Freitag, 23. Oktober 2026 von Oliver Schwartz Unternehmen profitieren erheblich von Beauftragten für KI
KI-Einsatz mit signifikanter Regelungs- und Transparenzlücke
Für einen KI-Beauftragten gibt es keinen allgemeinen gesetzlichen Bestellungszwang. Für die Folgen des KI-Einsatzes stehen Unternehmen trotzdem ein. Anwendungen verbreiten sich, während Zuständigkeiten und verbindliche Nutzungsregeln erst entstehen. Wer diese Lücke schließen will, muss KI als Führungsaufgabe organisieren. Eine qualifizierte Querschnittsfunktion mit einem klaren Mandat kann dafür einen entscheidenden Beitrag leisten.
Der Kontrast zum Datenschutz ist aufschlussreich. Dort legt das Recht Voraussetzungen für die Benennung eines Datenschutzbeauftragten fest. Dazu gehört in Deutschland nach § 38 BDSG grundsätzlich die Schwelle von mindestens 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten. Daneben bestehen tätigkeits- und risikobezogene Tatbestände unabhängig von dieser Zahl. Eine entsprechende allgemeine Benennungspflicht für KI-Beauftragte enthält der AI Act nicht. Auch seine Anforderungen an KI-Kompetenz schreiben keine bestimmte betriebliche Governance-Struktur vor. Die organisatorische Freiheit beantwortet jedoch noch nicht die Frage, wie eine verlässliche Zuständigkeit entsteht.
Dass verbindliche Regeln dem praktischen Einsatz hinterherlaufen können, zeigt eine Bitkom-Befragung von 2025 unter 604 Unternehmen mit mindestens 20 Beschäftigten. Erst 23 Prozent hatten damals Regeln für den Einsatz von KI-Tools aufgestellt. In 25 Prozent war die berufliche Nutzung privater KI-Zugänge bekannt, weitere 17 Prozent vermuteten sie. Die Untersuchung erfasst keine Quote fehlender KI-Beauftragter. Sie dokumentiert aber eine erhebliche Regelungs- und Transparenzlücke. Daran hat sich bis heute oftmals wenig geändert.
Warum diese Zuständigkeit ausbleiben kann, erklärt sich aus der Aufgabenverteilung. Die IT integriert Anwendungen, Fachbereiche suchen Produktivitätsgewinne, der Datenschutz prüft personenbezogene Daten. Die Rechtsabteilung bewertet Rechtsfragen, die Personalentwicklung organisiert Schulungen. Alle können ihren jeweiligen Auftrag erfüllen, ohne dass jemand den Gesamtprozess verantwortet. Fehlt eine vorgeschriebene Stelle, muss die Leitung deren Nutzen gegen andere Budgetwünsche abwägen. Prävention hat dabei einen Nachteil: Ihr Erfolg wird häufig erst sichtbar, wenn sich ein vermiedener Fehler als konkretes Risiko beschreiben lässt.
Das Legalitätsprinzip
Geschäftsführungen und Vorstände müssen rechtmäßiges Handeln im Unternehmen organisieren. Die gesellschaftsrechtlichen Sorgfaltsmaßstäbe finden sich insbesondere in § 43 GmbHG und § 93 AktG. Die erforderliche Organisation richtet sich nach den Verhältnissen und Risiken des Unternehmens. Organisationsversäumnisse können bei Vorliegen der weiteren Voraussetzungen Haftungsfolgen haben. Daraus folgt weder eine automatische persönliche Haftung für jeden KI-Fehler noch eine Pflicht zu einer bestimmten Stellenbezeichnung. Die Leitung muss aber darlegen können, wie relevante Risiken erkannt und beherrscht werden.
