Der EU AI Act als neue Organisationspflicht der Geschäftsführung

I. Einführung

Der Einsatz künstlicher Intelligenz hat sich in den vergangenen Jahren von einem experimentellen Technologiethema zu einem zentralen Instrument unternehmerischer Steuerung entwickelt. KI-Systeme werden zunehmend zur Vorbereitung oder Automatisierung von Entscheidungen in Bereichen wie Personal, Finanzierung, Risikoanalyse, Compliance oder strategischer Planung eingesetzt.

Mit dem Inkrafttreten des EU Artificial Intelligence Act (Regulation (EU) 2024/1689) erfährt diese Entwicklung erstmals eine umfassende rechtliche Rahmung. Der EU AI Act verschiebt den Einsatz von KI aus dem Bereich unternehmerischer Innovationsfreiheit in den Kern rechtlich strukturierter Organisations- und Compliance-Verantwortung.

Für die Geschäftsführung bedeutet dies einen Paradigmenwechsel: KI ist nicht länger nur ein technisches Hilfsmittel, sondern ein haftungsrelevanter Bestandteil der Unternehmensorganisation.

II. Der EU AI Act – Regelungsansatz und rechtliche Einordnung

Der EU AI Act ist als Verordnung unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union. Er verfolgt einen risikobasierten Regulierungsansatz, der KI-Systeme nicht pauschal reguliert, sondern nach ihrem potenziellen Gefährdungspotenzial für Grundrechte, Sicherheit und Rechtsgüter differenziert.

Die Verordnung gilt nicht nur für Anbieter von KI-Systemen, sondern auch für deren Betreiber (Deployers). Damit erfasst sie Unternehmen unabhängig davon, ob KI intern entwickelt oder von Dritten bezogen wird. Maßgeblich ist allein, dass KI-Systeme im Rahmen unternehmerischer Entscheidungs- oder Produktionsprozesse eingesetzt werden.

Systematisch steht der EU AI Act neben bestehenden Regelwerken wie der DSGVO, dem Produktsicherheits- und Produkthaftungsrecht sowie den gesellschaftsrechtlichen Organisationspflichten. Er ergänzt diese nicht nur, sondern konkretisiert sie im Hinblick auf KI-spezifische Risiken.

III. Risikoklassifizierung von KI-Systemen

Zentraler Anknüpfungspunkt des EU AI Act ist die Einteilung von KI-Systemen in Risikokategorien. Diese Klassifizierung entscheidet darüber, welche rechtlichen Anforderungen an Entwicklung, Einsatz und Überwachung eines Systems gestellt werden.

Besondere praktische Bedeutung kommt der Kategorie der sogenannten High-Risk-KI-Systeme zu. Diese Systeme unterliegen umfangreichen Pflichten hinsichtlich Risikomanagement, Dokumentation, Transparenz, menschlicher Aufsicht und laufender Überwachung.

Für Geschäftsführungen ist entscheidend, dass bereits die fehlerhafte Einordnung eines Systems als nicht hochriskant ein eigenständiges Haftungsrisiko begründen kann. Die Risikoklassifizierung ist daher keine technische, sondern eine rechtlich-organisatorische Entscheidung, die in den Verantwortungsbereich der Unternehmensleitung fällt.

IV. Neue Organisationspflichten der Geschäftsführung

Der EU AI Act begründet keine isolierten Technikpflichten, sondern konkretisiert und verdichtet bestehende Organisationspflichten der Geschäftsführung. Maßgeblich ist dabei nicht die technische Ausgestaltung eines KI-Systems, sondern dessen Einbettung in eine rechtlich kontrollierte Unternehmensorganisation.

Kern der neuen Pflichten ist die Verpflichtung zur aktiven Steuerung, Überwachung und Dokumentation des KI-Einsatzes. Geschäftsführungen müssen sicherstellen, dass vor dem Einsatz eines KI-Systems eine rechtliche Risikobewertung erfolgt, Zuständigkeiten klar definiert sind und geeignete Kontrollmechanismen implementiert werden.

1. Risikomanagement und Governance

Der EU AI Act verlangt insbesondere für High-Risk-KI-Systeme die Einrichtung eines systematischen Risikomanagements. Dieses umfasst die Identifikation, Bewertung und laufende Überwachung von Risiken, die sich aus dem Einsatz des Systems ergeben.

Für die Geschäftsführung folgt daraus die Pflicht, KI in bestehende Governance- und Compliance-Strukturen einzubetten. Isolierte IT-Projekte ohne Einbindung in die Unternehmensorganisation genügen den Anforderungen nicht. Vielmehr bedarf es klarer Regelungen zur Verantwortlichkeit, Entscheidungsbefugnis und Eskalation.

2. Dokumentations-, Transparenz- und Überwachungspflichten

Ein zentrales Element des EU AI Act ist die umfassende Dokumentationspflicht. Unternehmen müssen in der Lage sein, Funktionsweise, Einsatzbereich und Risikobewertung eingesetzter KI-Systeme nachvollziehbar darzustellen.

