KI-Haftung für Verwaltungsräte: Was Art. 754 OR konkret bedeutet

Die gesetzliche Ausgangslage

Art. 754 OR ist knapp formuliert: Verwaltungsräte haften der Gesellschaft, den Aktionären und den Gläubigern für den Schaden, den sie durch absichtliche oder fahrlässige Verletzung ihrer Pflichten verursachen. Was nach einem theoretischen Satz klingt, hat in der Praxis weitreichende Konsequenzen — besonders in einer Zeit, in der Unternehmensentscheide zunehmend KI-gestützt getroffen werden.

Die entscheidende Frage lautet: Wann ist ein VR-Mitglied für einen KI-bedingten Schaden verantwortlich — und wann greift die Business Judgement Rule als Schutz?

Business Judgement Rule: Der Schutzschild — und seine Grenzen

Die Business Judgement Rule, wie sie das Schweizer Bundesgericht anwendet, schützt Verwaltungsräte vor Haftungsansprüchen, wenn sie:

1. Auf einer vernünftigen Informationsbasis entschieden haben
2. Den Entscheidprozess sorgfältig dokumentiert haben
3. In gutem Glauben und ohne Interessenkonflikt gehandelt haben

Der Knackpunkt: vernünftige Informationsbasis. Was bedeutet das für KI-Entscheide?

Ein Verwaltungsrat, der einem KI-System die Kreditvergabe überträgt, ohne die zugrundeliegenden Risikoparameter zu kennen, kann sich bei einer falschen Kreditentscheidung nicht auf die Business Judgement Rule berufen. Der Informationsvorsprung, den ein Direktor haben müsste, um einen solchen Entscheid zu fällen, war nicht vorhanden.

Die drei KI-Haftungsrisiken für Verwaltungsräte

1. Delegationsrisiko

Der VR darf operative Aufgaben an die Geschäftsleitung delegieren. Er kann nicht die Aufsichtspflicht delegieren. Wenn KI-Systeme im Unternehmen Entscheide treffen oder vorbereiten, die materiell erheblich sind, bleibt die Überwachungspflicht beim Verwaltungsrat.

Konkret: Ein VR-Gremium, das «KI-Governance an die IT delegiert» und danach keine weiteren Fragen stellt, erfüllt seine Sorgfaltspflicht nach Art. 717 OR nicht.

2. Dokumentationsrisiko

Jeder VR-Entscheid, der KI-Empfehlungen oder KI-generierte Analysen verwendet, muss nachvollziehbar dokumentieren:

• Welches System wurde eingesetzt?
• Welche Daten wurden verarbeitet?
• Welche Einschränkungen hatte das System?
• Wer hat die Schlussfolgerung menschlich überprüft?

Fehlt diese Dokumentation, ist die Business Judgement Rule in einer späteren Haftungsklage nicht anwendbar.

3. Datenschutzrisiko

Das revidierte nDSG (seit 1. September 2023) schafft erhöhte Anforderungen an die Verarbeitung personenbezogener Daten. Wenn KI-Systeme im Unternehmen Kundendaten, Mitarbeiterdaten oder Partnerinformationen verarbeiten, ist der Verwaltungsrat als oberstes Führungsorgan mitverantwortlich für die Rechtmässigkeit dieser Verarbeitung.

Verstösse können zu Bussgeldern von bis zu CHF 250'000 führen — und zu persönlichen Reputationsschäden, die sich juristisch schwerer fassen lassen.

Was ein Verwaltungsrat konkret tun muss

Schritt 1: KI-Inventar erstellen
Eine vollständige Liste aller KI-Systeme, die im Unternehmen eingesetzt werden — von ChatGPT-Instanzen in der Marketingabteilung bis zu automatisierten Kreditscoring-Modellen. Wer nutzt was, mit welchen Daten?

Schritt 2: Wesentlichkeitsschwelle festlegen
Nicht jedes KI-System erfordert VR-Governance. Die Frage ist: Ab welchem Entscheidgewicht ist eine KI-gestützte Empfehlung VR-relevant? Ein Framework für diese Einschätzung sollte im Gremium formell verabschiedet werden.

Schritt 3: KI-Policy verabschieden
Eine schriftliche, vom Verwaltungsrat verabschiedete KI-Policy schafft drei Dinge: Sie dokumentiert die Sorgfalt des Gremiums, sie gibt der Geschäftsleitung klare Leitplanken, und sie bildet die Grundlage für Haftungsabwehr im Streitfall.

Schritt 4: Regelmässige Berichterstattung
KI-Readiness und KI-Risiken sollten mindestens einmal jährlich formell in der VR-Sitzung traktandiert werden — mit einem strukturierten Bericht der Geschäftsleitung.

Das Fazit für Verwaltungsräte

KI-Governance ist keine IT-Frage. Sie ist eine Frage der persönlichen Sorgfalt im Sinne von Art. 754 und 717 OR. Die Anforderungen an VR-Mitglieder wachsen mit der Komplexität der Technologien, die im Unternehmen eingesetzt werden.

Die gute Nachricht: Wer die richtigen Fragen stellt, die richtigen Prozesse implementiert und Entscheide dokumentiert, ist gut geschützt. Nicht-Wissen schützt nicht. Aber informiertes Handeln schützt — rechtlich und reputationsmässig.

Marco Quinter ist KI-Governance-Berater und Verwaltungsrat. Er berät Schweizer VR-Gremien bei der strukturellen Implementierung von KI-Governance-Rahmenwerken.