KI-Kompetenz im Verwaltungsrat: sieben Fragen, die zählen

Künstliche Intelligenz ist kein IT-Thema, das sich delegieren lässt — sie gehört zur Oberleitung der Organisation und damit auf die Agenda des Verwaltungsrats. Das Gesetz verlangt das nicht implizit, sondern ausdrücklich: Die Oberleitung und die Oberaufsicht über die Geschäftsführung sind unübertragbare Aufgaben des Verwaltungsrats (Art. 716a OR). Ein Verwaltungsrat muss KI dafür nicht technisch verstehen. Er muss die richtigen Fragen stellen — zu Strategie, Risiko, Kompetenz und Aufsicht — und darf sich mit den Antworten der Geschäftsleitung nicht zufriedengeben, bevor sie belastbar sind.

Das Wichtigste in Kürze

• KI ist Chefsache, nicht IT-Sache. Wo KI die Wertschöpfung, das Risikoprofil oder die Rechtskonformität berührt, fällt sie unter die Oberleitung — die der Verwaltungsrat nach Art. 716a OR nicht abgeben kann.
• Fragen schlagen Fachwissen. Der Verwaltungsrat muss nicht die Modelle verstehen, sondern die Geschäftsleitung mit den richtigen Fragen führen und ihre Antworten prüfen.
• Die Governance-Lücke ist belegt. Nur 17 % der Schweizer Verwaltungsräte lassen alle KI-Outputs menschlich prüfen, drei von vier erhalten kaum regelmässiges Reporting (swissVR Monitor II/2024).
• Für NPOs gilt es analog — und dringlicher. Stiftungsräte und Vereinsvorstände tragen dieselbe Sorgfalts- und Aufsichtspflicht, meist im Milizsystem und mit fremdem Geld.

Warum KI Chefsache ist

Der Verwaltungsrat einer Aktiengesellschaft hat eine Handvoll Aufgaben, die er weder delegieren noch sich entziehen kann. Zuoberst steht die «Oberleitung der Gesellschaft und die Erteilung der nötigen Weisungen», dazu die «Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze» (Art. 716a Abs. 1 OR). Sobald KI die strategische Richtung, das Risikoprofil oder die Rechtskonformität einer Organisation berührt — und das tut sie zunehmend — fällt sie genau in diesen unentziehbaren Kernbereich. Ein Gremium, das KI der IT oder einzelnen Enthusiasten überlässt, verletzt seine Führungspflicht.

Für NPOs gilt die gleiche Logik über eine andere Rechtsgrundlage. Der Stiftungsrat trägt nach ständiger Praxis die Oberleitung der Stiftung und unterliegt einer gesetzlichen Sorgfalts-, Treue- und Aufsichtspflicht; der Vereinsvorstand besorgt die Geschäfte und vertritt den Verein (Art. 69 ZGB). Die Delegation einer Aufgabe entbindet ein Aufsichtsorgan nie von der Pflicht zu sorgfältiger Auswahl, Instruktion und Überwachung — das gilt für einen ausgelagerten KI-Dienst so gut wie für jede andere Geschäftsführung.

Dass hier eine reale Lücke klafft, zeigen die Zahlen. Der swissVR Monitor II/2024 (Deloitte, HSLU, n=391) hält fest: 70 % der Schweizer Verwaltungsräte haben sich mit generativer KI befasst, doch nur 17 % lassen sämtliche KI-Outputs menschlich prüfen, und rund drei von vier erhalten kaum oder kein regelmässiges Reporting zum KI-Einsatz. Das grösste wahrgenommene Risiko sind fehlerhafte KI-Resultate (60 %). Die Aufmerksamkeit ist also da — die Aufsicht noch nicht.

Welche KI-Kompetenz braucht der Verwaltungsrat selbst?

