Europa · Technologie und digitale Vermögenswerte

KI-Governance: Wie der Vorstand die Risiken künstlicher Intelligenz managt

Erich Rath12 Min. Lesezeit

Mainstream

KI-Governance auf Vorstandsebene ist keine Frage der Technologie. Es geht um persönliche Verantwortung, den Ruf des Unternehmens und den Zugang zum Markt der Europäischen Union.

Die Frage ist nicht, ob das Unternehmen künstliche Intelligenz einsetzt. Die Frage ist, ob der Vorstand nachweisen kann, dass er seiner Aufsichtspflicht nachgekommen ist, wenn etwas schiefgeht.

Effektives KI-Risikomanagement beginnt mit drei Prüfungen:

Kennt der Vorstand alle KI-Systeme des Unternehmens und deren regulatorische Einstufung nach dem EU-KI-Gesetz?
Ist die KI-Überwachung in das Corporate-Governance-System integriert und nicht ausschließlich der IT-Abteilung überlassen?
Gibt es Hinweise auf Sorgfaltspflicht auf Vorstandsebene?

Wenn diese drei Probleme nicht gelöst werden, riskiert das Unternehmen mehr als eine Geldstrafe von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes. Es besteht die Gefahr der persönlichen Haftung der Geschäftsführer, der Schließung von Produkten, des Vertrauensverlusts der Anleger und des Ausschlusses vom europäischen Markt.

Wenn KI-Governance auf Vorstandsebene erforderlich ist

Ein systematisches KI-Risikomanagement auf Vorstandsebene ist obligatorisch, wenn:

das Unternehmen entwickelt oder implementiert KI-Systeme auf dem EU-Markt;
KI wird eingesetzt, um Entscheidungen zu treffen, die Menschen betreffen (Einstellung, Bonitätsbewertung, Mitarbeiterbewertung).
Das Produkt ist nach dem EU-KI-Gesetz als Hochrisiko-KI eingestuft.
Das Unternehmen fungiert als Anbieter bzw. Distributor von KI-Lösungen;
Investoren oder Wirtschaftsprüfer stellen Fragen zum Reifegrad der KI-Governance.
Zur Verlängerung der D&O benötigt die Versicherung eine Bestätigung des Risikomanagements von AI.
ein Vorfall im Zusammenhang mit Diskriminierung, Datenschutzverletzung oder KI-Fehler;
Das Unternehmen ist in regulierten Sektoren tätig (Finanzen, Gesundheitstechnologie, Personalwesen, Automobil, Energie);
M&A-Deals werden mit einem Vermögenswert geplant, dessen Wert von KI-Technologien abhängt.

Der Fehler, den die meisten Vorstände machen

Viele Tipps beginnen mit der Frage:

Welcher der CIOs ist für KI verantwortlich?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Wie kann der Vorstand nachweisen, dass er bei der Überwachung von KI-Risiken mit der gebotenen Sorgfalt gehandelt hat, wenn die Regulierungsbehörde oder die betroffene Partei einen Anspruch geltend macht?

Manchmal ist das beste Ergebnis die Einrichtung eines separaten KI-Ausschusses des Rates. Manchmal erfolgt die Einbindung der Aufsicht in den Prüfungsausschuss. Manchmal wird vor der Einführung eines Hochrisikosystems ein externes KI-Governance-Audit durchgeführt. Manchmal handelt es sich um eine dokumentierte Entscheidung des Vorstands, in bestimmten Prozessen keine KI einzusetzen.

Das Management von KI-Risiken erfordert keine Reaktion auf Technologietrends, sondern eine Corporate-Governance-Struktur.

Schritt 1. Eine Bestandsaufnahme der KI-Systeme durchführen und deren regulatorische Klassifizierung bestimmen

Das erste, was zu tun ist, besteht nicht darin, ein KI-Tool für den Vorstand auszuwählen, sondern ein vollständiges Register der KI-Systeme des Unternehmens auszuwählen.

