Neue EU-Richtlinie zur KI-Haftung: Was sich ändert und was Anwender jetzt wissen müssen

Nach der Verabschiedung des Gesetzesvorschlags über künstliche Intelligenz (AI Act) hat die Europäische Kommission am 28. September 2022 einen weiteren Gesetzesvorschlag hinsichtlich KI-gestützten Systemen angenommen: Der Richtlinienentwurf über KI-Haftung (COM/2022/496; im Folgenden: KI-Haftungs-RL) soll die nationalen Rahmenbedingungen der Mitgliedstaaten um Regelungen zur verschuldensabhängigen Haftung von Anbietern und Nutzern von KI-Systemen erweitern und erstmals die Haftungsregeln für künstliche Intelligenz in der EU harmonisieren. 

Welches Ziel verfolgt die KI-Haftungs-RL?

Die Komplexität, Autonomie und Undurchsichtigkeit einer KI (sog. „Blackbox“-Effekt) erschwert derzeit die Zuordnung unrechtmäßigen Handelns. Letzteres ist jedoch zwingende Voraussetzung für verschuldensabhängige Schadensersatzansprüche. Zudem herrscht bei Unternehmen Rechtsunsicherheit dahingehend, wie nationale Gerichte die bestehenden Regelungen auslegen. Hinzu kommt, dass es bislang an einer EU-weiten Harmonisierung fehlt, sodass eine eindeutige Bewertung des unternehmenseigenen Haftungsrisikos insgesamt praktisch schwierig ist. 

Der Richtlinienvorschlag zielt darauf ab, ein EU-weit einheitliches Schutzniveau für durch KI-Systeme verursachte Schäden zu schaffen. Die Einführung der neuen Haftungsvorschriften vertrauenswürdige KI-Systeme fördern, ihre Vorteile für den Binnenmarkt sicherstellen und die Rechtsunsicherheit des Haftungsrisikos für Unternehmen reduzieren. 

Was sind die wesentlichen Änderungen?

Der derzeitige Richtlinienvorschlag sieht zwei wesentliche Instrumente vor: Erstens sollen Geschädigte aufgrund der Kausalitätsvermutung von der Pflicht entbunden werden, die Ursächlichkeit des Schadens darzulegen. Zweitens soll bei Schäden durch Hochrisiko-KI-Systeme der Zugang zu Beweismitteln erleichtert werden, die sich im Besitz von Unternehmen oder Anbietern befinden. Dies soll durch die Anpassung von Art. 3 und 4 der KI-Haftungs-RL sowie der Produkthaftungs-Richtlinie erreicht werden. Was verändert sich im Detail?

Leichtere Offenlegung von Beweismitteln, Art. 3 

Art. 3 der KI-Haftungs-RL ermöglicht es Anspruchsstellern, die die Plausibilität ihres Schadensersatzanspruchs ausreichend belegen können (Art. 3 Abs. 1 UAbs. 2 KI-Haftungs-RL), die Offenlegung von einschlägigen Beweismitteln gegenüber nationalen Gerichten zu beantragen. Die nationalen Gerichte können die Offenlegung dann gegenüber KI-Anbietern (Art. 2 Abs. 1 lit. a, c AI Act), Personen, die den Pflichten eines Anbieters unterliegen (Art. 24, Art. 28 Abs. 1 AI Act) sowie Nutzern (Art. 2 Abs. 1 lit. b, c AI Act) anordnen. 

Auf Antrag des Klägers kann das Gericht zudem (beispielsweise zur wirksamen Rechtsdurchsetzung) Maßnahmen zur Sicherung von Beweismitteln anordnen. 

Die Anordnung zur Offenlegung von Beweismitteln muss hinreichend konkretisiert und auf ein notwendiges Mindestmaß beschränkt werden; hierdurch soll eine Verhältnismäßigkeit zwischen dem Offenlegungsbegehren des (potenziellen) Klägers und den berechtigten Interessen des Beklagten geschaffen werden. Geht es also um geschäftliche Interna oder andere vertrauliche Informationen, so kann deren Offenlegung ebenfalls angeordnet werden; hierbei ist im Rahmen der Verhältnismäßigkeit jedoch stets der Schutz der berechtigten Interessen zu beachten (Art. 3 Abs. 4 UAbs. 2 KI-Haftungs-RL).

