Singapurs 116-seitiger KI-Leitfaden: 7 Regeln für verantwortungsvolle Kontrolle

Der AI Guide for Boards in Singapore formuliert eine klare Botschaft: Künstliche Intelligenz ist inzwischen eine Aufgabe des Verwaltungsrats. Der 116-seitige Leitfaden wurde vom Singapore Institute of Directors (SID) gemeinsam mit der Infocomm Media Development Authority (IMDA), Microsoft und OpenAI veröffentlicht. Er soll Verwaltungsratsmitglieder dabei unterstützen, KI-Ambitionen mit geschäftlichem Nutzen, Verantwortlichkeit und wirksamen Risikokontrollen zu verbinden.

Die zentrale Botschaft: Der Verwaltungsrat muss führen

KI sollte nicht vollständig an Technologieausschüsse, das Management oder die IT-Abteilung delegiert werden. Verwaltungsräte sollen verstehen, wie KI Strategie, Investitionen, Widerstandsfähigkeit, Mitarbeitende und die langfristige Wertschöpfung beeinflusst. Ebenso sollen sie hinterfragen, ob ein KI-Einsatz tatsächlich Ergebnisse liefert, die seine Risiken rechtfertigen.

Das bedeutet nicht, dass Verwaltungsratsmitglieder zu Ingenieuren werden müssen. Sie brauchen aber ein gemeinsames Grundverständnis, um die richtigen Fragen zu stellen und zu erkennen, wenn Annahmen, Kontrollen oder Kennzahlen des Managements nicht ausreichen.

1. Einen KI-fähigen Verwaltungsrat aufbauen

Der Leitfaden empfiehlt, dass jedes Verwaltungsratsmitglied ein praktisches Verständnis grundlegender KI-Konzepte, ihrer geschäftlichen Auswirkungen und der relevanten Governance-Fragen entwickelt. Mehrere Mitglieder sollten in der Lage sein, das Management zu Strategie, Einsatz, Daten-Governance und Risikoabwägungen kritisch zu befragen. Für besonders komplexe technische, regulatorische oder operative Fragen sollte zudem vertiefte KI-Expertise verfügbar sein.

Der Praxistest lautet also nicht, ob der Verwaltungsrat über das neueste Modell sprechen kann. Entscheidend ist, ob er die konkreten Anwendungsfälle des Unternehmens versteht, mögliche Fehlentwicklungen erkennt und beurteilen kann, ob das Management angemessen darauf vorbereitet ist.

2. Ergebnisse messen – nicht bloß KI-Aktivität

KI-Investitionen sollten anhand konkreter Geschäftsergebnisse bewertet werden, nicht anhand von Nutzungs- oder Aktivitätszahlen. Der Leitfaden unterscheidet zwischen Aktivitäten wie Pilotprojekten, gekauften Lizenzen, Schulungen oder Experimenten und dem tatsächlichen Wert – etwa effizienteren Abläufen, eingesparter Zeit, besserer Kundenerfahrung und messbaren betrieblichen Verbesserungen.

Für Verwaltungsräte ergeben sich daraus fünf entscheidende Fragen:

• Welches Geschäftsproblem soll das System lösen?
• Welches Ergebnis soll sich in welchem Umfang verbessern?
• Wie wird diese Verbesserung gemessen?
• Welche Belege rechtfertigen den Übergang vom Pilotprojekt zum breiteren Einsatz?
• Welche Kosten entstehen für Überwachung, Sicherheit, Integration und mögliche Fehler?

Viele Experimente zeigen Interesse an KI, sind aber für sich genommen noch kein Beleg für eine lohnende Investition.

3. Experimente von Mitarbeitenden in kontrollierte Fähigkeiten überführen

Mitarbeitende entdecken oft nützliche KI-Anwendungen, bevor ein offizielles Unternehmensprogramm eingerichtet ist. Der Leitfaden empfiehlt, dieses Wissen zu nutzen und zugleich in die Kontrollstrukturen des Unternehmens einzubinden.

Dazu gehört, mit KI entwickelte Tools zu dokumentieren, ihre zulässige Nutzung zu klären und zu prüfen, ob sie die geltenden Sicherheits- und Governance-Anforderungen erfüllen. Ziel ist nicht, Experimente abzuwürgen. Vielmehr sollen aus nützlichen Prototypen keine unsichtbaren und nicht unterstützten Systeme werden, die ohne ausreichende Kontrollen Kunden, Mitarbeitende oder Unternehmensdaten beeinflussen.

