Die Einführung von KI ist in den meisten Unternehmen inzwischen ein Programm mit eigenem Budget, eigenen Verantwortlichen und einer wachsenden Zahl produktiver Anwendungen. Auffällig ist, wie unscharf die Rollenverteilung an der Spitze dabei oft bleibt. Entweder behandelt der Aufsichtsrat das Thema als IT-Angelegenheit und hält sich heraus, oder der Vorstand delegiert nicht nur die Umsetzung, sondern auch die Entscheidungen an CIO oder Chief Digital Officer. Beides erzeugt eine Lücke, die erst sichtbar wird, wenn etwas schiefgeht. Dieser Beitrag beschreibt, wie sich Führung und Überwachung bei der KI-Einführung sauber trennen und verbinden lassen.
Die Einführung ist Leitungsaufgabe des Vorstands
Der Vorstand leitet die Gesellschaft in eigener Verantwortung, so steht es in Paragraf 76 des Aktiengesetzes, und für die Geschäftsführung einer GmbH gilt der Sache nach dasselbe. Die Umsetzung von KI-Vorhaben kann und soll delegiert werden. Die Entscheidungen, die das Risikoprofil und die Kapitalbindung des Unternehmens verändern, können es nicht. Hinzu kommt die Business Judgment Rule: Geschützt ist eine unternehmerische Entscheidung nur, wenn sie auf der Grundlage angemessener Information getroffen wurde. Für KI-Entscheidungen bedeutet das, dass die Informationsgrundlage dokumentiert sein muss, bevor entschieden wird, nicht danach.
Konkret sind es vier Entscheidungen, die beim Vorstand liegen. Erstens Anspruch und Prioritäten, also wo KI zum Ergebnis beitragen soll und wo bewusst nicht. Zweitens der Risikoappetit, insbesondere die Frage, in welchen Prozessen Systeme ohne menschliche Freigabe handeln dürfen. Drittens die Plattform- und Partnerentscheidungen, weil sie Abhängigkeiten über Jahre begründen. Viertens Organisation und Befähigung, also wer die Verantwortung für produktive Systeme trägt und welche Kompetenz dafür aufgebaut wird. Alles Weitere lässt sich delegieren, diese vier Punkte nicht.
Der Aufsichtsrat überwacht, und dafür braucht er Information
Der Aufsichtsrat überwacht die Geschäftsführung, und er kann nur überwachen, was er sieht. Die Berichte des Vorstands nach Paragraf 90 des Aktiengesetzes decken KI in vielen Unternehmen bisher nur beiläufig ab, meist als Aufzählung von Anwendungsfällen in einer Strategiepräsentation. Das reicht nicht, um zu beurteilen, ob der Vorstand das Thema steuert. Sinnvoll ist eine Ergänzung der Informationsordnung um vier Inhalte: ein Verzeichnis der produktiven KI-Systeme mit Risikoeinstufung, der Stand der Investitionen und ihrer Wirkung gegenüber Plan, relevante Vorfälle und Beinahevorfälle sowie der Stand der regulatorischen Umsetzung.
Entscheidend ist dabei weniger der Umfang als die Regelmäßigkeit. Ein kompakter Bericht im Quartal, dazu eine anlassbezogene Information bei Vorfällen, genügt in den meisten Fällen. Die Leitfrage für die Gestaltung lautet: Kann der Aufsichtsrat auf dieser Grundlage beurteilen, ob der Vorstand die vier Kernentscheidungen getroffen hat und ob die Umsetzung ihnen folgt? Wenn die Antwort nein lautet, ist der Bericht zu technisch oder zu werblich, und in beiden Fällen verfehlt er seinen Zweck.
Wo KI in den Gremien hingehört
Die Frage, ob KI einen eigenen Ausschuss braucht, wird häufig gestellt und meist zu früh beantwortet. Für die Risikoseite gibt es einen natürlichen Ort: Der Prüfungsausschuss befasst sich nach Paragraf 107 des Aktiengesetzes mit der Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems, und KI-Risiken gehören genau dorthin. Die strategische Seite, also Anspruch, Prioritäten und Kapital, gehört ins Plenum. Ein eigener KI-Ausschuss ist dann sinnvoll, wenn KI das Geschäftsmodell im Kern verändert. Sonst besteht die Gefahr, dass das Thema in einem Ausschuss verschwindet, statt in den bestehenden Strukturen wirksam zu werden.
Der Prüfungsausschuss hat dabei ein Werkzeug, das selten genutzt wird: die Verbindung zu interner Revision und Abschlussprüfer. KI-Kontrollen lassen sich in das interne Kontrollsystem aufnehmen, und Ergebnisse unabhängiger Prüfungen, etwa aus Red Teaming Engagements, sind belastbare Nachweise ihrer Wirksamkeit. Der Aufsichtsrat kann diese Nachweise anfordern, und er sollte es tun, weil sie mehr über die tatsächliche Steuerung aussagen als jede Präsentation.
Kompetenz im Aufsichtsrat selbst
Der Deutsche Corporate Governance Kodex sieht für den Aufsichtsrat ein Kompetenzprofil vor, das die Zusammensetzung des Gremiums leitet. In vielen Profilen ist Digitalisierung inzwischen enthalten, KI als eigenes Feld seltener. Das Ziel ist nicht, dass jedes Mitglied Fachexperte wird. Das Gremium muss insgesamt in der Lage sein, die richtigen Fragen zu stellen und die Antworten einzuordnen. Dafür genügt häufig ein gezieltes Briefing, idealerweise gemeinsam mit dem Vorstand, damit beide Gremien auf derselben Grundlage sprechen.
Als Prüfstein eignen sich fünf Fragen, die ein Aufsichtsrat stellen können sollte. Welche Systeme handeln bei uns ohne menschliche Freigabe? Was wäre der teuerste realistische Fehler eines dieser Systeme? Wer verantwortet ihn namentlich? Woran erkennen wir, dass die Systeme tun, was sie sollen? Und was geschieht, wenn ein zentraler Anbieter ausfällt oder sein Angebot einstellt? Wer diese Fragen stellen und die Antworten bewerten kann, überwacht wirksam, ohne in die Geschäftsführung einzugreifen.
Fazit und Empfehlung
KI-Einführung braucht an der Spitze klare Rollen, nicht mehr Gremien. Für die nächsten neunzig Tage empfehlen wir drei Schritte. Erstens die vier Kernentscheidungen zu Anspruch, Risikoappetit, Plattform und Organisation als ausdrückliche Vorstandsbeschlüsse mit dokumentierter Informationsgrundlage fassen. Zweitens die Informationsordnung des Aufsichtsrats um ein KI-Verzeichnis, den Investitionsstand, Vorfälle und den regulatorischen Stand ergänzen und KI-Risiken dem Prüfungsausschuss zuordnen. Drittens das Kompetenzprofil des Aufsichtsrats prüfen und ein gemeinsames Briefing für beide Gremien ansetzen.
ECODYNAMICS berät Vorstände und Aufsichtsräte im Rahmen der AI Executive Advisory genau an dieser Schnittstelle. Wir strukturieren die Entscheidungen, die beim Vorstand liegen, entwickeln ein Berichtsformat für den Aufsichtsrat und führen gemeinsame Briefings für beide Gremien durch. Für Aufsichtsratsmitglieder, die ihr eigenes Urteil schärfen wollen, bietet die C-Level & Executives AI Masterclass einen kompakten Einstieg in geschlossener Runde. Wenn KI bei Ihnen bisher nur als Anwendungsliste im Aufsichtsrat auftaucht, sprechen Sie uns an.