Fachbeitrag · Governance und Regulatorik
Business Judgement Rule und KI: Haftung bei Nutzung und Verzicht
Management Summary
KI ist in der Entscheidungsvorbereitung angekommen. Damit stellt sich die Haftungsfrage neu: Die Business Judgement Rule (auch Business Judgment Rule, kurz BJR) schützt unternehmerische Entscheidungen, die auf angemessener Informationsgrundlage getroffen werden. Schützt der Einsatz von KI also vor Haftung – oder kann gerade der Verzicht auf KI eine Pflichtverletzung sein?
Die kurze Antwort: Eine allgemeine Pflicht zur KI-Nutzung gibt es nicht. Im Einzelfall kann sie sich aber aus der Pflicht ergeben, auf angemessener Informationsgrundlage zu entscheiden. Umgekehrt entlasten KI-Ergebnisse nicht von selbst: Die Verantwortung für die Entscheidung bleibt bei Geschäftsleitung und Aufsichtsrat.
2026 hat sich der Rechtsrahmen konkretisiert. Das deutsche Durchführungsgesetz zur KI-Verordnung (KI-MIG) gilt seit 29.07.2026, die Digital-Omnibus-Verordnung hat Fristen verschoben und Art. 4 KI-Verordnung geändert, und für Institute regeln die 10. MaRisk erstmals ausdrücklich den Einsatz von KI-Modellen.
Dieser Beitrag gibt dir ein Prüfschema für die Frage „KI-Konsultation ja oder nein“, zeigt, wie du KI-Ergebnisse plausibilisierst und im Beschluss dokumentierst, und ordnet die Pflichten nach Funktion. Die Aussagen zur Nutzungspflicht beruhen auf dem Schrifttum; Rechtsprechung dazu gibt es bislang nicht.
Die Business Judgement Rule in drei Sätzen
- Nach § 93 Abs. 1 Satz 2 AktG liegt keine Pflichtverletzung vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.
- Die Grundsätze gelten über § 116 AktG auch für den Aufsichtsrat und werden auf GmbH-Geschäftsführer (§ 43 GmbHG) übertragen.
- Keine BJR gibt es bei rechtlich gebundenen Entscheidungen: Wer Gesetze verletzt, etwa die KI-Verordnung oder die DSGVO, kann sich nicht auf unternehmerisches Ermessen berufen (Legalitätspflicht).
Voraussetzungen und ihre Bedeutung bei KI-Einsatz
| Merkmal | Bedeutung bei KI-Einsatz |
|---|---|
| Unternehmerische Entscheidung | Ermessensentscheidung, keine Rechtspflicht. Die Einhaltung der KI-Verordnung selbst ist keine unternehmerische Entscheidung. |
| Frei von Interessenkonflikten | Auch bei der Auswahl von KI-Anbietern relevant. |
| Zum Wohl der Gesellschaft | Zweck des KI-Einsatzes im Unternehmensinteresse begründen. |
| Angemessene Information | Kernfrage: Gehört KI zu den verfügbaren Informationsquellen? Wurden ihre Ergebnisse geprüft? |
| Guter Glaube | Keine erkennbaren Zweifel an den KI-Ergebnissen ignorieren. |
Wann wird KI-Nutzung zur Pflicht?
Das Schrifttum lehnt eine grundsätzliche Pflicht, informationsbeschaffende KI bereitzuhalten, noch überwiegend ab. Ist eine Entscheidung aber nur unter Einsatz von KI sorgfältig vorbereitbar, spricht nach verbreiteter Auffassung viel für eine Pflicht zur Einbeziehung. Dasselbe gilt, wenn eine KI im Unternehmen etabliert ist und regelmäßig für die Datenaufbereitung genutzt wird: Wer sie ohne sachlichen Grund weglässt, schöpft nicht alle verfügbaren Informationsquellen aus.
Eine eigene „AI Judgment Rule“ mit strengeren Maßstäben wird überwiegend abgelehnt. Maßstab bleibt die menschliche Entscheidung.