Ausgangspunkt ist eine Bestandsaufnahme: Welche Systeme werden für welche Zwecke eingesetzt, welche Rolle nimmt das Unternehmen ein? Die KI-Verordnung unterscheidet insbesondere Anbieter und Betreiber mit unterschiedlichen Pflichten. Bestimmte wesentliche Änderungen oder Zweckänderungen können nach Artikel 25 zusätzliche Anbieterpflichten auslösen. Solche Rollenwechsel muss die Governance rechtzeitig erkennen. Die Aussage, man kaufe nur Software ein, reicht als rechtliche Einordnung nicht aus. Auch die zeitliche Einordnung verlangt Sorgfalt. Nach dem im Juli 2026 in Kraft getretenen AI-Omnibus gelten für die Hochrisiko-Anwendungen des Anhangs III grundsätzlich der 2. Dezember 2027 und für die entsprechenden produktbezogenen Systeme nach Anhang I der 2. August 2028 als maßgebliche Anwendungszeitpunkte. Verbote bestimmter Praktiken gelten bereits, Transparenzpflichten des Artikels 50 grundsätzlich seit August 2026, mit besonderen Übergangsregelungen. Die Vorgaben zur KI-Kompetenz wurden vereinfacht, die Verpflichtung zu Maßnahmen zur Förderung ihrer Entwicklung besteht fort. Verschobene Fristen einzelner Vorschriften setzen weder die DSGVO noch Diskriminierungsverbote oder vertragliche Pflichten außer Kraft.
Jede Verarbeitung personenbezogener Daten braucht eine tragfähige Rechtsgrundlage. Zu prüfen sind Zweckbindung, Datenminimierung und Transparenz ebenso wie besondere Datenkategorien, Speicherfristen und Betroffenenrechte. Bei externen Diensten sind die datenschutzrechtlichen Rollen, gegebenenfalls eine Auftragsverarbeitung und Drittlandübermittlungen zu klären. Die Prüfung umfasst Eingaben, Ausgaben und mögliche Weiterverwendungen durch den Anbieter. Ein kostenpflichtiger Zugang oder abgeschaltetes Modelltraining beantwortet diese Fragen nicht vollständig. Bei voraussichtlich hohen Risiken für die Rechte und Freiheiten natürlicher Personen ist eine Datenschutz-Folgenabschätzung erforderlich.
Im Personalbereich kommen weitere Anforderungen hinzu. Das Allgemeine Gleichbehandlungsgesetz verpflichtet Arbeitgeber zu vorbeugenden Maßnahmen gegen unzulässige Benachteiligung. Ein System kann problematische Muster aus historischen Daten übernehmen oder über scheinbar neutrale Merkmale reproduzieren. Dass ein Mensch das Ergebnis bestätigt, beseitigt dieses Risiko nicht automatisch. Je nach Entscheidung sind außerdem die Grenzen automatisierter Einzelentscheidungen nach Artikel 22 DSGVO zu beachten. Besteht ein Betriebsrat, müssen einschlägige Beteiligungsrechte frühzeitig geprüft werden, insbesondere bei technischen Einrichtungen zur Leistungs- oder Verhaltensüberwachung. Eine nachträgliche Information ersetzt eine erforderliche Mitbestimmung nicht.
Der Schutzbedarf reicht über personenbezogene Daten hinaus. Verträge können Geschäftsgeheimnisse und Quelltexte fremde Lizenzbestandteile enthalten. Das Geschäftsgeheimnisgesetz knüpft den Schutz unter anderem an angemessene Geheimhaltungsmaßnahmen. Unternehmen sollten deshalb festlegen, welche Informationen in welchen Systemen verarbeitet werden dürfen. Entscheidend sind Vertragsbedingungen, Zugriffe, technische Konfiguration und tatsächliche Nutzung. Eine allgemeine Vertraulichkeitsklausel allein beantwortet die Risiken eines konkreten KI-Dienstes nicht.
Rechtliche Zulässigkeit und Bewertung von Risiken
Generierte Inhalte berühren Urheber-, Marken-, Design- und Persönlichkeitsrechte. Für die Veröffentlichung eines KI-Bildes genügt die kommerzielle Nutzungserlaubnis des Dienstes nicht. Fremde Rechte können dennoch betroffen sein, etwa durch übernommene geschützte Gestaltungselemente oder die Darstellung identifizierbarer Personen. Rein maschinell erzeugten Inhalten fehlt grundsätzlich der menschliche Schöpfungsbeitrag für einen urheberrechtlichen Werksschutz. Beim Einsatz als Werkzeug menschlicher Gestaltung hängt die Beurteilung vom Einzelfall ab. Das betrifft auch die Exklusivität, die Unternehmen Kunden zusagen können.
