KI-Haftung ist Chefsache: Warum der AI Act kein IT-Thema ist.

Dein HR-Team nutzt seit zwei Jahren ein Bewerbermanagement-Tool mit KI-gestütztem Ranking. Es sortiert Bewerbungen vor, schlägt die besten Kandidaten vor, filtert automatisch aus. Alle sind zufrieden — es spart Zeit, die Ergebnisse sind gut.

Was Dir niemand gesagt hat: Dieses Tool ist Hochrisiko-KI nach Anhang III des EU AI Act. Und wenn etwas schiefgeht, haftest Du persönlich dafür. Nicht die IT-Abteilung. Nicht der HR-Leiter. Du — mit Deinem Privatvermögen.

Quellen: Ifo-Institut 2026 · IT-Boltwise KI-Governance-Report 2026 · EU AI Act Art. 4 und Art. 99.

Ich sage das nach über 600 Keynotes und in der täglichen Beratung mit Mittelständlern direkt: Die KI-Haftung von Geschäftsführern ist das Thema, das 2026 die meisten kalt erwischen wird. Nicht weil es neu ist — sondern weil es in der falschen Abteilung geparkt wurde.

Die Deadline, die die meisten Geschäftsführer falsch verstehen

Am 2. August 2026 wird der EU AI Act für Unternehmen scharfgestellt — aber anders, als die meisten Ratgeber noch schreiben. An diesem Tag greifen die Transparenzpflichten nach Artikel 50 (KI-Chatbots und KI-generierte Inhalte müssen gekennzeichnet werden), und die nationale Durchsetzung startet. In Deutschland übernimmt die Bundesnetzagentur die zentrale KI-Aufsicht.

Was viele überrascht: Die vollen Hochrisiko-Pflichten — Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht für Recruiting- oder Scoring-KI — greifen nicht im August 2026. Über den Digital-Omnibus-Kompromiss der EU wurden sie auf den 2. Dezember 2027 verschoben (für KI in regulierten Produkten nach Anhang I sogar auf August 2028). Das verschafft Luft — aber es ändert nichts an der Haftungslogik.

Denn hier ist die Pointe, die in den meisten Berater-Präsentationen fehlt: Du bist wahrscheinlich schon jetzt non-compliant.

Seit dem 2. Februar 2025 — also seit über 17 Monaten — gilt Artikel 4 des AI Act: die KI-Kompetenzpflicht. Jedes Unternehmen, unabhängig von der Größe, muss sicherstellen, dass alle Mitarbeiter mit Zugang zu KI-Systemen „ausreichende KI-Kompetenz“ besitzen. Kein vorgeschriebenes Curriculum, keine Mindestdauer — aber die organisatorische Verantwortung, es nachweisbar umzusetzen.

Hast Du das dokumentiert? Hast Du überhaupt gewusst, dass diese Pflicht existiert?

54,5 Prozent der deutschen Unternehmen nutzen bereits KI, aber nur 33 Prozent haben formale Richtlinien dafür. Die Lücke zwischen Nutzung und Governance ist nirgends größer als im Mittelstand. Und diese Lücke wird teuer — beim Transparenz-Stichtag im August 2026 genauso wie bei den Hochrisiko-Pflichten 2027.

Warum KI-Haftung ein Geschäftsführer-Thema ist — nicht IT

Hier liegt der Denkfehler, den ich in fast jedem Beratungsgespräch höre: „Das regelt unsere IT.“ Oder: „Dafür haben wir den Datenschutzbeauftragten.“

Nein. Die KI-Haftung von Geschäftsführern ist keine delegierbare Aufgabe. Und das liegt nicht am AI Act — sondern am deutschen Gesellschaftsrecht.

§43 GmbHG verpflichtet Geschäftsführer zur „Sorgfalt eines ordentlichen Geschäftsmannes“. Das umfasst ausdrücklich die ordnungsgemäße Organisation des Betriebs — insbesondere beim risikobehafteten Einsatz von Technologien. Der AI Act schafft jetzt eine regulatorische Pflicht zur KI-Governance. Wer sie nicht umsetzt, verletzt §43. Persönlich. Mit dem Privatvermögen.

