Lina Khans Hinweis ist auf den ersten Blick schlicht: KI-Unternehmen stehen nicht außerhalb des geltenden Rechts. Wenn sie gefährliche, ungeprüfte oder fehlerhafte Produkte veröffentlichen, können bestehende US-Gesetze nach ihrer Auffassung bereits greifen. Dafür brauche es nicht zwingend erst ein neues KI-Gesetz.
Die Aussage ist relevant, weil sie eine verbreitete Annahme korrigiert. Die regulatorische Lücke, von der in der KI-Debatte oft die Rede ist, ist nicht identisch mit Rechtsfreiheit. Verbraucherschutz, Wettbewerbsrecht und Regeln gegen irreführende Geschäftspraktiken verschwinden nicht, nur weil ein Produkt auf einem großen Sprachmodell oder einem anderen KI-System beruht. Gleichzeitig löst Khans Position nicht die schwierigste Frage: Wann ist ein KI-Produkt rechtlich so schlecht geprüft, so riskant oder so irreführend vermarktet, dass daraus Haftung folgt?
Der Kern von Khans Argument
Khan, inzwischen ehemalige Vorsitzende der Federal Trade Commission, hatte diese Linie am 11. Juni 2024 bei einem Interview auf TechCrunchs StrictlyVC-Veranstaltung vertreten. Damals ging es nicht nur um Produkthaftung im engen Sinn, sondern auch um den Ansatz der FTC gegenüber KI: mutmaßlich betrügerische Anwendungen, irreführende Werbung, unfaire Geschäftspraktiken und mögliche monopolistische Strukturen sollten nicht erst nach Jahren adressiert werden.
Wie bestehendes Recht bei KI-Produkten greifen kann
Vereinfachte Darstellung der Prüfungskette: Produktfreigabe, Tests, Risiko, bestehende Rechtsgrundlagen und Durchsetzung.
Diese Haltung stand nicht isoliert. Bereits am 25. April 2023 hatten mehrere US-Behörden in einer gemeinsamen Erklärung klargestellt, dass KI-Technologien unter bestehende Gesetze fallen. Die Botschaft war: Unternehmen können sich nicht darauf berufen, dass ein automatisiertes System Entscheidungen trifft oder Inhalte erzeugt, wenn dadurch bestehende Rechte verletzt werden. Khan hatte zudem am 2. November 2023 in Stanford vor Marktkonzentration im KI-Sektor und möglichem Missbrauch von Marktmacht durch große Technologieunternehmen gewarnt.
Die harte Faktenlage ist damit begrenzter, als manche Schlagzeilen nahelegen. Khan sagt nicht, dass jede Fehlleistung eines KI-Systems automatisch zu Haftung führt. Sie sagt, dass Behörden bereits Werkzeuge haben, um gegen gefährliche, ungetestete, fehlerhafte oder irreführend vermarktete Produkte vorzugehen. Der Unterschied ist wichtig.
Haftung beginnt nicht erst beim Modellfehler
In der öffentlichen KI-Debatte wird Haftung oft auf den Moment reduziert, in dem ein Modell eine falsche Antwort erzeugt. Juristisch und operativ ist das zu eng. Relevant kann auch sein, wie ein Produkt eingeführt wurde, welche Versprechen der Anbieter gemacht hat, welche Schutzmaßnahmen existierten, welche Tests dokumentiert sind und ob absehbare Risiken ignoriert wurden.
Ein Chatbot, der gelegentlich halluziniert, ist noch kein klarer Haftungsfall. Ein Anbieter, der ein solches System als verlässliches Werkzeug für sensible Entscheidungen verkauft, ohne Grenzen, Fehlerquoten oder Prüfpflichten transparent zu machen, bewegt sich in einem anderen Bereich. Ebenso macht es einen Unterschied, ob ein KI-Werkzeug allgemein experimentell angeboten wird oder in Bereichen eingesetzt wird, in denen Verbraucher, Beschäftigte oder Patienten konkret betroffen sind.
Khans These verschiebt den Blick damit auf Produktprozesse. Nicht nur das Modell zählt, sondern das gesamte Paket: Training, Tests, Sicherheitsmechanismen, Benutzerführung, Einsatzkontext, Marketing und Nachkontrolle. Für Unternehmen ist das unbequemer als eine abstrakte Debatte über neue Gesetze. Bestehende Regeln können an konkreten Entscheidungen ansetzen.
Die unscharfe Stelle: „gefährlich“ und „ungeprüft“
Gerade hier beginnt die offene Zone. Was heißt bei KI „ausreichend getestet“? Klassische Softwaretests prüfen reproduzierbare Fehler. Generative Systeme verhalten sich probabilistisch, reagieren auf Eingaben unterschiedlich und werden häufig über Schnittstellen, Plugins oder externe Datenquellen in andere Arbeitsabläufe eingebaut. Ein Testkatalog kann Risiken reduzieren, aber er beweist selten umfassende Sicherheit.
Auch der Begriff „gefährlich“ ist nicht selbsterklärend. Ein Modell kann in einem Kontext harmlos und in einem anderen riskant sein. Ein Textgenerator für interne Entwürfe ist anders zu bewerten als ein System, das Verbraucher zu Finanzprodukten berät oder Personalentscheidungen vorbereitet. Für Entwickler, Betreiber und Integratoren entsteht daraus ein Grenzproblem: Wer trägt Verantwortung für welchen Teil der Kette?
