KI-Agenten im Unternehmen: Die Rechtsfragen, auf die es jetzt ankommt

KI-Agenten buchen Reisen, beantworten Kundenanfragen, werten Postfächer aus und lösen Bestellungen aus. Darin liegen ihr Nutzen und ihr rechtliches Risiko zugleich: Ein Agent legt innerhalb seiner Berechtigungen selbst fest, welche Daten er heranzieht und welche Schritte er ausführt. Der Rechtsrahmen dafür hat sich im Herbst 2026 deutlich verdichtet. Das neue Produkthaftungsgesetz ist verkündet, das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat KI-Agenten zum Prüfschwerpunkt 2027 erklärt, und die Europäische Kommission hat am 11. November 2026 mit dem Digital Fairness Act erstmals eigene Regeln für Agenten vorgeschlagen, die für Verbraucher Verträge schließen. Wer Agenten entwickelt, integriert oder einsetzt, sollte diese Entwicklungen kennen. Wir ordnen sie für Sie ein.

Das Wichtigste im Überblick

• Zurechnung: Wer einen Agenten einsetzt, dem ist sein Handeln zuzurechnen. Der Agent wird weder datenschutzrechtlich Verantwortlicher noch eigenes Haftungssubjekt.
• KI-VO: Die Hochrisiko-Pflichten sind verschoben, Verbote, KI-Kompetenz und Transparenzpflichten gelten aber bereits. Agenten müssen offenlegen, dass sie KI sind und für wen sie handeln.
• Haftung: Ab dem 9. Dezember 2026 ist Software ein Produkt im Sinne des Produkthaftungsrechts. Auch mangelnde Cybersicherheit kann einen Produktfehler begründen.
• Datenschutz: Die Aufsicht nimmt Agenten gezielt in den Blick: Zugriffsrechte, Zweckbindung, Memory-Funktionen und echte menschliche Kontrolle.
• Verbraucherverträge: Nach dem Entwurf des Digital Fairness Act entscheidet der Verbraucher, wie selbstständig sein Kauf-Agent Verträge schließen darf.

Was macht KI-Agenten rechtlich besonders?
Klassische KI-Anwendungen reagieren auf eine Eingabe: Sie fassen einen Text zusammen oder beantworten eine Frage. KI-Agenten gehen weiter. Sie planen mehrere Handlungsschritte, nutzen andere Anwendungen, verknüpfen Informationen aus unterschiedlichen Quellen und lösen eigenständig Aktionen aus, etwa eine Buchung, eine E-Mail oder eine Zahlung. Welche Datenverarbeitungen tatsächlich stattfinden, steht deshalb zu Beginn oft nicht fest, sondern zeigt sich erst im Nachhinein.
Rechtlich ändert diese Selbstständigkeit an der Verantwortung nichts. Das BayLDA formuliert es in seinen neuen FAQ zu KI-Agenten deutlich: „Die technische Selbstständigkeit eines KI-Agenten führt nicht dazu, dass dieser selbst zum datenschutzrechtlich Verantwortlichen wird.“ Dasselbe gilt im Vertrags- und Haftungsrecht. Wer den Agenten einsetzt, dem ist er zurechenbar. Die eigentliche Aufgabe liegt deshalb darin, den Handlungsspielraum des Agenten vorab festzulegen und zu kontrollieren.

Welche Pflichten aus der KI-VO gelten schon heute?
Mit der Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744), in Kraft seit dem 27. Juli 2026, hat der Gesetzgeber die Hochrisiko-Pflichten der Verordnung (EU) 2024/1689, kurz „KI-VO“, verschoben: Für eigenständige Hochrisiko-Systeme nach Anhang III gelten sie ab dem 2. Dezember 2027, für in Produkte eingebettete KI nach Anhang I ab dem 2. August 2028. Eine Pause ist das nicht. Bereits anwendbar sind die verbotenen Praktiken (Art. 5 KI-VO), die Pflicht zur Förderung der KI-Kompetenz (Art. 4 KI-VO), die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und seit dem 2. August 2026 die Transparenzpflichten (Art. 50 KI-VO).

Für Agenten besonders wichtig sind die finalen Leitlinien der Kommission zu Art. 50 KI-VO vom 20. Juli 2026. Danach fallen KI-Agenten unter die Offenlegungspflicht des Art. 50 Abs. 1 KI-VO. Interagiert ein Agent mit Menschen, muss er offenlegen, dass er eine KI ist und in wessen Auftrag er handelt. Das gilt nicht nur beim ersten Kontakt, sondern auch an Schlüsselstellen wie Autorisierung oder Bericht. In Multi-Agenten-Systemen muss jeder Agent, der mit Menschen in Kontakt kommen kann, diese Anforderungen selbst erfüllen. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, endet die Übergangsfrist für die Kennzeichnung synthetischer Inhalte am 2. Dezember 2026.

