KI-Strategie im Verwaltungsrat: die entscheidenden Fragen

Künstliche Intelligenz ist kein IT-Thema, das sich delegieren lässt — sie gehört zur Oberleitung der Organisation und damit auf die Agenda des Verwaltungsrats. Das Gesetz verlangt das nicht implizit, sondern ausdrücklich: Die Oberleitung und die Oberaufsicht über die Geschäftsführung sind unübertragbare Aufgaben des Verwaltungsrats (Art. 716a OR). Ein Verwaltungsrat muss KI dafür nicht technisch verstehen. Er muss die richtigen Fragen stellen — zu Strategie, Risiko, Kompetenz und Aufsicht — und darf sich mit den Antworten der Geschäftsleitung nicht zufriedengeben, bevor sie belastbar sind.

Das Wichtigste in Kürze

• KI ist Chefsache, nicht IT-Sache. Wo KI die Wertschöpfung, das Risikoprofil oder die Rechtskonformität berührt, fällt sie unter die Oberleitung — die der Verwaltungsrat nach Art. 716a OR nicht abgeben kann.
• Fragen schlagen Fachwissen. Der Verwaltungsrat muss nicht die Modelle verstehen, sondern die Geschäftsleitung mit den richtigen Fragen führen und ihre Antworten prüfen.
• Die Governance-Lücke ist belegt. Nur 17 % der Schweizer Verwaltungsräte lassen alle KI-Outputs menschlich prüfen, drei von vier erhalten kaum regelmässiges Reporting (swissVR Monitor II/2024).
• Für NPOs gilt es analog — und dringlicher. Stiftungsräte und Vereinsvorstände tragen dieselbe Sorgfalts- und Aufsichtspflicht, meist im Milizsystem und mit fremdem Geld.

Warum KI Chefsache ist

Der Verwaltungsrat einer Aktiengesellschaft hat eine Handvoll Aufgaben, die er weder delegieren noch sich entziehen kann. Zuoberst steht die «Oberleitung der Gesellschaft und die Erteilung der nötigen Weisungen», dazu die «Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze» (Art. 716a Abs. 1 OR). Sobald KI die strategische Richtung, das Risikoprofil oder die Rechtskonformität einer Organisation berührt — und das tut sie zunehmend — fällt sie genau in diesen unentziehbaren Kernbereich. Ein Gremium, das KI der IT oder einzelnen Enthusiasten überlässt, verletzt seine Führungspflicht.

Für NPOs gilt die gleiche Logik über eine andere Rechtsgrundlage. Der Stiftungsrat trägt nach ständiger Praxis die Oberleitung der Stiftung und unterliegt einer gesetzlichen Sorgfalts-, Treue- und Aufsichtspflicht; der Vereinsvorstand besorgt die Geschäfte und vertritt den Verein (Art. 69 ZGB). Die Delegation einer Aufgabe entbindet ein Aufsichtsorgan nie von der Pflicht zu sorgfältiger Auswahl, Instruktion und Überwachung — das gilt für einen ausgelagerten KI-Dienst so gut wie für jede andere Geschäftsführung.

Dass hier eine reale Lücke klafft, zeigen die Zahlen. Der swissVR Monitor II/2024 (Deloitte, HSLU, n=391) hält fest: 70 % der Schweizer Verwaltungsräte haben sich mit generativer KI befasst, doch nur 17 % lassen sämtliche KI-Outputs menschlich prüfen, und rund drei von vier erhalten kaum oder kein regelmässiges Reporting zum KI-Einsatz. Das grösste wahrgenommene Risiko sind fehlerhafte KI-Resultate (60 %). Die Aufmerksamkeit ist also da — die Aufsicht noch nicht.

Die sieben Fragen

Ein Verwaltungsrat oder Stiftungsrat braucht keinen Fragenkatalog aus dem Lehrbuch, sondern sieben Fragen, die er der Geschäftsleitung stellt und deren Antworten er ernsthaft prüft. Sie ordnen sich entlang der vier Pflichten: Strategie, Risiko, Kompetenz, Aufsicht.

1. Wo schafft KI bei uns konkret Wert — und wo liegt die Grenze? Diese Frage zwingt die Geschäftsleitung, KI an der Wertschöpfung festzumachen statt an der Technologie. Eine gute Antwort nennt zwei bis drei konkrete Anwendungsfälle mit erwartetem Nutzen und benennt ebenso klar, wo KI für die Organisation ungeeignet oder zu riskant ist. Vage Begeisterung ohne Grenzlinie ist ein Warnsignal.

2. Welche wenigen Prioritäten verfolgen wir zuerst — statt überall gleichzeitig? Der grösste Fehler ist Aktionismus auf breiter Front. Eine belastbare Antwort zeigt eine bewusste Priorisierung: wenige Vorhaben mit klarem Bezug zu den strategischen Zielen, nicht ein Dutzend paralleler Pilotprojekte ohne Fokus.

