CyberCoverInsightDen Cyberversicherungsmarkt verstehen.

REGULIERUNG

Zivilhaftung für künstliche Intelligenz: Wer zahlt den Schaden und welche Police greift

01. Nov. 2026 · Aktualisiert 01. Nov. 2026 · 9 Min. Lesezeit

Von der Redaktion von CyberCoverInsight · mit KI-Unterstützung

Product liabilitySilent cyber

Ohne eigene EU-Richtlinie wird ein von einem KI-System verursachter Schaden über das nationale Zivilrecht, die neue Produkthaftungsrichtlinie, die KI-Verordnung und in Italien das Gesetz 132/2025 und das Gesetzesdekret 160/2026 abgewickelt. Eine Einordnung aus Sicht derjenigen, die Cyberrisiken übernehmen: wo die Haftung liegt, welche Policen exponiert sind, wo der Markt ausschließt und welche Fragen in die Erneuerung gehören.

Analyse · 1. November 2026 · aktualisiert am 2. November 2026 mit dem Gesetzesdekret 160/2026 · von cybercoverinsurance

Ein KI-System berechnet ein Angebot falsch, sortiert einen Bewerber aus, schlägt eine falsche Therapie vor oder erfindet einen Präzedenzfall in einem Rechtsgutachten. Der Schaden ist real, aber wer haftet? Für den Risikoträger steckt darin eine praktischere Frage: Welche Police zahlt, und hat jemand das Risiko bepreist?

Die kurze Antwort: In Europa gibt es keine einheitliche Regel zur KI-Haftung. Der Schaden verteilt sich auf vier verschiedene Quellen, und jede schiebt das Risiko in eine andere Police. Das größte Risiko für ein Portfolio ist keine neue Haftung, sondern die Exposition, die in bestehenden Deckungen unausgesprochen geblieben ist.

Im Text bezeichnet „Artikel“ eine verbindliche Regel; „Erwägungsgrund“ bezeichnet die einleitenden Absätze, die erklären, wie sie zu lesen ist.

Auf einen Blick

  • Die EU-Richtlinie zur KI-Haftung wurde zurückgezogen: Die Kommission hat dies am 16. Juli 2025 beschlossen, die Mitteilung erschien am 6. Oktober 2025 im Amtsblatt der EU.
  • Seit dem 9. Dezember 2026 ist Software, einschließlich KI-Systemen, ein Produkt im Sinne der Richtlinie (EU) 2024/2853: verschuldensunabhängige Haftung des Herstellers gegenüber natürlichen Personen.
  • Die KI-Verordnung regelt keinen Schadensersatz, legt aber die Pflichten fest, deren Verletzung zum Nachweis des Verschuldens wird. Die Regeln für Hochrisiko-Systeme nach Anhang III verschieben sich auf den 2. Dezember 2027.
  • In Italien verpflichtet das Gesetz 132/2025 Freiberufler, ihre Mandanten über den Einsatz von KI zu informieren, und bestätigt, dass die Haftung bei ihnen bleibt.
  • Seit dem 30. September 2026 vermutet das italienische Gesetzesdekret 160/2026 den Kausalzusammenhang, wenn Pflichten aus der KI-Verordnung verletzt werden, und erlaubt Geschädigten die Direktklage gegen den Haftpflichtversicherer.
  • In den USA schließt der Markt das Risiko aus: Seit dem 1. Januar 2026 gibt es Standardausschlüsse für generative KI in der allgemeinen Haftpflicht.

Der Rahmen: vier Quellen, keine einheitliche Regel

1. Die Richtlinie, die nicht kam

2022 schlug die Europäische Kommission eine Richtlinie zur KI-Haftung vor (COM(2022)496), mit Vermutungen zugunsten der Geschädigten und Pflichten zur Offenlegung von Beweismitteln. Die Kommission beschloss am 16. Juli 2025 die Rücknahme; die Mitteilung wurde am 6. Oktober 2025 veröffentlicht (EAPIL). KI-Schäden bleiben damit dem nationalen Recht der einzelnen Mitgliedstaaten überlassen.

2. Nationales Zivilrecht: das Beispiel Italien

Ohne spezielle Normen gelten die allgemeinen Regeln. Besteht in Italien ein Vertrag zwischen Geschädigtem und KI-Anwender, ist die Haftung vertraglich, und der Schuldner haftet für die Nichterfüllung, sofern er nicht beweist, dass sie ihm nicht zuzurechnen ist (Artikel 1218 des Zivilgesetzbuchs). Gegenüber Dritten gilt Artikel 2043, der Vorsatz oder Fahrlässigkeit verlangt. In der Rechtslehre wird die Anwendung von Artikel 2050 über gefährliche Tätigkeiten diskutiert, der dem Anwender die Beweislast dafür auferlegen würde, alle geeigneten Maßnahmen zur Schadensvermeidung getroffen zu haben (Studio Cataldi). Eine gefestigte Rechtsprechung gibt es noch nicht.