Ob ein Agent ein Hochrisiko-System ist, hängt vom Einsatzzweck und vom Autonomiegrad ab. Agenten mit Letztentscheidung in sensiblen Bereichen wie Personal oder Kredit bleiben Hochrisiko-Kandidaten. Die Leitlinien der Kommission zur Einstufung nach Art. 6 KI-VO liegen bislang nur als Entwurf vom 19. Mai 2026 vor. Unternehmen sollten die Einstufung ihrer Anwendungsfälle trotzdem jetzt dokumentieren. Die nationale Aufsicht arbeitet bereits: Das KI-Marktüberwachungsgesetz (KI-MIG) ist seit dem 29. Juli 2026 in Kraft, die Marktüberwachung liegt bei der Bundesnetzagentur.

Wer haftet, wenn der Agent Schaden anrichtet?
Die geplante KI-Haftungsrichtlinie ist zurückgezogen. Haftungsrechtlich bleibt es damit bei der Zurechnung nach allgemeinen Regeln und beim neuen Produkthaftungsrecht. Dieses ist seit dem 27. Oktober 2026 verkündet (Gesetz zur Modernisierung des Produkthaftungsrechts, BGBl. 2026 I Nr. 321) und setzt die Richtlinie (EU) 2024/2853 um. Das neu gefasste Produkthaftungsgesetz (ProdHaftG) gilt ab dem 9. Dezember 2026.

Die Kernpunkte für Agenten:

• Software ist Produkt: Erfasst sind auch KI-Systeme und SaaS-Angebote. Ausgenommen ist Open-Source-Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.
• Verschuldensunabhängig und ohne Höchstgrenze: Die bisherige Haftungshöchstgrenze entfällt.
• Cybersicherheit als Fehlermaßstab: Der Fehlerbegriff berücksichtigt gesetzliche Sicherheitsanforderungen einschließlich der Cybersicherheit, etwa nach dem Cyber Resilience Act.
• Beweiserleichterungen: Vermutungen zugunsten Geschädigter, Pflichten zur Offenlegung von Beweismitteln und Kollektivklagen stärken die Position der Anspruchsteller.
• Stichtag: Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht werden, gilt das alte Recht. Eine wesentliche Änderung, etwa ein großes Software-Update, kann ein Altprodukt aber in das neue Regime ziehen
• Wichtig ist das vor allem für Unternehmen, die Agenten nicht nur nutzen, sondern selbst entwickeln oder in eigene Produkte integrieren. Sie können Hersteller im produkthaftungsrechtlichen Sinn werden.

Was erwarten die Datenschutzaufsichtsbehörden?
Die Aufsicht wird konkret. Das BayLDA hat am 3. November 2026 angekündigt, KI-Agenten 2027 zum Schwerpunkt zu machen, mit einer thematischen Prüfreihe. Prüfkriterien und Zeitplan sind noch nicht veröffentlicht. Bereits online sind die FAQ „Einzelfragen zu KI-Agenten“, die zeigen, worauf es ankommen wird:

• Zugriffe: Agenten dürfen nur auf die Datenbestände und Funktionen zugreifen, die sie für ihre Aufgabe benötigen. Das ist vor dem Einsatz festzulegen, besonders bei Anbindung an Postfächer, Dokumentenablagen, CRM- oder Personalsysteme.
• Zweckbindung: Die Nutzung vorhandener Daten durch einen Agenten ist nicht schon deshalb eine Zweckänderung, weil eine neue Technologie eingesetzt wird. Zieht der Agent aus Projektkorrespondenz aber Rückschlüsse auf die Arbeitsleistung von Beschäftigten, kann das anders sein.
• Memory und Betroffenenrechte: Personenbezogene Daten stecken auch in gespeicherten Interaktionen, Agenten-Memories, Protokollen und vom Agenten erzeugten Bewertungen. Sie müssen auffindbar, berichtigbar und löschbar sein.
• Datenschutz-Folgenabschätzung: Eine DSFA ist nicht automatisch erforderlich, aber sorgfältig zu prüfen, vor allem bei der Bewertung von Beschäftigten, bei besonderen Kategorien personenbezogener Daten und bei Entscheidungen mit erheblichen Auswirkungen.

Bei automatisierten Entscheidungen nach Art. 22 DSGVO kommt es darauf an, ob die menschliche Letztentscheidung echt ist oder nur formal abgehakt wird. Die spanische Aufsichtsbehörde AEPD hat im Februar 2026 eine eigene Guidance zu agentischer KI vorgelegt; ihr wichtigster Praxispunkt: Wird ein Agent in einen bestehenden Prozess eingebaut, ist das eine neue Verarbeitung, die neu zu bewerten ist. Auf Entlastung durch den Digital Omnibus sollten Unternehmen nicht warten. Der Rat hat sein Verhandlungsmandat zur DSGVO-Reform am 21. Oktober 2026 beschlossen, das Europäische Parlament wird seine Position voraussichtlich erst 2027 festlegen. Bis dahin gilt die DSGVO unverändert.

