Brauchen Unternehmen einen KI-Beauftragten?

Viele Unternehmen fragen sich, ob sie nach der KI-Verordnung (EU) 2024/1689 einen „KI-Beauftragten“ benennen müssen. Die kurze Antwort: Eine solche Pflicht gibt es nicht. Die Verordnung verlangt aber organisatorische Maßnahmen, die ohne klare Zuständigkeiten kaum umzusetzen sind. Diese Seite richtet sich an Geschäftsleitungen, Compliance- und Rechtsabteilungen, die KI-Verantwortung im Unternehmen festlegen wollen.

Rechtslage: keine Benennungspflicht nach der KI-VO

Anders als die DSGVO für den Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG) enthält die KI-Verordnung keine Vorschrift, die Unternehmen zur Benennung einer bestimmten Person für KI-Fragen verpflichtet. Das gilt für Anbieter wie für Betreiber und auch für Hochrisiko-KI-Systeme. Auch das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit 29. Juli 2026, führt keinen KI-Beauftragten ein; es regelt vor allem die Zuständigkeit der Bundesnetzagentur als zentraler Marktüberwachungsbehörde.

Angebote, die einen „gesetzlich vorgeschriebenen KI-Beauftragten“ bewerben, sind daher irreführend. Zertifikatslehrgänge für KI-Beauftragte können dennoch sinnvoll sein, wenn sie Wissen für eine intern festgelegte Rolle vermitteln.

Abgrenzung zu bestehenden Funktionen

Funktion	Rechtsgrundlage	Aufgabe	Verhältnis zur KI
Datenschutzbeauftragter	Art. 37–39 DSGVO, § 38 BDSG	Beratung und Überwachung der Einhaltung des Datenschutzrechts; weisungsfrei, Abberufungsschutz	Zuständig, soweit KI personenbezogene Daten verarbeitet, etwa bei Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Nicht zuständig für Produktsicherheits- und Transparenzpflichten der KI-VO.
Compliance-Officer	keine allgemeine gesetzliche Pflicht; Ausfluss der Legalitätspflicht der Geschäftsleitung; sektoral z. B. im Finanzbereich vorgeschrieben	Organisation der Regeltreue im Unternehmen	Kann KI-Pflichten in das bestehende Compliance-Management-System aufnehmen.
Informationssicherheitsbeauftragter	branchenabhängig, z. B. im Rahmen von NIS2-Pflichten nach dem BSI-Gesetz	Informationssicherheit	Zuständig für Cybersicherheit von KI-Systemen (vgl. Art. 15 KI-VO für Hochrisiko-Systeme).
KI-Verantwortlicher (freiwillig)	interne Festlegung	Koordination der KI-Pflichten, Inventar, Freigaben, Schulungen	Bündelt die Anforderungen der KI-VO; Aufgaben und Befugnisse werden intern definiert.

Ob der Datenschutzbeauftragte zugleich KI-Verantwortlicher sein kann, ist im Einzelfall zu prüfen. Er darf nach Art. 38 Abs. 6 DSGVO keine Aufgaben übernehmen, die zu einem Interessenkonflikt führen. Wer über die Einführung von KI-Systemen mitentscheidet, kontrolliert sich bei deren datenschutzrechtlicher Prüfung unter Umständen selbst.

Was die KI-VO organisatorisch tatsächlich verlangt

Art. 4 KI-VO: Förderung der KI-Kompetenz

Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und der Personen, die in ihrem Auftrag mit KI-Systemen umgehen, zu fördern. Seit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) ist kein bestimmtes Kompetenzniveau mehr „sicherzustellen“. Praktisch benötigen Unternehmen trotzdem jemanden, der Schulungsbedarf ermittelt, Maßnahmen plant und dokumentiert. Mehr dazu unter KI-Kompetenz.