Der Verwaltungsrat muss KI nicht bauen, betreiben oder technisch bewerten können. Seine KI-Kompetenz ist Urteilskompetenz: erkennen, wo KI die Strategie, das Risikoprofil oder die Rechtskonformität berührt, belastbare von vagen Antworten der Geschäftsleitung unterscheiden und wissen, wann eine unabhängige Einschätzung nötig ist. Es ist dieselbe Rolle, die das Gremium bei Finanzen oder Recht wahrnimmt — auch dort prüft es, ohne selbst Revisionsstelle oder Anwaltskanzlei zu sein.

Konkret heisst das drei Dinge. Erstens ein Grundverständnis dessen, was heutige KI-Systeme leisten und wo sie typischerweise versagen — etwa bei plausibel klingenden, aber falschen Resultaten, dem Risiko, das Schweizer Verwaltungsräte laut swissVR Monitor selbst am höchsten gewichten. Zweitens die Fähigkeit, KI-Vorhaben an Wertschöpfung, Risiko und Kosten zu messen statt an technischer Begeisterung. Drittens die Bereitschaft, die eigene Kompetenz als Gremium zu organisieren: KI regelmässig traktandieren, sich gezielt weiterbilden und bei der Zusammensetzung darauf achten, dass mindestens ein Mitglied KI-Fragen fundiert einordnen kann. Für Stiftungsräte und Vereinsvorstände gilt das ebenso.

Die folgenden sieben Fragen machen diese Urteilskompetenz praktisch: Sie übersetzen die Aufsichtspflicht in Fragen, die ein Gremium ohne technisches Fachwissen stellen und deren Antworten es prüfen kann.

Die sieben Fragen

Ein Verwaltungsrat oder Stiftungsrat braucht keinen Fragenkatalog aus dem Lehrbuch, sondern sieben Fragen, die er der Geschäftsleitung stellt und deren Antworten er ernsthaft prüft. Sie ordnen sich entlang der vier Pflichten: Strategie, Risiko, Kompetenz, Aufsicht.

1. Wo schafft KI bei uns konkret Wert — und wo liegt die Grenze? Diese Frage zwingt die Geschäftsleitung, KI an der Wertschöpfung festzumachen statt an der Technologie. Eine gute Antwort nennt zwei bis drei konkrete Anwendungsfälle mit erwartetem Nutzen und benennt ebenso klar, wo KI für die Organisation ungeeignet oder zu riskant ist. Vage Begeisterung ohne Grenzlinie ist ein Warnsignal.

2. Welche wenigen Prioritäten verfolgen wir zuerst — statt überall gleichzeitig? Der grösste Fehler ist Aktionismus auf breiter Front. Eine belastbare Antwort zeigt eine bewusste Priorisierung: wenige Vorhaben mit klarem Bezug zu den strategischen Zielen, nicht ein Dutzend paralleler Pilotprojekte ohne Fokus.

3. Welche KI-Systeme nutzen wir bereits — auch ungefragt? In fast jeder Organisation läuft «Schatten-KI»: Mitarbeitende nutzen frei verfügbare Werkzeuge, ohne dass die Führung davon weiss. Eine gute Antwort stützt sich auf ein echtes Inventar aller KI-Systeme inklusive der KI-Funktionen in eingekaufter Software — nicht auf eine Vermutung. Fehlt das Inventar, fehlt die Kontrolle.

4. Wer haftet für KI-Outputs, und wer prüft sie? Ein KI-System entlastet nie von der Verantwortung; diese bleibt bei der Organisation und ihren Organen. Eine tragfähige Antwort benennt klare Zuständigkeiten, einen Prüfmechanismus für kritische Outputs und dokumentierte Leitplanken für den Datenschutz nach revidiertem DSG. Dass laut swissVR nur 17 % der Gremien alle Outputs prüfen lassen, zeigt, wie oft diese Frage offenbleibt.

