KI-Reporting zwischen Vorstand und Aufsichtsrat: Wer berichtet was – und wann wird eskaliert?

# KI-Reporting zwischen Vorstand und Aufsichtsrat: Wer berichtet was – und wann wird eskaliert?

Die Lücke ist selten der nächste Titel. Die Lücke ist der Reporting Contract: Wer berichtet welche KI-Tatsache an wen, über welche Organlinie, und bei welchem Auslöser wird aus Routine Ad-hoc?

Christian Pobbig und Beyond Chiefs arbeiten in Hamburg an AI Executive Search DACH. Dieser Text übersetzt die deutsche Dualstruktur in eine nutzbare Informationsarchitektur — nicht in eine Stellenbeschreibung und nicht in ein Organhaftungs-Essay.

Die fehlende Schicht ist der Reporting Contract, nicht ein weiterer Titel

Viele Häuser können sagen, dass KI ein Board-Thema ist. Weniger können in einer Sitzung antworten: Welcher Owner liefert das Signal? Wer challenget das Signal? Welcher Vorstand beschließt? Welcher Weg erreicht den Aufsichtsrat — routinemäßig oder bei wichtigem Anlass?

Ohne diese Antworten bleibt Governance Dekoration. Mit ihnen wird jede materielle KI-Lage legible: Owner, Entscheidung, Empfänger, Eskalation.

Deutscher AG-Default: Der Vorstand informiert; der Aufsichtsrat überwacht — er betreibt KI nicht

Der Vorstand berichtet dem Aufsichtsrat über beabsichtigte Geschäftspolitik und Planung, Rentabilität, Gang der Geschäfte und Lage sowie Geschäfte von erheblicher Bedeutung für Rentabilität oder Liquidität (§ 90 AktG).

Der Aufsichtsrat überwacht die Geschäftsführung. Er darf Bücher und Schriften einsehen und Sachverständige beauftragen. Maßnahmen der Geschäftsführung können ihm nicht übertragen werden (§ 111 Abs. 1 und Abs. 4 AktG). Der Aufsichtsrat ist damit nicht der operative KI-Owner.

Der Deutsche Corporate Governance Kodex macht die Kommunikationslogik explizit: Information des Aufsichtsrats ist Aufgabe des Vorstands; der Aufsichtsrat muss selbst für angemessene Information sorgen. Der Vorstand informiert regelmäßig, zeitnah und umfassend über Strategie, Planung, Geschäftsentwicklung, Risikolage, Risikomanagement und Compliance und erläutert Abweichungen von Plänen und Zielen (DCGK 2022, Grundsatz 16). Wichtige Ereignisse gehen unverzüglich an den Aufsichtsratsvorsitzenden (Grundsatz 17). Der Kodex gilt als Grundsätze und Empfehlungen (Comply-or-Explain) für börsennotierte / kapitalmarktorientierte Gesellschaften und als Orientierung für andere.

KI-Tatsachen in die §-90-Eimer legen — kein paralleles KI-Statut erfinden

BC-Übersetzung (INFERENCE, so kennzeichnen) — keine neue Berichtspflicht „KI-Quartalsgesetz“:

| §-90-Bucket | Typische KI-Inhalte (wenn materiell) |
|---|---|
| Nr. 1 Planung / Politik | KI-Strategie, Investitionsplan, wesentliche Planänderungen |
| Nr. 2 Rentabilität | materielle KI-getriebene P&L-/Liquiditätseffekte in der Abschluss-Sitzung |
| Nr. 3 Gang der Geschäfte (≥ vierteljährlich) | laufender Einsatz, Risikolage, Steuerungsstand — innerhalb der bestehenden Quartalsarchitektur, nicht als freistehende gesetzliche KI-Pflicht |
| Nr. 4 wesentliche Geschäfte | Transaktionen / Commitments mit erheblicher Bedeutung, rechtzeitig vor Abschluss |
| Wichtiger Anlass → Vorsitz | materielle Incidents, Modellausfälle, regulatorische Kontakte — nach GO-/Materialitätskriterien |

Der Aufsichtsrat kann jederzeit einen Bericht verlangen; ein einzelnes Mitglied kann einen Bericht an den Aufsichtsrat verlangen — kein privater Nebenkanal (§ 90 AktG).

Vier Bahnen: Owner → Kontrolle → Vorstandentscheidung → AR-Route

BC-Betriebsmodell (INFERENCE):

1. Operating Signal — Business-/KI-Owner: Was ist deployed, mit welchem Outcome, welcher Risikoklasse, welcher menschlichen Kontrolle?
2. Control Challenge — Risk / Compliance / Legal / DPO / CISO / Interne Revision: Ist der Nachweis glaubwürdig? Dissens wird protokolliert.
3. Vorstandentscheidung — deploy / tolerieren / remediate / pausieren / eskalieren; Protokoll.
4. AR-Aufsicht — Routine über den Vorstandsbericht; Ad-hoc an Vorsitz / Ausschuss / Plenum nach GO-Kriterien.

