KI-Governance: Ein möglicher Fahrplan für die ersten 90 Tage

Ein hypothetisches Beispiel: Ein Verwaltungsrat behandelt als viertes Traktandum das Thema KI. Die Präsidentin fragt in die Runde: «Wir wissen, dass wir etwas tun sollten. Womit fangen wir an?» Nach zehn Minuten Diskussion folgt das nächste Traktandum. Ein Beschluss liegt nicht vor.

In diesem Beispiel ist der Wille vorhanden. Es fehlt eine Reihenfolge: Wer klärt was, bis wann, und was kommt in welcher Form zurück ins Gremium?

Dieser Artikel schlägt eine solche Reihenfolge vor. Die 90 Tage sind ein Arbeitsvorschlag. Sie sind keine gesetzliche Frist und kein Standard. Passen Sie Tempo, Tiefe und Zuständigkeiten an Ihr Unternehmen an.

Zuerst die Rollen klären

Normtext. Art. 716a Abs. 1 OR zählt die unübertragbaren Aufgaben des Verwaltungsrats auf. Dazu gehören die Oberleitung der Gesellschaft, die Festlegung der Organisation und die Oberaufsicht über die mit der Geschäftsführung betrauten Personen. Nach Art. 716b OR kann der Verwaltungsrat die Geschäftsführung nach Massgabe eines Organisationsreglements übertragen. Das Reglement regelt auch die Berichterstattung. KI nennt das Gesetz an keiner dieser Stellen.

Einordnung. Welche KI-Fragen in den Verwaltungsrat gehören, ergibt sich aus der Wesentlichkeit für das Unternehmen und aus Ihrer Kompetenzordnung. Eine allgemeine Pflicht, jedes Werkzeug oder jede Richtlinie im Verwaltungsrat zu beschliessen, lässt sich aus dem Normtext nicht ablesen. Für die rechtliche Beurteilung im Einzelfall ziehen Sie eine Fachperson bei.

Meine Empfehlung. Der Verwaltungsrat setzt die wesentlichen Leitplanken und verlangt einen Bericht. Die Geschäftsleitung erarbeitet die Grundlagen, gibt Werkzeuge frei und führt die Umsetzung. So bleibt jede Rolle bei ihrer Aufgabe. Die Einordnung der Norm steht im Beitrag KI-Governance im Verwaltungsrat: Was Art. 716a OR bedeutet.

Woche 1 bis 4: Ausgangslage sichtbar machen

Der Verwaltungsrat beauftragt die Geschäftsleitung mit einer ersten Übersicht. Ich empfehle, den Auftrag als Führungsaufgabe zu formulieren. Die IT liefert zu, die Verantwortung liegt bei der Geschäftsleitung.

Drei Fragen an die Geschäftsleitung:

1. Welche KI-Systeme sind im Unternehmen im Einsatz, freigegeben und nicht freigegeben?
2. Welche Unternehmensdaten fliessen in diese Systeme?
3. Wer hat die Nutzung freigegeben, und auf welcher Grundlage?

Rechnen Sie damit, dass die erste Übersicht Lücken hat. Eine Lücke bei Frage 2 oder 3 ist ein Ergebnis, mit dem Sie arbeiten können. Das Ziel nach vier Wochen ist eine ehrliche erste Fassung.

Wie weit Gremien beim eigenen Kompetenzaufbau sind, zeigt die Knight Gianella VR-Umfrage 2025/2026. Befragt wurden 192 Verwaltungsratsmitglieder zwischen August und Oktober 2025, 65 Prozent davon mit Mandat bei einem börsenkotierten Unternehmen. Den Aufbau von KI- und Technologiekompetenz im eigenen Gremium sahen 7 Prozent als «sehr viel» und 45 Prozent als «etwas» umgesetzt. Rund die Hälfte gab wenig oder keine Umsetzung an. Für Schweizer KMU sind diese Zahlen kein Nachweis.

Woche 5 bis 8: Leitplanken festlegen

Die Übersicht liegt vor. Jetzt bereitet die Geschäftsleitung drei Punkte vor.

Datenklassen

Welche Daten dürfen in welche Systeme fliessen? Für den Anfang genügen aus meiner Sicht drei Klassen: öffentlich, intern, vertraulich. Personendaten verdienen dabei eine eigene Prüfung. Der EDÖB hält fest, dass das Datenschutzgesetz auf KI-gestützte Datenbearbeitungen direkt anwendbar ist (Mitteilung vom 8. Mai 2025).

