Startseite Seminare News KI-Unterstützung für strategische Entscheidungen im Management

Fachbeitrag · Strategie, Governance und KI

KI-Unterstützung für strategische Entscheidungen im Management

KI-Unterstützung für strategische Entscheidungen nutzt du dann sicher, wenn Prognosen, Szenarien und Frühwarnung auf geprüften Annahmen beruhen. Der Beitrag zeigt die Pflichten nach AktG, StaRUG, DSGVO, MaRisk und KI-Verordnung mit Rechtsstand Oktober 2026.

Rechtsstand: Oktober 2026 · Lesezeit: 15 Minuten · Autor: Achim Schulz · Aktualisiert: Oktober 2026

Dieser Beitrag ersetzt keine Rechtsberatung.

Management Summary

KI-Unterstützung für strategische Entscheidungen verbreitert die Informationsbasis der Geschäftsleitung: KI wertet große Datenmengen aus, rechnet Szenarien durch und meldet Abweichungen früher als ein Monatsbericht. Die Entscheidung selbst bleibt bei den Organmitgliedern. Das ist keine Vorsicht, sondern geltendes Recht: Nach § 93 Abs. 1 Satz 2 AktG zählt nur, was auf angemessener Information beruht.

Der Engpass liegt selten in der Technik. Nach der Erhebung „The State of AI“ von McKinsey (2025) nutzen 88 % der befragten Unternehmen KI in mindestens einer Funktion, aber nur 39 % berichten von einem Ergebnisbeitrag auf Unternehmensebene. Am stärksten hängt der Ergebnisbeitrag laut McKinsey mit drei Faktoren zusammen: der Aufsicht der Unternehmensleitung über die KI-Governance, neu gestalteten Arbeitsabläufen und messbaren Kennzahlen.

Rechtlich greifen mehrere Regelwerke ineinander: § 93 und § 91 AktG sowie § 1 StaRUG für Sorgfalt und Früherkennung, das GeschGehG und die DSGVO für den Schutz der Daten, für Institute die MaRisk (AT 4.2, AT 4.3.4, AT 4.4.1) sowie die KI-Verordnung. Ein strategisches Analyse-Tool ist in der Regel kein Hochrisiko-System. Das ändert sich, sobald dasselbe System über Personen entscheidet, etwa bei der Personalauswahl oder der Kreditwürdigkeitsprüfung natürlicher Personen.

Die Kernbotschaft: KI bereitet vor, die Geschäftsleitung entscheidet und dokumentiert. Der Beitrag zeigt, wo KI hilft, welche Pflichten gelten, welche Fehler typisch sind und welche No-Regret-Maßnahmen du sofort umsetzen kannst.

Inhaltsverzeichnis

Wo KI strategische Entscheidungen unterstützt und welche Normen gelten
Fristen und Zeitpunkte
Pflichten nach Funktion
Pain Points mit Normbezug
Quick-Check: 12 Prüffragen
Lösungsansätze: No-Regret-Maßnahmen
Fazit und Kernbotschaften
FAQ
Quellenverzeichnis
Verwandte Leistungen und Programme

Wo KI-Unterstützung für strategische Entscheidungen konkret hilft

Märkte, Lieferketten und Regulierung verändern sich schneller, als klassische Planungszyklen folgen können. KI hilft dort, wo große Datenmengen, viele Variablen und kurze Reaktionszeiten zusammentreffen. Die Tabelle ordnet die typischen Einsatzfelder den Normen zu, die dafür relevant sind.

