Nein. Weder die EU-KI-Verordnung noch deutsches Recht schreiben einen KI-Beauftragten vor; die Bundesnetzagentur führt seine Einführung ausdrücklich als für die Erfüllung von Artikel 4 nicht erforderlich auf. Sinnvoll ist die Rolle trotzdem, sobald mehrere KI-Werkzeuge im Betrieb laufen: Dann braucht es eine Person, die den Überblick hält, wer was nutzt, welche Daten hineingehen und wer Neues freigibt.
Das Wichtigste in Kürze
- Es gibt keine gesetzliche Pflicht, einen KI-Beauftragten zu benennen. Die Bundesnetzagentur führt formalisierte Schulungen, externe Zertifizierungen und die Einführung eines KI-Beauftragten ausdrücklich als für die Erfüllung von Artikel 4 nicht erforderlich auf.
- Pflicht ist etwas anderes: Anbieter und Betreiber müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz beim Personal unterstützen. Seit der Änderungsverordnung (EU) 2026/1744 ist kein bestimmtes Kompetenzniveau mehr geschuldet.
- Die Rolle lohnt sich ab dem Punkt, an dem mehrere Werkzeuge parallel laufen und niemand mehr sagen kann, wer welches mit welchen Daten nutzt.
- In Betrieben mit 10 bis 100 Mitarbeitern ist das keine neue Stelle, sondern eine benannte Zuständigkeit. Nach der Einführungsphase sind je nach Betriebsgröße etwa 1 bis 8 Stunden im Monat einzuplanen.
- Wichtiger als der Titel sind drei Dinge: ein schriftliches Mandat, ein fester Rahmen für die Freigabe neuer Werkzeuge und eine benannte Vertretung.
Rechtsstand: 28. Juli 2026. Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.
Die Frage höre ich in Gesprächen mit Inhabern immer öfter: "Brauche ich jetzt so einen KI-Beauftragten?" Meist kommt sie, nachdem ein Anbieter eine Mail geschickt hat, in der von Pflicht, Frist und Zertifikat die Rede ist. Die kurze Antwort ist nein. Die längere Antwort ist interessanter, denn in vielen Betrieben fehlt tatsächlich genau das, was diese Rolle liefern würde: eine Person, die weiß, welche KI-Werkzeuge im Haus laufen, wer sie mit welchen Daten nutzt und wer entscheidet, wenn jemand ein neues ausprobieren will. Dieser Artikel ordnet die Rolle ein: Aufgaben, Entscheidungsrechte, Auswahl der Person, realistischer Zeitbedarf und die Abgrenzung zu Geschäftsführung, IT und Datenschutzbeauftragtem.
Ist ein KI-Beauftragter Pflicht?
Nein. Es gibt in Deutschland keine gesetzliche Pflicht, einen KI-Beauftragten zu benennen. Die Bundesnetzagentur, die in Deutschland die Aufsicht über die KI-Verordnung übernehmen soll, führt auf ihrer Themenseite zur KI-Kompetenz ausdrücklich auf, was nicht erforderlich ist: "formalisierte oder standardisierte Trainingsmaßnahmen", "(externe) Zertifizierungen der durchgeführten Maßnahmen" und "die Einführung eines KI-Beauftragten". Dazu stellt sie klar: "Die KI-Verordnung legt nicht fest, wie die KI-Kompetenz konkret aufzubauen ist."
Was tatsächlich verlangt ist, steht in Artikel 4 der KI-Verordnung und betrifft die Kompetenz, nicht die Organisation: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz bei ihrem Personal zu unterstützen. Mit der Änderungsverordnung (EU) 2026/1744 ist die frühere Formulierung entschärft worden; ein bestimmtes Kompetenzniveau der einzelnen Mitarbeiter muss seitdem nicht mehr garantiert werden. Die Pflicht zu Maßnahmen bleibt. Zur Einordnung: Die zitierte Seite der Bundesnetzagentur gibt den Wortlaut von Artikel 4 in der Fassung vor dieser Änderung wieder; an der Aufzählung dessen, was nicht erforderlich ist, ändert die Änderung nichts. Wie Sie die Pflicht erfüllen, entscheiden Sie selbst: ob mit einer internen Einweisung, einem Inhouse-Tag oder einer Kombination.
