Die erste Frage lautet: Welches Ergebnis soll sich verbessern?

Der Leitfaden empfiehlt, KI-Investitionen an ihrem erwarteten Beitrag zum Unternehmen zu messen. Ein belastbarer Business Case kann auf höhere Umsätze, mehr Produktivität, bessere Servicequalität, fundiertere Entscheidungen, weniger Risiken oder eine höhere operative Resilienz abzielen. Entscheidend ist, das gewünschte Ergebnis vor der Investitionsentscheidung festzulegen und anschließend zu prüfen, ob es tatsächlich erreicht wurde.

Damit müssen Aufsichtsräte aussagekräftige Leistungskennzahlen von bloßen Aktivitätskennzahlen unterscheiden. Die Zahl gestarteter Pilotprojekte, gekaufter Softwarelizenzen oder geschulter Beschäftigter zeigt zwar Einsatz, beweist aber noch keinen geschäftlichen Nutzen. Das Management sollte deshalb neben Nutzungszahlen auch realisierte Ergebnisse, Kosten, Grenzen und Risiken berichten.

Dieser Ansatz hilft, zwei typische Fehler zu vermeiden: voneinander losgelöste Experimente ohne realistischen Weg in den produktiven Einsatz – oder eine Blockade sinnvoller Anwendungen, weil niemand definiert hat, woran Erfolg zu erkennen ist. Der Fokus des Leitfadens auf Strategie, Anwendungsfälle und Rendite soll KI-Ausgaben mit den übergeordneten Prioritäten des Unternehmens verbinden.

Informelle Nutzung durch Beschäftigte in geregelte Bahnen lenken

Mitarbeitende nutzen KI-Tools möglicherweise schon heute auf eigene Initiative oder entwickeln eigene Arbeitsabläufe. Die empfohlene Reaktion besteht nicht darin, diese Aktivitäten zu ignorieren, sondern nützliche Experimente in eine kontrollierte organisatorische Fähigkeit zu überführen.

Aufsichtsräte sollten vom Management verlangen, einen Überblick darüber zu schaffen, welche Tools und Anwendungsfälle genutzt werden, wer dafür verantwortlich ist, welche Daten verarbeitet werden und welche Kontrollen gelten. Zu den ausdrücklich genannten Überlegungen gehören die Dokumentation von mit KI erstellten Tools, eine Governance für deren Nutzung und die Einhaltung von Sicherheitsanforderungen.

In der Praxis braucht es dafür unternehmensweite Regeln zu zugelassenen Tools, vertraulichen Informationen, Zuständigkeiten, Überwachung und Eskalation. Gleichzeitig sollte das Unternehmen vorhandene KI-Kenntnisse der Belegschaft erkennen und weiterentwickeln, statt Einführung ausschließlich von oben zu verordnen. Ohne Qualifizierungsplan, klare Verantwortlichkeiten und verlässliche Abläufe dürfte eine Strategie nur schwer von der Testphase in die Umsetzung gelangen.

Der gesamte Aufsichtsrat muss KI gut genug verstehen

Der Leitfaden versteht KI-Kompetenz als Fähigkeit des Aufsichtsrats. Nicht jedes Mitglied muss zum Spezialisten für maschinelles Lernen werden. Das Gremium als Ganzes sollte jedoch nachvollziehen können, wie KI Branchen, Geschäftsmodelle, Wettbewerbsdynamik, Entscheidungsprozesse und Risiken verändert.

Mehrere Mitglieder sollten in der Lage sein, Annahmen, Wertversprechen und Risikoeinschätzungen des Managements kritisch zu prüfen. Außerdem sollte der Aufsichtsrat Zugang zu mindestens einer Person haben – etwa aus den eigenen Reihen, als Berater oder in einem Ausschuss –, die über genügend technische Tiefe verfügt, um Entscheidungen zu Systemen, Daten, Tests und Kontrollen zu hinterfragen.

Das geht über eine Zuständigkeit des Technologieausschusses mit gelegentlichen Statusberichten hinaus. KI wird damit Teil der strategischen und treuhänderischen Aufsicht des Gremiums. Für technische Fragen, die dessen Expertise überschreiten, bleibt spezialisierter Rat erforderlich.

