Geschäftsführerhaftung beim KI-Einsatz: Legalitätspflicht, Organisation, Dokumentation

Ob ein Unternehmen künstliche Intelligenz einsetzt, ist im Jahr 2026 keine offene Frage mehr – es tut es, häufig an Dutzenden Stellen zugleich, vom Vertriebstool bis zur Liquiditätsprognose. Offen ist nur, ob die Geschäftsleitung diesen Einsatz organisiert hat oder geschehen lässt. Genau daran entscheidet sich die persönliche Haftung: § 43 GmbHG und § 93 AktG verlangen von Geschäftsleitern nicht, dass jedes System fehlerfrei arbeitet, wohl aber, dass sein Einsatz rechtmäßig organisiert, überwacht und dokumentiert ist. Die Erfahrung lehrt: Verurteilt wird selten wegen einer einzelnen Fehlentscheidung, fast immer wegen fehlender Organisation und fehlender Dokumentation. Dieser Beitrag zeichnet das Pflichtenprogramm auf dem Stand des Jahres 2026 nach – von der Legalitätspflicht, die inzwischen auch KI-Verordnung, Datenschutz und Urheberrecht umfasst, über die Compliance-Organisation und die Business Judgment Rule bis zur Sondersituation der Unternehmenskrise.

§ 43 GmbHG und § 93 AktG: Der Anker der Geschäftsleiterhaftung

Nach § 43 Abs. 1 GmbHG haben Geschäftsführer in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden; § 93 Abs. 1 S. 1 AktG formuliert für Vorstände denselben Gedanken. Der Maßstab ist objektiv-typisiert: Es zählt, was von einem ordentlichen Geschäftsleiter in der konkreten Lage, Branche und Unternehmensgröße zu erwarten ist – auf individuelle Unkenntnis kann sich niemand berufen, und schon einfache Fahrlässigkeit genügt für die Innenhaftung nach § 43 Abs. 2 GmbHG beziehungsweise § 93 Abs. 2 S. 1 AktG. Entscheidend ist: Dieser Maßstab wandert mit der Technik und mit dem Rechtsrahmen. Was vor wenigen Jahren noch vertretbar sein mochte – KI-Werkzeuge unerfasst und ungeregelt im Unternehmen laufen zu lassen –, ist 2026 pflichtwidrig, weil der Normenbestand konkret geworden ist und der Markt Standards herausgebildet hat. Wer heute nicht weiß, wo im eigenen Haus KI eingesetzt wird, verfehlt bereits den Ausgangspunkt ordnungsgemäßer Geschäftsleitung.

Die Legalitätspflicht im Jahr 2026: KI-Verordnung, DSGVO, Urheberrecht

Kern der Geschäftsleiterpflichten ist die Legalitätspflicht: Der Geschäftsleiter muss dafür sorgen, dass sich die Gesellschaft rechtstreu verhält; ein unternehmerisches Ermessen für „nützliche" Rechtsverstöße gibt es nicht. Dieses Pflichtenprogramm ist beim KI-Einsatz erheblich angewachsen. Die KI-Verordnung (Verordnung (EU) 2024/1689) ist seit dem 1.8.2024 in Kraft und gilt gestaffelt: Die Verbote unannehmbarer Praktiken nach Art. 5 und die KI-Kompetenzpflicht des Art. 4 gelten seit dem 2.2.2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2.8.2025, und ab dem 2.8.2026 – also in wenigen Tagen – greift die allgemeine Geltung einschließlich der Transparenzpflichten des Art. 50 für Chatbots, synthetische Inhalte und Emotionserkennung. Der am 29.6.2026 formell beschlossene Digital Omnibus hat die anspruchsvollsten Umsetzungspflichten für Hochrisiko-KI verschoben – auf den 2.12.2027 für Systeme nach Anhang III und auf den 2.8.2028 für Hochrisiko-KI als Sicherheitsbauteil nach Anhang I –, an den bereits geltenden Pflichten aber nichts geändert. Die Sanktionsdrohung des Art. 99 reicht bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Seit dem 29.7.2026 ist zudem das deutsche KI-Durchführungsgesetz in Kraft: Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde sowie Anlauf- und Beschwerdestelle und betreibt KI-Reallabore, während die BaFin für den Finanzsektor und die Landesmedienanstalten für den Medienbereich zuständig bleiben – die Aufsicht hat damit Adressen und Zuständigkeiten. Daneben bleibt der klassische Bestand: die DSGVO mit Rechtsgrundlagen, Informationspflichten und der regelmäßig erforderlichen Datenschutz-Folgenabschätzung nach Art. 35, das Urheberrecht mit den Grenzen der Text-und-Data-Mining-Schranke des § 44b UrhG, das Geschäftsgeheimnisgesetz, dessen Schutz durch unkontrollierte Eingaben in öffentliche KI-Dienste verloren gehen kann, und die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. All das ist seit 2026 Gegenstand der Legalitätspflicht – und damit potenziell Gegenstand der persönlichen Haftung.