Warum ist IT-Sicherheit bei Agenten auch eine Rechtsfrage?
Ein Agent mit Zugriff auf Systeme und Schnittstellen ist eine Angriffsfläche. Das BSI hat im Juni 2026 davor gewarnt, dass KI-Systeme selbst zum Angriffsziel werden. Typische Einfallstore sind Prompt Injection (manipulierte Inhalte in E-Mails, Webseiten oder Dokumenten steuern den Agenten), manipulierte Tool-Beschreibungen und MCP-Server sowie zu weit gefasste Berechtigungen und Zugangsdaten der Agenten. Bewährte Gegenmittel sind minimale Rechte (Least Privilege), Sandboxing, menschliche Freigabe für schreibende Aktionen und zentrale, auswertbare Protokolle.

Rechtlich schlägt das gleich doppelt durch: datenschutzrechtlich über die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen und haftungsrechtlich über den neuen Fehlerbegriff des ProdHaftG. Wie sich IT-Sicherheitsanforderungen vertraglich absichern lassen, beschreiben wir auf unserer Überblicksseite zu IT-Sicherheit im Vertrag, die in der kommenden Woche auf diesem Blog online gehen wird.

Was regelt der am 11.11.2026 veröffentlichte Entwurf zum Digital Fairness Act für Kauf-Agenten?
Am 11. November 2026 hat die Kommission den Vorschlag für einen Digital Fairness Act (DFA) vorgelegt. Die Verordnung soll das Verbraucherrecht für den digitalen Markt modernisieren und richtet sich vor allem gegen Dark Patterns, suchtförderndes Design, Abofallen und personalisierte Preise. Für Agentic AI sind Art. 26 und Art. 27 DFA-E der Kern. Es handelt sich um einen Entwurf: Parlament und Rat müssen ihn noch verhandeln, verbindlich ist er nicht.

Art. 26 DFA-E richtet sich an Unternehmer, die Verbrauchern „automatisierte Systeme“ zum Abschluss oder zur Durchführung von Verträgen bereitstellen. Die Definition (Art. 3 Nr. 21 DFA-E) knüpft an Software an, die ohne menschliches Zutun Entscheidungen und Handlungen mit Rechtswirkung treffen kann. Sie ist nicht an den Begriff des KI-Systems der KI-VO gebunden, erfasst also auch regelbasierte Kauf-Tools. Beim ersten Einsatz muss der Verbraucher aktiv eine von drei Stufen wählen:

• Alles bestätigen: Jeder vom Agenten vorgeschlagene Vertrag bedarf der Freigabe.
• Nach Kriterien bestätigen: Freigabe nur außerhalb selbst gesetzter Grenzen, etwa eines Höchstpreises oder einer Gültigkeitsdauer.
• Volle Autonomie: Der Agent schließt ohne Einzelfreigabe ab.

Die Wahl ist jederzeit änderbar und vom Unternehmer auf einem dauerhaften Datenträger zu bestätigen; Werkzeuge zum Einstellen der Parameter sind bereitzustellen (Art. 26 Abs. 1 DFA-E). Vor jeder Freigabe muss der Agent Preis, Identität des Händlers und weitere Kerninformationen anzeigen (Art. 26 Abs. 4 lit. a DFA-E). Erhält der Anbieter eine Zahlung dafür, dass er einen Vertrag vorschlägt, oder besteht ein Interessenkonflikt, ist das offenzulegen, und der Verbraucher muss unabhängig von der gewählten Stufe bestätigen (Art. 26 Abs. 4 lit. b DFA-E). Unternehmer dürfen den Kauf schließlich nicht ausschließlich über Agenten zulassen (Art. 26 Abs. 9 DFA-E). Finanzdienstleistungen sind ausgenommen.

Art. 27 DFA-E regelt den Fall, dass auf beiden Seiten Agenten handeln. Pflichtinformationen dürfen dann in einem gängigen maschinenlesbaren Format bereitgestellt werden, und Formvorgaben des Checkouts wie die Schaltfläche „zahlungspflichtig bestellen“ entfallen. Der Verbraucher erhält aber weiterhin eine klare und verständliche Vertragsbestätigung auf einem dauerhaften Datenträger.