Prüfschema: Besteht im Einzelfall eine Pflicht zur KI-Konsultation?
1. Mehrwert
Liefert die KI für diese Entscheidung einen eindeutig identifizierbaren Informationsgewinn?
2. Erklärbarkeit
Sind die Ergebnisse nachvollziehbar, oder spielt das für die Entscheidung keine Rolle?
3. Datenlage
Lassen die verfügbaren Daten verwertbare Ergebnisse erwarten?
4. Fehlerkosten
Fallen Kosten und Fehlerrisiken in der Gesamtabwägung nicht ins Gewicht?
Werden alle vier Fragen bejaht, spricht viel für eine Pflicht zur Konsultation. Wird eine Frage verneint, ist der Verzicht auf KI in der Regel vertretbar – die Begründung solltest du dokumentieren.
Plausibilitätskontrolle statt Blindvertrauen
Ungeprüft übernommene KI-Ergebnisse sind keine angemessene Informationsgrundlage. Die Literatur überträgt die ISION-Grundsätze des BGH zum Rat von Fachleuten auf KI: sorgfältige Auswahl, vollständige Information, eigene Plausibilitätskontrolle. Weil KI nicht fachfremden Rat ersetzt, sondern die eigene Leitungsentscheidung vorbereitet, wird die Plausibilisierung „erst recht“ verlangt.
Keine Blackbox
Die Geschäftsleitung muss die Wirkungsweise der KI zumindest im Ansatz verstehen, um ihre Ergebnisse beurteilen zu können.
Kernbereich der Leitung
KI darf Entscheidungen vor- und nachbereiten, die Leitungsentscheidung selbst aber nicht übernehmen. Leitungsaufgaben sind nicht delegierbar.
Keine Entlastung durch Fehler der KI
Ein fehlerhaftes KI-Ergebnis wird rechtlich nicht wie ein menschliches Gutachten behandelt und entlastet derzeit nicht von der persönlichen Haftung.
Typische Fehlerquellen
- veraltete oder unvollständige Daten
- Verzerrungen (Bias)
- erfundene Quellen und Fakten
- unterschiedliche Ergebnisse bei leicht veränderten Prompts
- fehlende Begründung
Legalitätspflicht: Rechtsrahmen und Fristen 2026/2027
Die Einhaltung der KI-Verordnung und angrenzender Gesetze ist Pflicht, kein Ermessen. Die Business Judgment Rule greift hier nicht. Die folgende Übersicht zeigt den Stand im Oktober 2026.
| Regelung | Was gilt | Frist / Stand |
|---|---|---|
| KI-Verordnung (VO (EU) 2024/1689) | Risikobasierter Ansatz; Verbote (Art. 5) und KI-Kompetenz (Art. 4) | in Kraft seit 01.08.2024; Verbote und Art. 4 seit 02.02.2025 |
| Art. 4 KI-VO nach Omnibus | Pflicht zur Förderung der KI-Kompetenz des Personals statt Sicherstellung eines bestimmten Niveaus | seit 27.07.2026 |
| Transparenzpflichten (Art. 50) | z. B. Kennzeichnung von Chatbots und KI-generierten Inhalten | seit 02.08.2026; maschinenlesbare Markierung für Altsysteme bis 02.12.2026 |
| Hochrisiko-KI (Anhang III) | z. B. Bonitätsprüfung, Personalauswahl; Betreiberpflichten u. a. menschliche Aufsicht | ab 02.12.2027 |
| Hochrisiko-KI (Anhang I) | KI als Sicherheitsbauteil regulierter Produkte | ab 02.08.2028 |
| Digital-Omnibus-VO (EU) 2026/1744 | Fristverschiebung, geänderter Art. 4, Erleichterungen für KMU und kleine Midcaps | in Kraft seit 27.07.2026 |
| KI-MIG (BGBl. 2026 I Nr. 223) | Bundesnetzagentur als zentrale Marktüberwachungsbehörde; BaFin für KI-Systeme mit unmittelbarem Bezug zu regulierten Finanztätigkeiten (§ 2 Abs. 3 KI-MIG); Bußgelder bis 50.000 € für bestimmte Verstöße (§ 15 KI-MIG) | in Kraft seit 29.07.2026 |
| Neues Produkthaftungsgesetz | Software und KI-Systeme ausdrücklich als Produkt; neue Offenlegungs- und Beweisregeln | Bundestag im Oktober 2026 beschlossen; Bundesrat und Verkündung stehen aus; Inkrafttreten im Dezember 2026 vorgesehen |
| DSGVO | u. a. Rechtsgrundlage, Zweckbindung, Art. 22 bei automatisierten Einzelentscheidungen | gilt |
Praxis-Tipp: Führe vor dem Einsatz ein KI-Inventar und ordne jedes System einer Risikoklasse der KI-Verordnung zu. Ohne Inventar sind weder die Legalitätspflicht noch die Aufsicht des Aufsichtsrats belegbar.
