KI-Beauftragter im Unternehmen: Rolle und Verantwortung

Kaum eine Frage zum EU AI Act wird so oft gestellt und so selten sauber beantwortet wie diese: Brauchen wir jetzt einen KI-Beauftragten? Die kurze Antwort lautet nein, und sie führt regelmäßig in die falsche Richtung. Denn aus "keine Pflicht" wird im nächsten Satz "also nichts zu tun" - und genau dieser Kurzschluss ist der Grund, warum in vielen Betrieben KI-Systeme laufen, für die niemand zuständig ist.

Der Verdacht, es müsse eine solche Rolle geben, hat einen nachvollziehbaren Ursprung. Bei der Datenschutz-Grundverordnung gibt es den Datenschutzbeauftragten, unter bestimmten Voraussetzungen verpflichtend zu benennen. Weil der AI Act als das nächste große Compliance-Thema wahrgenommen wird, erwarten viele dieselbe Konstruktion. Die Verordnung liefert sie nicht. Was sie liefert, sind Pflichten - und die brauchen jemanden, der sie erledigt.

Dieser Artikel klärt, was ein KI-Beauftragter tatsächlich macht, welche Verantwortung die Rolle trägt und welche ausdrücklich nicht, was die Zertifikate von IHK, TÜV und DEKRA wert sind und wann sich die Benennung lohnt. Alle Fristen, Artikelnummern und Pflichten stammen aus der Verordnung selbst und sind unten verlinkt. Eine Einordnung vorweg: Der Beitrag erklärt die Rechtslage praxisnah, er ist keine Rechtsberatung - für die verbindliche Bewertung deines Einzelfalls gehört ein Anwalt an den Tisch.

Was ein KI-Beauftragter ist: Definition und Einordnung

Ein KI-Beauftragter ist die im Unternehmen benannte Person, die den Einsatz von KI-Systemen zentral verantwortet: Sie kennt die eingesetzten Systeme, ordnet sie rechtlich ein, organisiert die nötige Kompetenz im Team, sichert Aufsicht und Kennzeichnung und hält die Dokumentation aktuell. Gängige englische Bezeichnungen für dieselbe Funktion sind AI Officer und AI Governance Manager.

Der Begriff ist damit eine Organisationsrolle, kein Rechtsbegriff - vergleichbar mit dem Qualitätsbeauftragten. Wer nach einer gesetzlichen Definition sucht, findet in der Verordnung (EU) 2024/1689 keine.

Was die Rolle in der Praxis zusammenhält, ist ein Problem, das ohne sie ungelöst bleibt: KI-Einsatz entsteht dezentral. Marketing testet einen Bildgenerator, der Vertrieb nutzt ein Sprachmodell, der Kundenservice bekommt einen Chatbot. Jede Abteilung entscheidet für sich, niemand hat den Gesamtstand - und sobald die erste Pflicht greift, ist unklar, wer sie erfüllen soll.

Schreibt der EU AI Act einen KI-Beauftragten vor?

Nein. Es gibt in der Verordnung (EU) 2024/1689 keinen Artikel, der Unternehmen zur Benennung eines KI-Beauftragten verpflichtet. Die Verordnung adressiert Organisationen in ihrer jeweiligen Rolle, nicht benannte Einzelpersonen.

Diese Rollen sind vier: Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den EU-Markt. Betreiber setzen ein KI-System in beruflicher Funktion ein - das ist für die meisten Unternehmen die relevante Rolle. Importeure bringen Systeme aus Drittländern in die EU, Händler stellen sie in der Lieferkette bereit. Die Übersicht über Akteure und Risikoklassen des AI Act listet keine fünfte Rolle für eine interne Aufsichtsperson.

Wechseln kann die eigene Rolle allerdings. Wer ein zugekauftes KI-System wesentlich verändert oder unter eigenem Namen weitervertreibt, kann rechtlich zum Anbieter werden - mit deutlich strengeren Pflichten. Wie Rollen, Klassen und Fristen zusammenhängen, steht im Überblicksartikel zum EU AI Act.

Die Pflichten, die es gibt, laufen unabhängig von jeder Rollenbesetzung weiter. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt seit dem 2. Februar 2025, die verbotenen Praktiken nach Artikel 5 ebenfalls. Die Transparenzpflichten nach Artikel 50 und die Hochrisiko-Anforderungen nach Anhang III greifen ab dem 2. August 2026, die produktbezogene Hochrisiko-Einstufung nach Artikel 6 Absatz 1 ab dem 2. August 2027. Der offizielle Zeitplan zur Anwendbarkeit führt jedes Datum mit Artikelbezug auf.

