KI Aufgaben delegieren, Verantwortung behalten: Pflichten von Geschäftsführung und Vorstand

Delegierbare Facharbeit und verbleibende Organaufgaben

Leitungsorgane müssen technische Tests, Datenschutzanalysen oder Lieferantenprüfungen nicht persönlich durchführen. Solche Fachaufgaben können an qualifizierte Beschäftigte, zentrale Konzernfunktionen oder externe Spezialisten übertragen werden. Auch standardisierte Freigaben lassen sich innerhalb klarer Schwellen delegieren. Die Unternehmensleitung muss jedoch entscheiden, welche Risikobereitschaft gilt, wie die Organisation aufgebaut ist und welche strategischen oder wesentlichen Fälle ihrer eigenen Entscheidung vorbehalten bleiben.

Grenzen folgen aus Rechtsform, Gesetz, Gesellschaftsvertrag oder Satzung, Geschäftsordnung, Ressortverteilung und konkreter Risikolage. Bei der Aktiengesellschaft leitet der Vorstand die Gesellschaft unter eigener Verantwortung; bei der GmbH sind zusätzlich gesellschaftsrechtliche Weisungs- und Kompetenzfragen zu berücksichtigen. Eine interne Bezeichnung als KI Owner verschiebt keine zwingende Organpflicht. Delegation ordnet Aufgabenerfüllung, sie beseitigt nicht die Notwendigkeit angemessener Leitung und Kontrolle.

• Fachprüfung und operative Kontrolle sind grundsätzlich übertragbar
• Strategie, Organisation und wesentliche Entscheidungen organadäquat vorbehalten
• Rechtsform und interne Kompetenzordnung berücksichtigen
• Keine bloße Weitergabe unklarer Verantwortung an IT oder Einkauf

Quellen: [1] [3] [2] [4]

Geeignete Personen und Stellen sorgfältig auswählen

Die Auswahl muss zur übertragenen Aufgabe passen. Für eine Rollenklassifikation nach dem AI Act werden andere Kenntnisse benötigt als für Penetrationstests oder arbeitsrechtliche Mitbestimmungsfragen. Zu prüfen sind Fachkunde, praktische Erfahrung, Zuverlässigkeit, verfügbare Zeit und Zugang zu Informationen. Eine nominell zuständige Person ohne Budget, Vertretung oder Durchsetzungsbefugnis ist keine tragfähige Delegationslösung, selbst wenn ihre Stellenbeschreibung umfassend klingt.

Unabhängigkeit und Interessenkonflikte sind ebenfalls relevant. Ein Projektleiter mit Erfolgsbonus kann wertvolle Informationen liefern, sollte aber nicht allein über die Angemessenheit seiner eigenen Kontrollen entscheiden. Externe Berater können Spezialwissen ergänzen; ihre Auswahl sollte Auftrag, Qualifikation, Haftungsrahmen, Vertraulichkeit und mögliche wirtschaftliche Bindungen berücksichtigen. Bei kritischen Themen kann ein Vier-Augen-Prinzip zwischen operativer und kontrollierender Funktion angemessen sein.

• Aufgabenspezifische Fachkunde und praktische Erfahrung
• Ausreichende Zeit, Budget, Datenzugang und Befugnisse
• Unabhängigkeit und erkennbare Interessenkonflikte
• Vertretung und Kontinuität bei personellem Ausfall

Quellen: [2] [4]

Auftrag, Grenzen und Mindestprüfungen schriftlich festlegen

Wirksame Delegation braucht einen eindeutigen Auftrag. Er sollte Systeme und Prozesse, konkrete Aufgaben, Entscheidungskompetenzen, Mitzeichnungserfordernisse und zeitliche Grenzen beschreiben. Ebenso muss feststehen, welche Fälle nicht selbst entschieden werden dürfen. Eine allgemeine Anweisung, für KI Compliance zu sorgen, lässt offen, wer Inventar, Klassifikation, Datenschutz, Beschaffung, Freigabe, Monitoring und Vorfallbearbeitung tatsächlich übernimmt.

Mindestprüfungen helfen, vergleichbare Fälle konsistent zu behandeln. Dazu zählen Zweck, Unternehmensrolle, mögliche Verbote, Datenflüsse, betroffene Personen, Sicherheitsanforderungen und notwendige Kontrollen. Sie dürfen dennoch nicht zur gedankenlosen Checkliste werden. Delegierte müssen das Recht und die Pflicht haben, bei ungewöhnlichen Risiken tiefer zu prüfen, zusätzliche Expertise einzufordern oder eine Entscheidung an die nächste Ebene zu eskalieren.