Pflichten nach Funktion: Geschäftsleitung, Aufsichtsrat, Institute, Anwender
Geschäftsleitung
- KI-Einsatz oder Verzicht auf angemessener Informationsgrundlage entscheiden und begründen (§ 93 Abs. 1 Satz 2 AktG, § 43 GmbHG)
- KI-Ergebnisse plausibilisieren und eigenständig würdigen
- Einführung und Steuerung von KI als Geschäftsführungsmaßnahme freigeben, auch bei Bottom-up-Initiativen
- KI-Verordnung und DSGVO einhalten (Legalitätspflicht)
Aufsichtsrat (§ 111 Abs. 1, § 116 AktG)
- Überwachung des Ob und Wie der KI-Einführung, der Delegationsgrenzen und der Prüfpflichten
- Prüfen, ob sich die Geschäftsleitung auf die BJR berufen kann
- Eigene KI-Nutzung unterliegt denselben Grundsätzen
- Fragen: Gibt es ein KI-Inventar mit Risikoklassifizierung? Wer verantwortet KI-Governance? Wie wird KI-Kompetenz gefördert? Wie werden KI-gestützte Vorlagen dokumentiert?
Leitung beaufsichtigter Institute
- MaRisk AT 4.3.4 Tz. 1: Modellanforderungen gelten auch für automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz
- Tz. 2: Die Wahl der Modelle liegt in der Verantwortung des Instituts; Angemessenheit und Eignung vor dem Einsatz bewerten und regelmäßig prüfen
- Tz. 4: Regelungen zur Verwendung der Modellergebnisse, soweit relevant auch zu Überschreibungen
- Tz. 6: Neben der Genauigkeit auf hinreichende Erklärbarkeit achten
- DORA: IKT-Risikomanagement nach Art. 5 bis 15; die BaFin-Orientierungshilfe vom 18.12.2025 ist unverbindlich, zeigt aber die Erwartung der Aufsicht
Anwender und Fachbereiche
- Nur freigegebene Tools nutzen, Eingaben datenschutzkonform halten
- Ergebnisse auf Kontext, Aktualität und Quellen prüfen
- Nutzung nachvollziehbar festhalten
- KI-Kompetenz aufbauen (Art. 4 KI-VO, Förderpflicht)
Marktüberwachung: Für KI-Systeme mit unmittelbarem Bezug zu regulierten Finanztätigkeiten ist die BaFin zuständig (§ 2 Abs. 3 KI-MIG). In Instituten hängt die Business-Judgment-Frage eng mit der fachlichen Eignung der Geschäftsleiter zusammen: Wer KI-Modelle nicht im Ansatz versteht, kann Tz. 2 und Tz. 6 nicht erfüllen.
