Der Einsatz künstlicher Intelligenz kann dem Aufsichtsrat wertvolle Unterstützung bieten, um Chancen und Risiken für das eigene Unternehmen zu ermitteln. So können Aufsichtsräte KI-Anwendungen nutzen, um etwa wirtschaftliche Risiken bei Investitionen zu analysieren. Auf operativer Ebene wird der KI-Einsatz in vielen Unternehmen für die Wettbewerbsfähigkeit künftig sogar entscheidend sein. Die Nutzung von KI birgt aber auch Risiken, weil Ergebnisse oft nur schwer nachvollziehbar sind. Viele tatsächliche und rechtliche Fragen werden erst künftig Klärung finden. Konzeptions- oder Anwendungsfehler bringen erhebliches Haftungspotenzial mit sich. Für den Aufsichtsrat ergeben sich im Kern vier grundlegende Fragestellungen.

Erstens: Darf der Aufsichtsrat künstliche Intelligenz zur Vorbereitung seiner Entscheidungen nutzen? Viele Aufsichtsräte befassen sich bereits mit dem Thema KI. Häufig besteht der Wunsch, die KI-Expertise im Gremium zu verbessern – sei es durch neue Mitglieder mit entsprechendem Kompetenzprofil, sei es durch die eigene Fortbildung. Auch den Einsatz von KI-Anwendungen als Unterstützung bei der Aufsichtsratstätigkeit, etwa in den Bereichen Risikomanagement oder Rechnungslegung, halten viele für potenziell hilfreich.

Das Aktienrecht steht einer Verwendung von KI nicht entgegen. Die Aufsichtsratsentscheidung zur Nutzung von KI unterliegt – wie bei anderen unternehmerischen Entscheidungen – dem Maßstab der Business Judgment Rule. Das bedeutet: Solange die Aufsichtsratsmitglieder bei der Entscheidung über die Verwendung von KI angemessen über Funktionsweise und Risiken informiert sind und vernünftigerweise annehmen dürfen, im Unternehmensinteresse zu handeln, haften sie für etwaige spätere Schäden nicht.

Einiges spricht dafür, dass der Aufsichtsrat die Ergebnisse der KI-Analyse zudem – wie bei Sachverständigengutachten – einer zusätzlichen Prüfung unterziehen muss, zum Beispiel durch Fragen wie: Ist die KI kompetent und unabhängig beziehungsweise neutral? Hat sie alle relevanten Informationen erhalten? Hat sie diese vollständig ausgewertet? Sind die Ergebnisse plausibel? Hier ist vieles noch ungeklärt, zumal Projekte zur Erklärbarkeit von KI-Ergebnissen in den Kinderschuhen stecken. Eines gilt aber in jedem Fall: Der Aufsichtsrat muss Informationen zu den grundlegenden Eigenschaften der verwendeten KI einholen.

Der EU AI Act, der kurz vor seiner Verabschiedung steht, trägt wenig zur Präzisierung dieser Anforderungen bei. Er enthält zwar eine Auflistung aller Informationen, die KI-Hersteller den Nutzern zur Verfügung stellen müssen. So sind den Nutzern Fähigkeiten und Beschränkungen der KI, ihr Zweck, die Genauigkeit ihrer Ergebnisse, ihre Robustheit und Cybersicherheit sowie die Art ihrer Trainings- und Validierungsdaten zu nennen. Diese Informationspflicht gilt jedoch nur für sogenannte Hochrisikosysteme, etwa im Bereich medizinischer Geräte oder autonom fahrender Fahrzeuge. Aufsichtsräte werden regelmäßig keine Hochrisikosysteme nutzen. Der EU AI Act normiert auch keine Pflicht der Nutzer von KI-Anwendungen, sich die genannten Informationen zu beschaffen oder diese zu berücksichtigen. Die Liste kann dem Aufsichtsrat aber als Ideengeber dienen, welche Informationen über KI-Anwendungen grundsätzlich relevant sein können.

In Ermangelung konkreter Vorschriften bleibt die Festlegung konkreter Standards den Gerichten überlassen. Vor dem Hintergrund der bestehenden BGH-Rechtsprechung für Sachverständige sollte sich der Aufsichtsrat in jedem Fall davon überzeugen, dass die KI-Anwendung für die spezifische Aufgabe geeignet ist (Kompetenz), die für die Aufgabe relevanten Informationen erhalten hat (Informationsbasis), bei ihrem Training diskriminierende Muster vermieden wurden (Unabhängigkeit) und ihm die Ergebnisse schlüssig erscheinen (Plausibilität).