KI-Beauftragter: keine gesetzliche Funktion, sondern eine freiwillig benannte Zuständigkeit im Betrieb. Diese Person hält die Übersicht über eingesetzte KI-Werkzeuge, pflegt die Regeln dazu, organisiert die Einweisung des Teams und ist die Anlaufstelle bei Fragen und Zweifelsfällen. Andere Bezeichnungen für dieselbe Sache: KI-Verantwortlicher, AI Officer, KI-Koordinator.
Der Unterschied zum Datenschutzbeauftragten ist an dieser Stelle wichtig, weil beides oft in einen Topf geworfen wird. Beim Datenschutzbeauftragten gibt es eine echte Bestellpflicht: Nach § 38 Absatz 1 BDSG benennen Unternehmen eine oder einen Datenschutzbeauftragten, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, dazu kommen die Fälle aus Artikel 37 DSGVO. Eine solche Schwelle gibt es für den KI-Beauftragten nicht. Wer die Rolle einführt, tut das aus organisatorischen Gründen, nicht wegen einer Vorschrift.
Vorgeschrieben ist, dass Sie etwas für die KI-Kompetenz Ihres Teams tun. Nicht vorgeschrieben ist, dass Sie dafür jemanden ernennen, ein bestimmtes Schulungsformat wählen oder ein externes Zertifikat kaufen.
Wie die Kompetenzpflicht im Detail funktioniert, seit wann sie gilt, was Anfang August 2026 mit der behördlichen Aufsicht beginnt und was in die Dokumentation gehört, habe ich in einem eigenen Artikel aufgeschrieben: KI-Schulungspflicht: Was ab August 2026 wirklich gilt. Hier geht es um die Rolle.
Was ein KI-Beauftragter im Mittelstand wirklich macht
Die Rolle klingt nach Konzern, die Aufgaben sind es nicht. In einem Betrieb mit 10 bis 100 Mitarbeitern sind es sieben überschaubare Punkte:
- Die Bestandsliste führen. Welche KI-Werkzeuge werden eingesetzt, von wem, wofür und mit welchen Daten. Eine Tabelle genügt. Ohne diese Liste lässt sich keine der anderen Aufgaben sauber erledigen.
- Neue Werkzeuge freigeben oder ablehnen. Es gibt eine Adresse, an die sich Mitarbeiter wenden, bevor sie etwas Neues nutzen. Genau das verhindert, dass die Hälfte des Teams mit privaten Konten arbeitet. Mehr dazu unter Schatten-KI im Betrieb.
- Die Regeln aktuell halten. Die KI-Richtlinie und die Anlage mit den freigegebenen Werkzeugen sind lebende Dokumente. Wer die Rolle hat, pflegt sie und stößt Änderungen an. Vorlage und Bausteine: KI-Richtlinie für Unternehmen.
- Kompetenzmaßnahmen organisieren und dokumentieren. Wer wurde wann worin eingewiesen, welche Unterlagen gab es dazu. Das ist die Aufgabe, die auf Artikel 4 einzahlt.
- Ansprechpartner für das Team sein. "Darf ich diese Kundenmail da reinkopieren?" ist eine der häufigsten Fragen in der Praxis. Sie braucht eine Antwort innerhalb eines Tages, nicht in der nächsten Betriebsversammlung.
- Transparenz und Kennzeichnung im Blick behalten. Wo Kunden mit KI-Ausgaben oder KI-Dialogen in Berührung kommen, gibt es Hinweispflichten. Die Fallgruppen stehen in der KI-Kennzeichnungspflicht nach Artikel 50.
- Zwischenfälle aufnehmen und abstellen. Eine erfundene Norm im Angebot, Kundendaten im privaten Konto, ein Werkzeug, das plötzlich anders arbeitet: kurz festhalten, Ursache klären, Regel nachschärfen.
Genauso wichtig ist, was nicht zur Rolle gehört, sonst wird sie zum Sammelbecken für alles Unangenehme:
- Keine rechtliche Bewertung im Alleingang. Ob ein Einsatz datenschutzrechtlich zulässig ist, entscheidet die Rolle nicht, sie bereitet die Frage auf und holt fachkundigen Rat.
