Warum KI-Einsatz eine Geschäftsführer-Entscheidung ist

Beim Thema Künstliche Intelligenz wird viel über Technik gesprochen und wenig über das, was Geschäftsführer bei einer schiefgegangenen Entscheidung persönlich erwartet. Ein Recruiting-Algorithmus, der systematisch benachteiligte Gruppen filtert. Ein KI-Kreditmodell, das eine Finanzierung ablehnt, ohne nachvollziehbare Begründung. Ein Chatbot, der Kundendaten in US-Servern ablegt. In jedem dieser Fälle ist die Frage nicht „Hat die IT das geprüft?“, sondern „Hat die Geschäftsführung das verantwortet?“

Der EU AI Act beantwortet das eindeutig: Der Betreiber eines KI-Systems — das ist in den meisten Mittelstands-Szenarien das Unternehmen, das KI einsetzt, nicht der Hersteller — trägt die operative Verantwortung. Und der Betreiber ist keine abstrakte Einheit. Im GmbH-Recht ist das der Geschäftsführer.

Die vier Dokumente, die Ihr Board haben sollte

Compliance-Minimalausstattung für Mittelständler, die KI nutzen:

  1. KI-Inventar. Vollständige Liste aller KI-Systeme, die im Unternehmen aktiv genutzt werden. Inklusive eingebetteter KI in ERP, CRM, Office-Paketen. Mit Risikoklassifizierung nach EU AI Act und Verantwortlichen.
  2. KI-Governance-Richtlinie. Interne Policy: Wer darf welche KI für welche Zwecke einsetzen? Wer ist für Hochrisiko-Entscheidungen freigabepflichtig? Was gilt bei neuen Tools? Ein Einseitiger reicht für den Anfang — aber er muss unterschrieben, datiert und zugänglich sein.
  3. Schulungsnachweis (Art. 4 EU AI Act). Dokumentation, dass alle Mitarbeitenden, die KI nutzen oder dessen Ergebnisse verwerten, entsprechend geschult sind. Teilnehmerliste, Thema, Datum. Das schützt vor dem Einwand „Die Mitarbeitenden haben das eigenständig eingesetzt.“
  4. Lieferanten-Dokumentation. Für jeden KI-Dienst, den Sie nutzen: Auftragsverarbeitungsvertrag (falls personenbezogene Daten fließen), technische Dokumentation, CE-Kennzeichnung (bei Hochrisiko-Systemen). Nicht erst einholen, wenn die Behörde fragt.

Diese vier Dokumente sind kein Schutzschild gegen jeden Vorwurf. Aber sie dokumentieren, dass die Geschäftsführung ihrer Sorgfaltspflicht nachgekommen ist. Im Streitfall ist das der Unterschied zwischen persönlicher Haftung und einem Prozessfehler der Organisation.

GmbH oder GmbH & Co. KG? Was die Rechtsform für die persönliche Haftung bedeutet

Die Pflicht zur sorgfältigen Unternehmensführung gilt für alle Rechtsformen des Mittelstands — aber die Haftungskonsequenzen bei Pflichtverlässung unterscheiden sich.

GmbH-Geschäftsführer haften nach § 43 GmbHG gegenüber der Gesellschaft, wenn sie ihre Pflichten verletzen. Dazu gehört die Pflicht, alle Risiken, die für das Unternehmen erheblich sind, zu identifizieren, zu bewerten und zu steuern. Ein KI-System, das Kreditentscheidungen beeinflusst oder Personalentscheidungen trifft, fällt in diesen Risiko-Radar. Wer das nicht dokumentiert, riskiert eine persönliche Haftung gegenüber den Gesellschaftern — nicht erst wenn eine Behörde prüft, sondern schon wenn ein Gesellschafter Rechenschaft fordert.

Das Bundesgerichtshof-Urteil ARAG/Garmenbeck (BGHZ 135, 244, 1997) hat die Sorgfaltspflicht des Aufsichtsrats konkretisiert: Überwachungspflicht schließt aktives Einschreiten ein, wenn der Vorstand/Geschäftsführer erkennbare Risiken nicht steuert. Dieses Prinzip — Kenntnis des Risikos verpflichtet zur Reaktion — überträgt sich direkt auf KI-Systeme mit Entscheidungseinfluss: Wer weiß, dass ein KI-System Bonitatseinschätzungen liefert, und kontrolliert das nicht, hat ein Haftungsproblem.

GmbH & Co. KG: Die Komplementär-GmbH trägt die Geschäftsführungspflichten. Der Geschäftsführer der Komplementär-GmbH haftet also nach § 43 GmbHG gegenüber der Komplementär-GmbH — und diese gegenüber der KG. Die Kommanditisten sind grundsätzlich auf ihre Einlage beschränkt, sofern sie nicht Geschäftsführungsaufgaben tatsächlich ausüben. Aber: Wenn der Gesellschaftsvertrag dem Kommanditisten eine de-facto-Geschäftsführungsrolle gibt (häufig in Familienbetrieben), kann auch er in eine persönliche Haftung geraten.

AG: Der Vorstand haftet nach § 93 AktG. Der Aufsichtsrat überwacht. Für börsennotierte mittelständische AGs kommt das DCGK-Prinzip G.1 hinzu: Der Vorstand muss ein wirksames Risikomanagementsystem einrichten, das auch technologische Risiken — explizit KI — abdeckt.

