KI halluziniert. Doch bemerkt es der Verwaltungsrat?

Veröffentlicht: 09.03.2026

Warum Halluzinationen das unterschätzte Governance-Risiko der KI-Ära sind

Das Problem: Statistische Plausibilität statt Kausalität

Grosse Sprachmodelle besitzen keine Intelligenz im menschlichen Sinne. Sie besitzen statistische Mustererkennung. Was sie generieren, basiert auf Wahrscheinlichkeiten, nicht auf einem Verständnis von Wahrheit. Floridi und Chiriatti zeigten bereits 2020, dass diese Modelle Antworten «without any understanding» erzeugen, also ohne jeden inhaltlichen Verstand.

Das Ergebnis sind Inhalte, die sprachlich perfekt, strukturell überzeugend und faktisch komplett falsch sein können. Die KI-Forschung bezeichnet dieses Phänomen als Halluzinationen: die Generierung von Inhalten, die sich sprachlich und strukturell nicht von korrekten Aussagen unterscheiden lassen, aber frei erfunden sind.

Die Antworten sind hochgradig von den Trainingsdaten abhängig. Was eine künstliche Intelligenz erzeugt, basiert auf statistischen Korrelationen und nicht auf faktischen Kausalitäten. Besonders problematisch: Wenn eine korrekte Antwort in den Trainingsdaten nicht gefunden werden kann, greift das Modell auf Assoziationen zurück, die keine kausalen Zusammenhänge abbilden. Boyd und Crawford beschrieben dies bereits 2012 als Apophenie: die Wahrnehmung von Mustern, die eigentlich gar nicht existieren, einfach weil riesige Datenmengen Verbindungen bieten können, die in alle Richtungen strahlen.

Zwei Typen von Halluzinationen

Die Forschung unterscheidet zwischen zwei Typen, die für den Verwaltungsrat unterschiedliche Risikoprofile haben:

Intrinsische Halluzinationen widersprechen direkt der Quellinformation. Das Modell erhält korrekte Daten und generiert trotzdem falsche Aussagen. Für den Verwaltungsrat bedeutet das: Selbst wenn die zugrunde liegenden Dokumente korrekt sind, kann die KI-generierte Zusammenfassung inhaltliche Fehler enthalten.
Extrinsische Halluzinationen sind Behauptungen, die weder bestätigt noch widerlegt werden können, weil sie schlicht erfunden sind. Für den Verwaltungsrat ist dieser Typ besonders gefährlich, weil er sich einer einfachen Faktenprüfung entzieht.

Ursachen von Halluzinationen

Die Ursachen sind vielfältig und teilweise systemisch bedingt. Die folgende Übersicht zeigt die wesentlichen Treiber:

Statistische Approximation: Das Modell maximiert die Wahrscheinlichkeit, dass der generierte Text sprachlich passt. Nicht, dass er stimmt.
Fehlerhafte Trainingsdaten: Fehlende, verzerrte, veraltete oder synthetische Daten führen zu systematischen Fehlinterpretationen.
Kontextverlust: Modelle können über lange Dialoge inkonsistent werden («Context Drift»).
Overconfidence: Das Modell signalisiert hohe Sicherheit, auch wenn es keine Evidenz hat. Das deaktiviert menschliche Prüfinstinkte.
Prompt-Induktion: Voreingenommene oder mehrdeutige Eingaben können falsche Muster aktivieren.
Knowledge Cutoff: Sprachmodelle haben einen Wissensstichtag und generieren trotzdem Antworten zu Ereignissen nach diesem Datum.
Retrieval-Fehler (RAG): Fehlerhafte oder irrelevante Dokumente in der Retrieval-Phase führen trotz Wissensbasis-Anbindung zu Halluzinationen.
Temperature-Parameter: Höhere Temperature-Werte erhöhen die Kreativität der Ausgabe, steigern aber gleichzeitig die Halluzinationswahrscheinlichkeit.

KI generiert statistisch plausible Fiktion mit absoluter Überzeugung.

Das ist kein Bug. Das ist die Architektur.