Entscheidungsbefugnisse vor dem Start eines Systems festlegen

KI-Governance wird erst dann praktisch wirksam, wenn klar ist, wer ein System genehmigen, betreiben, überwachen und notfalls abschalten darf. Der Aufsichtsrat sollte deshalb risikobasierte Entscheidungsgrenzen verlangen, die zwischen drei Kategorien unterscheiden:

• Entscheidungen, die das Management innerhalb genehmigter Grenzen selbst treffen kann;
• Entscheidungen, die an den Aufsichtsrat oder einen Ausschuss eskaliert werden müssen;
• Entscheidungen, die eine KI nicht autonom treffen darf.

Je schwerwiegender die möglichen Folgen, desto strenger müssen die Kontrollen sein. Für folgenschwere Anwendungen im Beschäftigungskontext – etwa Einstellung, Beförderung, Kündigung oder Leistungsbeurteilung – sollte es klare rote Linien geben: eine substanzielle menschliche Prüfung und eine konkret benannte, verantwortliche Person. Eine KI-Ausgabe darf nicht zu einer ungeprüften automatisierten Entscheidung über die berufliche Existenz eines Menschen werden.

Das entspricht der übergeordneten Erwartung, dass KI menschliche Urteilsfähigkeit unterstützen und nicht unbemerkt ersetzen soll. Vor dem Go-live sollten daher Eigentümer, Genehmigungsschwelle, Kontrollpunkt für menschliche Aufsicht und Abschaltprozess feststehen.

Fairness, Datenqualität und Einspruchsmöglichkeiten prüfen

Ein verantwortungsvoller Freigabeprozess darf sich nicht darauf beschränken, ob ein Modell im Durchschnitt gute Ergebnisse liefert. Aufsichtsräte sollten fragen, wie die Organisation Datenqualität prüft, Einschränkungen dokumentiert, mögliche Verzerrungen untersucht und die Leistung nach der Einführung überwacht.

Wenn ein KI-System Menschen in erheblicher Weise betrifft, brauchen Betroffene eine nachvollziehbare Möglichkeit, eine Entscheidung zu verstehen, ein Ergebnis anzufechten und eine erneute Prüfung durch einen Menschen zu verlangen. Dafür müssen keine Geschäftsgeheimnisse oder proprietären technischen Details offengelegt werden. Die Informationen müssen jedoch eine verantwortliche Überprüfung und einen wirksamen Einspruch ermöglichen.

Dies ist Teil eines umfassenderen Kontrollumfelds. Materialien zur Corporate Governance in Singapur betonen transparente und verantwortliche KI-Entscheidungen sowie die Beachtung regulatorischer und ethischer Standards. Aufgabe des Aufsichtsrats ist es, dafür zu sorgen, dass daraus dokumentierte Prozesse mit klaren Zuständigkeiten und Nachweisen werden – und nicht nur allgemein formulierte Grundsätze.

KI als Teil der Cyber- und Betriebsresilienz behandeln

KI bringt ein Sicherheitsproblem auf zwei Ebenen mit sich. Unternehmen müssen sich gegen KI-gestützte Phishing-Angriffe, Social Engineering, Betrug, automatisierte Attacken und die schnellere Suche nach Schwachstellen wappnen. Zugleich müssen die KI-Systeme selbst gegen Datenabfluss, Prompt Injection, Manipulation von Modellen sowie Risiken durch Anbieter und andere Dritte geschützt werden.

Diese Risiken sollten deshalb in Berichten zur Cyberresilienz, in Prüfungen und in Notfallplänen auftauchen – nicht in einem separaten Technologiesilo. Wichtige Fragen lauten: Wer kann ein System deaktivieren? Wie werden Vorfälle gemeldet? Wie untersucht das Unternehmen betroffene Daten und Entscheidungen? Und wie wird der Betrieb wiederhergestellt, wenn ein KI-Dienst ausfällt oder kompromittiert wurde?

