Persönliche Haftungsrisiken bei KI Entscheidungen ohne falsche Haftungsversprechen

Unternehmensverstoß und Organhaftung getrennt prüfen

Der AI Act richtet zahlreiche Pflichten an Anbieter, Betreiber und weitere Akteure. Verletzt das Unternehmen eine solche Pflicht, folgt daraus nicht automatisch eine persönliche Ersatzpflicht eines Geschäftsführers, Vorstands- oder Aufsichtsratsmitglieds. Für die gesellschaftsrechtliche Innenhaftung sind insbesondere § 25 GmbHG und § 84 AktG maßgeblich; für Aufsichtsratsmitglieder verweist § 99 AktG auf § 84. Die konkrete Organpflicht muss zunächst bestimmt werden.

Eine belastbare Prüfung arbeitet Tatbestandsmerkmale einzeln ab: Bestand eine Pflicht des konkreten Organmitglieds, wurde sie objektiv verletzt, lag Verschulden vor, entstand der Gesellschaft ein ersatzfähiger Schaden und war die Pflichtverletzung dafür kausal? Danach sind Verjährung, Mitverantwortung, Ressortverteilung, Weisungen und weitere Einwendungen zu untersuchen. Pauschale Aussagen allein aufgrund einer Geldbuße oder eines fehlgeschlagenen KI Projekts greifen zu kurz.

• Rechtsträger, Organstellung und Anspruchsgrundlage zuerst bestimmen
• Pflichtverletzung, Verschulden, Schaden und Kausalität einzeln prüfen
• Keine automatische persönliche Haftung aus einem Unternehmensverstoß ableiten

Quellen: [1] [2] [3]

Typische Pflichtverletzungen entlang des Lebenszyklus

Risiken beginnen vor der Beschaffung. Problematisch können eine Freigabe ohne angemessene Informationen, das Übergehen klarer Verbotstatbestände, ungeprüfte Anbieterzusagen oder eine fehlende Rollen- und Risikoeinstufung sein. Während des Betriebs treten unklare Zuständigkeiten, ungeeignete Delegierte, nicht ausgewertete Kontrollen und ignorierte Beschwerden hinzu. Nach einem Vorfall erhöhen verspätete Eindämmung, mangelhafte Beweissicherung und unterlassene gesetzliche Meldungen die Exposition.

Nicht jeder Fehler ist automatisch eine schuldhafte Pflichtverletzung. Maßstab und erforderliche Prüftiefe hängen von Tragweite, Vorhersehbarkeit, verfügbarer Expertise, Zeitdruck, Reversibilität und erkennbaren Warnsignalen ab. Ein kleines Hilfswerkzeug verlangt typischerweise weniger Aufwand als ein System mit unmittelbarer Wirkung auf Beschäftigung, Zugang zu Leistungen oder Sicherheit. Wer bekannte Unsicherheiten verschweigt oder Kontrollen nur formal dokumentiert, verschlechtert jedoch seine Position.

• Auswahl, Freigabe, Betrieb und Vorfallreaktion getrennt analysieren
• Prüftiefe proportional zu Wirkung und erkennbarer Unsicherheit wählen
• Formale Papierkontrollen nicht mit tatsächlich wirksamer Aufsicht verwechseln

Quellen: [1] [2] [4]

Business Judgement Rule richtig einordnen

§ 25 Abs. 1a GmbHG und § 84 Abs. 1a AktG erfassen unternehmerische Entscheidungen, wenn das Organmitglied sich nicht von sachfremden Interessen leiten lässt und auf Grundlage angemessener Information annehmen darf, zum Wohl der Gesellschaft zu handeln. Ob ein KI Projekt wirtschaftlich sinnvoll ist, kann einen solchen Entscheidungsspielraum eröffnen. Die Missachtung zwingender Verbote oder eindeutig anwendbarer Pflichten wird dadurch nicht zu einer geschützten Ermessensentscheidung.

Entscheidend ist der Prozess aus damaliger Sicht, nicht die nachträgliche Erfolgsbewertung. Das Organ sollte Zweck, Alternativen, Risikoeinstufung, Datenflüsse, Anbieterabhängigkeiten, Kontrollen, Gegenmeinungen und verbleibende Unsicherheiten zeitnah dokumentieren. Ein erfolgreiches Projekt heilt keine mangelhafte Vorbereitung; ein wirtschaftlicher Misserfolg beweist umgekehrt nicht automatisch eine Pflichtverletzung. Die Business Judgement Rule ist ein gesetzlicher Prüfungsmaßstab, kein Freibrief.

