Berichtspflichten aus Governance und Risikolage ableiten
Der AI Act schafft keine einheitliche Berichtspflicht, nach der jedes österreichische Unternehmen seinem Aufsichtsrat einen standardisierten KI Bericht vorlegen muss. Maßgeblich sind bei Aktiengesellschaften insbesondere die Berichts-, Überwachungs- und Verantwortlichkeitsregeln der §§ 81, 95 und 99 AktG. Bei Gesellschaften mit beschränkter Haftung mit Aufsichtsrat regelt § 28a GmbHG die Jahres-, Quartals- und Sonderberichte, während § 30j GmbHG insbesondere Überwachung, Auskunfts- und Prüfungsrechte sowie Zustimmungsvorbehalte betrifft. Ergänzend bestimmen Satzung, Gesellschaftsvertrag, Geschäftsordnung und Zustimmungskatalog den konkreten Informationsbedarf.
Die Leitung sollte zunächst festlegen, welche KI Themen strategisch oder risikoseitig wesentlich sind. Dazu können erhebliche Investitionen, neue Geschäftsmodelle, sensible Personalanwendungen, sicherheitskritische Systeme, wesentliche Anbieterabhängigkeiten und regulatorisch relevante Rollen gehören. Wesentlichkeit hängt nicht nur vom Budget ab: Ein kostengünstiges Cloud-Werkzeug kann bei breiter Nutzung, vertraulichen Daten oder direkter Wirkung auf Personen eine erhebliche Überwachungsrelevanz entfalten.
- Gesetz, Satzung, Geschäftsordnung und Zustimmungskatalog gemeinsam prüfen
- Finanzielle und nichtfinanzielle Wesentlichkeit berücksichtigen
- Berichtslandkarte für regelmäßige und anlassbezogene Themen beschließen
Ein KI Bericht muss Entscheidungen ermöglichen
Ein brauchbarer Bericht beginnt mit Geschäftszweck und erwartbarem Nutzen, nicht mit technischen Schlagworten. Er benennt die betroffenen Prozesse und Personen, Anbieter, System- oder Modellversion, Unternehmensrolle, relevante Rechtskategorie und den Grad automatisierter Wirkung. Danach folgen wesentliche Risiken, bestehende Kontrollen, Testergebnisse, Restrisiken und offene Nachweise. Ampelfarben müssen durch Kriterien, Trend und konkrete Managementempfehlung erklärt werden.
Der Aufsichtsrat braucht außerdem die Gegenposition: Welche Alternativen wurden geprüft, welche Annahmen sind unsicher und welche Folgen hätte ein Scheitern? Anbieterangaben sind als solche kenntlich zu machen; unabhängige Prüfungen und interne Tests dürfen nicht mit Marketingmaterial vermischt werden. Bei komplexen Vorhaben sind technische Details in einen Anhang auszulagern, während der Hauptbericht die entscheidungsrelevanten Zusammenhänge und Abhängigkeiten verständlich darstellt.
- Geschäftszweck, Rolle, Rechtskategorie und Personenauswirkung zusammenführen
- Kontrollen mit Nachweisen statt bloßen Statusfarben berichten
- Annahmen, Alternativen und Informationslücken sichtbar machen
Regelberichte auf ein stabiles Kennzahlenset stützen
Regelberichte sollten Portfolio und Entwicklung zeigen: Anzahl wesentlicher Anwendungen nach Freigabestatus, überfällige Risikoprüfungen, Kontrollabweichungen, Beschwerden, Vorfälle, menschliche Übersteuerungen, Anbieteränderungen und offene Abhilfemaßnahmen. Kennzahlen benötigen Vergleichswerte und Zeitreihen. Die reine Zahl erfasster Systeme beweist weder Vollständigkeit noch Wirksamkeit; Stichproben, Abgleich mit Beschaffung und Fachbereichen sowie Feststellungen der internen Revision erhöhen die Aussagekraft.
