Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwalt & Spezialist für IT-Recht und Kryptorecht
T (+49) 040 / 7344 086-0
| IT-Recht
Blog News
Mit Face-ID nur schnell das Handy entsperren, Siri/Alexa/Google fragen, wie das Wetter wird oder doch ChatGPT direkt um Tipps für das gesamte Leben bitten – künstliche Intelligenzen (KI) und selbstlernende Systeme haben schon längst den Weg in unseren Alltag gefunden. Mit neuen technischen Möglichkeiten gehen allerdings auch neue (haftungsrechtliche) Herausforderungen einher, so insbesondere die Frage nach einer eigenständigen Gefährdungshaftung des Herstellers als Produkthaftung für selbstlernende digitale Systeme.
Relevant für die haftungsrechtlichen Fragestellungen ist vor allem das sogenannte Black-Box-Problem, welches die technisch bedingte Verdunkelung von Schadensursachen und Verantwortungsbeiträgen beschreibt. Die Sicherheitseinheit von Systemen künstlicher Intelligenz besteht aus einem Netzwerk virtueller Nervenzellen (Neuronen), bei denen das angereicherte Wissen, wie bei menschlichen Gehirnen auch, in den Verbindungen dazwischen, den Synapsen, gespeichert wird. Die Hersteller justieren die Synapsen in einem aufwendigen Lernvorgang durch Verstärkung und Abschwächung so lange, bis die Systeme für ihre jeweilige Nutzung einsatzbereit sind. Trotz der stetigen Verbesserung ist im Falle eines Fehlers dessen Ursprung im Synapsen-Dickicht nicht erkennbar, was zum Problem werden kann, da der Lernprozess auch nach der Übergabe der künstlichen Intelligenz an den Benutzer weiter geht, um beispielsweise die Anwendbarkeit der Gesichtserkennung auch bei leicht verändertem Erscheinungsbild gewährleisten zu können. Durch den fortgeführten Lernprozess erschwert sich aber auch die Suche nach einem Verantwortlichen, falls es zu einem Fehler kommt: Ist der Algorithmus des Herstellers fehlerhaft? Hat der Benutzer selbst den Fehler verursacht, indem er selbstverantwortlich den Lernprozess in eine falsche Richtung gelenkt hat? Nicht zu vergessen ist auch die Möglichkeit eines feindseligen Einwirkens Dritter, die das System gehackt haben können. Grundlegend lässt sich somit festhalten, dass der Verursacher von Fehlentscheidungen bei künstlichen Intelligenzen schwer zu ermitteln ist.
Hand-in-Hand mit der Verursacher-Problematik geht die Frage, wer im Falle eines Fehlers haftungsrechtlich verantwortlich gemacht werden kann. In Betracht kommt einerseits eine verschuldensunabhängige Haftung des Herstellers, der schließlich den eigenen wirtschaftlichen Erfolg von einer Technologie, die die Zuschreibung der Verantwortung erschwert, abhängig macht. Es würde durch die verschuldensunabhängige Haftung zu einer Kompensation dieser Erschwerung kommen, indem die Zuschreibung erst gar nicht mehr erforderlich wäre.
Eine andere Idee kam seitens des Europäischen Parlaments in deren Vorschlag für eine Betreiberordnung künstlicher Intelligenzen vom 20.10.2020: Hersteller selbstlernender Systeme mit geringem Risikopotenzial seien von der verschuldensunabhängigen Haftung ausgenommen und würden demnach nur für eigenes Verschulden haften. Im systematischen Vergleich werden allerdings schnell die Schwächen dieses Vorschlags erkennbar – während der Hersteller körperlicher Sachen auch ohne eigenes Verschulden für Produktfehler haften müsste, wären die selbstlernender KI-Systeme demgegenüber privilegiert. In jedem Fall müsse jedoch zumindest konkurrierend auch eine Verschuldenshaftung der Beteiligten Anwendung finden, um trotz der erschwerten Zuschreibung individuelle Sorgfaltslosigkeiten nicht folgenlos bleiben zu lassen.
Die eigentliche Herausforderung der Haftungsproblematik lässt sich allerdings in deren sachlichen Begrenzung der Haftung finden, weil eine klare Grenzziehung automatisch auch mögliche Haftpflichtversicherungen und den grundlegenden ökonomischen Anreiz für die Entwicklung künstlicher Intelligenzen beeinflussen würde. Um überhaupt Haftungsgrenzen aufstellen zu können, müsste zudem Klarheit über den Haftungsgrund bestehen – über diesen werden allerdings verschiedene Ansichten vertreten.
