Fachbeitrag · Executive Education
KI-gestützte Entscheidungsfindung ist in Vorständen und Geschäftsführungen angekommen: Systeme werten Daten aus, simulieren Szenarien und entwerfen Vorlagen. Rechtlich gilt dabei weiter, was für jede Leitungsentscheidung gilt: Du entscheidest, und du musst die Entscheidung begründen können.
Dieser Beitrag ordnet ein, wo KI die Entscheidungsvorbereitung verbessert, wo Art. 22 DSGVO, die KI-Verordnung, die MaRisk 10.0 und das Betriebsverfassungsrecht Grenzen setzen und wie du einen Governance-Rahmen aufbaust, den dein Team selbst tragen kann.
KI darf die Entscheidung vorbereiten, sie aber nicht ersetzen. Maßstab ist weiterhin die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters (§ 93 Abs. 1 Satz 1 AktG, für GmbH-Geschäftsführer entsprechend § 43 GmbHG). Ungeprüft übernommene KI-Ergebnisse sind keine angemessene Information im Sinne von § 93 Abs. 1 Satz 2 AktG.
Sobald KI über Personen mitentscheidet, greift Art. 22 DSGVO. Nach dem EuGH genügt es nicht, ein Ergebnis formal abzuzeichnen, wenn die Entscheidung maßgeblich davon abhängt (C-634/21). Die KI-Verordnung ergänzt das schrittweise: Verbote und Transparenzpflichten gelten bereits, die Hochrisiko-Pflichten für Systeme nach Anhang III ab 02.12.2027.
Dazu kommen die Mitbestimmung nach dem BetrVG und, für Institute, die MaRisk 10.0 mit ausdrücklichem Bezug auf KI-Modelle und Erklärbarkeit. Praktisch heißt das: Inventar anlegen, Risikoklassen zuordnen, Verantwortung benennen, echte menschliche Prüfung sicherstellen und den Einsatz in Vorlagen und Protokollen nachvollziehbar dokumentieren.
Dieser Beitrag ersetzt keine Rechtsberatung.
Vorstandsmitglieder haben „die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden“ (§ 93 Abs. 1 Satz 1 AktG). Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, „auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln“ (§ 93 Abs. 1 Satz 2 AktG). Für Geschäftsführer einer GmbH gilt nach § 43 GmbHG ein entsprechender Maßstab.
Praxistipp: Halte in jeder KI-gestützten Vorstandsvorlage fest, welche Frage die KI beantworten sollte, wie du das Ergebnis geprüft hast und wo ihr bewusst anders entschieden habt.
Nicht jeder KI-Einsatz ist gleich zu behandeln. Entscheidend ist, ob KI über Menschen entscheidet oder Sachfragen vorbereitet.
| Bereich | Beispiele | Einordnung |
|---|---|---|
| Strategie | Wettbewerbsanalysen, Szenarien, Marktprognosen | In der Regel kein Hochrisiko-System; KI-Kompetenz (Art. 4 KI-Verordnung) und Sorgfaltspflicht (§ 93 AktG) |
| Finanzen | Frühwarnsysteme, Liquiditätsplanung, Risikomodelle | Institute: AT 4.3.4 MaRisk 10.0. Kreditwürdigkeitsprüfung natürlicher Personen ist Hochrisiko nach Anhang III Nr. 5 b) KI-Verordnung (Pflichten ab 02.12.2027); Betrugserkennung ist ausgenommen |
| HR | Bewerbungen sichten, Leistungsbewertung, Beförderungen | Hochrisiko nach Anhang III Nr. 4 KI-Verordnung (ab 02.12.2027). Heute schon: Art. 22 DSGVO und Mitbestimmung nach BetrVG. Emotionserkennung am Arbeitsplatz ist seit 02.02.2025 verboten (Art. 5 Abs. 1 f) |
| Vertrieb und Marketing | Personalisierte Kampagnen, Chatbots, Segmentierung | Transparenzpflichten nach Art. 50 KI-Verordnung seit 02.08.2026; DSGVO |
| Operations | Predictive Maintenance, Prozessoptimierung | In der Regel geringes Risiko; Datenqualität und IT-Sicherheit |
Praxistipp: Ordne jeden Einsatzfall vor dem Start einer Risikoklasse zu. Ohne KI-Inventar wissen weder Geschäftsleitung noch Aufsichtsrat, wo Hochrisiko-Pflichten auf das Unternehmen zukommen.
Nach Art. 22 Abs. 1 DSGVO hat jede Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“. Der EuGH legt den Begriff weit aus: Schon der automatisiert erstellte Score einer Auskunftei ist eine solche Entscheidung, wenn von ihm „maßgeblich abhängt“, ob ein Dritter einen Vertrag schließt, durchführt oder beendet (EuGH, Urteil vom 07.12.2023, C-634/21).
