KI-generierter Code: Rechtliche Risiken, Haftung und Compliance

Im April 2023 gab ein Ingenieur von Samsung fehlerhaften Quellcode in ChatGPT ein, um ihn korrigieren zu lassen. Der vertrauliche Code landete damit auf den Servern eines US-Anbieters, ein Sicherheitsvorfall. Seit dem 2. Februar 2025 verlangt außerdem Art. 4 der europäischen KI-Verordnung, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen, eine Pflicht, die viele noch nicht auf dem Schirm haben.

KI-generierter Code bringt echte rechtliche Risiken mit sich: Datenabfluss, Lizenzfallen, fehlender Urheberrechtsschutz, offene Haftungsfragen. Die Rechtsanwältin und KI-Compliance-Beauftragte Caroline Herrmann hat diese Risiken in einer aktuellen Analyse für die Legal Tribune Online (LTO, 2026-07-20) durchleuchtet. Ihre Kernthese: Die Lösung ist nicht neue Gesetzgebung, sondern verantwortungsvolle Tool-Auswahl, klare Verträge, interne Regeln und menschliche Kontrolle. Genau das ist auch unser Ansatz.

Betriebsgeheimnisse und Datenabfluss

Die Mechanik dahinter betrifft jedes Unternehmen gleich: Sobald Code oder Konfigurationsdetails in einen öffentlichen KI-Assistenten eingegeben werden, verlassen sie die Kontrolle des Unternehmens, oft auf Servern in einem anderen Rechtsraum. Für Unternehmen mit sensiblen Betriebsgeheimnissen oder vertraglichen Vertraulichkeitspflichten ist das mehr als ein Compliance-Detail, es kann zum eigenständigen Haftungsrisiko werden.

Bei AI-Shoring bleibt dieses Risiko kontrollierbar, weil kein Code unautorisiert in externe Tools wandert: Entwicklung findet in einer definierten, dokumentierten Umgebung statt, mit klaren Regeln dafür, welche KI-Tools mit welchen Daten arbeiten dürfen.

EU-KI-VO Art. 4: Die Pflicht zur KI-Kompetenz

Seit dem 2. Februar 2025 verlangt Art. 4 der europäischen KI-Verordnung (EU-KI-VO) laut Herrmanns Analyse, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen.

Für uns heißt das: KI-Kompetenz ist kein einmaliges Schulungshäkchen, sondern gelebte Praxis im Entwicklungsalltag, sichtbar in Code-Reviews, Architekturentscheidungen und der Art, wie ein Team mit KI-Vorschlägen umgeht.

Copyleft-Kontamination

Ein zweites, technisch subtileres Risiko: Wurde ein KI-Modell auf Code trainiert, der unter einer Copyleft-Lizenz wie der GPL steht, kann es Fragmente davon reproduzieren. Übernimmt ein Unternehmen diese ungeprüft, übernimmt es auch die damit verbundenen Lizenzpflichten, im schlimmsten Fall die Pflicht, eigenen proprietären Code offenzulegen. Herrmann beschreibt den Mechanismus in ihrer LTO-Analyse so: „Reproduziert der Assistent solche Fragmente, schleppt er deren Lizenzpflichten in das eigene Produkt ein.“

Wer mit KI-Unterstützung entwickelt, sollte deshalb wissen, welche Trainingsdaten- und Lizenzpolitik der eingesetzte Assistent hat, und Code-Reviews gezielt auch auf ungewöhnliche Fremdanteile prüfen, nicht nur auf Funktionalität. Wie real dieses Risiko im Alltag ist und was es für Eigentum und Kontrolle über den eigenen Code bedeutet, beleuchten wir vertiefend in Wem gehört der Code?.

Urheberrecht: Warum rein maschineller Code oft nicht geschützt ist

Ein Punkt, der in der Praxis oft übersehen wird, obwohl er Eigentum am Code direkt betrifft: Nach § 69a Abs. 3 Urheberrechtsgesetz (UrhG) ist ein Computerprogramm nur geschützt, wenn es die eigene geistige Schöpfung eines Menschen ist. Rein maschinell erzeugter Code erfüllt diese Voraussetzung nach Herrmanns Analyse nicht.

Die praktische Konsequenz laut Herrmanns Analyse: Wer Code komplett unbeaufsichtigt von einer KI generieren lässt, besitzt am Ende möglicherweise gar kein schützbares Werk, unabhängig davon, was im Vertrag zur Übergabe steht. Schutzfähig wird das Ergebnis erst durch echte menschliche Gestaltung, etwa durch Architekturentscheidungen, Anpassungen und Review, die eine eigene geistige Leistung darstellen. Genau deshalb bleibt bei AI-Shoring immer ein Mensch für jede Zeile verantwortlich.

Haftung: Wer verantwortet Schäden durch KI-Code?

Wer haftet, wenn ein KI-Assistent fehlerhaften oder rechtsverletzenden Code liefert? In den USA ist genau diese Frage Gegenstand von Doe v. GitHub, einem seit 2022 anhängigen US-Verfahren zu GitHub Copilot, laut Herrmanns Analyse. Eine abschließende rechtliche Klärung steht noch aus.

Solange offene Haftungsfragen wie diese ungeklärt bleiben, bleibt Vorsicht die naheliegende Antwort: Jede Zeile KI-generierten Codes durch dieselbe Code-Review laufen zu lassen wie handgeschriebenen Code, ist unabhängig vom Ausgang des Verfahrens die robustere Praxis.

Der verantwortungsvolle Weg

Herrmanns Fazit deckt sich mit unserem Ansatz: Wer auf neue Gesetze wartet, die all diese Fragen abschließend klären, wartet nach ihrer Einschätzung vergeblich. Verantwortungsvolle Tool-Auswahl, klare Verträge, interne Regeln und echte menschliche Kontrolle sind schon heute der robustere Weg.

Bei AI-Shoring ist genau das der Ausgangspunkt: erfahrene Entwickler entwickeln deine Software mit KI-Unterstützung, jede Zeile durchläuft Review, Code und geistiges Eigentum bleiben bei dir. Was das konkret bedeutet, erklären wir hier: Was ist AI-Shoring?.

Hinweis

Dieser Beitrag ordnet eine aktuelle Rechtsanalyse ein und fasst deren Kernpunkte zusammen. Er ersetzt keine individuelle Rechtsberatung. Für eine rechtliche Einschätzung deines konkreten Falls empfehlen wir, eine spezialisierte Kanzlei zu konsultieren.

Mehr zum Thema Eigentum, Transparenz und Kontrolle findest du hier: Wem gehört der Code?. Den vollständigen Überblick über unseren Ansatz, mit einem echten Fallbeispiel, gibt's im kostenlosen AI-Shoring Leitfaden. Oder du sprichst direkt mit uns: Kostenloses Erstgespräch.