Die Compliance-Organisationspflicht: Inventar, Zuständigkeiten, Richtlinie, Schulung

Aus der Legalitätspflicht folgt die Pflicht, eine Organisation zu schaffen, die Rechtsverstöße verhindert, erkennt und abstellt – zugeschnitten auf Größe, Branche und Risikoprofil des Unternehmens. Für den KI-Einsatz heißt das konkret: Erstens ein KI-Inventar, das sämtliche eingesetzten Systeme, ihre Einsatzzwecke, Datenflüsse und die eigene Rolle nach der KI-Verordnung erfasst – ohne Bestandsaufnahme keine Risikobewertung. Zweitens klare Zuständigkeiten: Es muss eine Stelle geben, die KI-Einsätze freigibt, Veränderungen nachhält und die Schnittstellen zu Datenschutz, Informationssicherheit und Arbeitsrecht bedient. Drittens eine KI-Richtlinie, die den Beschäftigten verbindlich vorgibt, welche Werkzeuge für welche Zwecke zugelassen sind, welche Daten eingegeben werden dürfen und wie mit Ergebnissen umzugehen ist – gerade die Schatten-KI, also die private Nutzung frei verfügbarer Dienste mit Unternehmensdaten, ist ein Haftungstreiber, den nur eine gelebte Richtlinie einfängt. Viertens Schulung: Art. 4 der KI-Verordnung verlangt seit dem 2.2.2025 ein angemessenes Maß an KI-Kompetenz beim eingesetzten Personal – eine Pflicht, deren Erfüllung sich dokumentieren lässt und dokumentiert werden sollte. Fünftens schließlich laufende Kontrolle und Aktualisierung, denn der Digital Omnibus hat gezeigt, dass sich der Rechtsrahmen weiter bewegt und Fristen wandern.

Business Judgment Rule: Entscheiden mit KI, nicht durch KI

Für unternehmerische Entscheidungen gewährt § 93 Abs. 1 S. 2 AktG – auf die GmbH übertragen – einen sicheren Hafen: Keine Pflichtverletzung liegt vor, wenn der Geschäftsleiter vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln. KI kann diese Informationsgrundlage erheblich verbessern – Marktanalysen, Szenariorechnungen, Vertragsprüfungen in einer Breite, die manuell unerreichbar wäre. Aber der sichere Hafen hat beim KI-Einsatz eine doppelte Zugangsbedingung. Angemessene Information heißt zum einen, die Grenzen des Werkzeugs zu kennen: Datenbasis und Aktualität, bekannte Fehlerklassen wie Halluzinationen, mögliche Verzerrungen. Zum anderen heißt es, Ergebnisse zu plausibilisieren – zentrale Annahmen prüfen, Ausreißer hinterfragen, bei wesentlichen Entscheidungen eine unabhängige Gegenprobe einholen. Wer den Output eines Systems ungeprüft übernimmt, trifft keine Entscheidung auf angemessener Informationsgrundlage, sondern delegiert das Ermessen an eine Maschine – und verlässt damit den Schutzbereich der Business Judgment Rule. Umgekehrt gilt: Wer die Grenzen kennt, plausibilisiert und dokumentiert, kann sich auch dann auf den sicheren Hafen berufen, wenn sich die KI-gestützte Entscheidung später als wirtschaftlich falsch erweist. Die Business Judgment Rule schützt vor dem Rückschaufehler, nicht vor Blindflug.

Beweislast und Dokumentation: § 93 Abs. 2 S. 2 AktG als eigentlicher Gegner

Im Haftungsprozess entscheidet häufig nicht das materielle Recht, sondern die Beweislast. Nach § 93 Abs. 2 S. 2 AktG – dessen Wertung die Rechtsprechung auf den GmbH-Geschäftsführer überträgt – muss die Gesellschaft nur ein möglicherweise pflichtwidriges Verhalten und den Schaden darlegen; der Geschäftsleiter muss dann beweisen, dass er die Sorgfalt eines ordentlichen Geschäftsleiters angewandt hat oder ihn kein Verschulden trifft. Diese Verteilung macht die Dokumentation zur eigentlichen Verteidigungslinie. Wer Jahre später erklären muss, warum er einer KI-gestützten Analyse gefolgt ist, steht ohne Aufzeichnungen mit leeren Händen da. Festgehalten werden sollte deshalb, welches System mit welchem Kenntnisstand eingesetzt wurde, welche Eingaben und Annahmen der Analyse zugrunde lagen, wie das Ergebnis plausibilisiert wurde, welche Alternativen erwogen und warum sie verworfen wurden. Das klingt nach Aufwand, ist aber in gut organisierten Häusern ein Nebenprodukt sauberer Entscheidungsprozesse – und im Prozess der Unterschied zwischen Entlastung und Verurteilung.