Unabhängig von der Rechtsform gilt: Dokumentierter Umgang mit KI-Risiken ist Pflicht, nicht Kür. Das KI-Register, die Governance-Richtlinie und der Audit Trail sind keine Compliance-Übung für Außen — sie sind dein Schutz als Person.

Für die Praxis bedeutet das: Es reicht nicht, ein KI-System einzuführen und darauf zu vertrauen, dass es schon funktioniert. Die Geschäftsführung muss nachweisbar entschieden haben, welche Systeme in welcher Risikoklasse betrieben werden, wer die Kontrolle trägt, und wie bei Fehlfunktionen eskaliert wird. Dieses Nachweisdokument — intern oft als KI-Governance-Richtlinie bezeichnet — ist das Herzstück der persönlichen Absicherung. Es schützt nicht vor Fehlern, aber es dokumentiert, dass die Pflicht zur sorgfältigen Unternehmensführung ernst genommen wurde. Ein Auditor, eine Aufsichtsbehörde oder ein klagender Gesellschafter will genau dieses Dokument sehen.

Wann du anfangen solltest: jetzt. Das KI-Register nach Art. 49 EU AI Act ist ab 2. August 2026 für Hochrisiko-Systeme Pflicht. Aber die Governance-Richtlinie und das Haftungsdokument sind keine regulatorische Pflicht — sie sind dein persönlicher Schutz als Geschäftsführer. Den brauchst du nicht erst ab August 2026. Den brauchst du ab dem Tag, an dem dein erstes KI-System Entscheidungen beeinflusst.

Die drei Standardfehler, die Geschäftsführer machen

Fehler 1: Delegation ohne Dokumentation. „Die IT macht das.“ Die IT kann die operative Verwaltung übernehmen, nicht die Geschäftsführer-Verantwortung. Im EU AI Act und im GmbH-Recht liegt die letzte Verantwortung bei der Geschäftsführung. Delegation ist zulässig — aber sie muss dokumentiert sein, und die Überwachungspflicht bleibt.

Fehler 2: Nur externe Systeme im Blick. Viele Geschäftsführer denken bei „KI“ an externe ChatGPT-Nutzung. Übersehen werden eingebettete KI-Komponenten: der Bewerber-Scoring-Algorithmus im HR-Tool, das Anomalie-Erkennungssystem im ERP, die automatische E-Mail-Klassifizierung im CRM. Diese Systeme fallen unter den AI Act, unabhängig davon, ob jemand sie als „KI“ bezeichnet.

Fehler 3: Compliance als Projekt, nicht als Betrieb. AI-Act-Compliance ist keine einmalige Zertifizierung. Das KI-Inventar muss aktuell sein, Schulungen müssen wiederholt werden, neue Tools müssen klassifiziert werden. Wer das als Projekt anlegt und nach Abschluss nicht weiter verfolgt, hat nach 12 Monaten wieder eine Lücke.

Was ein belastbares Setup konkret enthält

Für einen Mittelständler mit 50–200 Mitarbeitenden und klassischem KI-Einsatz (Office-KI, CRM, HR-Tool, eventuell Chatbot):

  • KI-Register (zwei DIN-A4-Seiten reichen): alle KI-Systeme, Zweck, Risikoklasse, Verantwortlicher, Datum der Klassifizierung
  • Schulungsnachweis (Tabelle): Mitarbeitergruppe, Schulung, Datum, Teilnehmer
  • Governance-Richtlinie (ein Einseitiger): erlaubte Tools, Freigabeprozess, Eskalationsweg
  • Lieferanten-Ablage: AVV, technische Dokumentation, CE-Nachweise für Hochrisiko-Systeme
  • Prüftermin im Kalender: einmal jährlich + bei jedem neuen System

Das ist kein Compliance-Department. Das ist Minimalstandard — und er ist in vier Arbeitstagen aufgesetzt, wenn jemand die Verantwortung übernimmt.

Der Unterschied, den Auditierbarkeit macht

Wer in einem Prüffall auf Nachfrage der Behörde nichts vorlegen kann, steht anders da als wer ein vollständiges KI-Register, einen Schulungsnachweis und eine Governance-Richtlinie vorweist. Das ändert nichts an einem potenziellen Verstoß — aber es beeinflusst die Bewertung der Fahrlässigkeit erheblich. Im DSGVO-Kontext hat sich das bestätigt: Unternehmen mit dokumentierten Datenschutzprozessen erhalten regelmäßig niedrigere Bußgelder als Unternehmen ohne jede Dokumentation, selbst bei vergleichbaren Verstößen.

Beim AI Act wird es nicht anders sein.

Wie AthenaRun ansetzt

KI-Compliance ist kein Beratungsprodukt, das wir verkaufen. Aber die Applikationen, die wir bauen, dokumentieren von Anfang an: Wer hat welche KI-gestützte Entscheidung ausgelöst, mit welchem Ergebnis, auf Basis welcher Daten. Das ist kein Compliance-Feature — das ist Standard-Audit-Trail. Und er erfüllt die Artikel-4- und Hochrisiko-Dokumentationspflichten aus dem laufenden Betrieb heraus, ohne nachträgliches Logging-Projekt.

Wenn Sie wissen wollen, ob Ihr aktuelles KI-Setup die wesentlichen Pflichten abdeckt — Erstgespräch buchen, 30 Minuten, kostenfrei.

Stand: 2026-05-26 · AthenaRun GmbH, Frankfurt am Main