Die Frage kommt fast immer in derselben Form: „Beim Datenschutz mussten wir jemanden benennen. Brauchen wir jetzt auch einen KI-Beauftragten?” Dahinter steht eine sinnvolle Erwartung, nämlich dass ein neues Regelwerk nach demselben Muster funktioniert wie das letzte. Hier tut es das nicht.

Die rechtliche Antwort

Die KI-Verordnung sieht keine Pflicht zur Benennung eines KI-Beauftragten vor. Es gibt keine Vorschrift, die dem Artikel 37 der Datenschutz-Grundverordnung entspricht, also keine Schwellenwerte, ab denen jemand zu bestellen wäre, keine Meldung an eine Behörde, keine besondere Stellung im Unternehmen.

Was die Verordnung verlangt, ist etwas anderes und in der Wirkung anspruchsvoller: Sie weist Pflichten dem Unternehmen zu, abhängig von seiner Rolle. Ein Betreiber eines Hochrisiko-Systems muss unter anderem die menschliche Aufsicht Personen übertragen, die dafür die nötige Kompetenz, Schulung und Befugnis haben, das System überwachen, schwerwiegende Vorfälle melden und die Protokolle aufbewahren. Soweit er die Eingabedaten selbst kontrolliert, muss er außerdem dafür sorgen, dass sie zum Verwendungszweck des Systems passen und hinreichend repräsentativ sind.

Beim Einsatz am Arbeitsplatz verlangt Artikel 26 Absatz 7 die Information der betroffenen Beschäftigten und ihrer Vertretung. Für deutsche Häuser ist das nicht die ganze Rechnung. Wo eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu erfassen, kommt die Mitbestimmung des Betriebsrats nach § 87 Absatz 1 Nummer 6 BetrVG hinzu, und die ist in der Praxis der frühere und härtere Prüfstein als die Verordnung selbst.

Nirgends steht, dass all das bei einer Person liegen muss. Es steht nur, dass es getan werden muss.

Das ist der eigentliche Unterschied zum Datenschutz. Dort schafft die Benennung eine erkennbare Zuständigkeit. Hier verteilt sich die Verantwortung, und wer sie nicht aktiv bündelt, bekommt sie an keiner Stelle des Unternehmens vollständig zu sehen.

Warum trotzdem fast jedes Haus jemanden braucht

Die praktische Erfahrung ist eindeutig: Ohne benannte Zuständigkeit passiert nichts, und zwar unabhängig von jeder Rechtspflicht.

Der Grund liegt in der Verteilung der Aufgaben. Die Inventur der Systeme berührt IT und Einkauf. Die Datenfragen berühren Datenschutz. Die Nutzungsregeln berühren Personal und den Betriebsrat. Die Priorisierung berührt die Fachbereiche und das Controlling. Jede dieser Funktionen kann ihren Teil beitragen, und keine kann das Ganze verantworten. Genau in dieser Lücke bleiben KI-Themen liegen, bis ein Anlass sie herausdrückt.

Was gebraucht wird, ist deshalb selten ein Beauftragter im Sinne einer Kontrollfunktion. Gebraucht wird jemand, der koordiniert, entscheidungsfähig ist und nah genug an der Geschäftsführung sitzt, um Prioritäten setzen zu dürfen.

Was diese Person tatsächlich tun muss

Vier Aufgaben tragen das Thema, unabhängig davon, wie die Rolle heißt. Keine davon schreibt die Verordnung vor. Sie stellt es dem Betreiber ausdrücklich frei, wie er seine Ressourcen und Tätigkeiten dafür organisiert; verantwortlich für die Erfüllung bleibt er in jedem Fall.

• Sie hält die Übersicht über die eingesetzten Systeme aktuell, einschließlich der Frage, in welcher Rolle das Unternehmen jeweils steht.
• Sie sorgt dafür, dass zu jedem relevanten System eine Person mit Ergebnisverantwortung benannt ist.
• Sie führt die Entscheidung darüber herbei, was als Nächstes umgesetzt wird und was nicht.
• Und sie ist der Ansprechpartner, wenn von außen jemand fragt, sei es eine Behörde, ein Kunde in der Lieferantenbewertung oder ein Versicherer.