Delegation, Überwachung und D&O-Deckung

Kein Geschäftsleiter muss KI-Compliance persönlich betreiben; Delegation ist zulässig und ab einer gewissen Unternehmensgröße geboten. Sie entlastet aber nur, wenn die bekannte Trias eingehalten wird: sorgfältige Auswahl der betrauten Personen, klare Einweisung und laufende Überwachung. Die Gesamtverantwortung bleibt bei der Geschäftsleitung; bei Ressortverteilung wandelt sich die Pflicht der übrigen Mitglieder in eine Überwachungspflicht, die sich bei Anzeichen von Fehlentwicklungen zur Eingriffspflicht verdichtet. Wer Hinweise auf systematische Fehlleistungen eines Systems oder auf verbreitete Schatten-KI ignoriert, haftet trotz Delegation. Parallel verdient die D&O-Versicherung Aufmerksamkeit: Ob Innenhaftungsansprüche im Zusammenhang mit KI-bezogenen Pflichtverletzungen gedeckt sind, ob Ausschlüsse oder Obliegenheiten greifen und wie Fragen im Antragsprozess zum KI-Einsatz beantwortet wurden, sollte vor dem Schadenfall geklärt werden – nicht in ihm. Die Beratungspraxis zeigt, dass Deckungslücken regelmäßig erst im Ernstfall auffallen, wenn sie sich nicht mehr schließen lassen.

Sondersituation Krise: KI-Prognosen und § 1 StaRUG

Besondere Brisanz gewinnt das Thema in der Krise. § 1 StaRUG verpflichtet die Geschäftsleiter haftungsbeschränkter Unternehmensträger zur fortlaufenden Überwachung bestandsgefährdender Entwicklungen und zu geeigneten Gegenmaßnahmen. KI-gestützte Liquiditätsplanungen und Frühwarnsysteme können diese Pflicht wirksam unterstützen – sie erhöhen Frequenz und Reichweite der Überwachung erheblich. Sie verschieben aber die Verantwortung nicht: Der Geschäftsleiter muss die Modellannahmen kennen und kritisch würdigen, denn eine Prognose ist nur so belastbar wie ihre Datengrundlage und Parameter. In der Krise, in der sich Pflichten und Haftung ohnehin verschärfen, gilt das doppelt – wer sich auf ein optimistisch kalibriertes System verlässt und Zahlungsverbote verletzt, wird mit dem Verweis auf die Software nicht gehört. Umgekehrt wird bereits diskutiert, ob das Ignorieren verfügbarer und branchenüblicher Prognosewerkzeuge seinerseits pflichtwidrig sein kann. Sicher ist: Die Dokumentation der Prognosegrundlagen und der daraus gezogenen Konsequenzen ist in der Krise noch wichtiger als im Normalbetrieb.

Häufige Fragen

Haftet der Geschäftsführer schon, wenn Mitarbeiter frei verfügbare KI-Dienste ungeregelt nutzen? Eine Haftung droht nicht aus der Nutzung selbst, sondern aus dem Organisationsdefizit: Fehlen Richtlinie, Schulung und Kontrolle, liegt darin eine Verletzung der Compliance-Organisationspflicht, wenn daraus Schäden entstehen – etwa durch den Verlust von Geschäftsgeheimnissen oder Datenschutzverstöße. Wer den Einsatz geregelt, geschult und stichprobenartig kontrolliert hat, hat seine Pflicht regelmäßig erfüllt.

Schützt die Business Judgment Rule, wenn eine KI-gestützte Entscheidung sich als falsch erweist? Ja – wenn ihre Voraussetzungen vorlagen. Der Geschäftsleiter muss die Grenzen des eingesetzten Systems gekannt, das Ergebnis plausibilisiert und die Entscheidung frei von Sonderinteressen zum Wohle der Gesellschaft getroffen haben. Das wirtschaftliche Fehlschlagen allein begründet dann keine Haftung; die ungeprüfte Übernahme von KI-Output dagegen schon, weil es an der angemessenen Informationsgrundlage fehlt.

Was genau sollte beim KI-Einsatz dokumentiert werden? Auf Organisationsebene das KI-Inventar, die Richtlinie, Zuständigkeiten und Schulungsnachweise nach Art. 4 der KI-Verordnung; auf Entscheidungsebene das eingesetzte System, die Eingaben und Annahmen, die Plausibilisierung des Ergebnisses und die erwogenen Alternativen. Diese Unterlagen tragen die Entlastung im Rahmen der Beweislastverteilung des § 93 Abs. 2 S. 2 AktG, die die Rechtsprechung sinngemäß auch auf den GmbH-Geschäftsführer anwendet.

Dieser Beitrag gibt einen allgemeinen Überblick auf dem Rechtsstand 2026 und ersetzt keine Rechtsberatung im Einzelfall. Für eine Einschätzung Ihres konkreten Anliegens vereinbaren Sie gern ein Erstgespräch mit KALER.