Wie KI-Regulierung die Governance von Aufsichtsräten verändert

9. Oktober 2026

Table of contents

Stellen Sie sich vor, ein Schreiben einer Aufsichtsbehörde trifft ein. Es ist höflich und recht kurz. Gefragt wird, wie der Aufsichtsrat den Einsatz von KI bei der Schadenbearbeitung überwacht. Niemand gerät in Panik. Das Unternehmen hat eine KI-Richtlinie, die IT hat das Tool zur Schadenbearbeitung im üblichen Verfahren freigegeben, das Risikoteam hat es in das Register aufgenommen und der Prüfungsausschuss hat es im vergangenen Jahr zweimal besprochen. Das Problem: All dies liegt an unterschiedlichen Orten und wurde für unterschiedliche Leserkreise verfasst. Der oder die Gesellschaftssekretär*in wird einen guten Teil der kommenden Woche damit verbringen, daraus eine Darstellung zusammenzufügen, hinter der der Aufsichtsrat stehen kann.

Kurz gesagt: Genau bei diesem Zusammenfügen sollen Aufsichtsräte nach dem Willen der KI-Regulierung besser werden.

Das Thema taucht auch in Geschäftsberichten auf. Als Arize AI die Berichte der Fortune-500-Unternehmen untersuchte, kennzeichneten laut Fortune 281 Unternehmen KI als möglichen Risikofaktor, gegenüber 49 im Vorjahr. Die Gründe sind vielfältig. Medienunternehmen befürchten, dass Wettbewerber sich mithilfe von KI einen Vorsprung verschaffen. Andere verweisen auf ungeklärte Regeln zum geistigen Eigentum, Modelle, die sich nicht wie erwartet verhalten, Datenlecks oder den Reputationsschaden durch eine Anwendung, die in der Öffentlichkeit schlecht ankommt. Vor einigen Jahren wäre das meiste davon bei der Rechtsabteilung geblieben. Heute landet es auf dem Tisch des Aufsichtsrats.

Wer die Vorschriften genau liest, erkennt darin etwas, das Aufsichtsräte bereits beherrschen: klären, wer verantwortlich ist, sicherstellen, dass ein Mensch die Sache sorgfältig geprüft hat, und eine Dokumentation führen, die auch später noch nachvollziehbar ist. Wer darin nur eine Ablageübung sieht, verkennt, wonach eine Aufsichtsbehörde oder später womöglich ein Gericht sucht.
In diesem Artikel:

Wie die KI-Regulierung die Governance von Aufsichtsräten verändert
Was Verantwortlichkeit, menschliche Aufsicht und Transparenz für Aufsichtsräte bedeuten
Wie Sie KI-Governance in Agenden, Vorbereitung, Dokumentation und Entscheidungsfindung verankern

Abonnieren Sie Insights, um Ihre Meetings zu verbessern.

Bleiben Sie auf dem neuesten Stand mit kuratierten Inhalten und Produktneuheiten für effektivere Sitzungen im Aufsichtsrat und Vorstand.

Die KI-Regulierungslandschaft im Wandel

Man muss kein Fachanwalt für Regulierungsrecht sein, um zu erkennen, dass sich die grossen Regelwerke in dieselbe Richtung bewegen, auch wenn sie auf sehr unterschiedlichen Wegen dorthin gelangen. Wie Mark Williams, Chief Revenue Officer bei Datasite Group, im Boardroom Confidential Podcast feststellte: „Diese KI-Datenschutz- und Datenrichtlinien werden gezwungen sein, Fähigkeiten zu berücksichtigen, die heute noch unvorstellbar sind.”

Europa ist am weitesten fortgeschritten. Die KI-Verordnung der EU trat im August 2024 in Kraft und wird seither schrittweise wirksam. Die Pflichten zur KI-Kompetenz gelten seit Februar 2025, die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck seit August desselben Jahres. Für Aufsichtsräte sind voraussichtlich die Pflichten für Hochrisiko-KI-Systeme am wichtigsten. Sie gelten ab August 2026. Ein vorgeschlagener Aufschub könnte einige davon jedoch ins Jahr 2027 verschieben. Wer ein solches System anbietet oder einsetzt, benötigt einen Risikomanagementprozess, eine ordnungsgemässe Dokumentation und eine von vornherein vorgesehene menschliche Aufsicht. Bei gravierenden Verstössen kann die Geldbusse bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Das entspricht der Grössenordnung des Wettbewerbsrechts. Entsprechend aufmerksam sind die Aufsichtsräte.

