KI-Governance im Verwaltungsrat: Was Art. 716a OR verlangt

Die gesetzliche Ausgangslage

Art. 716a OR listet die unübertragbaren und unentziehbaren Aufgaben des Verwaltungsrats. Dazu gehört die Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen. Diese Pflicht ist nicht delegierbar. Sie liegt beim Gremium. Immer.

Seit KI-Systeme operative Entscheide vorbereiten, beschleunigen oder automatisieren, hat sich der Gegenstand dieser Oberaufsicht verändert. Die Pflicht nicht. Ein Verwaltungsrat, der KI-Governance nicht aktiv steuert, vernachlässigt eine gesetzlich verankerte Aufgabe.

Die Business Judgement Rule als Schutzschild

Die Business Judgement Rule schützt Verwaltungsräte vor Haftungsansprüchen, wenn sie:

1. Auf einer vernünftigen Informationsbasis entschieden haben
2. Den Entscheidprozess sorgfältig dokumentiert haben
3. In gutem Glauben und ohne Interessenkonflikt gehandelt haben

Der Prüfmassstab: vernünftige Informationsbasis. Was bedeutet das für KI-Entscheide?

Ein Verwaltungsrat, der einem KI-System die Kreditvergabe überträgt, ohne die zugrundeliegenden Risikoparameter zu kennen, kann sich bei einer falschen Kreditentscheidung nicht auf die Business Judgement Rule berufen. Die Oberaufsichtspflicht nach Art. 716a OR verlangt, dass das Gremium versteht, was es delegiert.

Die drei KI-Governance-Risiken für Verwaltungsräte

1. Delegationsrisiko

Der VR darf operative Aufgaben an die Geschäftsleitung delegieren. Er kann nicht die Oberaufsicht delegieren. Art. 716a OR ist in diesem Punkt unmissverständlich. Wenn KI-Systeme im Unternehmen Entscheide treffen oder vorbereiten, die materiell erheblich sind, bleibt die Überwachungspflicht beim Verwaltungsrat.

Konkret: Ein VR-Gremium, das «KI-Governance an die IT delegiert» und danach keine weiteren Fragen stellt, verletzt seine unübertragbare Oberaufsichtspflicht nach Art. 716a OR.

2. Dokumentationsrisiko

Jeder VR-Entscheid, der KI-Empfehlungen oder KI-generierte Analysen verwendet, muss nachvollziehbar dokumentieren:

• Welches System wurde eingesetzt?
• Welche Daten wurden verarbeitet?
• Welche Einschränkungen hatte das System?
• Wer hat die Schlussfolgerung menschlich überprüft?

Fehlt diese Dokumentation, ist die Business Judgement Rule in einer späteren Auseinandersetzung nicht anwendbar. Die Oberaufsicht nach Art. 716a OR setzt voraus, dass das Gremium seine Entscheide nachweisen kann.

3. Datenschutzrisiko

Das revidierte nDSG (seit 1. September 2023) schafft erhöhte Anforderungen an die Verarbeitung personenbezogener Daten. Wenn KI-Systeme im Unternehmen Kundendaten, Mitarbeiterdaten oder Partnerinformationen verarbeiten, ist der Verwaltungsrat als oberstes Führungsorgan mitverantwortlich für die Rechtmässigkeit dieser Verarbeitung.

Verstösse können zu Bussgeldern von bis zu CHF 250'000 führen. Dazu kommen Reputationsschäden, die sich juristisch schwerer fassen lassen.

Was ein Verwaltungsrat konkret tun muss

Schritt 1: KI-Inventar erstellen
Eine vollständige Liste aller KI-Systeme, die im Unternehmen eingesetzt werden: von ChatGPT-Instanzen in der Marketingabteilung bis zu automatisierten Kreditscoring-Modellen. Wer nutzt was, mit welchen Daten?

Schritt 2: Wesentlichkeitsschwelle festlegen
Nicht jedes KI-System erfordert VR-Governance. Die Frage ist: Ab welchem Entscheidgewicht ist eine KI-gestützte Empfehlung VR-relevant? Ein Framework für diese Einschätzung sollte im Gremium formell verabschiedet werden.

Schritt 3: KI-Policy verabschieden
Eine schriftliche, vom Verwaltungsrat verabschiedete KI-Policy schafft drei Dinge: Sie dokumentiert die wahrgenommene Oberaufsicht nach Art. 716a OR, sie gibt der Geschäftsleitung klare Leitplanken, und sie bildet die Grundlage für den Nachweis der Sorgfalt im Streitfall.

Schritt 4: Regelmässige Berichterstattung
KI-Readiness und KI-Risiken sollten mindestens einmal jährlich formell in der VR-Sitzung traktandiert werden. Mit einem strukturierten Bericht der Geschäftsleitung. Art. 716a OR verlangt laufende Oberaufsicht, nicht punktuelle Kenntnisnahme.

Das Fazit für Verwaltungsräte

KI-Governance ist keine IT-Frage. Sie ist eine Frage der unübertragbaren Oberaufsicht nach Art. 716a OR. Die Anforderungen an VR-Mitglieder wachsen mit der Komplexität der Technologien, die im Unternehmen eingesetzt werden.

Eine Vernachlässigung dieser Oberaufsichtspflicht beim Thema KI ist ein direkter Compliance-Verstoss gegen zwingendes Schweizer Aktienrecht. Die gute Nachricht: Wer die richtigen Fragen stellt, die richtigen Prozesse implementiert und Entscheide dokumentiert, ist gut geschützt. Informiertes Handeln schützt. Rechtlich und reputationsmässig.

Marco Quinter ist KI-Governance-Berater und Verwaltungsrat. Er berät Schweizer VR-Gremien bei der strukturellen Implementierung von KI-Governance-Rahmenwerken.