Einsatzfeld	Was KI leistet	Rechtlicher Anknüpfungspunkt
Markt- und Wettbewerbsanalyse	Auswertung von Marktdaten, Patenten, Presse und Kundenfeedback	GeschGehG; Urheberrecht bei Quellen; DSGVO bei Personendaten
Prognosen und Planung	Absatz-, Liquiditäts- und Kostenprognosen, rollierende Forecasts	§ 93 Abs. 1 AktG (angemessene Information); Institute: AT 4.3.4 MaRisk
Szenarien und Stresstests	Simulation von Zins-, Preis-, Lieferketten- und Regulierungsszenarien	Institute: AT 4.2 MaRisk (plausible Annahmen)
Frühwarnung	Mustererkennung bei Kennzahlen, Kunden und Lieferanten	§ 91 Abs. 2 AktG; § 1 StaRUG; Institute: AT 4.4.1 MaRisk
Kunden und Vertrieb	Segmentierung, Chatbots, personalisierte Angebote	DSGVO; Art. 50 KI-Verordnung (Transparenz)

Führe für jedes Einsatzfeld einen kurzen Steckbrief mit Zweck, Datenquellen, Verantwortlichem und Risikoklasse. Das ist die Grundlage für dein KI-Inventar.

Prognosen und Szenarien: Nutzen und Grenzen

Nach § 93 Abs. 1 Satz 2 AktG liegt keine Pflichtverletzung vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln. KI kann diese Informationsbasis deutlich verbreitern. Sie entlastet aber nicht von der Pflicht, die Qualität der Information zu prüfen. Eine Prognose, deren Annahmen niemand kennt, ist keine angemessene Information. Für die GmbH gilt der Sorgfaltsmaßstab des § 43 Abs. 1 GmbHG; die Anforderung an eine belastbare Informationsgrundlage ist in der Sache vergleichbar.

Für Institute ist die Anforderung aufsichtlich geregelt: AT 4.2 MaRisk verlangt für die Geschäftsstrategie eine zukunftsgerichtete Analyse des Geschäftsmodells unter Berücksichtigung interner und externer Einflussfaktoren sowie plausible Annahmen, die regelmäßig und anlassbezogen zu überprüfen sind. KI-gestützte Szenarien sind dafür ein geeignetes Werkzeug, solange die Annahmen dokumentiert und überprüfbar bleiben.

Verlange zu jeder KI-Prognose drei Angaben: die wichtigsten Annahmen, die Bandbreite (bester, mittlerer, schlechtester Fall) und die Datenbasis mit Stichtag. Fehlt eine davon, ist die Prognose nicht entscheidungsreif.

Vertiefung: KI-Nutzung trifft Business Judgement Rule

Frühwarnung als Teil des Überwachungssystems

Der Vorstand hat nach § 91 Abs. 2 AktG geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Börsennotierte Gesellschaften benötigen nach § 91 Abs. 3 AktG zusätzlich ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem. Rechtsformübergreifend verpflichtet § 1 Abs. 1 StaRUG die Geschäftsleiter, fortlaufend über Entwicklungen zu wachen, die den Fortbestand der juristischen Person gefährden können, geeignete Gegenmaßnahmen zu ergreifen und die Überwachungsorgane unverzüglich zu informieren.

In Instituten gehört es nach AT 4.4.1 MaRisk zu den Aufgaben der Risikocontrolling-Funktion, Frühwarnsysteme zu entwickeln, Risiken zu überwachen und regelmäßig zu berichten. KI kann Signale schneller erkennen, etwa Zahlungsverzögerungen von Großkunden, Preissprünge bei Vorprodukten oder Stimmungswechsel in Märkten. Entscheidend ist der zweite Schritt: Das Signal muss bei einer verantwortlichen Person ankommen, die handelt und berichtet.

Lege für jedes KI-Frühwarnsignal einen Schwellenwert, einen Empfänger und eine Reaktionsfrist fest. Ein Signal ohne Eskalationsweg erfüllt den Zweck des § 1 StaRUG nicht.

Datenqualität und Erklärbarkeit: das Black-Box-Problem

Schlechte Daten führen zu schlechten Empfehlungen. Für Institute ist das verbindlich: AT 4.3.4 MaRisk in der Fassung 10.0 erfasst auch automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz. Das Institut verantwortet die Modellwahl, begründet die Annahmen nachvollziehbar, sichert die Datenqualität durch Verfahren, regelt die Verwendung und Überschreibung von Modellergebnissen, prüft Grenzen und validiert regelmäßig. Neben der Genauigkeit ist auf hinreichende Erklärbarkeit zu achten, insbesondere bei KI-Modellen.