Grossbritannien hat zumindest auf dem Papier einen anderen Weg eingeschlagen. Ein KI-Gesetz gibt es nicht. Stattdessen wenden das ICO, die FCA, die CMA und andere Aufsichtsbehörden fünf Grundsätze aus den Leitlinien der Regierung in ihren jeweiligen Zuständigkeitsbereichen an: Sicherheit, Transparenz, Fairness, Verantwortlichkeit und Anfechtbarkeit. Das sieht ganz anders aus als in Brüssel. Bei näherem Hinsehen ist die Erwartung jedoch weitgehend dieselbe: Unternehmen müssen in verständlicher Sprache erklären können, wie sie KI einsetzen.

Für die meisten Aufsichtsräte ist diese gemeinsame Richtung wichtiger als die Einzelheiten. Bei den Einzelheiten spielen ein starker General Counsel und der oder die Gesellschaftssekretär*in ihre Stärken aus: Welche Systeme gelten als hochriskant, und wo genau verlaufen die regulatorischen Grenzen? Aufsichtsräte stützen sich dabei zu Recht auf sie. Die eigene Aufgabe des Aufsichtsrats lässt sich einfacher beschreiben, ist aber schwieriger umzusetzen. Er muss wissen, wo KI eingesetzt wird, wer das Risiko verantwortet und ob jemand in der Lage ist, Probleme frühzeitig zu erkennen.

Was die Regulierung für Aufsichtsräte bedeutet

Aufsichtsbehörden kommen immer wieder auf Verantwortlichkeit, Aufsicht und Transparenz zurück. An einem Beispiel lässt sich leichter erkennen, was damit gemeint ist. Bleiben wir also bei dem Tool zur Schadenbearbeitung.

Wer ist verantwortlich, wenn es berechtigte Ansprüche ablehnt? „Der CIO“ reicht als Antwort ebenso wenig aus wie „der Fachbereich“. Ein Aufsichtsrat sollte die Person benennen können, die in diesem Prozess für dieses Ergebnis verantwortlich ist. In einem Beitrag für das Harvard Law School Forum on Corporate Governance beschreiben Tara Giunta, Prozessrechtspartnerin bei Paul Hastings, und Lex Suvanto von Edelman Smithfield die Rolle des Aufsichtsrats treffend mit „Noses In, Fingers Out“. Gemeint ist: nah genug dran, um zu verstehen, wo das Risiko liegt, ohne selbst die operative Führung zu übernehmen. Fällt niemandem ein Name ein, leistet die Richtlinie wahrscheinlich weniger, als alle hoffen.

Als Nächstes kommt die Aufsicht. An einer Stelle im Schadenbearbeitungsprozess sollte es eine Person geben, die über die Befugnis, das Wissen und die Zeit verfügt, die Empfehlung des Modells zu prüfen und sie zu überstimmen, wenn sie falsch ist. Die meisten grossen Unternehmen haben genau das bereits und nehmen es ernst. Neu ist, dass die Aufsichtsbehörden dies nachgewiesen sehen wollen. Die KI-Verordnung der EU verlangt, dass Personen, die ein Hochrisiko-KI-System beaufsichtigen, dessen Fähigkeiten und Grenzen verstehen und seine Ausgabe übersteuern können. Für den Aufsichtsrat stellt sich daher die Frage, ob diese Aufsicht definiert, dokumentiert und leicht nachweisbar ist, statt lediglich vorausgesetzt zu werden.

Transparenz beginnt näher am eigenen Arbeitsalltag, als viele erwarten. Das Tool zur Schadenbearbeitung hat ein ordnungsgemässes Genehmigungsverfahren durchlaufen. Anders sieht es beim Aufsichtsratsmitglied aus, das um elf Uhr abends ein Aufsichtsratsdokument in einen öffentlichen Chatbot hochlädt, um rasch eine Zusammenfassung zu erhalten. Eine solche individuelle, nicht genehmigte Nutzung, meist als Schatten-KI bezeichnet, ist weiter verbreitet, als die meisten Führungskräfte annehmen. Laut McKinsey schätzten Führungskräfte, dass 4 % der Mitarbeitenden generative KI für mindestens 30 % ihrer täglichen Arbeit nutzen. Tatsächlich waren es 13 %. Je nach Nutzungsbedingungen kann ein öffentliches Tool eingegebene Inhalte speichern oder zu Trainingszwecken verwenden. Skadden hat Aufsichtsratsmitglieder zudem darauf hingewiesen, dass KI-Chats im Rahmen von Offenlegungsverfahren herausverlangt werden können. Bevor ein Aufsichtsrat transparent darlegen kann, wie er KI nutzt, muss klar sein, welche Tools für Aufsichtsratsunterlagen zugelassen sind. Es hilft enorm, wenn die zugelassene Option zugleich die bequemste ist.