Pain Points: Wo KI-Einsatz in der Praxis angreifbar wird
Schatten-KI
Nutzen Mitarbeitende KI-Tools ohne Freigabe, entstehen Risiken für Vertraulichkeit, Datenschutz und Ergebnisqualität. Mit der Entscheidung für KI gehen Organisationspflichten einher: Produkt- und Datenkontrolle, Ausbildung, fortlaufende Schulung (§ 93 Abs. 1 AktG, § 43 GmbHG, DSGVO).
Blackbox ohne Verständnis
Wer die Wirkungsweise der KI nicht im Ansatz versteht, kann ihre Ergebnisse nicht plausibilisieren (§ 93 Abs. 1 Satz 2 AktG; für Institute MaRisk AT 4.3.4 Tz. 2 und 6).
Fehlendes KI-Inventar
Ohne Inventar und Risikoklassifizierung fehlt der Beleg für die Einhaltung der KI-Verordnung und für die Überwachung durch den Aufsichtsrat (§ 111 Abs. 1 AktG).
Falsche Entlastungserwartung
Der bloße Hinweis auf KI-Einsatz im Beschluss entlastet nicht. Belegt werden muss die angemessene Informationsgrundlage samt eigener Plausibilitätskontrolle (§ 93 Abs. 1 Satz 2 AktG).
Ermessen und Legalität verwechselt
Die Einhaltung der KI-Verordnung oder der DSGVO ist kein unternehmerisches Ermessen. Die BJR greift bei Gesetzesverstößen nicht.
Fristen unterschätzt
Betreiberpflichten für Hochrisiko-KI nach Anhang III gelten ab 02.12.2027, nach Anhang I ab 02.08.2028. Die Vorbereitung braucht Vorlauf.
Dokumentation im Beschluss: Was festgehalten werden sollte
Entscheidend ist, dass im Nachhinein erkennbar ist, auf welcher Informationsgrundlage entschieden wurde. Da KI-Tools Ergebnisse oft nur kurzzeitig speichern, gehört die Dokumentation in die Beschlussunterlagen. Sie belegt die angemessene Informationsgrundlage und die eigene Plausibilitätskontrolle; der bloße KI-Einsatz entlastet nicht.
| Punkt | Inhalt |
|---|---|
| Zweck | Welche Frage sollte die KI beantworten? Welches Ergebnis wurde erwartet (Analyse, Szenario, Entwurf)? |
| Tool | Name, Version, Anbieter, Datum der Nutzung; interne Freigabe des Tools |
| Eingaben | Verwendete Prompts, eingestellte Dokumente und Daten; Datenschutz- und Vertraulichkeitsprüfung |
| Nutzer | Wer hat die KI genutzt? |
| Prüfung | Wie wurden Kontext, Aktualität und Quellen geprüft? Abgleich mit anderen Informationsquellen |
| Würdigung | Eigene Bewertung der Geschäftsleitung: Wo wurde der KI gefolgt, wo nicht und warum? |
| Verzicht | Wenn keine KI genutzt wurde, obwohl verfügbar: Begründung anhand des Prüfschemas |
Formulierungshilfe für die Vorlage: Wer KI-Ergebnisse sorgfältig prüft, eigenständig würdigt und dies dokumentiert, kann eine angemessene Informationsgrundlage im Sinne von § 93 Abs. 1 Satz 2 AktG belegen. Ungeprüft übernommene KI-Ergebnisse genügen dafür nicht.
Quick-Check: Wie belastbar ist dein KI-Einsatz?
Beantworte die Prüffragen für dein Unternehmen. Jede Frage, die du nicht sicher mit Ja beantwortest, ist ein Ansatzpunkt für die Maßnahmen im nächsten Abschnitt.