Rechtliche Zulässigkeit und betriebliche Qualität müssen gemeinsam betrachtet werden. Sprachmodelle können plausible, aber falsche Aussagen erzeugen; daraus können fehlerhafte Auskünfte, Buchungen oder Entscheidungen entstehen. Qualitätsmanagement muss vor der Einführung definieren, was ein akzeptables Ergebnis ist. Die Risikobewertung verbindet Eintrittswahrscheinlichkeit und mögliche Schadenshöhe; Unsicherheiten müssen ausdrücklich erfasst werden. Maßgeblich ist der konkrete Einsatzzweck. Eine hohe durchschnittliche Trefferquote genügt nicht, wenn seltene Fehler besonders schwer wiegen oder bestimmte Gruppen systematisch schlechtere Ergebnisse erhalten.
Eine belastbare Abnahme braucht repräsentative Testfälle, Grenzfälle und fachlich begründete Freigabekriterien. Festzulegen ist, welche Fehler tolerierbar sind und wann Ergebnisse geprüft oder Verfahren abgebrochen werden müssen. Änderungen an Modell, Datenquellen oder Systemanweisungen können neue Tests erfordern. Im Betrieb sind Fehler und Beschwerden auszuwerten. Menschliche Aufsicht funktioniert nur mit Fachkunde, ausreichender Zeit und der Befugnis, Ergebnisse zurückzuweisen. Eine Freigabeschaltfläche allein beweist keine wirksame Kontrolle.
Datenqualität ist eine fachliche Führungsaufgabe. Herkunft, Aktualität, Vollständigkeit und Eignung für den vorgesehenen Zweck müssen beurteilt werden. Interne Wissensassistenten benötigen Verfahren für widersprüchliche oder veraltete Dokumente. Zugriffsrechte müssen bis in die Antworten wirken. Der KI-Beauftragte koordiniert Verfahren und Mindestanforderungen; die Verantwortung für fachliche Datenbestände bleibt im jeweiligen Bereich.
Bei vernetzten KI-Anwendungen können manipulierte Inhalte Anweisungen einschleusen, die unerwünschte Ausgaben oder Handlungen auslösen. Solche Prompt-Injection-Angriffe sind besonders relevant, wenn ein Assistent externe Dokumente verarbeitet und auf interne Informationen oder Werkzeuge zugreift. Bei handelnden Agenten sind begrenzte Berechtigungen, freigabepflichtige Aktionen und Protokollierung entscheidend. Ein Warnsatz im Systemprompt ersetzt keine technische Zugriffskontrolle. Sicherheitsarchitektur und Governance müssen vor der Anbindung weiterer Systeme zusammenarbeiten.
ISO-Norm und AIMS für das Qualitätsmanagement
Einen organisatorischen Rahmen bietet ISO/IEC 42001:2023. Die Norm beschreibt Anforderungen an ein Managementsystem für künstliche Intelligenz, kurz AIMS. Dazu gehören KI-Politik, Ziele, Verantwortlichkeiten, Risikomanagement und fortlaufende Verbesserung.
Anwendung und Zertifizierung sind grundsätzlich freiwillig. Ein normkonformes AIMS muss aber dessen Anforderungen erfüllen; diese sind nicht insgesamt unverbindliche Empfehlungen. Eine Zertifizierung bestätigt zudem nicht pauschal die Rechtmäßigkeit sämtlicher KI-Anwendungen. Davon zu unterscheiden ist das gesetzlich geforderte Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI nach Artikel 17 des AI Act, dessen Anwendbarkeit gesondert zu prüfen ist.
Ein AIMS folgt einem Steuerungskreislauf: Ziele und Regeln festlegen, Maßnahmen umsetzen, ihre Wirksamkeit überprüfen und Schwächen korrigieren. Vorhandene Strukturen aus Qualitätsmanagement, Informationssicherheit und Compliance lassen sich dafür nutzen. Entscheidend ist, dass Regeln tatsächlich Entscheidungen beeinflussen. Das System muss deshalb Beschaffung und Projektfreigaben erreichen und zu Größe sowie Risikoprofil des Unternehmens passen.