Die Frequenz richtet sich nach Risiko und Veränderung. Ein quartalsweiser Überblick kann für das Gesamtportfolio angemessen sein, während ein strategisches oder störungsanfälliges System häufiger berichtet wird. Der Bericht sollte Verantwortliche, Fälligkeiten und Entscheidungsbedarf ausweisen. Werden dieselben Maßnahmen mehrfach verschoben, muss der Aufsichtsrat erkennen können, ob Ressourcen fehlen, technische Abhängigkeiten bestehen oder das Management ein bekanntes Risiko bewusst weiterträgt.
- Portfolio, Trends und überfällige Maßnahmen gemeinsam darstellen
- Vollständigkeit durch Abgleiche und Stichproben testen
- Berichtsfrequenz je Risikoklasse und Veränderungsdynamik staffeln
Erhebliche Entwicklungen unverzüglich sonderberichten
§ 81 AktG und § 28a GmbHG verlangen bei wichtigem Anlass eine unverzügliche Berichterstattung an den Vorsitzenden des Aufsichtsrats und bei für Rentabilität oder Liquidität erheblichen Umständen einen unverzüglichen Bericht an den Aufsichtsrat. Darüber hinaus sollte das interne Berichtssystem risikoadäquate Sonderberichtsauslöser festlegen. In Betracht kommen insbesondere schwere Vorfälle, Verdacht auf verbotene Praktiken, erhebliche Datenschutz- oder Sicherheitsereignisse, systematische Fehlentscheidungen, bedeutsame Modellwechsel, Verlust zentraler Kontrollmöglichkeiten oder Überschreitung genehmigter Budgets. Interne Delegation an IT, Compliance oder einen KI Ausschuss darf die gesetzlichen Informationsrechte des Aufsichtsrats nicht verkürzen.
Der Sonderbericht sollte bestätigte Tatsachen, vorläufige Unsicherheiten, unmittelbare Eindämmung, betroffene Personen und geplante Entscheidungen trennen. Zu frühe Ursachenzuschreibungen sind ebenso problematisch wie beschönigende Verzögerungen. Ist die Informationslage noch unvollständig, erhält der Aufsichtsrat einen Erstbericht mit klarer Aktualisierungsfrist. So kann er rechtzeitig zusätzliche Auskünfte, externe Expertise oder eine außerordentliche Sitzung verlangen, ohne auf einen fertigen Abschlussbericht warten zu müssen.
- Sonderberichtsauslöser und Adressaten vorab festlegen
- Tatsachen, Annahmen und offene Ermittlungen sauber trennen
- Erstbericht mit verbindlichem Folgetermin zulassen
Zustimmung und Überwachung nicht verwechseln
Ein Geschäft kann aufgrund von Gesetz, Satzung oder internem Katalog zustimmungspflichtig sein. Der Vorstand muss dem Aufsichtsrat dafür eine belastbare Entscheidungsgrundlage geben und darf die Zustimmung nicht durch Aufteilung eines Gesamtprojekts umgehen. Die Zustimmung überträgt die Leitungsentscheidung jedoch nicht auf das Kontrollorgan. Geschäftsführung oder Vorstand bleiben für Vorbereitung, Durchführung und laufende Steuerung innerhalb ihrer gesetzlichen Aufgaben verantwortlich.
Umgekehrt darf sich der Aufsichtsrat nicht auf den Erhalt formaler Unterlagen beschränken. Er muss Berichte kritisch würdigen, erkennbare Widersprüche ansprechen und erforderlichenfalls Ergänzungen oder unabhängige Beratung verlangen. § 99 AktG verweist für Aufsichtsratsmitglieder auf die Sorgfalts- und Verantwortlichkeitsregeln des § 84 AktG. Umfang der Nachfrage hängt von Bedeutung, Fachwissen im Gremium, Warnsignalen und verbleibender Unsicherheit ab.