3. Welche KI-Systeme nutzen wir bereits — auch ungefragt? In fast jeder Organisation läuft «Schatten-KI»: Mitarbeitende nutzen frei verfügbare Werkzeuge, ohne dass die Führung davon weiss. Eine gute Antwort stützt sich auf ein echtes Inventar aller KI-Systeme inklusive der KI-Funktionen in eingekaufter Software — nicht auf eine Vermutung. Fehlt das Inventar, fehlt die Kontrolle.

4. Wer haftet für KI-Outputs, und wer prüft sie? Ein KI-System entlastet nie von der Verantwortung; diese bleibt bei der Organisation und ihren Organen. Eine tragfähige Antwort benennt klare Zuständigkeiten, einen Prüfmechanismus für kritische Outputs und dokumentierte Leitplanken für den Datenschutz nach revidiertem DSG. Dass laut swissVR nur 17 % der Gremien alle Outputs prüfen lassen, zeigt, wie oft diese Frage offenbleibt.

5. Haben Geschäftsleitung und Mitarbeitende die nötige KI-Kompetenz? KI-Kompetenz ist keine Kür, sondern seit Februar 2025 eine Rechtspflicht: Art. 4 des EU AI Act verlangt ein ausreichendes KI-Verständnis bei allen, die KI-Systeme betreiben — mit Wirkung auch für Schweizer Organisationen mit EU-Bezug (siehe EU AI Act für Schweizer NPOs). Eine gute Antwort belegt gezielte, dokumentierte Schulung — nicht die Annahme, «das lernen die schon nebenbei».

6. Wie wird dem Gremium über KI berichtet — und an welchen Kennzahlen? Ohne Reporting keine Oberaufsicht. Eine belastbare Antwort definiert wenige aussagekräftige Kennzahlen — eingesetzte Systeme, Vorfälle, geprüfte Outputs, Kompetenzstand — und einen festen Rhythmus, in dem sie das Gremium erreichen. Dass drei von vier Verwaltungsräten kein regelmässiges KI-Reporting erhalten, ist die grösste strukturelle Schwachstelle überhaupt.

7. Welche Leitplanken haben wir gesetzt — und halten sie einer Prüfung stand? Strategie ohne Leitplanken ist Risiko. Eine gute Antwort verweist auf eine verbindliche KI-Richtlinie, die Datenschutz, zulässige Einsatzfelder und rote Linien regelt und regelmässig überprüft wird — nicht auf ein einmal verfasstes Papier in der Schublade.

Speziell für NPOs: kleiner ist nicht harmloser

In Non-Profit-Organisationen sind diese Fragen nicht kleiner, sondern dringlicher. Stiftungsräte und Vereinsvorstände arbeiten meist im Milizsystem — mit weniger Zeit, seltenerem technischem Vorwissen und dennoch voller rechtlicher Verantwortung. Sie stehen zudem unter besonderer Beobachtung: Stiftungen unterliegen der staatlichen Stiftungsaufsicht, und der Umgang mit Spender- und Fördergeldern verträgt keine unkontrollierten Experimente. Kommt hinzu, dass NPOs oft mit besonders sensiblen Personendaten arbeiten — von Klientinnen, Begünstigten oder Mitgliedern. Ein unbedachter KI-Einsatz gefährdet hier nicht nur die Effizienz, sondern das Vertrauen, das die Existenzgrundlage der Organisation ist. Genau deshalb gehören die sieben Fragen auch in jede Vorstands- und Stiftungsratssitzung.

Vom Fragenkatalog zur KI-Strategie

Die sieben Fragen decken die Governance-Lücke auf — sie schliessen sie noch nicht. Der Schritt von guten Fragen zu belastbaren Antworten führt über ein strukturiertes Vorgehen: eine ehrliche Standortbestimmung, priorisierte Anwendungsfälle und von Beginn an eingebaute Leitplanken. Genau dafür haben wir den Weg zu wirksamer KI entwickelt — drei Phasen, neun Schritte, mit Entscheidungspunkten, an denen das Gremium mit voller Kostenkontrolle über das Weitergehen entscheidet.

Oft braucht ein Verwaltungsrat für die richtigen Fragen zunächst eine unabhängige Aussenperspektive. Unser Sparring für C-Level und Verwaltungsrat fordert Annahmen heraus, ordnet Risiken ein und macht Entscheide belastbar — ohne eigene Verkaufsinteressen an einer bestimmten Technologie.

Wenn Sie die sieben Fragen für Ihre Organisation schärfen möchten, vereinbaren Sie ein kostenloses Erstgespräch. In 45 Minuten klären wir, wo Ihr Gremium heute steht und was der sinnvollste nächste Schritt ist.

Dieser Beitrag bietet eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Harry Witzthum

Gründer von Rautaki · Doktor der Philosophie · NPO-Manager VMI