§130 OWiG geht noch einen Schritt weiter: Bußgelder gegen den Geschäftsführer persönlich — auch ohne eigenen Vorsatz. Es reicht, dass keine ausreichenden Aufsichtsmaßnahmen bestanden haben. Organisationsverschulden nennt sich das.

Die Haftungskette ist kurz und direkt:

1. AI Act verpflichtet zur KI-Governance
2. Verstoß erzeugt regulatorische Haftung (Bußgeld bis 35 Mio. €)
3. §43 GmbHG macht den Geschäftsführer persönlich haftbar
4. §130 OWiG: Bußgeld gegen den GF, auch ohne eigenen Vorsatz

Und die Business Judgment Rule — der übliche Schutzschild — greift nur, wenn Du nachweisen kannst, dass Du eine informierte Entscheidung getroffen hast. Wer keine KI-Inventur gemacht hat, hat keine Informationsbasis. Und damit keinen Schutz. Diese Logik gilt unabhängig davon, ob eine Pflicht schon 2026 oder erst 2027 greift — die Sorgfaltspflicht kennt keine Schonfrist.

Mehr dazu, warum Führung und KI untrennbar zusammengehören — und warum Delegation in die IT der falsche Reflex ist.

Die dreifache Bußgeld-Falle: AI Act + DSGVO + NIS2

Das Bußgeldsystem des AI Act ist dreistufig:

Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Werte — ein bewusstes Zugeständnis an den Mittelstand. Das allein ist schmerzhaft genug. Aber der eigentliche Hebel liegt in der Kumulation: Ein einziger KI-Vorfall kann drei Regulierungsregime gleichzeitig auslösen — AI Act (bis 7 %), DSGVO (bis 4 %) und NIS2 (bis 2 %). Theoretisch bis 13 Prozent des weltweiten Jahresumsatzes.

Und ab dem 9. Dezember 2026 wird es noch ernster: Die neue EU-Produkthaftungsrichtlinie erfasst erstmals Software und KI-Systeme. Sie bringt eine Beweislastumkehr: Wer AI-Act-Pflichten verletzt hat — etwa fehlende Dokumentation oder keine menschliche Aufsicht —, dem wird vermutet, dass die KI den Schaden verursacht hat. Nicht der Geschädigte muss beweisen, dass die KI schuld war. Du musst beweisen, dass sie es nicht war. Diese Richtlinie ist eigenständig — sie ist von der Verschiebung der Hochrisiko-Pflichten nicht betroffen.

Nutzt Du bereits Hochrisiko-KI? Wahrscheinlich ja.

Anhang III des AI Act definiert acht Kategorien von Hochrisiko-KI. Die drei, die den Mittelstand am häufigsten treffen:

1. Personalauswahl und Recruiting. Sobald eine Software Kandidaten ranked, Matches berechnet oder Bewerbungen automatisiert vorsortiert. Das betrifft Personio mit KI-Add-ons, Workday, SmartRecruiters und viele branchenspezifische ATS-Systeme. Die Pflichten ab Dezember 2027: Konformitätsbewertung, Bias-Testing, Vier-Augen-Pflicht bei Ablehnungen, Logging über mindestens sechs Monate.

2. Kreditscoring und Bonitätsprüfung. Automatisierte Risikobewertungen in Debitorenmanagement, Versicherungen oder Finanzdienstleistungen.

3. Biometrische Identifikation. Gesichtserkennung am Werkstor, Fingerprint-Zeiterfassung mit KI-Auswertung.

Die Überraschung: Diese Funktionen stecken oft eingebettet in Software, die Du längst einsetzt. Dein HR-Tool „kann jetzt auch KI“ — und plötzlich bist Du Betreiber eines Hochrisiko-Systems. Dass die vollen Pflichten erst Ende 2027 greifen, ist kein Grund zu warten: Die Inventur und Klassifizierung dieser Systeme ist Arbeit, die Monate dauert. Wer im Dezember 2027 startet, ist zu spät.

Was nicht hochriskant ist — und das ist die Entwarnung, die in der Panik-Berichterstattung fehlt: ChatGPT für Marketing-Texte, Copilot in Excel, KI-Übersetzungstools, Bildgenerierung für Social Media. Die allermeisten KI-Anwendungen im Mittelstand fallen nicht unter Hochrisiko. Aber: Website-Chatbots und KI-generierte Inhalte fallen ab August 2026 unter die Transparenzpflicht — sie müssen als KI erkennbar sein.

