Wer haftet, wenn eine KI-gestützte Strategie schiefgeht?

Wenn eine KI-gestützte Strategieempfehlung sich als falsch erweist, liegt die Verantwortung bei namentlich benannten Menschen in der Entscheidungskette – nicht beim Werkzeug. Die Frage ist, welche Menschen das sind, und die ehrliche Antwort lautet: drei Rollen, die häufig vermischt werden oder von derselben Person innegehalten werden – genau dort konzentriert sich das Risiko.

Dieser Artikel behandelt die drei Rollen und warum ihre Vermischung Risiken erzeugt; das schriftliche Governance-Dokument, das Verantwortlichkeit vor einer Entscheidung zuweist; die Aufsichtspflichten des EU AI Act; und das Mindest-Fünf-Felder-Freigabeprotokoll, das einen Entscheidungsnachweis rekonstruierbar macht, wenn er später untersucht werden muss.

• Die drei Verantwortlichkeitsrollen: Briefverfasser oder Prompt-Verantwortlicher, Prüfer oder Freigabeberechtigter, Entscheidungsträger.
• Das schriftliche Governance-Dokument: Was es enthalten muss und warum ISO/IEC 42001 Nachverfolgbarkeit als Designanforderung behandelt.
• EU AI Act Artikel 14: Die Aufsichtspflichten für Hochrisiko-KI-Systeme.
• UK Corporate Governance Code Provision 29: Vorstandserklärungen zu wesentlichen internen Kontrollen für Geschäftsjahre, die am oder nach dem 1. Januar 2026 beginnen.

Eine mit KI-Unterstützung erstellte Strategieempfehlung hat keinen einzelnen menschlichen Verfasser. Eine Person formuliert die Frage, eine andere liefert den Datenraum, eine dritte gestaltet den Prompt, eine vierte prüft den Output und eine fünfte bringt die Entscheidung zum Vorstand. Wenn die Empfehlung sich später als falsch erweist, kann jede von ihnen auf die andere verweisen. Dies ist das klassische Viele-Hände-Problem, das durch KI noch verschärft wird, weil der Entwurfsschritt, der früher eine sichtbare Spur von Arbeitspapieren hinterließ, nun in einem Werkzeug stattfindet, das standardmäßig keine hinterlässt.

Die forensische Einschätzung ist eindeutig. Die Forensik- und Integritätsteams von EY stellen fest, dass bei vielen KI-Implementierungen die Dokumentation begrenzt ist und die Entscheidungspfade nicht so ausgelegt sind, dass sie im Nachhinein rekonstruiert werden können, was es schwierig macht, KI-gesteuerte Ergebnisse zu erklären, zu prüfen oder zu untersuchen, wenn sie angefochten werden.^[1]

Der Stanford HAI AI Index berichtet, dass die KI-Vorfälledatenbank 2025 362 dokumentierte KI-Vorfälle verzeichnete, gegenüber 233 im Jahr 2024.^[2] Der Anteil der Unternehmen ohne verantwortungsvolle KI-Richtlinien sank von 24 % auf 11 %. Die verbleibende Lücke liegt zwischen Richtlinie und Praxis.

Was verloren geht, wenn der Nachweis nicht schriftlich vorliegt

• Die Fragestellung: Niemand kann zeigen, welche Version des Briefings oder Prompts die Analyse erzeugt hat oder wer diese Rahmung genehmigt hat.
• Die Eingaben: Dokumente und Daten, auf die die KI zurückgegriffen hat, sind über Uploads, Chats und persönliche Ordner verstreut.
• Die Prüfung: Was der Prüfer angefochten, korrigiert oder akzeptiert hat, ist häufig nicht nachvollziehbar.
• Die Entscheidung: Der Moment der Wahl und die Person, die sie getroffen hat, sind in einem Meeting oder E-Mail-Thread vergraben.
• Der Werkzeugzustand: Die verwendete Plattformversion, das Modell und die Einstellungen werden nicht erfasst.

