KI-Beauftragter: keine Pflicht, aber ohne ihn wird es unübersichtlich
Anders als beim Datenschutzbeauftragten kennt die KI-Verordnung keine Benennungspflicht. Warum die Rolle trotzdem in fast jedem Unternehmen entsteht — und was sie tatsächlich zu tun hat.
Die KI-Verordnung kennt keinen KI-Beauftragten
Es gibt keine Vorschrift in der KI-Verordnung, die der Benennungspflicht für Datenschutzbeauftragte nach Artikel 37 DSGVO entspricht. Wer im Netz auf Angebote stößt, die eine gesetzliche Pflicht zum KI-Beauftragten behaupten, sollte nach der Fundstelle fragen — es gibt keine.
Was die Verordnung dagegen verlangt, sind Ergebnisse: ein Verzeichnis der eingesetzten Systeme, eine Einordnung der eigenen Rolle, die Kennzeichnung nach Artikel 50, Nachweise und Maßnahmen zur KI-Kompetenz nach Artikel 4. Für Hochrisiko-Systeme kommt ab Dezember 2027 die menschliche Aufsicht hinzu, die zwingend Personen voraussetzt.
Diese Aufgaben erledigen sich nicht von selbst. Sobald mehr als eine Handvoll Werkzeuge im Einsatz ist, entsteht die Rolle faktisch — die Frage ist nur, ob sie benannt wird oder ob sie unausgesprochen bei derjenigen hängen bleibt, die zufällig zuerst gefragt wurde.
Was die Rolle tatsächlich tut
Der Kern ist Bestandsführung. Wer welche KI-Werkzeuge einsetzt, in welcher Rolle das Unternehmen dabei steht und welche Pflichten daraus folgen — das muss an einer Stelle zusammenlaufen, sonst weiß im Prüffall niemand, wonach gefragt wird.
Dazu kommt die Freigabe: Ein neues Werkzeug wird nicht eingeführt, weil eine Abteilung es praktisch findet, sondern nachdem geprüft wurde, ob personenbezogene Daten hineingehen, ob ein Auftragsverarbeitungsvertrag existiert und ob eine Kennzeichnungspflicht entsteht. Drei Fragen, die in zehn Minuten beantwortet sind, wenn jemand zuständig ist — und die sonst gar nicht gestellt werden.
Der dritte Teil ist die Fortschreibung: Schulungsunterlage aktuell halten, Werkzeugliste pflegen, bei Rechtsänderungen prüfen, was das für die eigenen Systeme bedeutet. Das ist keine Vollzeitaufgabe, aber eine dauerhafte.
Wer die Rolle übernehmen sollte
In kleineren Unternehmen ist es meist sinnvoll, die Rolle dort anzusiedeln, wo die Werkzeuge ohnehin verwaltet werden — also in der IT oder bei der Person, die Software freigibt. Sie sieht als Erste, wenn etwas Neues eingeführt wird, und das ist der Moment, in dem die Prüfung stattfinden muss.
Die Kombination mit dem Datenschutzbeauftragten liegt nahe, weil sich die Fragen überschneiden, hat aber einen Haken: Der externe Datenschutzbeauftragte ist selten nah genug an der Werkzeugauswahl, um Neueinführungen mitzubekommen. Funktioniert die Kombination, dann meist bei internen Datenschutzbeauftragten.
Was selten trägt, ist die Ansiedlung ausschließlich in der Rechtsabteilung oder bei einer externen Kanzlei. Die rechtliche Bewertung ist der kleinere Teil der Arbeit; der größere ist zu wissen, welche Werkzeuge im Haus tatsächlich laufen. Diese Kenntnis hat, wer im Betrieb sitzt.
Der pragmatische Zuschnitt
Für ein Unternehmen mit zehn bis hundert Beschäftigten reicht in aller Regel eine benannte Person mit einem klar umrissenen Auftrag: Sie führt die Liste, gibt neue Werkzeuge frei und schreibt die Schulungsunterlage fort. Ein Stellenanteil im niedrigen einstelligen Prozentbereich deckt das ab, solange keine Hochrisiko-Anwendung im Spiel ist.
Was den Aufwand treibt, ist nicht die Regulierung, sondern die Anzahl der eingesetzten Systeme. Wer den Wildwuchs begrenzt und drei freigegebene Werkzeuge statt fünfzehn geduldeter betreibt, reduziert die Arbeit der Rolle erheblich — und nebenbei das Datenschutzrisiko.
Externe Unterstützung lohnt sich vor allem beim Aufsetzen: Bestandsaufnahme, Rollenklärung und die erste Fassung der Dokumentation. Der laufende Betrieb gehört danach ins Haus, weil er Nähe zum Tagesgeschäft braucht.