Für Unternehmen außerhalb der Finanzaufsicht sind diese Vorgaben nicht verbindlich. Sie sind aber ein brauchbarer Maßstab dafür, was „angemessene Information“ nach § 93 AktG bei KI-Prognosen bedeutet. Für Hochrisiko-Systeme nach Anhang III der KI-Verordnung gilt künftig zusätzlich ein Recht auf Erläuterung der Rolle des KI-Systems im Entscheidungsprozess (Art. 86 KI-Verordnung). Für reine Strategieanalysen greift das nicht, für personenbezogene Entscheidungen schon.

Fordere von Anbietern eine Modell- und Datendokumentation, bevor du ein Tool für Strategieentscheidungen freigibst. Was der Anbieter nicht erklären kann, kannst du dem Aufsichtsrat auch nicht erklären.

Strategiedaten schützen: Geschäftsgeheimnisse und Datenschutz

Strategiepapiere, Kalkulationen und M&A-Planungen gehören zu den sensibelsten Daten eines Unternehmens. Als Geschäftsgeheimnis ist eine Information nach § 2 Nr. 1 Buchst. b GeschGehG nur geschützt, wenn sie Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen ist. Wer Strategieunterlagen ungeprüft in frei zugängliche KI-Tools lädt, gefährdet diesen Schutz.

Enthalten die Daten Personenbezug, etwa Kundendaten für Vertriebsprognosen, gilt die DSGVO. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen. Trifft ein System selbst Entscheidungen mit rechtlicher Wirkung gegenüber Personen, greift Art. 22 DSGVO. Der EuGH hat in der Rechtssache C-634/21 entschieden, dass bereits ein maßgeblicher Score eine solche Entscheidung sein kann. Ein typisches Risiko ist Schatten-KI: Mitarbeitende nutzen private KI-Konten, weil freigegebene Werkzeuge fehlen.

Stelle ein freigegebenes KI-Werkzeug mit Unternehmenslizenz bereit und lege fest, welche Datenklassen hineindürfen. Ein Verbot ohne Alternative fördert Schatten-KI.

Vertiefung: Schatten-KI im Unternehmen

KI-Agenten: hoher Nutzen, hohes Abbruchrisiko

KI-Agenten führen Aufgaben selbstständig aus, etwa Marktbeobachtung, Berichtserstellung oder Bestellvorschläge. Nach McKinsey (2025) experimentieren bereits 62 % der befragten Unternehmen zumindest mit Agenten. Gartner erwartete im Juni 2025, dass über 40 % der Agenten-Projekte bis Ende 2027 abgebrochen werden, wegen hoher Kosten, unklaren Nutzens oder unzureichender Risikokontrollen. Viele Angebote sind zudem umetikettierte Chatbots („Agent Washing“).

Rechtlich gilt: Die Delegation an einen Agenten ist keine Delegation der Verantwortung. Die Organisations- und Überwachungspflichten nach § 93 Abs. 1 und § 91 Abs. 2 AktG bleiben bei der Geschäftsleitung. Bei Hochrisiko-Zwecken nach Anhang III kommen die Betreiberpflichten nach Art. 26 KI-Verordnung hinzu; die menschliche Aufsicht muss sich nach Art. 14 Abs. 4 Buchst. b der Gefahr des Automatisierungsbias bewusst bleiben und das System stoppen können.

Gib Agenten klare Grenzen: welche Systeme sie lesen dürfen, welche Aktionen sie ohne Freigabe ausführen dürfen und ab welchem Betrag ein Mensch zustimmen muss. Protokolliere jede Aktion.

