KI-Beauftragter: Brauchst du die Rolle wirklich?

Die Frage kommt meistens aus der Mitte des Unternehmens. Jemand aus dem Vertrieb will ein Angebot von einem KI-Werkzeug zusammenfassen lassen und fragt vorher kurz nach, ob das in Ordnung ist. Und dann passiert etwas, das ich in vielen Projekten gesehen habe: Die Frage geht einmal durchs Haus und kommt unbeantwortet zurück. Die IT fühlt sich für den Datenschutz nicht zuständig, der Datenschutz nicht für die Werkzeugauswahl, die Geschäftsführung hat gerade anderes zu tun.

Wer das zwei oder drei Mal erlebt hat, landet schnell bei einer naheliegenden Idee: Wir brauchen einen KI-Beauftragten. Und seit die KI-Verordnung greift, gibt es viele Anbieter, die genau diese Idee verkaufen, als Ausbildung, als Zertifikat, als Beratungspaket. Die Frage ist berechtigt, die Antwort fällt für die meisten Mittelständler aber anders aus als erwartet.

Was mit „KI-Beauftragter“ gemeint ist

„KI-Beauftragter“ ist eine Berufsbezeichnung ohne rechtliche Definition. Anders als beim Datenschutzbeauftragten gibt es keine Norm, die festlegt, wer die Rolle übernehmen darf, welche Aufgaben sie umfasst, welche Qualifikation sie voraussetzt oder welchen Schutz die Person genießt. Jeder Anbieter einer Schulung füllt den Begriff selbst.

In der Praxis beschreibt der Begriff eines von zwei recht unterschiedlichen Dingen. Entweder ist eine koordinierende Funktion gemeint, die den Überblick über eingesetzte Werkzeuge behält und Anfragen beantwortet. Oder es ist eine Governance-Funktion gemeint, die Regeln setzt, Risiken bewertet und die Einhaltung prüft. Beides kann sinnvoll sein. Nur ist das eine ein halber Tag Arbeit pro Woche und das andere eine Stelle.

Verlangt der EU AI Act einen KI-Beauftragten?

Nein. In den 113 Artikeln der Verordnung (EU) 2024/1689 kommt das Substantiv „Beauftragter“ kein einziges Mal in Bezug auf Unternehmen vor. Die 16 Textstellen, an denen das Wort auftaucht, meinen ausnahmslos den Europäischen Datenschutzbeauftragten, also die Aufsichtsbehörde für die Organe der EU, etwa in Artikel 70 Absatz 9 und in Artikel 100. Eine Bestellpflicht für ein Unternehmen steht an keiner Stelle.

Die Pflicht, um die es wirklich geht, steht in Artikel 4 der KI-Verordnung und adressiert das Unternehmen als Ganzes. Im Wortlaut der seit dem 27. Juli 2026 geltenden Fassung: „Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.“ Satz 2 stellt klar, dass die Verpflichtung Anbieter oder Betreiber nicht dazu verpflichtet, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Verpflichtet ist das Unternehmen. Wer die Maßnahmen im Haus organisiert, bleibt dir überlassen. Diese Fassung hat die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus, gebracht; der ursprüngliche Text verlangte noch, ein ausreichendes Maß an KI-Kompetenz nach besten Kräften sicherzustellen. Die Pflicht selbst gilt unverändert seit dem 2. Februar 2025. Wir gehen auf Artikel 4 in einem eigenen Beitrag im Dezember genauer ein.

Es gibt zwei Stellen in der Verordnung, die gelegentlich als Belegstelle für einen KI-Beauftragten herangezogen werden, und beide tragen das nicht. Artikel 22 verlangt einen „Bevollmächtigten“ in der Union, allerdings nur von Anbietern aus Drittländern, die Hochrisiko-Systeme auf den EU-Markt bringen. Das ist eine Vertretung gegenüber Behörden und keine interne Funktion. Und Artikel 26 Absatz 2 verlangt von Betreibern von Hochrisiko-Systemen, die menschliche Aufsicht „natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“, zu übertragen. Das ist eine Aufgabe, die an Menschen gehen muss. Ein Amt mit Titel wird daraus nicht.

