Neue Produkthaftung für Software und KI

Mit der Richtlinie (EU) 2024/2853 hat die EU das Produkthaftungsrecht grundlegend erneuert. Software einschließlich KI-Systemen ist nun ausdrücklich ein Produkt, für das verschuldensunabhängig gehaftet wird. Diese Seite richtet sich an Softwarehäuser, KI-Anbieter, Hersteller vernetzter Produkte und Unternehmen, die KI-Komponenten in eigene Produkte integrieren.

Software und KI als Produkt

Nach Art. 4 Nr. 1 der Richtlinie gilt Software als Produkt, unabhängig davon, wie sie bereitgestellt wird: als Installation, eingebettet in ein Gerät, per Download oder über eine Cloud-Anbindung. Damit fallen auch KI-Systeme und KI-Modelle, die in Produkte integriert werden, in den Anwendungsbereich. Reine Informationsinhalte wie digitale Dateien mit Texten oder der Quellcode als solcher sind dagegen keine Produkte.

Erfasst sind außerdem verbundene Dienste (Art. 4 Nr. 3): digitale Dienste, die so in ein Produkt integriert oder mit ihm verbunden sind, dass das Produkt ohne sie eine oder mehrere Funktionen nicht erfüllen könnte, etwa die Cloud-Auswertung einer Sensorik oder der Sprachassistent eines Geräts.

Updates und Lernfähigkeit

Die Richtlinie löst sich vom Bild des Produkts, das mit der Auslieferung „fertig“ ist. Solange ein Produkt unter der Kontrolle des Herstellers bleibt, etwa weil er Updates und Upgrades liefert oder ein verbundener Dienst weiterläuft, kann er sich nicht darauf berufen, der Fehler sei erst nach dem Inverkehrbringen entstanden (Art. 11 Abs. 2). Das betrifft insbesondere:

fehlerhafte Software-Updates und Upgrades,
das Unterlassen von Sicherheitsupdates, die zur Behebung von Schwachstellen erforderlich sind,
Veränderungen des Verhaltens durch maschinelles Lernen nach der Auslieferung.

Der Fehlerbegriff

Ein Produkt ist fehlerhaft, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die unionsrechtlich vorgeschrieben ist (Art. 7). Neu sind Kriterien, die gerade für KI relevant sind:

die Fähigkeit des Produkts, nach dem Inverkehrbringen weiter zu lernen oder neue Funktionen zu erwerben,
die vernünftigerweise vorhersehbare Wirkung anderer Produkte, mit denen es verbunden ist,
sicherheitsrelevante Anforderungen an die Cybersicherheit,
Rückrufe und behördliche Maßnahmen im Zusammenhang mit dem Produkt.

Für KI-Anbieter bedeutet das: Die Anforderungen der KI-Verordnung und des Cyber Resilience Act werden mittelbar zum Haftungsmaßstab. Wer Pflichten zu Robustheit, Genauigkeit oder Cybersicherheit verfehlt, liefert Klägern Argumente für einen Produktfehler.

Wer haftet

Die Richtlinie kennt eine gestufte Haftungskette (Art. 8):

Akteur	Haftung
Hersteller	Haftet für das Endprodukt und für fehlerhafte Komponenten, einschließlich integrierter Software.
Hersteller einer Komponente	Haftet, wenn die von ihm gelieferte Komponente (z. B. ein KI-Modul) fehlerhaft ist.
Quasi-Hersteller	Wer sich durch Name oder Marke als Hersteller ausgibt, haftet wie dieser.
Einführer und Bevollmächtigter	Haften, wenn der Hersteller außerhalb der EU sitzt.
Fulfilment-Dienstleister	Haftet, wenn weder Hersteller noch Einführer oder Bevollmächtigter in der EU greifbar sind.
Händler und Online-Plattformen	Haften subsidiär, wenn sie den Haftenden nicht binnen eines Monats benennen.

Wesentliche Änderung

Wer ein Produkt außerhalb der Kontrolle des ursprünglichen Herstellers wesentlich verändert und es anschließend bereitstellt oder in Betrieb nimmt, gilt selbst als Hersteller (Art. 8 Abs. 2). Für KI-Projekte ist das praxisrelevant: Fine-Tuning, das Austauschen eines Modells in einer Steuerung oder das Erweitern eines Systems um neue Funktionen kann eine eigene Herstellerverantwortung auslösen. Die Parallele zur Rollenverschiebung nach Art. 25 KI-VO liegt nahe, siehe Rolle nach dem AI Act.