Seit dem 30. September 2026 gilt zusätzlich das Gesetzesdekret Nr. 160 vom 9. September 2026, das das Gesetz 132/2025 umsetzt (PG Legal). Es schafft keine neue verschuldensunabhängige Haftung, verschiebt aber die Beweislast. Werden Pflichten aus der KI-Verordnung verletzt, wird der Kausalzusammenhang zwischen Verstoß und Schaden vermutet, sofern nicht das Gegenteil bewiesen wird (Artikel 18). Die Konformität mit der KI-Verordnung schließt die Haftung auch bei Zertifizierung nicht für sich allein aus (Artikel 19). Das Gericht kann zudem Anbieter oder Anwender verpflichten, Protokolle und technische Dokumentation des Systems vorzulegen (Lavorosì).

3. Die Produkthaftungsrichtlinie

Seit dem 9. Dezember 2026 gilt die Richtlinie (EU) 2024/2853 für Produkte, die ab diesem Datum in Verkehr gebracht werden, und nimmt Software in die Produktdefinition auf (Artikel 4). Ein KI-System fällt unter diese Definition. Drei Punkte wiegen besonders schwer (EUR-Lex):

  • bei der Beurteilung, ob ein Produkt fehlerhaft ist, zählt auch seine Fähigkeit, nach dem Inverkehrbringen weiter zu lernen (Artikel 7);
  • das Gericht kann den Fehler oder den Kausalzusammenhang vermuten, wenn die technische Komplexität den Beweis für den Geschädigten übermäßig erschwert (Artikel 10);
  • nur natürliche Personen können Ansprüche geltend machen; ein geschädigtes Unternehmen bleibt auf vertraglichem Terrain.

Das Thema wird ausführlich in der Analyse zu Software als Produkt behandelt.

4. KI-Verordnung und italienisches Recht

Die Verordnung (EU) 2024/1689, die KI-Verordnung, regelt keinen Schadensersatz. Sie legt aber Pflichten für diejenigen fest, die KI-Systeme entwickeln (Anbieter), und für diejenigen, die sie in ihrer Tätigkeit einsetzen (Betreiber). Bei Hochrisiko-Systemen muss der Betreiber sie gemäß der Gebrauchsanweisung verwenden, die Aufsicht kompetenten Personen übertragen, den Betrieb überwachen und die erzeugten Protokolle aufbewahren (Artikel 26). In einem Zivilprozess wird die Verletzung dieser Pflichten zum einfachsten Argument für den Nachweis des Verschuldens.

Die Verordnung (EU) 2026/1744, die die KI-Verordnung ändert, hat die Fristen verschoben: Die Pflichten für Hochrisiko-Systeme nach Anhang III, etwa Personalauswahl und Kreditwürdigkeitsprüfung, gelten ab dem 2. Dezember 2027; die nach Anhang I, etwa Medizinprodukte und Maschinen, ab dem 2. August 2028 (Orrick). Die Transparenzpflichten nach Artikel 50, etwa der Hinweis an eine Person, dass sie mit einem KI-System interagiert, gelten seit dem 2. August 2026 (Gibson Dunn).

In Italien fügt das Gesetz Nr. 132 vom 23. September 2025, in Kraft seit dem 10. Oktober 2025, eine Regel für die freien Berufe hinzu (Normattiva). Artikel 13 erlaubt KI nur als Hilfsmittel, wobei die geistige Arbeit des Freiberuflers überwiegen muss, und verpflichtet dazu, den Mandanten klar über die eingesetzten Systeme zu informieren (Studio Pizzano). Die Folge für die Berufshaftung ist direkt: Ein Fehler eines KI-Systems ist ein Fehler des Freiberuflers.

Wo das Risiko in den Policen landet

Berufshaftpflicht und Tech E&O. Die am stärksten exponierte Police. Das falsche Gutachten, der fehlerhafte Code, die teilweise von einem Modell erzeugte Beratung sind berufliche Fehler wie andere auch. Die meisten Bedingungswerke erwähnen KI nicht: Die Deckung besteht, bis jemand sie bestreitet.

Produkthaftpflicht. Seit dem 9. Dezember 2026 haftet, wer ein Modell in ein in Europa verkauftes Produkt oder eine Software integriert, verschuldensunabhängig gegenüber geschädigten natürlichen Personen. Für Versicherer von Herstellern von Geräten, Maschinen oder Software wird das KI-System zu einer weiteren Komponente, die zu bewerten ist.

Allgemeine Haftpflicht. Deckt Personen- und Sachschäden Dritter. In den USA hat Verisk ab Januar 2026 drei optionale Ausschlüsse für generative KI (CG 40 47, CG 40 48 und CG 35 08) für die allgemeine Haftpflicht und die Produkthaftpflicht eingeführt (IndependentAgent).