- Keine IT-Administration. Konten, Berechtigungen und Geräte bleiben bei der IT oder beim IT-Dienstleister.
- Keine Kontrolle der Beschäftigten. Wer die Rolle als Überwachungsposten anlegt, bekommt ab Tag zwei keine ehrlichen Antworten mehr.
Welche Entscheidungen die Rolle treffen darf
Der häufigste Fehler bei der Einführung: Jemand bekommt den Titel, aber keine Befugnis. Dann läuft jede Kleinigkeit trotzdem über den Chef, und nach drei Monaten schläft die Sache ein. Sinnvoll ist ein Modell mit drei Stufen, das Sie auf einer halben Seite festhalten können:
| Stufe | Was hier passiert | Typische Beispiele |
|---|---|---|
| 1. Entscheidet allein | Alles innerhalb eines vorab gesteckten Rahmens | Freigabe eines Textwerkzeugs ohne personenbezogene Daten aus der bereits geprüften Liste, Aktualisierung der Werkzeug-Übersicht, Termine für Einweisungen |
| 2. Bereitet vor, Geschäftsführung entscheidet | Alles mit Kosten, Vertrag oder Personenbezug | Neues Werkzeug mit Lizenzkosten, Verarbeitung von Kunden- oder Bewerberdaten, Wechsel des Anbieters, Einsatz in einem kundennahen Prozess |
| 3. Gibt ab | Alles, was Fachkunde außerhalb des Betriebs braucht | Datenschutzrechtliche und arbeitsrechtliche Bewertung, Themen mit Beteiligung des Betriebsrats, die Einordnung, ob ein System als Hochrisiko-System gilt |
Das Mandat gehört auf Papier. Eine halbe Seite reicht: Aufgaben, welche Entscheidungen ohne Rückfrage getroffen werden dürfen, wie viel Arbeitszeit dafür vorgesehen ist, wer vertritt. Ohne diesen Zettel ist die Rolle ein Titel ohne Wirkung, und die betroffene Person macht sie zwangsläufig nebenher und zuletzt.
Wer sich für die Rolle eignet und wer nicht
Es braucht keine KI-Expertin und keinen Informatiker. Was es braucht, sind fünf Dinge:
- Prozesskenntnis. Die Person muss wissen, wie im Betrieb tatsächlich gearbeitet wird, nicht wie es im Organigramm steht.
- Ordnungssinn. Listen pflegen, Termine nachhalten, Dokumente aktuell halten. Das ist der größte Teil der Arbeit.
- Zugang zur Geschäftsführung. Kurzer Weg, kurze Entscheidung. Wer erst über drei Ebenen fragen muss, wird umgangen.
- Akzeptanz im Team. Die Leute müssen bereit sein, ehrlich zu sagen, was sie nutzen. Das hat mehr mit der Person zu tun als mit der Position.
- Freigegebene Zeit. Ein Zeitbudget, das andere Aufgaben tatsächlich verdrängt. Sonst ist es Zusatzarbeit, und Zusatzarbeit verliert immer.
In der Praxis funktionieren im Mittelstand vor allem diese vier Besetzungen:
Kennt Dokumentation, Nachweise und Wiedervorlagen bereits aus dem Alltag. Die naheliegendste Besetzung in Betrieben mit Zertifizierung.
Sitzt an der Stelle, an der die meisten KI-Werkzeuge zuerst auftauchen: Mails, Angebote, Texte, Übersetzungen.
Bringen operative Glaubwürdigkeit mit. Wichtig ist hier, die Dokumentation nicht am Ende doch liegen zu lassen.
Naheliegend und oft sinnvoll, aber nur mit zusätzlichem Zeitbudget und technischem Interesse. Rein juristische Besetzungen brauchen jemanden an der Seite, der die Werkzeuge selbst nutzt.