Keines dieser Probleme wird dadurch gelöst, dass man die Beteiligten bittet, sorgfältiger zu sein. Gelöst wird es durch ein schriftliches Artefakt, das jedes Element vor der Entscheidung einer namentlich benannten Person zuweist.

Die Verantwortung für eine KI-gestützte Strategieempfehlung verteilt sich auf drei klar abgegrenzte Rollen. Ihre Vermischung – etwa wenn dieselbe Person das Briefing verfasst, den Output prüft und die Entscheidung trifft – konzentriert das Risiko und macht eine unabhängige Prüfung strukturell unmöglich.

• Der Briefverfasser oder Prompt-Verantwortliche verantwortet die gestellte Frage und die gelieferten Eingaben. Die Verantwortung umfasst die Sicherstellung, dass die Rahmung vollständig, unvoreingenommen ist und die Entscheidung widerspiegelt, die die Organisation tatsächlich treffen muss.
• Der Prüfer oder Freigabeberechtigte verantwortet die kritische Hinterfragung und Validierung der Analyse. Die Verantwortung umfasst die Befragung des Outputs, die Prüfung von Quellen, die Identifizierung von Lücken und die Eskalation, wenn die Analyse nicht belegt werden kann.
• Der Entscheidungsträger verantwortet die Wahl und ihre Konsequenzen. Die Verantwortung umfasst die Abwägung der Empfehlung gegen Kontext, den die Analyse möglicherweise nicht erfasst hat, und die Übernahme der Verantwortung für das Ergebnis.

Die Trennung der Rollen erfordert keine zusätzliche Personalkapazität. Sie verlangt, dass das Governance-Dokument festhält, wer jede Rolle für jede bedeutende Entscheidung innehat. Dies spiegelt das Modell der geteilten Verantwortung in KI-Governance-Frameworks wider: Entwickler, einsetzende Organisation, Nutzer. Jede Ebene trägt Verantwortung für das, was sie beiträgt; keine kann sich durch den Verweis auf eine andere von ihrer eigenen entbinden.

Fehler entstehen, wenn eine Person zwei oder drei dieser Rollen innehat. Die häufigste Vermischung ist die des Briefverfassers, der auch die Prüfung durchführt – es gibt keine unabhängige Prüfung und niemanden mit einer anderen Perspektive, der untersucht, ob die Frage so gestellt wurde, dass sie nur eine einzige Antwort erzeugen konnte.

Ein belastbares KI-Governance-Dokument für Strategieentscheidungen hat zwei Teile: eine dauerhaft gültige Richtlinie, die die drei Rollen und den Eskalationspfad beschreibt, und ein entscheidungsspezifisches Freigabeprotokoll, das für jede bedeutende Entscheidung festhält, wer welche Rolle innehatte und was jeder getan hat.

ISO/IEC 42001 verlangt definierte Rollen und Verantwortlichkeiten für KI-Systeme, aufrechtzuerhaltende Dokumentation der KI-Lebenszyklusentscheidungen sowie Entscheidungsnachverfolgbarkeit.^[3] Was die dauerhafte Richtlinie mindestens abdecken muss:

1. Namentlich benannte Personen pro Entscheidungsebene – konkrete Personen, keine Funktionsbezeichnungen, damit die Verantwortung persönlich ist und nicht auf eine Rolle abgewälzt werden kann, die inzwischen den Inhaber gewechselt hat.
2. Ein Eskalationspfad – was geschieht, wenn der Prüfer nicht verfügbar ist oder wenn Briefverfasser und Prüfer dieselbe Person sind.
3. Die angehängte Analyseversion – das Datum, die verwendete Plattform und Version sowie das Briefing oder der Prompt in der eingereichten Form.
4. Datum und Methode der Freigabe – Besprechungsprotokoll, E-Signatur oder schriftliche Genehmigung.

Warum die Angabe der Version wichtig ist

Die Angabe der Version ist das Feld, das die meisten Teams übergehen und das die meisten Untersuchungen benötigen. Dasselbe Briefing, das auf einer anderen Plattformversion, einem anderen Modell oder einer anderen Konfiguration ausgeführt wird, kann zu einer wesentlich anderen Empfehlung führen. Ohne die dokumentierte Version kann niemand rekonstruieren, auf welcher Grundlage die Entscheidung tatsächlich getroffen wurde. Genau dies deckt die Nachverfolgbarkeitsanforderung von ISO/IEC 42001 ab.

