Aufsichtsrat und Beirat · 7. Oktober 2026 · 6 Min. Lesezeit
Zehn Fragen, die ein Aufsichtsrat zu KI stellen sollte.
KI-Vorhaben landen in Gremien, die sie oft nicht prüfen können. Man muss kein Informatiker sein, um die richtigen Fragen zu stellen. Man muss wissen, welche es sind, und woran man eine belastbare Antwort erkennt.
Der Vorstand präsentiert die KI-Strategie. Zwanzig Folien, drei Pilotprojekte, ein Partner mit bekanntem Namen. Das Gremium nickt, weil niemand die Folien hinterfragen kann, ohne sich zu exponieren. Genau dieser Moment ist das Problem. Ein Aufsichtsrat, der KI-Vorhaben nicht prüfen kann, prüft sie nicht. Und ein Vorstand, der nicht geprüft wird, lernt es auch nicht.
Die gute Nachricht: Man muss kein Informatiker sein, um die richtigen Fragen zu stellen. Man muss wissen, welche es sind, und woran man eine gute Antwort von einer ausweichenden unterscheidet. Die folgenden zehn Fragen stammen aus Gremiensitzungen, Vorstandsgesprächen und eigenen Vorhaben. Zu jeder steht, was eine belastbare Antwort ausmacht und was ein Warnsignal ist.
Zu Nutzen und Geld
1. Welches Geschäftsproblem löst das, und was kostet dieses Problem heute?
Wenn die Antwort mit Technologie beginnt statt mit einem Problem, ist das Vorhaben noch nicht reif. Wer die Kosten des Problems nicht beziffern kann, kann den Nutzen der Lösung nicht beziffern, und wird ihn später auch nicht nachweisen können.
Ein konkreter Ablauf, eine Zahl dazu: „Die Rechnungsprüfung bindet vier Vollzeitäquivalente, die Durchlaufzeit liegt bei elf Tagen, Skonto geht uns deshalb in Höhe von X verloren.“
„Wir wollen die Potenziale von KI heben“ oder eine Liste von Technologien ohne Prozess dahinter.
2. Woran messen wir in zwölf Monaten, ob es funktioniert hat?
Zeitersparnis, Fehlerquote, Durchlaufzeit, Umsatz pro Mitarbeiter. Eine Zahl, die heute schon erhoben wird, damit es einen Vergleichswert gibt. Ohne Ausgangswert gibt es in zwölf Monaten nur Meinungen.
Eine oder zwei Kennzahlen mit heutigem Wert und Zielwert, und ein Datum, an dem sie dem Gremium vorgelegt werden.
„Mitarbeiterzufriedenheit“, „Innovationsfähigkeit“, „Zukunftsfähigkeit“. Alles ehrenwert, nichts messbar.
3. Was von den bisherigen Piloten läuft heute im Betrieb?
Die ehrliche Antwort lautet in vielen Unternehmen: nichts. Piloten sind einfach, weil sie niemandem wehtun. Betrieb ist schwer, weil er Prozesse, Berechtigungen, Schulung und Verantwortung verlangt. Die Frage nach der Überführungsquote sagt mehr über die KI-Reife eines Unternehmens als jede Strategie.
Eine Liste: welche Piloten es gab, welche in den Betrieb kamen, welche bewusst beendet wurden und warum. Bewusst beendete Piloten sind ein gutes Zeichen; sie zeigen, dass gemessen wird.
Viele laufende Piloten, keiner im Betrieb, keiner beendet. Das ist keine KI-Strategie, das ist ein Labor ohne Ausgang.
Zu Daten und Abhängigkeiten
4. Auf welchen Daten arbeitet das System, und wer hat sie geprüft?
KI ist nur so gut wie die Daten darunter. Wenn Stammdaten doppelt vorhanden, Verträge unauffindbar und Berechtigungen seit Jahren nicht bereinigt sind, scheitert das Vorhaben nicht an der KI, sondern am Fundament. Das gilt besonders für Assistenzsysteme, die auf alle Unternehmensdokumente zugreifen: Sie finden auch, was niemand finden sollte.
Eine Aussage zur Datenqualität der betroffenen Bereiche, ein Verantwortlicher dafür, und ein Zeitplan für die Bereinigung, der vor dem Rollout liegt.
„Die Daten sind grundsätzlich vorhanden.“ Vorhanden ist nicht geprüft.
5. Wie abhängig machen wir uns von einem Anbieter, und was kostet der Ausstieg?
Wo laufen die Modelle, wem gehören die Ergebnisse und die Trainingsdaten, was passiert bei Preiserhöhung, Produktänderung oder Einstellung des Dienstes? Die Antwort muss nicht „gar nicht abhängig“ lauten; das wäre unrealistisch. Aber sie muss bekannt und bewusst entschieden sein.
Eine klare Aussage, welche Teile austauschbar sind und welche nicht, und was ein Wechsel kosten würde.
Ein einziger Anbieter für Modell, Plattform und Beratung, und niemand hat gefragt, was passiert, wenn der die Bedingungen ändert.