Was diese Person nicht sein muss: technischer Fachmann. Die Aufgabe ist Koordination und Entscheidungsvorbereitung. Wer sie mit der besten Entwicklerin besetzt, verliert eine gute Entwicklerin und bekommt selten eine gute Steuerung.

Die drei Besetzungsfehler, die teuer werden

Zu tief. Die Rolle wandert in die IT-Abteilung, weil KI dort technisch verstanden wird. Damit ist sie außerstande, Prioritäten gegen Fachbereichsinteressen durchzusetzen, und wird zur Beschaffungsstelle.

Zu nebenbei. Die Rolle kommt als zehn Prozent zu einer vollen Stelle dazu, ohne Entlastung und ohne Mandat. In den ersten Monaten funktioniert das, danach gewinnt das Tagesgeschäft.

Zu formal. Die Rolle wird geschaffen, um eine vermutete Pflicht zu erfüllen, und bekommt entsprechend eine Kontrollaufgabe statt einer Gestaltungsaufgabe. Das Ergebnis ist eine Instanz, die Anträge prüft, statt Vorhaben voranzubringen, und die im Haus entsprechend umgangen wird.

Wann eine externe Besetzung sinnvoll ist

Ob sich eine eigene Stelle rechnet, hängt daran, wie viele und wie kritische Systeme im Haus laufen, wie stark das Geschäft reguliert ist und welche Kompetenz schon vorhanden ist. In den Häusern, die mir begegnen, fällt die Rechnung bei einigen hundert Beschäftigten selten für eine eigene Vollzeitstelle aus, und eine halbe Stelle ist am Markt kaum zu besetzen. Das ist der Grund, warum die Aufgabe in dieser Größenordnung häufig extern und auf Zeit besetzt wird, bis die Strukturen stehen und intern jemand nachwachsen kann.

Die Grenze verläuft dort, wo Entscheidungen fallen. Externe Unterstützung kann die Übersicht herstellen, die Bewertung strukturieren und die Vorlage schreiben. Die Entscheidung darüber, welches Risiko das Unternehmen trägt und wo Kapital hingeht, bleibt bei der Geschäftsführung. Ein externer Verantwortlicher, der diese Entscheidung mitträgt, ist keine Entlastung, sondern eine Verwischung.

Genau dafür ist die Rolle eines externen Chief AI Officers gebaut: Struktur und Steuerungsfähigkeit aufbauen, ohne die Verantwortung aus dem Haus zu nehmen. Wer zuerst wissen will, wie viel Steuerung überhaupt gebraucht wird, fängt mit der KI-Reifegrad-Analyse an.

Was Sie diese Woche entscheiden können

Ohne Stellenbeschreibung und ohne Organigrammänderung: Benennen Sie eine Person, die für die nächsten sechs Monate die Übersicht über die KI-Systeme führt und in der Geschäftsführungsrunde einmal im Quartal berichtet. Geben Sie ihr Zugriff auf IT, Einkauf und Fachbereiche. Und sprechen Sie ihr das Mandat in der nächsten Sitzung mit einem Satz zu, damit alle im Haus es gehört haben.

Das kostet fast nichts und beantwortet die Ausgangsfrage praktischer als jede Rechtsauskunft.

Und die Frage, die ich Geschäftsführungen an dieser Stelle stelle: Wenn morgen eine Kundenanfrage käme, wie Sie KI in Ihren Prozessen absichern, an wen im Haus ginge diese Mail, und wäre das dieselbe Person, die auch antworten kann?

---

Rechtsstand: 30. Juli 2026. Wo sich die Rechtslage danach ändert, wird der Beitrag nachgeführt oder die Änderung gekennzeichnet.