Die Debatte um Open Source zeigt die Spannung besonders deutlich. Wenn ein Modell offen veröffentlicht wird, lässt sich späterer Missbrauch nicht vollständig kontrollieren. Daraus folgt aber nicht automatisch, dass jede Veröffentlichung haftungsfrei sein muss. Offen bleibt, wo die Linie zwischen vorhersehbarem Risiko, fahrlässig schwachen Schutzmaßnahmen und unvorhersehbarem Missbrauch verläuft. Diese Linie werden Behörden und Gerichte nicht abstrakt, sondern anhand einzelner Fälle ziehen müssen.
Was sich für KI-Unternehmen praktisch ändert
Wenn Khans Ansatz ernst genommen wird, wird KI-Compliance weniger zu einer Zukunftsfrage und stärker zu einer Produktanforderung. Unternehmen müssten plausibel zeigen können, warum ein System freigegeben wurde. Dazu gehören dokumentierte Tests, nachvollziehbare Risikobewertungen, klare Grenzen in der Produktkommunikation, interne Freigabeprozesse, Monitoring nach dem Start und Verfahren für gemeldete Schäden oder Fehlfunktionen.
Das klingt trocken, ist aber operativ folgenreich. Entwicklungszyklen werden länger, wenn Sicherheitsprüfungen nicht nur demonstrativ, sondern belastbar sein sollen. Marketingaussagen werden riskanter, wenn sie Fähigkeiten versprechen, die das System im Alltag nicht zuverlässig erfüllt. Vertriebsteams müssen genauer wissen, in welchen Einsatzkontexten ein Produkt angeboten werden darf. Auch die Verträge zwischen Modellentwicklern, Plattformbetreibern und Unternehmenskunden dürften stärker auf Verantwortlichkeiten achten.
Kleinere Anbieter könnten dadurch stärker belastet werden als große KI-Firmen. Große Unternehmen verfügen eher über Rechtsabteilungen, Sicherheitsteams und interne Prüfprozesse. Start-ups und freie Entwickler haben diese Strukturen oft nicht. Daraus folgt aber nicht automatisch, dass strengere Durchsetzung nur den etablierten Anbietern hilft. Wenn ungeprüfte Produkte Schäden verursachen, tragen Verbraucher und Geschäftskunden das Risiko. Die berechtigte Frage lautet daher nicht, ob es Aufwand gibt, sondern welcher Aufwand angemessen und nachweisbar ist.
Europa wählt einen anderen Weg
Der Vergleich mit der EU zeigt, dass dieselbe Grundfrage unterschiedlich bearbeitet wird. Die EU-Produkthaftungsrichtlinie 2024/2853 ist Ende 2024 in Kraft getreten und muss bis Dezember 2026 in nationales Recht umgesetzt werden. Sie ersetzt die alte Richtlinie von 1985 und enthält spezifische Bestimmungen, die auch Software und damit KI-Systeme erfassen können. Europa versucht damit, Haftungsfragen ausdrücklich an digitale Produkte anzupassen.
Der US-Ansatz, wie Khan ihn beschreibt, setzt stärker auf vorhandene Befugnisse von Behörden. Das kann schneller wirken, weil keine umfassende neue Gesetzgebung abgewartet werden muss. Es kann aber auch unberechenbarer erscheinen, weil konkrete Maßstäbe erst durch Verfahren, Vergleiche und Gerichtsentscheidungen sichtbar werden. Für international tätige KI-Anbieter entsteht damit kein einheitliches Regelwerk, sondern eine Mischung aus Produktrecht, Verbraucherschutz, Wettbewerbsaufsicht und vertraglicher Risikoverteilung.
Die entscheidende Prüfung steht noch aus
Khans Position ist nüchtern betrachtet weder eine vollständige Antwort noch bloße Rhetorik. Sie nimmt KI-Unternehmen ein bequemes Argument: dass Behörden erst handeln könnten, wenn ein KI-spezifisches Bundesgesetz existiert. Nach dieser Lesart gibt es kein allgemeines Schongebiet für KI-Produkte.
Offen bleibt, wie belastbar diese Linie in schwierigen Fällen ist. Behörden müssen nachweisen, dass ein Unternehmen gegen bestehende Regeln verstoßen hat. Sie müssen zeigen, welche Risiken bekannt oder absehbar waren, welche Schutzmaßnahmen fehlten und warum ein Produkt oder eine Geschäftspraxis unfair, irreführend oder rechtswidrig war. Genau dort entscheidet sich, ob Khans These praktische Wirkung entfaltet.
Für KI-Firmen ist die Konsequenz dennoch klar genug: Wer Produkte schnell in den Markt drückt, muss nicht nur technische Leistungsdaten erklären können. Er muss auch erklären können, warum das Produkt in seinem vorgesehenen Einsatz vertretbar war. Das ist keine neue Kategorie von Verantwortung. Es ist die Anwendung alter Kategorien auf eine Produktklasse, deren Risiken noch nicht stabil vermessen sind.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
