Berichtswesen als Haftungs- und Steuerungsinstrument
AktG §81 regelt Vorstandsberichte an den Aufsichtsrat. Für KI-Governance braucht dieser Berichtskanal ein klares Format: Was ist laufend zu beobachten, was wird quartalsweise berichtet und welche Ereignisse lösen anlassbezogene Information aus?
Das Ziel ist ein prüfbarer Audit-Trail. Vorstand und Aufsichtsrat müssen später nachvollziehen können, welche Informationen vorlagen, welche Risiken bekannt waren, welche Maßnahmen beschlossen wurden und wie deren Umsetzung verfolgt wurde.
Ein sinnvoller Berichtsregelkreis
| Rhythmus | Inhalt |
|---|---|
| Laufend | Neue KI-Systeme, wesentliche Änderungen, Vendor-Updates, Freigaben, Vorfälle und Eskalationen. |
| Quartalsweise | Inventarstatus, Hochrisiko-KI, offene Maßnahmen, Kontrollbefunde, Schulungsstand und Top-Risiken. |
| Jährlich | Management Review, Policy-Review, Wirksamkeit des IKS, Revisionsplanung und Bericht an den Aufsichtsrat. |
| Anlassbezogen | Schwerwiegende Vorfälle, regulatorische Änderungen, wesentliche Modelländerungen oder kritische Audit-Feststellungen. |
Dokumentationsminimum
- KI-Inventar mit Ownern, Zweck, Risiko, Rolle und Review-Datum
- Risikoklassifikation und Begründung je System
- Freigaben, Kontrollen, Human-Oversight-Nachweise und Eskalationen
- Provider- und Lieferantenunterlagen inklusive Art.-25-Rollenklärung
- Protokolle zu Management Review, Vorstandsbeschlüssen und Aufsichtsratsinformation
CSRD/ESRS-Schnittstelle
Wenn KI-Bias oder diskriminierende KI-Entscheidungen wesentliche soziale Auswirkungen, Governance-Risiken oder Menschenrechtsrisiken erzeugen, kann die Nachhaltigkeitsberichterstattung betroffen sein. Dann müssen Policies, Maßnahmen, Risiken, Kennzahlen und Nachweise konsistent mit der KI-Governance dokumentiert werden.
Die bestehende Seite Audit-Readiness vertieft, welche Nachweise gegenüber Behörden, Prüfern und internen Kontrollfunktionen belastbar vorliegen sollten.