Bericht : Hightlight aus dem DataAgenda Datenschutz Podcast : aus der RDV 1/2023 Seite 69 bis 71

Neue Aufgaben für den betrieblichen Datenschutz – Unternehmenshaftung für Künstliche Intelligenz

Künstliche Intelligenz ist nicht aufzuhalten und ihr Einsatz im Dienst des Menschen dürfte kaum verzichtbar sein. Aber wie geht man damit um, wenn beim Einsatz einer Maschine Schäden entstehen? Die EU-Kommission hat einen Entwurf zur Behandlung von Haftungsfragen beim Einsatz von Systemen künstlicher Intelligenz vorgelegt.

Es muss ein fairer Rechtsrahmen geschaffen werden, der Ansprüche auf Schadensersatz für Mängel von smarten Anwendungen oder Produkten, etwa Roboter oder Anwendungen in Smart-Home-Systemen, regelt. Ende September 2022 hat die EU-Kommission einen Entwurf für eine Richtlinie über KI-Haftung veröffentlicht. Deren Idee ist es laut Begründung der Kommission unter anderem, „dass Opfer von Schäden, die durch KI verursacht wurden, im Rahmen der Vorschriften über die zivilrechtliche Haftung ein gleichwertiges Schutzniveau genießen wie Opfer von Schäden, die ohne den Einsatz von KI verursacht wurden.“

Grundsätzlich gilt: Wer als Geschädigter einen Schaden geltend macht, muss vor Gericht darlegen, was dessen Ursache ist und dass dem Schädiger ein Verschulden vorzuwerfen ist. Das ist aber mangels Einblick in die Technik grundsätzlich nicht möglich. Opfer wissen nicht, wie das Programm, das ihren Schaden möglicherweise verursacht hat, funktioniert. Mit welchen Daten wurde die KI trainiert und wie wurde sie überwacht und angewendet?

Ich spreche darüber mit Dr. Martin Kessen. Er ist Richter am III. Zivilsenat des BGH. Der Senat ist u.a. zuständig für zentrale Fragen der Digitalisierung, nämlich die Überprüfung der Nutzungsbedingungen sozialer Netzwerke. Der Senat hat zum Facebook-Erbe und zur Reichweite des virtuellen Hausrechts von Facebook entschieden, Wissenschaftlich befasst Martin Kessen sich mit Fragen der Beweislast.

Vorab: Was macht der III. Zivilsenat? Was steht an? Was ist das Problem?

Das grundsätzliche Problem haben Sie schon richtig beschrieben. Wer als Kläger einen Anspruch vor Gericht geltend machen will, muss grundsätzlich die Voraussetzungen dieses Anspruchs darlegen und dann ggf. auch beweisen. Das ist für den Geschädigten oft schwer – nicht nur bei Einsatz von KI –, so dass die Rechtsprechung bereits in vielen Bereichen Erleichterungen für Kläger vorgesehen hat. Geht es um den Einsatz von Computern, hörte man im Alltag oft die Entschuldigung: „Wir haben ein Problem mit dem Computer – das hat der Computer so berechnet … – unsere Computeranlage ist ausgefallen …“. Daran stimmte und stimmt natürlich, dass oft den einzelnen Mitarbeiter kein Verschulden trifft. Er steht genauso hilflos vor der Technik wie der Geschädigte. Zu klären ist aber, ob das auch im Rechtssinne eine „Entschuldigung“ ist, ob also derjenige, der KI einsetzt, sich entlasten kann, sich also von einer Haftung befreien kann, wenn er sich darauf beruft, die Maschine habe versagt und er habe hierauf keinen Einfluss nehmen können.

Warum ist denn „Schuld“ so wichtig? Reicht es nicht aus, dass ein anderer mir einen Schaden zugefügt hat?

Unser Haftungssystem geht grundsätzlich davon aus, dass man auf Schadensersatz nur dann haftet, wenn einen auch ein Verschulden trifft.

Unser Recht sieht eine Ausnahme dann vor, wenn jemand eine Sache nutzt, die besonders gefährlich ist. So könnte man fragen: Warum ist es eigentlich erlaubt, dass Autos fahren, wenn doch jährlich mehrere Tausend Menschen (früher einmal sogar Zehntausende) ihr Leben im Straßenverkehr verlieren? Weil der gesamtgesellschaftliche Nutzen aber so groß ist, ist Autofahren erlaubt. Aber zum Ausgleich haftet der Halter eines Kfz für die Folgen eines Unfalls auch dann, wenn ihn kein Verschulden trifft. Weil das so ist – und sich jeder versichern muss – kann man das Schadensrisiko auf die Allgemeinheit abwälzen. Hier – und in anderen Bereichen – gibt es eine sog. Gefährdungshaftung. Das ist aber die Ausnahme.

