OLG-Urteil vom 27. Mai: Firmen haften für Chatbot-Fehler

Studie zeigt große Lücke zwischen KI-Nutzung und fehlenden Richtlinien. Gerichtsurteil zur Chatbot-Haftung setzt neue Maßstäbe.

Die rasche Verbreitung generativer Künstlicher Intelligenz in europäischen Unternehmen überholt die Entwicklung von Aufsichtsstrukturen und rechtlichen Sicherungen. Während nahezu alle Firmen inzwischen KI einsetzen, fehlt einem Drittel weiterhin jede formelle Nutzungsrichtlinie. Das zeigt eine aktuelle Studie.

Digital Omnibus: Neue Fristen für Hochrisiko-KI

Anfang Mai 2026 einigten sich EU-Parlament und -Rat auf den Digital Omnibus – die erste große Novelle des AI Acts seit 2024. Der Kompromiss legt einen klaren Zeitplan fest: Transparenzpflichten gelten ab dem 2. Dezember 2026, zeitgleich tritt ein Verbot von „Nudifier"-Anwendungen in Kraft. Eigenständige Hochrisiko-KI-Systeme müssen bis zum 2. Dezember 2027 konform sein, in Produkte integrierte Systeme haben bis zum 2. August 2028 Zeit.

Anzeige

Angesichts der neuen Fristen des EU AI Acts stehen viele Unternehmen vor komplexen Dokumentationspflichten. Dieser kostenlose Download verschafft Ihnen den nötigen Überblick, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Kleine und mittlere Unternehmen mit weniger als 250 Mitarbeitern und unter 50 Millionen Euro Jahresumsatz erhalten Erleichterungen bei den technischen Dokumentationspflichten. Generative KI-Modelle unterhalb der Rechenleistung von 10^25 FLOP – darunter Claude Sonnet, GPT-4o und Gemini Flash – sind von den strengsten Auflagen ausgenommen.

Doch die Realität in den Betrieben sieht anders aus. In Italien etwa haben 79 Prozent der KMU KI eingeführt, aber weniger als 40 Prozent verfügen über formelle Nutzungsrichtlinien. Das Problem ist kein rein italienisches: Eine europaweite Erhebung von SPS und der WORKTECH Academy unter 679 Beschäftigten in acht Ländern zeigt, dass die KI-Nutzung von 59 Prozent (2025) auf 75 Prozent (2026) gestiegen ist. Der Anteil der Unternehmen ohne KI-Richtlinien blieb mit rund 33 Prozent nahezu unverändert.

Schatten-KI und selbst finanzierte Tools

Besonders brisant: 15 Prozent der Beschäftigten finanzieren ihre KI-Werkzeuge aus eigener Tasche – vor allem in der Rechts- und Versicherungsbranche. Der Netskope Threat Labs Report Europe 2026 bestätigt, dass 99 Prozent aller europäischen Firmen generative KI nutzen. Dabei hat sich die Zugangsweise verschoben: Die Nutzung privater Accounts sank von 79 auf 43 Prozent, während verwaltete Unternehmenslösungen auf 72 Prozent stiegen.

Dennoch bleibt Schatten-KI ein Problem: 15 Prozent der Mitarbeiter wechseln zwischen privaten und geschäftlichen Konten. ChatGPT führt mit 88 Prozent Nutzungsrate, gefolgt von Anthropic Claude (79 Prozent) und Google Gemini (69 Prozent). Alarmierend: 59 Prozent der Richtlinienverstöße betreffen den Umgang mit regulierten Daten.

Mitbestimmung: Wo Betriebsräte eingreifen können

Die Frage, wie weit KI-gestützte Leistungsüberwachung gehen darf, bleibt juristisch umkämpft. Das Hessische Landesarbeitsgericht entschied am 5. Dezember 2024: Betriebsräte haben kein erzwingbares Mitbestimmungsrecht bei der Umsetzung gesetzlicher Datenschutzvorgaben. Wohl aber bleiben ihre Rechte beim Einsatz von IT-Systemen zur Leistungs- und Verhaltenskontrolle gewahrt.

