KI-Governance im Verwaltungsrat: Was Art. 716a OR bedeutet

Welche KI-Themen gehören in den Verwaltungsrat, und welche bleiben bei der Geschäftsleitung? Die Frage ist anspruchsvoll, weil das Gesetz KI nicht nennt und die Grenze zwischen Leitplanke und operativer Umsetzung im Alltag rasch verschwimmt.

Dieser Artikel trennt drei Ebenen: den Normtext, meine Einordnung und meine organisatorische Empfehlung.

Was die Norm sagt

Art. 716a Abs. 1 OR zählt die unübertragbaren und unentziehbaren Aufgaben des Verwaltungsrats auf. Der Katalog umfasst acht Ziffern. Für den Umgang mit KI sind aus meiner Sicht vor allem drei davon relevant. Im Wortlaut (SR 220, Stand 1. Januar 2026):

• Ziff. 1: «die Oberleitung der Gesellschaft und die Erteilung der nötigen Weisungen»
• Ziff. 2: «die Festlegung der Organisation»
• Ziff. 5: «die Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen»

Nach Art. 716a Abs. 2 OR hat der Verwaltungsrat für eine angemessene Berichterstattung an seine Mitglieder zu sorgen. Nach Art. 716b Abs. 1 OR kann er die Geschäftsführung nach Massgabe eines Organisationsreglements ganz oder zum Teil übertragen, sofern die Statuten nichts anderes vorsehen.

Art. 716a OR nennt KI nicht ausdrücklich. Der Artikel nennt überhaupt keine Technologie.

Rechtliche Einordnung

Ab hier folgt meine Einordnung. Sie ist kein Normtext und kein Rechtsrat für einen konkreten Fall.

Ich lese die Norm so: KI wird dort zum Gegenstand von Oberleitung, Organisation und Oberaufsicht, wo sie für Strategie, Organisation oder Regeleinhaltung des Unternehmens wesentlich ist. Ein Textassistent im Marketing gehört für mich zur Geschäftsleitung. Eine Anwendung, die Offerten kalkuliert, Bewerbungen vorsortiert oder selbstständig mit Kunden kommuniziert, kann für das Gremium relevant werden.

Der allgemeine Massstab steht in Art. 717 Abs. 1 OR: Die Mitglieder des Verwaltungsrats müssen ihre Aufgaben «mit aller Sorgfalt erfüllen und die Interessen der Gesellschaft in guten Treuen wahren». Das Bundesgericht hat zudem festgehalten, dass sich Gerichte bei der nachträglichen Beurteilung von Geschäftsentscheiden Zurückhaltung auferlegen, wenn diese «in einem einwandfreien, auf einer angemessenen Informationsbasis beruhenden und von Interessenkonflikten freien Entscheidprozess» zustande gekommen sind (BGE 139 III 24 E. 3.2, Urteil vom 20. November 2012). Das beschreibt einen Prüfmassstab der Gerichte. Eine Policy oder ein Protokoll garantiert keine bestimmte rechtliche Beurteilung. Was im konkreten Fall gilt, beurteilt eine Fachperson für Gesellschaftsrecht.

Rollen: Was beim Verwaltungsrat liegt und was bei der Geschäftsleitung

Der Verwaltungsrat setzt die wesentlichen Leitplanken. Die Geschäftsleitung setzt um. Das gilt auch bei KI.

Beim Verwaltungsrat sehe ich:

• die Grundsätze: wofür KI im Unternehmen eingesetzt wird und wofür ausdrücklich nicht
• die Kompetenzordnung: wer über wesentliche KI-Anwendungen entscheidet, festgehalten im Organisationsreglement
• die Kriterien, ab wann eine Anwendung als wesentlich gilt
• Form und Rhythmus der Berichterstattung an das Gremium

Bei der Geschäftsleitung sehe ich:

• Auswahl und Freigabe einzelner Tools
• Workflows und Schulung der Mitarbeitenden
• die Übersicht über eingesetzte Anwendungen und verwendete Daten
• den Umgang mit Vorfällen und die Meldung wesentlicher Ereignisse an das Gremium

Der Verwaltungsrat genehmigt also weder jede Tool-Liste noch jeden Workflow.