Und die Konstellationen, die meiner Einschätzung nach selten tragen: der externe IT-Dienstleister als alleiniger KI-Beauftragter, weil er die betrieblichen Abläufe nicht täglich sieht und keine internen Freigaben erteilen kann. Die Geschäftsführung selbst in Betrieben ab etwa 30 Mitarbeitern, weil die Aufgabe dann zuverlässig hinter dem Tagesgeschäft landet. Und jede Besetzung ohne freigegebene Zeit.
Benennen Sie von Anfang an eine Vertretung. Die Rolle lebt von Erreichbarkeit: Wenn die Freigabe für ein Werkzeug drei Wochen Urlaub lang liegen bleibt, nutzt es jemand einfach über das private Konto, und Sie sind dort, wo Sie angefangen haben.
Zeitbedarf: was die Rolle realistisch kostet
Die folgenden Werte sind Planungsannahmen aus meiner Praxis mit kleinen und mittleren Betrieben, keine erhobene Statistik. Sie geben eine Größenordnung für Ihre eigene Kalkulation, nicht mehr.
| Betriebsgröße | Einführung (einmalig) | Danach laufend |
|---|---|---|
| bis 20 Mitarbeiter | 1 bis 2 Tage, verteilt über einige Wochen | etwa 1 bis 2 Stunden im Monat |
| 20 bis 50 Mitarbeiter | 2 bis 4 Tage | etwa 2 bis 4 Stunden im Monat |
| 50 bis 100 Mitarbeiter | rund eine Arbeitswoche, verteilt | etwa 4 bis 8 Stunden im Monat |
| über 100 Mitarbeiter oder mehrere Standorte | eigenes Projekt mit Beteiligung mehrerer Bereiche | etwa ein halber Tag im Monat, oft auf zwei Personen verteilt |
Der Aufwand ist am Anfang am höchsten, weil die Bestandsaufnahme und die erste Fassung der Regeln entstehen. Danach ist es Pflegearbeit. Der laufende Aufwand steigt weniger mit der Mitarbeiterzahl als mit der Zahl der eingesetzten Werkzeuge und der Frage, ob Kunden- oder Mitarbeiterdaten im Spiel sind.
Abgrenzung zu Geschäftsführung, IT und Datenschutzbeauftragtem
Die meisten Reibungen entstehen nicht daran, dass jemand etwas falsch macht, sondern daran, dass zwei Leute dieselbe Aufgabe bei jemand anderem vermuten. Diese Tabelle können Sie im Betrieb direkt verwenden:
| Aufgabe | Geschäftsführung | KI-Beauftragter | IT oder IT-Dienstleister | Datenschutzbeauftragter |
|---|---|---|---|---|
| Gesetzlich vorgeschrieben? | entfällt | nein | nein | ja, unter den Voraussetzungen von Artikel 37 DSGVO und § 38 BDSG |
| Liste der eingesetzten KI-Werkzeuge führen | nein | ja | liefert technische Angaben zu | greift für seine Zwecke darauf zu |
| Neues Werkzeug freigeben | entscheidet bei Kosten und Personenbezug | bereitet vor, entscheidet im gesteckten Rahmen | prüft Technik und Anbindung | bewertet die Datenschutzfragen |
| Budget und Einführung entscheiden | ja | nein | nein | nein |
| Konten, Rechte und Geräte einrichten | nein | nein | ja | nein |
| Zulässigkeit der Datenverarbeitung beurteilen | trägt die Verantwortung | bereitet die Frage auf | nein | berät und überwacht |
| Kompetenzmaßnahmen organisieren und dokumentieren | stellt Zeit und Budget bereit | ja | unterstützt fachlich | schult die Datenschutzanteile |
| Erste Anlaufstelle für Fragen aus dem Team | nein | ja | bei technischen Störungen | bei Fragen zu personenbezogenen Daten |
Zur Doppelrolle Datenschutzbeauftragter plus KI-Beauftragter: Das funktioniert in vielen Betrieben gut, weil sich Themen und Dokumentationslogik überschneiden. Zwei Punkte sollten Sie dabei bedenken. Erstens braucht die Person zusätzliche Zeit, nicht nur einen zusätzlichen Titel. Zweitens sollte eine Rolle, die selbst über Werkzeug-Freigaben entscheidet, nicht gleichzeitig die einzige Instanz sein, die diese Entscheidungen datenschutzrechtlich prüft. Halten Sie die Prüfung in Stufe 3 des Modells oben, wenn es um mehr als Routine geht.