Am nächsten kommt der Rolle Artikel 14: Für Hochrisiko-Systeme muss menschliche Aufsicht wirksam möglich sein, Menschen müssen eingreifen, überstimmen und abschalten können. Auch das fordert keinen Beauftragten, setzt aber voraus, dass jemand die Aufsicht ausübt.

KI-Beauftragter und Datenschutzbeauftragter: der Unterschied

Die Gleichsetzung mit dem Datenschutzbeauftragten ist der häufigste Denkfehler beim Thema, und sie führt an zwei Stellen in die Irre.

Der erste Unterschied ist die Freiwilligkeit: Weil niemand die Rolle fordert, prüft auch niemand, ob sie gut besetzt ist.

Der zweite ist die Stellung. Der Datenschutzbeauftragte hat eine gesetzlich abgesicherte Position, beim KI-Beauftragten gibt es nichts dergleichen: Die Wirksamkeit der Rolle hängt allein am Mandat der Geschäftsführung. Wer ohne Entscheidungsbefugnis drei Abteilungen um eine Systemliste bitten muss, bekommt sie nie vollständig.

Sinnvoll ist die Verbindung beider Rollen dagegen häufig: Wo KI auf personenbezogene Daten trifft, überschneiden sich die Fragen ohnehin. In kleineren Betrieben ist die Personalunion aus Datenschutz und KI-Governance oft die pragmatischste Lösung.

Die fünf Aufgaben eines KI-Beauftragten

KIMit KI erzeugtes Bild

Weil kein Gesetz die Aufgaben vorgibt, muss das Unternehmen sie definieren. Fünf Blöcke deckt jede brauchbare Rollenbeschreibung ab.

1. Das KI-Inventar führen

Eine aktuelle Liste aller eingesetzten KI-Systeme: welches System, welcher Anbieter, welcher Zweck, welche Daten, wer nutzt es. Ohne diese Liste ist jede weitere Aufgabe Spekulation. Der schwierige Teil ist die Vollständigkeit, denn ein Teil des KI-Einsatzes läuft ohne Freigabe. Wer die Liste nur bei den Abteilungsleitungen abfragt, bekommt eine geschönte Fassung.

2. Jedes System einordnen

Für jedes System die Frage klären: verboten nach Artikel 5, hochriskant nach Artikel 6 und Anhang III, transparenzpflichtig nach Artikel 50 oder minimal? Die acht Hochrisiko-Bereiche des Anhangs III sind die relevante Prüfliste - Biometrie, kritische Infrastruktur, Bildung, Personalmanagement, wesentliche Dienste, Strafverfolgung, Migration, Justiz. Zwei davon treffen normale Mittelständler häufiger als erwartet: Bewerbervorauswahl und Kreditwürdigkeitsprüfung.

Ausnahmen kennt die Verordnung in Artikel 6 Absatz 3, etwa für Systeme mit eng umrissener prozeduraler Aufgabe oder solche, die eine menschliche Bewertung nur vorbereiten. Eine Rückausnahme hebelt das wieder aus: Sobald ein System ein Profiling natürlicher Personen vornimmt, bleibt es hochriskant. Diese Einordnung sauber zu treffen und zu begründen ist die anspruchsvollste Aufgabe der Rolle. Begriffe wie Anbieter, Betreiber oder KI-Kompetenz stehen im Glossar.

3. KI-Kompetenz organisieren

Artikel 4 verlangt von Anbietern und Betreibern, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz aller Personen sicherzustellen, die in ihrem Auftrag mit KI arbeiten. Der Wortlaut von Artikel 4 nennt drei Maßstäbe: Vorwissen des Personals, Einsatzkontext und betroffene Personengruppen. Daraus folgt rollenbasiertes Schulen statt eines Pflichttermins für alle. Details dazu stehen im Artikel zur KI-Schulungspflicht nach Artikel 4; wie ein brauchbarer Auftrag an ein Modell aussieht, im Leitfaden zum KI-Prompt.