Im Übrigen bleibt es dabei: Haftung setzt Verschulden voraus. Hier gibt es aber Abstufungen. Im Vertragsrecht wird das Verschulden vermutet, wenn man nachweisen kann, dass der Schaden durch eine Pflichtverletzung des Vertragspartners verursacht worden ist. Dabei ist Pflichtverletzung nicht identisch mit Verschulden. Die Lieferung einer mangelhaften Sache, die Herstellung eines mangelhaften Werks oder die Vermietung einer mangelhaften Sache als solche sind schon eine Pflichtverletzung. Der Verkäufer einer mangelhaften Sache muss also beweisen, dass ihn an dem Mangel kein Verschulden trifft.

Diese Regeln gelten auch, wenn ein Dritter durch die Pflichtverletzung geschädigt wird und dieser Dritte in den Schutzbereich des Vertrags einbezogen ist, z.B. Gäste des Mieters oder die Familie des Käufers eines Autos, dessen Bremsen versagt haben.

Anders sieht es grundsätzlich aus, wenn zwischen Schädiger und Geschädigtem kein Vertrag besteht. Hier ist grundsätzlich die Beweislast für das Verschulden beim Geschädigten. Und auch dafür, dass überhaupt ein Verhalten vorliegt, das kausal (ursächlich) für den Schaden geworden ist.

Aber ist das nicht unfair?

Die Rechtsprechung hatte immer schon mit Fällen zu tun, in denen es unzumutbar erschien, dem Geschädigten diesen Beweis aufzuerlegen. Die Frage, wer die Beweislast trägt, ist eine Risikozuweisung. Diese erfolgt durch das Gesetz. Indem das Gesetz für einen Anspruch bestimmte Voraussetzungen aufstellt, bürdet es demjenigen, der diesen Anspruch geltend machen will, das Risiko auf, beweisen zu können, dass diese Voraussetzungen auch erfüllt sind.

Aber wie kann ich etwas beweisen müssen, wovon ich gar nichts wissen kann?

Genau das ist das Problem. Hierfür gibt es allerdings mehrere Lösungsmöglichkeiten.

Im Grundsatz geht unser Rechtssystem nicht davon aus, dass die Beweislast sich danach verteilt, wer was weiß oder wissen kann. Muss der Kläger etwas vortragen, was er nicht wissen kann, so genügt es aber, dass er schlicht behauptet, dass es so gewesen ist; der Beklagte muss dann – wenn ihm dies zumutbar ist – darlegen, was er weiß. Das nennt man sekundäre Darlegungslast. Die Beweislast bleibt allerdings unverändert. Ein aktuell wichtiges Beispiel ist die Frage, was wussten die Verantwortlichen bei einem Kfz-Hersteller über Manipulationen an einem Motor. Auch hier muss der Käufer das Verschulden dieser Verantwortlichen beweisen, hat aber keinen Einblick in das Unternehmen.

Es gibt aber auch Fälle, in denen die Rechtsprechung weitergehende Erleichterungen für den Kläger entwickelt hat. Dies geschieht insbesondere dadurch, dass eine Vermutung zur Anwendung kommt. Diese führt entweder dazu, dass schlicht angenommen wird, dass z.B. das Verschulden vorliegt, solange nicht der Schädiger beweist, dass ihn kein Verschulden trifft. Das wird z.B. im Bereich der Produkthaftung angenommen. War ein Produkt fehlerhaft, wird vermutet, dass dies auf einer Pflichtverletzung des Herstellers beruht und diesem ein Verschulden vorzuwerfen ist.

Manchmal reicht es allerdings auch aus, wenn der Schädiger nachweisen kann, dass andere Ursachen als ein Fehler seinerseits zum dem Schaden geführt haben können.

Was ergibt sich denn daraus für KI?

Da bisher „echte“ KI kaum zum Einsatz kommt und erst recht – soweit ersichtlich – keine Fälle hierzu entschieden sind, kann man das nicht sicher sagen. Es ist ja auch sehr schwer, sich alle denkbaren Fälle vorzustellen und zu wissen, wie diese „richtig“ zu entscheiden sind. Der Vorteil des Richters ist es, stets nur den einen Fall entscheiden zu müssen und dass dieser in der Vergangenheit liegt. Sichere Aussagen zu treffen, wie das Recht für die Zukunft gestaltet wird, ist Aufgabe des Gesetzgebers. Und: Rechtssicherheit zu schaffen, ist ja auch ein Ziel des Entwurfs der Richtlinie.

Das ist aber jetzt ein bisschen wenig für unseren Podcast!

In welche Kategorie fällt denn KI? Zunächst muss man sagen, dass die vertragliche Haftung bereits europäisch geregelt ist. Sie entspricht weitgehend der Haftung im Kaufrecht. Zeigt die KI einen Fehler wird vermutet, dass dieser bereits von Anfang an vorlag. Das Verschulden wird vermutet. Dabei kommt es weniger darauf an, ob der Hersteller oder ein Nutzer in Anspruch genommen wird – entscheidend ist, dass eine Pflichtverletzung des Vertragspartners vorliegt.