Art. 26 KI-VO: Betreiberpflichten bei Hochrisiko-Systemen

Betreiber von Hochrisiko-KI-Systemen müssen ab dem Geltungsbeginn (Anhang III: 2. Dezember 2027; Anhang I: 2. August 2028) unter anderem

• das System entsprechend der Betriebsanleitung verwenden,
• die menschliche Aufsicht natürlichen Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen und die notwendige Unterstützung erhalten (Art. 26 Abs. 2 KI-VO),
• die Eingabedaten im eigenen Verantwortungsbereich auf Relevanz und Repräsentativität prüfen,
• den Betrieb überwachen, Anbieter und Behörden bei Risiken oder schwerwiegenden Vorfällen informieren und automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren,
• vor dem Einsatz am Arbeitsplatz Arbeitnehmervertreter und betroffene Beschäftigte informieren (Art. 26 Abs. 7 KI-VO).

Art. 26 Abs. 2 KI-VO ist die Norm, die einer Benennungspflicht am nächsten kommt: Für jedes Hochrisiko-System muss feststehen, wer die menschliche Aufsicht ausübt. Das ist eine fachliche Rolle am System, keine unternehmensweite Beauftragtenfunktion.

Art. 17 KI-VO: Qualitätsmanagementsystem für Anbieter

Anbieter von Hochrisiko-KI-Systemen müssen ein dokumentiertes Qualitätsmanagementsystem einrichten. Dazu gehört nach Art. 17 Abs. 1 lit. m KI-VO ein Rahmen für die Rechenschaftspflicht, der die Verantwortlichkeiten der Leitung und des sonstigen Personals festlegt. Spätestens hier müssen Rollen schriftlich definiert werden.

Sinnvolle Governance-Rollen

Welche Struktur passt, hängt von Größe, Branche und Rolle nach der KI-VO ab. Bewährt hat sich eine Aufteilung in vier Ebenen:

• Verantwortung der Geschäftsleitung: Ein Mitglied der Geschäftsleitung ist für KI zuständig, genehmigt die KI-Richtlinie und erhält regelmäßig Bericht.
• KI-Verantwortlicher oder KI-Koordinator: führt das KI-Inventar, koordiniert Freigaben neuer Anwendungen, organisiert Schulungen und ist Ansprechpartner für Behörden und Anbieter.
• KI-Gremium: Vertreter von Recht, Datenschutz, IT-Sicherheit, Personal und Fachbereichen bewerten neue Anwendungsfälle gemeinsam.
• System-Verantwortliche: je KI-System eine fachlich zuständige Person, bei Hochrisiko-Systemen die menschliche Aufsicht nach Art. 26 Abs. 2 KI-VO.

In kleineren Unternehmen genügt oft eine Person mit klar beschriebenen Aufgaben und ein kurzer Freigabeprozess. Entscheidend ist, dass Zuständigkeiten, Befugnisse und Berichtswege schriftlich festgehalten sind. Weitere Hinweise finden Sie unter AI Governance.

Beteiligung des Betriebsrats

Die Benennung eines KI-Verantwortlichen selbst ist grundsätzlich nicht mitbestimmungspflichtig. Die KI-Systeme, die er betreut, sind es häufig schon:

• § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Das trifft auf viele KI-Anwendungen zu.
• § 90 Abs. 1 Nr. 3 BetrVG: Unterrichtung über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von KI.
• § 80 Abs. 3 Satz 2 BetrVG: Hinzuziehung eines Sachverständigen bei der Beurteilung von KI, die kraft Gesetzes als erforderlich gilt.
• § 95 Abs. 2a BetrVG: Auswahlrichtlinien bleiben mitbestimmungspflichtig, auch wenn sie mithilfe von KI erstellt oder angewendet werden.
• Schulungsmaßnahmen nach Art. 4 KI-VO können Mitbestimmungsrechte bei der betrieblichen Berufsbildung (§§ 96 ff. BetrVG) auslösen.

