Künstliche Intelligenz (KI) ist in Unternehmen längst Realität. Sie schreibt Texte, analysiert Daten, erstellt Entscheidungsgrundlagen und hält zunehmend Einzug in HR-, Finanz-, Kredit- und Risikoprozesse. Was bis vor kurzem noch als Spielerei galt, ist heute Alltag: Mitarbeiter nutzen ChatGPT, Copilot, Claude und andere Anwendungen. Die Entwicklung ist rasant. Und genau darin liegt das Risiko.
Denn KI wird in vielen Unternehmen schneller eingeführt, als sie organisatorisch kontrolliert wird. Es entsteht eine neue Form von Schatten-IT: nicht mehr nur versteckte Software, sondern versteckte Entscheidungslogiken. Geschäftsleitungen wissen häufig nicht, welche KI-Systeme im Unternehmen eingesetzt werden, auf welchen Daten sie beruhen, welche Entscheidungen sie beeinflussen und wer sie überwacht. Das ist kein technisches Randproblem. Es ist ein Haftungsthema.
KI wird zum unsichtbaren Mitentscheider
KI-Systeme werden künftig digitale Akteure, die Aufgaben eigenständig bearbeiten und Prozesse beeinflussen. Für Unternehmen ist das eine enorme Chance: KI kann Produktivität steigern, Kosten senken und Mitarbeiter von Routineaufgaben entlasten.
Die Kehrseite ist erheblich: Es fällt zunehmend schwer, den Überblick zu behalten. Cyberrisiken, ESG-Anforderungen, geopolitische Unsicherheiten, Lieferkettenprobleme, volatile Märkte, Fachkräftemangel, Kostendruck, Regulierung, und nun noch zusätzlich KI. Fehler in dieser Komplexität passieren. Unweigerlich.
Die eigentliche Haftungsfrage beginnt erst nach dem KI-Fehler
Die wirklich entscheidende Frage ist daher: Hat das Management angemessene Vorkehrungen getroffen, um damit verbundene Risiken zu erkennen, zu begrenzen und zu überwachen? Wenn ein KI-System Bewerber diskriminiert, fehlerhafte Bonitätsbewertungen vornimmt oder falsche Informationen in Vorstandsvorlagen einfließen lässt, wird sich ein Gericht nicht mit dem Algorithmus beschäftigen – denn der kann keine Verantwortung tragen.
Im Mittelpunkt steht die Unternehmensleitung. Richter, Aufsichtsbehörden oder Gesellschafter werden eine grundlegendere Frage stellen: Welche organisatorischen Maßnahmen hat die Geschäftsleitung ergriffen, um den KI-Einsatz angemessen zu überwachen? Mit zunehmender Verbreitung von KI wird ihre Überwachung damit zu einer originären Leitungsaufgabe, so wie bei Finanz- oder Cyberrisiken.
Der EU AI Act macht deutlich, dass Risikomanagement, Transparenz, menschliche Aufsicht und Kompetenzaufbau keine freiwilligen Maßnahmen mehr sind.
Kardinalpflichtverletzungen eines Vorstands als Folge fehlender Überwachung von KI-Anwendungen wird zur zentralen Frage
Bei Cyberrisiken verlief die Entwicklung ähnlich: Lange galt Cybersicherheit als IT-Thema, heute ist Cyberresilienz Chefsache. Bei KI dürfte das schneller gehen. Anders als klassische IT-Systeme beeinflusst KI zunehmend die inhaltliche Qualität von Entscheidungen selbst.
Ein Richter wird im Streitfall daher fragen:
- Wusste der Vorstand, dass KI in diesem Prozess eingesetzt wurde?
- Gab es eine Freigabe oder Risikobewertung?
- Wurde geprüft, ob das System für diesen Zweck geeignet war?
- Gab es menschliche Kontrolle?
- Waren die Mitarbeiter geschult?
- Wurden Ergebnisse dokumentiert?
- Gab es klare Zuständigkeiten?
- Gab es Eskalationsprozesse bei kritischen Entscheidungen?
Ohne befriedigende Antworten wird aus einem Technologieproblem schnell ein Organisationsverschulden. Und aus einem KI-Fehler persönliche Managerhaftung. Der EU AI Act ist seit 2024 in Kraft: Seit Februar 2025 gilt die KI-Kompetenzpflicht. Ab August 2026 gelten weitere Pflichten, vor allem für Hochrisiko-Systeme. Damit wird der AI Act für viele Unternehmen zur größten Governance-Herausforderung seit der DSGVO und ist selbstverständlich ein Managementthema. Denn KI betrifft nicht nur Daten, KI betrifft Entscheidungen.