- Zustimmungsvorbehalte früh im Projektablauf verankern
- Leitungs- und Kontrollverantwortung in Vorlagen getrennt ausweisen
- Nachfragen und ergänzende Informationen nachvollziehbar protokollieren
Berichtsprozess, Kompetenz und Dokumentation sichern
Ein jährlicher Berichtsplan sollte Themen, Termine, Datenverantwortliche und Vorlauf festlegen. Gesellschaftssekretariat oder eine vergleichbare Stelle kann Vorlagen, Konsistenz und Beschlussnachverfolgung koordinieren. Für sensible Vorfälle sind sichere Übermittlungswege und abgestufte Zugriffsrechte erforderlich. Protokolle sollen erkennen lassen, welche Informationen vorlagen, welche Fragen gestellt, welche Zusatzunterlagen verlangt und welche Maßnahmen mit welchem Termin vereinbart wurden.
Der Aufsichtsrat braucht genügend Kompetenz, um die strategischen, rechtlichen und technischen Auswirkungen zu verstehen, muss aber nicht jedes Modell selbst prüfen. Schulungen, Fachvorträge und punktuelle externe Expertise können die Beurteilung unterstützen. Interessenkonflikte externer Berater und Abhängigkeit von demselben Anbieter sind offenzulegen. Gute Dokumentation und Kompetenzmaßnahmen verbessern die Kontrolle, begründen jedoch keine automatische Haftungsfreiheit für Leitungs- oder Aufsichtsratsmitglieder.
- Jahresplan und sichere Sonderberichtswege etablieren
- Beschlüsse und Maßnahmen bis zur Erledigung nachhalten
- Gremienkompetenz risikobezogen und unabhängig ergänzen
Entscheidungsbox für den nächsten Aufsichtsratsbericht
- Welche KI Vorhaben sind strategisch, finanziell oder grundrechtlich wesentlich?
- Welche Rechtskategorien, Rollen und Fristen wurden geprüft und wo bestehen Lücken?
- Welche Kontrollabweichungen, Vorfälle und überfälligen Maßnahmen brauchen eine Entscheidung?
- Welche Geschäfte unterliegen einem gesetzlichen oder internen Zustimmungsvorbehalt?
- Welche Sonderereignisse müssen außerhalb des Regelzyklus unverzüglich berichtet werden?
Häufige Fragen
Braucht jedes Unternehmen einen eigenen KI Bericht an den Aufsichtsrat?
Der AI Act schreibt keinen rechtsformübergreifend einheitlichen Bericht vor. Ob und wie berichtet wird, folgt insbesondere aus Gesellschaftsrecht, Satzung, Geschäftsordnung, Zustimmungsvorbehalten und Risikolage. Bei wesentlichen KI Vorhaben sollte die Information in bestehende Strategie-, Risiko- und Compliance-Berichte integriert oder gesondert aufbereitet werden.
Darf der Aufsichtsrat Rohdaten und technische Unterlagen verlangen?
Der konkrete Informationsumfang richtet sich nach seinen gesetzlichen Rechten und der Erforderlichkeit für die Überwachung. Häufig ist eine verdichtete Vorlage mit zugänglichen Nachweisen sinnvoll. Bei Widersprüchen, erheblichen Risiken oder unklaren Annahmen können vertiefende Unterlagen und unabhängige Auskünfte notwendig werden.
Entlastet eine Zustimmung des Aufsichtsrats den Vorstand?
Nein. Ein erforderlicher Zustimmungsbeschluss und eine sorgfältige Leitungsentscheidung erfüllen unterschiedliche Funktionen. Der Vorstand muss das Vorhaben angemessen vorbereiten, vollständig berichten und verantwortlich umsetzen. Auch der Aufsichtsrat muss die Informationen kritisch prüfen. Eine pauschale Haftungsfreistellung folgt aus der Zustimmung nicht.
Primärquellen
Rechtsstand: 16. September 2026. Die konkrete Berichts- und Zustimmungslage hängt von Rechtsform, Satzung oder Gesellschaftsvertrag, Geschäftsordnung und Einzelfall ab. Vor Veröffentlichung sind Gesetzesstand und Unternehmensdokumente erneut zu prüfen; eine Haftungsgarantie wird nicht gegeben.