Hier liegt der Kern des Mandats für einen KI-Beauftragten. Die Funktion hält den Überblick über Anwendungen und ihre Bewertung, koordiniert die KI-Policy und organisiert die Zusammenarbeit der zuständigen Stellen. Sie übersetzt Anforderungen in Verfahren, bereitet Entscheidungen vor und verfolgt offene Fragen.
Rechtsberatung, Datenschutzprüfung und technische Sicherheitsbewertung bleiben bei den dafür qualifizierten Funktionen. Aus deren Stellungnahmen muss eine verbindliche Entscheidung des zuständigen Verantwortlichen werden. Datenschutzbeauftragte beraten und überwachen die Einhaltung des Datenschutzrechts. Er oder sie trägt nicht anstelle des Unternehmens die Verantwortung für dessen Datenverarbeitung.
Das KI-Mandat erfasst zusätzlich Zuverlässigkeit, nicht personenbezogene Informationen und ethische Einsatzgrenzen. Eine Personalunion ist keine automatische Lösung: Legt der KI-Beauftragte Zwecke und Mittel personenbezogener Verarbeitung fest, kann die gleichzeitige Datenschutzfunktion einen Interessenkonflikt erzeugen. Entscheidend sind tatsächliche Befugnisse, nicht Stellenbezeichnungen.
Das Mandat für KI-Beauftragte
Gegenüber Rechtsabteilung und Compliance braucht es ebenfalls eine klare Arbeitsteilung. Juristische Einzelfallbewertungen gehören in fachkundige Hände. Compliance sorgt für die Einbindung in bestehende Kontroll- und Eskalationsverfahren. Der oder die KI-Beauftragte verbindet diese Perspektiven mit dem konkreten Einsatz und verfolgt die Umsetzung. Ein KI-Gremium kann strittige Fragen bearbeiten, benötigt dafür aber Entscheidungsrechte. Es ersetzt weder erreichbare Ansprechpartner noch die Verantwortung der Führungskräfte.
Technische Projektteams realisieren Anwendungen, testen Integrationen und betreiben Systeme. Ein Digital Officer identifiziert neue Einsatzfelder und treibt die Transformation voran.
Das Governance-Mandat richtet sich auf unternehmensweit konsistente Regeln und vertretbare Risiken. Werden Einführungserfolg und unabhängige Bewertung bei derselben Person gebündelt, drohen Zielkonflikte. Kleinere Unternehmen können Aufgaben kombinieren, sofern Rollen transparent sind und kritische Freigaben zusätzlich geprüft werden.
Ein schriftliches Mandat der Geschäftsleitung sollte Aufgaben, Informationsrechte, Ressourcen und Berichtswege festlegen. Die Funktion braucht frühen Zugang zu Beschaffungen und Projekten sowie einen direkten Eskalationsweg zur Leitung.
Bearbeitungsfristen machen Freigaben planbar. Bei erheblichen ungeklärten Risiken muss feststehen, wer eine Einführung aussetzen kann und wer abschließend entscheidet. Ein gesetzliches Vetorecht entsteht durch die freiwillige Benennung nicht. Befugnisse muss das Unternehmen ausdrücklich regeln. Stellvertretung und Zugang zu externer Expertise gehören zur Ausstattung.
Das Mandat verlangt Verständnis für KI-Systeme, Grundkenntnisse der einschlägigen Rechtsgebiete und Erfahrung mit Risikobewertung. Hinzu kommt die Fähigkeit, Anforderungen verständlich zu vermitteln.
Ein externes Mandat kann im Mittelstand tragfähig sein, wenn interne Prozessverantwortliche benannt sind und die Zusammenarbeit regelmäßig stattfindet. Die Bestellung entlastet die Leitung organisatorisch, überträgt aber nicht deren gesamte Verantwortung.
