KI-Governance ist nicht länger optional

Abschnitt 1

Was sich geändert hat

Mehrere unabhängige Entwicklungen auf beiden Seiten des Atlantiks weisen in dieselbe Richtung: Der Betreiber eines KI-Systems trägt eine echte, unmittelbare Verantwortung für dessen Verhalten.

• Mobley v. Workday (USA, 2024–2025)

  Ein US-Bundesgericht ließ eine Klage wegen Diskriminierung im Beschäftigungsverhältnis gegen einen KI-Anbieter auf Grundlage einer Vertretungstheorie zu – wobei das KI-System als Vertreter der Unternehmen behandelt wurde, die es einsetzten. Im Mai 2025 gewährte das Gericht die bedingte Zulassung einer landesweiten Sammelklage. Der Fall signalisiert, dass Unternehmen, die automatisierte Entscheidungssysteme einsetzen, an der daraus resultierenden Haftung beteiligt sein können.

• OLG Hamm (Deutschland, 2026)

  Ein deutsches Oberlandesgericht befasste sich mit der Verantwortung für Aussagen, die ein KI-Chatbot gegenüber Kunden macht, und gab zu erkennen, dass ein allgemeiner Haftungsausschluss – „Antworten ohne Gewähr“ – ein Unternehmen nicht schon für sich genommen vor der Verantwortung für das schützt, was seine KI Menschen mitteilt.

• EU-KI-Verordnung & Produkthaftungsrichtlinie

  Die Pflichten für Hochrisiko-Systeme nach der EU-KI-Verordnung treten schrittweise in den Jahren 2026–2027 in Kraft, mit Bußgeldern von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Die überarbeitete Produkthaftungsrichtlinie behandelt Software und KI-Systeme als „Produkte“ und dehnt die Grundsätze der verschuldensunabhängigen Haftung über die Vertriebskette aus; die Mitgliedstaaten setzen sie bis Dezember 2026 in nationales Recht um.

• Regulierung auf US-Bundesstaatsebene

  Der Colorado AI Act (in Kraft ab 2026), das Local Law 144 von New York City und das in rund zwei Dutzend Bundesstaaten übernommene NAIC Model Bulletin laufen auf dieselben Erwartungen hinaus: Offenlegung, Folgenabschätzungen, Bias-Audits und prüfungsbereite Entscheidungsprotokolle.

• KI-erstellte Anwendungen (Lovable, Base44, Bolt.new und ähnliche)

  „Vibe-Coding“-Plattformen ermöglichen es nun auch Nicht-Entwicklern, produktive Web-Apps aus natürlichsprachlichen Prompts bereitzustellen, und diese Apps verbinden sich häufig mit Unternehmensdaten – Google Workspace, Salesforce, Datenbanken. Es gilt dasselbe Prinzip der Betreiberverantwortung: Die Organisation, die eine KI-erstellte App einsetzt, ist deren Verantwortlicher und haftet dafür, wie diese personenbezogene Daten verarbeitet – nicht die Builder-Plattform. Die meisten Unternehmen haben kein Inventar darüber, worauf ihre KI-erstellten Apps zugreifen können – genau der blinde Fleck, den ein Prüfer untersucht.

Was das für Sie bedeutet: Wenn Ihre Organisation KI-Tools, -Assistenten oder -Agenten einsetzt, die auf Unternehmensdaten zugreifen können, sind zunehmend Sie diejenige Partei, von der erwartet wird nachzuweisen, dass Sie diesen Zugriff verantwortungsvoll gesteuert haben.

Abschnitt 2

Warum Haftungsausschlüsse Sie nicht schützen werden

Viele Organisationen gehen davon aus, dass ihr KI-Risiko das Problem des Anbieters sei oder dass ein Haftungsausschluss in den Nutzungsbedingungen die Sache erledige. Zwei Trends schließen diese Lücke von beiden Seiten – eine Zange, die das Risiko beim Betreiber belässt.

• Gerichte weiten die Verantwortlichkeit der Betreiber aus

  Entscheidungen wie Mobley und OLG Hamm behandeln das Unternehmen, das KI einsetzt, als verantwortlich für die Ergebnisse und haben allgemeine Haftungsausschlüsse nicht als vollständige Verteidigung anerkannt.

