KI-Governance für Verwaltungsräte: Was nDSG, FINMA und EU AI Act heute verlangen

Warum KI bereits heute Sache des Verwaltungsrats ist

Ein eigenes KI-Gesetz hat die Schweiz noch nicht. Der Bundesrat hat im Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und bestehende Gesetze möglichst sektoriell anzupassen. Eine Vernehmlassungsvorlage ist bis Ende 2026 angekündigt.

Daraus zu schliessen, dass KI für den Verwaltungsrat noch kein Thema sei, wäre falsch. Nach Art. 716a OR gehören die Oberleitung, die Festlegung der Organisation und die Oberaufsicht zu den unübertragbaren Aufgaben des Verwaltungsrats. Wenn KI das Geschäftsmodell, die Kostenstruktur oder die Risiken eines Unternehmens verändert, fällt sie genau in diese Aufgaben.

Nicht das fehlende KI-Gesetz ist das Risiko, sondern die fehlende eigene Position.

Was heute konkret gilt

Regelwerk	Was es verlangt	Für wen
Datenschutzgesetz (DSG)	Transparenz über die Bearbeitung von Personendaten, Informationspflicht bei automatisierten Einzelentscheidungen, Datensicherheit	Alle Unternehmen, die Personendaten mit KI bearbeiten
FINMA-Aufsichtsmitteilung 08/2024	Governance, Inventar und Risikoklassifizierung der KI-Anwendungen, Datenqualität, Tests und laufende Überwachung, Dokumentation	Beaufsichtigte Finanzinstitute
EU AI Act	Verbotene Praktiken seit Februar 2025, Transparenzpflichten, Pflichten für Hochrisiko-Systeme gestaffelt ab Dezember 2027	Schweizer Unternehmen, die KI in der EU anbieten oder deren KI-Ergebnisse in der EU genutzt werden

Die Fristen des EU AI Act für Hochrisiko-Systeme wurden mit dem «Digital Omnibus» im Juli 2026 verschoben. Die Grundpflichten und die Transparenzregeln bleiben bestehen.

Fünf Elemente einer schlanken KI-Governance

1. Eine Position. Der Verwaltungsrat legt fest, welche Rolle KI in der Strategie spielt: führen, vorbereiten oder bewusst beobachten. Auch der bewusste Entscheid, abzuwarten, ist eine Position, sofern er begründet ist.

2. Ein Inventar. Welche KI-Anwendungen sind im Einsatz, auch inoffiziell? Die FINMA erwartet von Finanzinstituten ein solches Inventar mit Risikoklassifizierung. Für jedes KMU ist es der einfachste Weg, Schatten-KI sichtbar zu machen.

3. Klare Leitplanken. Wenige, verbindliche Regeln wirken mehr als lange Richtlinien: keine vertraulichen Daten in öffentliche Werkzeuge, ein Mensch im Entscheid bei heiklen Ergebnissen, Zugriffe nach Rollen und eine einfache Klassifizierung der Daten (vertraulich, intern, öffentlich).

4. Kompetenz auf allen Stufen. Der Verwaltungsrat muss nicht programmieren können. Er muss aber die richtigen Fragen stellen: Welcher Geschäftswert wird erwartet, wie wird er gemessen, welche Risiken entstehen und wer trägt die Verantwortung?

5. Ein Reporting-Rhythmus. KI verändert sich laufend. Ein kurzer Bericht pro Quartal mit Portfolio, Wirkung und Risiken hält den Verwaltungsrat informiert, ohne die Geschäftsleitung zu bremsen.

Wie Sie in drei Schritten beginnen

1. Lage klären: Lassen Sie sich von der Geschäftsleitung aufzeigen, wo KI heute schon genutzt wird und welche Daten dabei fliessen.
2. Position festlegen: Diskutieren Sie im Verwaltungsrat, wo KI Ihr Geschäftsmodell verändern könnte und wo nicht.
3. Leitplanken verabschieden: Eine Seite genügt für den Start. Wichtig ist, dass sie gilt und dass jemand für sie verantwortlich ist.

Rechtliche Detailfragen gehören zu spezialisierten Rechtsberatern. Die strategische Einordnung und die Fragen, die der Verwaltungsrat stellen sollte, gehören dagegen zu seiner eigenen Arbeit.