Default in der deutschen AG: die Routine-Linie läuft durch den Vorstand zum Aufsichtsrat. Ein direkter Kanal CIO/CISO/AI-Lead an den Aufsichtsrat kann internes Design sein — er ist keine allgemeine gesetzliche Pflicht.

Routine vs. Ad-hoc; Ausschuss-Routing als Unternehmensdesign

Routine: KI-relevante Lage fährt, soweit materiell, in der bestehenden §-90-Architektur und im DCGK-Informationsstil. Der Takt eines internen „AI-Pakets“ ist interne Governance, kein erfundenes Gesetz.

Ad-hoc: Materialität nach Geschäftsordnung / Kriterien → sofort Vorstand → bei Erfüllung der Kriterien Aufsichtsratsvorsitzender, Ausschuss oder Plenum. Der DCGK Praxis-Impuls KI (März 2026) empfiehlt dem Aufsichtsrat, den Vorstand bei strategischem KI-Einsatz zu begleiten und auf angemessene KI-Governance / Aufsicht über AI-Act-Compliance zu achten — ausdrücklich nicht verbindlich (DCGK Praxis-Impuls KI). Die Informationstiefe für den Aufsichtsrat muss nicht der Detailtiefe des Vorstands entsprechen; informelle KI-Nutzung kann die berichtete Nutzung überholen — der Vorstand steuert, der Aufsichtsrat begleitet.

Ausschüsse (Audit, Risiko, Technik) sind Routing-Wahl der Gesellschaft — nicht AI-Act-Orgchart.

Reporting-Paket (Praxis, nicht Gesetz)

Seed für die erste Seite eines Vorstands-/AR-Pakets — BC-Praxis, keine Behördencheckliste:

- Inventory-Delta und Reklassifizierungen
- materielle Incidents / Near Misses
- offene Control-Exceptions
- Oversight-Failures
- Vendor-/Modellabhängigkeit
- regulatorische Kontakte / Deadlines
- erbetene Entscheidungen; Owner, Due Date, Residualrisiko

Technik-Telemetrie gehört in den Anhang. Entscheidung, Exposure, Trend und erbetene Aktion gehören auf Seite eins.

Als Practitioner-Stütze (nicht Gesetz): Das Audit Committee Institute empfiehlt, dass der Aufsichtsrat regelmäßig vom Vorstand berichten lässt, welche KI-Systeme wo genutzt/entwickelt werden, über welche Prozesse und Maßnahmen Compliance sichergestellt wird und wer die Hauptverantwortlichen sind — sowie über wesentliche Verstöße (ACI Quarterly extra 2025 KI).

Was nicht vorgeschrieben ist

- kein „CAIO berichtet an den Aufsichtsrat“ aus dem AI Act
- kein gesetzlicher Direktkanal CISO/CIO an den Aufsichtsrat als Universalpflicht
- kein Aufsichtsrat als Betreiber des KI-Programms
- keine freistehende gesetzliche Pflicht zu einem „KI-Quartalsbericht“ neben § 90 Abs. 2 Nr. 3
- kein AI-Act-Orgchart für die deutsche AG

Die AI Act-Pflichten erklären, warum Risiko- und Kontrollnachweise die zuständigen Organe erreichen müssen. Sie ersetzen § 90 und § 111 nicht. Literacy-Nachweise und Organträger-Fragen gehören auf andere Seiten — nicht hier.

DACH-Hinweis: Deutschland ist der Rechtsanker

Dieser Text verankert die deutsche AG. Bei der GmbH gilt Geschäftsführung — ein Beirat/Aufsichtsrat nur, wenn eingerichtet, und mit anderer Logik. Österreich und die Schweiz sind Analogien, keine Copy-Paste-Vorschriften (Verwaltungsrat ≠ Aufsichtsrat).

FAQ

### Muss KI vierteljährlich an den Aufsichtsrat?

§ 90 Abs. 2 Nr. 3 verlangt regelmäßig, mindestens vierteljährlich, Bericht über Gang der Geschäfte. KI-Inhalte fahren dort mit, wenn sie materiell sind — das ist keine freistehende KI-Quartalspflicht.

### Kann der Aufsichtsrat jederzeit KI-Berichte verlangen?

Ja. Der Aufsichtsrat kann jederzeit einen Bericht verlangen; ein Mitglied kann einen Bericht an den Aufsichtsrat verlangen (§ 90 AktG).

### Darf der Aufsichtsrat KI-Entscheidungen selbst treffen?

Maßnahmen der Geschäftsführung sind ihm nicht übertragbar (§ 111 Abs. 4 AktG). Zustimmungsvorbehalte für definierte Geschäfte sind möglich — Betrieb der KI-Organisation bleibt Vorstandssache.

---

Draft inventory. Nicht live. Kein Leistungs-CTA.