Damit führt der Leitfaden bestehende Erwartungen an Cyberresilienz und Risikomanagement weiter. Auch die Cyber-Leitlinien des SID verstehen Resilienz als Bestandteil der Unternehmensstrategie und nicht als rein technische Aufgabe.

Für kritische Systeme gelten höhere Anforderungen

Die Folgen eines KI-Fehlers hängen stark vom jeweiligen Anwendungsfall ab. Ein internes Tool zur Produktivitätssteigerung mit geringem Risiko braucht nicht dieselbe Aufsicht wie ein System, das wesentliche Dienste, kritische Infrastruktur oder andere besonders folgenreiche Abläufe unterstützt.

In solchen Bereichen sollten Aufsichtsräte höhere Anforderungen an Resilienz, Sicherheit, Tests, Überwachung, Eskalation und Wiederherstellung stellen. Ein Ausfall oder eine Kompromittierung könnte dort nicht nur die Finanzen oder den Ruf des Unternehmens beeinträchtigen, sondern auch wichtige Dienstleistungen stören und breitere operative Folgen haben.

Der risikobasierte Ansatz des Leitfadens vermeidet, alle KI-Anwendungen über einen Kamm zu scheren. Stattdessen sollen Befugnisse und Kontrollen an den möglichen Auswirkungen eines Fehlers ausgerichtet werden.

Ein praktisches Dashboard für wesentliche KI-Anwendungen

Die Empfehlungen lassen sich in ein überschaubares Register oder Dashboard für den Aufsichtsrat übersetzen. Für jeden wesentlichen Anwendungsfall sollte das Management folgende Punkte benennen können:

1. Verantwortliche Person: Wer trägt Verantwortung für das System und seine Ergebnisse?
2. Angestrebtes Geschäftsergebnis: Welcher Nutzen wird erwartet und wie wird er gemessen?
3. Entscheidungsbefugnisse: Welche Freigaben und Eskalationsschwellen gelten?
4. Datenquellen und Verarbeitungsregeln: Welche Daten werden verwendet und wie behandelt?
5. Risikostufe: Warum wurde der Anwendungsfall dieser Kategorie zugeordnet?
6. Kontrollen: Welche Prüfungen zu Sicherheit, Fairness und Datenqualität bestehen?
7. Menschliche Aufsicht: An welcher Stelle prüft ein Mensch und wer verantwortet die finale Entscheidung?
8. Test- und Überwachungsergebnisse: Welche Grenzen und bekannten Probleme gibt es?
9. Vorfälle, Beschwerden und Einsprüche: Was ist passiert und wie wurde darauf reagiert?
10. Nächster Prüftermin: Wann oder aufgrund welcher Veränderung wird der Fall neu bewertet?

Diese Struktur bringt Wertschöpfung und Risikomanagement in einem Datensatz zusammen. Sie liefert dem Aufsichtsrat konkrete Nachweise, die hinterfragt werden können, statt sich auf die pauschale Aussage zu verlassen, das Unternehmen setze KI „verantwortungsvoll“ ein.

Das bedeutet der Leitfaden für Unternehmensorgane

Der SID-Leitfaden stellt KI-Einsatz und KI-Governance nicht als Gegensätze dar. Er fordert Aufsichtsräte auf, nützliche Anwendungen mit derselben Disziplin zu verfolgen wie andere wesentliche strategische Investitionen: Nutzen definieren, Verantwortung zuweisen, Risiken verstehen, Kontrollen testen und Ergebnisse überprüfen.

Für Aufsichtsräte besteht der unmittelbare nächste Schritt darin, KI regelmäßig auf die Tagesordnung zu setzen, die wesentlichen Anwendungsfälle des Unternehmens zu prüfen und Lücken bei Kompetenz, Zuständigkeiten, Entscheidungsrechten, menschlicher Aufsicht, Tests und Resilienz zu identifizieren. Die stärkste KI-Strategie ist nicht die mit den meisten Aktivitäten. Es ist diejenige, die das Gremium erklären, messen und wirksam steuern kann.