Viele Fragen bleiben offen. Ist der hauseigene Agent eines Händlers stets in einem Interessenkonflikt? Zählt eine erfolgsabhängige Provision als Zahlung für das Vorschlagen eines Vertrags? Wirksamkeit, Vertretung und Fehlkäufe richten sich weiter nach nationalem Vertragsrecht (Art. 2 Abs. 2 DFA-E). Und ein Zugangsrecht für fremde Agenten gewährt der Entwurf nicht: Am selben Tag, an dem die Kommission ihren Vorschlag vorlegte, hat United Airlines Buchungen durch KI-Agenten in seinen Beförderungsbedingungen untersagt. Art. 26 Abs. 9 DFA-E verbietet nur den Zwang zum Agenten, nicht dessen Ausschluss.

Was Unternehmen jetzt tun sollten
Für Unternehmen bedeutet das: Autonomie braucht Architektur. Wer die folgenden Bausteine aufsetzt, ist für KI-VO, DSGVO, Produkthaftung und einen künftigen DFA gleichermaßen vorbereitet:

• Inventar: Alle Agenten und Anwendungsfälle erfassen, auch No-Code-Lösungen. Schatten-Agenten ohne Freigabeprozess sollte es nicht geben.
• Einstufung: Risikoklasse nach der KI-VO bestimmen und DSFA-Bedarf prüfen, mit Dokumentation.
• Rechte und Rollen: Minimale Berechtigungen, menschliche Freigaben für kritische Aktionen und eine Möglichkeit, den Agenten sofort zu stoppen.
• Protokollierung: Schritte und Tool-Aufrufe lückenlos und forensisch nutzbar aufzeichnen. Ohne Logs lässt sich ein Schaden weder rekonstruieren noch abwehren.
• Verträge: Auftragsverarbeitung, Haftung, Hosting, Ausschluss des Trainings mit eigenen Daten und Exit regeln. Prompts, Workflows und Konfigurationen sollten exportierbar sein; der Data Act hilft beim Anbieterwechsel, ab dem 12. Januar 2027 dürfen keine Wechselentgelte mehr verlangt werden.
• Kompetenz: Mitarbeitende nach Art. 4 KI-VO schulen und das dokumentieren.

Wer Agenten für Verbraucher anbietet, sollte zusätzlich Freigabestufen, Ausgabegrenzen und die Offenlegung von Provisionen schon jetzt in das Produktdesign aufnehmen. Ein Agent, der 80 Euro ausgeben darf, sollte keinen Kauf über 120 Euro abschließen können, nur weil an der Kasse ein Aufschlag hinzukommt.

Häufige Fragen

• Ist jeder KI-Agent ein Hochrisiko-KI-System? Nein. Entscheidend sind Einsatzzweck und Autonomiegrad. Agenten, die in sensiblen Bereichen wie Personal oder Kredit selbst entscheiden, sind allerdings Hochrisiko-Kandidaten. Die Pflichten dafür gelten ab dem 2. Dezember 2027.
• Braucht jeder KI-Agent eine Datenschutz-Folgenabschätzung? Nicht automatisch. Die Pflicht ist aber sorgfältig zu prüfen, insbesondere wenn der Agent Quellen verknüpft, Beschäftigte bewertet oder Entscheidungen mit erheblicher Wirkung trifft.
• Haftet der Anbieter oder das einsetzende Unternehmen? Gegenüber Dritten ist das Handeln des Agenten dem einsetzenden Unternehmen zuzurechnen. Wer Agenten entwickelt oder in eigene Produkte integriert, haftet ab dem 9. Dezember 2026 zusätzlich als Hersteller nach dem neuen ProdHaftG. Die Verteilung im Innenverhältnis ist Sache des Vertrags.
• Gilt der Digital Fairness Act schon? Nein. Es handelt sich um einen Vorschlag der Kommission vom 11. November 2026, über den Parlament und Rat noch verhandeln.

Vertiefend zu allen Rechtsfragen rund um KI empfehlen wir unser Buch „KI und Recht für Dummies“ (Kristina Schreiber und Marlene Schreiber, Wiley-VCH 2025). Sprechen Sie uns an! Wir begleiten Unternehmen bei Einführung, Governance und Verträgen für KI-Agenten.

Ihre Ansprechpartnerin: Dr. Kristina Schreiber

Dr. Kristina Schreiber ist Fachanwältin für Verwaltungsrecht und CIPP/E und Partnerin bei Loschelder Rechtsanwälte in Köln. Sie ist spezialisiert auf rechtliche Begleitung von Digitalisierungsprojekten und die Beratung und Vertretung in allen Fragen des Datenschutzes, der Datennutzung und der Cyber-Sicherheit. Sie publiziert regelmäßig in Fachzeitschriften zu diesen Themen, ist Lehrbeauftragte an der Universität Köln und an der FernUniversität Hagen sowie Referentin auf diversen Fachveranstaltungen.
kristina.schreiber@loschelder.de