Für die Praxis heißt das: Niemand kann dich zur Benennung zwingen, und niemand kann dich für die fehlende Benennung belangen. Belangt werden kann dein Unternehmen dafür, dass eine Pflicht unerfüllt bleibt. Die Pflicht erfüllt aber auch jemand, der keinen Titel trägt. Die Marktaufsicht liegt in Deutschland seit dem Durchführungsgesetz vom Sommer 2026 bei der Bundesnetzagentur.

Welche Beauftragten es rechtlich wirklich gibt

Von den Funktionen, an denen KI-Fragen im Mittelstand heute schon hängen, trägt genau eine eine echte Bestellpflicht mit klaren Schwellen: der Datenschutzbeauftragte nach Artikel 37 DSGVO und § 38 BDSG. Informationssicherheit und Compliance sind dagegen Pflichten der Leitung, die sich organisatorisch verteilen lassen.

Daraus folgt: Für jede KI-Frage mit Personenbezug ist der Datenschutzbeauftragte ohnehin an Bord, und die Haftung für Organisationsmängel liegt in jedem Fall bei der Geschäftsführung. Was wirklich offen bleibt, sind Freigabe, Schulung und Dokumentation. Wie die Zuständigkeit für Entscheidung und Haftung dabei aussieht, haben wir in KI-Governance im Mittelstand ausführlicher beschrieben.

Ein praktischer Nebeneffekt der Tabelle: Wenn dein Unternehmen einen Datenschutzbeauftragten hat, kennt diese Person die Werkzeuge, die Verträge und die Prüflogik schon. Die Erweiterung ihres Auftrags kostet weniger als eine neue Rolle und verhindert, dass zwei Funktionen dieselbe Frage unterschiedlich beantworten.

Was ISO/IEC 42001 an Rollen vorsieht

Die Managementsystem-Norm ISO/IEC 42001 verlangt zugewiesene Rollen, aber keinen KI-Beauftragten. Kapitel 5.3 verpflichtet die oberste Leitung, Verantwortlichkeiten und Befugnisse für das KI-Managementsystem zuzuweisen und bekannt zu machen. Die Maßnahme A.3.2 in Anhang A heißt „AI roles and responsibilities“, auf Deutsch Rollen und Verantwortlichkeiten für KI, und verlangt, dass jeder Teil des KI-Managements einen Verantwortlichen hat. Eine Stellenbezeichnung schreibt die Norm nicht vor. Wie du die Rollen schneidest, ist deine Entscheidung.

Das Beratungshaus diconium hat die Norm im September 2026 als Grundlage für KI-Governance beschrieben und dabei als häufigste Lücke genannt, dass niemand für die Freigabe von KI-Systemen zuständig ist und Entscheidungsbefugnisse undefiniert bleiben. Dieselbe Beobachtung machen wir in unseren Projekten, nur ohne Norm im Hintergrund. Für einen Mittelständler mit 60 Beschäftigten ist die Zertifizierung nach ISO/IEC 42001 meistens zu groß. Die Logik der Norm lässt sich trotzdem übernehmen: eine Liste der Aufgaben, und hinter jeder Aufgabe ein Name.

Wie verbreitet die Rolle im Mittelstand ist

Für die Verbreitung eines KI-Beauftragten im deutschen Mittelstand gibt es keine belastbare Erhebung. Wir haben die einschlägigen Quellen für 2025 und 2026 geprüft, darunter Bitkom, DIHK und die IHK-Digitalisierungsumfragen. Alle messen Nutzung, Budgets und Hürden. Keine zählt Rollen oder benannte Zuständigkeiten. Wer dir eine Prozentzahl zu KI-Beauftragten nennt, hat sie entweder aus einer Anbieterbefragung oder geschätzt.

