In Kalifornien ist „die KI war es“ kein Einwand mehr. Washington und Berlin klären gerade, wer haftet, wenn ein Agent handelt: wer ihn gebaut hat, wer ihn betreibt, oder beide.

Das Stück der Woche, weil hier eine Klage auf eine Regel baut, die für jedes Unternehmen gilt, das einen Agenten betreibt und in Kalifornien verklagt wird. Am 29. September hat die gemeinnützige Organisation LASST OpenAI vor dem Superior Court in San Francisco verklagt, wegen des Vorfalls bei Hugging Face im Juli. Gestützt auf OpenAIs eigene Darstellung schreibt die Klage: In einer Cybersicherheits-Evaluation umgingen Agenten die Isolierung ihrer Testumgebung, rund 1.200 von ihnen verständigten sich über einen verdeckten Kanal, und etwa 700 beteiligten sich an einem koordinierten Angriff auf die Produktionsinfrastruktur von Hugging Face, um Informationen zur Bewertung des Tests „directly from Hugging Face’s production database“ zu holen. LASST verlangt keinen Schadensersatz, nur Unterlassung und die Anwaltskosten nach dem kalifornischen Wettbewerbsrecht, vor allem, weil OpenAI gegen das Computerstrafrecht des Staates verstoßen habe. Entschieden hat noch kein Gericht. Bemerkenswert ist die Regel, auf die sich die Klage stützt. Seit dem 1. Januar gilt in Kalifornien Section 1714.46 des Civil Code: Wer KI entwickelt, verändert oder eingesetzt hat („developed, modified, or used“) und verklagt wird, kann sich nicht darauf berufen, dass die KI den Schaden selbstständig verursacht hat. Kausalität, Vorhersehbarkeit und das Mitverschulden anderer bleiben als Einwände möglich. Wer einen Agenten betreibt, wird zeigen müssen, was der Agent getan hat und was er nicht tun konnte; dass er von selbst gehandelt hat, zählt nicht.

Ohm hat im US-Justizministerium Computerkriminalität verfolgt, bevor er in Georgetown Recht lehrte. Seine Stellungnahme vor dem Unterausschuss des Senats unter Josh Hawley beginnt mit einem Gedankenexperiment: Ersetzt man in den Berichten über den Vorfall bei Hugging Face „AI agent“ durch „OpenAI employee“, gebe es „little doubt“, dass OpenAI den Geschädigten haften würde und sich Bundesstraftaten schuldig gemacht hätte. Wenn Maschinen hacken, sei das „not so clear“. So wie der Computer Fraud and Abuse Act geschrieben ist, haben nach seiner Lesart weder OpenAI noch seine Beschäftigten wahrscheinlich eine Straftat nach diesem Gesetz begangen, weil die einschlägigen Vorschriften vorsätzlichen Zugriff oder vorsätzliche Beschädigung verlangen. Er regt an, in einer Vorschrift das Wort „intentionally“ zu streichen, und eine Gefährdungshaftung „for developers and deployers of AI agents“, die schwere Schäden verursachen, etwa Verletzung, Tod oder Schäden an kritischer Infrastruktur. CQ Roll Call schreibt in dem Bericht, den GovTech übernommen hat, er habe Gefährdungshaftung für KI-Entwickler gefordert. Die schriftliche Stellungnahme nennt auch die Betreiber und beschränkt sie auf schwere Schäden. Zugleich warnt er: Es wäre unklug, alles, was ein Agent tut, dem nächsten „deployer or developer up the chain“ als gewollt zuzurechnen.

