Ist ein KI-Beauftragter Pflicht?
Ein KI-Beauftragter ist die Person, die im Betrieb KI-Werkzeuge freigibt, Einweisungen organisiert und bei Vorfällen hilft. Vorgeschrieben ist die Rolle nicht.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
In fast jedem Betrieb gibt es jemanden, der die Schlüssel verwaltet: wer welchen hat, wer einen neuen bekommt und was passiert, wenn einer verloren geht. Ein KI-Beauftragter ist diese Person für KI-Werkzeuge. Sie entscheidet, welche Dienste genutzt werden dürfen, sorgt für Einweisungen und ist Ansprechpartner, wenn etwas schiefgeht.
Der Begriff steht in keinem Gesetz. Es ist eine Rolle, die sich ein Betrieb selbst gibt. Ob sie KI-Beauftragter, KI-Verantwortliche oder einfach Zuständige für KI heißt, spielt keine Rolle.
Ist ein KI-Beauftragter Pflicht?
Nein. Die KI-Verordnung der EU schreibt Betrieben, die KI nutzen, keinen KI-Beauftragten vor. Die EU-Kommission beantwortet genau diese Frage in ihren Antworten zur KI-Kompetenz: Eine bestimmte Organisationsstruktur ist nicht vorgeschrieben.
Pflicht ist etwas anderes, nämlich Maßnahmen zur KI-Kompetenz der Beschäftigten. Damit das nicht im Alltag untergeht, hilft eine klar benannte Person. In kleinen Betrieben ist das oft die Inhaberin, der Inhaber oder die Büroleitung, unterstützt vom IT-Dienstleister.
Was die zuständige Person tut
- Werkzeuge freigeben: festlegen, welche KI-Dienste mit welchen Konten und welchen Daten genutzt werden dürfen. Vorher klären, ob mit dem Anbieter ein Vertrag zur Auftragsverarbeitung nötig ist.
- Nutzungsregel pflegen: eine kurze, verständliche Regel für alle, die bei neuen Werkzeugen angepasst wird.
- Einweisungen organisieren: neue Mitarbeitende einweisen und festhalten, wer wann was gelernt hat.
- Ansprechpartner bei Vorfällen sein: etwa wenn Kundendaten versehentlich in einen fremden Dienst eingegeben wurden oder ein Werkzeug ohne Freigabe genutzt wird (Schatten-KI).
Was die Rolle nicht leistet
Ein Titel verschiebt keine Verantwortung. Die Pflichten aus der KI-Verordnung treffen den Betrieb, nicht die benannte Person. Die Rolle ersetzt auch keinen Datenschutzbeauftragten. Ob Sie einen brauchen, regelt das Datenschutzrecht unabhängig davon. Und ein Teilnahmezertifikat als „KI-Beauftragter“ ist keine Voraussetzung für die Aufgabe.
Was die KI-Verordnung tatsächlich regelt
Art. 4 der Verordnung (EU) 2024/1689 richtet sich an Anbieter und Betreiber als Organisation, nicht an eine benannte Person. In der Fassung nach dem Digital Omnibus verlangt er Maßnahmen zur Entwicklung der KI-Kompetenz von Personal und Beauftragten. Die FAQ der Kommission zur AI Literacy stellt die Frage, ob ähnlich wie nach der DSGVO ein AI Officer nötig sei, und verneint sie: Für Art. 4 ist keine bestimmte Governance-Struktur vorgeschrieben. Einen Nachweis über ein Zertifikat verlangt die FAQ ebenfalls nicht.
Eine personengebundene Pflicht gibt es nur an anderer Stelle. Betreiber von Hochrisiko-Systemen übertragen die menschliche Aufsicht natürlichen Personen mit der nötigen Kompetenz, Ausbildung und Befugnis und geben ihnen die nötige Unterstützung (Art. 26 Abs. 2). Für Systeme nach Anhang III gilt das ab dem 2. Dezember 2027 (Art. 113). Das ist die Aufsicht über ein bestimmtes System, kein allgemeiner KI-Beauftragter.
Abgrenzung zum Datenschutzbeauftragten
| Datenschutzbeauftragter | KI-Beauftragter | |
|---|---|---|
| Grundlage | Art. 37 DSGVO, ergänzt durch § 38 BDSG | keine gesetzliche Rolle |
| Pflicht in Deutschland | unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind | nein |
| Unabhängig von der Zahl | bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, und bei geschäftsmäßiger Verarbeitung zur Übermittlung oder für Markt- oder Meinungsforschung | – |
Gezählt werden nach § 38 Abs. 1 BDSG nur Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, nicht alle Beschäftigten.
Beispiel: Rollenbeschreibung
Rolle: Zuständig für KI-Werkzeuge
Person: Büroleitung, Vertretung: Inhaber
Freigabe: Liste erlaubter Dienste mit Konto, erlaubten Daten, Vertrag zur Auftragsverarbeitung ja/nein
Nutzungsregel: Fassung, Datum, Kenntnisnahme aller Nutzenden
Einweisung: bei Einstellung und bei neuen Werkzeugen, Nachweis in Liste
Vorfälle: Meldung an diese Person, Eintrag mit Datum und Maßnahme
Überprüfung: jährlich und bei neuen KI-Funktionen in vorhandener Software
Typische Fehler
- Benannt ohne Befugnis. Wer Werkzeuge freigeben soll, braucht das Recht, Konten anzulegen und zu sperren. Für die Aufsicht über Hochrisiko-Systeme nennt Art. 26 Abs. 2 Befugnis und Unterstützung ausdrücklich.
- Kurszertifikat als Nachweis. Die FAQ der Kommission sieht kein Zertifikat vor. Was zählt, sind die Maßnahmen im eigenen Betrieb.
- Rollen vermischt. Übernimmt der Datenschutzbeauftragte die Aufgabe mit, gehören beide Aufgaben getrennt beschrieben.
- Keine Vertretung. Fällt die Person aus, bleiben Freigaben und Vorfälle liegen.
Quellen zum Nachlesen
Den Wortlaut von Art. 4 und Art. 26 gibt der AI Act Service Desk der Kommission in konsolidierter Fassung wieder. Die Aussage zum AI Officer steht in den FAQ „AI Literacy – Questions & Answers“. Für den Datenschutzbeauftragten gilt § 38 BDSG zusätzlich zu Art. 37 DSGVO.