Eine Rahmenbetriebsvereinbarung zu KI, die auch die Rolle des KI-Verantwortlichen als Ansprechpartner festlegt, vermeidet Einzelverhandlungen für jedes neue Werkzeug. Mehr unter KI im Arbeitsverhältnis.

Haftung der Geschäftsleitung

Die Verantwortung für die Einhaltung der KI-VO verbleibt bei der Geschäftsleitung, auch wenn sie Aufgaben delegiert. Geschäftsführer einer GmbH haben nach § 43 Abs. 1 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden und haften der Gesellschaft bei Pflichtverletzungen nach § 43 Abs. 2 GmbHG. Vorstandsmitglieder einer Aktiengesellschaft trifft nach § 93 Abs. 1 AktG die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters; nach § 93 Abs. 2 AktG tragen sie die Beweislast dafür, pflichtgemäß gehandelt zu haben. § 91 Abs. 2 und 3 AktG verlangen zudem Systeme zur Früherkennung bestandsgefährdender Entwicklungen und ein angemessenes internes Kontroll- und Risikomanagementsystem.

Daraus folgt die Legalitätspflicht: Die Geschäftsleitung muss dafür sorgen, dass das Unternehmen die Gesetze einhält, und dazu eine angemessene Compliance-Organisation einrichten. Delegation ist zulässig, entlastet aber nur bei sorgfältiger Auswahl, Einweisung und Überwachung der beauftragten Person. Bußgelder nach Art. 99 KI-VO von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken können als Schaden der Gesellschaft Regressfragen auslösen. Für unternehmerische Entscheidungen gilt der Schutz der Business Judgment Rule (§ 93 Abs. 1 Satz 2 AktG), wenn sie auf angemessener Informationsgrundlage getroffen werden. Eine dokumentierte KI-Governance ist dafür die Grundlage.

So unterstützen wir Sie

• Analyse, welche organisatorischen Pflichten der KI-VO für Ihr Unternehmen gelten
• Entwurf von Rollenbeschreibungen, Geschäftsordnung für ein KI-Gremium und Delegationsdokumentation
• Prüfung von Interessenkonflikten bei Personalunion mit dem Datenschutzbeauftragten
• Verhandlung von Rahmenbetriebsvereinbarungen zu KI
• Schulungen für Geschäftsleitung und KI-Verantwortliche zu Pflichten und Haftung

Häufige Fragen

Kann ein externer Dienstleister die Rolle des KI-Verantwortlichen übernehmen?

Ja, die Koordination kann extern unterstützt werden. Die menschliche Aufsicht über Hochrisiko-Systeme nach Art. 26 Abs. 2 KI-VO und die Verantwortung der Geschäftsleitung lassen sich jedoch nicht vollständig auslagern.

Braucht ein kleines Unternehmen ein KI-Gremium?

Nein. Häufig genügen eine zuständige Person, eine kurze KI-Richtlinie und ein einfacher Freigabeprozess für neue Werkzeuge. Die Struktur sollte zum tatsächlichen KI-Einsatz passen.

Muss der KI-Verantwortliche eine Zertifizierung haben?

Eine gesetzlich vorgeschriebene Qualifikation gibt es nicht. Erforderlich sind Kenntnisse, die den eingesetzten Systemen und Risiken angemessen sind; diese sollten dokumentiert werden.

Genießt ein KI-Verantwortlicher Kündigungsschutz wie ein Datenschutzbeauftragter?

Nein. Der besondere Abberufungs- und Kündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG gilt nur für den Datenschutzbeauftragten. Für eine freiwillig eingerichtete KI-Rolle gilt das allgemeine Arbeitsrecht.

Weiterführende Themen

• AI Governance
• Compliance-Management
• KI-Kompetenz nach Art. 4 KI-VO
• KI im Arbeitsverhältnis
• Entwicklung von KI-Richtlinien
• Checkliste: KI im Unternehmen rechtssicher einführen