Wesentlichkeit: sechs Kriterien

Welche KI-Anwendung gehört auf die Traktandenliste? Das Gesetz gibt dafür keine Schwelle vor. Als Arbeitshilfe schlage ich sechs Kriterien vor. Je mehr davon zutreffen, desto eher gehört die Anwendung ins Gremium.

1. Tragweite: Beeinflusst die Anwendung Entscheide mit erheblicher finanzieller oder vertraglicher Wirkung?
2. Autonomie: Bereitet sie Entscheide vor, oder löst sie selbst Aktionen aus?
3. Daten: Werden Personendaten oder vertrauliche Geschäftsdaten verarbeitet?
4. Aussenwirkung: Treten Ergebnisse ungeprüft gegenüber Kunden, Bewerbenden oder Lieferanten auf?
5. Abhängigkeit: Hängt ein Kernprozess an einem einzelnen Anbieter?
6. Umkehrbarkeit: Lässt sich ein Fehler rasch erkennen und korrigieren?

Datenschutz als Teil der Regeleinhaltung

Bearbeitet eine KI-Anwendung Personendaten, ist das Datenschutzgesetz zu beachten (DSG, SR 235.1, in Kraft seit 1. September 2023). Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Meine Frage an die Geschäftsleitung: Ist für die wesentlichen KI-Anwendungen geklärt, welche Personendaten sie bearbeiten, zu welchem Zweck und mit welchen Schutzmassnahmen? Die Klärung selbst ist operative Arbeit.

Meine organisatorische Empfehlung: vier Schritte

Die folgenden Schritte sind meine Empfehlung und eine anpassbare Arbeitshilfe. Das Gesetz schreibt sie in dieser Form nicht vor.

Schritt 1: Übersicht einfordern
Die Geschäftsleitung legt eine Übersicht der wesentlichen KI-Anwendungen vor: Zweck, verwendete Daten, verantwortliche Person. Die vollständige Tool-Liste bleibt bei ihr.

Schritt 2: Wesentlichkeit festlegen
Das Gremium beschliesst, nach welchen Kriterien eine Anwendung als wesentlich gilt.

Schritt 3: Leitplanken beschliessen
Ein kurzer Grundsatzbeschluss hält Einsatzzweck, Ausschlüsse, Umgang mit vertraulichen Daten und Zuständigkeiten fest. Die Geschäftsleitung konkretisiert ihn in einer Nutzungsrichtlinie. Der Beschluss gibt Orientierung. Eine rechtliche Garantie ist er nicht.

Schritt 4: Berichterstattung verankern
Ich empfehle, KI mindestens einmal jährlich zu traktandieren, bei wesentlichen Änderungen oder Vorfällen früher. Der Bericht beantwortet vier Fragen: Was ist neu im Einsatz? Was hat sich bewährt? Welche Vorfälle gab es? Wo braucht es einen Entscheid des Gremiums?

Wie sich diese Schritte auf ein Quartal verteilen lassen, zeigt der Beitrag KI-Governance: Ein möglicher Fahrplan für die ersten 90 Tage.

Fazit

Wo KI für das Unternehmen wesentlich wird, gehört sie nach meiner Lesart zu Oberleitung, Organisation und Oberaufsicht. Das gelingt mit klaren Rollen, nachvollziehbaren Kriterien und regelmässiger Berichterstattung. Die operative Umsetzung bleibt bei der Geschäftsleitung.

Handlungsfrage

Welche KI-Anwendung in Ihrem Unternehmen erfüllt heute mehrere der sechs Kriterien, und wann hat die Geschäftsleitung dem Gremium zuletzt darüber berichtet?