Freigabe von Werkzeugen

Die konkrete Liste der freigegebenen Werkzeuge führt die Geschäftsleitung. Sie ändert sich mit jedem neuen Werkzeug. Der Verwaltungsrat kann die Kriterien vorgeben: Datenklasse, Vertragsgrundlage, Speicherort, Zuständigkeit. Wo Ihre Kompetenzordnung es vorsieht, entscheidet er über Einsätze mit wesentlicher Tragweite.

Zuständigkeit und Berichtsweg

Wer ist in der Geschäftsleitung für KI zuständig? Wer berichtet dem Verwaltungsrat, wie oft und in welcher Form? Art. 716a Abs. 2 OR erlaubt, die Vorbereitung und Überwachung einem Ausschuss oder einem einzelnen Mitglied zuzuweisen. Das hilft, wenn zwischen zwei Sitzungen gearbeitet werden soll.

Woche 9 bis 12: Richtlinie und Berichterstattung

Aus den Leitplanken entsteht eine kompakte KI-Richtlinie. Wenige Seiten genügen. Sie regelt vier Dinge:

1. Was ist erlaubt, was ist untersagt (Datenklassen und Freigabeprozess).
2. Wer entscheidet bei Grenzfällen (Eskalationsweg).
3. Wie wird die Einhaltung überprüft (Bericht der Geschäftsleitung).
4. Wann wird die Richtlinie überarbeitet (zum Beispiel jährlich oder bei wesentlichen Änderungen).

Die Geschäftsleitung erstellt den Entwurf. Ob der Verwaltungsrat die Richtlinie genehmigt oder zur Kenntnis nimmt, richtet sich nach Ihrem Organisationsreglement.

Eine Richtlinie ist ein Arbeitsinstrument. Sie macht Entscheide nachvollziehbar und gibt Mitarbeitenden Orientierung. Sie ersetzt weder die laufende Aufsicht noch die rechtliche Beurteilung eines konkreten Falls.

An die Unternehmensgrösse anpassen

• Verwaltungsrat und Geschäftsführung in denselben Händen: Die Rollentrennung ist hier eine Frage der Disziplin. Halten Sie die Leitplanken trotzdem schriftlich fest, auf einer bis zwei Seiten.
• Mittleres Unternehmen mit eigener Geschäftsleitung: Tagt Ihr Verwaltungsrat viermal pro Jahr, fallen in 90 Tage eine bis zwei ordentliche Sitzungen. Ein beauftragtes Mitglied begleitet die Vorarbeiten dazwischen.
• Grösseres Unternehmen oder Gruppe: Binden Sie Datenschutz, Informationssicherheit und internes Kontrollsystem ein. Rechnen Sie mit einem längeren Zeitraum.

Was nach 90 Tagen realistisch vorliegt

Eine erste Übersicht mit benannten Lücken. Festgelegte Datenklassen, ein Freigabeprozess und eine zuständige Person. Eine Richtlinie in Kraft. Ein regelmässiger Bericht an den Verwaltungsrat. Eine Liste offener Punkte mit Terminen.

Das ist ein Anfang. Offen sind danach vertiefte Fragen, zum Beispiel Verträge mit Anbietern, Datenschutz im Einzelfall und technische Sicherheit. Diese Arbeit braucht teils Fachpersonen.

Zwei Zielkonflikte

Tempo gegen Vollständigkeit. Wer auf die vollständige Übersicht wartet, entscheidet spät. Wer zu früh entscheidet, regelt am Bedarf vorbei. Mein Vorschlag: vorläufige Leitplanken mit festem Überprüfungstermin.

Freigabe gegen Verbot. Ein enges Verbot kann die Nutzung auf private Geräte und Konten verlagern. Eine Freigabe ohne Datenregeln schafft Unklarheit. Eine kurze Liste freigegebener Werkzeuge mit klaren Datenklassen verbindet beides. Mehr dazu im Beitrag Schatten-KI: Daten und Zuständigkeiten im KMU klären.

Der nächste Schritt

Setzen Sie für die nächste Sitzung einen einzigen Beschluss auf: den Auftrag an die Geschäftsleitung für die erste Übersicht, mit Termin.