In den Aufsichtsräten und Beiräten mittelständischer Unternehmen, die ich kenne, kommt KI selten auf die Tagesordnung, und wenn, dann als Bericht der Geschäftsführung, den alle interessiert zur Kenntnis nehmen. Nachfragen bleiben aus.

Für die Geschäftsführung ist das bequem, aber nach meiner Erfahrung bleibt es nicht lange so. Die Zurückhaltung im Gremium kommt meist aus der Sorge, mit einer Nachfrage technische Unkenntnis zu offenbaren, und sie endet, sobald jemand merkt, dass die entscheidenden Fragen gar nicht technisch sind. Wer das Thema dann selbst gesetzt und vorbereitet hat, bestimmt, auf welcher Grundlage darüber gesprochen wird.

Warum das Thema vor das Gremium gehört

Ein Kontrollgremium prüft, ob die Geschäftsführung das Unternehmen ordentlich führt. Dazu gehört, ob wesentliche Risiken erkannt und gesteuert werden und ob Kapital nachvollziehbar verteilt wird.

KI berührt beides. Sie verändert, wie Entscheidungen im Haus zustande kommen, und in den Häusern, die ich kenne, bindet sie Mittel, deren Ertrag häufig noch niemand belastbar gemessen hat. Damit ist sie unabhängig von jeder Regulierung ein Gegenstand der Aufsicht, und die regulatorische Entwicklung kommt nur hinzu.

Aufsichtsrat und Beirat unterscheiden sich in der Rechtsstellung erheblich, in dieser Frage jedoch nicht in der Sache. Der eine überwacht, der andere berät, und die Fragen, die beide stellen werden, sind dieselben.

Die fünf Fragen

Eine Vorlage, die diese Fragen beantwortet, trägt in den Sitzungen, die ich erlebe, durch die Befassung, und sie gibt zugleich die Gliederung vor.

### Welche KI-Systeme sind bei uns produktiv im Einsatz, und woher wissen wir das?

Das ist die einfachste Frage und nach meiner Erfahrung oft die unbequemste, weil der zweite Teil der entscheidende ist. Eine Liste, die aus einer Rundmail an die Bereiche entstanden ist, erfasst meist nur einen Teil dessen, was tatsächlich läuft. Ein Gremium, das nach der Quelle der Liste fragt, merkt das.

### Wer trägt für jedes dieser Systeme die Ergebnisverantwortung?

Gemeint ist nicht, wer es bedient oder betreibt, sondern wer dafür geradesteht, dass die Ergebnisse taugen. Steht in der Vorlage ein Bereich statt einer Person, gibt es diese Verantwortung nicht.

### Woran würden wir merken, dass eines dieser Systeme Schaden anrichtet?

Diese Frage trennt Häuser mit Steuerung von Häusern mit Nutzung. Sie zielt auf Prüfschritte, Protokollierung und darauf, ob jemand die Qualität beobachtet. Ein System, dessen Ergebnis nie jemand widerspricht, wird nicht geprüft.

### Was haben unsere KI-Investitionen bisher gebracht, gemessen woran?

Nutzungszahlen sind keine Antwort. Brauchbar ist eine Prozessgröße mit einem Wert vor und nach dem Einsatz. Gibt es diesen Wert nicht, ist das die eigentliche Auskunft, und die gibt eine Geschäftsführung besser selbst, als sie erfragen zu lassen.

### Wann haben wir zuletzt ein KI-Vorhaben beendet?

Sie ist die aufschlussreichste der fünf. Ein Haus, das noch nie etwas gestoppt hat, priorisiert nicht, sondern sammelt. Ein dokumentierter Abbruch, bei dem Ausgangskriterien, Messung und Abbruchgrund festgehalten sind, ist ein guter Beleg dafür, dass eine Bewertungslogik tatsächlich angewendet wird.

Woran das Gremium eine belastbare Antwort erkennt

Ein Gremium muss die Sachfragen nicht selbst beurteilen können. Es beurteilt aber die Form der Antwort, und die verrät genug.

Eine belastbare Antwort enthält eine Zahl und eine Quelle für diese Zahl. Sie benennt Personen, nicht Bereiche. Sie räumt ein, was nicht bekannt ist, statt Lücken zu überspielen, und sie unterscheidet zwischen dem, was läuft, und dem, was geplant ist.

