Produkthaftung für Software und KI

Die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 behandelt Software, KI-Systeme und SaaS als Produkte und unterwirft sie einer verschuldensunabhängigen Haftung des Herstellers für Schäden an Personen und privat genutzten Sachen. In Deutschland soll die Neufassung des Produkthaftungsgesetzes (ProdHaftG) sie umsetzen; der Regierungsentwurf stammt vom 25.02.2026, das Inkrafttreten ist zum 09.12.2026 geplant. Wer Software oder KI-Agenten für andere baut, haftet dann wie ein Hersteller physischer Produkte, einschließlich der Pflicht, Sicherheitsupdates bereitzustellen.

Diese Note ist narrativ und trägt bewusst keinen regelwerk:-Block; die Fristen sind Verfahrensstand und werden erst nach Veröffentlichung im Bundesgesetzblatt zu harten Fakten.

Was das für deinen Betrieb heißt

• Betroffen sind die, die bauen, nicht die, die nutzen. Ein Steuerbüro, das Copilot einsetzt, ist Nutzer. Ein IT-Systemhaus (Branche: IT-Systemhaus (Mittelstand)), eine Agentur mit Eigenentwicklung oder ein Selbständiger, der einen Agenten für einen Kunden baut und betreibt, ist Hersteller im Sinne der Richtlinie. Die Zielgruppe von Agentic Engineering und Software Factory (Produktionsstraße) ist damit genau die Gruppe, die ab Dezember 2026 anders haftet.
• Risiko: Ein Agent, der beim Kunden Schaden anrichtet (falsche Buchung, gelöschte Daten, fehlerhafte Auskunft mit Personenschaden), wird zum Produkthaftungsfall ohne Verschuldensnachweis. Die Beweiserleichterung kehrt die Last tendenziell um: Der Hersteller muss zeigen, dass das Produkt nicht fehlerhaft war.
• Chance: Wer dokumentiert entwickelt (Spezifikation, Tests, Freigaben, Versionsstände, Update-Prozess), kann den Nachweis führen. Die Bauformen aus Agentic Engineering (Verifier, Environment, versionierte Änderungen) sind zugleich die Haftungsvorsorge.
• Handlungsempfehlung: (1) Eigene Software- und Agentenprodukte inventarisieren und je Produkt klären, ob man Hersteller, Importeur oder nur Dienstleister ist. (2) Für alles, was nach dem 08.12.2026 in Verkehr geht, einen Update- und Schwachstellenprozess definieren, der auch die CRA-Fristen abdeckt. (3) Versicherungsschutz (Betriebs-/IT-Haftpflicht) auf Software-Produkthaftung prüfen. (4) In Kundenverträgen Betreiberpflichten (Human-in-the-Loop, Freigaben, Datenqualität) sauber vom Herstellerrisiko trennen → Human-in-the-Loop (HitL).