Schlüsselfragen:

Welche KI-Systeme das Unternehmen entwickelt, nutzt, verkauft oder in Produkte einbettet
Ob sie verbotenen KI-Praktiken gemäß Artikel 5 des EU-KI-Gesetzes unterliegen;
welche Systeme sind risikoreich (high-risk) – entsprechend der Anwendung auf das EU-KI-Gesetz oder sektorale Rechtsvorschriften;
(b) ob ein begrenztes Risiko oder ein minimales Risiko besteht;
Wer ist der Anbieter und wer ist der Nutzer (Bereitsteller) im Sinne der Regulierungsbehörde;
wo Menschen interagieren (Transparenz)
Ob es Systeme gibt, die vollautomatisiert rechtlich relevante Entscheidungen treffen

Wenn der Vorstand nicht bestätigen kann, dass er über ein solches Register verfügt, liegt die erste Klage der Regulierungsbehörde bereits vor.

Schritt 2. Bewertung der Risiken für Unternehmen und Stakeholder

Die Bedeutung des Rates liegt nicht in technischen Parametern, sondern in geschäftlichen Konsequenzen.

Wir müssen Folgendes analysieren:

Risiko der Diskriminierung und Verletzung von Grundrechten;
Rufschädigung durch eine undurchsichtige oder fehlerhafte KI-Lösung
Haftung für durch KI verursachte Schäden (Produkthaftungsrichtlinie, KI-Haftungsrichtlinie)
Strafen nach dem EU-KI-Gesetz und nationalem Recht;
DSGVO-Verstoß bei der Verarbeitung von KI-Daten;
Verlust wichtiger Verträge aufgrund der Nichteinhaltung der Anforderungen der Gegenparteien;
Risiken für D&O-Versicherungsdirektoren;
Drohung mit Lizenzentzug in regulierten Branchen.

Besonders gefährlich sind Situationen, in denen das Risiko bekannt war, der Vorstand jedoch keine dokumentierten Maßnahmen ergriffen hat.

Schritt 3. Identifizieren Sie die geltenden Vorschriften

Das KI-Risiko ist nicht auf das EU-KI-Gesetz beschränkt. Der Vorstand muss das Gesamtbild sehen.

Es beinhaltet:

EU-KI-Gesetz (verbotene Praktiken, hohes Risiko, Pflichten von Anbietern und Nutzern);
DSGVO und elektronischer Datenschutz (automatisierte Lösungen, Transparenz, DSFA)
Produkthaftungsrichtlinie und die KI-Haftungsrichtlinie
Sektorale Regulierung (MDR, IVDR für Medizintechnik), Finanzrichtlinien; (a) Automobilregulierung;
Nationale Gesetze zur Unternehmensführung und zu den Pflichten der Direktoren;
ISO/IEC 42001, NIST AI RMF-Standards, die die Regulierungsbehörde als Nachweis der Sorgfaltspflicht betrachten kann.
Offenlegungspflichten für börsennotierte Unternehmen (ESG, nichtfinanzielle Berichterstattung, CSRD).

Ein Fehler in dieser Phase führt zu einer fragmentierten Einhaltung und zu blinden Flecken des Rates.

Schritt 4. Integrieren Sie AI Governance in das Corporate Governance-System

Der Vorstand kann die Verantwortung nicht auf die IT-Abteilung übertragen. Es ist seine eigene Funktion.

Strukturoptionen:

Gründung des Vorstandsausschusses für KI und technologische Risiken;
Einbeziehung der KI-Überwachung in das Mandat des Prüfungsausschusses oder Risikoausschusses
Ernennung eines AI Officers oder Chief AI Governance Officers mit direkter Berichtslinie an den Vorstand
Genehmigung der KI-Risikoeskalationsmatrix: Wenn das Problem auf Ratsebene vorgelegt wird.

Der wichtigste Grundsatz: AI Governance sollte in den Vorladungen, Protokollen und Entscheidungen des Vorstands sichtbar sein.

Schritt 5. Entwickeln und genehmigen Sie die KI-Richtlinie des Vorstands

Der Vorstand sollte eine Richtlinie verabschieden, die die Spielregeln für das gesamte Unternehmen festlegt.