Was es gibt, sind gute Zahlen zum Umfeld. Nach der Bitkom-Befragung vom 14. September 2026 unter 603 Unternehmen ab 20 Beschäftigten setzen 57 Prozent KI ein, nach 36 Prozent im Vorjahr. Gleichzeitig halten 66 Prozent die KI-Kenntnisse ihrer Beschäftigten für gering, und ein Viertel schult überhaupt nicht. 37 Prozent rechnen damit, als Betreiber von der KI-Verordnung betroffen zu sein. Die DIHK-Digitalisierungsumfrage 2026 mit knapp 5.000 Unternehmen zeigt dasselbe Muster von der anderen Seite: generative KI ist mit 78 Prozent die häufigste Anwendung, und knapp ein Drittel nutzt KI weder noch plant es.

Aus diesen Zahlen lässt sich eine Einschätzung ableiten, aber keine Pflicht. Die Lücke liegt bei Kenntnissen und Schulung, also genau dort, wo Artikel 4 ansetzt. Eine Rolle schließt diese Lücke nur, wenn die Person Zeit und Budget für Schulung hat.

Die Aufgaben, die jemandem gehören müssen

Sechs Aufgaben müssen in jedem Unternehmen, das KI benutzt, einen Namen tragen: Werkzeugfreigabe, Datenfreigabe, Schulung, Dokumentation, Lieferantenprüfung und Vorfallbehandlung. Aus über 2.500 Website-Projekten kennen wir das Muster: In kleineren Unternehmen sind diese Aufgaben faktisch längst verteilt, nur weiß niemand, wem welche gehört. Das Problem ist selten die fehlende Rolle. Das Problem ist die fehlende Zuständigkeit für eine konkrete Frage, die jemand heute gestellt hat.

Werkzeugfreigabe

Jemand entscheidet, welche KI-Werkzeuge im Haus benutzt werden dürfen, und pflegt eine Liste, die alle einsehen können. Diese Person beantwortet auch die Anfragen nach neuen Werkzeugen, und zwar in Tagen. Wenn die Freigabe drei Wochen dauert, benutzen die Leute das Werkzeug trotzdem, nur unbemerkt. Wie dieses Muster entsteht, haben wir in Schatten-KI beschrieben.

Datenfreigabe

Jemand legt fest, welche Daten in welches Werkzeug dürfen. Kundennamen, Preislisten, Personalakten, Quellcode, Angebotsdetails: Jede dieser Kategorien braucht eine eigene Ja-oder-Nein-Antwort. Bei Personenbezug gehört diese Entscheidung zum Datenschutzbeauftragten, und das ist auch der Ort, an dem sie am besten aufgehoben ist. Die technischen Anforderungen dazu stehen in DSGVO-konforme KI.

Schulung

Jemand plant, wer wann geschult wird, und hält fest, was stattgefunden hat. Das ist die Aufgabe, die Artikel 4 am direktesten berührt. Ein Zertifikat verlangt die Verordnung nicht, ein Verzeichnis der Maßnahmen reicht. Entscheidend ist, dass die Schulung zur Tätigkeit passt: Der Vertrieb braucht anderes Wissen als die Buchhaltung.

Dokumentation

Jemand führt ein Verzeichnis der eingesetzten KI-Systeme mit Zweck, Anbieter, Datenarten und Verantwortlichem. Wer schon ein Verzeichnis der Verarbeitungstätigkeiten nach DSGVO pflegt, hängt die KI-Spalte dort an. Dieses Verzeichnis ist auch die Grundlage für jede Prüfung, intern oder behördlich, und es dauert zwei Stunden, solange man es früh anlegt.

Lieferantenprüfung

Jemand sieht sich an, was der Anbieter eines Werkzeugs vertraglich zusagt: Serverstandort, Trainingsnutzung der Eingaben, Löschfristen, Auftragsverarbeitungsvertrag, Kündbarkeit. Diese Prüfung gehört vor die Freigabe. Bei Agenturen und Dienstleistern, die KI in ihrer Arbeit einsetzen, gehört die Frage in den Vertrag.