Regulierung in die Praxis des Aufsichtsrats übertragen

Wie sieht das also von einer Sitzung zur nächsten aus? Am einfachsten lässt sich bei den eigenen Routinen des Aufsichtsrats ansetzen: bei der Agenda, der vorbereitenden Lektüre, der anschliessenden Dokumentation und schliesslich bei der Rolle, die KI in der Entscheidung selbst spielen sollte.

Agenden

In vielen Aufsichtsräten steht KI-Governance noch immer nur gelegentlich auf der Agenda. Laut McKinsey gibt ein Drittel der Aufsichtsratsmitglieder an, dass KI überhaupt nicht auf den Agenden ihres Aufsichtsrats vorkommt. In einer Befragung von 772 Aufsichtsratsmitgliedern und Führungskräften durch Protiviti und BoardProspects sagten nur 26 %, dass sie KI in jeder Sitzung besprechen. Wenn das Thema auftaucht, wird es häufig in einem regelmässigen Compliance-Update abgehandelt. Das passt zum Prüfungszyklus. Doch dieser Rhythmus hält kaum Schritt mit Vorschriften, die sich laufend ändern, oder mit einem Unternehmen, das ständig neue KI-Anwendungen findet.

Es hilft, das Thema häufiger aufzugreifen und als Frage zu formulieren. „Welche KI-bezogene regulatorische Änderung hat unsere Risikoexposition in diesem Quartal beeinflusst, und deckt unsere Governance sie weiterhin ab?“ fordert die Aufsichtsratsmitglieder zu einer Beurteilung auf. „Update zur KI-Compliance“ verlangt von ihnen vor allem zuzuhören. Eine Frage gibt ihnen ausserdem schon vor der Sitzung etwas, worüber sie nachdenken können.

Das bedeutet nicht, dass KI alles andere verdrängen sollte. Das Thema muss lediglich oft genug behandelt werden, damit eine neue Frist oder eine geänderte Pflicht in dem Quartal erkannt wird, in dem sie relevant wird.

Vorbereitung

Ein Aufsichtsratsmitglied kann mit einer regulatorischen Frage wenig anfangen, wenn es sie in der Sitzung zum ersten Mal sieht. Wer intern für die KI-Governance zuständig ist, sollte Aktualisierungen frühzeitig und über einen sicheren Kanal bereitstellen, unabhängig davon, ob sich eine Frist verschoben hat oder ein System neu eingestuft wurde.

Gerade in dieser Phase spricht einiges für den Einsatz von KI. Einen 40-seitigen regulatorischen Vermerk so zusammenzufassen, dass ein Aufsichtsratsmitglied ihn im Zug lesen kann, ist genau die Art von Aufgabe, die KI gut erfüllt. Zugleich ist dies eine der praktischeren Möglichkeiten, wie KI Aufsichtsräten helfen kann, Informationsüberlastung zu vermeiden. Die Zusammenfassung ist allerdings nur ein Ausgangspunkt. Aufsichtsratsmitglieder sollten schon vor der Sitzung einschätzen können, welche Punkte kritischere Fragen verdienen. Dazu braucht es über die Lektüre hinaus etwas Zeit zum Nachdenken.

Dokumentation

Aufsichtsbehörden gehen zunehmend davon aus, dass sich später nicht nur die Schlussfolgerungen eines Aufsichtsrats, sondern auch seine Überlegungen rekonstruieren lassen. Angenommen, jemand fragt 18 Monate später, warum der Aufsichtsrat eine KI-gestützte Entscheidung genehmigt hat. „Wir haben darüber gesprochen und zugestimmt“ wird kaum genügen. Die Aufsichtsbehörde wird wissen wollen, was berücksichtigt, was hinterfragt und wie die Antwort des Aufsichtsrats entwickelt wurde.