Zweitens ist zu fragen: Muss der Aufsichtsrat künftig künstliche Intelligenz einsetzen? Eine Pflicht zur Verwendung von KI wäre etwa dann denkbar, wenn es dem Aufsichtsrat nur durch KI möglich wäre, sich die für eine Entscheidung notwendige Informationsgrundlage zu beschaffen. Die Sammlung und Analyse sehr großer Datenmengen könnten in einigen Bereichen schon in naher Zukunft nicht mehr durch herkömmliche Methoden darstellbar sein. Im Kontext der großvolumigen Datenverwaltung und -analyse im Banken- und Versicherungssektor lassen sich beispielsweise Anzeichen erkennen, dass sich KI-Anwendungen auf operativer Ebene zum Marktstandard entwickeln.

Haben sich KI-Analysen als übliches Werkzeug der Risikobewertung oder Datenauswertung etabliert, könnte deren Nichtverwendung in komplexen Entscheidungsprozessen eine Pflichtverletzung des Aufsichtsrats begründen. Mangels „angemessener Informationsgrundlage“ wären seine Entscheidungen angreifbar. Gegenwärtig ist jedoch festzustellen, dass der Aufsichtsrat auf KI noch verzichten kann. Angesichts der mangelnden Verfügbarkeit passgenauer KI-Tools, ungeklärten Rechtsfragen und der fehlenden Marktdurchdringung wäre eine Pflicht zu Verwendung von KI unverhältnismäßig.

Die dritte Frage lautet, welche Maßnahmen vom Aufsichtsrat zu ergreifen sind wenn KI bei Vorstandsentscheidungen zum Einsatz kommt? Geschäfte mit wesentlicher Bedeutung für die wirtschaftliche Entwicklung der Gesellschaft kann der Vorstand nur mit Zustimmung des Aufsichtsrats vornehmen. Typischerweise betrifft das den Erwerb oder Verkauf von Firmen, die Gründung von Tochtergesellschaften, Kreditgeschäfte und die Aufnahme oder Aufgabe wesentlicher Produktlinien oder Geschäftsfelder. Häufig wird der Vorstand zur Vorbereitung solcher Entscheidungen Expertenrat einholen, insbesondere dann, wenn es ihm hinsichtlich spezifischer Fragen an Sachkunde fehlt. Auch hier ist es denkbar, dass der Vorstand anstelle eines menschlichen Experten auf die Analyse einer KI setzt. Der Aufsichtsrat wiederum hat sich bei seiner Entscheidungsfindung mit der KI-Analyse als Grundlage der Vorstandsentscheidung zu befassen und nutzt diese als Basis für seine eigene Zustimmungsentscheidung. In diesem Fall gilt wie zuvor: Er muss die KI und ihre Analyseergebnisse einer Plausibilitätsprüfung unterziehen.

Viertens kommt die Frage auf, welche Aufgaben der Aufsichtsrat in Bezug auf die Entwicklung oder Nutzung von künstlicher Intelligenz im Unternehmen generell hat. Ein naheliegender erster Schritt ist die Bestandsaufnahme der in den Gremien vorhandenen digitalen/technologischen Expertise. Etwaige Weiterbildungsprojekte könnten von der Berücksichtigung entsprechender Expertise bei der Bestellung künftiger Vorstandsmitglieder und bei der Auswahl von Kandidaten für eine neu zu besetzende Aufsichtsratsposition flankiert werden. Mit Blick auf die Beratungsfunktion des Aufsichtsrats bietet sich ein Austausch mit dem Vorstand zur Bedeutung von KI-Anwendungen für die Unternehmensstrategie an. Der Aufsichtsrat sollte sich zudem über vorhandene Projekte und Prozesse zum Umgang mit KI-Anwendungen berichten lassen. KI-Anwendungen können Schnittstellen zu nahezu jedem Vorstandsressort haben. Prozesse sollten optimalerweise bereichsübergreifend angelegt und crossfunktional überwacht werden.

Aufgrund der Dynamik des Themas sollte eine regelmäßige Überprüfung und Fortentwicklung der Prozesse stattfinden. Dies nicht zuletzt auch, um künftig eine Einhaltung der sich gegenwärtig noch in der Entwicklung befindlichen regulatorischen Vorschriften – beispielsweise dem EU AI Act – sicherzustellen. Der Schulung von Mitarbeitern mit Berührungspunkten zu KI-Anwendungen kommt dabei besondere Bedeutung zu. KI-Kompetenz ist zentral für eine effektive Kontrolle der KI und ihrer Ergebnisse.

Schließlich kommt der Auseinandersetzung mit ethischen Implikationen von KI eine große Bedeutung zu. Kern entsprechender Überlegungen ist eine auf den Menschen ausgerichtete Nutzung dieser Technologie. So stellt der Entwurf des EU AI Act den Leitsatz auf, dass die KI als Werkzeug dem Menschen dienen sowie die Menschenwürde und die persönliche Autonomie achten muss. Konkret sollte ein Aufsichtsrat sich daher vergewissern, dass sich der Vorstand mit den ethischen Dimensionen von KI befasst hat. Einige Unternehmen haben zu diesem Zweck Ethikräte gegründet oder ihre ethischen Grundsätze in internen Richtlinien festgehalten.