Warum ist das Berichtswesen ein Haftungs- und Steuerungsinstrument?
§ 81 AktG regelt Vorstandsberichte an den Aufsichtsrat. Für KI-Governance braucht dieser Berichtskanal ein klares Format: Was ist laufend zu beobachten, was wird quartalsweise berichtet und welche Ereignisse lösen anlassbezogene Information aus?
Das Ziel ist ein prüfbarer Audit-Trail. Vorstand und Aufsichtsrat müssen später nachvollziehen können, welche Informationen vorlagen, welche Risiken bekannt waren, welche Maßnahmen beschlossen wurden und wie deren Umsetzung verfolgt wurde.
Wie sieht ein sinnvoller Berichtsregelkreis aus?
Vier Rhythmen, laufend, quartalsweise, jährlich und anlassbezogen, vom Inventarstatus bis zum jährlichen Aufsichtsratsbericht.
| Rhythmus | Inhalt |
|---|---|
| Laufend | Neue KI-Systeme, wesentliche Änderungen, Vendor-Updates, Freigaben, Vorfälle und Eskalationen. |
| Quartalsweise | Inventarstatus, Hochrisiko-KI, offene Maßnahmen, Kontrollbefunde, Schulungsstand und Top-Risiken. |
| Jährlich | Management Review, Policy-Review, Wirksamkeit des IKS, Revisionsplanung und Bericht an den Aufsichtsrat. |
| Anlassbezogen | Schwerwiegende Vorfälle, regulatorische Änderungen, wesentliche Modelländerungen oder kritische Audit-Feststellungen. |
Welche Dokumentation ist mindestens nötig?
KI-Inventar, Risikoklassifikation, Freigaben und Kontrollen, Lieferantenunterlagen mit Rollenklärung nach Art. 25 und Sitzungsprotokolle.
- KI-Inventar mit Ownern, Zweck, Risiko, Rolle und Review-Datum
- Risikoklassifikation und Begründung je System
- Freigaben, Kontrollen, Human-Oversight-Nachweise und Eskalationen
- Provider- und Lieferantenunterlagen inklusive Rollenklärung nach Art. 25
- Protokolle zu Management Review, Vorstandsbeschlüssen und Aufsichtsratsinformation
CSRD/ESRS: Wo berührt KI die Nachhaltigkeitsberichterstattung?
Wenn KI-Bias oder diskriminierende KI-Entscheidungen wesentliche soziale Auswirkungen, Governance-Risiken oder Menschenrechtsrisiken erzeugen, kann die Nachhaltigkeitsberichterstattung betroffen sein. Dann müssen Policies, Maßnahmen, Risiken, Kennzahlen und Nachweise konsistent mit der KI-Governance dokumentiert werden.
Die bestehende Seite Audit-Readiness vertieft, welche Nachweise gegenüber Behörden, Prüfern und internen Kontrollfunktionen belastbar vorliegen sollten.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).