Das Dokument sollte Folgendes enthalten:

Erklärung zur Risikobereitschaft für KI
Verbot bestimmter KI-Praktiken, die außerhalb des akzeptablen Risikobereichs liegen;
verbindliche Grundsätze: menschliche Aufsicht, Transparenz, Fairness, Rechenschaftspflicht;
Anforderungen der Grundrechte-Folgenabschätzung (FRIA) für Hochrisiko-KI
Verfahren zur Validierung von KI-Systemen vor dem Start (Sign-Off-Verfahren);
KI von Drittanbietern (Vendor Due Diligence)
Eine Richtlinie zur Offenlegung des Einsatzes von KI gegenüber Kunden und Mitarbeitern;
Das Verfahren zur Untersuchung von KI-Vorfällen und zur Eskalation an den Rat.

Ohne eine solche Politik verfügt der Rat über kein Kontrollinstrument – und wird nicht in der Lage sein, sich zu verteidigen.

Schritt 6. Stellen Sie sicher, dass alle Entscheidungen des KI-Vorstands dokumentiert sind

Aus Sicht der Regulierungsbehörde und des Gerichts wird der Schlüssel nicht die Meinung des Rates sein, sondern das, was dokumentiert ist.

Notwendig:

Beschlüsse des Rates über die Genehmigung des KI-Registers und die Klassifizierung von Systemen;
Protokolle zur Diskussion risikoreicher KI-Projekte;
Nachweis der Berücksichtigung von KI-Risiken vor der Markteinführung eines Produkts
Vom Vorstand geprüfte Berichte des KI-Beauftragten oder externen Prüfers;
dokumentiert, dass der Vorstand über Abhilfemaßnahmen informiert wurde;
Bestätigung, dass der Vorstand die Grenzen der KI verstanden und eine fundierte Entscheidung getroffen hat.

Das Fehlen von Dokumenten wird als mangelnde Aufsicht interpretiert.

Schritt 7: Implementieren Sie eine kontinuierliche Überwachung und das Recht des Vorstands auf unabhängige Prüfung

KI-Risiken sind nicht statisch. Der Vorstand muss sicher sein, dass er keine „Erfolgsmeldung“, sondern ein objektives Bild erhält.

Mechanismen:

Regelmäßige (mindestens vierteljährliche) Berichte an den Vorstand über den Stand der KI-Risiken;
das Recht des Vorstands, eine externe Prüfung der KI-Governance und eine technische Prüfung von Hochrisikosystemen einzuleiten;
Leistungs- und Bias-Überwachung (Modelldrift);
Überwachung regulatorischer Änderungen (EU-KI-Gesetz sieht delegierte Rechtsakte vor, Standards entwickeln sich weiter);
Frühwarnverfahren für Vorfälle.

Ein Vorstand, der keinen Zugang zu einer unabhängigen Überprüfung hat, trägt das volle Risiko eines Managementversagens.

Schritt 8. Bereiten Sie sich auf die Interaktion mit den Aufsichtsbehörden vor

Das EU-KI-Gesetz schafft einen Aufsichtsrahmen für: nationale Marktüberwachungsbehörden, Europäisches Gremium für künstliche Intelligenz, notifizierende Stellen.

Der Vorstand sollte im Voraus verstehen:

Wer ist berechtigt, im Namen des Unternehmens mit der Regulierungsbehörde zu interagieren?
Wie wird die Beantwortung des Auskunftsersuchens organisiert?
Meldung schwerwiegender Vorfälle (für Hochrisiko-KI)
Produktrückruf- oder Korrekturmaßnahmenverfahren;
Kommunikationsstrategie im Falle einer öffentlichen Untersuchung.

Eine spontane Reaktion auf den Besuch einer Aufsichtsbehörde ohne Plan ist ein direkter Weg, die Situation zu verschlimmern und die Kontrolle über die Erzählung zu verlieren.

