Wenn die KI irrt, haftet trotzdem der Vorstand

Ein Vorstand stützt eine Akquisitionsentscheidung auf eine KI-Analyse. Die Analyse ist fehlerhaft. Das Unternehmen erleidet erheblichen Schaden. Wer haftet?

Die kurze Antwort lautet: der Vorstand. Die längere Antwort führt mitten hinein in eine Rechtslage, die viele Unternehmen noch unterschätzen. Denn mit dem wachsenden Einsatz von KI in Entscheidungsprozessen entstehen Haftungsrisiken, die nicht in der IT-Abteilung gelöst werden, sondern auf Vorstandsebene.

KI und Vorstandshaftung: Wer haftet, wenn die KI falsch liegt?

Darüber haben wir mit zwei Expertinnen und Experten von KPMG Law gesprochen. Nikolaus Vincent Manthey ist Partner bei KPMG Law und leitet den Hamburger Standort. Seine Schwerpunkte liegen in M&A und Gesellschaftsrecht, mit besonderem Fokus auf Mandanten aus dem Finanzsektor. Sabrina Riesenbeck ist Rechtsanwältin im Bereich Legal Financial Services bei KPMG Law. Sie promovierte im Konzerninsolvenzrecht und berät heute vor allem zu Gesellschaftsrecht, M&A sowie Reorganisationen.

Im Interview erklären sie, was die sogenannte Business Judgment Rule, also die aktienrechtliche Regelung, nach der Vorstände bei unternehmerischen Fehlentscheidungen unter bestimmten Bedingungen nicht persönlich haften, mit KI zu tun hat, was konkret dokumentiert werden muss und warum KI kein Expertengutachten ersetzen kann.

KI-Einsatz im Unternehmen: Haftung bleibt Chefsache

Julia Strauss: KI trifft heute Entscheidungen mit, die früher Vorstände allein verantwortet haben. Wer haftet, wenn die Maschine falsch liegt?

Sabrina Riesenbeck: Dies lässt sich eindeutig beantworten: Die Vorstände haften weiterhin. KI ist im beruflichen Kontext nicht mehr wegzudenken und kann bei der Vorbereitung von Entscheidungen ein wichtiges Hilfsmittel sein. Allerdings sollte KI nicht dazu einladen, die KI-generierten Entscheidungen ohne Prüfung zu übernehmen. KI-Systeme verfügen weder über ein menschliches Urteilsvermögen noch können ihre Entscheidungen auf unternehmensspezifischen Erfahrungen beruhen. Als Vorstandsmitglied hat man daher sicherzustellen, dass die KI-generierten Ergebnisse nicht ohne vorherige Prüfung in die Entscheidungsfindung einbezogen werden. 

KI als Blackbox: Wie viel Transparenz müssen Vorstände einfordern?

Julia Strauss: KI-Systeme gelten oft als "Blackbox": Das Ergebnis kommt, aber der Weg dorthin bleibt verborgen. Wie viel Intransparenz dürfen Organe akzeptieren?

Nikolaus Vincent Manthey: Vor allem im Hinblick auf die Haftung sollten sich Vorstände so viel Transparenz wie möglich verschaffen. Es sollte dokumentiert werden, mit welchen Daten die KI "gefüttert" worden ist und welche Prompts der Entscheidungsvorbereitung zu Grunde lagen. In der Praxis zeigt sich besonders häufig, dass durch mehrmaliges Nachfragen beziehungsweise Anpassungen der Prompts die KI zu unterschiedlichen Ergebnissen gelangt. Von der KI genutzte Quellen sollten geprüft und hinterfragt werden. 

Julia Strauss: Es kursiert die These, dass Geschäftsführer KI künftig nicht nur nutzen dürfen, sondern müssen, weil KI Informationen umfassender aufbereitet als jeder Mensch. Teilen Sie diese Einschätzung?