Abgrenzung: wann ein Strategie-Tool zum Hochrisiko-System wird

Ein strategisches Analyse-Tool ist in der Regel kein Hochrisiko-System im Sinne der KI-Verordnung. Das ändert sich, wenn dasselbe System über Personen entscheidet, etwa bei Personalauswahl oder bei der Bewertung der Kreditwürdigkeit natürlicher Personen (Anhang III Nr. 4 und Nr. 5 Buchst. b). Prüfe deshalb bei jedem Einsatzzweck, ob Personendaten in Entscheidungen einfließen, bevor du ein Tool als reines Strategie-Werkzeug einstufst.

Vertiefung: Was ist der EU AI Act?

Fristen und Zeitpunkte

Rechtsstand Oktober 2026. Bei laufenden Verfahren sind nur Monate genannt; Verkündung und Inkrafttreten prüfst du vor einer Umsetzung am Gesetzblatt.

Zeitpunkt	Regelung	Wirkung für dich
Seit 02.02.2025	Verbote nach Art. 5 KI-Verordnung	Verbotene Praktiken, etwa Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1 Buchst. f)
Seit 27.07.2026	Art. 4 KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744	Anbieter und Betreiber fördern die KI-Kompetenz ihres Personals
Seit 29.07.2026	KI-MIG (BGBl. 2026 I Nr. 223)	Bundesnetzagentur als Aufsicht; BaFin für KI mit Bezug zu regulierten Finanztätigkeiten
Seit 02.08.2026	Transparenzpflichten nach Art. 50 KI-Verordnung	Kennzeichnung von KI-Interaktion und KI-Inhalten, etwa bei Chatbots im Kundenkontakt
Bis 02.12.2026	Übergang für bestehende Systeme	Maschinenlesbare Kennzeichnung für bestehende Systeme
Dezember 2026 (vorgesehen)	Neues Produkthaftungsrecht, Umsetzung der Richtlinie (EU) 2024/2853	Software und KI gelten als Produkt; Bundestagsbeschluss im Oktober 2026, Verkündung und Inkrafttreten nach Bundesrat prüfen
Ab 01.01.2027	DORA für weitere KWG-Institute (§ 1a Abs. 2a KWG)	Anforderungen an IKT-Systeme, auf denen KI-Modelle laufen
Ab 02.12.2027	Hochrisiko-Pflichten (Art. 14, 26, 86 KI-Verordnung) für Systeme nach Anhang III	Menschliche Aufsicht, Betreiberpflichten, Recht auf Erläuterung

Pflichten nach Funktion

Die Verantwortung für KI in strategischen Entscheidungen verteilt sich auf mehrere Rollen. Die Karten trennen, wer was zu verantworten hat.

Geschäftsleitung und Vorstand

Unternehmerische Entscheidungen auf angemessener Information treffen (§ 93 Abs. 1 AktG, § 43 Abs. 1 GmbHG), Früherkennungssystem einrichten (§ 91 Abs. 2 AktG, § 1 StaRUG), KI-Kompetenz fördern (Art. 4 KI-Verordnung).

Verantwortung

Aufsichtsrat

Überwachung der Geschäftsführung (§ 111 Abs. 1 AktG): Berichte zu KI-Inventar, Vorfällen und Kennzahlen anfordern und KI-gestützte Vorlagen kritisch prüfen.

Überwachung

Risikomanagement und Controlling

Prognoseannahmen, Bandbreiten und Datenstände dokumentieren, Frühwarnsignale mit Schwellenwerten und Eskalation hinterlegen, Modelle validieren.

Umsetzung

Datenschutz, IT und Informationssicherheit

Technische und organisatorische Maßnahmen (Art. 32 DSGVO), Schutz von Geschäftsgeheimnissen (§ 2 Nr. 1 Buchst. b GeschGehG), freigegebene Werkzeuge und Datenklassen.

Schutz

Betriebsrat und Personal

Mitbestimmung bei technischen Einrichtungen zur Verhaltens- und Leistungsüberwachung (§ 87 Abs. 1 Nr. 6 BetrVG), Unterrichtung beim Einsatz von KI (§ 90 Abs. 1 Nr. 3 BetrVG).