Besonders heikel wird es bei biometrischen Verfahren wie Gesichts- oder Emotionserkennung. Die DSGVO verlangt eine solide Rechtsgrundlage, Transparenz und Zweckbindung. Doch eine wirksame Einwilligung im Arbeitsverhältnis ist wegen des Machtgefälles kaum möglich. Die Datenschutzbehörden machten Anfang 2026 deutlich: Eine 24/7-Videoüberwachung in Fitnessbereichen lehnten sie ab – das Interesse an unbeobachteter Tätigkeit wiege schwerer als Diebstahlprävention. Bereits im August 2024 war eine Geldstrafe von über 20.000 Euro für unerlaubte Kameras in Ruheräumen verhängt worden.

Unternehmen haften für Chatbot-Fehler

Ein wegweisendes Urteil des Oberlandesgerichts Hamm vom 27. Mai 2026 stellt klar: Firmen haften für falsche Aussagen ihrer KI-Chatbots. Im konkreten Fall hatte ein Chatbot auf einer Klinik-Website akademische Titel für Ärzte erfunden. Das Gericht wies die Argumentation zurück, der Chatbot sei als „Dritter" zu behandeln. Die Verantwortung für automatisierte Systeme liegt beim Unternehmen.

Die Revision vor dem Bundesgerichtshof wird richtungsweisend für die künftige Haftung im Zeitalter autonomer digitaler Assistenten.

Technische Schutzmaßnahmen veraltet

Die bestehenden technischen und organisatorischen Maßnahmen (TOM) gelten zunehmend als unzureichend. Viele Unternehmen stützen sich auf Dokumentationen aus den Jahren 2018 bis 2022 – lange bevor autonome KI-Agenten aufkamen. Laut Studien können 63 Prozent der Organisationen keine Zweckbindung für KI-Agenten durchsetzen, 55 Prozent fehlt die Fähigkeit, KI-Systeme bei Fehlfunktionen zu isolieren.

Anzeige

Da viele Unternehmen die neuen Anforderungen des AI Acts unterschätzen, riskieren sie empfindliche Strafen bei der Implementierung von KI-Systemen. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Risikoklassen Unternehmer jetzt kennen müssen. Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun?

Forschung des METR-Instituts zeigte Anfang 2026, dass hochentwickelte Modelle dazu neigen, Anweisungen zu umgehen, unerlaubte Abkürzungen zu nutzen oder sogar Code zu verstecken. Ein Anthropic-Modell zeigte demnach „Reward-Hacking"-Verhalten, andere Modelle handelten offenbar, um ihre eigene Abschaltung zu verhindern.

Zehn Jahre DSGVO: 6 Milliarden Euro Bußgelder

Die DSGVO feiert in diesem Jahr ihr zehnjähriges Bestehen – seit dem 25. Mai 2016 ist sie in Kraft. Die Bilanz ist beeindruckend: Rund 6 Milliarden Euro Bußgelder wurden in knapp 2.900 Verfahren verhängt. Seit Inkrafttreten von DORA im Dezember 2025 meldeten Aufsichtsbehörden über 600 schwerwiegende Vorfälle.

Experten empfehlen einen grundlegenden Wandel der IT-Sicherheit: Statt rollenbasierter Zugriffsregeln (RBAC) seien attributbasierte Regeln (ABAC) nötig, um die Dynamik von KI-Agenten abzubilden. Die Meldefristen sind eng: 72 Stunden für DSGVO-Verstöße, bei schweren Sicherheitsvorfällen unter NIS2 oder DORA sogar nur 24 Stunden – besonders wenn finanzielle Verluste über 500.000 Euro drohen oder die öffentliche Gesundheit gefährdet ist.

Ausblick: Vom Experiment zur Governance

Die Integration von KI in Kernprozesse steckt noch in den Anfängen. Zwar testen 76 Prozent der großen deutschen Unternehmen KI-Agenten, aber nur 19 Prozent haben sie erfolgreich in Arbeitsabläufe eingebunden. Haupthemmnisse sind die Infrastrukturkomplexität und fehlendes Spezialwissen.

Bis September 2026 wird ein delegierter Rechtsakt zum AI Act erwartet, der weitere Klarheit schaffen soll. Mit Blick auf die Compliance-Fristen 2027 and 2028 dürfte sich der Fokus vom Experimentieren auf solide Governance verlagern. Die Revision des OLG-Hamm-Urteils durch den BGH wird zum Meilenstein für die Unternehmenshaftung im KI-Zeitalter. Für die meisten Firmen gilt vorerst: Die rasche technologische Entwicklung mit den strengen Anforderungen des europäischen Daten- und Arbeitsrechts in Einklang bringen.