Vor Kurzem stand ich in München vor einem Raum voller Aufsichtsratsmitglieder, General Counsel und Corporate Secretaries und stellte eine Frage, die ich Führungsgremien weltweit immer wieder vorlege: Wann hat sich Corporate Governance zuletzt grundlegend verändert?

Die ehrliche Antwort lautet: vor sehr langer Zeit. Vieles gleicht in seinen Grundzügen noch immer den Strukturen, die in den 1680er-Jahren bei der Bank of England geschaffen wurden. Feste Gremien, Ausschüsse, ein regelmäßiger Sitzungsturnus und ein Organ, das Kontrollaufgaben wahrnimmt – an dieser grundlegenden Mechanik hat sich über Jahrhunderte wenig geändert.

Gleichzeitig erleben wir heute eine Technologie, die sich schneller entwickelt als jede andere zuvor. Und sie ist längst in der Arbeit von Vorstand und Aufsichtsrat angekommen – unabhängig davon, ob sich die Gremien dessen bewusst sind.

Unsere aktuelle Studie des Diligent Institute zeigt, dass inzwischen 82 % der befragten Gremienmitglieder börsennotierter US-Unternehmen KI nutzen – gegenüber 66 % ein Jahr zuvor. Allerdings greifen 49 % dabei auf ungesicherte, frei verfügbare Standard-Tools zurück. Rund 69 % verfügen über keinerlei formale Richtlinie für den KI-Einsatz, und nur 6 % haben spezifische Vorgaben für die Gremienarbeit auf Vorstands- und Aufsichtsratsebene definiert. Genau in dieser Lücke zwischen praktischer Nutzung und wirksamer Governance entstehen erhebliche Risiken.

München war die erste Station einer weltweiten Veranstaltungsreihe, die wir gemeinsam mit der New York Stock Exchange (NYSE) durchführen, um einen Leitfaden zur Zukunft der Corporate Governance zu erarbeiten. Im Folgenden zeigen wir Ihnen, welche zentralen Erkenntnisse die Diskussionen vor Ort geliefert haben.

Die regulatorische Durchsetzung hat begonnen

Zu unseren Referenten zählte Brando Benifei, Mitglied des Europäischen Parlaments und einer der federführenden Verfasser des EU AI Act. Seine Botschaft war eindeutig: Die Phase der Gesetzgebung ist abgeschlossen. Wir befinden uns mitten in der Umsetzung – und diese geht nun nahtlos in die behördliche Durchsetzung über.

Die Transparenzpflichten greifen bereits heute: KI-generierte Inhalte müssen gekennzeichnet, geistiges Eigentum entlang der gesamten KI-Wertschöpfungskette geschützt und Nachweispflichten durch Anbieter klarer erfüllt werden. Hochrisiko-Anwendungsfälle, zu denen auch der KI-Einsatz am Arbeitsplatz und im Personalwesen zählt, unterliegen bis Ende 2027 der vollständigen Regulierung.

„Eine fundierte Governance und ihre konsequente Umsetzung sind Grundvoraussetzungen für die Wettbewerbsfähigkeit. Wo Verlässlichkeit, Transparenz, Dokumentationspflichten und wirksame Kontrollaufgaben zusammenspielen, schaffen wir faire Wettbewerbsbedingungen für alle Unternehmen.“ — Brando Benifei, Mitglied des Europäischen Parlaments, Mitverfasser des EU AI Act

Für Unternehmen in der DACH-Region ergibt sich daraus ein klarer Handlungsauftrag: Erstellen Sie ein vollständiges KI-Bestandsverzeichnis, verabschieden Sie verbindliche Richtlinien für zugelassene Systeme und sensible Daten in Vorstand und Aufsichtsrat, weisen Sie eindeutige Verantwortlichkeiten auf Vorstandsebene mit entsprechenden Kontrollaufgaben im Aufsichtsrat zu und verankern Sie den kontinuierlichen Aufbau von KI-Kompetenz fest in der Gremienarbeit. Der bloße Verweis auf laufende Vorbereitungen reicht zur Haftungsvermeidung nicht mehr aus.

Vier unterschätzte Risiken in der Praxis

Unsere Erhebungen unter General Counsel und Rechtsexperten verdeutlichen, welche Gefahren in den Gremien am häufigsten unterschätzt werden. Vier Risikofelder treten dabei immer wieder hervor: unzureichende Überwachung, Datenschutzverstöße, mangelnde Prozessintegrität und fehlende rechtliche Belastbarkeit.