In fünf Schritten einführen
- Person benennen und Mandat schriftlich festhalten. Eine halbe Seite: Aufgaben, Entscheidungsrechte nach den drei Stufen, Zeitbudget, Vertretung. Im Team einmal offiziell bekannt geben, sonst weiß niemand, an wen er sich wenden soll.
- Bestandsaufnahme machen. Offen fragen, welche Werkzeuge heute genutzt werden, wofür und mit welchen Daten, ausdrücklich ohne Konsequenzen für ehrliche Antworten. Diese Liste ist die Grundlage für alles Weitere.
- Regeln auf eine Seite bringen. Was ist erlaubt, was nicht, welche Daten gehören nie in ein KI-Werkzeug, wer gibt Neues frei. Dazu eine Anlage mit den freigegebenen Werkzeugen, die sich ohne neuen Beschluss aktualisieren lässt. Bausteine und Muster-Formulierungen dafür stehen in der KI-Richtlinie für Unternehmen.
- Kompetenzmaßnahmen ansetzen und dokumentieren. Wer wird wann worin eingewiesen, mit welchen Unterlagen, und wo liegt der Nachweis. Das ist der Teil, der auf die Pflicht aus Artikel 4 einzahlt.
- Wiedervorlage setzen. Einmal im Quartal 30 Minuten mit der Geschäftsführung: Was ist neu dazugekommen, was hat nicht funktioniert, was wird geändert. Ohne festen Termin verläuft die Rolle nach dem ersten Quartal.
Ein Betrieb mit fünf Leuten, einem einzigen KI-Werkzeug und einem Inhaber, der jede Anschaffung ohnehin selbst entscheidet, braucht keinen KI-Beauftragten. Hier genügt es, den eigenen Umgang schriftlich festzuhalten und die Einweisung zu dokumentieren. Sinnvoll wird die Rolle ab dem Punkt, an dem mehrere Werkzeuge parallel laufen, mehrere Abteilungen sie nutzen oder Kundendaten im Spiel sind.
Wer macht das bei Ihnen im Betrieb?
In der KI-Beratung nehme ich einen Tag lang vor Ort auf, wie Ihr Betrieb heute arbeitet: welche Werkzeuge im Einsatz sind, wer sie mit welchen Daten nutzt und wer darüber entscheidet. Daraus wird klar, welche Zuständigkeiten Sie wirklich brauchen, dazu bekommen Sie eine Roadmap mit Euro-Zahlen. Festpreis 990 Euro netto. Eine Rechtsprüfung oder Compliance-Freigabe ist das ausdrücklich nicht.
Erstgespräch vereinbarenHäufige Fragen
Ist ein KI-Beauftragter Pflicht?
Nein. Weder die EU-KI-Verordnung noch deutsches Recht schreiben einen KI-Beauftragten vor. Die Bundesnetzagentur nennt die Einführung eines KI-Beauftragten auf ihrer Themenseite zur KI-Kompetenz ausdrücklich als für die Erfüllung von Artikel 4 nicht erforderlich, ebenso wenig sind formalisierte Schulungen oder externe Zertifizierungen verlangt. Pflicht ist nur, Maßnahmen zu ergreifen, die die KI-Kompetenz des Personals unterstützen (Artikel 4 der KI-Verordnung). Wie Sie das organisieren, entscheidet Ihr Betrieb.
Wer kann im Unternehmen KI-Beauftragter werden?
Jede Person mit Prozesskenntnis, Ordnungssinn, kurzem Draht zur Geschäftsführung, Akzeptanz im Team und freigegebener Arbeitszeit. Im Mittelstand funktionieren vor allem QM- oder ISO-Beauftragte, die Leitung von Backoffice oder Verwaltung, technisch interessierte Meister und Disponenten sowie der Datenschutzbeauftragte als Doppelrolle. Ein externer IT-Dienstleister als alleiniger KI-Beauftragter trägt in der Praxis selten, weil er die täglichen Abläufe nicht sieht und keine internen Freigaben erteilen kann.
