KI-Haftung im Vorstand: Business Judgment Rule schützt nur bei guter Kontrolle

Mit der zunehmenden Integration autonomer Software und künstlicher Intelligenz in betriebliche Kernprozesse wächst der Druck auf Führungskräfte, Haftungsfragen frühzeitig abzusichern. Juristen von KPMG Law weisen in einer rechtlichen Einordnung darauf hin, dass die sogenannte Business Judgment Rule Vorstände grundsätzlich vor einer persönlichen Haftung bewahren kann.

Diese Absicherung greift allerdings nur dann, wenn Entscheidungsträger bei ihren Maßnahmen nachweisbar gutgläubig, angemessen informiert und im besten Interesse der Gesellschaft handeln. Vor einer reinen Delegation an technische Fachabteilungen wird gewarnt: Die Annahme, die IT werde Risiken eigenständig beherrschen, stellt für Organmitglieder ein erhebliches Haftungsrisiko dar.

Schutzmechanismen und Kontrollpflichten der Unternehmensleitung

Um sich im Schadensfall auf den gesellschaftsrechtlichen Haftungsschutz berufen zu können, sind nach Ansicht von Rechtsexperten eine lückenlose Dokumentation und wirksame Überwachungsmechanismen unerlässlich.

Wird KI-Software fehlerhaft eingesetzt oder trifft autonome Entscheidungen mit finanziellen Folgen, haften Führungskräfte dann nicht persönlich, wenn sie ihren Sorgfalts- und Überwachungspflichten vorab nachgekommen sind. Ein Kontrollverlust oder blindes Vertrauen in automatisierte Systeme hebelt diesen Schutzmechanismus jedoch aus.

Wer sich mit der rechtssicheren Integration von Algorithmen befasst, benötigt einen klaren Überblick über die neuen gesetzlichen Rahmenbedingungen. Dieser kostenlose Download verschafft Ihnen den Überblick, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Wie dringlich diese Kontrollen sind, verdeutlicht die Optro-Studie 2026 unter 417 Verantwortlichen für Unternehmensführung, Revision, Risiko, Compliance und Sicherheit in Nordamerika und Europa.

Demnach ergriffen bereits 34 Prozent der befragten Organisationen konkrete Maßnahmen infolge fehlerhafter Entscheidungen von KI-Agenten. Bei 30 Prozent der Unternehmen kam es zu unbeabsichtigten Aktionen solcher Systeme, während 25 Prozent ein Kontrollversagen meldeten.

Gleichzeitig räumen viele Unternehmen autonomen Systemen weitreichende Befugnisse ein: Bei 38 Prozent der befragten Betriebe dürfen Agenten Transaktionen genehmigen oder ablehnen, bei 34 Prozent Kontrollen oder Richtlinien ändern und bei 27 Prozent Benutzerrechte modifizieren.

Infolge dieser Entwicklungen gaben 46 Prozent der Befragten an, mittlerweile mehr Zeit für die Überprüfung oder Korrektur von KI-Ergebnissen aufwenden zu müssen.

Lücken in den betrieblichen Sicherheitsstrukturen

Obwohl laut der Optro-Erhebung 96 Prozent der befragten Verantwortlichen organisatorische Anpassungen an neue KI-Fähigkeiten befürworten, haben bislang lediglich 9 Prozent ihre Arbeitsabläufe für eine sichere Integration grundlegend umgestaltet.

Angesichts der zunehmenden Automatisierung stellt die neue EU-KI-Verordnung Regeln auf, die für die Haftungsvermeidung im Unternehmen entscheidend sind. Dieser kostenlose Report klärt auf, welche Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen. Umsetzungsleitfaden zum EU AI Act jetzt kostenlos herunterladen

Ein ähnliches Bild zeigt eine Forsa-Umfrage im Auftrag des Bundesamts für Sicherheit in der Informationstechnik und des TÜV-Verbands unter 505 Betrieben ab 20 Beschäftigten.

Demnach verfügen lediglich 11 Prozent der Unternehmen über spezielle Prozesse für sicherheitsrelevante KI-Vorfälle, während 43 Prozent auf allgemeine IT-Sicherheitsstrukturen zurückgreifen. 20 Prozent arbeiten an entsprechenden Verfahren, 25 Prozent haben keinerlei Regelungen etabliert und 2 Prozent machten keine Angabe.

Gleichzeitig setzen 49 Prozent der Unternehmen KI bereits ein und 9 Prozent planen dies binnen zwölf Monaten. 17 Prozent der befragten Betriebe verzeichneten bereits KI-gestützte Angriffe.

Haftungsrisiken bei autonomen Fehlern

Dass fehlerhafte KI-Ergebnisse bereits jetzt rechtliche Konsequenzen nach sich ziehen, zeigt die Rechtsprechung. Das Landgericht Aachen untersagte Google Ireland Limited am 24. September 2026 per einstweiliger Verfügung die Weiterverbreitung falscher Behauptungen über einen Arzt, die von einem KI-Modus generiert worden waren. Das Gericht stufte das Unternehmen als Störerin ein und verwies auf eine vorangegangene Entscheidung des Landgerichts München I vom 28. Mai 2026.

Auch internationale Regulierungsbehörden verschärfen die Anforderungen an das Risikomanagement. Die Monetary Authority of Singapore veröffentlichte am 7. Oktober 2026 verbindliche Richtlinien für Finanzinstitute, die ab dem 7. Oktober 2027 schrittweise in Kraft treten. Sie verlangen unter anderem, dass jeder KI-Anwendungsfall vor dem Produktivbetrieb von einer unabhängigen Partei geprüft wird. Die Letztverantwortung verbleibt dabei ausnahmslos beim Institut.

de | wirtschaft | 70271255 |