Ab 02.12.2027 müssen Betreiber von Hochrisiko-KI-Systemen nach Anhang III die menschliche Aufsicht Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen (Art. 26 Abs. 2 KI-Verordnung). Diese Personen müssen sich nach Art. 14 Abs. 4 Buchst. b der Neigung zu übermäßigem Vertrauen in die Ausgabe, dem Automatisierungsbias, bewusst bleiben und die Ausgabe außer Acht lassen oder das System stoppen können (Art. 14 Abs. 4 Buchst. d und e).
Praxistipp: Miss, wie oft deine Entscheider von KI-Empfehlungen abweichen. Liegt die Abweichungsquote dauerhaft bei null, ist das ein Warnsignal für Automatisierungsbias.
Gegenüber Betroffenen: Bei automatisierten Entscheidungen muss der Verantwortliche die konkret angewandten Verfahren und Grundsätze erläutern. Die bloße Übermittlung eines Algorithmus genügt nicht. Ausreichen kann etwa die Information, in welchem Maße eine Abweichung bei den berücksichtigten Daten zu einem anderen Ergebnis geführt hätte (EuGH, Urteil vom 27.02.2025, C-203/22, Dun & Bradstreet Austria).
Institute: Die Anforderungen an Modelle „gelten auch für automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz“ (AT 4.3.4 Tz. 1 MaRisk 10.0). Die Wahl der Modelle liegt in der Verantwortung des Instituts; Angemessenheit und Eignung sind vor dem Einsatz zu bewerten und regelmäßig zu überprüfen (Tz. 2). Die Datenqualität ist sicherzustellen (Tz. 3), die Verwendung der Modellergebnisse einschließlich Überschreibungen zu regeln (Tz. 4). Neben der Genauigkeit ist auf hinreichende Erklärbarkeit zu achten, insbesondere bei KI (Tz. 6).
Künftig: Wer von einer Entscheidung auf Grundlage eines Hochrisiko-Systems nach Anhang III betroffen ist, kann vom Betreiber „eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung“ verlangen (Art. 86 Abs. 1 KI-Verordnung). Bei Kreditwürdigkeitsprüfungen natürlicher Personen ist vor der Inbetriebnahme zudem eine Grundrechte-Folgenabschätzung durchzuführen (Art. 27 Abs. 1 i. V. m. Anhang III Nr. 5 b).
Praxistipp: Frage vor jeder Einführung: Können wir einem Betroffenen, der Aufsicht und dem Aufsichtsrat in zwei Sätzen erklären, warum das System zu diesem Ergebnis kommt? Wenn nicht, eignet sich das System nicht für personenbezogene Entscheidungen.
Rechtsstand Oktober 2026. Laufende Verfahren sind monatsgenau angegeben.
| Geltend | Übergang | Künftig |
|---|---|---|
| § 93 Abs. 1 AktG (über § 43 GmbHG entsprechend): Sorgfaltspflicht und Business Judgment Rule | – | – |
| Art. 22 DSGVO; EuGH C-634/21 (07.12.2023) und C-203/22 (27.02.2025) | – | – |
| KI-Verordnung: Verbote nach Art. 5 seit 02.02.2025; Art. 4 seit 27.07.2026 in der Fassung der Verordnung (EU) 2026/1744 (Förderpflicht); Transparenzpflichten nach Art. 50 seit 02.08.2026 | Maschinenlesbare Kennzeichnung für bestehende Systeme bis 02.12.2026 | Hochrisiko-Pflichten (Art. 14, 26, 27; Erläuterungsrecht Art. 86) für Systeme nach Anhang III ab 02.12.2027, nach Anhang I ab 02.08.2028 |
| KI-MIG (BGBl. 2026 I Nr. 223) seit 29.07.2026: BaFin zuständig für KI mit unmittelbarem Bezug zu regulierten Finanztätigkeiten | – | – |
| § 87 Abs. 1 Nr. 6, § 90 Abs. 1 Nr. 3, § 95 Abs. 2a BetrVG: Mitbestimmung und Unterrichtung bei KI | – | – |
| Institute: AT 4.3.4 MaRisk 10.0 (Rundschreiben 06/2026 (BA)): Modelle einschließlich KI, Erklärbarkeit | Zusätzliche Anforderungen der MaRisk 10.0: Übergangsfrist bis 01.01.2027; BAIT bis 31.12.2026 | DORA ab 01.01.2027 auch für KWG-Institute außerhalb von Art. 2 DORA (§ 1a Abs. 2a KWG) |
| – | Neues Produkthaftungsgesetz (Software und KI als Produkt): Bundestagsbeschluss im Oktober 2026 | Inkrafttreten im Dezember 2026 vorgesehen |
Sorgfaltspflicht nach § 93 Abs. 1 AktG beziehungsweise § 43 GmbHG, KI-Kompetenz fördern (Art. 4 KI-Verordnung), Einsatzfälle klassifizieren, Verbote ausschließen (Art. 5), Kennzeichnung nach Art. 50 sicherstellen.
