es in der Praxis geht - füllt weiterhin der Vertrag. Wer die Pflichten des AI Act im Blick hat: Bußgelder und Rollen sind ein zweites, von der Haftung getrenntes Thema; die Zuordnung von Anbieter und Betreiber steht im Überblick zum EU AI Act.

Was sollten Sie vor dem 9. Dezember konkret prüfen?

Fünf Punkte, alle ohne Anwalt machbar - und alle schriftlich festzuhalten:

1. Die Haftungsklauseln der laufenden KI-Verträge: Was schließt der Anbieter aus, was übernimmt er, und gibt es eine Obergrenze? Wer eine Obergrenze sieht, kennt die tatsächliche Absicherung.
2. Die Namens- und Markenfrage: Steht Ihr Name oder Ihre Marke auf einem Produkt mit KI-Anteil - auch auf dem einem Dritten "powered by"-verkauften? Dann gelten Sie ab Dezember 2026 als Hersteller.
3. Die Liste der wesentlichen Veränderungen: Welche fremden Systeme haben Sie angepasst, und liegt die Änderung noch unter der Kontrolle des Originalanbieters? Wer das nicht schriftlich hat, kann die Grenze im Streitfall nicht ziehen.
4. Das Inverkehrbringen eigener Produkte: Die neue Haftung greift nur für Produkte, die nach dem Stichtag bereitgestellt werden. Wer eine KI-Funktion in einem bestehenden Produkt rollt, sollte wissen, ab wann er als Hersteller des neuen Stands gilt.
5. Die Versicherungsscheine: Explizit fragen, ob Software- und KI-bedingte Schäden gedeckt sind. Eine Deckungszusage im Schreiben ist mehr wert als eine Zusage am Telefon.

Gilt das auch in Österreich und der Schweiz?

In Österreich ja: Als EU-Mitglied muss auch dort bis zum 9. Dezember 2026 umgesetzt sein - Herstellerbegriff, verschuldensunabhängige Haftung und Beweiserleichterungen sind dieselben. Die Schweiz ist kein EU-Mitglied und hat ein eigenes Produktehaftungsgesetz, das die Richtlinie nicht automatisch mitnimmt. Zwei Fälle trotzdem: Schweizer Anbieter, die in die EU liefern, werden über die Importeur-Haftung erfasst; und wer aus Deutschland in die Schweiz verkauft, klärt die Haftung dort weiter über den Vertrag.

Häufige Fragen

Kann ich OpenAI oder Anthropic direkt verantwortlich machen, wenn deren Modell einen Fehler ausgibt? Vertraglich kaum: Die Nutzungsbedingungen der großen Modellanbieter schließen die Haftung für die Richtigkeit von Ausgaben und für Folgeschäden weitgehend aus. Die neue Produkthaftung ab Dezember 2026 hilft geschädigten Privatpersonen, nicht dem eigenen Betrieb - für betriebliche Schäden bleibt der Vertrag mit Ihrem Anbieter der einzige Hebel.

Hafte ich als Geschäftsführer persönlich für KI-Fehler? Innenhaftung gegenüber der eigenen Gesellschaft droht nach § 43 GmbHG, wenn die Einführung ohne dokumentierte Auswahl, Regeln und Aufsicht lief - der Fehler der Maschine ist selten der Haftungsgrund, das Fehlen einer Organisation dahinter ist es. Nach außen haftet regelmäßig die Gesellschaft, nicht die Person.

Was gilt, wenn wir ein Open-Source-Modell selbst anpassen und betreiben? Nicht geschäftlich bereitgestellte Open-Source-Software ist von der Produkthaftung ausgenommen - das schützt die Entwicklergemeinschaft, nicht Sie. Wer ein Open-Weight-Modell wesentlich verändert, in ein eigenes Produkt einbaut oder unter eigenem Namen ausliefert, gilt nach Artikel 4 und Artikel 8 der Richtlinie selbst als Hersteller und haftet verschuldensunabhängig.

Deckt die neue Produkthaftung Schäden, die unsere KI bei einem Kunden anrichtet? Nur, wenn der Kunde als Privatperson geschädigt wird: Die Richtlinie schützt natürliche Personen, Sachschäden nur an privat genutzten Sachen und Datenverlust nur bei nicht beruflich genutzten Daten. Ein Firmenkunde, dessen Anlage durch Ihr KI-Modul steht, bleibt auf Vertrag und Delikt angewiesen - und wird den Weg gegen Sie gehen.

Unser KI-Anbieter sitzt in den USA. Ändert sich dadurch etwas? Ja, ab Dezember 2026. Sitzt der Hersteller außerhalb der Union, haften nach Artikel 8 der Richtlinie auch sein Bevollmächtigter, der Importeur und unter Umständen Lieferant oder Fulfilment-Dienstleister. Es gibt damit erstmals einen Haftungsadressaten innerhalb der EU, ohne dass ein US-Vertrag einbezogen werden muss.

Zahlt unsere Betriebshaftpflicht für Schäden durch KI? Nicht pauschal. Ob KI-bedingte Schäden eingeschlossen sind, steht in den Bedingungen der jeweiligen Police; Betriebs- und Cyberhaftpflicht unterscheiden sich dort erheblich. Der richtige Schritt ist eine schriftliche Deckungsanfrage an den Versicherer, nicht die Annahme, der Bestandsschutz decke Softwarefehler mit.

---

Bei einem konkreten Vorhaben - etwa einem Agenten, der eigenständig Bestellungen auslöst oder Auskünfte gibt - klären sich die Einsatzgrenzen und die Dokumentationspflichten am saubersten vor dem Start; wie ein erster Prozess mit Rechtsrahmen und technischer Dokumentation aussieht, steht auf der Seite zur KI-Automatisierung für Unternehmen. Das ist keine Rechtsberatung; für die Auslegung im Einzelfall bleibt der Fachanwalt die richtige Adresse.

Quellen

• EUR-Lex: Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte - Umsetzungsfrist 9. Dezember 2026, Produktbegriff inklusive Software und KI-Systemen (Art. 4), haftende Wirtschaftsakteure und wesentliche Veränderung (Art. 8), Beweiserleichterungen (Art. 9 und 10)
• Deutscher Bundestag: Gesetzentwurf zur Umsetzung der Produkthaftungsrichtlinie, Drucksache 21/4297 - Entwurfsstand, noch nicht verabschiedet
• FAZ (2026): Produkthaftung für KI-Software: Was Hersteller wissen müssen - Einordnung des Systemwechsels und des zurückgezogenen KI-Haftungsrichtlinien-Vorschlags
• Europäische Kommission: Rückzug des Vorschlags für eine KI-Haftungsrichtlinie (COM(2022) 496), formell im Oktober 2025