Offenlegung von Beweismitteln und Vermutungsregeln

Die Beweislast für Fehler, Schaden und Kausalität liegt weiterhin beim Geschädigten. Die Richtlinie erleichtert die Durchsetzung jedoch erheblich:

Offenlegung (Art. 9): Legt der Kläger Tatsachen dar, die einen Anspruch plausibel machen, kann das Gericht den Beklagten verpflichten, relevante Beweismittel offenzulegen. Geschäftsgeheimnisse sind durch gerichtliche Schutzmaßnahmen zu wahren.
Fehlervermutung (Art. 10 Abs. 2): Der Fehler wird vermutet, wenn der Beklagte der Offenlegungspflicht nicht nachkommt, das Produkt verbindliche Sicherheitsanforderungen nicht erfüllt oder der Schaden durch eine offensichtliche Funktionsstörung bei normaler Verwendung entstanden ist.
Kausalitätsvermutung (Art. 10 Abs. 3): Steht der Fehler fest und ist der Schaden typischerweise mit einem solchen Fehler vereinbar, wird der Zusammenhang vermutet.
Übermäßige Schwierigkeiten (Art. 10 Abs. 4): Bei technischer oder wissenschaftlicher Komplexität, wie sie bei KI-Systemen häufig vorliegt, können Fehler und Kausalität vermutet werden, wenn der Kläger ihre Wahrscheinlichkeit darlegt.

Die Vermutungen sind widerleglich. Wer sie entkräften will, braucht eine belastbare technische Dokumentation.

Open-Source-Ausnahme

Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, fällt nicht unter die Richtlinie. Wird Open-Source-Software dagegen kommerziell in ein Produkt integriert, haftet der Hersteller des Endprodukts auch für deren Fehler. Open-Source-Komponenten müssen daher im Lieferanten- und Komponentenmanagement genauso geprüft werden wie zugekaufte Software.

Schadensbegriff: Daten und psychische Gesundheit

Ersatzfähig sind Tod, Körperverletzung einschließlich medizinisch anerkannter Beeinträchtigungen der psychischen Gesundheit, Sachschäden sowie erstmals die Vernichtung oder Beschädigung von Daten (Art. 6). Ausgenommen sind Daten, die für berufliche Zwecke verwendet werden. Für Verbraucherprodukte wie Smart-Home-Systeme, Apps oder KI-Assistenten entsteht damit ein neues Haftungsrisiko, etwa bei Datenverlust durch ein fehlerhaftes Update.

Umsetzung in Deutschland

Die Richtlinie ist bis zum 9. Dezember 2026 umzusetzen. Der Bundestag hat das Gesetz zur Modernisierung des Produkthaftungsrechts am 8. Oktober 2026 beschlossen; die Geltung ist ab dem 9. Dezember 2026 vorgesehen. Das neue Recht gilt für Produkte, die ab diesem Zeitpunkt in Verkehr gebracht oder in Betrieb genommen werden. Für ältere Produkte bleibt das bisherige Produkthaftungsgesetz maßgeblich.

Praxistipp: Prüfen Sie jetzt, welche Ihrer Produkte und Software-Releases nach dem 9. Dezember 2026 in Verkehr gebracht werden. Für diese gelten die neuen Haftungsregeln einschließlich der Offenlegungspflichten.

Keine eigene KI-Haftungsrichtlinie

Die Kommission hatte 2022 neben der Produkthaftungsrichtlinie eine gesonderte KI-Haftungsrichtlinie für die verschuldensabhängige Haftung vorgeschlagen. Diesen Vorschlag hat sie 2025 zurückgezogen. Eine eigene EU-KI-Haftungsrichtlinie gibt es damit nicht. Außerhalb der Produkthaftung bleibt es beim nationalen Deliktsrecht (§§ 823 ff. BGB) und beim Vertragsrecht. Einen Überblick gibt die Seite KI-Haftungsrecht.