Schritt 9. Integrieren Sie KI-Risiken in das gemeinsame Risikomanagement- und Compliance-System

KI-Governance kann nicht im luftleeren Raum existieren. Für den Rat ist es Teil des Gesamtsystems:

Aktualisierung des Unternehmensrisikoregisters (einschließlich KI als eigenständiges strategisches Risiko)
Compliance-Programm (Verhaltenskodex, Whistleblowing, interne Untersuchungen)
Kommunikation mit Cybersicherheit (KI-Systeme – eine neue Angriffsfläche);
ESG-Reporting und Due Diligence der Lieferkette (EU CSDDD);
Auswirkungen der KI-Governance auf D&O-Versicherungen Versicherer testen zunehmend die Risikoreife von KI.

Der Vorstand sollte sicherstellen, dass KI keine eigenständige Initiative von Enthusiasten ist, sondern Teil der Unternehmens-DNA.

Schritt 10. Stellen Sie die Kompetenz des Vorstands sicher

Sie können nicht kontrollieren, was Sie nicht verstehen. Das EU-KI-Gesetz schreibt ausdrücklich KI-Kenntnisse für das Personal vor und wird für den Vorstand zu einem Element der Sorgfaltspflicht.

Was wird benötigt:

regelmäßige Schulungssitzungen des Vorstands zu KI-Regulierung und Technologieaspekten;
Den Unterschied zwischen Automatisierung, maschinellem Lernen und generativer KI verstehen
Fähigkeit, die richtigen Fragen zu Daten, Voreingenommenheit, Modellvalidierung und menschlicher Aufsicht zu stellen
Kenntnis der persönlichen Risiken der Geschäftsführer im Falle eines Verstoßes.

Das Gericht wird das Argument „Wir haben die Technologie nicht verstanden“ nicht als Haftungsausschluss akzeptieren.

Erstellen Sie ein KI-Komitee des Rates oder überlassen Sie es der IT: Wählen Sie es aus

Kriterien	KI-Ausschuss des Vorstands	IT-/Rechtsdelegation ohne Ausschuss
Nachweisbarkeit der Aufsicht	Hoch (Protokolle, Fachwissen)	Niedrig (Rat distanziert)
Verantwortung der Direktoren	Klare Verteilung, dokumentierte Entscheidungsfindung	Unscharf, Gefahr persönlicher Ansprüche
Qualität strategischer Entscheidungen	KI wird als Geschäftsrisiko und nicht als IT-Projekt gemanagt	KI wird als technische Funktion wahrgenommen
Reaktionsgeschwindigkeit bei Vorfällen	Kontrollierte Eskalation	Es besteht die Gefahr einer verspäteten Unterrichtung des Rates
Auswirkungen der D&O-Versicherung	Stärken Sie die Position im Underwriting	Kann eine Verlängerung oder Erhöhung der Prämie erschweren
Kosten und Ressourcen	Zu Beginn höher (Einbindung von Experten)	Am Anfang geringer, aber langfristig höhere Risiken

Bei der Wahl kommt es nicht auf die Größe des Unternehmens an, sondern darauf, inwieweit KI ein wesentlicher Risikofaktor für das Geschäftsmodell ist. Wenn KI Auswirkungen auf die Sicherheit, die Rechte der Menschen oder das Grundeinkommen hat, ist ein Ausschuss oder eine klar definierte Funktion des Vorstands zwingend erforderlich.

So stärken Sie die Position des Vorstands vor der Implementierung von KI

Der beste Schutz wird aufgebaut, bevor das KI-System den ersten Benutzer berührt.

Der Vorstand sollte Folgendes einleiten:

Genehmigung der AI Governance Charter, die die Rolle des Vorstands definiert;
Grundsatzentscheidung zu inakzeptablen KI-Praktiken (rote Linien);
das Verfahren der obligatorischen KI-Due-Diligence vor dem Kauf eines KI-Anbieters oder M&A;
Einbindung der KI-Compliance in das Interne Kontrollsystem (IKS)
Prüfung der Angemessenheit der D&O-Deckung unter Berücksichtigung von KI-Risiken;
Vorab vereinbartes Schema der Interaktion mit PR und IR im Falle eines KI-Vorfalls (Krisenkommunikation);
Die Anforderung an das Management, nicht nur technische Kennzahlen, sondern auch eine Karte zur regulatorischen Sicherheit bereitzustellen.