Sabrina Riesenbeck: Wie Juristen so gern sagen: Es kommt darauf an. Dass die Nutzung von KI zur Pflicht wird, mag unseres Erachtens vor allem in den Bereichen Relevanz haben, in denen die KI bereits im beruflichen Kontext durchgehend genutzt wird. Ein Beispiel: Wenn Unternehmen für die monatliche Aufbereitung von Unternehmensdaten und Analysen regelmäßig KI einsetzen, diese Informationen dann aber bei Unternehmensentscheidungen ignorieren – nur weil sie KI-basiert sind –, wäre dies nicht nachvollziehbar und könnte sogar als pflichtwidrig eingeordnet werden. Man kann daher nicht pauschal sagen, dass KI für die Entscheidungsfindung herangezogen werden muss. Doch es zeichnet sich ab, dass Vorstände etablierte, KI-basierte Informationen nicht ohne sachlichen Grund unbeachtet lassen dürfen, um ihre Entscheidungs- und Sorgfaltspflichten ordnungsgemäß zu erfüllen.

Julia Strauss: Wo endet die KI-Kompetenz, wo beginnt die Pflicht zum menschlichen Expertenrat?

Nikolaus Vincent Manthey: Wenn die eigene Fachexpertise fehlt, haben Geschäftsführungen – auch in den Zeiten von KI – Expertenrat einzuholen. Sie können sich auf einen Expertenrat jedoch nur verlassen, wenn Expertinnen und Experten über Fachkunde verfügen, ihnen keine ergebnisorientierten Vorgaben gemacht wurden, der Sachverhalt vollständig offengelegt wurde, alle relevanten Informationen einbezogen und naheliegende Fragen widerspruchsfrei beantwortet wurden. Diese Kriterien lassen sich auf KI nur eingeschränkt übertragen, denn KI kann analysieren, bleibt aber fehleranfällig und nutzt teils intransparente Quellen. Die oben genannten Anforderungen können daher zum gegenwärtigen Zeitpunkt von einer KI nicht erfüllt werden, sodass KI einen Expertenrat nicht ersetzen kann. Ein fehlerhaftes KI-Ergebnis ist daher rechtlich nicht wie ein menschliches Gutachten zu werten und entlastet Leitungsorgane derzeit nicht von ihrer persönlichen Haftung. 

KI-Dokumentationspflicht: Was Unternehmen festhalten müssen

Julia Strauss: Dokumentation ist das A und O im Haftungsrecht. Was müssen Unternehmen konkret festhalten, wenn KI in Entscheidungsprozesse eingebunden ist?

Sabrina Riesenbeck: Wesentlich ist, dass im Nachhinein klar erkennbar ist, auf welcher Informationsgrundlage die Entscheidung getroffen wurde. Da KI-Tools Ergebnisse häufig nur kurzfristig speichern, sollte deren Einsatz ebenso wie die sorgfältige Prüfung der Resultate detailliert dokumentiert werden. 

In dieser Dokumentation sollte insbesondere festgehalten werden: wer die KI genutzt hat (Name, Datum); ob interne Freigabeprozesse eingehalten wurden; wie die KI-Ergebnisse im Hinblick auf Kontext, Aktualität und Quellen überprüft wurden; welches KI-Tool (Name, Version, Datum) verwendet wurde; welche Prompts und Dokumente eingestellt wurden sowie Zweck der Nutzung und gewünschtes Endprodukt (z.B. Analyse, Gutachten, Schreiben). Soweit möglich, sollten die Prompts und Ergebnisse als PDF gesichert werden. 

Was der EU AI Act ändert

Julia Strauss: Der EU AI Act klassifiziert bestimmte KI-Anwendungen als "hochriskant". Verändert diese Regulierung die Haftungslage für Unternehmensorgane spürbar?

Nikolaus Vincent Manthey: Der EU AI Act ändert nichts am System der Organhaftung. Er stellt aber hohe regulatorische Anforderungen an Hochrisiko-KI-Systeme. Dazu gehört insbesondere das Erfordernis der Einrichtung eines kontinuierlich zu aktualisierenden Risikomanagementsystems. Weitere Anforderungen bestehen etwa mit Blick auf Datenqualität, Dokumentationspflichten und menschliche Aufsicht.

Mit Blick auf die Einhaltung dieser Anforderungen gilt die sogenannte Legalitätspflicht. Die Unternehmensorgane sind danach verpflichtet sicherzustellen, dass sämtliche für das Unternehmen geltenden gesetzlichen Anforderungen eingehalten werden. Tun sie dies nicht, stellt dies eine Pflichtverletzung mit entsprechendem Haftungsrisiko dar. KI ist damit nicht nur ein Technologie-, sondern auch ein Compliance-Thema. 