Die erste Frage lautet: Welches Ergebnis soll sich verbessern?

Der Leitfaden empfiehlt, KI-Investitionen an ihrem erwarteten Beitrag zum Unternehmen zu messen. Ein belastbarer Business Case kann auf höhere Umsätze, mehr Produktivität, bessere Servicequalität, fundiertere Entscheidungen, weniger Risiken oder eine höhere operative Resilienz abzielen. Entscheidend ist, das gewünschte Ergebnis vor der Investitionsentscheidung festzulegen und anschließend zu prüfen, ob es tatsächlich erreicht wurde.

Damit müssen Aufsichtsräte aussagekräftige Leistungskennzahlen von bloßen Aktivitätskennzahlen unterscheiden. Die Zahl gestarteter Pilotprojekte, gekaufter Softwarelizenzen oder geschulter Beschäftigter zeigt zwar Einsatz, beweist aber noch keinen geschäftlichen Nutzen. Das Management sollte deshalb neben Nutzungszahlen auch realisierte Ergebnisse, Kosten, Grenzen und Risiken berichten.

Dieser Ansatz hilft, zwei typische Fehler zu vermeiden: voneinander losgelöste Experimente ohne realistischen Weg in den produktiven Einsatz – oder eine Blockade sinnvoller Anwendungen, weil niemand definiert hat, woran Erfolg zu erkennen ist. Der Fokus des Leitfadens auf Strategie, Anwendungsfälle und Rendite soll KI-Ausgaben mit den übergeordneten Prioritäten des Unternehmens verbinden.

Informelle Nutzung durch Beschäftigte in geregelte Bahnen lenken

Mitarbeitende nutzen KI-Tools möglicherweise schon heute auf eigene Initiative oder entwickeln eigene Arbeitsabläufe. Die empfohlene Reaktion besteht nicht darin, diese Aktivitäten zu ignorieren, sondern nützliche Experimente in eine kontrollierte organisatorische Fähigkeit zu überführen.

Aufsichtsräte sollten vom Management verlangen, einen Überblick darüber zu schaffen, welche Tools und Anwendungsfälle genutzt werden, wer dafür verantwortlich ist, welche Daten verarbeitet werden und welche Kontrollen gelten. Zu den ausdrücklich genannten Überlegungen gehören die Dokumentation von mit KI erstellten Tools, eine Governance für deren Nutzung und die Einhaltung von Sicherheitsanforderungen.

In der Praxis braucht es dafür unternehmensweite Regeln zu zugelassenen Tools, vertraulichen Informationen, Zuständigkeiten, Überwachung und Eskalation. Gleichzeitig sollte das Unternehmen vorhandene KI-Kenntnisse der Belegschaft erkennen und weiterentwickeln, statt Einführung ausschließlich von oben zu verordnen. Ohne Qualifizierungsplan, klare Verantwortlichkeiten und verlässliche Abläufe dürfte eine Strategie nur schwer von der Testphase in die Umsetzung gelangen.

Der gesamte Aufsichtsrat muss KI gut genug verstehen

Der Leitfaden versteht KI-Kompetenz als Fähigkeit des Aufsichtsrats. Nicht jedes Mitglied muss zum Spezialisten für maschinelles Lernen werden. Das Gremium als Ganzes sollte jedoch nachvollziehen können, wie KI Branchen, Geschäftsmodelle, Wettbewerbsdynamik, Entscheidungsprozesse und Risiken verändert.

Mehrere Mitglieder sollten in der Lage sein, Annahmen, Wertversprechen und Risikoeinschätzungen des Managements kritisch zu prüfen. Außerdem sollte der Aufsichtsrat Zugang zu mindestens einer Person haben – etwa aus den eigenen Reihen, als Berater oder in einem Ausschuss –, die über genügend technische Tiefe verfügt, um Entscheidungen zu Systemen, Daten, Tests und Kontrollen zu hinterfragen.