Eine schwache Antwort beginnt mit einer Aufzählung von Werkzeugen, verweist auf die IT und enthält das Wort „demnächst” mehr als einmal.

Wie die Befassung zur Routine wird

Das Thema gehört einmal jährlich fest auf die Tagesordnung, mit einer kurzen schriftlichen Vorlage entlang der fünf Fragen. Setzt die Geschäftsführung den Punkt selbst, erfährt das Gremium nicht erst dann davon, wenn schon etwas passiert ist, und die Befassung beginnt mit einem Stand statt mit einem Vorfall.

Wesentliche Vorhaben gehören an dieselbe Stelle wie andere Investitionen. Sobald KI-Vorhaben in einem eigenen Verfahren laufen, entziehen sie sich dem Vergleich mit allem anderen, und genau dieser Vergleich ist der Kern der Kapitalallokation.

Die Schriftform hat einen einfachen Grund. Der Unterschied zwischen einem geordneten und einem ungeordneten Zustand lässt sich schriftlich nicht verbergen, und eine Geschäftsführung, die ihn selbst sichtbar macht, kann gleich dazusagen, was sie dagegen unternimmt.

Was sich seit Mitte 2026 geändert hat

Seit dem 2. August 2026 ist die KI-Verordnung allgemein anwendbar (Art. 113 KI-VO); in Kraft ist sie bereits seit August 2024. Zentrale Marktüberwachungsbehörde in Deutschland ist die Bundesnetzagentur, soweit das Gesetz nichts anderes bestimmt (§ 2 Abs. 1 KI-Marktüberwachungsgesetz); Sonderzuständigkeiten gibt es etwa für den Finanzsektor bei der BaFin, für KI in bereits regulierten Produkten und für öffentliche Stellen der Länder. Die viel diskutierten Hochrisiko-Pflichten gelten dagegen später: für eigenständige Hochrisiko-Systeme ab dem 2. Dezember 2027, für Hochrisiko-KI in bestimmten regulierten Produkten nach Anhang I Abschnitt A ab dem 2. August 2028, so die Verordnung (EU) 2026/1744. Für KI in Maschinen verweist die Änderung auf die Maschinenverordnung, die ab dem 20. Januar 2027 anwendbar ist; deren KI-bezogene Anforderungen muss die Kommission noch durch delegierte Rechtsakte ergänzen. Für die Vorlage heißt das: Der Zeitdruck ist geringer als erwartet, nach dem Stand gefragt wird trotzdem.

Kaum berichtet wird eine zweite Änderung, die die Lage stärker verändert. Seit dem 29. Juli 2026 fallen Meldungen über Verstöße gegen die KI-Verordnung unter das Hinweisgeberschutzgesetz (§ 2 Abs. 1 Nr. 10 HinSchG, eingefügt durch Artikel 2 des KI-Marktüberwachungsgesetzes). Damit gibt es einen gesetzlich geregelten Meldeweg, über den Beschäftigte weitergeben können, was die Geschäftsführung möglicherweise nicht weiß. Unabhängig davon nimmt die Bundesnetzagentur als zentrale Beschwerdestelle Beschwerden über Verstöße gegen die KI-Verordnung entgegen (§ 8 KI-Marktüberwachungsgesetz); das ist nicht dasselbe wie eine Meldestelle nach dem Hinweisgeberschutzgesetz. Für die Geschäftsführung ist das ein weiterer Grund, die erste der fünf Fragen selbst beantworten zu können.

Was hinter diesen Fragen an Struktur steht, beschreibt der Beitrag zu den vier Reifestufen. Für die Standortbestimmung mit Zahlen gibt es die KI-Reifegrad-Analyse; das Executive Briefing ist als Vorlage für die Gremienbefassung gebaut.

Eine Frage zum Schluss: Wann haben Sie Ihrem Aufsichtsrat oder Beirat zuletzt über KI berichtet, und hätte die Vorlage diese fünf Fragen beantwortet?

---

Rechtsstand: 25. September 2026. Wo sich die Rechtslage danach ändert, wird der Beitrag nachgeführt oder die Änderung gekennzeichnet.