Die EU weitet die Produkthaftung auf KI, Software und Cloud-Anwendungen aus. Unternehmen müssen Risiken neu bewerten und Verantwortlichkeiten klar zuordnen.
Die europäische Produkthaftung wird auf digitale Produkte und KI-Software ausgeweitet. Spätestens ab dem 9. Dezember 2026 soll die Produkthaftungsrichtlinie 2024/2853 in deutsches Recht umgesetzt sein. Erfasst werden unter anderem Stand-alone-Software, KI-Systeme, SaaS-Lösungen und cloudbasierte Anwendungen.
Der deutsche Gesetzesentwurf in Bundestagsdrucksache 21/4297 setzt die Vorgaben laut dem vorliegenden Bericht vollständig um. Für Hersteller, Anbieter und Händler verändert sich damit die Risikolage im digitalen Geschäft grundlegend.
Verschuldensunabhängige Haftung für digitale Produkte
Entscheidend ist künftig grundsätzlich, ob ein Produkt fehlerhaft war und dadurch ein Mensch oder ein bestimmtes Sachgut zu Schaden kam. Ein nachweisbares Verschulden des Herstellers ist bei der verschuldensunabhängigen Haftung nicht erforderlich.
KI-Systeme selbst sind keine Rechtssubjekte und können daher nicht eigenständig haften. Im Mittelpunkt stehen vielmehr der Hersteller des Gesamtprodukts, der Anbieter einer Anwendung sowie möglicherweise Zulieferer und Anbieter wesentlicher Softwarekomponenten.
Verantwortung entlang der Wertschöpfungskette
Besonders komplex ist die Zuordnung bei modularen KI-Systemen. Sie können aus einem Basismodell, Trainingsdaten, Zusatzmodulen, Benutzeroberflächen und externen APIs bestehen. Wer ein Grundmodell verändert, eine fremde KI-Funktion integriert oder eine sicherheitskritische Komponente aktualisiert, muss seine Rolle und seinen Einfluss innerhalb der Lieferkette genau bestimmen.
Für Unternehmen gewinnen deshalb Dokumentation, Testverfahren und Monitoring an Bedeutung. Nachvollziehbar sein sollte unter anderem, welche Modellversion eingesetzt wurde, welche Daten und Schnittstellen beteiligt waren und wer Änderungen freigegeben hat.
Erweiterter Schadensersatz und höhere Reichweite
Nach dem Bericht sollen künftig auch Beeinträchtigungen der psychischen Gesundheit sowie die Vernichtung oder Beschädigung privat genutzter Daten ersatzfähig sein. Zudem soll die bisherige Haftungsobergrenze von 85 Millionen Euro für Schäden an Leben, Körper oder Gesundheit entfallen. Für Sachschäden bestand dem Bericht zufolge bereits keine Haftungshöchstgrenze.
Keine eigenständige KI-Haftungsrichtlinie
Eine separate europäische KI-Haftungsrichtlinie wird es nach der derzeitigen Entwicklung nicht geben. Die EU-Kommission zog ihren entsprechenden Vorschlag Ende 2025 zurück, weil zentrale Haftungsfragen für Software und KI in die überarbeitete Produkthaftungsrichtlinie integriert worden seien.
Unternehmen sollten daher frühzeitig klären, ob sie lediglich vermitteln oder selbst als Anbieter eines KI-gestützten Gesamtprodukts auftreten. Die Produkthaftung wird damit zu einer Aufgabe, die Produktentwicklung, Einkauf, Recht und IT-Sicherheit gemeinsam betrifft.