KI-Governance für Geschäftsführer: Pflichten

Warum KI Chefsache ist

KI-Entscheidungen berühren gleichzeitig Geschäftsmodell, Informationssicherheit, Datenschutz, Arbeitsrecht und Haftung. Ob ein Unternehmen Kundenanfragen von einem Sprachmodell beantworten lässt, Bewerbungen automatisiert vorsortiert oder eigene Daten zum Training eines Modells nutzt, ist keine reine IT-Frage. Solche Weichenstellungen gehören auf die Ebene, die Ressourcen zuteilt und Risiken für das gesamte Unternehmen trägt.

Rechtlicher Rahmen der Leitungsverantwortung

Allgemeine Sorgfaltspflichten

Geschäftsführer einer GmbH haben nach § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden, Vorstände einer AG nach § 93 AktG entsprechend. Unternehmerische Entscheidungen sind geschützt, wenn sie auf Grundlage angemessener Information zum Wohl der Gesellschaft getroffen wurden (Business Judgment Rule). Für KI bedeutet das: Wer ein KI-Projekt ohne Risikoanalyse freigibt oder bekannte Schwachstellen ignoriert, kann sich später schwer auf diesen Schutz berufen. Eine dokumentierte, gut informierte Entscheidung ist daher der beste Eigenschutz.

EU AI Act

Die Verordnung (EU) 2024/1689 ist seit 1. August 2024 in Kraft. Seit 2. Februar 2025 gelten die Verbote bestimmter Praktiken (Art. 5) und Art. 4 zur KI-Kompetenz. Nach der Änderung durch den Digital Omnibus (in Kraft seit 27. Juli 2026) müssen Anbieter und Betreiber die Entwicklung der KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag tätiger Personen fördern. Diese Organisationsaufgabe sollte die Geschäftsleitung verankern; Schulungen bleiben das zentrale Mittel. Bußgelder reichen bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis 15 Mio. € oder 3 % bei sonstigen Pflichtverstößen. Seit 2. August 2026 gelten unter anderem die Transparenzpflichten nach Art. 50. Durch den Digital Omnibus wurden die Hochrisiko-Fristen verschoben: Systeme nach Anhang III ab 2. Dezember 2027, Hochrisiko-KI in regulierten Produkten nach Anhang I ab 2. August 2028.

NIS2 und BSIG

Fällt Ihr Unternehmen unter NIS2 (Richtlinie (EU) 2022/2555, in Deutschland umgesetzt durch das seit Dezember 2025 geltende BSIG), muss die Geschäftsleitung nach § 38 BSIG die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei Pflichtverletzungen droht persönliche Haftung. KI wird in NIS2 nicht gesondert geregelt, KI-Systeme sind aber Teil der IT, auf die sich das Risikomanagement erstreckt.

Was Geschäftsführer konkret tun sollten

1. KI-Strategie formulieren: Wo soll KI Wert schaffen, wo ist sie ausdrücklich unerwünscht? Welche Risikobereitschaft gilt?
2. Verantwortung zuweisen: eine Person oder Funktion benennen, die das KI-Governance-Framework aufbaut und berichtet, mit ausreichendem Budget und Zugang zur Geschäftsleitung.
3. Eigene KI-Kompetenz aufbauen: Die Leitung muss nicht programmieren können, aber Grundbegriffe wie Halluzination, Prompt Injection, Trainingsdaten und Risikoklassen des AI Act verstehen, um Vorlagen kritisch bewerten zu können.
4. Schulungsprogramm beauftragen: gestufte Schulungen für alle Beschäftigten nach Art. 4 AI Act, mit Nachweis der Teilnahme.
5. Regelmäßiges Reporting einfordern: KI-Inventar, neue Anwendungsfälle, Vorfälle, offene Risiken und Stand der Compliance, mindestens quartalsweise.
6. Entscheidungen dokumentieren: Freigaben wesentlicher KI-Vorhaben mit Begründung und Risikoabwägung protokollieren.

Die gute Entscheidungsvorlage für KI-Vorhaben

Eine Vorlage, die der Geschäftsleitung eine informierte Entscheidung ermöglicht, beantwortet mindestens diese Punkte:

• Geschäftlicher Zweck, erwarteter Nutzen und Alternativen ohne KI
• Rolle nach EU AI Act (Anbieter oder Betreiber) und voraussichtliche Risikoklasse
• Verarbeitete Daten, insbesondere personenbezogene und vertrauliche Daten, und Ergebnis einer ggf. erforderlichen Datenschutz-Folgenabschätzung
• Anbieter, Vertragslage, Speicherort der Daten und Abhängigkeiten
• Wesentliche Sicherheitsrisiken und geplante Gegenmaßnahmen, ggf. Ergebnis eines Sicherheitstests
• Menschliche Aufsicht: Wer prüft Ergebnisse, wer kann das System stoppen?
• Kosten über den Lebenszyklus, Erfolgskriterien und Termin für eine Überprüfung

Fazit

Die Geschäftsleitung muss KI nicht selbst betreiben, aber sie muss den Rahmen setzen, informiert entscheiden und die Umsetzung überwachen. SecTepe unterstützt Geschäftsführer mit Management-Schulungen und als externer ISB bzw. CISO bei der Bewertung von KI-Vorhaben.

Häufige Fragen

Kann die Geschäftsführung KI-Verantwortung vollständig delegieren?

Aufgaben ja, Verantwortung nein. Die Leitung muss sorgfältig auswählen, angemessen ausstatten und die delegierten Aufgaben überwachen.

Reicht eine einmalige KI-Schulung für die Geschäftsleitung?

Kaum, denn Technik und Rechtslage ändern sich schnell. Sinnvoll ist eine Grundschulung mit regelmäßigen, kurzen Auffrischungen, idealerweise gekoppelt an die NIS2-Schulungspflicht, sofern diese besteht.