6. Welche Daten verlassen das Unternehmen, und in welches Land?
Eine Frage, die Datenschutz und Recht beantworten müssen, bevor der erste Vertrag unterschrieben ist, nicht danach. Bei Unternehmensversionen großer Anbieter ist die Antwort oft besser, als das Gremium vermutet; bei privaten Konten, die Mitarbeitende nebenbei nutzen, oft schlechter, als der Vorstand weiß.
Eine Liste der eingesetzten Dienste mit Verarbeitungsort und vertraglicher Grundlage, und eine Regel, welche Dienste Mitarbeitende nicht nutzen dürfen.
„Das ist alles DSGVO-konform.“ Ohne zu sagen, wer das wann geprüft hat.
Zu Risiko und Verantwortung
7. Wer haftet, wenn die KI falsch liegt?
Ein System, das Fristen erkennt, Rechnungen freigibt, Bewerbungen vorsortiert oder Kunden antwortet, trifft Entscheidungen oder bereitet sie vor. Für jede dieser Entscheidungen muss ein Mensch verantwortlich bleiben, und dieser Mensch muss wissen, dass er es ist. Das ist keine Formalie: Haftung, Versicherung und Arbeitsrecht hängen daran.
Für jeden produktiven Anwendungsfall ein benannter Verantwortlicher, eine Freigaberegel und ein Protokoll, das nachvollziehbar macht, was das System vorgeschlagen und wer es bestätigt hat.
„Das System entscheidet selbstständig“ oder, schlimmer, Schweigen auf die Frage, wer im Schadensfall unterschrieben hat.
8. Welche unserer Anwendungen fallen unter die EU-KI-Verordnung, und was folgt daraus?
Die Verordnung ist in Kraft. Die Pflichten für Hochrisiko-Systeme sind mit den 2026 beschlossenen Anpassungen auf Ende 2027 beziehungsweise August 2028 verschoben worden. Das verschafft Zeit, aber keine Befreiung, und Anwendungen in Personalwesen, Kreditvergabe oder kritischer Infrastruktur fallen schnell in diese Kategorie. Das Gremium sollte wissen, ob überhaupt jemand im Unternehmen diese Einordnung vorgenommen hat.
Eine Übersicht der KI-Anwendungen mit Risikoeinstufung, ein Verantwortlicher für die Verordnung und ein Zeitplan bis zu den jeweiligen Fristen.
„Das betrifft uns nicht.“ Es betrifft jedes Unternehmen, das KI einsetzt, mindestens in der Pflicht, die eigenen Anwendungen einzuordnen.
9. Was passiert, wenn das System ausfällt oder manipuliert wird?
KI-Systeme sind IT-Systeme. Sie brauchen Notfallpläne, Zugriffsschutz, Protokollierung und jemanden, der erreichbar ist. Dazu kommt ein neues Risiko: Systeme, die auf Texte reagieren, lassen sich über Texte manipulieren, etwa durch präparierte E-Mails oder Dokumente. Die Frage nach dem Notfallplan entlarvt Vorhaben, die noch als Experiment gedacht sind, aber bereits im Produktivbetrieb laufen.
Das System ist im Notfall- und Sicherheitskonzept des Unternehmens enthalten, wurde auf Manipulierbarkeit geprüft, und der Betrieb ohne das System ist beschrieben.
„Das läuft in der Cloud, da kümmert sich der Anbieter.“ Der Anbieter kümmert sich um seine Plattform, nicht um Ihren Prozess.
Zum Gremium selbst
10. Wer in diesem Gremium kann die Antworten auf die Fragen 1 bis 9 beurteilen?
Wenn die Antwort „niemand“ lautet, ist das die wichtigste Erkenntnis des Tages. Aufsicht über Technologie braucht jemanden am Tisch, der Technologie versteht, nicht als Programmierer, sondern als jemand, der Konzernpraxis kennt, Vorhaben auf Substanz und Wirtschaftlichkeit prüfen kann und weiß, welche Folgefragen zu stellen sind. Viele Gremien haben Finanz-, Rechts- und Branchenkompetenz. Technologiekompetenz ist die Lücke, die sich am schnellsten rächt.
Ein Mitglied, das die Antworten einordnen kann, oder ein Beirat, der das Gremium dabei unterstützt, mit klarer Rolle und ohne operative Verstrickung.
Das Gremium verlässt sich auf den Vorstand, der das Vorhaben vorschlägt, oder auf den Berater, der es verkauft.
Was ein gutes Gespräch über KI im Aufsichtsrat auszeichnet
Es ist kurz. Es handelt von Geld, Daten und Verantwortung, nicht von Modellen. Es endet mit konkreten Erwartungen an den Vorstand: welche Zahl beim nächsten Mal auf dem Tisch liegt, welche Einordnung bis wann vorliegt, welcher Pilot bis wann im Betrieb ist oder beendet wird. Und es wird wiederholt, weil sich die Antworten alle sechs Monate ändern.
Ein praktischer Vorschlag: Nehmen Sie diese zehn Fragen in die nächste Sitzung mit, und bitten Sie den Vorstand vorab um schriftliche Antworten auf einer Seite je Vorhaben. Was auf eine Seite passt, ist meist durchdacht. Was zwanzig Folien braucht, meist nicht.
Reden wir über Ihr Vorhaben.
30 Minuten, unverbindlich und vertraulich. Sie schildern die Lage, wir sagen Ihnen ehrlich, ob und wie wir helfen können.