Der Vorstand sollte auf den schlimmsten Fall vorbereitet sein und nicht auf die beste Pressemitteilung zum Thema Innovation.

Typische Vorstandsfehler beim Management von KI-Risiken

1. Die Regulierungsbehörde fragt nicht den Entwickler, sondern das Leitungsorgan.

2. Schatten-KI (Shadow AI) von heute ist die Sanktion von morgen.

3. Selbst ein internes HR-Tool kann ein hohes Risiko darstellen und eine vollständige Compliance erfordern.

4. Dokumentieren Sie die Diskussion im Vorstand nicht. Ohne Protokoll ist der Nachweis der gebotenen Sorgfalt nicht möglich.

5. Eine Richtlinie „auf dem Papier“ ohne Prüfung ist ein erschwerender Umstand.

6. Verlassen Sie sich ohne Überprüfung auf den Anbieter. Die Verantwortung des Anbieters entbindet nicht von den Pflichten des Bereitstellers, und der Vorstand ist für die Auswahl des Anbieters verantwortlich.

7. Unkenntnis des Gesetzes ist keine Entschuldigung. Unkenntnis von KI nach dem EU-KI-Gesetz.

8. Bei schwerwiegenden Verstößen sind Disqualifikation, Bußgelder und Reputationsverlust möglich.

Checkliste für den Vorstand für KI-Governance

Bevor eine KI-Strategie genehmigt oder ein neues System eingeführt wird, muss der Vorstand 15 Fragen beantworten:

Verfügt das Unternehmen über ein vollständiges Register der KI-Systeme und deren Klassifizierung nach dem EU-KI-Gesetz?
Sind verbotene Praktiken definiert und deren Abwesenheit garantiert?
Welche Hochrisikosysteme gibt es und sind alle geltenden Anforderungen erfüllt?
Welches der Vorstandsmitglieder oder Ausschüsse ist für die Überwachung der KI verantwortlich?
Ist die KI-Richtlinie und die Erklärung zur Risikobereitschaft genehmigt?
Werden die Entscheidungen des AI Projects Council dokumentiert?
Gab es eine unabhängige Prüfung der KI-Governance oder bestimmter Hochrisikosysteme?
Gibt es ein Verfahren zur Eskalation von KI-Vorfällen an den Rat?
Werden die Risiken einer D&O-Versicherung ausgeweitet?
Sind KI-Risiken in das Corporate Risk Register integriert?
Gibt es Hinweise auf eine KI-Schulung des Vorstands?
Werden Drittanbieter von KI auf Compliance überprüft?
Ist geplant, im Falle eines schwerwiegenden Vorfalls mit der Aufsichtsbehörde zu interagieren?
Sind KI-Offenlegungen im ESG- und Jahresbericht enthalten?
Kann der Rat heute nachweisen, dass er informiert und gewissenhaft gehandelt hat?

Wie eine starke KI-Governance-Strategie auf Vorstandsebene aussieht

Eine starke Strategie umfasst normalerweise fünf Ebenen:

1. Bewusstsein und Aufklärung des Vorstands: Technologie und Regulierung verstehen und die richtigen Fragen stellen.

2. Governance-Struktur und -Richtlinie KI-Charta, Ausschuss oder dedizierte Verantwortung, dokumentierte Richtlinie.

3. Risikoidentifikations- und -klassifizierungsregister AI, FRIA, DPIA, Hochrisikoklassifizierung, rechtliche Bewertung.

4. Überwachung, Prüfung und Eskalation Regelmäßige Berichterstattung, Prüfungsrechte, Verfahren zur Eskalation von Vorfällen

5. Kultur und Rechenschaftspflicht Ton von oben: KI-Ethik als Wert, Konsequenzen bei Verstößen und Schutz von Whistleblowern.

Ohne die fünfte Ebene werden die ersten vier einer echten Krise nicht standhalten.