4. Aufsicht und Kennzeichnung verankern

Wo muss ein Mensch prüfen, bevor ein KI-Ergebnis nach außen geht? Und wo greift Kennzeichnungspflicht? Ab dem 2. August 2026 verlangt Artikel 50, dass Nutzer erkennen können, wenn sie mit einem KI-System interagieren, und dass KI-generierte oder manipulierte Inhalte offengelegt werden. Konkret betrifft das jeden KI-Chatbot auf der Website, jede KI-Telefonie im Kundenkontakt und jedes veröffentlichte Bild, das du mit KI erstellt hast.

5. Dokumentation halten

Nachweisbar muss sein, was entschieden wurde und warum: Systemliste mit Einordnung und Begründung, Schulungsnachweise mit Teilnehmern und Datum, Kennzeichnungsregeln, Zuständigkeiten. Bei Hochrisiko-Systemen kommen die schweren Anforderungen hinzu, von Risikomanagement und Daten-Governance bis zu Qualitätsmanagement nach Artikel 17 und Konformitätsbewertung.

Welche Verantwortung die Rolle trägt - und welche nicht

Hier entsteht das gefährlichste Missverständnis. Wer einen KI-Beauftragten benennt, verschiebt damit keine Haftung. Adressat der Verordnung ist das Unternehmen in seiner Rolle als Anbieter oder Betreiber. Die benannte Person übernimmt eine interne Zuständigkeit, keine externe Verantwortlichkeit - so, wie ein Qualitätsbeauftragter die Geschäftsführung nicht aus der Produkthaftung nimmt.

Praktisch heißt das: Die Rolle organisiert, bereitet vor und weist nach. Entscheiden muss die Leitung. Wer einen Sachbearbeiter zum KI-Beauftragten macht und sich damit für abgesichert hält, hat das Gegenteil erreicht - eine Stelle, die dokumentiert, ohne etwas ändern zu können.

Damit die Rolle wirkt, braucht sie drei Dinge, die alle Geld oder Macht kosten: ein schriftliches Mandat mit Entscheidungsbefugnis, verbindlich zugesagte Arbeitszeit und einen direkten Berichtsweg zur Geschäftsführung. Fehlt eines davon, ist die Benennung ein Feigenblatt. Dass hier die eigentliche Hürde liegt, deckt sich mit dem Befund der Bitkom-Umfrage zum AI Act: 69 Prozent der Unternehmen brauchen nach eigener Einschätzung Hilfe bei der Umsetzung.

Schulung, Zertifikat und Ausbildung: IHK, TÜV und DEKRA

KIMit KI erzeugtes Bild

Weil die Rolle kein geregelter Beruf ist, gibt es keine vorgeschriebene Ausbildung und keine zuständige Prüfstelle. Was es gibt, ist ein gewachsener Markt an Zertifikatslehrgängen. Drei Anbieter tauchen dabei regelmäßig auf.

Die IHK-Organisation bietet den Zertifikatslehrgang "Betriebliche/-r KI-Beauftragte/-r (IHK)" an, laut DIHK-Bildungs-GmbH mit 60 Lehrgangsstunden und ausgerichtet auf Mitarbeitende aus Unternehmen aller Branchen. Der TÜV führt AI-Officer-Ausbildungen mit eigener Prüfung und TÜV-Zertifikat, inhaltlich an EU AI Act und der Managementsystem-Norm ISO/IEC 42001 orientiert. Die DEKRA Akademie kombiniert einen Lehrgang mit einer DEKRA-Personenzertifizierung zum KI-Beauftragten. Die Kosten liegen bei allen drei im unteren vierstelligen Bereich, teils mit separater Prüfungsgebühr.

Zur Einordnung, weil sie in der Werbung dieser Angebote gern verschwimmt: Keines dieser Zertifikate ist rechtlich erforderlich. Keines macht ein Unternehmen AI-Act-konform. Und keines ist ein Nachweis der KI-Kompetenz nach Artikel 4 für dein Team - die Pflicht betrifft alle Personen, die mit KI arbeiten, nicht eine zertifizierte Einzelperson.

Was ein Zertifikat leistet, ist trotzdem nicht wenig: Es strukturiert das Wissen, das die Rolle braucht, und macht Fachkunde extern belegbar. Nur die Reihenfolge sollte stimmen - erst Mandat und Aufgaben klären, dann qualifizieren. Andernfalls kommt jemand mit Zertifikat zurück in einen Betrieb, in dem sich niemand für zuständig hält.

Gehalt und Stellenmarkt: was die Rolle wirklich kostet

Für den KI-Beauftragten gibt es keine belastbare Gehaltsstatistik, und das ist keine Datenlücke, sondern eine logische Folge: Es ist kein Ausbildungsberuf, keine geschützte Bezeichnung und in der Regel keine eigene Stelle. Wer eine Zahl sucht, findet allenfalls Schätzungen, die eine andere Rolle beschreiben.