Das real größte Risiko ist ein anderes: Shadow AI — die unkontrollierte KI-Nutzung durch Mitarbeiter. Der ChatGPT-Account Deines Vertriebsleiters, in den Kundendaten, Preislisten und Vertragsentwürfe fließen. Kein Verarbeitungsverzeichnis, kein Audit-Pfad, kein Auftragsverarbeitungsvertrag. Das ist kein hypothetisches Szenario — laut IBM 2025 involvieren 20 Prozent aller Datenpannen bereits Shadow AI.

Was Du in den nächsten 8 Wochen tun musst — ein 5-Schritte-Plan

Die Stichtage stehen. Du kannst sie nicht zurückdrehen. Aber Du kannst in acht Wochen eine solide Grundlage schaffen — für die Transparenzpflicht im August 2026 und die Hochrisiko-Pflichten 2027.

Was das kostet? Realistisch zwischen 10.000 und 100.000 Euro, je nach Unternehmensgröße und Komplexität. Das klingt nach viel — bis Du es mit den Alternativen vergleichst: 600.000 Euro Bußgeld bei einem 20-Mio.-Unternehmen. Persönliche Haftung mit dem Privatvermögen. Reputationsschaden, der kein Preisschild hat.

Eine konkrete, abhakbare Version dieser Schritte — inklusive der aktuellen Fristen nach dem Digital-Omnibus-Kompromiss — findest Du in meiner Checkliste zum EU AI Act für den Mittelstand.

Wer die typischen Fehler bei der KI-Einführung vermeiden will, fängt mit der Governance an — nicht mit dem Tool.

Compliance ist kein Kostenfaktor — sondern Dein Wettbewerbsvorteil

Ich will diesen Artikel nicht mit Angst enden lassen. Denn die Wahrheit ist: Wer KI-Governance jetzt sauber aufbaut, gewinnt etwas, das sich mit keinem Bußgeld aufwiegen lässt — Vertrauen.

Im B2B-Geschäft wird KI-Compliance zum Differenzierungsmerkmal. Kunden fragen: „Wie geht ihr mit unseren Daten um, wenn ihr KI einsetzt?“ Wer eine dokumentierte Antwort hat, gewinnt den Auftrag. Wer keine hat, verliert ihn — an jemanden, der eine hat.

Der AI Act ist kein Bremsklotz. Er ist der Rahmen, der seriöse KI-Nutzung von Wildwest unterscheidet. Und im Mittelstand — wo persönliche Beziehungen und Verlässlichkeit über Jahrzehnte aufgebaut werden — ist Verlässlichkeit bei neuen Technologien kein Nice-to-have. Sie ist Geschäftsgrundlage.

Die Stichtage stehen: 2. August 2026 für Transparenzpflichten und den Start der Durchsetzung, 9. Dezember 2026 für die Beweislastumkehr der Produkthaftung, 2. Dezember 2027 für die vollen Hochrisiko-Pflichten. Die Verschiebung ist eine Atempause, kein Freibrief — die Verschiebungen aus dem Digital-Omnibus-Paket werden zudem bis zur formalen Veröffentlichung im EU-Amtsblatt noch finalisiert. Wer jetzt anfängt, ist im Vorteil. Wer wartet, haftet.

Dieser Beitrag ist eine praxisorientierte Einordnung, keine Rechtsberatung. Für die verbindliche Bewertung Deiner konkreten Systeme und Haftungsrisiken ziehe eine spezialisierte Kanzlei hinzu.

Quellen: EU AI Act Art. 4, 5, 50, 99 · Digital-Omnibus-Paket (Verschiebung Hochrisiko-Pflichten) · §43 GmbHG · §130 OWiG · Ifo-Institut KI-Monitor 2026 · IT-Boltwise KI-Governance-Report 2026 · IBM Cost of a Data Breach 2025 · Bundesnetzagentur KI-Aufsicht · EU-Produkthaftungsrichtlinie 2024/2853.