Folgen für Verträge, Versicherung und Dokumentation

Verträge

Die Haftung gegenüber Geschädigten kann vertraglich weder ausgeschlossen noch beschränkt werden (Art. 15). Gestalten lässt sich aber der Rückgriff in der Lieferkette. Prüfen Sie in KI-Verträgen insbesondere:

Regressklauseln und Freistellungen zwischen Hersteller, Komponentenlieferant und Integrator,
Pflichten zur Bereitstellung von Updates und Sicherheitspatches sowie deren Dauer,
Mitwirkungspflichten bei Offenlegungsanordnungen und den Umgang mit Geschäftsgeheimnissen,
Regelungen zu Fine-Tuning und Modifikationen durch Kunden, die eine wesentliche Änderung darstellen können,
Zugriffsrechte auf Logs und technische Dokumentation des Zulieferers.

Versicherung

Viele Produkthaftpflicht- und Cyber-Policen sind nicht auf Software als Produkt und auf Datenschäden zugeschnitten. Lassen Sie Deckungsumfang, Ausschlüsse für reine Vermögensschäden und Datenverlust sowie Serienschadenklauseln prüfen, bevor neue Produkte unter das neue Recht fallen.

Dokumentation

Wer Vermutungen widerlegen will, muss nachweisen können, wie das Produkt entwickelt, getestet und aktualisiert wurde. Bewährt hat sich:

Versionierte Entwicklungs- und Testdokumentation einschließlich Trainings- und Validierungsdaten,
Update- und Patch-Historie mit Freigabeentscheidungen,
Protokolle zu Schwachstellen und ihrer Behebung,
Verzeichnis eingesetzter Drittkomponenten und Open-Source-Bibliotheken,
Aufbewahrung über die Haftungsfristen hinaus: Ansprüche erlöschen grundsätzlich zehn Jahre nach Inverkehrbringen, bei latenten Personenschäden nach 25 Jahren.

Typischer Fehler in der Praxis: Die technische Dokumentation wird für die Zertifizierung erstellt, aber nicht fortgeschrieben. Bei einem Update-Fehler drei Jahre später lässt sich dann nicht mehr belegen, welcher Stand ausgeliefert wurde.

So unterstützen wir Sie

Analyse Ihres Produktportfolios auf Software- und KI-Anteile und Einordnung der Haftungsrollen
Prüfung und Anpassung von Liefer-, Lizenz- und Entwicklungsverträgen auf Regress und Update-Pflichten
Aufbau einer haftungsfesten Dokumentation im Zusammenspiel mit KI-VO und Cyber Resilience Act
Abstimmung mit Ihrem Versicherer zu Deckungslücken
Vertretung in Produkthaftungsstreitigkeiten, einschließlich Offenlegungsverfahren und Schutz von Geschäftsgeheimnissen
Interdisziplinäre Bewertung technischer Fehlerursachen durch Anwälte und Patentanwälte mit technischem Hintergrund

Häufige Fragen

Gilt das neue Produkthaftungsrecht auch für reine SaaS-Angebote?

Software ist unabhängig von der Bereitstellungsform ein Produkt. Ob ein konkretes SaaS-Angebot erfasst ist, hängt davon ab, ob es als Software in Verkehr gebracht wird oder als verbundener Dienst Teil eines Produkts ist. Diese Abgrenzung sollte im Einzelfall geprüft werden.

Haftet ein Unternehmen, das ein fremdes KI-Modell in sein Produkt einbaut?

Ja. Der Hersteller des Endprodukts haftet für das gesamte Produkt einschließlich integrierter Komponenten. Daneben haftet der Hersteller des fehlerhaften Moduls. Den Ausgleich regeln Sie im Liefervertrag.

Kann die Haftung in AGB ausgeschlossen werden?

Nein. Gegenüber Geschädigten ist die Produkthaftung zwingend. Gestaltbar ist nur der interne Rückgriff zwischen den beteiligten Unternehmen.

Gibt es noch eine Selbstbeteiligung bei Sachschäden?

Die Richtlinie sieht keine Selbstbeteiligung von 500 Euro und keine Haftungshöchstgrenze mehr vor. Wie das deutsche Umsetzungsgesetz dies im Einzelnen abbildet, sollte am verkündeten Gesetzestext geprüft werden.