In der Praxis entsteht die Funktion auf zwei Wegen. Der häufige Weg im Mittelstand: Sie kommt als zusätzliche Aufgabe zu einer bestehenden Position - IT-Leitung, Compliance, Datenschutz oder Digitalisierung. Vergütet wird die Ursprungsrolle, dazu kommen Arbeitszeit und Qualifizierung. Der seltenere Weg in größeren Organisationen: eine eigene Stelle, dann meist unter Titeln wie AI Officer, AI Governance Manager oder Head of AI Compliance und eingruppiert wie vergleichbare Governance-Funktionen.

Der ehrliche Kostenblock ist deshalb ein anderer als das Gehalt: Arbeitszeit für Inventar und Einordnung, Qualifizierung und das rollenbasierte Schulen des Teams. Diese Posten sind planbar - und kleiner als das nachträgliche Aufräumen, wenn KI 18 Monate ungesteuert gelaufen ist.

Häufige Fehler bei der Benennung

Der erste Fehler ist die Benennung ohne Inventar. Eine Person wird ernannt, bevor jemand weiß, welche KI-Systeme im Haus laufen - und scheitert dann an einer Bestandsaufnahme, für die sie kein Mandat hat. Richtig ist die andere Reihenfolge: erst die Systemliste als Auftrag der Geschäftsführung, dann die dauerhafte Rolle.

Der zweite Fehler ist die Verwechslung von Rolle und Kompetenz. Wir sehen in Projekten regelmäßig Betriebe, die einen KI-Beauftragten benannt haben und Artikel 4 damit für erledigt halten. Das ist er nicht - die Pflicht betrifft alle, die mit KI arbeiten. Laut Bitkom-Umfrage 2025 nutzen 36 Prozent der Unternehmen KI, aber 43 Prozent haben überhaupt keine KI-Schulungsangebote; nur 8 Prozent schulen alle Beschäftigten. Ein Beauftragter mit Zertifikat neben einem ungeschulten Team ist keine erfüllte Pflicht, sondern eine dokumentierte Lücke.

Der dritte Fehler ist die Rolle ohne Zeit. Sie steht im Organigramm, bekommt aber keine Stunden zugewiesen. Aus über 600 umgesetzten Projekten seit 2012 ist das die konsistenteste Beobachtung bei Querschnittsrollen: Was nicht in der Kapazitätsplanung steht, passiert nicht. Nach einem halben Jahr ist die Systemliste veraltet, und die Rolle existiert nur noch auf dem Papier.

Der vierte Fehler ist der Rückzug ins Rechtliche. Wird die Rolle zur Bremse, die jeden KI-Vorstoß prüft und verzögert, entsteht genau der Zustand, den wir bei Betrieben sehen, die KI-ready sind, aber nicht KI-produktiv: Werkzeuge lizenziert, Zuständigkeit geklärt, Nutzung nahe null. Wirksam ist die Rolle nur, wenn sie den Einsatz ermöglicht und dabei absichert.

Wie das aussieht, wenn beides zusammenkommt, haben wir für den eigenen Betrieb dokumentiert. Am 19. Juni 2026 lief eine Inhouse-Schulung für das gesamte Team, mit einem Quiz als Wissensnachweis, das mindestens vier von fünf Fragen richtig verlangt, dazu Protokoll und Unterschriftenliste in der Compliance-Akte. Auf Nachfrage bei der IHK Köln wurde bestätigt, was der Wortlaut ohnehin hergibt: Eine lückenlose interne Dokumentation genügt als Eigennachweis, ein externer Zertifizierer ist nicht vorgeschrieben. Welche KI-Systeme wir wofür einsetzen, steht offen einsehbar auf der Seite zur KI-Transparenz - das ist das Inventar aus Aufgabe eins, nur öffentlich.

Wann sich ein KI-Beauftragter lohnt - und wann nicht

KIMit KI erzeugtes Bild

Für kleine Betriebe mit überschaubarem KI-Einsatz ist eine eigene Rolle Überbau. Wenn fünf Leute ein Sprachmodell für Texte nutzen und sonst nichts läuft, reicht eine klare Zuständigkeit bei der Geschäftsführung plus eine Systemliste, die zweimal im Jahr aktualisiert wird. Die Verordnung erleichtert kleinen Unternehmen ohnehin einiges: vorrangigen und kostenlosen Zugang zu KI-Reallaboren, reduzierte Konformitätsbewertungsgebühren nach Artikel 62, vereinfachte technische Dokumentationsformulare und eine Bußgeld-Bemessung nach dem jeweils niedrigeren Wert gemäß Artikel 99.