• Anbieterverträge verlagern das Risiko zurück auf Sie

  Gleichzeitig begrenzen KI-Anbietervereinbarungen üblicherweise die Haftung und verlangen eine Freistellung durch den Kunden — wodurch die finanzielle Verantwortung für das Verhalten der KI auf den Kunden verlagert wird, der sie eingesetzt hat.

Das Ergebnis: Unternehmen sind zunehmend für KI-Verhalten verantwortlich, das sie oft nicht vollständig einsehen oder prüfen können. Die verteidigungsfähige Position ist kein stärkerer Haftungsausschluss — sondern nachweisbare Governance.

Abschnitt 3

Die Frage, auf die jede Prüfung zurückkommt

Ob es sich um die Anfrage einer Aufsichtsbehörde, die Checkliste eines Prüfers, die Sicherheitsprüfung eines Kunden oder einen Rechtsstreit handelt — die Untersuchung reduziert sich in der Regel auf eine Frage:

„Können Sie nachweisen, dass Sie Ihren KI-Zugriff kontrolliert haben?“

Diese Frage gut zu beantworten, ist keine Sache der Absicht oder von Richtliniendokumenten allein. Es ist eine Frage der Beweise — eines Systems von Aufzeichnungen, das zeigt, was Sie wussten, was Sie kontrollierten und wie Sie reagierten.

Abschnitt 4

Wie 8200.dev Ihre Beweise etabliert

8200.dev ist die Beweisebene. Es bietet keinen Rechtsschutz und garantiert kein Compliance-Ergebnis; es liefert die Transparenz, Governance und prüfungsbereiten Beweise, die Ihre Sorgfaltspflicht unterstützen — mit schreibgeschützter Anbindung an Google Workspace und die weiteren Quellen, die Sie hinzufügen.

• Agent Guard

  Ein vollständiges, kontinuierlich aktualisiertes Inventar jedes KI-Agenten und Dienstkontos, das auf Ihre Daten zugreifen kann — denn Sie können nicht steuern, was Sie nicht sehen.

• KI-Agenten-Register

  Der Inventarnachweis, den Prüfer verlangen: Registrieren Sie jeden Agenten auf einer Plattform, die kein Connector erreicht — WhatsApp, Telegram, benutzerdefinierte und Sprach-Bots —, klassifizieren Sie seinen Datenzugriff und exportieren Sie prüfungsbereite Beweise pro Agent. Erkannte plus registrierte Agenten ergeben ein vollständiges Inventar.

• OAuth-App-Audit

  Erkennung der Schatten-KI, die bereits mit Ihrem Workspace verbunden ist, sodass ein nicht genehmigtes Tool gefunden wird, bevor es zu einer Haftung wird.

• Erkennung KI-erstellter Apps

  Identifizierung der OAuth-Apps, die mit KI-App-Buildern (Lovable, Base44, Bolt.new und ähnlichen) erstellt wurden, genau welche Daten jede erreichen kann, und der Nachweis, dass Sie eine Anwendung kontrolliert haben, die Sie eingesetzt, aber nicht Zeile für Zeile geschrieben haben.

• Präventionsregeln & Durchsetzung

  Aktive, dokumentierte Kontrolle über riskante Zugriffe — als Nachweis von Governance, nicht nur von Überwachung.

• Audit-Log & SIEM-Export

  Eine unveränderliche, exportierbare Aufzeichnung von Zugriffsentscheidungen — der prüfungsbereite Beweis, den ein Prüfer oder ein Gericht erwartet.

• Erfassung von Compliance-Nachweisen

  Erzeugung der von Prüfern angeforderten Dokumentation mit einem Klick, zugeordnet zu den Kontrollen hinter SOC 2, ISO 27001, GDPR und dem NIST AI Risk Management Framework.

• Risiko-Zeitleiste & Vorfälle

  Ein dokumentierter Verlauf, der zeigt, dass Sie ein KI-bezogenes Risiko erkannt und darauf reagiert haben — als Nachweis von Sorgfalt, nicht nur von Absicht.

Abschnitt 5

Die Kosten des Stillstands

Der Trend ist messbar, und er entwickelt sich schnell. Diese Zahlen werden als Kontext dargestellt, nicht als Prognose für eine einzelne Organisation.