Risikoverstärker: Agentic AI und Compound Risk

Das Halluzinationsrisiko wird durch zwei aktuelle Entwicklungen signifikant verschärft:

Agentic AI: Wenn KI-Systeme autonom handeln und ihre eigenen Outputs als Inputs für weitere Schritte verwenden, propagiert sich eine Halluzination am Anfang der Kette durch den gesamten Prozess. Das Modell prüft seine eigenen Zwischenergebnisse nicht auf Korrektheit.

Compound Risk: Wenn KI-generierter Output A die Basis für KI-generierten Output B bildet, multipliziert sich das Fehlerrisiko. Für Board-Entscheidungen, die auf mehreren KI-gestützten Zulieferungen basieren, ist dieses kumulierte Risiko kritisch.

Beide Entwicklungen machen eines deutlich: Das Halluzinationsrisiko ist kein statisches, isoliertes Problem. Es skaliert mit dem Grad der Automatisierung und der Verkettung von KI-Systemen.

Operative Ansätze zur Reduktion

Auf technischer und operativer Ebene haben sich verschiedene Ansätze zur Reduktion von Halluzinationen etabliert. Keiner davon eliminiert das Problem vollständig. Der Verwaltungsrat muss diese Ansätze nicht im Detail verstehen, aber er muss wissen, dass sie existieren, was sie leisten und wo ihre Grenzen liegen:

Retrieval-Augmented Generation (RAG) ergänzt das Sprachmodell um eine vorgelagerte Suche in einer definierten Wissensbasis, sodass Antworten auf verifizierbaren Dokumenten basieren. Allerdings muss das Modell in der Retrieval-Phase Rauschen und irrelevante Informationen erkennen können, und die Integration heterogener oder widersprüchlicher Quellen bleibt eine Herausforderung.

Reinforcement Learning from Human Feedback (RLHF) reduziert Halluzinationen durch gezieltes Training mit menschlichem Feedback. Allerdings kann RLHF zu einem sogenannten «Alignment Tax» führen, bei dem das Modell zuvor erlernte Fähigkeiten verliert.

Post-hoc-Verfahren prüfen und korrigieren generierte Inhalte nachträglich, beispielsweise mittels externer Werkzeuge wie Suchmaschinen oder Faktenprüfungssystemen.

Allen Ansätzen gemeinsam ist: Sie reduzieren Halluzinationen, aber sie beseitigen sie nicht. Deshalb bleibt die menschliche Überprüfung unverzichtbar. Und genau hier beginnt die Verantwortung des Verwaltungsrats.

Regulatorischer Kontext

Der EU AI Act fordert für Hochrisiko-KI-Systeme, dass Trainings-, Validierungs- und Testdatensätze relevant, hinreichend repräsentativ und so weit wie möglich fehlerfrei und vollständig sein müssen (Art. 10). Diese Anforderung ist bereits regulatorische Realität. Für den Verwaltungsrat bedeutet das: Sollte die Unternehmung aufgrund ihrer Marktausrichtung dem EU AI Act unterliegen, ist die Qualität der Trainingsdaten keine technische Detailfrage. Sie ist eine Compliance-Pflicht, die auf Stufe Board adressiert werden muss.

Strategische Governance: Was der Verwaltungsrat konkret tun muss

Technologie kann delegiert werden. Urteilsvermögen nicht.

Die operativen Massnahmen zur Risikominimierung (RAG, RLHF, Post-hoc-Verfahren) sind notwendig, aber sie liegen in der Verantwortung der operativen Führung. Der Verwaltungsrat trägt eine andere Verantwortung: Er muss die Rahmenbedingungen schaffen, innerhalb derer KI verantwortungsvoll eingesetzt wird. Das erfordert sechs konkrete strategische Massnahmen.

