Wenn ich Geschäftsführungen in meinen KI-Beratungen frage, wer bei ihnen die Verantwortung für KI trägt, kommt sehr häufig eine ähnliche Antwort:
„Das ist eigentlich klar geregelt: das ist bei der IT aufgehängt.”
Wenn ich dann nachfrage, wer das schriftlich festgelegt hat oder wer im Ernstfall als Erstes informiert würde, ist die Antwort meist nicht ganz so einheitlich.
Das ist auch durchaus verständlich. Die Rechtslage zu Künstlicher Intelligenz macht es niemandem leicht, das klar zu beantworten. Zum Beispiel in Bezug auf die Pflicht zur KI-Kompetenz: der betreffenden Art. 4 des EU AI Act gilt seit Februar 2025, aber ohne vorgeschriebenes Format und ohne Zertifikat.
Da EU-Recht in das jeweilige Landesrecht umgesetzt werden muss, bedarf es dazu eines Gesetz des Deutschen Bundestags. Dieses hätte eigentlich bereits zum August 2024 umgesetzt sein müssen. Aber erst vor kurzem hat der Bundestag ein entsprechendes Gesetz beschlossen, das der Bundesnetzagentur ab diesem Sommer die zentrale Aufsicht überträgt. Allerdings ist das Gesetzt noch neu genug, dass sich Details in den nächsten Monaten verschieben können.
Und trotzdem: Wer haftet, war eigentlich nie wirklich offen. Das zeigt sich, sobald man sich die verschiedenen Verantwortungsebenen einzeln ansieht.
Vier Ebenen tragen Verantwortung, jede auf ihre Weise.
Wie viele Personen hinter der Verantwortung für KI stehen, hängt von der Größe des Unternehmens ab. In einem Konzern sind das oft mehrere Ebenen. Bei einem kleineren Mittelständler dagegen hat oft der bzw. die Geschäftsführer:in mehrere dieser Rollen inne. Wichtig ist nur, dass jederzeit klar ist, welche Rolle gerade gefragt ist.
Verantwortung: die Geschäftsführung
Die Geschäftsführung setzt die Prinzipien, zieht rote Linien und trifft am Ende die Entscheidung, das ergibt sich aus ihrer allgemeinen Leitungsmacht, bei der AG aus § 76 AktG, bei der GmbH aus der Geschäftsführungsbefugnis. Wie sorgfältig sie dabei vorgehen muss, regeln seit Jahrzehnten § 43 GmbHG und § 93 AktG, nicht erst seit KI.
Für die unternehmerische KI-Entscheidung selbst schützt die Business Judgment Rule, aber nur bei einer dokumentierten, angemessenen Prüfung, keine unbesehene Übernahme einer KI-Empfehlung.
Für die Umsetzung der KI-Kompetenzpflicht aus Art. 4 gilt das nicht: Sie ist eine Rechtspflicht, keine Ermessensfrage. Wer sie bislang nicht umgesetzt hat, trägt damit schon jetzt ein zusätzliches Risiko, denn entsteht durch den KI-Einsatz ein Schaden, kann die fehlende Schulung als Organisationsverschulden gewertet werden und dann wird die Geschäftsführung persönlich in Anspruch genommen.
Dass der EU AI Act im Mittelstand vielerorts noch kaum bekannt ist, ändert daran nichts, im Gegenteil: Wer geltendes Recht für das eigene Geschäft gar nicht kennt, hat damit ein zusätzliches Organisationsversäumnis und kein geringeres.
Steuerung: Governance Board oder Center of Excellence
Die Steuerungsebene bündelt Recht, Datenschutz, IT-Sicherheit und Compliance an einer Stelle und setzt damit den Rahmen, innerhalb dessen die Umsetzung stattfindet, es dokumentiert, wie eine Entscheidung zustande kam.
Diese Ebene haftet selbst nicht, aber ein fehlender Rahmen oder eine fehlende Dokumentation wird im Schadensfall genau der Geschäftsführung als Organisationsversäumnis zugerechnet.
Umsetzung: KI-Verantwortliche, Schulungsverantwortliche und Risikomanagement
Keine dieser drei Rollen haftet selbst nach außen, aber ihre Lücken sind das Material, aus dem im Ernstfall ein Organisationsverschulden der Geschäftsführung gemacht wird.
KI-Verantwortliche erfassen, welche Anwendungen im Haus laufen und wissen, wann eskaliert wird, ein kurzer Risikosteckbrief pro Anwendung, Zweck, Datenquelle, Ansprechperson, reicht dafür in der Praxis oft schon aus.