Vorfallbehandlung

Jemand ist erreichbar, wenn etwas schiefgeht: eine Eingabe mit Kundendaten im falschen Werkzeug, eine falsche Auskunft an einen Kunden durch einen Chatbot, ein veröffentlichter Text mit erfundenen Fakten. Für diese Aufgabe zählt Erreichbarkeit mehr als Fachwissen. Sie sollte deshalb auch für jeden im Haus auf einer Seite im Intranet stehen, mit Namen und Telefonnummer.

Ab welcher Größe sich eine eigene Rolle lohnt

Zwei Größen entscheiden darüber, ob sich eine eigene Rolle rechnet: die Zahl der Beschäftigten und die Tiefe, in der KI in die Arbeit eingreift. Die folgenden Schwellen sind unsere Einschätzung aus der Projektarbeit und keine Rechtsauskunft.

Bis etwa 30 Beschäftigte mit KI in der Textarbeit: keine eigene Rolle. Die Geschäftsführung behält die Werkzeugfreigabe, der Datenschutzbeauftragte die Datenfreigabe, und beides steht auf zwei Seiten Papier, die jeder kennt. Eine Rolle hier zu schaffen, erzeugt Abstimmungsaufwand ohne Gegenwert.

Zwischen 30 und etwa 250 Beschäftigten: eine benannte Zuständigkeit innerhalb einer bestehenden Stelle. Unsere Empfehlung ist ein Mensch mit Namen, einem halben Tag pro Woche im Kalender und einem schriftlichen Auftrag, der die sechs Aufgaben von oben aufzählt. Wer das wird, hängt davon ab, wo KI im Haus wirklich benutzt wird. In einem Unternehmen mit starker Textproduktion ist es jemand aus dem Marketing, in einem mit KI in der Fertigung jemand aus der Technik. Entscheidend an diesem Auftrag ist die ausdrückliche Befugnis, ein Werkzeug auch abzulehnen.

Ab etwa 250 Beschäftigten, bei Hochrisiko-Systemen oder in der Anbieterrolle: eine eigene Rolle lohnt sich. Wer eigene KI-Funktionen in ein Produkt einbaut, ist nach der KI-Verordnung Anbieter und bekommt damit Dokumentations-, Risiko- und Konformitätspflichten, die niemand nebenbei erledigt. Dasselbe gilt in regulierten Branchen und überall, wo eine Zertifizierung nach ISO/IEC 42001 im Raum steht, etwa weil Ausschreibungen danach fragen.

Ein nützlicher Gegencheck kommt von appliedAI und Odgers, die am 8. Oktober 2026 ein Leadership AI Maturity Assessment veröffentlicht haben. Es misst die KI-Reife eines Führungsteams in acht Dimensionen aus Selbst- und Fremdsicht und geht von der Annahme aus, dass der Engpass bei den meisten KI-Vorhaben in der Organisation liegt, also bei Prozessen, Fähigkeiten und Kultur. Das deckt sich mit unserer Erfahrung und mit dem Befund der Bitkom-Zahlen oben. Wenn die Führung selbst nicht weiß, wofür KI im Haus gut sein soll, löst eine neue Rolle darunter das Problem nicht. Wie ein geordneter Einstieg aussieht, steht in KI im Unternehmen einführen.

Fazit

Die Rolle ist in den meisten Mittelstandsunternehmen entbehrlich. Die sechs Aufgaben sind es nicht. Wenn du heute etwas ändern willst, nimm die Liste aus dem Praxisteil, schreib hinter jede Aufgabe einen Namen und häng das Ergebnis dorthin, wo deine Leute es finden. Das dauert einen Vormittag und beantwortet die Frage aus dem Vertrieb von oben in Zukunft am selben Tag.

Wenn du dich nach dieser Übung trotzdem für eine eigene Rolle entscheidest, ist das eine gute Entscheidung, weil sie dann aus den Aufgaben kommt und nicht aus einer Pflicht, die es nicht gibt.

Dieser Beitrag gibt den Stand vom 12. November 2026 wieder und ersetzt keine Rechtsberatung. Für die Bewertung deines konkreten Falls, besonders bei Hochrisiko-Systemen oder in der Anbieterrolle, zieh eine Anwältin oder einen Anwalt mit Schwerpunkt IT-Recht hinzu.