Der KI-Beauftragte im Unternehmen

Zuerst die unbequeme Antwort: Pflicht ist das nicht

Die KI-Verordnung kennt keine Benennungspflicht für einen KI-Beauftragten. Es gibt darin nichts, was Art. 37 DSGVO entspricht – wer Ihnen etwas anderes erzählt, verkauft Ihnen ein Produkt und keine Rechtslage.

Was die Verordnung verlangt, sind Ergebnisse, keine Rolle:

• Art. 4 – Anbieter und Betreiber sollen die KI-Kompetenz ihres Personals fördern. Gilt seit dem 2. Februar 2025 und betrifft jedes Unternehmen, das KI einsetzt.
• Art. 26 Abs. 2 – wer ein Hochrisiko-System betreibt, muss die menschliche Aufsicht Personen übertragen, die dafür die nötige Kompetenz, Ausbildung und Befugnis haben.
• Art. 50 – seit dem 2. August 2026 müssen Chatbots sich zu erkennen geben und KI-generierte Inhalte gekennzeichnet werden. Jemand muss entscheiden, wo und wie.

Warum die Rolle trotzdem sinnvoll ist

Weil Pflichten ohne Zuständigkeit nicht erledigt werden. In der Praxis sieht das so aus: Die Geschäftsführung hält KI für ein IT-Thema, die IT hält es für ein Rechtsthema, die Rechtsabteilung für ein Fachthema – und die Fachabteilungen führen unterdessen Werkzeuge ein, von denen niemand weiß.

Ein benannter KI-Beauftragter löst genau dieses Problem. Er ist die Adresse, an die sich eine Mitarbeiterin wendet, bevor sie ein neues Tool abonniert, und die Stelle, an der die Nachweise liegen, wenn jemand danach fragt.

Der Einstieg ist fast immer dieselbe Projektarbeit – Inventar, Einstufung, Richtlinie. Was dabei entsteht, beschreibt die Seite zur KI-Beratung; der KI-Beauftragte hält es anschließend am Leben.

Die Aufgaben

• KI-Inventar führen – welche Systeme laufen, in welcher Rolle (Anbieter oder Betreiber), in welcher Risikoklasse
• Freigaben verwalten – welche Werkzeuge sind zugelassen, unter welchen Bedingungen, wer darf sie nutzen
• KI-Richtlinie pflegen und bei neuen Fällen fortschreiben
• Kompetenzmaßnahmen dokumentieren – Schulungen, Teilnehmende, Inhalte
• Kennzeichnung koordinieren – wo Art. 50 greift und wie es umgesetzt wird
• Anlaufstelle sein für Beschäftigte, Leitung und Betriebsrat
• Schnittstelle halten zum Datenschutz und zur IT-Sicherheit

Kann der Datenschutzbeauftragte das mitmachen?

Häufig ja – aber es ist eine Frage, die man beantworten muss und nicht übergehen darf. Art. 38 Abs. 6 DSGVO erlaubt dem Datenschutzbeauftragten andere Aufgaben, verlangt aber, dass daraus kein Interessenkonflikt entsteht. Der Konflikt entsteht dort, wo er entscheidet, was er anschließend kontrollieren soll.

Wir halten die Rolle deshalb bewusst auf der beratenden und überwachenden Seite. Die Entscheidung, ob ein Werkzeug eingeführt wird, bleibt bei Ihnen – so wie beim Datenschutz auch.

Wer beaufsichtigt das eigentlich?

In Deutschland hat der Bundestag im Juni 2026 das Gesetz zur Durchführung der KI-Verordnung beschlossen. Zentrale Marktüberwachungsbehörde wird die Bundesnetzagentur, soweit nicht sektorspezifische Behörden zuständig sind; ein Koordinierungs- und Kompetenzzentrum dort unterstützt die übrigen Aufsichtsstellen.

Für Sie heißt das: Die Ansprechpartner sind andere als beim Datenschutz. Die Datenschutzaufsicht bleibt für die personenbezogenen Daten zuständig, die in einem KI-System verarbeitet werden – zwei Behörden, ein Sachverhalt.

Zwei Wege der Zusammenarbeit

Als externe Rolle

Wir übernehmen die Funktion wie beim externen Datenschutzbeauftragten: feste Ansprechpartner, regelmäßige Termine, Erreichbarkeit dazwischen, jährlicher Bericht. Sinnvoll, wenn intern niemand die Zeit oder den Überblick hat.

Als Aufbau Ihrer internen Person

Oft gibt es jemanden, der ohnehin schon der inoffizielle Ansprechpartner für KI ist. Wir qualifizieren diese Person, richten mit ihr Inventar, Richtlinie und Nachweisführung ein und bleiben als fachliche Rückendeckung erreichbar. Das ist meist die günstigere und dauerhaftere Lösung.

Eine Rolle, die niemand ausfüllt, ist schlechter als keine – sie erzeugt den Eindruck, das Thema sei geregelt.