Um die Offenlegung von Informationen zu fördern und Verfahren zu beschleunigen, kann durch nationale Gerichte gemäß Art. 3 Abs. 5 der KI-Haftungs-RL ein Verstoß gegen die Sorgfaltspflicht vermutet werden, wenn der Anspruchsverpflichtete der Aufforderung zur Offenlegung von Beweismitteln nicht ausreichend nachkommt. Dies gilt insbesondere, wenn die Einhaltung der in Kapitel III des AI Act genannten Pflichten des Anbieters oder Nutzers überprüft werden sollen (beispielsweise QM-Systeme oder die Aufbewahrung von automatisch erzeugten Protokollen). 

Nachvollziehbare Kausalität bei Hochrisiko-KI-Systemen, Art. 4

Weiteres Kernstück der KI-Haftungs-RL ist Artikel 4 Abs. 1, der eine widerlegbare Kausalitätsvermutung zwischen dem Verschulden des Anbieters oder Nutzers und dem eingetretenen Schaden (dem von der KI hervorgebrachten Ergebnis) schafft. Ein Verschulden kann sich dabei insbesondere aus der Verletzung einer einschlägigen Sorgfaltspflicht ergeben oder in vermuteter Form auch daraus, dass der vermeintliche Schadensersatzverpflichtete der Anordnung zur Offenlegung aus Art. 3 Abs. 5 der KI-Haftungs-RL nicht nachgekommen ist (Art. 4 Abs. 1 lit. a KI-Haftungs-VO). 

Allerdings erfordert die Kausalitätsvermutung, dass nach vernünftigem Ermessen davon ausgegangen werden kann, dass das Verschulden des Beklagten das von dem KI-System hervorgebrachte Ergebnis beeinflusst hat (Art. 4 Abs. 1 lit. b) sowie dass der Kläger nachweisen kann, dass das von der KI generierte Ergebnis zu dem Schaden geführt hat (Art. 4 Abs. 1 lit. c KI-Haftungs-RL). 

Insoweit bleibt es also weiterhin bei dem allgemeinen Erfordernis eines Ursachenzusammenhangs zwischen schädigendem Ereignis (KI-Output) und einem geschützten Rechtsgut des Klägers. Letztere umfassen allerdings beispielsweise auch explizit Verletzungen der Privatsphäre oder durch Sicherheitsprobleme verursachte Schäden. Dank der neuen Vorschriften wird es beispielsweise leichter, Schadensersatz zu erhalten, wenn jemand in einem Einstellungsverfahren, bei dem KI-Technologie zum Einsatz kam, diskriminiert wurde.

Im Überblick:

• Verschulden durch Anbieter
  Art. 4 Abs. 2 KI-Haftungs-RL definiert die Anforderungen an ein Verschulden durch den Anbieter einer Hochrisiko-KI oder durch die Person, die den Pflichten des Anbieters nach dem AI Act unterliegt. Hierdurch werden die zu erfüllenden Sorgfaltspflichten der Anbieter oder derjenigen Personen, die ebenfalls den Pflichten eines Anbieters unterliegen, in Bezug auf Hochrisiko-KI-Anwendungen näher ausgestaltet. Es wird festgelegt, welche spezifischen Sorgfaltspflichtverletzungen der Kläger belegen muss, um das nach Art. 4 Abs. 1 lit. a KI-Haftungs-RL erforderliche Verschulden nachzuweisen.
• Verschulden durch Nutzer
  Art. 4 Abs. 3 KI-Haftungs-RL konkretisiert die Voraussetzungen für das Verschulden des KI-Nutzers, die der Kläger im Rahmen des Art. 4 Abs. 1 lit. a nachzuweisen hat. Der Kläger muss, um den Anforderungen des Art. 4 Abs. 1 lit. a gerecht zu werden, nachweisen, dass der Nutzer eine der Pflichten des Art. 4 Abs. 3 KI-Haftungs-RL nicht erfüllt hat.
  
