KI-Beauftragter: Pflicht oder freiwillig?

Brauchen wir einen KI-Beauftragten?

Nein, eine Pflicht zur Benennung eines KI-Beauftragten enthält der EU AI Act nicht. Anders als die DSGVO mit dem Datenschutzbeauftragten (Art. 37 DSGVO) sieht die KI-Verordnung keine solche Rolle vor. Die EU-Kommission stellt in ihren Fragen und Antworten zur KI-Kompetenz klar, dass für Art. 4 keine bestimmte Organisationsstruktur vorgeschrieben ist, weder ein KI-Beauftragter noch ein KI-Gremium.

Pflicht ist etwas anderes: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen in ihrem Auftrag zu unterstützen (Art. 4 Abs. 1). Wer diese Maßnahmen plant und nachhält, legt das Unternehmen selbst fest.

Wann ist eine feste Zuständigkeit trotzdem sinnvoll?

Eine benannte Person lohnt sich, sobald mehrere KI-Werkzeuge im Einsatz sind oder Teams selbst neue Dienste ausprobieren. Dann braucht es jemanden, der den Überblick behält und Fragen beantwortet, zum Beispiel in diesen Fällen:

• Ihr Unternehmen nutzt mehrere KI-Dienste, etwa ChatGPT, Microsoft Copilot und KI-Funktionen im CRM.
• Sie setzen KI in einem Bereich nach Anhang III ein, zum Beispiel in der Personalauswahl. Ab dem 2. Dezember 2027 muss die menschliche Aufsicht dort bei Personen mit der nötigen Kompetenz, Ausbildung und Befugnis liegen (Art. 26 Abs. 2).
• Kunden oder Auditoren, etwa bei ISO-27001-Audits, fragen nach einer verantwortlichen Stelle für KI.

Was kostet ein KI-Beauftragter? Eine eigene Stelle ist nicht nötig. In kleinen und mittleren Unternehmen übernimmt meist eine vorhandene Person die Rolle zusätzlich, etwa aus der Geschäftsführung, der IT oder dem Datenschutz. Kosten entstehen dann vor allem durch Arbeitszeit und Weiterbildung. Wie viel Zeit die Rolle braucht, hängt davon ab, wie viele KI-Dienste im Einsatz sind und wie oft neue dazukommen.

Welche Aufgaben passen zur Rolle?

Typisch sind vier Aufgaben, die sich auch auf mehrere Personen verteilen lassen:

• Eine Übersicht der eingesetzten KI-Systeme und ihrer Anbieter führen.
• Eine KI-Richtlinie aufstellen und aktuell halten, zum Beispiel mit unserer Vorlage für eine KI-Richtlinie.
• Maßnahmen zur KI-Kompetenz planen und festhalten, wer wann an welcher Maßnahme teilgenommen hat.
• Neue KI-Vorhaben prüfen: Fallen sie unter die Hochrisiko-Regeln oder unter Transparenzpflichten nach Art. 50?

Eine einfache Maßnahme für alle Beschäftigten ist eine dokumentierte EU-AI-Act-Schulung mit Teilnahmezertifikat je Person und einem Audit-Report für das Unternehmen.

Muster zur Benennung: Eine schriftliche Benennung schreibt der EU AI Act nicht vor. Wer die Zuständigkeit trotzdem festhalten will, etwa für Kunden oder Auditoren, kann diesen Text kopieren und anpassen:

„Mit Wirkung zum [Datum] benennen wir [Name, Funktion] als KI-Beauftragte bzw. KI-Beauftragten der [Unternehmen]. Die Aufgabe umfasst: eine Übersicht der eingesetzten KI-Systeme führen, die KI-Richtlinie pflegen, Maßnahmen zur KI-Kompetenz nach Art. 4 EU AI Act planen und dokumentieren sowie neue KI-Vorhaben vor dem Einsatz prüfen. [Name] berichtet an [Geschäftsführung] und erhält dafür [Zeitbudget pro Monat]. Die Verantwortung der Geschäftsführung für die Einhaltung der KI-Verordnung bleibt unberührt. [Ort, Datum, Unterschriften]“

Kann der Datenschutzbeauftragte das übernehmen?

Ja, das ist möglich, eine Pflicht ist es nicht. Die Kommission beantwortet die Fragen nach einem KI-Beauftragten, nach einer Doppelrolle mit dem Datenschutzbeauftragten und nach einem KI-Gremium gemeinsam: Für Art. 4 ist keine bestimmte Struktur vorgeschrieben. Übernimmt der Datenschutzbeauftragte die Rolle, darf daraus kein Interessenkonflikt mit seinen Aufgaben nach der DSGVO entstehen (Art. 38 Abs. 6 DSGVO). Wer selbst über den Einsatz von KI entscheidet, sollte deren Datenschutz nicht zugleich kontrollieren.

Häufige Fragen zum KI-Beauftragten

Gibt es ein Bußgeld, wenn wir keinen KI-Beauftragten haben?

Nein. Der EU AI Act verlangt keinen KI-Beauftragten, also gibt es dafür auch kein Bußgeld. Sanktionen für Verstöße gegen Art. 4 legen die Mitgliedstaaten fest (Art. 99 Abs. 1); Art. 4 verlangt Maßnahmen zur KI-Kompetenz, keine bestimmte Rolle. Mehr dazu auf der Seite Bußgelder.

Braucht ein KI-Beauftragter eine bestimmte Ausbildung?

Nein, eine vorgeschriebene Ausbildung oder Prüfung gibt es nicht. Sinnvoll sind Kenntnisse über die eingesetzten KI-Systeme, den EU AI Act und den Datenschutz. Auch für die Beschäftigten verlangt die Kommission kein Zertifikat; eine interne Aufzeichnung der Schulungen und anderen Maßnahmen genügt.

Gilt das auch für kleine Unternehmen?

Ja. Art. 4 gilt unabhängig von der Unternehmensgröße für alle Anbieter und Betreiber. In kleinen Unternehmen übernimmt oft die Geschäftsführung die Koordination selbst, eine eigene Stelle ist nicht nötig. Was Art. 4 im Einzelnen verlangt, erklärt die Seite KI-Kompetenzpflicht nach Art. 4.

Team jetzt schulenVorlage KI-Richtlinie

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.