Das geht über eine Zuständigkeit des Technologieausschusses mit gelegentlichen Statusberichten hinaus. KI wird damit Teil der strategischen und treuhänderischen Aufsicht des Gremiums. Für technische Fragen, die dessen Expertise überschreiten, bleibt spezialisierter Rat erforderlich.

Entscheidungsbefugnisse vor dem Start eines Systems festlegen

KI-Governance wird erst dann praktisch wirksam, wenn klar ist, wer ein System genehmigen, betreiben, überwachen und notfalls abschalten darf. Der Aufsichtsrat sollte deshalb risikobasierte Entscheidungsgrenzen verlangen, die zwischen drei Kategorien unterscheiden:

• Entscheidungen, die das Management innerhalb genehmigter Grenzen selbst treffen kann;
• Entscheidungen, die an den Aufsichtsrat oder einen Ausschuss eskaliert werden müssen;
• Entscheidungen, die eine KI nicht autonom treffen darf.

Je schwerwiegender die möglichen Folgen, desto strenger müssen die Kontrollen sein. Für folgenschwere Anwendungen im Beschäftigungskontext – etwa Einstellung, Beförderung, Kündigung oder Leistungsbeurteilung – sollte es klare rote Linien geben: eine substanzielle menschliche Prüfung und eine konkret benannte, verantwortliche Person. Eine KI-Ausgabe darf nicht zu einer ungeprüften automatisierten Entscheidung über die berufliche Existenz eines Menschen werden.

Das entspricht der übergeordneten Erwartung, dass KI menschliche Urteilsfähigkeit unterstützen und nicht unbemerkt ersetzen soll. Vor dem Go-live sollten daher Eigentümer, Genehmigungsschwelle, Kontrollpunkt für menschliche Aufsicht und Abschaltprozess feststehen.

Fairness, Datenqualität und Einspruchsmöglichkeiten prüfen

Ein verantwortungsvoller Freigabeprozess darf sich nicht darauf beschränken, ob ein Modell im Durchschnitt gute Ergebnisse liefert. Aufsichtsräte sollten fragen, wie die Organisation Datenqualität prüft, Einschränkungen dokumentiert, mögliche Verzerrungen untersucht und die Leistung nach der Einführung überwacht.

Wenn ein KI-System Menschen in erheblicher Weise betrifft, brauchen Betroffene eine nachvollziehbare Möglichkeit, eine Entscheidung zu verstehen, ein Ergebnis anzufechten und eine erneute Prüfung durch einen Menschen zu verlangen. Dafür müssen keine Geschäftsgeheimnisse oder proprietären technischen Details offengelegt werden. Die Informationen müssen jedoch eine verantwortliche Überprüfung und einen wirksamen Einspruch ermöglichen.

Dies ist Teil eines umfassenderen Kontrollumfelds. Materialien zur Corporate Governance in Singapur betonen transparente und verantwortliche KI-Entscheidungen sowie die Beachtung regulatorischer und ethischer Standards. Aufgabe des Aufsichtsrats ist es, dafür zu sorgen, dass daraus dokumentierte Prozesse mit klaren Zuständigkeiten und Nachweisen werden – und nicht nur allgemein formulierte Grundsätze.

KI als Teil der Cyber- und Betriebsresilienz behandeln

KI bringt ein Sicherheitsproblem auf zwei Ebenen mit sich. Unternehmen müssen sich gegen KI-gestützte Phishing-Angriffe, Social Engineering, Betrug, automatisierte Attacken und die schnellere Suche nach Schwachstellen wappnen. Zugleich müssen die KI-Systeme selbst gegen Datenabfluss, Prompt Injection, Manipulation von Modellen sowie Risiken durch Anbieter und andere Dritte geschützt werden.

Diese Risiken sollten deshalb in Berichten zur Cyberresilienz, in Prüfungen und in Notfallplänen auftauchen – nicht in einem separaten Technologiesilo. Wichtige Fragen lauten: Wer kann ein System deaktivieren? Wie werden Vorfälle gemeldet? Wie untersucht das Unternehmen betroffene Daten und Entscheidungen? Und wie wird der Betrieb wiederhergestellt, wenn ein KI-Dienst ausfällt oder kompromittiert wurde?