Braucht ein KI-Beauftragter eine Ausbildung oder Zertifizierung?
Gesetzlich nicht. Es gibt weder eine vorgeschriebene Qualifikation noch eine Pflicht zu einem externen Zertifikat. Fachlich braucht die Person genug Verständnis für die eingesetzten Werkzeuge und die Pflichten aus der KI-Verordnung, um Fragen einordnen und Entscheidungen vorbereiten zu können. Eine gute interne Einweisung leistet das in vielen Betrieben ebenso wie ein gekaufter Lehrgang.
Was sind die Aufgaben eines KI-Beauftragten?
Sieben Punkte decken die Rolle im Mittelstand ab: die Liste der eingesetzten KI-Werkzeuge führen, neue Werkzeuge freigeben oder ablehnen, die KI-Richtlinie aktuell halten, Kompetenzmaßnahmen organisieren und dokumentieren, Anlaufstelle für Fragen aus dem Team sein, Transparenz- und Kennzeichnungsfragen im Blick behalten und Zwischenfälle aufnehmen und abstellen. Nicht zur Rolle gehören die rechtliche Bewertung im Alleingang, die IT-Administration und jede Form der Mitarbeiterkontrolle.
Wie viel Zeit kostet die Rolle im Monat?
Als Planungsannahme aus meiner Praxis: Der laufende Aufwand liegt bei etwa 1 bis 2 Stunden im Monat in Betrieben bis 20 Mitarbeitern, bei 2 bis 4 Stunden bei 20 bis 50 Mitarbeitern und bei 4 bis 8 Stunden bei 50 bis 100 Mitarbeitern. Dazu kommt die Einführung: 1 bis 4 Tage, in Betrieben ab etwa 50 Mitarbeitern eher eine Arbeitswoche, jeweils verteilt über einige Wochen. Das sind Annahmen zur Planung, keine erhobene Statistik. Der laufende Aufwand hängt stärker von der Zahl der Werkzeuge ab als von der Mitarbeiterzahl.
Was ist der Unterschied zwischen KI-Beauftragtem und Datenschutzbeauftragtem?
Der Datenschutzbeauftragte ist eine gesetzlich geregelte Funktion mit Bestellpflicht unter den Voraussetzungen von Artikel 37 DSGVO und § 38 BDSG, etwa wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Der KI-Beauftragte ist eine freiwillige interne Zuständigkeit ohne gesetzliche Grundlage. Inhaltlich berät und überwacht der Datenschutzbeauftragte die Einhaltung des Datenschutzrechts, während die Verantwortung für die Verarbeitung beim Unternehmen bleibt; der KI-Beauftragte organisiert Übersicht, Freigaben, Regeln und Einweisungen. Eine Doppelrolle ist möglich, braucht aber zusätzliche Zeit und sollte Prüfung und Freigabe nicht vollständig in einer Hand bündeln.
Quellen: Bundesnetzagentur, Themenseite KI-Kompetenz nach Artikel 4 KI-Verordnung (nicht erforderlich: formalisierte Trainings, externe Zertifizierungen, Einführung eines KI-Beauftragten) · Bundesnetzagentur, Hinweispapier „KI-Kompetenzen nach Artikel 4 KI-Verordnung“ (PDF) · EUR-Lex, Verordnung (EU) 2024/1689 (EU-KI-Verordnung), Artikel 3 Nummer 56 und Artikel 4 · EUR-Lex, Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI, Amtsblatt vom 24.07.2026) · § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen (Schwelle von 20 Personen) · EUR-Lex, Verordnung (EU) 2016/679 (DSGVO), Artikel 37 und 39 (Benennung und Aufgaben des Datenschutzbeauftragten) · EU-Kommission, AI Literacy: Questions and Answers (FAQ)
Niklaas Zander
KI- und Recruiting-Berater, Autor von "Der Bewerber-Code". Führt seine eigene Agentur fast komplett mit KI und baut KI-Systeme für kleine und mittlere Betriebe: DSGVO-konform, mit Plan statt Spielerei. Mehr zur KI-Beratung.