Der Ernstfall: KI-Analyse, falsches Ergebnis, Millionenschaden

Julia Strauss: Ein Vorstand trifft eine Akquisitionsentscheidung, gestützt auf eine KI-Analyse, die sich im Nachhinein als fehlerhaft erweist. Das Unternehmen erleidet einen erheblichen Schaden. Wie würde dieser Fall vor einem deutschen Gericht wahrscheinlich beurteilt?

Sabrina Riesenbeck: Trifft eine KI ihre Entscheidung auf derselben Tatsachengrundlage, auf der auch ein sorgfältig handelnder Vorstand entschieden hätte, so wäre dies ein wichtiger Aspekt für die Vorstandshaftung. In solchen Fällen ließe sich grundsätzlich erwägen, die Business Judgement Rule anzuwenden. Dies könnte eine Haftungserleichterung für den Vorstand bedeuten, der sich die KI-Entscheidung zu eigen gemacht hat. Die Business Judgment Rule ist im deutschen Aktiengesetz verankert und besagt im Wesentlichen, dass die Geschäftsführung nicht persönlich haftet, wenn sie bei einer unternehmerischen Entscheidung in gutem Glauben, auf Grundlage angemessener Information und zum Wohle der Gesellschaft gehandelt hat.

Gleichwohl ist zu berücksichtigen, dass eine KI – anders als der Vorstand – über kein eigenes Urteilsvermögen, keine unternehmerische Intuition und keine persönliche Erfahrung verfügt. Gerade diese Elemente sind aber essenziell für unternehmerische Entscheidungen im Sinne der Business Judgment Rule. 

Wenn eine Entscheidung wesentlich auf einer KI-Analyse beruht, fehlen daher strukturell genau jene menschlichen Komponenten, an die die Business Judgment Rule anknüpft. Vorstände dürfen sich diese folglich nicht zu eigen machen. Denn der Schutz der Business Judgment Rule greift nur, wenn Vorstände KI-Ergebnisse einer eigenständigen, kritischen Würdigung unterziehen und ihre unternehmerische Erfahrung in die Entscheidung einbringen. 

KI-Haftungsrisiken begrenzen: Erste Maßnahmen für Vorstände

Julia Strauss: Hand aufs Herz: Wenn Sie morgen in einem Vorstand sitzen würden, was wäre Ihre erste Maßnahme, um KI-Haftungsrisiken konkret zu begrenzen?

Nikolaus Vincent Manthey: Zu Beginn würde ich mir einen Überblick über die bisher etablierten KI-Systeme und deren Einsatzbereiche, implementierte Regelungen, Verantwortlichkeiten und Trainings zum Thema KI in dem Unternehmen verschaffen. Es muss sichergestellt sein, dass der Einsatz von KI entsprechend dokumentiert wird und entsprechende Reviewprozesse eingehalten werden. Ferner sollte überprüft werden, in welchen Bereichen sich die Nutzung von KI sinnvoll und rechtlich sicher gestaltet, auch im Hinblick auf bestehende Haftungsrisiken. Ferner wäre mir wichtig, dass durch Trainings die Mitarbeitenden hinreichend geschult sind, um verantwortungsbewusst KI zu nutzen.  

Julia Strauss: Viele Vorstände verlassen sich darauf, dass ihre IT- oder Legal-Abteilung das KI-Thema "schon regelt". Ist diese Haltung gefährlich?

Nikolaus Vincent Manthey: Ja, denn das Thema Künstliche Intelligenz betrifft nicht nur die IT- oder Legal-Abteilung. Künstliche Intelligenz strahlt in alle Bereiche eines Unternehmens aus und bedarf daher natürlich der Aufmerksamkeit des Vorstands. 

Wie oben bereits ausgeführt, kann KI zwar zur Entscheidungsfindung beitragen, die Entscheidungen dürfen aber nicht ungefiltert übernommen werden. Die Verantwortung für unternehmerische Entscheidungen bleibt beim Vorstand, nicht bei der KI. Vorstände müssen den Einsatz von KI gezielt steuern und überwachen. Sie können sich der Verantwortung nicht entziehen. 

Das könnte Sie zum Thema "Künstliche Intelligenz" auch interessieren:

EU verschiebt zentrale Regelungen des AI Acts 

Was der KI-Omnibus für Arbeitgeber ändert

Wie KI-Agenten Arbeit und Führung verändern