Ein Praxisbeispiel aus dem vergangenen Sommer zeigt die Tragweite besonders deutlich: Ein Gremium nutzte im Rahmen einer strategischen Szenarioplanung ChatGPT, um einen fiktiven feindlichen Übernahmeversuch durchzuspielen. Allen Beteiligten im Raum war klar, dass es sich um ein rein hypothetisches Szenario handelte. Das Problem: Das öffentliche KI-Modell wusste das nicht. Da mehrere Gremienmitglieder und Führungskräfte unabhängig voneinander dasselbe Szenario eingaben, stufte das System die Informationen als glaubwürdig ein. Die Angaben gelangten schließlich in einen Pressebericht – mit unmittelbaren Auswirkungen auf den Aktienkurs.

Dieses Beispiel verdeutlicht, was geschieht, wenn frei verfügbare KI-Anwendungen für vertrauliche Gremienarbeit genutzt werden. Ohne geeignete Sicherheitsvorkehrungen und ein geschlossenes System (Closed-Loop) verlässt jede Eingabe und jede generierte Ausgabe den geschützten Unternehmensbereich. Vielen Gremienmitgliedern, die kostenlose KI-Tools zur Sitzungsvorbereitung heranziehen, ist dieses Risiko nicht bewusst.

Drei Fragen für jede Tagesordnung in Vorstand und Aufsichtsrat

Abseits des Podiums kristallisierten sich in den Diskussionsrunden drei zentrale Fragen heraus, die jedes Aufsichtsorgan ab sofort regelmäßig stellen sollte:

KI-Bestand und Datenzugriffe kontinuierlich erfassen: Welche KI-Lösungen und KI-Agenten sind im Unternehmen tatsächlich im Einsatz, über welche Berechtigungen verfügen sie und auf welche Daten greifen sie zu? Gefragt ist keine einmalige Momentaufnahme, sondern ein laufend aktualisiertes Verzeichnis. Denn nur was transparent erfasst ist, lässt sich auch wirksam steuern und überwachen.
Verantwortlichkeiten und Prüfpfade eindeutig regeln: Wer trägt die fachliche Verantwortung für den jeweiligen Anwendungsfall? Welche menschlichen Kontrollmechanismen greifen und wie wird die Revisionssicherheit (Audit-Trail) gewährleistet? Entscheidungen über den Einsatz von KI in der Personalgewinnung, im Kundenservice, in der Arbeitsorganisation oder im Finanzwesen sind keine rein technischen Fragen. Sie haben weitreichende rechtliche und unternehmerische Konsequenzen und erfordern eine klare Zuständigkeit.
Geschäftsergebnisse messen und Anbieterabhängigkeiten steuern: Welche messbaren Ergebnisse werden erwartet und wie stark hängt das Unternehmen von einem einzelnen Anbieter ab? Produktivitätsgewinne, Umsatzbeiträge und Kostensenkungen sind die Kennzahlen, die für Vorstand und Aufsichtsrat letztlich zählen. Definieren Sie diese Zielgrößen präzise, überwachen Sie die Zielerreichung und halten Sie Handlungsoptionen bereit, falls sich eine Anbieterbeziehung ändert.

Wie zukunftsfähige Gremien aufgestellt sind

Ein weiteres zentrales Thema der Veranstaltung war die Zusammensetzung der Gremien. Unter den Teilnehmenden herrschte weitgehend Einigkeit über einen ermutigenden Punkt: Ein Aufsichtsrat benötigt keinen ausgewiesenen KI-Spezialisten in seinen Reihen.

Entscheidend sind vielmehr Gremienmitglieder mit geschäftsrelevantem Technologieverständnis und dem Urteilsvermögen, kritische Fragen zu stellen. Anpassungsfähigkeit und emotionale Intelligenz sind dabei ebenso wichtig wie klassische Fachexpertise – wenn nicht sogar wichtiger. Die KI-Transformation verändert Arbeitsweisen, verschiebt Kompetenzprofile und entscheidet darüber, ob Mitarbeitende ihrem Unternehmen vertrauen. Diese kulturellen und strategischen Weichenstellungen fallen unmittelbar in den Verantwortungsbereich von Vorstand und Aufsichtsrat.

„Künstliche Intelligenz hat das Rollenverständnis von Gremienmitgliedern verändert: Es geht nicht mehr allein darum, was sie bereits wissen, sondern welche Fragen sie stellen. Entscheidend ist heute, wie Aufsichtsräte denken und Sachverhalte hinterfragen.“ — Siddika Demir, Aufsichtsratsmitglied und Beraterin für junge KI-Unternehmen

Auch die Arbeitsstrukturen der Gremien müssen sich parallel dazu weiterentwickeln. Der klassische Quartalsrhythmus wurde für ein wirtschaftliches Umfeld geschaffen, dessen Tempo mit der heutigen KI-Entwicklung nicht mehr Schritt hält. Immer mehr Gremien prüfen daher den Einsatz sicherer KI-Lösungen für regulierte Prozesse zur analytischen Unterstützung, flexiblere Sitzungsformate sowie den Übergang von punktuellem Reporting zu einer kontinuierlichen Überwachung.

