Produkthaftung: EU definiert Software und KI ab Dezember als Produkte
Veröffentlicht am: 29.08.2026 um 01:35 Uhr | Redaktion boerse-global.de
Die Europäische Union verschärft die Haftungsregeln für die Digitalwirtschaft grundlegend. Mit der Richtlinie 2024/2853 zur Produkthaftung definiert die EU-Kommission Software, Firmware und Systeme auf Basis Künstlicher Intelligenz (KI) nun rechtlich als Produkte. Diese Neuregelung zielt darauf ab, Verbraucher im digitalen Zeitalter besser zu schützen und die Verantwortlichkeiten bei technologischen Fehlfunktionen klarer zu regeln.
Erweiterte Haftung und erleichterte Beweislast
Die neuen Vorschriften sehen vor, dass die Mitgliedstaaten die Richtlinie bis zum 9. Dezember 2026 in nationales Recht umsetzen müssen. Ab diesem Datum findet die Regelung Anwendung auf alle entsprechenden Produkte. Als Defekte im Sinne der Richtlinie gelten künftig nicht nur physische Mängel, sondern auch sicherheitsrelevante Aspekte wie fehlerhafte oder fehlende Software-Updates, riskante KI-Änderungen sowie unzureichende Anleitungen.
Ein zentraler Aspekt der Reform ist die Erleichterung der Beweislast für Geschädigte. Gerichte erhalten die Befugnis, die Offenlegung relevanter Beweismittel anzuordnen. Bei besonders komplexen Sachverhalten können zudem Vermutungen zugunsten der Kläger aufgestellt werden.
Die Haftung erstreckt sich auf einen breiten Akteurskreis, der Hersteller, Importeure und Händler ebenso umfasst wie Unternehmen, die wesentliche Modifikationen an bestehenden Produkten vornehmen.
Abgedeckte Schadensszenarien beinhalten neben Personenschäden und Tod ausdrücklich auch den Verlust von Daten. Die reguläre Haftungsfrist beträgt zehn Jahre, kann jedoch bei Schäden mit langsamer Schadenswirkung auf bis zu 25 Jahre ausgeweitet werden.
Zeitplan für die KI-Verordnung und Hochrisiko-Systeme
Die neuen EU-Regularien zur Künstlichen Intelligenz stellen Unternehmen vor komplexe Herausforderungen bei der Einstufung ihrer Systeme. Dieser kostenlose Report klärt auf, welche KI-Anwendungen als Hochrisiko gelten und welche rechtlichen Pflichten nun konkret auf Sie zukommen. Umsetzungsleitfaden zum EU AI Act jetzt kostenlos herunterladen
Parallel zur Produkthaftung konkretisiert die EU den Zeitplan für die KI-Verordnung (EU) 2024/1689. Durch den formal angenommenen „Digital Omnibus on AI“ wurden die Fristen für bestimmte Pflichten angepasst.
Die Anforderungen für Hochrisiko-KI-Systeme wurden vom ursprünglichen Termin im August 2026 auf den 2. Dezember 2027 verschoben. Für KI-Komponenten, die in bereits regulierten Produkten verbaut sind, gilt eine Übergangsfrist bis zum 2. August 2028.
Während bestimmte Verbote bereits seit Februar 2025 in Kraft sind und Pflichten für allgemeine KI-Modelle (GPAI) seit August 2025 greifen, müssen Transparenzpflichten ab August 2026 verbindlich umgesetzt werden. In Deutschland übernimmt die Bundesnetzagentur die Funktion der zuständigen Marktüberwachungsbehörde.
Neue Meldepflichten durch den Cyber Resilience Act
Zusätzliche Compliance-Anforderungen ergeben sich aus dem Cyber Resilience Act (EU) 2024/2847. Hersteller sind ab dem 11. September 2026 verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle innerhalb kurzer Fristen zu melden. Eine erste Frühwarnung muss binnen 24 Stunden an die europäische Cybersicherheitsbehörde ENISA und das CERT-Bund erfolgen, gefolgt von einer ausführlichen Meldung nach 72 Stunden.
Teil der technischen Dokumentation wird künftig eine Software-Stückliste (SBOM) sein, die zwar nicht veröffentlicht werden muss, aber für die Dokumentationspflichten essenziell ist.
Wer die neuen gesetzlichen Anforderungen der EU-KI-Verordnung und des Cyber Resilience Act sicher erfüllen möchte, benötigt einen präzisen Überblick über Fristen und Risikoklassen. Dieser kostenlose Download verschafft Ihrer Rechts- und IT-Abteilung die notwendige Orientierung für eine rechtssichere Umsetzung. Kostenloses E-Book zum EU AI Act sichern
Die vollständige Anwendung des Cyber Resilience Act ist für den 11. Dezember 2027 vorgesehen. Zudem greift ab dem 20. Januar 2027 die neue EU-Maschinenverordnung (2023/1230), die unter anderem vorschreibt, dass digitale Betriebsanleitungen über einen Zeitraum von zehn Jahren verfügbar sein müssen.
Datenzugang und nationale Aufsichtsstrukturen
Auch im Bereich der Datennutzung treten neue Fristen ein. Nach dem EU Data Act (EU) 2023/2854, der bereits seit September 2025 weitgehend anwendbar ist, müssen neue Produkte ab dem 12. September 2026 so konzipiert sein, dass ein standardmäßiger Datenzugriff möglich ist (Access by Design). Die Bundesnetzagentur ist hier befugt, bei Verstößen Bußgelder von bis zu 500.000 Euro zu verhängen.
Auf nationaler Ebene besteht unterdessen Uneinigkeit über die Reform des Bundesdatenschutzgesetzes (BDSG). Während der Bundesrat eine Bündelung der Aufsicht und verbindliche Mehrheitsbeschlüsse der Datenschutzkonferenz anstrebt, sieht die Bundesregierung rechtliche Risiken im aktuellen Entwurf und plant eine eigene Reform. Dies geschieht vor dem Hintergrund einer bereits verschärften Haftungssituation: Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz für rund 29.500 Unternehmen in Deutschland, wobei Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes drohen können.
Zudem hatte der BGH bereits im Oktober 2025 die Aufsichtsratspflichten verschärft, wonach regelmäßige Berichte auch bei inaktiven Gesellschaften zwingend erforderlich sind.