Der Aufsichtsrat überwacht die Geschäftsführung (§ 111 Abs. 1 AktG). Dazu gehört, ob und wie KI in die Entscheidungsvorbereitung eingebunden ist, ob ein Inventar besteht und ob die Rechtspflichten erfüllt werden.
Unterrichtung über KI in Arbeitsverfahren (§ 90 Abs. 1 Nr. 3 BetrVG), Mitbestimmung bei Überwachungseinrichtungen (§ 87 Abs. 1 Nr. 6) und bei Auswahlrichtlinien auch mit KI (§ 95 Abs. 2a). Ab 02.12.2027 Information von Arbeitnehmervertretern und Beschäftigten (Art. 26 Abs. 7 KI-Verordnung).
Datenqualität prüfen, Bias testen, menschliche Prüfung organisieren, Betrieb anhand der Betriebsanleitung überwachen (Art. 26 Abs. 5 KI-Verordnung, künftig).
AT 4.3.4 MaRisk 10.0: Modellwahl, Datenqualität, Überschreibungen, Erklärbarkeit. Die BaFin ist für KI mit unmittelbarem Bezug zu regulierten Finanztätigkeiten Marktüberwachungsbehörde (§ 2 Abs. 3 KI-MIG). Die BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI vom 18.12.2025 ist eine unverbindliche Hilfestellung, zeigt aber die Erwartung der Aufsicht.
Digitale Urteilskraft, Risiko- und Rechtskompetenz, die Fähigkeit, die richtigen Fragen zu stellen, Datenkompetenz und eine klare Haltung zum Technologieeinsatz. Ein bestimmtes individuelles Niveau schreibt Art. 4 in der Fassung der Verordnung (EU) 2026/1744 nicht mehr vor; die Förderpflicht gilt auch für die Leitungsebene.
| Fallstrick | Folge | Gegenmaßnahme mit Normbezug |
|---|---|---|
| Blindes Vertrauen (Automatisierungsbias) | Fehler werden übernommen | Plausibilitätskontrolle, Abweichungen dokumentieren (§ 93 Abs. 1 Satz 2 AktG; künftig Art. 14 Abs. 4 KI-Verordnung) |
| Schlechte Datenqualität | Falsche Prognosen | Datenqualitätsprüfung vor dem Einsatz (AT 4.3.4 Tz. 3 MaRisk 10.0 als Maßstab) |
| Blackbox | Entscheidungen nicht begründbar | Erklärbarkeit als Auswahlkriterium (EuGH C-203/22; AT 4.3.4 Tz. 6 MaRisk 10.0) |
| Diskriminierung | Benachteiligung von Bewerbern, Kunden oder Beschäftigten | Bias-Tests, menschliche Prüfung, Beteiligung von Datenschutz und HR (Art. 22 DSGVO) |
| Schatten-KI | Vertrauliche Daten in freien Tools | Freigegebene Werkzeuge, Nutzungsrichtlinie, KI-Inventar |
| Technik-Overload | KI ohne Mehrwert | Einsatz nur mit klarer Fragestellung und Zielgröße |
Praxistipp: Teste wichtige KI-Ergebnisse mit leicht veränderten Eingaben. Ändert sich das Ergebnis stark, ist es keine belastbare Entscheidungsgrundlage.
Frage: Gibt es in deinem Unternehmen ein KI-Inventar mit Risikoklassen und ein benanntes Mitglied der Geschäftsleitung, das KI-Governance verantwortet? Wähle den Zustand, der am besten passt.
Inventar und Zuständigkeit bestehen. Prüfe als Nächstes, ob die Abweichungsquote und der Bericht an den Aufsichtsrat regelmäßig ausgewertet werden, und plane die Hochrisiko-Pflichten ab 02.12.2027 in einem Projektplan ein.
Erfasse die fehlenden Anwendungen, einschließlich selbst beschaffter Werkzeuge, ordne sie nach Art. 5, Anhang III und Art. 50 KI-Verordnung ein und benenne ein verantwortliches Mitglied der Geschäftsleitung.
Beginne mit einer Bestandsaufnahme: Welche KI-Werkzeuge nutzen Fachbereiche heute? Prüfe zuerst HR-Anwendungen, Kundenbewertung und Chatbots, weil dort Art. 22 DSGVO, Mitbestimmung und Kennzeichnungspflichten bereits gelten.
Die Zustände sind mit Text und Farbe gekennzeichnet. Die Auswahl funktioniert ohne JavaScript und per Tastatur.