Mitbestimmung

Beaufsichtigte Institute

Zusätzlich AT 4.2, AT 4.3.4 und AT 4.4.1 MaRisk, DORA und die nicht bindende BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (Dezember 2025). Nach Art. 5 Abs. 2 DORA trägt das Leitungsorgan die Verantwortung für das IKT-Risikomanagement.

Aufsicht

Pain Points mit Normbezug

Diese sechs Muster treten in der Praxis am häufigsten auf. Jedes lässt sich einer konkreten Anforderung zuordnen.

Prognose ohne bekannte Annahmen

Niemand kann die Annahmen erklären. Damit fehlt die angemessene Information im Sinne von § 93 Abs. 1 Satz 2 AktG.

§ 93 AktG

Signal ohne Eskalationsweg

Die KI meldet eine Abweichung, aber niemand ist zuständig. Das Überwachungssystem erfüllt seinen Zweck nicht.

§ 91 AktG, § 1 StaRUG

Schatten-KI

Strategiepapiere landen in privaten KI-Konten. Der Schutz als Geschäftsgeheimnis und die Datensicherheit leiden.

GeschGehG, Art. 32 DSGVO

Ungeprüfte Datenbasis

Verzerrte oder veraltete Daten führen zu verzerrten Empfehlungen. Für Institute sind Verfahren zur Datenqualität verbindlich.

AT 4.3.4 MaRisk

Agenten ohne Grenzen

Agenten handeln ohne Freigabeschwellen und Protokoll. Die Verantwortung bleibt trotzdem bei der Geschäftsleitung.

Art. 14, 26 KI-Verordnung

Pilotprojekt ohne Kennzahl

Der Nutzen wird gefühlt statt gemessen. In einer METR-Studie (2025) arbeiteten erfahrene Entwickler mit KI 19 % langsamer, schätzten sich aber 20 % schneller ein.

Wertbeitrag

Quick-Check: 12 Prüffragen

Beantworte jede Frage mit „erfüllt“, „teilweise“ oder „offen“. Jede Frage, die du nicht mit „erfüllt“ beantwortest, ist ein Handlungsfeld für die Maßnahmen im nächsten Abschnitt.

Nr.	Prüffeld	Prüffrage	Normbezug	Typischer Befund
1	KI-Inventar	Ist der Einsatzzweck beschrieben und im KI-Inventar erfasst?	Art. 4 und Art. 26 KI-Verordnung (vorbereitend)	Einsatz in Fachbereichen ohne zentrale Übersicht
2	Personenbezug	Betrifft das System Personen (Personal, Kreditwürdigkeit)? Dann Hochrisiko prüfen.	Anhang III Nr. 4 und Nr. 5 Buchst. b KI-Verordnung	Strategie-Tool wird nebenbei für Personalfragen genutzt
3	Prognosequalität	Sind Annahmen, Datenbasis und Bandbreite dokumentiert?	§ 93 Abs. 1 Satz 2 AktG; AT 4.2, AT 4.3.4 MaRisk	Einzelwert ohne Bandbreite und ohne Stichtag
4	Datenqualität	Gibt es Verfahren zur Prüfung der Datenqualität?	AT 4.3.4 MaRisk	Qualitätsprüfung nur bei der Einführung
5	Überschreibung	Sind Abweichungen von der KI-Empfehlung geregelt und dokumentiert?	AT 4.3.4 MaRisk	Keine Regel, wann Menschen abweichen
6	Validierung	Wird das Modell regelmäßig validiert und ist es hinreichend erklärbar?	AT 4.3.4 MaRisk	Anbieter liefert keine Modelldokumentation
7	Frühwarnung	Haben Signale Schwellenwert, Empfänger und Eskalationsweg?	§ 91 Abs. 2 AktG; § 1 Abs. 1 StaRUG; AT 4.4.1 MaRisk	Dashboard ohne zuständige Person
8	Geheimhaltung	Sind Strategiedaten durch angemessene Geheimhaltungsmaßnahmen geschützt?	§ 2 Nr. 1 Buchst. b GeschGehG	Upload in frei zugängliche Tools
9	Datenschutz	Sind Maßnahmen und Rechtsgrundlagen für Personendaten geklärt?	Art. 32, Art. 22 DSGVO	Kundendaten in Prognosen ohne Prüfung
10	Transparenz	Sind Chatbots und KI-Inhalte gekennzeichnet?	Art. 50 KI-Verordnung	Kennzeichnung fehlt im Kundenkontakt
11	Mitbestimmung	Ist der Betriebsrat eingebunden, wenn Beschäftigtendaten betroffen sind?	§ 87 Abs. 1 Nr. 6, § 90 Abs. 1 Nr. 3 BetrVG	Einführung ohne Beteiligung
12	Kompetenz	Sind die Beteiligten geschult?	Art. 4 KI-Verordnung	Schulung nur für die IT