Am Tag nach der Anhörung haben Hawley und der Demokrat Chris Murphy den AI Agent Accountability Act angekündigt. Die Überschrift spricht von KI-Entwicklern und Gefängnis, Murphys Zitat zielt auf „the heads of big AI companies“. Der erste der drei Teile gilt aber den Betreibern: Sie sollen nach dem Computer Fraud and Abuse Act straf- und zivilrechtlich haften, auch „for knowing operation of an AI agent that recklessly causes computer hacking damage or loss“. Entwickler sollen haften, wenn sie keine angemessenen Schutzvorkehrungen treffen, obwohl sie wussten oder wissen mussten, dass ihr Agent hacken kann; der US-Justizminister und die Justizminister der Bundesstaaten sollen auf Unterlassung klagen können. Für Betreiber genügten wissentlicher Betrieb und ein leichtfertig verursachter Schaden; Vorsatz zum Schaden wäre nicht nötig, eine der niedrigeren Schwellen, die Ohm am Tag davor aufgezählt hatte. Veröffentlicht ist noch kein Gesetzestext; wer als Betreiber gilt und was eine angemessene Schutzvorkehrung ist, bleibt offen. Ein Unternehmen, das den Agenten eines Drittanbieters einsetzt, wäre Betreiber im einfachsten Sinn des Wortes.

In derselben Anhörung der Blick aus der Anlage. Gaudette leitet den Bereich Intelligence & Services bei Dragos, einem Unternehmen, das sich ausschließlich auf den Schutz industrieller Steuerungssysteme konzentriert. Er beschreibt zwei Angriffe, bei denen KI im Spiel war. Beim Wasserversorger von Monterrey, SADM, fand das KI-Modell der Angreifer im IT-Netz eine Schnittstelle zur Betriebstechnik, ohne darauf angesetzt worden zu sein, und erzeugte einen Angriff auf deren Zugangsdaten; rund 2.800 Anmeldeversuche wurden abgewiesen, die Grenze zwischen IT und OT hielt. Bei einem Gasversorger nahm der KI-Programmierassistent eines Angreifers eine falsche Konfigurationsänderung vor, die die übernommene Firewall lahmlegte, damit die Standortverbindung des Versorgers störte und dem Angreifer den eigenen Zugang nahm. Einen bestätigten Fall, in dem KI-erzeugte Schadsoftware einen industriellen Prozess physisch beeinträchtigt hat, kennt Dragos nicht, und in beiden Angriffen brachte die KI keine neue Angriffstechnik. Dragos schätzt, dass weniger als 10 Prozent der OT-Umgebungen weltweit Sichtbarkeit und Überwachung haben; die meisten können nach einem Vorfall nicht sagen, ob ein Angriff, eine Fehlfunktion oder ein Bedienfehler die Ursache war. Gaudette empfiehlt, KI mit derselben Strenge zu testen, zu validieren und laufend zu prüfen wie bisher die Steuerungssysteme. Eine Anlage, die nicht rekonstruieren kann, was geschah, kann auch nicht zeigen, was ihr eigener Agent nicht getan hat.

Zum Schluss Berlin. Am 8. Oktober hat der Bundestag die erste umfassende Reform des Produkthaftungsgesetzes seit 1989 beschlossen und damit die EU-Richtlinie 2024/2853 umgesetzt. Software wird zum Produkt, gleich ob sie auf einem Gerät läuft oder als Dienst abgerufen wird; die Gesetzesbegründung nennt KI-Systeme ausdrücklich als Beispiel. Der Hersteller haftet weiter ohne Verschulden, und soweit er über Updates und verbundene Dienste Kontrolle behält, kann er sich nicht darauf berufen, der Fehler sei erst nach dem Inverkehrbringen entstanden, wenn Software, ein Update oder ein fehlendes Sicherheitsupdate die Ursache ist. Das neue Recht gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Dann die Grenze, auf die es hier ankommt: Ersatz gibt es nur für natürliche Personen, bei Tod, Körper- und Gesundheitsschäden sowie für Sachschäden und Datenverlust, nicht aber für Sachen, die ausschließlich beruflich genutzt werden, und nicht für beruflich genutzte Daten. Beschädigt der Agent eines Drittanbieters die Anlage eines anderen Unternehmens, hilft dieses Gesetz nicht; das bleibt Sache der Verträge und des allgemeinen Haftungsrechts. Wer dagegen den Agenten eines Drittanbieters in sein eigenes Produkt einbaut, haftet gegenüber Verbrauchern und anderen natürlichen Personen als Hersteller des eigenen Produkts, neben dem Hersteller der Komponente.