• Unternehmerische Abwägung von zwingender Rechtspflicht abgrenzen
• Sachfremde Interessen und Interessenkonflikte offenlegen
• Angemessenheit der damaligen Informationsgrundlage dokumentieren

Quellen: [1] [2]

Delegation und Ressortverteilung haben Grenzen

Fachprüfungen dürfen geeigneten Beschäftigten oder externen Spezialisten übertragen werden. Das Organmitglied muss jedoch Qualifikation, Zuverlässigkeit, Unabhängigkeit und Ressourcen angemessen prüfen, den Auftrag klar fassen und einen Berichtspfad einrichten. Ein Gutachten verbessert die Informationsgrundlage nur, wenn Annahmen und Ergebnis plausibilisiert werden. Anbieterbewertungen, die wirtschaftlich vom Vertragsabschluss abhängen, sind nicht ohne Weiteres als unabhängige Kontrolle zu behandeln.

Ressortverteilung kann Zuständigkeiten strukturieren, beseitigt aber nicht jede Pflicht der übrigen Organmitglieder. Erkennbare Warnsignale, ressortübergreifende Grundsatzentscheidungen und existenzielle Risiken können eine Befassung des Gesamtorgans verlangen. Wie weit Informations- und Überwachungspflichten reichen, ist anhand der konkreten Organisation und Risikolage zu würdigen. Protokolle sollten festhalten, wer welche Informationen erhielt, welche Nachfrage erfolgte und warum eine Eskalation unterblieb oder vorgenommen wurde.

• Delegierte nach Kompetenz, Unabhängigkeit und Ressourcen auswählen
• Aufträge, Grenzen und Eskalationspflichten schriftlich bestimmen
• Ressortübergreifende Warnsignale dem Gesamtorgan zugänglich machen

Quellen: [1] [2] [3]

Schaden und Kausalität konkret untersuchen

Selbst bei einer Pflichtverletzung ist der geltend gemachte Schaden konkret zu bestimmen. In Betracht kommen etwa nutzlose Projektkosten, Kosten der Vorfallbehebung, Vertragsnachteile oder Vermögensfolgen einer behördlichen Maßnahme, soweit die jeweiligen rechtlichen Voraussetzungen erfüllt sind. Reputationsbeeinträchtigung allein lässt sich nicht ohne Weiteres als bezifferter Gesellschaftsschaden behandeln. Doppelerfassungen und hypothetische Vorteile sind kritisch zu prüfen.

Für die Kausalität ist zu fragen, wie sich die Lage bei pflichtgemäßem Verhalten entwickelt hätte. Wäre das Projekt bei angemessener Prüfung abgelehnt, begrenzt oder anders gestaltet worden? Hätte eine rechtzeitige Eskalation den Schaden verhindert oder nur verkleinert? Mehrere Ursachen, Entscheidungen anderer Organe, Anbieterfehler und Verhalten von Beschäftigten können die Analyse beeinflussen. Diese Fragen sind beweis- und einzelfallabhängig; schematische Haftungsrechner wären irreführend.

• Schadenspositionen belegen und Doppelzählungen vermeiden
• Pflichtgemäßes Alternativszenario nachvollziehbar bestimmen
• Mitursachen und Entscheidungen anderer Beteiligter gesondert prüfen

Quellen: [1] [2]

Risikobegrenzung ohne leere Versprechen

Ein belastbares Governance-System umfasst ein vollständiges Inventar, klare Freigabegrenzen, angemessene Informationsgrundlagen, wirksame Delegation, laufende Aufsicht, Stoppschwellen und nachvollziehbare Berichte. Entscheidend ist die gelebte Praxis: Kontrollen müssen getestet, Warnungen bearbeitet und überfällige Maßnahmen eskaliert werden. Eine nachträglich erstellte Aktenlage ersetzt weder die damalige Prüfung noch die tatsächliche Überwachung. Dokumentation sollte Fakten, Unsicherheit und Gegenpositionen unverfälscht wiedergeben.

Versicherungsdeckung, Freistellungen und vertragliche Haftungszuordnungen können wirtschaftlich relevant sein, beseitigen aber gesetzliche Pflichten nicht und greifen nur innerhalb ihrer Bedingungen. Neben der Innenhaftung können je nach Sachverhalt Ansprüche Dritter, Verwaltungsfolgen, arbeitsrechtliche Konsequenzen oder strafrechtliche Fragen auftreten. Ihre Voraussetzungen unterscheiden sich erheblich. Seriöse Beratung benennt diese Grenzen und verspricht weder durch eine Policy noch durch einen Beschluss persönliche Haftungsfreiheit.

• Governance an realen Entscheidungs- und Kontrollprozessen ausrichten
• Versicherung und Freistellungen auf Ausschlüsse und Obliegenheiten prüfen
• Innenhaftung, Drittansprüche und Sanktionen rechtlich getrennt behandeln

Quellen: [4] [5] [2]

Häufige Fragen