Cyber. Greift, wenn der Schaden über einen Sicherheitsvorfall entsteht: Datenabfluss über einen KI-Assistenten, unbefugter Zugriff über ein kompromittiertes Modell, Betrug mit Deepfakes. Für den Fehler des Modells als solchen greift sie nicht, denn er ist kein Sicherheitsvorfall.

D&O. Kommt ins Spiel, wenn der KI-Einsatz zur Governance-Entscheidung wird: missachtete Pflichten aus der KI-Verordnung, unwahre Aussagen gegenüber dem Markt über die eigenen KI-Fähigkeiten.

Der Markt bewegt sich in zwei Richtungen

Die erste ist der Ausschluss. Laut einer Analyse des Center for Strategic and International Studies vom 4. September 2026 haben 2026 mehr als 60 US-Schadenversicherungsgruppen KI-Ausschlüsse eingereicht, und ein Vorschlag von W.R. Berkley schließt Ansprüche im Zusammenhang mit „jeder tatsächlichen oder behaupteten Nutzung“ von KI aus (CSIS). Dieselbe Quelle verweist auf eine Umfrage der Lloyd's Market Association, wonach Versicherer wenig über die KI-Nutzung ihrer Versicherungsnehmer wissen.

Die zweite ist die ausdrückliche Deckung. Es gibt eigene Produkte: Munich Re bietet seit 2018 eine an die Modellleistung gekoppelte Deckung an, Armilla deckt mit Kapazität von Lloyd's-Syndikaten Fehler und Halluzinationen bis zu 25 Millionen Dollar je Versicherungsnehmer, und CFC hat im Juni 2026 ausdrückliche KI-Deckungen in sieben Produktlinien aufgenommen (CSIS).

Das Muster erinnert an Silent Cyber nach 2019, als Lloyd's jedes Syndikat verpflichtete anzugeben, ob eine Police das Cyberrisiko einschließt oder ausschließt. Der italienische Markt hat diesen Schritt für KI noch nicht vollzogen.

Was das für die Risikoübernahme bedeutet

Schweigen ist das Hauptrisiko. Eine Police, die KI nicht erwähnt, schließt sie nicht aus, bepreist sie aber auch nicht. In einem Portfolio aus Berufshaftpflicht oder Tech E&O wächst die Exposition mit der Nutzung durch die Kunden, ohne dass die Prämie es abbildet.

Kumul entsteht über die Anbieter. Viele Unternehmen nutzen dieselben wenigen Basismodelle und Plattformen. Ein systematischer Fehler oder ein fehlerhaftes Update eines weit verbreiteten Modells kann bei vielen Versicherungsnehmern im selben Zeitraum ähnliche Schäden auslösen. Es ist dasselbe Muster wie der Cloud-Kumul, angewandt auf eine weniger sichtbare Komponente.

Die Dokumentation entscheidet den Schaden. Mit den Vermutungen der Produkthaftungsrichtlinie und den Pflichten der KI-Verordnung kann sich kaum verteidigen, wer keine Protokolle aufbewahrt, nicht weiß, welche Modellversion ein Ergebnis erzeugt hat, und niemanden mit der Aufsicht betraut hat. Die Qualität der Governance wird zum Faktor für die Schadenhöhe, nicht nur für die Häufigkeit.

Die Direktklage bringt den Versicherer vor Gericht. Nach Artikel 20 des italienischen Gesetzesdekrets 160/2026 kann der Geschädigte den Verantwortlichen schon vor der Klage fragen, ob eine Haftpflichtpolice den Schaden deckt, mit Antwortfrist von 30 Tagen, und den Versicherer bis zur Deckungssumme direkt verklagen (PG Legal). Der Versicherer kann vertragliche Einwendungen geltend machen, die vor dem Schadenfall entstanden sind, und nach Zahlung beim Versicherungsnehmer Regress nehmen, soweit die Police ihm eine Ablehnung oder Kürzung erlaubt hätte. Bei einer Berufs- oder Haftpflichtpolice, die KI nicht erwähnt, wird die unausgesprochene Deckung vor Gericht geprüft, mit dem Versicherer als Beklagtem.

Die freien Berufe sind der erste Prüfstein. Mit Artikel 13 des Gesetzes 132/2025 geht ein italienischer Freiberufler, der den Mandanten nicht informiert hat, mit einem Nachteil in einen Rechtsstreit. Für Versicherer von Anwälten, Steuerberatern, Ingenieuren und Beratern ist der Mandantenhinweis ein Dokument, das angefordert werden sollte.

Auswirkung für VersichererMittel

KI-Schäden konzentrieren sich heute auf Berufshaftpflicht und Tech E&O mit unausgesprochenen Deckungen und werden leichter nachweisbar, in Italien seit dem 30. September 2026 durch das Gesetzesdekret 160/2026 und in Europa ab dem 9. Dezember 2026 durch die Produkthaftungsrichtlinie; das Schadenvolumen in Italien ist noch nicht messbar.

Quellen

Zurück zu Regulierung