„Hier geht es nicht um die bloße Einführung einer neuen SaaS-Anwendung. Es geht um eine grundlegende Veränderung der Arbeitsweise Ihrer gesamten Belegschaft. Dafür braucht es Weitblick sowie Führungspersönlichkeiten, die anpassungsfähig sind und kontinuierlichen Wandel souverän begleiten.“ — Suzanne Brown, Director of Board Services, NYSE

Sichere KI-Lösungen sollten Vorstand und Aufsichtsrat den Freiraum verschaffen, sich auf ihre eigentlichen Kernaufgaben zu konzentrieren: Strategiearbeit, Szenarioanalysen und den vorausschauenden Blick auf Risiken und Chancen, die im operativen Tagesgeschäft leicht übersehen werden. Voraussetzung dafür ist jedoch, dass dieser Einsatz ausschließlich in einer kontrollierten, revisionssicheren Umgebung stattfindet.

Die Governance-Lücke gezielt schließen

Dass derzeit 94 % der Unternehmen über keine spezifische KI-Richtlinie für ihre Führungsgremien verfügen, ist kein Grund zur Resignation, sondern ein klarer Ausgangspunkt für konkretes Handeln.

Das Diligent Institute und unser Geschäftsbereich Governance haben eine kostenlose Muster-Richtlinie für den KI-Einsatz in Führungsgremien veröffentlicht. Nutzen Sie diese Vorlage und passen Sie sie gezielt an die Anforderungen Ihres Unternehmens an. Denn eine Richtlinie, die in Vorstand und Aufsichtsrat gelesen, verstanden und aktiv diskutiert wurde, entfaltet im Ernstfall weitaus mehr Schutzwirkung als ein Dokument, das lediglich auf dem Papier existiert.

„Als Verantwortliche stehen wir in der Pflicht, bei künstlicher Intelligenz nicht dieselben Versäumnisse zuzulassen wie einst bei der Cybersicherheit. Rückblickend war das ein gravierendes Versagen – zumal die notwendigen Kontrollen und Präventionsmöglichkeiten bereits vor über 25 Jahren vorhanden waren.“ — Dominique Shelton Leipzig, Gründerin und CEO, Global Data Innovation

Bei Diligent verfolgen wir seit jeher den Grundsatz, Governance als Voraussetzung für Innovation zu begreifen – nicht als deren Hindernis. Noch bevor wir unsere ersten KI-Lösungen von Diligent auf den Markt brachten, haben wir ein eigenes AI Governance Committee ins Leben gerufen, in dem Produktentwicklung, Datensicherheit, Recht, Compliance und Unternehmensführung eng zusammenarbeiten. Zudem haben wir vor der Markteinführung mit „AI Ethics and Board Oversight“ ein spezielles Zertifizierungsprogramm für Gremienmitglieder veröffentlicht – denn fundierte Qualifizierung muss zwingend vor dem technologischen Einsatz stehen. Die KI-Lösungen von Diligent arbeiten in einem geschlossenen System (Closed-Loop): Kundendaten werden niemals zum Trainieren externer KI-Modelle verwendet. Sicherheit steht dabei an erster Stelle.

Die nächsten Schritte aktiv gestalten

Eine Erkenntnis hat sich in München besonders bestätigt: Aufsichtsräte und Vorstände haben weitaus größeren Einfluss auf die Ausgestaltung einer sicheren KI-Governance, als vielen Gremienmitgliedern bewusst ist. Künstliche Intelligenz hat die Gremienarbeit erreicht, noch bevor die passenden Governance-Strukturen vollständig etabliert waren.

Diese Lücke zu schließen, ist nun die zentrale Aufgabe auf Vorstands- und Aufsichtsratsebene. Auf der Konferenz Diligent Elevate, die vom 7. bis 9. April 2027 in Orlando stattfindet, werden wir genau diese Themen im persönlichen Austausch vertiefen. Der direkte Dialog mit Verantwortlichen, die kritische Fragen offen ansprechen, sorgt jedes Jahr für entscheidende Impulse – und angesichts der aktuellen Dynamik verspricht die Veranstaltung 2027 besonders richtungsweisend zu werden. Agenda der Diligent Elevate 2027 entdecken