Wenn KI-Investitionen sich nicht rechnen
Ein unterschätztes Haftungsrisiko liegt nicht nur im falschen Einsatz von KI, sondern auch in der falschen Investition. Viele Unternehmen investieren erhebliche Summen in KI-Modelle und Infrastruktur – nicht zuletzt getrieben aus Sorge, die wichtigste Entwicklung der nächsten Jahre zu verschlafen. Nicht jede KI-Investition wird sich rechnen. Nicht jedes Pilotprojekt wird skalieren. Und nicht jede teuer aufgebaute Infrastruktur wird den versprochenen Nutzen liefern.
Einerseits darf das Management KI nicht ignorieren. Andererseits muss es sicherstellen, dass Investitionen in KI strategisch begründet, wirtschaftlich überprüfbar und hinsichtlich der Governance abgesichert sind. Gerade bei großen KI-Projekten reicht technologische Euphorie als Rechtfertigung für Millioneninvestitionen nicht aus. Bleibt der erwartete Nutzen aus, werden Kontrollorgane fragen, ob sorgfältig vorbereitet wurde. KI ist damit nicht nur ein operatives, sondern auch ein Investitions- und Strategierisiko. Das macht sie endgültig zur Vorstandssache.
Die gefährlichsten KI-Risiken liegen mitten im Unternehmen
Besonders kritisch sind KI-Anwendungen dort, wo sie Menschen, Rechte oder wirtschaftliche Interessen unmittelbar betreffen. In der Finanz- und Kreditprüfung können KI-Systeme Kunden falsch bewerten oder Risiken unterschätzen.
In Compliance-Abteilungen können KI-Tools Warnsignale übersehen oder falsche Entwarnung geben: Das System, das Risiken erkennen soll, wird selbst zum Risiko. Im Personalbereich kann KI Bewerber vorsortieren. Verstärkt sie dabei diskriminierende Muster, droht erheblicher rechtlicher und reputativer Schaden. Die KI trifft formal vielleicht keine finale Entscheidung, aber sie beeinflusst diese. Und genau das reicht aus, um haftungsrechtlich relevant zu werden.
Die neue Sorgfaltspflicht heißt KI-Risikomanagement
Manager müssen KI deshalb wie jedes andere wesentliche Unternehmensrisiko behandeln: als Teil des internen Kontroll- und Risikomanagementsystems.
Ein wirksames KI-Risikomanagement sollte mindestens sechs Elemente umfassen:
| Element | Erläuterung |
|---|---|
| I. Vollständiges KI-Inventar | Viele Geschäftsleitungen wissen nicht, welche KI-Anwendungen genutzt werden. Kontrolle aber setzt Transparenz voraus. |
| II. Risikoklassifizierung | Nicht jede KI-Anwendung ist kritisch – ein Marketing-Textvorschlag ist anders zu bewerten als ein System, das Kreditentscheidungen vorbereitet oder Compliance-Risiken bewertet. |
| III. Klare Verantwortlichkeiten | Es braucht klare Zuständigkeiten in Vorstand, IT, Legal und Compliance sowie anderen Bereichen. |
| IV. Schulung und Kompetenzaufbau | Wer KI nutzt, muss ihre Möglichkeiten, Grenzen und Risiken verstehen. |
| V. Menschliche Kontrolle | Bei kritischen Entscheidungen muss klar bleiben, wo ein Mensch verantwortlich geprüft, bewertet und entschieden hat. |
| VI. Investitionskontrolle | KI-Projekte brauchen klare Business Cases und eine laufende Nutzen- und Kostenkontrolle. |
D&O-Versicherung allein reicht nicht
Viele Manager gehen davon aus, im Ernstfall durch ihre D&O-Versicherung geschützt zu sein. Ein Irrtum. Wird einem Vorstand vorgeworfen, Kontrollpflichten verletzt zu haben, fragen Versicherer künftig genauer:
- Gibt es eine KI-Governance?
- Existieren Schulungen und interne Richtlinien?
- Wie werden große KI-Investitionen geprüft und überwacht?
Ohne belastbares KI-Risikomanagement drohen Unternehmen künftig auch versicherungstechnische Nachteile.
KI übernimmt keine Verantwortung
Die zentrale Erkenntnis lautet: Die KI mag künftig vielleicht immer mehr Entscheidungen vorbereiten. Die Verantwortung wird sie jedoch niemals übernehmen. Wenn KI falsch entscheidet, wird nicht der Algorithmus gegenüber Aufsichtsbehörden argumentieren, warum Kontrollen fehlten. Es wird stets Aufgabe der Menschen bleiben, die Verantwortung zu tragen.
KI-Haftung ist eines der wichtigsten Vorstandsthemen der kommenden Jahre. Wer glaubt, die Haftung an einen Algorithmus delegieren zu können, wird möglicherweise vor Gericht feststellen: Verantwortung lässt sich „digitalisieren“. Haftung nicht.
Autor Marcel Braun ist CEO der Hendricks GmbH und Vorstandsmitglied Howden Deutschland“.