Schulungsverantwortliche koordinieren, wer geschult wird und dokumentieren es, denn ohne Dokumentation, wer wann zu welchem Inhalt geschult wurde, existiert die Schulung im Ernstfall nicht, eine Teilnehmerliste mit Datum reicht dafür in der Regel schon.
Risikomanagement bewertet, was schiefgehen kann und was dagegen hilft, keine einmalige Einschätzung zu Projektbeginn, sondern eine laufende Aufgabe: Ein KI-gestütztes Bewerber-Screening zählt zum Beispiel fast immer als Hochrisiko-Fall, ein interner Chatbot für Kundenfragen in der Regel nicht.
Anwendung: Mitarbeitende
Mitarbeitende haften arbeitsrechtlich nur bei Vorsatz oder grober Fahrlässigkeit, nicht für jeden einzelnen KI-Fehler. Ihre eigentliche Verantwortung liegt woanders: anwenden, einordnen und melden, wenn etwas nicht passt. Ohne diese Meldung erfahren die anderen Ebenen von einem Problem ohnehin nichts, ganz gleich wie gut Governance Board oder Risikomanagement aufgestellt sind.
Konkret sieht das oft so aus: Jemand bemerkt, dass ein KI-Tool bei einer bestimmten Kundengruppe auffällig oft danebenliegt und weiß, an wen sie oder er sich damit wendet. Genau dieser letzte Halbsatz fehlt in vielen Unternehmen noch.
Nicht Teil der vier Ebenen, sondern ihre Kontrolle von außen: der Aufsichtsrat
Der Aufsichtsrat überwacht die Geschäftsführung, er trifft ihre Entscheidungen nicht selbst, haftet aber selbst, wenn er seine eigene Überwachungspflicht verletzt. Über § 116 AktG gilt derselbe Sorgfaltsmaßstab analog auch für ihn, nur mit einem anderen Blickwinkel: nicht, was umgesetzt wird, sondern was vorher gefragt wurde, bevor zugestimmt wurde.
Eine naheliegende Frage dafür: Wann hat der Vorstand zuletzt über den Stand der KI-Aktivitäten im Haus berichtet und was stand in diesem Bericht tatsächlich drin?
Was das für Sie heißt
Ich weiß nicht, wie viele der vier Ebenen bei Ihnen aktuell geklärt sind. Wahrscheinlich einige, wahrscheinlich nicht alle.
Das ist auch nicht das Ziel dieser Liste. Sie soll nicht beweisen, dass bei Ihnen etwas ungeklärt ist. Sie soll nur die Frage mitgeben, die in meinen Beratungen am häufigsten unbeantwortet bleibt: Wer würde bei Ihnen als Erstes angerufen werden, wenn eine KI-Entscheidung schiefgeht?
P.S. Wenn Sie jemanden kennen, der diese Frage auch nicht so wirklich beantworten kann, leiten Sie diesen Beitrag weiter.
P.P.S Alle bisherigen KI-Briefings finden Sie hier: https://ki-briefing.kit.com
|
|
E-Book "KI-Kompetenz in Vorstand und Geschäftsführung"
Ein Leitfaden für alle auf der obersten Leitungsebene, die wissen wollen, welche Verantwortung ihnen bei KI schon obliegt.
|
Und wenn Sie mehr als nur mitlesen wollen – so kann's weitergehen:
The AI Leader
Ein persönlicher Denk- und Entscheidungsraum, um Künstliche Intelligenz einzuordnen, Verantwortung zu klären und sicher zu entscheiden. Keine Schulung, keine Tools, keine Umsetzung, sondern Orientierung auf Entscheiderebene.
The AI Organization
Ein klarer Verantwortungsrahmen für den strategischen Umgang mit KI. Für Organisationen, in denen KI bereits Thema ist, aber ohne klare Linie.
Wenn Sie einen Themenwunsch für das KI-Briefing haben – schreiben Sie mir gern: ki-briefing@digital-leader.eu
Hinweis: Dieser Beitrag ist in enger Zusammenarbeit mit KI geschrieben worden und persönlich von Dr. Beate Freuding, Geschäftsführerin von The Digital Leader, kuratiert. Der Beitrag dient der allgemeinen Information und Orientierung. Er stellt keine Rechtsberatung dar und kann eine individuelle juristische Prüfung im Einzelfall nicht ersetzen. Für Entscheidungen, die auf Basis dieses Beitrags getroffen werden, übernimmt die Autorin keine Haftung.