FAQ

Ist der Vorstand nach dem EU-KI-Gesetz verpflichtet, KI persönlich zu prüfen? Das EU-KI-Gesetz führt die Verpflichtung zur KI-Kompetenz ein, und das Unternehmensrecht der EU und der Mitgliedstaaten verlangt von Direktoren, fundierte Entscheidungen zu treffen. Inkompetenz ist keine Verteidigung.

Kann der Vorstand persönlich für Verstöße gegen die KI-Verordnung haftbar gemacht werden? Neben Geldstrafen gegen das Unternehmen können in manchen Rechtsordnungen auch persönliche Sanktionen, die Disqualifikation von Geschäftsführern sowie Schadensersatzansprüche des Unternehmens oder der Aktionäre gegen Geschäftsführer verhängt werden, wenn nachgewiesen wird, dass eine grobe Vernachlässigung der Aufsichtspflichten vorliegt.

Fordern Sie ein KI-Bestandsmanagement mit einer rechtlichen Klassifizierung und halten Sie mindestens eine strategische Sitzung zu KI-Risiken und Vorstandsverantwortungen ab und dokumentieren Sie die Ergebnisse.

Reicht es aus, sich auf die Zusicherungen des CIO zu verlassen, dass „wir konform sind“? Der Vorstand muss eine unabhängige Bestätigung durch interne Revision, externe Rechtsberatung oder Compliance-Überprüfung einholen und seine Überprüfung dieser Bestätigungen dokumentieren.

Wie wirkt sich AI Governance auf die D&O-Versicherung aus? Versicherer schließen zunehmend KI-bezogene Ansprüche aus oder fordern Nachweise für KI-Governance-Rahmenwerke. Das Fehlen einer ausgereiften KI-Governance kann zur Zahlungsverweigerung oder zu höheren Kosten der Police führen.

Nicht immer notwendig, aber wenn KI ein erheblicher Risikofaktor oder ein strategischer Vermögenswert ist, verbessert ein spezieller Ausschuss oder eine feste Funktion den Schutz des Direktors erheblich.

Was tun, wenn das Unternehmen KI-Lösungen von Drittanbietern nutzt? Die Verantwortung für die Auswahl, Implementierung und Kontrolle des Anbieters liegt beim Unternehmen. Der Rat muss sicherstellen, dass die KI-Due-Diligence der Anbieter und vertragliche Compliance-Garantien im Rahmen des EU-KI-Gesetzes vorhanden sind.

Kann die KI-Governance verschoben werden, bis alle Vorschriften des EU-KI-Gesetzes in Kraft treten? Die Übergangsfristen sind begrenzt und es bestehen bereits Reputations- und zivilrechtliche Risiken. Darüber hinaus mildert der Nachweis proaktiver Compliance die Situation im Falle eines Vorfalls.

Noch wichtiger: Um Bußgelder zu vermeiden oder den guten Ruf zu wahren? Beide Themen sind für den Vorstand von entscheidender Bedeutung. Aber im Hinblick auf den langfristigen Geschäftswert ist der Verlust des Vertrauens von Kunden, Investoren und Aufsichtsbehörden oft mehr wert als jede Strafe. AI Governance ist keine Compliance-Übung, sondern eine Pflicht zur Loyalität und Fürsorge.

Fazit

AI Governance auf Vorstandsebene ist kein Technologieprojekt oder ein formelles Compliance-Dokument. Es handelt sich um die Ausübung treuhänderischer Pflichten in einer Welt, in der künstliche Intelligenz unmittelbare Auswirkungen auf die Rechte, die Sicherheit, die Kapitalisierung und die Geschäftsfreiheit der Menschen hat.

Eine starke Position basiert auf der Kenntnis ihrer KI-Systeme, ihrer regulatorischen Klassifizierung, integriert in die Aufsichtsmanagementstruktur, dokumentierten Ratsentscheidungen und der Bereitschaft für externe Prüfungen.

Bei der Regulierung der KI ist der Gewinner nicht der Erste, der die Technologie auf den Markt bringt. Der Gewinner ist derjenige, dessen Vorstand jederzeit beweisen kann: Wir wussten, wir kontrollierten, wir handelten klug. Das ist es, was verantwortungsvolle Führung von unvermeidlichen Ansprüchen unterscheidet.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.