Für den außvertraglichen, sog. deliktischen Bereich gilt Folgendes:

Man kann zunächst an eine Gefährdungshaftung denken. Auf der Furcht davor, wie gefährlich KI sein kann, basieren unzählige Science-Fiction-Bücher und -Filme, in denen unkontrollierbare Maschinen, die ein eigenes Bewusstsein entwickelt haben, die Weltherrschaft an sich reißen (wollen). Der Grundgedanke liegt nicht so fern: Wer KI einsetzt und sich ihre Vorteile zunutze macht, haftet für jeden Schaden, den diese verursacht.

Ohne eine gesetzliche Grundlage allerdings dürfte eine solche Gefährdungshaftung nicht in Betracht kommen. Sie wäre Rechtsfortbildung, die grundsätzlich Sache des Gesetzgebers ist. Sie würde ja auch weit über die bekannten Grundsätze der Produkthaftung hinausgehen.

Der Deutscher Juristentag hat unlängst allerdings die Forderung beschlossen: Zulasten der Hersteller digitaler autonomer Systeme sollte ein vom Vorliegen eines Produktfehlers unabhängiger Gefährdungshaftungstatbestand geschaffen werden. Dabei solle – so der Deutscher Juristentag – nach dem jeweiligen Autonomie- und Risikograd differenziert werden. Das wäre sehr weitgehend und würde die Probleme zugunsten der Geschädigten lösen.

Die RiLi geht diesen Weg nicht. Sie lehnt eine Gefährdungshaftung ab, weil sie zu einseitig sei und wohl auch zu technikfeindlich und innovationshemmend. Allerdings lässt die RiLi strengere Regelungen in den Mitgliedstaaten zu.

Es dürfte viel dafür sprechen, KI so wie auch sonstige Produkte zu behandeln. Das heißt, dass der Geschädigte beweisen muss, dass ein Produktfehler, also eine Fehlfunktion, vorliegt, und dass dieser bei ihm einen Schaden verursacht hat. Dabei gilt aber (weitgehend), dass die Kausalität vermutet wird, wenn Fehler und Schaden feststehen. Dies betrifft aber zunächst nur den Hersteller der KI.

Eine andere Frage ist, ob und wie derjenige haftet, der die KI lediglich nutzt. Es spricht aber viel dafür, hier keine anderen Maßstäbe anzuwenden. Der Unterschied ist allein, dass eine Entlastung eher gelingen kann, wenn der Nutzer nachweist, dass die Verantwortung für den Fehler nicht bei ihm, sondern beim Hersteller liegt, der deshalb seinerseits Schadensersatz schuldet.

Die RiLi ist davon nicht weit entfernt. Sie differenziert allerdings zwischen Hochrisiko- und sonstiger KI. Für Hochrisiko-KI enthält sie präzise Vorgaben unter Bezugnahme auf die Anforderungen nach dem Gesetz über KI. Sind diese nicht erfüllt, greift die Kausalitätsvermutung ein. Bei anderer KI ist Voraussetzung, dass es nach Auffassung des nationalen Gerichts für den Kläger übermäßig schwierig ist, den ursächlichen Zusammenhang nachzuweisen.

Dabei ist zu beachten, dass die RiLi mehrmals ausspricht, es sei keine Umkehr der Beweislast vorgesehen. Dies ist aber nach deutschem Recht gerade die Folge, wenn eine gesetzliche Vermutung eingreift. Der Gegner muss in diesem Fall den vollen Beweis des Gegenteils führen. Der Begriff Vermutung wird hier also autonom, d.h. unabhängig vom nationalen Recht, zu verstehen sein und etwas mehr Flexibilität zulassen.

Neu ist, dass die RiLi Auskunftspflichten des Geschädigten vorsieht. Verfügt er über keine sonstigen Erkenntnisquellen, müssen der Nutzer bzw. der Hersteller umfassend Auskünfte erteilen. Erfolgt dies nicht, obwohl dies zumutbar ist – insbesondere im Hinblick auf Geschäftsgeheimnisse – greift wiederum die Vermutung der Kausalität und des Verschuldens ein. Das ist im bisherigen Recht so zwar nicht ausdrücklich geregelt, dürfte sich aber aus den Grundsätzen der sekundären Darlegungslast ergeben. Zudem hat die Rechtsprechung auch bisher schon zuweilen eine Beweislastumkehr angenommen, wenn der Hersteller eine Befundsicherung unterlassen hatte.

Fazit?

Es spricht viel dafür, dass die nationalen Gerichte zu ähnlichen Ergebnissen gekommen wären, wie sie der Entwurf der RiLi vorsieht. Die RiLi hat aber den Vorteil, vorab Rechtsklarheit zu schaffen. Sie lässt aber schärfere Regelungen zu. Das kommt insbesondere im Hinblick auf die Annahme einer Beweislastumkehr in Betracht, die die RiLi zwar nicht anordnen will, die sie aber durch die Regelung von Vermutungen nach nationalem Verständnis schon ein wenig angelegt hat.