5. Haben Geschäftsleitung und Mitarbeitende die nötige KI-Kompetenz? KI-Kompetenz ist keine Kür, sondern seit Februar 2025 eine Rechtspflicht: Art. 4 des EU AI Act verlangt, dass Anbieter und Betreiber Massnahmen zur Förderung der KI-Kompetenz aller ergreifen, die KI-Systeme betreiben — mit Wirkung auch für Schweizer Organisationen mit EU-Bezug (siehe EU AI Act für Schweizer NPOs). Seit dem 27. Juli 2026 ist das eine Bemühens- und keine Erfolgspflicht: Geschuldet sind angemessene Massnahmen, nicht ein garantiertes Kompetenzniveau pro Person. Eine gute Antwort belegt trotzdem gezielte, dokumentierte Schulung — nicht die Annahme, «das lernen die schon nebenbei».

6. Wie wird dem Gremium über KI berichtet — und an welchen Kennzahlen? Ohne Reporting keine Oberaufsicht. Eine belastbare Antwort definiert wenige aussagekräftige Kennzahlen — eingesetzte Systeme, Vorfälle, geprüfte Outputs, Kompetenzstand — und einen festen Rhythmus, in dem sie das Gremium erreichen. Dass drei von vier Verwaltungsräten kein regelmässiges KI-Reporting erhalten, ist die grösste strukturelle Schwachstelle überhaupt.

7. Welche Leitplanken haben wir gesetzt — und halten sie einer Prüfung stand? Strategie ohne Leitplanken ist Risiko. Eine gute Antwort verweist auf eine verbindliche KI-Richtlinie, die Datenschutz, zulässige Einsatzfelder und rote Linien regelt und regelmässig überprüft wird — nicht auf ein einmal verfasstes Papier in der Schublade.

Speziell für NPOs: kleiner ist nicht harmloser

In Non-Profit-Organisationen sind diese Fragen nicht kleiner, sondern dringlicher. Stiftungsräte und Vereinsvorstände arbeiten meist im Milizsystem — mit weniger Zeit, seltenerem technischem Vorwissen und dennoch voller rechtlicher Verantwortung. Sie stehen zudem unter besonderer Beobachtung: Stiftungen unterliegen der staatlichen Stiftungsaufsicht, und der Umgang mit Spender- und Fördergeldern verträgt keine unkontrollierten Experimente. Kommt hinzu, dass NPOs oft mit besonders sensiblen Personendaten arbeiten — von Klientinnen, Begünstigten oder Mitgliedern. Ein unbedachter KI-Einsatz gefährdet hier nicht nur die Effizienz, sondern das Vertrauen, das die Existenzgrundlage der Organisation ist. Genau deshalb gehören die sieben Fragen auch in jede Vorstands- und Stiftungsratssitzung.

Vom Fragenkatalog zur KI-Strategie

Die sieben Fragen decken die Governance-Lücke auf — sie schliessen sie noch nicht. Der Schritt von guten Fragen zu belastbaren Antworten führt über ein strukturiertes Vorgehen: eine ehrliche Standortbestimmung, priorisierte Anwendungsfälle und von Beginn an eingebaute Leitplanken. Genau dafür haben wir den Weg zu wirksamer KI entwickelt — drei Phasen, neun Schritte, mit Entscheidungspunkten, an denen das Gremium mit voller Kostenkontrolle über das Weitergehen entscheidet.

Oft braucht ein Verwaltungsrat für die richtigen Fragen zunächst eine unabhängige Aussenperspektive. Unser Sparring für C-Level und Verwaltungsrat fordert Annahmen heraus, ordnet Risiken ein und macht Entscheide belastbar — ohne eigene Verkaufsinteressen an einer bestimmten Technologie.

Wenn Sie die sieben Fragen für Ihre Organisation schärfen möchten, vereinbaren Sie ein kostenloses Erstgespräch. In 45 Minuten klären wir, wo Ihr Gremium heute steht und was der sinnvollste nächste Schritt ist.

Dieser Beitrag bietet eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Harry Witzthum

Gründer von Rautaki · Doktor der Philosophie · NPO-Manager VMI