Haftung & Compliance
🖱️ Interaktiv: Ziehen zum Drehen · Lektion 7
Lernziele
Nach dieser Lektion kannst du:
- Die Haftungsrisiken bei KI-Einsatz im Unternehmen benennen
- Den Art. 4 KI-Kompetenz-Nachweis dokumentieren
- Einen KI-Zwischenfall korrekt melden
- Maßnahmen zur Haftungsminimierung umsetzen
Haftungsrisiken bei KI-Einsatz
Wer haftet, wenn ein KI-System einen Schaden verursacht? Die Antwort ist komplex und hängt vom Kontext ab.
Haftungskaskade
- Mitarbeiter haftet bei Vorsatz oder grober Fahrlässigkeit
- Unternehmen haftet für seine Mitarbeiter (§ 831 BGB / Vicarious Liability)
- Geschäftsführung haftet bei Organisationsverschulden (fehlende Richtlinien)
- KI-Anbieter haftet für Produktmängel (EU AI Liability Directive)
Typische Haftungsfälle
| Szenario | Haftung |
|---|---|
| Mitarbeiter gibt Geschäftsgeheimnisse in ChatGPT ein | Unternehmen haftet für fehlende Schulung |
| KI empfiehlt falsche Behandlung im Gesundheitswesen | Anbieter (Produkthaftung) + Betreiber (Human Oversight) |
| KI-Recruiting-Tool diskriminiert Bewerber | Unternehmen (fehlender Bias-Test) + Anbieter |
| Mitarbeiter nutzt nicht genehmigtes KI-Tool | Unternehmen (fehlende Shadow AI Policy) |
💡 Verschärfte Haftung durch KI
Die EU AI Liability Directive verschärft die Haftung für KI-Schäden: Beweislastumkehr bei Hochrisiko-KI. Wenn ein KI-System einen Schaden verursacht, muss nicht das Opfer beweisen, dass der Anbieter fahrlässig war — der Anbieter muss beweisen, dass er nicht fahrlässig war.
Der Art. 4 Nachweis
Artikel 4 verlangt "ausreichende KI-Kompetenz". Wie weist du das nach?
Was die Aufsichtsbehörde sehen will:
-
Schulungsnachweis pro Mitarbeiter:
- Wer wurde geschult?
- Wann wurde geschult?
- Welche Inhalte wurden vermittelt?
- Bestanden / Nicht bestanden
-
Schulungsplan:
- Regelmäßige Auffrischung (empfohlen: jährlich)
- Rollen-spezifische Vertiefung
- Dokumentation der Aktualisierung
-
Organisatorische Maßnahmen:
- KI-Richtlinie (AI Policy)
- Verantwortliche benannt (KI-Beauftragter)
- Prozesse zur Überwachung der KI-Kompetenz
Unser KI-Kompetenz-Training
Das Training auf ki-kompetenz-training.org erfüllt diese Anforderungen:
- Audit-fähiges Zertifikat mit Datum, Inhalten und Bestehen
- Team-Dashboard für HR mit Überblick über Schulungsstand
- Jährliche Auffrischung und aktualisierte Inhalte
📝 Schnellprüfung
Was ist die wichtigste Anforderung an den Art. 4 Nachweis?
Incident Reporting
Bei KI-Zwischenfällen (KI verursacht Schaden, Datenschutzverletzung durch KI, Diskriminierung durch KI) ist ein strukturiertes Incident Reporting erforderlich.
Meldekaskade
- Sofortmaßnahme: KI-System stoppen, Schaden begrenzen
- Interne Meldung: Vorgesetzter, Datenschutzbeauftragter, KI-Beauftragter
- Dokumentation: Was ist passiert? Welches KI-System? Welche Daten?
- Externe Meldung: Ggf. an Aufsichtsbehörde (bei Datenschutzverletzung innerhalb 72h)
- Betroffene informieren: Bei DSGVO-Verstoß: betroffene Personen informieren
- Prävention: Maßnahmen zur Verhinderung ähnlicher Vorfälle
🏢 Praxis-Szenario: KI-Zwischenfall im Kundenservice
Ein KI-Chatbot in deinem Unternehmen gibt einem Kunden versehentlich Zugangsdaten eines anderen Kunden preis. Der Vorfall wird durch eine interne Prüfung entdeckt. Wie gehst du vor?
Bußgelder und Sanktionen
Mögliche Strafen
| Verstoß | Maximales Bußgeld |
|---|---|
| Verbotene KI-Praktiken (Art. 5) | €35 Mio. oder 7% des weltweiten Umsatzes |
| Hochrisiko-Pflichten | €15 Mio. oder 3% des weltweiten Umsatzes |
| KI-Kompetenz (Art. 4) | Bis €15 Mio. oder 3% |
| DSGVO-Verstoß (KI-bezogen) | €20 Mio. oder 4% des weltweiten Umsatzes |
Strafverschärfende Faktoren
- Vorsatz vs. Fahrlässigkeit
- Schwere des Verstoßes
- Größe des Unternehmens
- Kooperation mit Behörden
- Frühere Verstöße
Haftungsminimierung — Praktische Maßnahmen
- KI-Kompetenz-Schulung für alle Mitarbeiter (Art. 4)
- KI-Richtlinie erstellen und kommunizieren
- AI-Inventory führen und regelmäßig aktualisieren
- Human Oversight bei wichtigen KI-Entscheidungen
- Incident-Response-Plan für KI-Zwischenfälle
- Versicherungsschutz prüfen (Cyber-Versicherung)
- Regelmäßige Audits der KI-Systeme
💡 KI-konformes Unternehmen: Die Mindestanforderungen
- ✓ Art. 4 KI-Kompetenz-Schulung (dokumentiert) 2. ✓ KI-Richtlinie (schriftlich, kommuniziert) 3. ✓ AI-Inventory (alle KI-Systeme erfasst) 4. ✓ Incident-Response-Plan (für KI-Zwischenfälle) 5. ✓ Verantwortliche benannt (KI-Beauftragter)
✅ Wichtige Erkenntnisse
Haken setzen, um deinen Lernfortschritt zu markieren:
→ Vertiefung: KI-Governance im Unternehmen — Aufbau einer KI-Richtlinie und Governance-Struktur · Datenschutz & DSGVO — DSGVO-Pflichten bei KI
Weiterführende Inhalte
Relevante Rechtsgrundlagen: Art. 5 · Art. 15 · Art. 16 · Art. 71