Lösungsansätze: No-Regret-Maßnahmen

Diese Maßnahmen lohnen sich unabhängig davon, wie sich Fristen und Entwürfe weiterentwickeln.

1. KI-Inventar anlegen

Zweck, Daten, Verantwortlicher und Risikoklasse je Anwendung. Hochrisiko-Fälle für Dezember 2027 früh identifizieren.

2. Freigegebenes Werkzeug bereitstellen

Unternehmenslizenz und festgelegte Datenklassen statt Verbot ohne Alternative.

3. Mindestangaben für Prognosen

Annahmen, Bandbreite und Datenstand als Pflichtfelder jeder KI-gestützten Entscheidungsvorlage.

4. Frühwarnsignale verankern

Schwellenwert, Empfänger und Reaktionsfrist je Signal; Bericht an Geschäftsleitung und Aufsichtsrat.

5. Grenzen für Agenten festlegen

Lesezugriffe, freigabefreie Aktionen, Betragsgrenzen und Protokollierung.

6. Wertbeitrag messen

Zwei bis drei Anwendungsfälle mit einer Kennzahl vor dem Start, etwa Prognosegenauigkeit oder Durchlaufzeit. Nach drei Monaten mit dem Ausgangswert vergleichen.

7. Rolle und Berichtsturnus

Verantwortliche Person für KI-Governance benennen und die Geschäftsleitung zweimal jährlich über Inventar, Vorfälle und Kennzahlen berichten lassen.

8. Fragen statt nur auswerten

Zu jeder Entscheidungsvorlage ein Absatz Gegenthese, dazu eine Notiz, warum du der KI folgst oder abweichst.

Vertiefung: Was macht ein AI Compliance Officer?

Vertiefung: KI-Risk-Register erstellen

Fazit und Kernbotschaften

KI-Unterstützung für strategische Entscheidungen ist zulässig, nützlich und rechtlich beherrschbar, wenn Annahmen, Daten und Zuständigkeiten dokumentiert sind. Die Rechtslage verlangt keine Zurückhaltung gegenüber KI, sondern Nachvollziehbarkeit.

KI bereitet vor, die Geschäftsleitung entscheidet und dokumentiert.
Angemessene Information setzt bekannte Annahmen, eine Bandbreite und eine geprüfte Datenbasis voraus.
Ein Frühwarnsignal ohne Empfänger und Eskalationsweg erfüllt seinen Zweck nicht.
Wer Personen betrifft, prüft Hochrisiko: Ab Dezember 2027 gelten dafür die Pflichten aus Art. 14, 26 und 86 KI-Verordnung.
Gemessener Wertbeitrag zählt, nicht das Gefühl.

Fehlen intern die Kapazitäten, die Umsetzung zu tragen, kann S+P Compliance Unternehmen dabei operativ unterstützen. Das ist eine Option nach dem fachlichen Teil dieses Beitrags, kein Bestandteil davon.

Mehr zur Dienstleistung: S+P Compliance

FAQ

Darf KI strategische Entscheidungen allein treffen?+–

Nein. Die Leitungsverantwortung bleibt bei der Geschäftsleitung. KI darf die Entscheidung vorbereiten. Nach § 93 Abs. 1 Satz 2 AktG muss die Entscheidung auf angemessener Information beruhen, und dazu gehört die kritische Prüfung der KI-Ergebnisse.