• Aufgabe, Systemumfang und Entscheidungskompetenz
• Verbindliche Mindestprüfungen und Dokumentationsformat
• Mitzeichnungen, Vertretung und Fristen
• Ausdrückliche Eskalationsrechte bei Unsicherheit

Quellen: [5] [2]

Berichtslinien und Eskalation müssen das Organ erreichen

Delegation scheitert praktisch oft nicht an fehlenden Fachleuten, sondern an schwachen Informationswegen. Das Leitungsorgan sollte festlegen, welche Kennzahlen regelmäßig berichtet werden und welche Ereignisse unverzüglich zu melden sind. Dazu können wesentliche Zweckänderungen, Sicherheitsvorfälle, erhebliche Beschwerden, Kontrollversagen, rechtliche Neueinstufungen oder wiederholte Fehlentscheidungen gehören. Berichte müssen entscheidungsorientiert sein und dürfen kritische Abweichungen nicht in technischen Anhängen verstecken.

Für Eskalationen braucht es klare Adressaten, Vertretungen und Reaktionsfristen. Die meldende Person sollte vor Benachteiligung geschützt sein und bei dringenden Risiken eine vorläufige Aussetzung veranlassen können, soweit die Kompetenzordnung dies vorsieht. Wird eine rote Linie gemeldet, muss nachvollziehbar entschieden werden, ob Nutzung, Umfang oder Datenfluss eingeschränkt werden. Ein unbeantwortetes Ticket ist keine wirksame Aufsicht.

• Regelberichte mit wenigen entscheidungsrelevanten Kennzahlen
• Sofortmeldung bei Vorfall, Zweckabweichung oder Kontrollversagen
• Benannte Eskalationsadressaten und Vertretungen
• Dokumentierte Reaktion bis zur Schließung des Problems

Quellen: [2] [4] [5]

Überwachungsdichte folgt Risiko und Warnsignalen

Überwachung bedeutet nicht dauernde Detailkontrolle jeder Handlung. Umfang und Frequenz richten sich nach Bedeutung, Schadenspotenzial, Veränderungsdynamik, Erfahrung der Delegierten und Qualität bisheriger Ergebnisse. Bei stabilen Standardprozessen können Stichproben und periodische Berichte genügen. Sensible Systeme, neue Teams oder schwer kontrollierbare Anbieter erfordern engere Kontrollen, unabhängige Tests und häufigere Befassung des zuständigen Organs.

Warnsignale erhöhen die erforderliche Aufmerksamkeit. Wiederkehrende Fristversäumnisse, ungeklärte Abweichungen, Beschwerden, fehlende Protokolle oder beschönigende Berichte dürfen nicht als Einzelfälle abgelegt werden. Das Organ sollte Ursachen klären, Ressourcen oder Auftrag anpassen und nötigenfalls Zuständigkeiten neu ordnen. Bei erheblichen Risiken kann ein unmittelbares Eingreifen, eine Aussetzung oder eine erneute Organentscheidung erforderlich sein.

• Kontrollfrequenz nach Risiko und Veränderungsgrad
• Stichproben, Qualitätsprüfung und unabhängige Evidenz
• Erhöhte Überwachung nach Vorfällen und Mängeln
• Eingreifen bei erkennbar unzureichender Delegationsstruktur

Quellen: [2] [4]

Interne Delegation ändert die externe AI Act Rolle nicht

Der AI Act weist Pflichten wirtschaftlichen Akteuren wie Anbieter und Betreiber zu. Ob intern Legal, IT, Einkauf oder ein externer Dienstleister eine Aufgabe ausführt, ändert diese Rolle nicht automatisch. Das Unternehmen muss daher sicherstellen, dass delegierte Prozesse die Pflichten seiner tatsächlichen Rolle erfüllen. Auch vertragliche Übertragung einzelner Tätigkeiten beseitigt nicht ohne Weiteres die gesetzliche Verantwortungszuordnung gegenüber Behörden oder Betroffenen.

Rechtsstand 16. September 2026 sind außerdem die unterschiedlichen Anwendungsdaten zu beachten. Bereits geltende Verbote und Transparenzregeln sowie andere Rechtsgebiete verlangen schon heute Organisation. Künftige Hochrisikopflichten sollten rechtzeitig in Verantwortlichkeiten und Verträge übersetzt werden. Eine ordnungsgemäße Delegation kann Aufgaben und Nachweise verbessern, schließt persönliche Haftungsrisiken aber nicht automatisch aus; entscheidend bleiben Auswahl, Instruktion, Information, Überwachung und Reaktion im Einzelfall.

• Wirtschaftsrolle je System unabhängig vom Organigramm bestimmen
• Externe Dienstleister mit prüfbaren Pflichten und Informationsrechten steuern
• Anwendungsdaten in Auftrag und Ressourcenplanung aufnehmen
• Delegationsprozess regelmäßig auf Wirksamkeit überprüfen

Quellen: [5] [2] [4]

Häufige Fragen