Kennzeichnungspflicht für KI-gestützte Entscheidungsvorlagen: Der Verwaltungsrat muss jederzeit wissen, welche Entscheidungsvorlagen ganz oder teilweise auf KI-generierten Inhalten basieren. Ohne diese Transparenz kann er das Halluzinationsrisiko nicht einschätzen. Konkret: Jede Vorlage an den VR, die KI-generierte Inhalte enthält, muss als solche gekennzeichnet sein. Die Kennzeichnung muss angeben, welches Modell verwendet wurde, welche Datenquellen zugrunde lagen und ob eine menschliche Validierung stattgefunden hat. Diese Pflicht ist in einer KI-Policy zu verankern und periodisch auf Einhaltung zu prüfen.
Human-in-the-Loop als verbindliche Governance-Policy: Kein KI-generierter Inhalt darf ohne qualifizierte menschliche Überprüfung in eine strategische oder regulatorisch relevante Entscheidung einfliessen. Das ist keine Empfehlung, sondern muss als verbindliche Policy verankert werden. Konkret: Für jede KI-Anwendung, die Entscheidungsgrundlagen für den VR liefert, muss definiert sein, welche Fachperson die Validierung durchführt, nach welchen Kriterien geprüft wird und wie die Freigabe dokumentiert wird. Der VR muss sich vergewissern, dass dieser Prozess existiert, gelebt wird und auditierbar ist.
KI-Kompetenz auf Stufe Verwaltungsrat: Der Verwaltungsrat muss nicht programmieren können. Aber er muss in der Lage sein, die richtigen Fragen zu stellen. Wer nicht versteht, was Halluzinationen sind und wie sie entstehen, kann das Risiko nicht einschätzen und wird sich auf Vorlagen verlassen, die er nicht beurteilen kann. Konkret: KI-Kompetenz muss als Kompetenzanforderung für Verwaltungsräte definiert werden. Das umfasst ein Grundverständnis von Halluzinationen, der Abhängigkeit von Trainingsdaten, der Grenzen aktueller Mitigationsansätze und der Risiken von Agentic AI und Compound Risk. Regelmässige Schulungen und Briefings durch unabhängige Fachpersonen sind einzuführen.
Lieferanten-Due-Diligence für KI-Anbieter: Wenn das Unternehmen KI-Systeme von Drittanbietern einsetzt, muss der Verwaltungsrat sicherstellen, dass eine fundierte Due Diligence stattfindet, die über funktionale Anforderungen hinausgeht. Konkret: Die Due Diligence muss Halluzinationsraten und deren Messmethodik, Herkunft, Qualität und Aktualität der Trainingsdaten, eingesetzte Massnahmen zur Risikoreduktion (RAG, RLHF, Post-hoc), konfigurierbare Parameter wie Temperature Settings, die Transparenz über Modellgrenzen und Knowledge Cutoffs sowie die vertragliche Regelung der Haftung bei fehlerhaften Outputs umfassen. Diese Kriterien müssen in den Beschaffungsprozess integriert und bei wesentlichen KI-Investitionen dem VR vorgelegt werden.
Haftung und Eskalation vor dem Ernstfall klären: Wenn eine KI-gestützte Entscheidungsgrundlage sich als halluziniert herausstellt und darauf basierend eine Fehlentscheidung getroffen wurde, muss die Verantwortungskette klar sein. Diese Frage darf nicht erst im Schadensfall geklärt werden. Konkret: Der Verwaltungsrat muss definieren lassen, wer für die Validierung von KI-Outputs verantwortlich ist, wie der Eskalationspfad bei erkannten Halluzinationen aussieht, welche Entscheidungen rückabgewickelt werden müssen, wenn sich ihre Grundlage als fehlerhaft herausstellt, und wie die Haftung vertraglich geregelt ist, wenn Drittanbieter-KI im Spiel war. Diese Regelungen gehören in das interne Kontrollsystem und müssen vom Audit-Komitee überprüft werden.
KI-Governance als fester Traktandenpunkt im Risiko- oder Audit-Komitee: KI-Governance darf kein einmaliges Projekt sein und kein reaktives Krisenmanagement. Die Technologie entwickelt sich schnell, die Risiken verändern sich laufend, und der Verwaltungsrat muss informiert bleiben. Konkret: KI-Governance wird als periodischer Traktandenpunkt im Risiko- oder Audit-Komitee verankert. Die Berichterstattung muss den aktuellen Stand der KI-Nutzung im Unternehmen, aufgetretene Halluzinations-Vorfälle und deren Auswirkungen, die Wirksamkeit der Mitigationsmassnahmen, regulatorische Entwicklungen mit Handlungsbedarf und die Bewertung neuer Risiken (insbesondere Agentic AI und Compound Risk) umfassen. Der VR stellt sicher, dass diese Berichterstattung durch eine qualifizierte, unabhängige Instanz erfolgt.

Referenzen: