Vorstandshaftung und KI: Was verantwortet der Vorstand persönlich, auch ohne jedes Systemdetail zu kennen?

Welche Rechtsgrundlagen begründen die Vorstandshaftung für KI?

Das österreichische Aktiengesetz verpflichtet Vorstandsmitglieder zur Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Bei Banken kommt §39 BWG hinzu: die Pflicht zur ordnungsgemäßen Geschäftsorganisation. Diese Normen sind die Grundlage dafür, dass Organisationsversagen persönliche Folgen haben kann.

Wenn ein KI-System ohne ausreichende Governance betrieben wird und daraus ein Schaden entsteht, kann dies zivilrechtliche, aufsichtsrechtliche und versicherungsrechtliche Fragen auslösen. Die konkrete Haftung ist immer einzelfallabhängig und sollte rechtlich geprüft werden.

Welche Haftungsrisiken bestehen?

Drei: regulatorische Sanktionen, zivilrechtliche Schadenersatzhaftung und das D&O-Deckungsrisiko.

Regulatorische Sanktionen

Für Hochrisiko-KI beaufsichtigter Finanzinstitute sieht Art. 74 Abs. 6 AI Act grundsätzlich die Finanzaufsicht – in Österreich die FMA – als Marktüberwachungsbehörde vor; die Mitgliedstaaten können davon abweichen. Österreich hatte die Behörden am 20. Oktober 2026 noch nicht formell benannt, die endgültige Zuständigkeit ergibt sich aus der nationalen Umsetzung. Die FMA ist bereits als Grundrechtsbehörde nach Art. 77 AI Act gemeldet. Die EZB ist keine Marktüberwachungsbehörde nach dem AI Act, auch nicht für bedeutende Institute. Zusätzlich wirken bestehende Aufsichtsregime wie BWG, VAG, DORA und DSGVO fort; für Versicherer hat EIOPA mit ihrer Opinion vom 6. August 2025 risikobasierte, verhältnismäßige Erwartungen an KI-Governance formuliert.

Zivilrechtliche Schadenersatzhaftung

KI-Systeme ohne dokumentierte Governance, ohne Risikoeinschätzung und ohne angemessene Human-Oversight-Strukturen können den Sorgfaltsmaßstab eines ordentlichen Geschäftsleiters berühren. Bei Schäden aus KI-Fehlentscheidungen drohen Ansprüche gegen das Unternehmen und interne Regressfragen.

D&O-Deckungsrisiko

D&O-Versicherungen decken Pflichtverletzungen nicht grenzenlos. Bei vorsätzlichen oder grob fahrlässigen Pflichtverletzungen können Ausschlüsse relevant werden. Gerade deshalb ist dokumentierte, nachvollziehbare Governance wichtig.

Auf welchen Ebenen wird gehaftet?

Von Unternehmensbußgeldern bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes über Organhaftung und Organisationspflichten bis zur Innenhaftung.

Die strategische Konsequenz: Nachweisbare Governance ist nicht nur regulatorische Pflicht, sondern auch persönlicher Haftungsschutz. Wer Inventar, Rollen, Kontrollen, Eskalation und Management Reviews dokumentiert, steht in einer anderen Risikoposition als ein Organ, das KI-Nutzung nicht aktiv überwacht.

Schützt Nichtwissen vor Haftung?

Nein. Ein häufiges Missverständnis lautet: "Wir wussten nicht, dass dieses System KI enthält." Als Kontrollkonzept trägt diese Argumentation nicht. Betreiberpflichten setzen voraus, dass das Institut eingesetzte KI-Systeme kennt, klassifiziert und dokumentiert. Das Nichtwissen über Vendor-KI ist daher ein Governance-Risiko und spricht für ein strukturiertes KI-Inventar.

CSRD/ESRS: Wann werden KI-Bias-Risiken berichtspflichtig?

Wenn KI-Bias zu wesentlichen sozialen Auswirkungen, Diskriminierungsfällen oder Governance-Risiken führt, kann dies auch in der CSRD-/ESRS-Berichterstattung relevant werden. Für Leitungsorgane ist dabei nicht nur die technische KI-Compliance entscheidend, sondern auch, ob Policies, Kontrollen, Due-Diligence-Prozesse, Vorfälle und Maßnahmen nachvollziehbar berichtet und geprüft werden können. Voraussetzung ist, dass das Institut überhaupt berichtspflichtig ist: Die Richtlinie (EU) 2026/470 hat den CSRD-Anwendungsbereich auf EU-Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Nettoumsatz eingeschränkt; nationale Umsetzung, Übergangsjahre und Konzernbetrachtung sind zusätzlich zu prüfen. Zudem muss die Auswirkung oder das Risiko wesentlich sein – nicht jeder Bias-Vorfall führt zu einer ESRS-Angabe.