| Prüffeld | Prüffrage | Normbezug | Typischer Befund |
|---|---|---|---|
| KI-Inventar | Gibt es ein Verzeichnis aller KI-Systeme mit Risikoklasse? | VO (EU) 2024/1689 | Tools nur den Fachbereichen bekannt |
| Freigabe | Gibt es einen Freigabeprozess und eine KI-Richtlinie? | § 93 Abs. 1 AktG, § 43 GmbHG | Nutzung ohne Freigabe |
| Kompetenz | Wird die KI-Kompetenz von Leitung, Aufsicht und Nutzern gefördert? | Art. 4 KI-VO | Schulung nur punktuell |
| Entscheidungsvorlage | Nennt die Vorlage Zweck, Tool, Prüfung und Würdigung? | § 93 Abs. 1 Satz 2 AktG | KI-Einsatz erwähnt, Prüfung fehlt |
| Verzicht | Ist begründet, warum eine verfügbare KI nicht genutzt wurde? | § 93 Abs. 1 Satz 2 AktG | Keine Begründung dokumentiert |
| Aufsicht | Berichtet die Geschäftsleitung regelmäßig an den Aufsichtsrat? | § 111 Abs. 1 AktG | Kein KI-Berichtswesen |
| Institute | Sind KI-Modelle vor dem Einsatz bewertet und erklärbar? | MaRisk AT 4.3.4 Tz. 2, 6 | Validierung nicht auf KI ausgerichtet |
Lösungsansätze: KI haftungssicher in die Entscheidungsfindung integrieren
Diese Maßnahmen sind No-Regret-Schritte: Sie lohnen sich unabhängig davon, wie sich Rechtsprechung und Fristen weiterentwickeln.
- Inventar und Risikoklassifizierung nach KI-Verordnung aufbauen.
- Governance festlegen: Verantwortlichkeiten, KI-Richtlinie, Freigabeprozess für Tools.
- Kompetenz fördern: Schulungskonzept für Geschäftsleitung, Aufsichtsrat und Nutzer (Art. 4 KI-VO, Förderpflicht).
- Entscheidungsprozess regeln: Prüfschema „Pflicht zur KI-Konsultation?“ und Plausibilitätskontrolle.
- Dokumentation standardisieren: Checkliste für die Beschlussvorlage.
- Überwachen: Qualität, Bias, Abweichungen und Vorfälle erfassen; regelmäßig an den Aufsichtsrat berichten.
- Für Hochrisiko-Systeme die Pflichten ab 02.12.2027 (Anhang III) bzw. 02.08.2028 (Anhang I) vorbereiten.
- Institute zusätzlich: Validierung nach MaRisk AT 4.3.4 und IKT-Risikomanagement nach DORA.
Fazit: Business Judgement Rule und KI zusammen denken
Die Business Judgement Rule verlangt keine KI, aber sie verlangt eine angemessene Informationsgrundlage. Ob KI dazugehört, entscheidet sich im Einzelfall, und die Begründung gehört in die Beschlussunterlagen.
- Eine allgemeine Pflicht zur KI-Nutzung besteht nicht; im Einzelfall kann sie sich aus der Informationspflicht ergeben.
- KI-Ergebnisse müssen plausibilisiert und eigenständig gewürdigt werden; ein KI-Fehler entlastet nicht.
- Die Leitungsentscheidung bleibt bei Geschäftsleitung und Aufsichtsrat.
- Die Einhaltung von KI-Verordnung und DSGVO ist Legalitätspflicht, kein Ermessen.
- Dokumentation, Inventar und Kompetenzaufbau sind die belastbarsten Nachweise.
FAQ: Häufige Fragen zu KI und Business Judgment Rule
Muss ich als Geschäftsführer KI nutzen?+–
Nicht generell. Eine Pflicht kann sich im Einzelfall ergeben, wenn eine geeignete KI verfügbar ist, einen klaren Informationsgewinn liefert und keine sachlichen Gründe dagegen sprechen. Höchstrichterlich ist die Frage nicht entschieden; das Schrifttum lehnt eine allgemeine Pflicht überwiegend ab.
Schützt mich der KI-Einsatz vor Haftung?+–
Nur, wenn du die Ergebnisse plausibilisiert und eigenverantwortlich entschieden hast. Ein fehlerhaftes KI-Ergebnis entlastet nach derzeitigem Stand nicht von der persönlichen Haftung.