Für die Geschäftsführung bedeutet dies, dass Entscheidungen über den Einsatz von KI nicht nur materiell richtig, sondern auch dokumentiert nachvollziehbar sein müssen. Fehlende oder unzureichende Dokumentation kann eigenständig haftungsrelevant werden, insbesondere im Rahmen behördlicher Prüfungen oder zivilrechtlicher Auseinandersetzungen.

3. Human-in-the-Loop und Verantwortungszuordnung

Der EU AI Act betont die Notwendigkeit menschlicher Kontrolle über KI-Systeme. Automatisierte Entscheidungen dürfen nicht vollständig entkoppelt von menschlicher Aufsicht erfolgen, insbesondere wenn sie rechtlich oder wirtschaftlich erhebliche Auswirkungen entfalten.

Geschäftsführungen müssen daher sicherstellen, dass Human-in-the-Loop-Mechanismen nicht nur formal existieren, sondern effektiv funktionieren. Dies umfasst die Benennung verantwortlicher Personen, klare Eingriffs- und Abbruchrechte sowie eine Schulung der beteiligten Mitarbeiter.

V. Haftungsrechtliche Einordnung

Die Pflichten aus dem EU AI Act entfalten ihre rechtliche Brisanz insbesondere im Zusammenspiel mit den bestehenden Haftungsmaßstäben des Gesellschaftsrechts. Für Geschäftsführungen stellt sich die Frage, inwieweit Verstöße gegen die Anforderungen des EU AI Act zu persönlicher Haftung führen können.

1. Verzahnung mit § 43 GmbHG

Nach § 43 Abs. 1 GmbHG haben Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Diese Sorgfaltspflicht konkretisiert sich durch gesetzliche Vorgaben, zu denen künftig auch der EU AI Act zählt.

Unterlässt die Geschäftsführung es, KI-Systeme entsprechend den Anforderungen des EU AI Act zu strukturieren, zu überwachen oder zu dokumentieren, kann dies eine Pflichtverletzung im Sinne des § 43 Abs. 1 GmbHG begründen.

2. Organisationsverschulden beim KI-Einsatz

Organisationsverschulden liegt vor, wenn die Geschäftsführung keine angemessenen Strukturen schafft, um gesetzliche Pflichten einzuhalten. Der EU AI Act verschärft diese Anforderungen, indem er konkrete organisatorische Mindeststandards definiert.

Fehlt es an klaren Zuständigkeiten, Kontrollmechanismen oder Dokumentationsprozessen, ist eine Haftung der Geschäftsführung nicht ausgeschlossen – auch dann, wenn der konkrete Schaden durch das KI-System selbst verursacht wurde.

VI. Auswirkungen auf Governance, Compliance und Unternehmenspraxis

Die Einführung des EU AI Act zwingt Unternehmen dazu, bestehende Governance- und Compliance-Strukturen zu überprüfen und anzupassen. KI kann nicht länger als isoliertes Technologieprojekt behandelt werden, sondern muss integraler Bestandteil der Unternehmensorganisation werden.

1. Anpassungsbedarf bestehender Compliance-Strukturen

Bestehende Compliance-Systeme sind regelmäßig nicht auf die spezifischen Risiken von KI-Systemen ausgelegt. Der EU AI Act verlangt jedoch eine KI-spezifische Risikobetrachtung, die über klassische Datenschutz- oder IT-Sicherheitsfragen hinausgeht. KI-Governance ist somit künftig integraler Bestandteil des Compliance-Management-Systems.

Geschäftsführungen müssen daher prüfen, ob bestehende Richtlinien, Schulungsprogramme und Kontrollmechanismen den neuen Anforderungen genügen oder angepasst werden müssen.

2. Rolle von Beirat, Aufsichtsrat und internen Kontrollsystemen

Der Einsatz von KI-Systemen berührt regelmäßig strategische und haftungsrelevante Entscheidungen, die eine Einbindung von Beiräten oder Aufsichtsgremien erforderlich machen können.

Für Geschäftsführungen empfiehlt es sich, KI-relevante Entscheidungen transparent zu machen und in bestehende Berichtslinien einzubinden. Dies dient nicht nur der Risikokontrolle, sondern auch der haftungsrechtlichen Absicherung.

3. Bedeutung für Due-Diligence-Prüfungen und Investorenanforderungen

Der EU AI Act wird zunehmend Bestandteil von Due-Diligence-Prüfungen bei Unternehmenstransaktionen und Finanzierungen. Investoren und Kreditgeber legen verstärkt Wert auf den Nachweis rechtssicherer KI-Strukturen.

Unternehmen ohne klare Dokumentation und Governance laufen Gefahr, Bewertungsabschläge oder vertragliche Haftungsverschärfungen hinnehmen zu müssen.

VII. Ausblick

Der EU AI Act markiert keinen vorübergehenden regulatorischen Eingriff, sondern einen dauerhaften Strukturwandel im Umgang mit künstlicher Intelligenz. KI-Governance wird sich als fester Bestandteil moderner Unternehmensführung etablieren.

Für Geschäftsführungen besteht die Herausforderung darin, die neuen Anforderungen nicht lediglich formal zu erfüllen, sondern in eine belastbare Organisationsstruktur zu überführen. Nur so lassen sich Haftungsrisiken begrenzen und gleichzeitig die strategischen Potenziale von KI verantwortungsvoll nutzen.