Wie der Eskalationspfad in der Praxis aussieht

Der Eskalationspfad beantwortet drei Fragen im Voraus: (1) Wenn der bestimmte Prüfer die Prüfung nicht vor dem Termin abschließen kann, wer ist der Stellvertreter? (2) Wenn die Analyse eine Option unterstützt, die der Briefverfasser eindeutig bevorzugte, muss die Prüfung von jemandem abgeschlossen werden, der das Briefing nicht mitgestaltet hat. (3) Wenn die Entscheidungsebene steigt – von einer Teamempfehlung zu einer Vorstandsvorlage – muss die Freigabe mitsteigen.

Die nützlichste Unterscheidung in der KI-Governance ist die zwischen KI-unterstützt – wo ein Mensch auf Grundlage der Analyse entscheidet – und KI-entschieden – wo der Output des Systems ohne wesentliche menschliche Prüfung umgesetzt wird. Das zweite Szenario ist das, in dem die Verantwortung auf das Werkzeug kollabiert, das nach geltendem Recht keine Rechtspersönlichkeit besitzt und nicht haftbar gemacht werden kann.

Die Aufsichtspflichten des EU AI Act sind in Artikel 14 verankert.^[4] Für Hochrisiko-KI-Systeme gemäß Anhang III verlangt Artikel 14, dass natürliche Personen, die das System beaufsichtigen:

• Die Kapazitäten und Grenzen des Systems ordnungsgemäß verstehen.
• Sich des Automatisierungsbias bewusst bleiben – der Tendenz, sich zu stark auf den Output des Systems zu verlassen.
• Den Output des Systems korrekt interpretieren.
• In jeder konkreten Situation in der Lage sein, das System nicht zu nutzen oder seinen Output außer Kraft zu setzen oder umzukehren.

Für Hochrisikosysteme gemäß Anhang III gelten diese Pflichten ab dem 2. Dezember 2027. Unternehmen, die jetzt Governance-Strukturen aufbauen – während die Pflichten noch erwartet und nicht durchgesetzt werden –, haben den Vorteil, die Dokumentation richtig aufzusetzen, bevor die Kontrollen zunehmen.

Die Klassifizierung als KI-unterstützt oder KI-entschieden gehört in das Freigabeprotokoll. Sie zwingt die Organisation, die Grenze im Moment der Entscheidung zu konfrontieren, wenn sie noch korrigiert werden kann, und nicht in einer späteren Untersuchung, wenn die Unterscheidung wichtig ist und die Belege fehlen.

Der UK Corporate Governance Code 2024 gilt für erstklassig börsennotierte Unternehmen für Geschäftsjahre, die am oder nach dem 1. Januar 2025 beginnen, auf der Grundlage des Comply-or-Explain-Prinzips.^[5]

Provision 29, der für Geschäftsjahre gilt, die am oder nach dem 1. Januar 2026 beginnen, verpflichtet Vorstände, eine Erklärung zur Wirksamkeit ihrer wesentlichen internen Kontrollen abzugeben. Ein KI-gestützter Strategieprozess – bei dem Empfehlungen für den Vorstand mit KI-Unterstützung erstellt werden – ist genau die Art wesentlicher interner Kontrolle, über die ein Vorstand eine Erklärung abgeben können muss.

Was die Erklärung an Belegen impliziert

• Ein dokumentierter Prozess: Die Verantwortlichkeitsrichtlinie existiert, ist aktuell und benennt Verantwortliche.
• Entscheidungsspezifische Protokolle: Freigabeprotokolle existieren für bedeutende KI-gestützte Analysen mit angehängter Analyseversion.
• Aufsichtsbelege: Das Protokoll zeigt eine echte Prüfung, einschließlich Fälle, in denen der Prüfer etwas außer Kraft gesetzt oder eskaliert hat.
• Vorstandstransparenz: Der Vorstand oder seine Ausschüsse können beschreiben, wie er das Framework überwacht.

