Warum unkontrollierte KI-Chatbots zur persönlichen Haftungsfrage für Vorstände werden

Das Oberlandesgericht Hamm hat entschieden, dass Unternehmen wettbewerbsrechtlich für die Aussagen ihres KI-Chatbots haften, unabhängig davon, ob eine Falschaussage bewusst einprogrammiert oder durch eine Halluzination entstanden ist. Im konkreten Fall hatte ein Chatbot einer Schönheitsklinik fälschlicherweise bestätigt, die Geschäftsführer seien Fachärzte für plastische und ästhetische Chirurgie. Das Urteil ist noch nicht rechtskräftig, trifft dem Prinzip nach aber jede Einrichtung mit einem Chatbot.

Für Krankenhäuser reicht die Frage weit über Websites hinaus. KI-Agenten sind bereits in Klinikinformationssysteme wie ORBIS integriert und übernehmen Aufgaben in Dokumentation und Prozesssteuerung. Ein Anbieter sicherte sich zuletzt 37 Millionen Euro Wachstumskapital für den Ausbau seines Klinik-Agenten, angeführt vom norwegischen Prüfkonzern DNV. Agenten, die außerhalb der Wahrnehmung von IT- und Sicherheitsabteilungen operieren, werden in der Branche als Schatten-KI bezeichnet.

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz für Gesundheitseinrichtungen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz. Vorstände und Geschäftsführungen haften seither persönlich, Bußgelder können bis zu zwei Prozent des weltweiten Jahresumsatzes betragen. Die BSI-Registrierungsfrist lief am 6. März 2026 ab.

Autor Jens Kögler empfiehlt vier Kontrollfragen vor jeder Agentenintegration: Welche Agenten sind im Einsatz? Wer hat worauf Zugriff? Wie ist das Risiko einzustufen? Wie lässt sich ein Agent im Ernstfall schnell abschalten? Als erste Schritte nennt er ein vollständiges KI-Inventar, eine klare Zuständigkeit beim IT-Sicherheitsbeauftragten sowie geübte Abschaltszenarien.

Langfristig brauchen Kliniken einen zentralen Leitstand, der sieht, welche Agenten laufen, wer für sie verantwortlich ist und was ihnen erlaubt ist. Wer diese Governance jetzt aufbaut, muss sie später nicht unter Haftungsdruck nachrüsten.