Praxistipp: Ein interner KI-Ethikrat ist sinnvoll, ersetzt aber nicht die rechtliche Prüfung. Besetze ihn deshalb auch mit Datenschutz und Compliance.
| Schritt | Prüffrage | Fundstelle |
|---|---|---|
| 1 | Handelt es sich um eine verbotene Praxis, etwa Emotionserkennung am Arbeitsplatz? | Art. 5 Abs. 1 f) KI-Verordnung |
| 2 | Fällt der Einsatz unter Anhang III, etwa Personalauswahl oder Kreditwürdigkeitsprüfung natürlicher Personen? | Anhang III Nr. 4 und 5 b) KI-Verordnung; Pflichten ab 02.12.2027 |
| 3 | Wird über Personen entschieden, und hängt die Entscheidung maßgeblich vom KI-Ergebnis ab? | Art. 22 DSGVO; EuGH C-634/21 |
| 4 | Ist eine echte menschliche Prüfung mit Befugnis und Zeit zur Abweichung gesichert? | Art. 22 DSGVO; künftig Art. 14 Abs. 4, Art. 26 Abs. 2 KI-Verordnung |
| 5 | Lässt sich das Ergebnis erklären, gegenüber Betroffenen, Aufsicht und Aufsichtsrat? | EuGH C-203/22; AT 4.3.4 Tz. 6 MaRisk 10.0; künftig Art. 86 KI-Verordnung |
| 6 | Sind Datenqualität und Eignung des Modells vor dem Einsatz geprüft? | AT 4.3.4 Tz. 2 und 3 MaRisk 10.0 |
| 7 | Ist der Betriebsrat unterrichtet oder beteiligt? | § 87 Abs. 1 Nr. 6, § 90 Abs. 1 Nr. 3, § 95 Abs. 2a BetrVG |
| 8 | Sind Kennzeichnungspflichten bei Chatbots und KI-Inhalten erfüllt? | Art. 50 KI-Verordnung |
| 9 | Wurde das Ergebnis plausibilisiert und die eigene Würdigung dokumentiert? | § 93 Abs. 1 Satz 2 AktG |
| 10 | Sind die Beteiligten geschult? | Art. 4 KI-Verordnung |
Fehlen im Unternehmen die Kapazitäten, die Umsetzung selbst zu tragen, kann eine externe Unterstützung sinnvoll sein. Eine Übersicht dazu findest du bei S+P Compliance. Für den Aufbau eigener Sachkunde im Team sind die Seminare von S+P Seminare der direkte Weg.
Nein. KI darf Entscheidungen vorbereiten. Die Leitungsentscheidung, ihre Abwägung und die Verantwortung bleiben bei der Geschäftsleitung.
Wenn die Entscheidung über eine Person maßgeblich vom Score abhängt. Das hat der EuGH für Auskunftei-Scores entschieden (C-634/21). Eine nur formale Freigabe durch einen Menschen genügt nicht.
Ja, mit Auflagen. Heute gelten Art. 22 DSGVO und die Mitbestimmung nach dem BetrVG. Ab 02.12.2027 kommen die Hochrisiko-Pflichten der KI-Verordnung hinzu, etwa menschliche Aufsicht und die Information der Beschäftigten. Emotionserkennung am Arbeitsplatz ist verboten.
Du musst KI so weit verstehen, dass du Ergebnisse beurteilen und Risiken steuern kannst. Das Unternehmen muss die KI-Kompetenz seines Personals fördern (Art. 4 KI-Verordnung). In Instituten gehört das Verständnis der eingesetzten Modelle zur fachlichen Eignung der Geschäftsleiter.
Grundsätzlich die Bundesnetzagentur. Für KI mit unmittelbarem Bezug zu regulierten Finanztätigkeiten ist die BaFin zuständig (§ 2 Abs. 3 KI-MIG).
Welche KI wofür genutzt wurde, wie das Ergebnis geprüft wurde und wie die Geschäftsleitung es gewürdigt hat, einschließlich bewusster Abweichungen.
Rechtsstand Oktober 2026. Die Artikeltexte der KI-Verordnung sind vor Anwendung mit dem Amtsblatt abzugleichen.
Rollenbasierte Programme für CEO, CFO, COO und CRO.
Überwachungsaufgaben und Haftungsfragen im Aufsichtsrat.
Pflichten und Entscheidungsgrundlagen für Geschäftsführer.
KI in Personalprozessen, Mitbestimmung und Auswahlverfahren.
Methoden für Urteilsbildung und Entscheidungsqualität.
Regulatorik, Governance und IKT-Risiken im Überblick.
Haftung und Überwachungspflichten des Aufsichtsrats im Fachbeitrag.
Pflichten, Haftung und Aufsicht für Geschäftsführer im Fachbeitrag.
Termine und Anmeldung zu den aktuellen Seminaren.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →
