Ghost in the Machine: Was KI-Bias und Eugenik mit deinem Haftungsrisiko zu tun haben

Valerie Veatchs Dokumentarfilm Ghost in the Machine, uraufgeführt beim Sundance Film Festival 2026, stellt eine These auf, die Unternehmensverantwortliche nicht ignorieren sollten: Generative KI-Systeme reproduzieren keine zufälligen Fehler — sie erben strukturierte Vorurteile aus einer Ideengeschichte, die bis in eugenische Denkschulen des 19. und frühen 20. Jahrhunderts zurückreicht. Wer diese Systeme in Produkte, HR-Prozesse oder Kundeninteraktionen einbettet, trägt das damit verbundene Haftungs- und Reputationsrisiko mit.

Der Film erscheint zu einem Zeitpunkt, an dem die regulatorische Landschaft in der EU bereits Konturen annimmt. Seit August 2025 gelten unter dem EU AI Act Governance-Regeln und Strafvorschriften für General Purpose AI. Ab August 2026 tritt der Hauptteil des Regelwerks in Kraft — inklusive Hochrisiko-KI, Biometrie und HR-Systemen. Für Entscheider bedeutet das: Der Zeitraum für unreflektierten KI-Einsatz schließt sich.

Von Francis Galton bis zum Sprachmodell: Die Ideengeschichte des Bias

Der Begriff "Artificial Intelligence" entstand als Marketingvehikel zur Einwerbung von Forschungsgeldern. Was dabei weniger kommuniziert wurde: Konzepte wie "allgemeine Intelligenz" und die dafür entwickelten statistischen Verfahren haben ihre intellektuellen Wurzeln in der Eugenik-Bewegung. Zwangssterilisierungen in den USA begannen 1907 auf Basis von Intelligenzklassifikationen, die mit ähnlichen statistischen Methoden arbeiteten, wie sie heute in Machine-Learning-Modellen zum Einsatz kommen.

Veatch dokumentiert im Film, wie diese Denkmuster — Hierarchisierung von Gruppen, Optimierung auf "wünschenswerte" Merkmale, Selektion nach messbaren Proxies — in modernen Trainingsdaten und Algorithmen nachwirken. Das prominenteste öffentliche Beispiel bleibt Microsofts Chatbot Tay, der sich 2016 innerhalb von nur 16 Stunden zu rechtsextremen Inhalten radikalisierte — nicht durch explizite Programmierung, sondern durch das Lernen aus unbereinigten Interaktionsdaten. Für Unternehmen, die heute proprietäre Modelle auf internen Datenpools trainieren, ist das kein historisches Kuriosum, sondern ein operatives Muster.

Geschäftsrisiko Bias: Drei Ebenen, die Boards kennen müssen

Die Risiken, die aus algorithmischem Bias entstehen, gliedern sich in drei analytisch trennbare Ebenen:

• Reputationsrisiko: KI-generierte Inhalte — ob in Kundenkommunikation, Marketing oder internen Tools — können rassistische oder sexistische Ausgaben produzieren, ohne dass ein Mensch dies explizit veranlasst hat. Der Schaden entsteht nicht erst bei böser Absicht, sondern bei nachgewiesener Nachlässigkeit im Systembetrieb.
• Haftungsrisiko: Vorhersagemodelle, die in Kreditvergabe, Personalauswahl oder Strafverfolgung eingesetzt werden, können Gruppen systematisch benachteiligen. In den USA haben KI-gestützte Systeme bereits Klagewellen gegen Behörden wie ICE ausgelöst. In der EU wird ab August 2026 HR-KI explizit als Hochrisiko-Kategorie reguliert — mit Bußgeldern bis 15 Millionen Euro oder drei Prozent des globalen Jahresumsatzes.
• Strategisches Risiko: Unternehmen, die biased KI-Systeme betreiben, riskieren Boykotte und den Verlust qualifizierter Talente, die ethische Standards in der Technologieauswahl zunehmend als Entscheidungskriterium nutzen.

EU AI Act: Was ab 2026 konkret gilt

Für DACH-Unternehmen ist die regulatorische Einordnung entscheidend. Seit Februar 2025 sind Verbote bestimmter KI-Praktiken sowie die KI-Literacy-Pflicht für Mitarbeitende in Kraft. Seit August 2025 gelten die GPAI-Regeln, Governance-Anforderungen und Strafrahmen. Ab August 2026 tritt der Hauptteil des AI Act in Kraft, der explizit Hochrisiko-Anwendungen in den Bereichen Personalwesen, Kreditwesen und biometrische Klassifikation erfasst.

Systeme, die in diesen Bereichen eingesetzt werden und diskriminierende Ausgaben produzieren, können als nicht-konform eingestuft werden — mit Konsequenzen, die weit über interne Qualitätsprobleme hinausgehen. Unternehmen, die entsprechende Systeme von Drittanbietern beziehen, müssen nachweisen können, dass sie deren Funktionsweise und Risiken geprüft haben. Eine Due-Diligence-Dokumentation ist damit keine optionale Best Practice, sondern absehbare rechtliche Pflicht.

Zusätzlich greifen bei personenbezogenen Daten die DSGVO-Anforderungen: Artikel 22 regelt automatisierte Entscheidungen, Artikel 35 schreibt Datenschutz-Folgenabschätzungen vor. Unternehmen, die US-amerikanische KI-Modelle mit europäischen Nutzerdaten betreiben, müssen den Drittlandtransfer absichern — ein oft unterschätzter Compliance-Faktor.

So What? Die strategische Konsequenz für das Management

Der Dokumentarfilm Ghost in the Machine ist kein akademisches Kulturprojekt. Er ist ein Frühwarnsignal aus der Zivilgesellschaft, das auf echte operative Risiken hinweist, die in Boardroom-Diskussionen noch immer zu selten adressiert werden. Die zentrale Frage, die Veatch stellt — "Warum brauchen wir KI überhaupt?" — klingt provokant, ist aber strategisch präzise: Sie fordert eine Zweck-Mittel-Analyse, bevor Systeme implementiert werden, nicht danach.

Für Entscheider bedeutet das konkret: Die Beschaffung eines KI-Systems ohne systematische Bias-Analyse ist inzwischen ein kalkuliertes Risiko, kein unvermeidliches. Wer Modelle einsetzt, deren Trainingsdaten, Architektur und Ausgabemuster nicht geprüft wurden, delegiert Haftung — ohne das zu wissen. Deutsche Industrieunternehmen, die KI-Systeme in Lieferketten, Personalentscheidungen oder Kundenkommunikation integrieren, stehen vor derselben Ausgangslage wie US-Konzerne, die bereits vor Gerichten stehen.

Fazit: Bias-Prüfung ist keine Ethik-Übung, sondern Risikomanagement

Die Thesen aus Ghost in the Machine mögen aus einem Dokumentarfilm stammen — ihre geschäftliche Relevanz ist unabhängig davon real. Algorithmischer Bias ist messbar, dokumentierbar und gerichtsverwertbar. Unternehmen, die KI einsetzen, sollten drei Schritte priorisieren: erstens eine systematische Bestandsaufnahme der eingesetzten Systeme nach Risikoklassen des EU AI Act; zweitens die Einführung von Bias-Audits als Teil des regulären Software-Lifecycles; drittens die vertragliche Absicherung gegenüber KI-Anbietern hinsichtlich Trainingsdaten-Transparenz und Haftungsverteilung. Wer diese Schritte jetzt nicht geht, wird sie spätestens ab August 2026 unter deutlich höherem Druck nachholen müssen.