Die KI-Verordnung für die Geschäftsführung: Verantwortung, Haftung und Aufsicht

Kurze Antwort: Die KI-Verordnung ist kein IT-Thema, sondern eine Verantwortung der Geschäftsführung. Die Geschäftsführung bestimmt die Risikobereitschaft, richtet die Aufsicht ein und ist ansprechbar, wenn etwas schiefgeht. Die schwersten Bußgelder reichen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes — ein Betrag, der nur auf Leitungsebene zu tragen ist. Compliance darf delegiert werden; die Letztverantwortung nicht.

Warum dies auf den Tisch der Geschäftsführung gehört

Die KI-Verordnung legt die Pflichten der Organisation auf, nicht einer Abteilung. Wer KI einkauft, entwickelt oder einsetzt, muss nachweisen, dass dies verantwortungsvoll geschieht: Risikoklassifizierung, Dokumentation, menschliche Aufsicht und in manchen Fällen Registrierung. Eine Geschäftsführung, die dies nicht absichert, nimmt ein unbeherrschtes Risiko in die Bilanz.

Hinzu kommt, dass KI an die Strategie rührt: Effizienz, Produktinnovation, Reputation und Rechtsrisiko laufen zusammen. Das macht es zu einem Thema par excellence für die Geschäftsleitung und den Aufsichtsrat.

Drei Arten von Verantwortung

• Rechtlich. Die Organisation kann von der Aufsichtsbehörde mit Bußgeldern belegt werden. Das Bußgeldregime ist gestaffelt: Verbotene KI-Praktiken bilden die schwerste Kategorie.
• Zivilrechtlich. Neben der KI-Verordnung bestimmt die überarbeitete Produkthaftungsrichtlinie, wer Schaden ersetzt, wenn KI fehlgeht — siehe KI-Haftung.
• Organschaftlich. Pflichtwidrige Geschäftsführung kann zu persönlicher Haftung führen, wenn die Geschäftsführung ein erkennbares Risiko strukturell ignoriert.

Was die Geschäftsführung absichern muss

Eine Geschäftsführung muss die Technik nicht verstehen, aber nachweisen können, dass sie die Kontrolle hat. Das verlangt einen Governance-Rahmen mit klaren Rollen, eine aktuelle Übersicht der eingesetzten KI-Systeme und ihrer Risikoklasse sowie eine Eskalationslinie zur Geschäftsleitung.

Beginnen Sie mit einer Bestandsaufnahme: Welche KI nutzen wir, in welcher Rolle (Anbieter oder Betreiber) und welche Risikoklasse gehört dazu? Siehe die Übersicht der Hochrisiko-Pflichten für die Bedeutung einer Hochrisiko-Einstufung.

Aufsicht einrichten

Wirksame Aufsicht ist Rhythmus, kein einmaliger Check. Lassen Sie die Geschäftsleitung regelmäßig über das KI-Portfolio, Vorfälle und offene Compliance-Punkte berichten. Belegen Sie die Eigentümerschaft ausdrücklich — oft bei einem KI-Beauftragten oder einer Steuerungsgruppe — und sorgen Sie dafür, dass die Geschäftsführung über genügend KI-Kompetenz verfügt, um die richtigen Fragen zu stellen.

Was zu tun ist

• Belegen Sie die Eigentümerschaft auf Leitungsebene und legen Sie die Berichtslinie fest.
• Erstellen Sie eine KI-Bestandsaufnahme mit Rolle und Risikoklasse je System.
• Implementieren Sie einen Governance-Rahmen mit Richtlinien, Prüfung und Eskalation.
• Sichern Sie KI-Kompetenz bei Geschäftsführung und Schlüsselfunktionen.
• Stimmen Sie sich mit DSB, CISO und Einkauf ab — siehe die KI-Verordnung für den DSB und für den Einkäufer.
• Prüfen Sie Versicherung und Verträge auf die Deckung von KI-Risiken.

Die KI-Verordnung verlangt keine Geschäftsführung, die alles weiß, wohl aber eine, die nachweislich steuert. Dieser Unterschied entscheidet später, ob eine Aufsichtsbehörde oder ein Gericht von sorgfältiger oder fahrlässiger Geschäftsführung spricht.