Damit führt der Leitfaden bestehende Erwartungen an Cyberresilienz und Risikomanagement weiter. Auch die Cyber-Leitlinien des SID verstehen Resilienz als Bestandteil der Unternehmensstrategie und nicht als rein technische Aufgabe.

Für kritische Systeme gelten höhere Anforderungen

Die Folgen eines KI-Fehlers hängen stark vom jeweiligen Anwendungsfall ab. Ein internes Tool zur Produktivitätssteigerung mit geringem Risiko braucht nicht dieselbe Aufsicht wie ein System, das wesentliche Dienste, kritische Infrastruktur oder andere besonders folgenreiche Abläufe unterstützt.

In solchen Bereichen sollten Aufsichtsräte höhere Anforderungen an Resilienz, Sicherheit, Tests, Überwachung, Eskalation und Wiederherstellung stellen. Ein Ausfall oder eine Kompromittierung könnte dort nicht nur die Finanzen oder den Ruf des Unternehmens beeinträchtigen, sondern auch wichtige Dienstleistungen stören und breitere operative Folgen haben.

Der risikobasierte Ansatz des Leitfadens vermeidet, alle KI-Anwendungen über einen Kamm zu scheren. Stattdessen sollen Befugnisse und Kontrollen an den möglichen Auswirkungen eines Fehlers ausgerichtet werden.

Ein praktisches Dashboard für wesentliche KI-Anwendungen

Die Empfehlungen lassen sich in ein überschaubares Register oder Dashboard für den Aufsichtsrat übersetzen. Für jeden wesentlichen Anwendungsfall sollte das Management folgende Punkte benennen können:

1. Verantwortliche Person: Wer trägt Verantwortung für das System und seine Ergebnisse?
2. Angestrebtes Geschäftsergebnis: Welcher Nutzen wird erwartet und wie wird er gemessen?
3. Entscheidungsbefugnisse: Welche Freigaben und Eskalationsschwellen gelten?
4. Datenquellen und Verarbeitungsregeln: Welche Daten werden verwendet und wie behandelt?
5. Risikostufe: Warum wurde der Anwendungsfall dieser Kategorie zugeordnet?
6. Kontrollen: Welche Prüfungen zu Sicherheit, Fairness und Datenqualität bestehen?
7. Menschliche Aufsicht: An welcher Stelle prüft ein Mensch und wer verantwortet die finale Entscheidung?
8. Test- und Überwachungsergebnisse: Welche Grenzen und bekannten Probleme gibt es?
9. Vorfälle, Beschwerden und Einsprüche: Was ist passiert und wie wurde darauf reagiert?
10. Nächster Prüftermin: Wann oder aufgrund welcher Veränderung wird der Fall neu bewertet?

Diese Struktur bringt Wertschöpfung und Risikomanagement in einem Datensatz zusammen. Sie liefert dem Aufsichtsrat konkrete Nachweise, die hinterfragt werden können, statt sich auf die pauschale Aussage zu verlassen, das Unternehmen setze KI „verantwortungsvoll“ ein.

Das bedeutet der Leitfaden für Unternehmensorgane

Der SID-Leitfaden stellt KI-Einsatz und KI-Governance nicht als Gegensätze dar. Er fordert Aufsichtsräte auf, nützliche Anwendungen mit derselben Disziplin zu verfolgen wie andere wesentliche strategische Investitionen: Nutzen definieren, Verantwortung zuweisen, Risiken verstehen, Kontrollen testen und Ergebnisse überprüfen.

Für Aufsichtsräte besteht der unmittelbare nächste Schritt darin, KI regelmäßig auf die Tagesordnung zu setzen, die wesentlichen Anwendungsfälle des Unternehmens zu prüfen und Lücken bei Kompetenz, Zuständigkeiten, Entscheidungsrechten, menschlicher Aufsicht, Tests und Resilienz zu identifizieren. Die stärkste KI-Strategie ist nicht die mit den meisten Aktivitäten. Es ist diejenige, die das Gremium erklären, messen und wirksam steuern kann.