Ist ein KI-Tool für Strategieanalysen ein Hochrisiko-System?+–

In der Regel nicht. Hochrisiko sind die Zwecke nach Anhang III der KI-Verordnung, etwa Personalauswahl oder die Kreditwürdigkeitsprüfung natürlicher Personen. Die Pflichten dafür gelten ab Dezember 2027.

Was ist das größte Risiko beim Einsatz von KI in der Strategie?+–

Verzerrte oder unvollständige Daten und blindes Vertrauen in die Ausgabe. Gegenmittel sind Datenqualitätsprüfungen, dokumentierte Annahmen und eine Regel, wann Menschen von der KI abweichen.

Dürfen wir Strategieunterlagen in ein KI-Tool hochladen?+–

Nur in freigegebene Werkzeuge mit vertraglich gesicherter Vertraulichkeit. Sonst gefährdest du den Schutz als Geschäftsgeheimnis nach § 2 Nr. 1 Buchst. b GeschGehG.

Welche Regeln gelten zusätzlich für Banken und Finanzdienstleister?+–

Zusätzlich gelten AT 4.2, AT 4.3.4 und AT 4.4.1 MaRisk, DORA und die nicht bindende BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI. Die BaFin ist nach dem KI-MIG zuständig für KI mit Bezug zu regulierten Finanztätigkeiten. Sofern Funktionen ausgelagert werden, gelten die Anforderungen an die Auslagerung beaufsichtigter Institute.

Wie messen wir den Nutzen von KI?+–

Mit Kennzahlen, die du vor dem Start festlegst, etwa Prognosegenauigkeit oder Durchlaufzeit einer Analyse. Selbsteinschätzungen sind unzuverlässig, wie die METR-Studie von 2025 zeigt.

Quellenverzeichnis

Aufgeführt sind amtliche Stellen. Branchenstudien (McKinsey, Gartner, METR) sind im Text genannt, aber bewusst nicht verlinkt. Gesetzestexte sind HTML-Fassungen; Rechtsstand Oktober 2026.

EU-Rechtsakte

Verordnung (EU) 2024/1689 (KI-Verordnung) – Art. 4, 5, 14, 26, 50, 86 und Anhang III
Verordnung (EU) 2016/679 (DSGVO) – Art. 22 und Art. 32
Verordnung (EU) 2022/2554 (DORA) – Art. 5 Abs. 2, Verantwortung des Leitungsorgans
Richtlinie (EU) 2024/2853 (Produkthaftung) – Software und KI als Produkt, Umsetzungsfrist Dezember 2026
Verordnung (EU) 2026/1744 – Änderung der KI-Verordnung, Fassung von Art. 4 und Fristen für Hochrisiko-Systeme

Gesetze des Bundes

§ 93 AktG – Sorgfaltspflicht, Business Judgment Rule
§ 91 AktG – Überwachungssystem, internes Kontrollsystem und Risikomanagementsystem
§ 1 StaRUG – Krisenfrüherkennung und Krisenmanagement
§ 2 GeschGehG – Geschäftsgeheimnis, angemessene Geheimhaltungsmaßnahmen
§ 87 BetrVG – Mitbestimmung bei technischen Einrichtungen
§ 1a KWG – Anwendung von DORA auf weitere Institute
KI-MIG, BGBl. 2026 I Nr. 223 – Marktüberwachung, Zuständigkeiten von Bundesnetzagentur und BaFin

Aufsichtsbehörden und Gerichte

BaFin, Rundschreiben 06/2026 (MaRisk 10.0) – AT 4.2, AT 4.3.4, AT 4.4.1
BaFin, Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (Dezember 2025) – nicht bindende Auslegungshilfe
EuGH, Urteil in der Rechtssache C-634/21 – Score als automatisierte Entscheidung (Art. 22 DSGVO)