Der Comply-or-Explain-Mechanismus bietet ein Sicherheitsventil: Ein Unternehmen, das den Nachweis noch nicht aufgebaut hat, kann erklären, was es stattdessen tut und warum. Die Erklärung muss jedoch substanziell sein. Erklärungen, die auf „Wir vertrauen dem Team" hinauslaufen, werden Regulatoren oder Aktionäre kaum zufriedenstellen, wenn eine falsche KI-gestützte Empfehlung zu einem Governance-Vorfall wird.

Ein belastbares Freigabeprotokoll benötigt fünf Felder. Die ersten vier stellen sicher, dass der Nachweis rekonstruierbar ist; das fünfte ist die Klassifizierung, die Verantwortlichkeit im entscheidenden Moment explizit macht.

Das fünfte Feld ist das, bei dem die meisten Teams Unbehagen empfinden, weil es eine öffentliche Antwort auf eine Frage erzwingt, die die meisten lieber offen lassen. Aber es ist das Feld, das mehr als jedes andere die Verantwortlichkeit schafft, die die Governance-Struktur leisten soll.

Dieses Beispiel dient zur Illustration. Ein Unternehmensstrategie-Team erstellt mit einer KI-nativen Strategieplattform eine Empfehlung zum Eintritt in einen südostasiatischen Markt.

1. Briefing und Eingaben: Der Analyst reicht ein Briefing ein und lädt Marktstudien und interne Finanzdaten hoch. Das Freigabeprotokoll enthält den Briefing-Text, die Dokumentenliste und das Einreichungsdatum.
2. Analyseversion: Die Plattform liefert eine Empfehlung mit zitierten Quellen. Das Protokoll enthält die Analyseversion – Plattformname, Modellversion und Erstellungsdatum.
3. Prüfung: Die Konzernleiterin Corporate Development übernimmt die Rolle der Prüferin. Sie hinterfragt die Marktgrößenannahmen, verifiziert zitierte Quellen und fordert eine Neuausführung mit einem breiteren Optionenset. Sie gibt per E-Signatur frei, mit einem erfassten Datum.
4. Klassifizierung der Entscheidung: Der Chief Strategy Officer klassifiziert die Entscheidung als KI-unterstützt. Die Klassifizierung wird erfasst, bevor die Empfehlung weitergeleitet wird.
5. Vorstandsvorlage: Die Empfehlung geht mit einem Herkunftsvermerk an den Vorstand. Das Freigabeprotokoll wird mit der Vorlage archiviert.

Achtzehn Monate später entwickelt sich der Markteintritt schlechter als erwartet. Der Nachweis zeigt: wer entschieden hat, auf welcher Grundlage und mit welcher Aufsicht. Nicht dass die Empfehlung richtig war – das war sie nicht –, sondern dass die Verantwortung dafür nie in Frage stand und die Organisation untersuchen kann, was geschehen ist, ohne einen Streit darüber, wer für was verantwortlich war.

Decisity ist eine KI-native Strategieberatungsplattform, die jede Aussage mit Quellenangaben verknüpft und die Analyse bis zu ihren Eingaben rückverfolgbar hält, sodass die Angabe der Analyseversion und die Übersicht von Aussagen zu Quellen Teil des Standard-Workflows sind und keine zusätzliche Dokumentationsaufgabe darstellen.

Weiterführende Artikel:

• KI-Governance-Framework für Vorstände
• KI-Risikomanagement für Vorstände: Ein Framework für Direktoren
• KI-Modellversion Offenlegung: Was Ihr Vorstand wissen muss
• Warum KI-Strategiepräsentationen zu leicht akzeptiert werden: Die Governance-Lösung

• EY Forensic & Integrity Services: The governance and accountability gap in AI adoption
• Stanford HAI AI Index 2026: Responsible AI
• ISO/IEC 42001: AI Management Systems Standard erklärt
• EU Artificial Intelligence Act: Artikel 14, Maßnahmen zur menschlichen Aufsicht
• Financial Reporting Council: UK Corporate Governance Code 2024