KI-Beauftragter: Pflicht oder Erfindung? Was die KI-Verordnung wirklich verlangt
Stand: August 2026 · Lesezeit ca. 6 Minuten
Kurz zusammengefasst: Die KI-Verordnung kennt keinen KI-Beauftragten. Es gibt keine Benennungspflicht, kein gesetzliches Pflichtenprofil und keine Meldung an eine Behörde. Was es gibt: eine Kompetenzpflicht nach Art. 4 (seit Juli 2026 ausdrücklich als Bemühenspflicht gefasst), Betreiberpflichten nach Art. 26 bei Hochrisiko-Systemen und die Pflicht, Behörden auf Verlangen Auskunft geben zu können (Art. 74). Eine interne Zuständigkeit dafür zu benennen ist sinnvolle Organisation. Sie als gesetzliche Pflicht einzukaufen ist ein Missverständnis, das erheblich Geld kosten kann.
Woher der Begriff kommt
Der Gedanke liegt nahe. Die DSGVO hat den Datenschutzbeauftragten, also wird die KI-Verordnung wohl einen KI-Beauftragten haben. Seit dem 2. August 2026, dem Stichtag der Transparenzpflichten, ist der Begriff überall: in Seminarangeboten, Zertifikatslehrgängen und Dienstleistungspaketen, oft für vierstellige Beträge.
Die Analogie ist verständlich, aber falsch. Der Datenschutzbeauftragte ist eine gesetzlich konstruierte Rolle: Art. 37 DSGVO regelt, wann er benannt werden muss, Art. 38 schützt seine Unabhängigkeit, Art. 39 definiert seine Aufgaben, und § 38 BDSG erweitert die Benennungspflicht in Deutschland. Die Aufsichtsbehörde erfährt von seiner Benennung.
Nichts davon existiert in der KI-Verordnung. Suchen Sie den Begriff im Verordnungstext: Sie werden ihn nicht finden.
Was die Verordnung tatsächlich verlangt
Die Pflichten, die es wirklich gibt, sind organisatorischer Natur und treffen das Unternehmen, nicht eine benannte Person:
- Art. 4, KI-Kompetenz: Anbieter und Betreiber müssen Maßnahmen ergreifen, die die KI-Kompetenz der Personen fördern, die mit KI-Systemen arbeiten. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Anwendbar seit dem 2. Februar 2025, seit der Omnibus-Novelle vom Juli 2026 ausdrücklich als Bemühenspflicht gefasst. Das ist eine Qualifizierungspflicht für die Belegschaft, keine Benennungspflicht für einen Beauftragten.
- Art. 26, Betreiberpflichten: Wer ein Hochrisiko-System einsetzt, muss unter anderem die menschliche Aufsicht Personen übertragen, die die erforderliche Kompetenz und Befugnis haben. Das kommt einer Rollenzuweisung am nächsten, gilt aber nur für Hochrisiko-Systeme, bleibt intern und kennt weder Zertifikat noch Meldung.
- Art. 43, Konformitätsbewertung: Trifft ausschließlich Anbieter von Hochrisiko-Systemen. Wer KI nur einsetzt, ist nicht gemeint.
- Art. 74, Marktüberwachung: Behörden können Unterlagen anfordern. Das ist der eigentliche Grund, die eigene KI-Nutzung zu dokumentieren: Auskunftsfähigkeit, nicht Zertifizierbarkeit.
| Datenschutzbeauftragter | „KI-Beauftragter“ | |
|---|---|---|
| Rechtsgrundlage | Art. 37–39 DSGVO, § 38 BDSG | keine |
| Benennungspflicht | ja, unter definierten Voraussetzungen | nein |
| Meldung an Behörde | ja | nein |
| Gesetzliches Aufgabenprofil | ja (Art. 39 DSGVO) | nein |
| Abberufungsschutz | ja (Art. 38 Abs. 3 DSGVO) | nein |
Heißt das, Sie brauchen niemanden?
Nein, und hier wird es interessant. Die Pflichten aus Art. 4 und Art. 26 und die Auskunftsfähigkeit nach Art. 74 erledigen sich nicht von selbst. Irgendjemand muss das KI-Inventar pflegen, neue Tools einordnen, Schulungen dokumentieren und im Fall einer Anfrage die Unterlagen vorlegen können. In den meisten KMU ist dieser Jemand niemand: Die Aufgabe fällt zwischen Geschäftsführung und IT, und beide halten die jeweils andere Seite für zuständig.
Eine interne Zuständigkeit zu benennen, nennen Sie sie KI-Koordinator oder schlicht „zuständig für KI-Themen“, ist deshalb gute Organisationspraxis. Sie braucht kein Zertifikat, keine Meldung und keinen besonderen Titel. Sie braucht Zeit, Zugriff auf die Fachbereiche und eine klare Aufgabenbeschreibung.
Woran Sie ein problematisches Angebot erkennen: Wenn ein Anbieter den „externen KI-Beauftragten“ als gesetzliche Notwendigkeit verkauft oder ein Zertifikat als Voraussetzung für eine Rolle darstellt, die es rechtlich nicht gibt, fragen Sie nach der Norm, auf die sich die Pflicht stützt. Es gibt auf diese Frage keine richtige Antwort. Aufschlussreich ist, welche Sie bekommen.
Was Sie stattdessen tun sollten
Die Arbeit hinter dem erfundenen Titel ist real, und sie ist überschaubar. In der Reihenfolge, in der sie sich in der Praxis bewährt:
- KI-Inventar anlegen: Welche Tools sind im Haus, wer nutzt sie, wofür? Ohne diese Liste lässt sich keine weitere Pflicht beantworten.
- Risiko einordnen: Die meisten KMU-Tools fallen in unkritische Klassen. Genau das einmal geprüft und schriftlich festgehalten zu haben ist der Unterschied zwischen Einschätzung und Nachweis.
- Kompetenz-Maßnahme dokumentieren: Eine Schulung oder Unterweisung mit Datum, Inhalt und Teilnehmern. Das ist der Beleg für das Bemühen nach Art. 4.
- Zuständigkeit festlegen: Eine Person, die das Inventar aktuell hält und neue Tools einordnet. Intern benannt, ohne Zeremonie.
- Kennzeichnung prüfen: Chatbots und veröffentlichte KI-Inhalte fallen unter Art. 50, die Transparenzpflichten gelten seit dem 2. August 2026.
Wer diese fünf Punkte erledigt hat, erfüllt das, was die Verordnung von einem typischen KMU-Betreiber verlangt, ohne einen einzigen Titel zu vergeben.
Transparenz in eigener Sache
Ich verdiene an diesem Thema Geld: mit Vorlagen für genau diese Dokumentation und mit laufender Betreuung, wenn im Unternehmen niemand die Zeit für die Pflege hat. Sie werden auf meinen Seiten trotzdem keinen „externen KI-Beauftragten“ finden, denn ich verkaufe keine Rolle, die es nicht gibt. Die Arbeit dahinter gibt es sehr wohl, und sie hat einen ehrlichen Namen: Dokumentation pflegen, Fristen verfolgen, auskunftsfähig bleiben.
Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Rechtsstand: August 2026, KI-VO (EU) 2024/1689 i. d. F. der VO (EU) 2026/1744.