Haftung für KI-Einsatz: Geschäftsführer haften persönlich ab Juli

Seit dem 1. Juli 2026 greifen verschärfte Haftungsregeln für Unternehmensleitungen. Der EU AI Act macht Führungskräfte persönlich verantwortlich, wenn beim Einsatz Künstlicher Intelligenz etwas schiefläuft.

Die rechtlichen Grundlagen dafür sind im GmbH-Gesetz, dem Aktiengesetz und der NIS-2-Richtlinie verankert. Geschäftsführer müssen künftig nicht nur für Cybersicherheit geradestehen – sie haften zunehmend mit ihrem Privatvermögen.

Bis zu 35 Millionen Euro Bußgeld

Die neuen Strafen haben es in sich. Bei Verstößen gegen die Sicherheitsvorgaben drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. In besonders schweren Fällen können es sogar 35 Millionen Euro oder sieben Prozent des Umsatzes werden.

Eine zentrale Pflicht: Geschäftsführer müssen die KI-Kompetenz ihrer Mitarbeiter sicherstellen. Diese Anforderung gilt bereits seit Februar 2025 – doch nur rund 38 Prozent der Organisationen erfüllen sie bislang vollständig.

Für Hochrisiko-KI-Systeme gibt es unterschiedliche Fristen. Stand-alone-Lösungen müssen bis zum 2. Dezember 2027 die Anforderungen erfüllen, regulierte Produkte haben bis zum 2. August 2028 Zeit.

Die neuen EU-Vorgaben fordern von Unternehmen klare Strukturen bei Risikoklassen und Dokumentationspflichten. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act hilft Ihrer Rechts- und IT-Abteilung, alle Fristen und Pflichten kompakt zu verstehen. EU AI Act in 5 Schritten verstehen

NIS-2: Viele Unternehmen noch nicht registriert

Seit Dezember 2025 verschärft die NIS-2-Richtlinie die Anforderungen an die Cyber-Resilienz. Rund 30.000 Unternehmen und Behörden in Deutschland sind betroffen – besonders Betriebe ab 50 Mitarbeitern und einem Jahresumsatz von über 10 Millionen Euro.

Die Registrierungsfrist beim BSI für das Gesundheitswesen endete bereits am 6. März 2026. Doch erst rund 11.000 der betroffenen Organisationen haben sich registriert.

„Eine bloße Registrierung reicht nicht aus, um die operative Handlungsfähigkeit sicherzustellen", warnt Christoph Neukam von Axians. Viele Unternehmen unterschätzen die strikten Meldepflichten: Bei Sicherheitsvorfällen sind Meldungen innerhalb von 24 Stunden, 72 Stunden und nach einem Monat erforderlich.

Die Kosten für den Gesundheitssektor sind enorm: Die initialen Mehraufwände werden auf rund 1,5 Milliarden Euro geschätzt, die jährlichen Folgekosten auf etwa 760 Millionen Euro.

Urteil des OLG Köln: Versicherungsschutz in Gefahr

Ein Urteil des Oberlandesgerichts Köln vom 10. Februar 2026 (Az. 9 U 49/25) zeigt die Risiken für Führungskräfte. Falsche Angaben beim Abschluss einer D&O-Versicherung können zur rückwirkenden Anfechtung des Vertrages führen. Dann verlieren alle Vorstände und Geschäftsführer den Versicherungsschutz – Severability-Klauseln wurden in diesem Fall als unwirksam erklärt.

Die Rechnung ist einfach: Bei IT-Sicherheitsmängeln und einem Ransomware-Angriff haften Geschäftsführer nicht nur rechtlich, sondern im Extremfall auch ohne privaten Versicherungsschutz. Ein Angriff auf ein Unternehmen mit 200 Mitarbeitern kann Schäden von etwa 1,2 Millionen Euro verursachen. Dem stehen Investitionskosten von 150.000 bis 250.000 Euro für ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) über drei Jahre gegenüber.

Da Geschäftsführer zunehmend persönlich für IT-Sicherheitsmängel haften, wird eine proaktive Absicherung zur Existenzfrage. Ein aktueller Experten-Report klärt auf, welche rechtlichen Pflichten und neuen Cyberrisiken Unternehmer jetzt kennen müssen, um ihr Privatvermögen zu schützen. Gratis-Report zu neuen Cyberrisiken herunterladen

Neue Meldepflichten ab September

Die regulatorische Landschaft wird sich weiter verdichten. Ab dem 11. September 2026 greift die Meldepflicht für aktiv ausgenutzte Schwachstellen gemäß dem Cyber Resilience Act (CRA). Die vollständigen Sicherheitsanforderungen müssen Unternehmen bis zum 11. Dezember 2027 umsetzen – inklusive Software-Stückliste (SBOM) und kontinuierlichem Schwachstellenmanagement.

Die Dringlichkeit zeigt sich in der Entwicklung spezialisierter KI-Modelle wie Claude Mythos oder GPT-5.5-Cyber. Diese Systeme können komplette Angriffsketten eigenständig planen und ausführen. Die Zeitfenster zwischen Entdeckung einer Lücke und deren Ausnutzung schrumpfen rasant.

Experten raten daher zu verstärkten Detektions- und Reaktionsmechanismen sowie zu einem umfassenden Risikomanagement in der Lieferkette. Wer jetzt nicht handelt, spielt mit dem Feuer – und seinem Privatvermögen.

de | wirtschaft | 69681574 |