  Die Einhaltung der im AI Act genannten Verpflichtungen durch den Anbieter bzw. Nutzer eines Hochrisiko-KI-Systems oder der Person, die die Anbieterpflichten innehat, sind auch im Hinblick auf die eingesetzten Risikomanagementmaßnahmen gemäß Art. 9 AI Act zu beurteilen. 
• Ausnahme der Kausalitätsvermutung
  Gemäß Art. 4 Abs. 4 der KI-Haftungs-RL soll die Vermutung in Art. 4 Abs. 1 dann nicht greifen, wenn der Beklagte nachweisen kann, dass der Kläger auch anderweitig auf ausreichende Beweismittel und Fachkenntnisse zugreifen kann, um den ursächlichen Zusammenhang zu belegen. Dies ist eine praxisrelevante Einschränkung des Auskunftsanspruchs.
• Kausalitätsvermutung bei gewöhnlichen KI-Systemen 
  Die Kausalitätsvermutung für KI-Systemen außerhalb von „Hochrisikosystemen“ ist nur dann vorgegeben, wenn es für den Kläger übermäßig schwierig erscheint, einen ursächlichen Zusammenhang nachzuweisen (Art. 4 Abs. 5 KI-Haftungs-RL). Diese Regelung räumt dem nationalen Gesetzgeber und den nationalen Gerichten einen erheblichen Ermessensspielraum ein.

Zusätzliche Änderung der Produkthaftungs-Richtlinie

Die Ausweitung der Produkthaftung für Software ist bereits seit geraumer Zeit in der Diskussion. Neben dem Entwurf der KI-Haftungs-Richtlinie hat die Europäische Kommission am 28. September 2022 daher auch einen Entwurf für eine Novelle der Produkthaftungsrichtlinie veröffentlicht (COM/2022/495; im Folgenden: Produkthaftungs-RL-E). Damit wurden insbesondere in Bezug auf KI-Systeme verbleibende Unsicherheiten beseitigt, indem Software als solche nun ausdrücklich in den Anwendungsbereich der neuen Produkthaftungsrichtlinie aufgenommen wird (Art. 1, Art. 4 Abs. 1 Produkthaftungs-RL-E). 

Der Streit, ob Software unter den Produktbegriff des Art. 2 der bisherigen Produkthaftungsrichtlinie fällt, wird damit endgültig geklärt. Zudem erweitert die Richtlinie den Kreis der haftenden Akteure, sodass dem Geschädigten nun nicht mehr nur der Hersteller sowie der EWR-Importeur eines fehlerhaften Produkts als Anspruchsgegner zur Verfügung stehen, sondern auch Bevollmächtigte des Herstellers, Fulfillment-Dienstleister und sogar Einzelhändler und Betreiber von Online-Marktplätzen (Art. 7 Produkthaftungs-RL-E). 

Hierdurch soll gewährleistet werden, dass der Kläger auch dann einen greifbaren Anspruchsgegner hat, wenn er das fehlerhafte Produkt außerhalb der EU erwirbt und kein Importeur oder (Quasi-)Hersteller mit Sitz in der EU zur Verantwortung gezogen werden kann.

Im Überblick:

• Pflicht zur Offenlegung von Beweismitteln
  Auch Art. 8 Produkthaftungs-RL-E sieht (ähnlich) wie Art. 3 KI-Haftungs-RL vor, dass das Gericht die Offenlegung von Beweismitteln anordnen kann. Auch diese Offenlegung ist auf ein verhältnismäßiges Maß beschränkt (Art. 8 Abs. 2), wobei berechtigte Interessen wie auch der Schutz vertraulicher Informationen und Geschäftsgeheimnisse zu berücksichtigen sind (Art. 8 Abs. 3). Kommt es zu einem Gerichtverfahren, so haben nationale Gerichte auf begründeten Antrag einer Partei oder von sich aus Maßnahmen zu ergreifen, um die Vertraulichkeit dieser Informationen zu wahren.
• Beweislast – Grundsatz und Erleichterungen
  Art. 9 Abs. 1 Produkthaftungs-RL-E stellt zwar zunächst klar, dass die Beweislast bezüglich der Fehlerhaftigkeit des Produkts, des erlittenen Schadens sowie eines ursächlichen Zusammenhangs zwischen Fehlerhaftigkeit und Schaden vom Kläger zu tragen ist. Gleichwohl gibt es verschiedene widerlegbare Vermutungsregeln, die dem Kläger die Beweisführung zunächst erleichtern. 
  
