Start / Themen / Digitalisierung & KI / Antwort
Digitalisierung & KI

Geschäftsführerhaftung bei KI-Einsatz: Wann haftet die Geschäftsleitung persönlich?

Kurz gesagt

Eine fehlende oder nur auf dem Papier existierende KI-Governance kann eine Organisationspflichtverletzung der Geschäftsleitung darstellen und eine gesellschaftsrechtliche Innenhaftung begründen. Eine automatische persönliche Außenhaftung gegenüber Dritten folgt daraus aber nicht — entscheidend ist immer, ob Auswahl, Freigabe, Ressourcen und Überwachung tatsächlich organisiert waren, nicht nur, ob eine Richtlinie existiert.

Zwei getrennte Haftungsebenen

Bei KI-bezogenen Organisationspflichten müssen zwei Ebenen sauber unterschieden werden. Nach außen, gegenüber Kunden oder sonstigen Geschädigten, haftet in aller Regel das Unternehmen — als Vertragspartner, als Hersteller im Sinne der Produkthaftung oder deliktisch. Nach innen, gegenüber der eigenen Gesellschaft, kann die Geschäftsleitung persönlich in Anspruch genommen werden, wenn sie ihre Organisationspflichten verletzt und dadurch einen Schaden beim eigenen Unternehmen verursacht hat — etwa durch Bußgelder, Schadensersatzzahlungen oder Reputationsverluste, die durch sorgfältigeres Handeln vermeidbar gewesen wären. Diese Innenhaftung folgt gesellschaftsrechtlichen Grundsätzen und ist von der Außenhaftung des Unternehmens strikt zu trennen.

Was als Organisationspflichtverletzung zählt

Die Geschäftsleitung muss Auswahl, Freigabe, Ressourcen und Überwachung des KI-Einsatzes so organisieren, wie es nach Risiko und Bedeutung der jeweiligen Anwendung erforderlich und zumutbar ist. Das bedeutet konkret: Wer setzt ein neues KI-System frei, nach welchen Kriterien, mit welcher Dokumentation? Wer überwacht laufend, ob das System noch innerhalb der vorgesehenen Grenzen arbeitet? Welche Ressourcen — Zeit, Budget, Fachwissen — stehen dafür tatsächlich zur Verfügung? Eine Organisation, die formal eine Richtlinie verabschiedet, aber keine Schulung, keine Zugriffskontrolle, keine Freigabeprozesse und keine Eskalationswege dazu einrichtet, hat ihre Organisationspflicht im Kern nicht erfüllt — trotz vorhandenem Dokument.

Warum "wir haben doch eine Richtlinie" nicht genügt

Entscheidend ist nicht die Existenz einer KI-Richtlinie, sondern ihre tatsächliche Umsetzung: Schulung der Mitarbeitenden, funktionierende Zugriffskontrolle, dokumentierte Freigabeprozesse, klare Eskalationswege, regelmäßige Audits und spürbare Konsequenzen bei Verstößen. Eine Richtlinie, die niemand kennt, die nicht durchgesetzt wird oder die keine Konsequenzen bei Missachtung vorsieht, schützt im Streitfall kaum vor dem Vorwurf mangelnder Organisation. Das gilt besonders, wenn Mitarbeitende eigenständig KI-Tools nutzen, ohne dass die Geschäftsleitung ein Inventar oder eine Kontrolle darüber hat, welche Systeme mit welchen Daten arbeiten.

Wo persönliche Haftung entstehen kann

Auch Beschäftigte, die KI-Ergebnisse bedienen oder unreflektiert übernehmen, können grundsätzlich persönlich haften — diese Haftung ist jedoch regelmäßig arbeitsrechtlich beschränkt, mit einer internen Zurechnung zum Arbeitgeber. Bei der Geschäftsleitung liegt der Fall anders: Sie trägt die Verantwortung für Governance, Ressourcenausstattung und Kontrolle auf einer strukturellen Ebene. Eine Pflichtverletzung auf dieser Ebene kann zu einer Innenhaftung führen, wenn dem Unternehmen dadurch ein Schaden entstanden ist — etwa weil ein vermeidbarer KI-Vorfall zu einem Bußgeld, einem Vertragsschaden oder Schadensersatzzahlungen an Dritte geführt hat, die bei ordnungsgemäßer Organisation nicht eingetreten wären.

Was eine belastbare Organisation praktisch bedeutet

  • Eine klare Zuständigkeit für KI-Freigaben benennen, statt Entscheidungen diffus im Tagesgeschäft treffen zu lassen.
  • Vor jeder sicherheitskritischen Freigabe Akzeptanzkriterien, Verantwortliche, dokumentierte Restrisiken und einen Rollback-Weg festlegen.
  • Ein Human-Oversight-Konzept nicht nur beschreiben, sondern mit echter Prüftiefe, Stichprobenumfang und Eskalationsschwelle hinterlegen.
  • Test- und Freigabekriterien aus dem tatsächlichen Einsatzzweck und den vorhersehbaren Risiken ableiten, nicht aus allgemeinen Benchmarkwerten.
  • Bei jeder wesentlichen Änderung prüfen, ob ein neues Produkt, eine neue Konformitätsbewertung oder eine neue Versicherungsmeldung nötig wird.
  • Einen dokumentierten Incident-Prozess einrichten, der technische Sicherung, rechtliche Bewertung, Kundenkommunikation und regulatorische Meldung verbindet.
  • Regelmäßige Revalidierung festlegen: Wer beobachtet Gesetz, Rechtsprechung und Produktbedingungen, und in welchem Rhythmus?

Warum das für den Mittelstand besonders relevant ist

Gerade in kleineren Unternehmen wird KI-Governance häufig informell "nebenbei" mitgemacht, ohne klare Zuständigkeit. Das erhöht das Risiko, dass im Streitfall keine nachvollziehbare Organisation belegt werden kann — unabhängig davon, ob am Ende überhaupt ein Außenschaden entstanden ist. Eine schriftlich fixierte, aber tatsächlich gelebte Zuständigkeit mit realistischem Aufwand ist wirksamer als ein umfangreiches Governance-Dokument, das niemand im Alltag anwendet.

Häufige Fragen

Haftet ein Geschäftsführer automatisch persönlich, wenn eine im Unternehmen eingesetzte KI einen Schaden verursacht?
Nein, nicht automatisch. Nach außen haftet in der Regel das Unternehmen. Eine persönliche Innenhaftung gegenüber der eigenen Gesellschaft kann entstehen, wenn eine Organisationspflichtverletzung nachweisbar zu einem vermeidbaren Schaden geführt hat.
Reicht eine schriftliche KI-Richtlinie zur Absicherung aus?
Nicht allein. Entscheidend ist die tatsächliche Umsetzung — Schulung, Kontrolle, Freigabeprozesse, Eskalation und Konsequenzen bei Verstößen.
Wer haftet, wenn ein Mitarbeitender eine falsche KI-Ausgabe unreflektiert übernimmt?
Der Mitarbeitende kann grundsätzlich persönlich verantwortlich sein, diese Haftung ist aber arbeitsrechtlich meist beschränkt; im Außenverhältnis haftet regelmäßig der Arbeitgeber.
Was unterscheidet Organisationspflicht von persönlicher Außenhaftung?
Die Organisationspflicht betrifft die interne Verantwortung der Geschäftsleitung gegenüber der eigenen Gesellschaft. Die Außenhaftung gegenüber Dritten trägt in der Regel das Unternehmen selbst, nicht automatisch die einzelne Person.