Dasselbe gilt, wenn der Aufsichtsrat seine KI-Richtlinie ändert, einen neuen Anwendungsfall genehmigt oder die Verantwortlichkeit für ein System von einer Führungskraft auf eine andere überträgt. Diese Änderungen und die dahinterstehenden Überlegungen gehören in die formelle Dokumentation. Die meisten Aufsichtsräte gehen sorgfältig mit ihren Protokollen um, sodass es dabei selten an Disziplin mangelt. Schwieriger ist, dass sich die KI-Governance über mehrere Ausschüsse, Richtlinien und Systeme verteilt. Sie nachträglich zusammenzuführen, ist mühsam, es sei denn, die Infrastruktur erleichtert dies schon im Moment der Entscheidung.

Entscheidungsfindung

Wenn eine Entscheidung zur Abstimmung steht, lässt sich die Erwartung der Aufsichtsbehörden recht einfach zusammenfassen: Jemand hat die Risiken und Annahmen sorgfältig geprüft, und alle wissen, wer das war.

Die meisten Aufsichtsräte tun dies, ohne dazu aufgefordert zu werden. Dennoch sollte man dies vor der Abstimmung ausdrücklich festhalten. Eine enge Agenda und eine überzeugende Empfehlung können dazu verleiten, rasch zum nächsten Punkt überzugehen. Zudem lässt sich eine ausdrücklich dokumentierte Prüfung später viel leichter nachweisen. Wenn im Voraus festgelegt wird, welche Fragen Aufsichtsräte der KI vor einer strategischen Entscheidung stellen sollten, erhält diese Prüfung den nötigen Gehalt.

Wie Sherpany verantwortungsvolle KI-Governance unterstützt

Vieles von dem, was oben beschrieben wurde, hängt von der Infrastruktur der Aufsichtsratsarbeit ab: davon, wie Informationen die Aufsichtsratsmitglieder erreichen, wie Entscheidungen dokumentiert werden und ob die Dokumentation einer späteren Prüfung standhält.

Die KI-Sitzungsprotokolle von Sherpany dokumentieren neben der Entscheidung auch die ihr vorausgehende Diskussion, einschliesslich der angesprochenen Annahmen und der hinterfragten Punkte. Genau solche Überlegungen wollen Aufsichtsbehörden zunehmend auffinden können. Das Dokumenten-Management bewahrt KI-Richtlinien, regulatorische Aktualisierungen und frühere Governance-Entscheidungen an einem sicheren, für die Aufsichtsratsarbeit konzipierten Ort auf. Wenn ein Aufsichtsratsmitglied oder ein Prüfer nachvollziehen muss, was der Aufsichtsrat zu welchem Zeitpunkt wusste, ist niemand auf sein Gedächtnis angewiesen.

Keine dieser Funktionen trifft Entscheidungen für den Aufsichtsrat, und keine ersetzt die in den Vorschriften verlangte menschliche Aufsicht. Sie erleichtern jedoch die Routine: Unterlagen erreichen die Aufsichtsratsmitglieder sicher und rechtzeitig, und die Dokumentation kann ein oder zwei Jahre später die Frage einer Aufsichtsbehörde oder eines neuen Aufsichtsratsmitglieds beantworten. Dieselben Gewohnheiten bilden auch die Grundlage für einen KI-fähigen Aufsichtsrat.

Die Aufsichtsbehörden beschreiben lediglich gute Governance

Lässt man die rechtlichen Einzelheiten beiseite, verlangt die KI-Regulierung von Aufsichtsräten Dinge, die sie bereits schätzen: Aufsicht durch Menschen, die das Thema verstehen, klar zuordenbare Verantwortlichkeit und Entscheidungen, die sich im Nachhinein erklären lassen. Neu ist, wie offen die Aufsichtsbehörden all dies heute sehen wollen und wie konkret sie es auf KI anwenden.

Wenn ein Aufsichtsrat dies in seine Agenden, seine Vorbereitung, seine Protokolle und seine Entscheidungen einbaut, erhält er mehr als nur eine Antwort auf Compliance-Anforderungen. Er entwickelt eine Arbeitsweise, die sich bewährt, unabhängig davon, ob das Schreiben der Aufsichtsbehörde jemals eintrifft. Wer ist verantwortlich? Hat ein Mensch sorgfältig geprüft? Wären die Überlegungen auch schriftlich nachvollziehbar? Kann der Aufsichtsrat diese Fragen ohne hektische Suche beantworten, folgt die Compliance in der Regel von selbst.

Wenn Sie sehen möchten, wie Sherpany verantwortungsvolle KI-Governance über Agenden, Vorbereitung, Dokumentation und Entscheidungsfindung hinweg unterstützt, buchen Sie eine kostenlose Demo und erfahren Sie, wie Sherpany helfen kann.