  So wird die Fehlerhaftigkeit des Produkts insbesondere dann vermutet, wenn der Beklagte seiner Pflicht zur Offenlegung von Beweismitteln im Rahmen von Art. 8 Abs. 1 nicht nachkommt (Art. 9 Abs. 2 lit. a), und/oder wenn der Kläger nachweisen kann, dass das Produkt verbindliche Sicherheitsanforderungen, die einen Schutz gegen das Risiko des eingetretenen Schadens bieten sollen, nicht erfüllt (Art. 9 Abs. 2 lit. b) oder wenn der Kläger nachweisen kann, dass der Schaden durch eine offensichtliche Funktionsstörung des Produkts bei normaler Verwendung oder unter normalen Umständen verursacht wurde (Art. 9 Abs. 2 lit. c). Gerade die letzten beiden Varianten werden in der Praxis hohe Bedeutung haben.
  
  Ein Kausalzusammenhang zwischen Fehlerhaftigkeit und Schaden wird dann vermutet, wenn feststeht, dass das Produkt fehlerhaft war und der entstandene Schaden für den betreffenden Fehler typisch ist (Art. 9 Abs. 3). Die Norm könnte insbesondere in Fällen relevant werden, bei denen eine Kausalität zwischen Fehler und Schaden kaum nachgewiesen werden konnte. Dies betrifft etwa Sicherheitsmängel in Software, die zu Schäden aufgrund eines erfolgreichen Angriffs führen.
  
  Sowohl hinsichtlich der Fehlerhaftigkeit des Produkts als auch aus dem ursächlichen Zusammenhang zwischen Fehlerhaftigkeit und Schaden kann das Gericht jedoch auch entsprechende Schlüsse ziehen, wenn der Beweis aufgrund der technischen oder wissenschaftlichen Komplexität übermäßig schwierig ist (Art. 9 Abs. 4). Dafür muss der Kläger allerdings mindestens darlegen, dass das Produkt zum Schaden beigetragen hat (Art. 9 Abs. 4 lit. a) und wahrscheinlich fehlerhaft war und/oder seine Fehlerhaftigkeit den Schaden wahrscheinlich verursacht hat (Art. 9 Abs. 4 lit. b).
• Zusammenspiel mit der KI-Haftungs-RL
  Ausweislich Art. 2 Nr. 3 lit. c Produkthaftungs-RL-E soll unter anderem die KI-Haftungs-RL nicht berührt werden. Es stellt sich dennoch die Frage nach dem Verhältnis der beiden Richtlinien. 
  
  Während die neue Produkthaftungsrichtlinie psychische und physische Schäden sowie Sachschäden und Datenverluste als Schaden erfasst (Art. 4 Nr. 6 Produkthaftungs-RL-E), geht die KI-Haftungs-RL weiter und deckt jegliche Schäden ab, die durch den Einsatz eines KI-Systems verursacht wurden (Art. 2 Nr. 5 KI-Haftungs-RL). Zudem sind Klagen im Rahmen des Entwurfs der neuen Produkthaftungsrichtlinie auf Privatpersonen beschränkt, während die KI-Haftungs-RL sowohl Klagen von Privatpersonen als auch durch juristische Personen ermöglicht. 
  
  Die beiden an sich getrennten Haftungsregime (KI-Haftung und Produkthaftung) sehen allerdings ähnliche Instrumente vor und schaffen insoweit einen Gleichlauf zwischen verschuldensabhängiger KI-Haftung und verschuldensunabhängiger Produkthaftung schaffen. Durch die neue Pflicht zur Offenlegung von Beweismitteln und die verschärften Vermutungsregeln wird dem Kläger die Durchsetzung von Schadensersatzansprüchen insgesamt erleichtert.

Ausblick: Trotz langer Fristen müssen Unternehmen und Anwender jetzt handeln

Der Richtlinienentwurf befindet sich aktuell im europäischen Gesetzgebungsverfahren, ein konkreter Zeitpunkt für die Verabschiedung der finalen Richtlinie ist derzeit noch nicht abzusehen. Im Anschluss an das Inkrafttreten der Richtlinie ist zwar mit einer weiteren Umsetzungsfrist auf nationaler Ebene von mindestens zwei Jahren zu rechnen. Dennoch sollten sich Unternehmen und KI-Anwender frühzeitig darauf vorbereiten, dass nur eine gute und vollständige Dokumentation effektiv vor möglichen Regressansprüchen schützen kann. Der „Blackbox“-Effekt von KI-Systemen wird andernfalls tendenziell eher den Kläger begünstigen, da die Anspruchsdurchsetzung bereits bei mangelndem Gegenbeweis erfolgreich sein kann.