In dem zuvor angesprochenen Vorschlag für eine Betreiberordnung sieht das Europäische Parlament den Grund für eine Betreiberhaftung in der Kontrolle über selbstlernende Systeme mit Risikopotenzial, während Herbert Zech in seinem Gutachten zum 73. Deutschen Juristentag zur Einführung einer eigenständigen Gefährdungshaftung die besonderen Gefahren der Lernfähigkeit und der Vernetzung künstlicher Intelligenzen zum Haftungsgrund erklärt.
Einer dritte Ansicht folgen Art. 6 der Produkthaftungsrichtlinien 85/374/EWG und § 3 des Produkthaftungsgesetzes (ProdHaftG), die auf das Produktsicherungskonzept nach Cardozo zurückgehen. Die Haftung würde nach diesem Konzept dadurch begründet, dass das Produkt berechtigte Sicherheitserwartungen der Verkehrsteilnehmer verletze, während die technischen Ursachen der Verletzung nicht zum haftungsbegründenden Tatbestand zählten. Daher haftet der Hersteller nach Art. 7 Buchstabe b dieser Richtlinie und § 1 Abs. 2 Nr. 2 ProdHaftG nur für die enttäuschten Sicherheitserwartungen ab dem In-Verkehr-Bringen des Systems unabhängig von der Verursachung oder der Möglichkeit, die Sicherheitsdefizite abzuwenden. Die Haftung ab diesem Zeitpunkt soll für ausgleichende Gerechtigkeit sorgen – sobald der Entwickler Vorteile aus dem System ziehen kann, soll er auch für dessen Risiken haften müssen. Die Produkthaftung beruht auf einem Stichtagsprinzip, indem sie zeitlich auf den Zustand des In-Verkehr-Bringens beschränkt ist.
Diese Beschränkung ist in Bezug auf mechanische Werkzeuge leicht nachzuvollziehen, die selbstlernenden Systeme werden jedoch durch die fortlaufende Wissensaneignung kontinuierlich weiterentwickelt, sodass der Hersteller durch Wartung und technische Assistenz weiterhin in den Wertschöpfungsprozess eingebunden ist. Die Haftung des Herstellers verläuft dadurch parallel zu der wirtschaftlichen Lebensdauer des Systems und lässt sich nicht auf einen Stichtag reduzieren. Stattdessen dient die Richtlinie über Digitalprodukte als mögliches Leitbild, indem sie bestimmt, dass die Sicherheitsverantwortung des Verkäufers eines digitalen Produkts sich über den Zeitraum erstreckt, den der Verbraucher vernünftigerweise erwarten darf und diesen im Sinne der Rechtssicherheit auf zwei Jahre nach der Bereitstellung des Produkts (mit Ausnahme von Dauerschuldverhältnissen) begrenzt.
Auch wenn die Produkthaftungsrichtlinien und das ProdHaftG aktuell an dem Stichtagsprinzip festhalten und somit eine Beobachtungspflicht nach dem In-Verkehr-Bringen des Produkts ausschließen, wird die Aufgabe der objektiven Produkthaftung zukünftig nicht mehr in erster Linie darin bestehen, eigene Beobachtungspflichten zu begründen, sondern ähnlich wie § 823 Abs. 2 BGB Marktüberwachungs- und Aktualisierungspflichten, die aufgrund anderer Schutzzwecke bestehen, im Schadensfall mit zusätzlichen Sanktionsmöglichkeiten zu versehen. Dadurch erscheint eine eigenständige Gefährdungshaftung für selbstlernende Systeme unabdingbar.
Bereits jetzt entsteht allerdings ein rechtswissenschaftlicher Meinungsstreit über die Bedeutung der haftungsbegründenden Tatbestandsvoraussetzung – Was ist überhaupt ein selbstlernendes System mit hohem Risiko? Das Europäische Parlament sieht in dieser Bezeichnung ein System, welches mit erhöhtem Potenzial für Personen- oder Sachschäden einhergeht, während die Europäische Kommission in ihrem Vorschlag für eine KI-Verordnung vom 21.04.2021 jedes System biometrischer Erfassung als „Hochrisiko-KI-System“ einstufte.
Ein weiteres Problem wird deutlich, wenn man die Verwirklichung einer konkreten Gefahr als Grund für die Gefährdungshaftung annimmt. In diesem Fall droht eine Spaltung des Haftungssystems, sobald auch andere Gefährdungen als Schadensursache in Betracht kommen. Ähnliche Abgrenzungsprobleme gibt es auch bei dem Vorschlag Zechs, die Haftung von den besonderen Gefahren selbstlernender Systeme abhängig zu machen. Dieses Haftungssystem wäre nicht mehr anwendbar, wenn die Elektronik beispielsweise wegen falsch gelöteter Schaltkreise versagt. Um hinreichend auf das Black-Box-Problem, die Verdunkelung der Schadensursachen, zu antworten, darf der Geschädigte allerdings nicht mit der Darlegung des Beweises der Schadensursache überfordert werden.