Der Rechenweg kippt, sobald eines von drei Merkmalen zutrifft. Erstens: KI wirkt nach außen - im Kundenkontakt, in veröffentlichten Inhalten, in der Angebotserstellung. Dann greifen Kennzeichnungspflichten, und jemand muss sie im Alltag durchsetzen. Zweitens: Ein System berührt einen Anhang-III-Bereich, typischerweise Bewerbervorauswahl oder Bonitätsbewertung. Dann steht Hochrisiko im Raum, und die Einordnung muss belastbar begründet sein. Drittens: KI ist in Prozesse eingebaut, nicht nur ein Werkzeug am Rand - wie bei laufender Prozessautomatisierung mit KI. Dann geht es nicht mehr nur um Compliance, sondern um die Frage, wer merkt, wenn eine Automatisierung falsch läuft.

Für größere Organisationen ist die eigene Rolle meist die günstigere Variante: Ab einer bestimmten Zahl von Systemen und Abteilungen kostet verteilte Zuständigkeit mehr Koordination als eine klare Stelle - und produziert Lücken, die niemand sieht, bis sie auffallen. Welche Anwendungsfälle wie eingeordnet werden, zeigen unsere KI-Anwendungsfälle.

So besetzt du die Rolle: Schritt für Schritt

Fünf Schritte, keiner davon braucht ein Großprojekt.

Erstens: Systemliste vor Rollenbesetzung. Schreib auf, welche KI-Systeme tatsächlich laufen - Sprachmodelle, Chatbots, Bildgeneratoren, KI-Tools im Marketing, Automatisierungen mit KI-Bausteinen. Frag aktiv nach privat mitgebrachten Werkzeugen, sonst bekommst du eine unvollständige Liste.

Zweitens: Aufgaben schriftlich festlegen. Die fünf Blöcke aus diesem Artikel als Rollenbeschreibung, mit einem Satz dazu, was die Person entscheiden darf und was sie vorlegt.

Drittens: Person und Mandat klären. Fachliche Nähe zu Prozessen und Daten schlägt Zertifikate. Dazu Arbeitszeit in der Kapazitätsplanung und ein direkter Berichtsweg zur Leitung.

Viertens: qualifizieren, nachdem der Auftrag steht. Lehrgang bei IHK, TÜV oder DEKRA, wenn die Einordnungen belastbar sein müssen - oder gezielte interne Einarbeitung, wenn der KI-Einsatz überschaubar bleibt.

Fünftens: Team schulen, nicht nur die Rolle. Artikel 4 betrifft alle. Eine rollenbasierte KI-Schulung an echten Aufgaben aus dem eigenen Betrieb erfüllt die Pflicht und hebt gleichzeitig die Produktivität, die sonst im ungesteuerten Ausprobieren verpufft.

Diese Einordnung stammt nicht aus zweiter Hand. René Tzschoppe, EU AI Act Beauftragter mit TÜV Rheinland geprüfter Qualifikation, trägt das Prüfzeichen mit der ID 0217466644, gültig bis 27.07.2029 - die Prüfung umfasst Risikoklassifizierung nach Verordnung (EU) 2024/1689, KI-Kompetenz nach Artikel 4, Transparenzpflichten nach Artikel 50 sowie Konformitätsbewertung und Dokumentation.

Die Qualifikation belegt Fachkunde, keine Rechtsberatung - der Hinweis vom Anfang gilt unverändert. Praktisch bedeutet sie, dass Einordnung, Kennzeichnung und Dokumentation Teil der Bauplanung sind, wenn wir als KI-Agentur Systeme entwickeln.

Die ehrliche Zusammenfassung: Der KI-Beauftragte ist keine Pflicht, sondern eine Entscheidung darüber, ob KI im Betrieb gesteuert wird oder einfach passiert. Wer die Rolle besetzt, tut es selten wegen der Verordnung, sondern weil irgendwann niemand mehr sagen kann, welche Systeme laufen und wer sie verantwortet. Wer diese Frage beantworten kann, bekommt Compliance als Nebenprodukt.