Die KI-Policy und eine übergreifende Steuerung
Eine verständliche KI-Policy macht die Organisation für Beschäftigte greifbar. Sie sollte erklären, welche Anwendungen für welche Zwecke und Daten freigegeben sind, wie Ergebnisse geprüft werden und wann Unterstützung einzuholen ist. Promptingregeln müssen zur Aufgabe passen. Für vertrauliche Dokumente sind andere Vorgaben nötig als für unverbindliche Formulierungsvorschläge. Beschäftigte müssen wissen, dass überzeugende Texte und vermeintliche Quellenhinweise falsch sein können. Schulungen sollten solche Grenzen anhand realer Tätigkeiten vermitteln. Ihre Wirkung zeigt sich im Arbeitsprozess.
Regeln allein verhindern Schatten-KI nicht zuverlässig. Beschäftigte brauchen geeignete freigegebene Werkzeuge, schnelle Antworten und einen praktikablen Weg, neue Bedarfe anzumelden. Wer über Wochen keine Lösung erhält, hat einen Anreiz auszuweichen. Eine erreichbare Koordinationsstelle kann diese Reibung verringern und verdeckte Nutzung sichtbar machen. Kontrollen bleiben erforderlich, müssen aber verhältnismäßig und rechtlich zulässig sein. Beschäftigte erhalten Orientierung; das Unternehmen kann Risiken und Nutzen besser steuern.
Eine Roadmap verbindet Geschäftsziele und organisatorische Reife. Am Anfang stehen Übersicht, Zuständigkeiten und Regeln für dringliche Risiken. Darauf können standardisierte Prüfverfahren und ein systematisches Monitoring aufbauen.
Ethische Leitlinien müssen Entscheidungen beeinflussen: Welche Formen der Überwachung oder Bewertung will ein Unternehmen auch bei rechtlicher Vertretbarkeit vermeiden? Fortschritt zeigt sich an bearbeiteten Risiken, verlässlichen Freigabezeiten und der Qualität betrieblicher Ergebnisse. Die Zahl eingeführter Anwendungen allein sagt darüber wenig aus.
KI-Beauftragte können diese Entwicklung zusammenhalten, wenn die Leitung Rückhalt gibt und Fachbereiche ihre Verantwortung wahrnehmen. Der Nutzen liegt in wiederverwendbaren Prüfungen, früher erkannten Problemen und nachvollziehbaren Entscheidungen. Mitarbeitende gewinnen Sicherheit darüber, was sie dürfen und wo sie Hilfe erhalten.
Nicht jedes Unternehmen benötigt dafür eine Vollzeitstelle. Jedes Unternehmen mit relevantem KI-Einsatz braucht jedoch eine Antwort darauf, wer die übergreifende Steuerung organisiert.
Dass das Gesetz keinen Titel verlangt, macht diese Antwort zu einer bewussten Führungsentscheidung. ■
Die persönliche Perspektive des Autors:
OLIVER SCHWARTZ
Co-Herausgeber KI Expertenforum,
Berater, Autor und Keynotespeaker
Oliver Schwartz verbindet KI-Strategie und KI-Governance mit Datenschutz, Compliance und Projektmanagement. Mit juristischem Hintergrund und langjähriger Erfahrung in Management-, Change- und Krisenkommunikation übersetzt er regulatorische und organisatorische Anforderungen in verständliche Entscheidungen und begleitet ihre Verankerung im Unternehmen. Neben den Kundenmandaten sowie der Autoren- und Rednertätigkeit, engagiert sich Oliver Schwartz als Dozent in der Ausbildung angehender KI-Beauftragter.
#kibeauftragter #kibeauftragte #künstlicheintelligenz #kiimunternehmen #kigovernance #kicompliance #kistrategie #kipolicy #aiact #euaiact #iso42001 #aims #kimanagementsystem #kirisikomanagement #kiqualitätsmanagement #kikompetenz #kischulung #shadowai #datenschutz #dsgvo #datensicherheit #kiregulierung #kirecht #kihaftung #geschäftsführerverantwortung #legalitätsprinzip #kiverantwortung #kigovernanceberatung #kiethik #digitaleTransformation