Darf die KI die Entscheidung treffen?+–
Nein. KI darf vorbereiten und unterstützen; die Leitungsentscheidung bleibt bei der Geschäftsleitung. Leitungsaufgaben sind nicht delegierbar.
Gilt die Business Judgment Rule für die Einhaltung der KI-Verordnung?+–
Nein. Gesetzliche Pflichten sind kein unternehmerisches Ermessen. Wer die KI-Verordnung, die DSGVO oder andere Gesetze verletzt, kann sich nicht auf die Business Judgment Rule berufen (Legalitätspflicht).
Muss ich KI-Kompetenz im Unternehmen nachweisen?+–
Art. 4 KI-Verordnung verlangt seit der Änderung durch die Digital-Omnibus-Verordnung, die KI-Kompetenz des Personals zu fördern, statt ein bestimmtes Niveau sicherzustellen. Ein Schulungskonzept für Geschäftsleitung, Aufsichtsrat und Nutzer ist ein praktikabler Weg, diese Förderung zu belegen.
Was gilt für Banken und Finanzinstitute?+–
Für Institute gelten zusätzlich die Anforderungen der 10. MaRisk an Modelle (AT 4.3.4), die ausdrücklich auch für künstliche Intelligenz gelten. Die Übergangsfrist läuft bis zum 01.01.2027. Hinzu kommt das IKT-Risikomanagement nach DORA, für das die BaFin eine unverbindliche Orientierungshilfe zu KI veröffentlicht hat.
Quellenverzeichnis
Primärquellen und amtliche Stellen, abgerufen im Oktober 2026.
- EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung) – Volltext der KI-Verordnung
- AI Act Service Desk der EU-Kommission: Artikel 4 – geänderter Wortlaut zur KI-Kompetenz
- EU-Kommission: Regulatory framework on AI – Überblick zum Rechtsrahmen und zur Digital-Omnibus-Verordnung
- Bundesgesetzblatt 2026 I Nr. 223: KI-MIG (PDF) – Durchführungsgesetz zur KI-Verordnung, Zuständigkeiten und Bußgelder
- Bundesrat: Plenum kompakt – Beratung des KI-MIG im Bundesrat
- Deutscher Bundestag: Produkthaftungsrecht – Beschluss zum neuen Produkthaftungsgesetz
- Bundesfinanzministerium: Monatsbericht 01/2026, KI in Bundesunternehmen – Kernbereich der Leitung und Aufsichtsratsprüfung beim KI-Einsatz
- BaFin: Rundschreiben 06/2026 (BA), 10. MaRisk – Wortlaut von AT 4.3.4 zu Modellen und KI
- BaFin: Orientierungshilfe zu IKT-Risiken beim Einsatz von KI – unverbindliche Einordnung von KI in das IKT-Risikomanagement nach DORA
Verwandte Leistungen und Programme
Seminare für Aufsichtsrat und Vorstand
Überwachung, Haftung und Governance für Organmitglieder. Zum Seminarprogramm
Seminare für Geschäftsführer
Pflichten, Haftung und Aufsicht in der Geschäftsleitung. Zum Seminarprogramm
DORA und NIS-2 Seminare
IKT-Risikomanagement und Cyber-Governance in der Praxis. Zum Seminarprogramm
Future Governance Hub
Themen an der Schnittstelle von Technologie und Unternehmensführung. Zum Hub
Fachbeitrag: Enthaftungs-Dossier
Haftung des Aufsichtsrats und wie sie sich belegbar steuern lässt. Zum Beitrag
Fachbeitrag: Regulatorik für Geschäftsführer
Pflichten, Haftung und Aufsicht im Überblick. Zum Beitrag
Fehlen in deinem Unternehmen die Kapazitäten, KI-Governance und Dokumentation selbst aufzubauen, unterstützt S+P Compliance bei der operativen Umsetzung: S+P Compliance
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.
Achim Schulz
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
