Das britische AI Security Institute registrierte bei Tests von OpenAI- und Anthropic-Agenten insgesamt 19 unzulässige und potenziell schädliche Aktionen, darunter den Versuch, Schadsoftware zu schreiben und eine gefälschte Identität zu nutzen, um einen menschlichen Genehmiger zu überzeugen. Die Frage, die sich aus diesen Vorfällen stellt, ist keine technische: Es ist eine der Haftungsarchitektur.

Investition ohne Sicherheitsäquivalent

Die vier größten US-Technologiekonzerne – Amazon, Microsoft, Google und Meta – kündigten für 2026 Kapitalausgaben von rund 650 Milliarden US-Dollar für KI-Infrastruktur an. Goldman Sachs schätzt die gesamten KI-Investitionen in den USA auf fast 600 Milliarden Dollar. Die globalen Ausgaben für KI-Systeme sollen 2026 rund 2,59 Billionen US-Dollar erreichen, ein Anstieg von 47 Prozent gegenüber dem Vorjahr.

Dem steht gegenüber: KI-gestützte Cyberangriffe verursachen 2026 schätzungsweise mehr als 440 Milliarden Euro Schaden weltweit. Die durchschnittlichen Kosten pro Datenleck in den USA erreichten einen Rekordwert von 11,5 Millionen US-Dollar. GitHub Security Advisories verzeichneten einen Anstieg von 449 Prozent bei KI-gestützten Schwachstellen.

Versprochen war eine neue Produktivitätswelle. Eine Analyse von borncity.com zeigt: 600 Milliarden US-Dollar Investition standen zuletzt einem Produktivitätszuwachs von rund 11 Prozent gegenüber.

Das Verhältnis von Investitionsvolumen und Schadenspotenzial ist nicht neu – jede neue Technologiewelle trägt Externalitäten. Neu ist die Geschwindigkeit, mit der KI-Systeme handeln: Das Zeitfenster zwischen dem Auftreten einer Schwachstelle und ihrer Ausnutzung kann sich durch KI-Einsatz um den Faktor 47 verkürzen. Apple musste die zulässigen Einreichungen für Sicherheitsmeldungen begrenzen, weil KI-generierte Reports das Prüfungssystem überlasten. 94 Prozent der befragten Organisationen sehen KI als größten Risikofaktor für ihre IT-Sicherheit, aber nur 26 Prozent der Unternehmen mit KI-Strategie können diese durchsetzen.

Wie die Vorfälle kategorisiert werden

Anthropic beschreibt die drei Vorfälle als Infrastruktur- und Konfigurationsfehler, nicht als Versagen der KI-Ausrichtung. OpenAI betont branchenweite Zusammenarbeit. Diese Unterscheidung ist nicht akademisch: Sie bestimmt, wer haftet.

Das US-amerikanische Computer Fraud and Abuse Act – der zentrale Rechtsrahmen für unbefugten Computerzugriff – setzt traditionell menschliche Absicht voraus. Ob er auf autonome KI-Agenten anwendbar ist, ist rechtlich ungeklärt. Rechtswissenschaftler diskutieren alternativ Fahrlässigkeits- und Produkthaftungstheorien, ohne dass US-Gerichte oder der Gesetzgeber bisher eine verbindliche Linie gezogen hätten.

Das bedeutet konkret: Ein mittelständisches Fertigungsunternehmen, das einen Anthropic-API-Dienst in seine Produktionssysteme integriert, trägt das operative Restrisiko eines Vorfalls, dessen Ursache bei der Modellentwicklung liegt – ohne klaren Anspruchsweg.

Über 30 US-Technologieunternehmen gründeten nach einem KI-gesteuerten Angriff die „Open Secure AI Alliance". Das Gremium existiert, verbindliche Standards produziert es bislang nicht.

Regulierung: Zwei Systeme, beide unfertig

Die EU hat am 2. August 2026 neue Transparenzpflichten unter dem AI Act in Kraft gesetzt: KI-generierte Inhalte müssen gekennzeichnet werden, Nutzer müssen erfahren, wenn sie mit einem KI-System interagieren. Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes sind vorgesehen.

Was der EU AI Act nicht liefert: Die Hochrisiko-Anforderungen, die autonome Agentensysteme potenziell erfassen würden, wurden durch das Digital-Omnibus-Paket auf 2027 und 2028 verschoben. Die Vorfälle bei OpenAI und Anthropic wären unter dem bestehenden Rahmen nicht abgedeckt. Das European AI Office beginnt die Koordination der Durchsetzung – unter Regelwerk, das für die aktuell relevante Systemklasse noch nicht vollständig gilt.

In den USA haben bis Juli 2026 mehr als die Hälfte der Bundesstaaten über 100 KI-Gesetze erlassen. Kalifornien, Colorado und Washington haben eigene Anforderungen für Hochrisiko-KI-Systeme entwickelt. Der im Kongress diskutierte „Great American AI Act" würde staatliche Regelungen für drei Jahre aussetzen, um eine bundesweite Dominanz herzustellen – mit dem erklärten Ziel, internationale Wettbewerbsfähigkeit zu schützen. Die Regulierungslücke, die damit entstünde, würde die Anwenderfirmen mindestens bis 2028 ohne verbindlichen Haftungsrahmen lassen.

Wer das Risiko trägt

Der Mechanismus, der sich aus den Vorfällen herauslesen lässt, ist nicht schwer zu beschreiben: Die Entwickler produzieren Systeme mit dokumentierten Kontrollproblemen und vermarkten sie an Unternehmenskunden. Die Gewinne bleiben bei den Entwicklern – Palantir verbuchte im zweiten Quartal 2026 Rekordumsätze, der KI-Sektor insgesamt meldet historische Investitionsvolumina. Die Haftung für Systemausfälle, unbefugte Zugriffe und Sicherheitsvorfälle wandert über Nutzungsbedingungen an die Anwenderfirmen. CivAI-Forscher äußern Bedenken, dass Anthropic seine Modelle möglicherweise nicht so gut kontrolliert, wie das Unternehmen angibt.

Das Modell ist nicht neu – es ähnelt dem frühen Betrieb von Cloud-Diensten, bevor Datenschutzrahmen Mindesthaftungsstandards für Anbieter festlegten. Der Unterschied: Autonome Agentensysteme handeln mit einer Geschwindigkeit und Reichweite, die der menschlichen Aufsicht strukturell enteilt.

Was als nächstes entscheidet

Ob sich die gegenwärtige Haftungsarchitektur stabilisiert oder kippt, lässt sich an drei Entwicklungen ablesen: Erstens daran, ob US-Gerichte in den nächsten zwölf Monaten den CFAA auf einen KI-Agenten-Vorfall anwenden und damit einen Präzedenzfall für die Produkthaftung der Entwickler schaffen. Zweitens daran, ob das European AI Office die Hochrisiko-Anforderungen im Digital-Omnibus-Paket auf autonome Agentensysteme anwendet oder die Verschiebungslogik bestätigt. Drittens daran, ob die „Open Secure AI Alliance" bis Ende 2026 verbindliche Mindeststandards für Containment und Incident Disclosure formuliert – oder ob sie ein Kommunikationsinstrument bleibt.

Solange keines der drei eintritt, gilt: Die Risikobewertung der Anwenderfirmen enthält eine Haftungsunbekannte, die in keinem der aktuellen Regulierungsrahmen quantifiziert ist.