Bis zum Herbst wird eine neue Regelung des Produkthaftungsrechts durch die Europäische Kommission erwartet, bei der eine vorstellbare Struktur könnte aus drei Stufen für zeitlich differenzierte Haftungsregelungen bestehen könnte. Auf der ersten Stufe wäre die haftungsrechtliche Verantwortung des Herstellers für den Sicherheitszustand am Stichtag der Bereitstellung. Anschließend regelt die zweite Stufe die darauffolgende objektive Pflicht zur Produktbeobachtung und Neujustierung, die jedes Update als neues Inverkehrbringen betrachtet. Die Haftung würde sich dementsprechend dann auf den dadurch begründeten neuen Sicherheitszustand beziehen. Mit der dritten Stufe endet die Haftung nach diesem Modell, wenn das Sicherheitsrisiko nach Ablauf der 2-Jahres-Frist erstmals auftritt. In diesem Fall muss der Hersteller nicht mehr eingreifen und sieht sich keiner Haftungspflicht ausgesetzt.
Der Betreiber eines KI-Systems haftet dabei vor allem für Verschulden (§ 823 Abs. 1 des Bürgerlichen Gesetzbuchs), beispielsweise durch falsches Anlernen oder ein weiteres Betreiben des Systems trotz fehlerhafter Wartung. Umstritten ist, ob er zusätzlich einer eigenständigen Gefährdungshaftung ausgesetzt ist – insbesondere mit Blick auf den Umstand, dass Institute wie die Halterhaftung nach § 7 Abs. 1 des Straßenverkehrsgesetzes (StVG) auch auf selbstlernende Systeme anwendbar sein könnten.
Im Falle einer eigenständigen Gefährdungshaftung würde es zu einer Beweislastverteilung nach Gefahrenkreisen kommen, die auf einer Beweislastumkehr zu Lasten des Herstellers beruht. Für die Versicherbarkeit der Haftpflicht aber auch für die ökonomischen Rahmenbedingungen komme es dann darauf an, ob und unter welchen Voraussetzungen der Hersteller den Entlastungsbeweis führen kann. In § 1 Abs. 2 Nr. 2 ProdHaftG kommt es bereits zu einer Reduktion des Beweismaßes, indem der Hersteller nicht mehr verantwortlich ist, wenn „nach den Umständen davon auszugehen ist“, dass das Produkt den schadensstiftenden Fehler noch nicht am Stichtag des In-Verkehr-Bringens hatte. Die herrschende Meinung fordert daher, dass der Hersteller den Geschehensablauf belegt, der nach der Lebenserfahrung die Schlussfolgerung auf einen späteren Zeitpunkt des Fehlereintritts plausibel erscheinen lässt, also im besonderen Fall selbstlernender Systeme den Eintritt des Sicherheitsfehlers erst nach dem Stichtag. Praktisch besteht dafür die Möglichkeit der Protokollführung über die Lernvorgänge des Systems, wodurch nachvollziehbar wäre, wenn ein Fehlgebrauch des Nutzers ursächlich für den Fehler war, um opportunistischem Benutzerverhalten entgegenwirken zu können. Die Protokolldatei wäre als Beweismittel allerdings nur dann tauglich, wenn sie einer einseitigen Manipulation durch den Hersteller entzogen wäre, um für die erforderliche Authentizität sorgen. Wenn der Hersteller dieses Protokoll innerhalb des Haftungszeitraums aufbewahrt, wäre das Problem der Beweisführung hinreichend gelöst.
Die benannten Probleme zeigen eindeutig, dass bisher noch nicht das optimale Haftungssystem genutzt wird. Eine mögliche Lösung wäre ein duales haftungsrechtliches System aus objektiver und Verschuldenshaftung. Auch das Stichtagsprinzip kann demnach nicht weiterhin bestehen, sondern sollte idealerweise auf einen Zeitraum von zwei Jahren erweitert werden, in dem es zu Entlastungsbeweisen durch geeignete Protokolldateien kommen kann.
Der rechtliche Umgang mit selbstlernenden Systemen und künstlicher Intelligenz stellt nicht nur den Gesetzgeber vor Herausforderungen, sondern kann auch im Alltag zu Schwierigkeiten führen.
Sie haben Fragen zu der rechtlichen Ausgestaltung künstlicher Intelligenz oder zur Produkthaftung?
Zögern Sie nicht, sich an uns zu wenden. Das Team von SBS LEGAL steht Ihnen mit seiner fachlichen Expertise und dem neuesten Stand der rechtlichen Entwicklungen jederzeit zur Seite.