4. KI-Risiken als Unternehmensrisiken behandeln

KI-Governance darf sich nicht auf die Leistungsfähigkeit eines Modells beschränken. Verwaltungsräte sollen ethische, Cyber-, Daten-, Sicherheits-, Datenschutz- und Personalrisiken ebenso betrachten wie die Auswirkungen von KI auf die Widerstandsfähigkeit und die langfristige Wertschöpfung.

Der Verwaltungsrat sollte daher wissen, wo KI eingesetzt wird, welche Daten und Drittanbieter beteiligt sind, wer für jedes System verantwortlich ist, wie Vorfälle gemeldet werden und wann ein Einsatz pausiert oder überprüft werden muss. Die Kontrollen sollten sich nach den möglichen Folgen eines Fehlers richten: Ein internes Tool zur Produktivitätssteigerung mit geringem Einfluss benötigt nicht dieselben Vorgaben wie ein System, das Beschäftigung, Kundenzugang oder Sicherheit beeinflusst.

5. Regeln für menschliche Kontrolle und klare rote Linien festlegen

Der Leitfaden fordert ausdrücklich definierte Entscheidungsgrenzen. Verwaltungsräte sollten festlegen, in welchen Fällen eine menschliche Prüfung zwingend erforderlich ist, und „harte rote Linien“ bestimmen, an denen automatisierte Entscheidungen nicht zulässig sind – insbesondere bei Auswirkungen auf Kunden, Mitarbeitende, Sicherheit oder Datenschutz.

Menschliche Kontrolle ist nur dann sinnvoll, wenn die prüfende Person über ausreichende Informationen, Befugnisse und Zeit verfügt, um eine KI-Empfehlung infrage zu stellen oder zu überstimmen. Ein formaler Freigabeschritt darf nicht zu einem bloßen Abnicken automatisierter Ergebnisse werden.

6. Schutzvorkehrungen bei KI-gestützten Personalentscheidungen

Wird KI bei Einstellung, Beförderung oder Leistungsbeurteilung eingesetzt, kann sie die Chancen und die berufliche Zukunft von Menschen beeinflussen. Der Leitfaden empfiehlt für solche Anwendungen eine menschliche Prüfung, Bias-Tests und Kontrollen der Datenqualität. Betroffene sollten außerdem eine klare Möglichkeit erhalten, eine Entscheidung anzufechten oder überprüfen zu lassen.

Damit wird Fairness von einem allgemeinen Grundsatz zu einer konkreten Aufsichtsfrage: Welche Belege zeigen, dass das System wie vorgesehen funktioniert? Welche Gruppen könnten benachteiligt werden? Und wie kann eine betroffene Person gegen ein Ergebnis vorgehen?

7. Cyberresilienz und Verantwortlichkeit auf Vorstandsebene verankern

Der Leitfaden ordnet KI in die übergreifende Verantwortung für die organisatorische und digitale Widerstandsfähigkeit ein. Seine Empfehlungen spiegeln die wachsende Erwartung wider, dass Verwaltungsräte KI-bezogene Risiken – einschließlich Cyberbedrohungen – aktiv überwachen, statt sich allein auf technische Teams zu verlassen.

Verwaltungsratsmitglieder sollten das Management fragen, wie KI die Angriffsfläche des Unternehmens verändert, wie sensible Daten geschützt werden, wie Anbieter geprüft werden und wie das Unternehmen reagieren würde, wenn ein KI-System kompromittiert wird oder schädliche Ausgaben erzeugt. Die konkreten Kontrollen unterscheiden sich je nach Organisation. Die Verantwortung, diese Fragen zu stellen, bleibt jedoch beim Verwaltungsrat.

Was Verwaltungsräte jetzt prüfen können

Eine erste Bestandsaufnahme kann mit fünf Fragen beginnen:

1. Wo wird bereits KI eingesetzt – einschließlich von Mitarbeitenden entwickelter Tools?
2. Welche Anwendungen sind strategisch besonders wichtig oder haben große Auswirkungen?
3. Welche Kennzahlen zu Nutzen und Risiken berichtet das Management dem Verwaltungsrat?
4. Wo ist menschliche Prüfung verpflichtend, und wo sind automatisierte Entscheidungen verboten?
5. Können Betroffene Entscheidungen anfechten, und kann das Unternehmen ein System sicher pausieren?

Die übergeordnete Lehre des Leitfadens: Verantwortungsvolle KI-Governance ist keine einmalige Richtlinie. Verwaltungsräte brauchen genug Kompetenz, um die Strategie zu überwachen, genügend Belege, um den geschäftlichen Nutzen zu beurteilen, und ausreichend Autorität, um Grenzen zu setzen, wenn die Risiken den erwarteten Nutzen übersteigen.