KI-Governance im Aufsichtsrat: Wie überwacht er KI über Berichte und Prüfungsausschuss?

Welche Informationen braucht der Aufsichtsrat zur Überwachung?

§ 95 AktG verpflichtet den Aufsichtsrat zur Überwachung der Geschäftsführung. Dazu gehören Berichtsverlangen, Einsichts- und Prüfrechte sowie Zustimmungsvorbehalte für bestimmte Geschäfte. KI-Governance wird damit zum Gegenstand strukturierter Aufsichtsratsinformation.

KI-relevante Beschlüsse können etwa neue Hochrisiko-Systeme, wesentliche Modelländerungen, Outsourcing, Daten- und Lieferantenrisiken, HR-KI oder Systeme mit erheblicher Auswirkung auf Kunden betreffen. Der Aufsichtsrat braucht dafür keine technische Detailprüfung, aber ein belastbares Lagebild.

Welche Fragen sollte ein Aufsichtsrat zu KI stellen?

Fünf Leitfragen zu KI-Inventar, Hochrisiko-Systemen, Policies und Kontrollen, Vorfällen und Projekten mit Zustimmungsvorbehalt.

• Gibt es ein vollständiges KI-Inventar inklusive Vendor-KI, GPAI und Shadow-KI?
• Welche KI-Systeme sind hochriskant oder organrelevant?
• Welche Policies, Freigaben, Kontrollen und Eskalationswege gelten?
• Welche Vorfälle, Schwächen, Audit-Feststellungen oder regulatorischen Änderungen wurden berichtet?
• Welche KI-Projekte sollten unter Zustimmungsvorbehalt oder gesonderte Vorabinformation fallen?

Welche Rolle haben Prüfungsausschuss und interne Revision?

Wo ein Prüfungsausschuss besteht, ist er ein naheliegender Ort für Kontroll-, Berichts- und Nachweisthemen. Das gilt besonders, wenn KI-Systeme Finanzberichterstattung, Nachhaltigkeitsberichterstattung, Risikomanagement, IKS oder prüfbare Nachweise berühren.

Die interne Revision kann prüfen, ob das KI-Governance-Modell tatsächlich funktioniert: Inventaraktualisierung, Rollenklarheit, Kontrollhandlungen, Stichproben, Incident-Prozesse und Nachweisführung.