KI-Beauftragter: Pflicht oder freiwillig? Wer die Rolle 2026 wirklich braucht

Die Frage kommt in fast jedem Erstgespräch: „Sind wir eigentlich verpflichtet, einen KI-Beauftragten zu bestellen?” Die ehrliche Antwort ist differenzierter als bei ihrem berühmten Vorbild, dem Datenschutzbeauftragten — und genau deshalb lohnt sich ein genauer Blick. Denn der EU AI Act kennt keine Bestellpflicht für einen KI-Beauftragten. Er kennt aber einen Pflichtenkatalog, der ohne eine verantwortliche Person in der Praxis regelmäßig scheitert.

Was das Gesetz tatsächlich verlangt

Die DSGVO macht es vor: Art. 37 zählt exakt auf, wer einen Datenschutzbeauftragten bestellen muss. Eine solche Norm sucht man in der KI-Verordnung vergeblich — es gibt keinen „Art. 37 des EU AI Act”. Stattdessen definiert die Verordnung Ergebnispflichten, die jemand im Unternehmen erfüllen muss:

• Art. 4 — KI-Kompetenz: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz aller mit KI befassten Personen zu unterstützen (seit dem KI-Omnibus als Bemühenspflicht). In der Praxis heißt das: Schulungen mit Nachweis. Jemand muss Schulungsbedarf ermitteln, Programme aufsetzen und dokumentieren, etwa mit einer KI-Kompetenz-Schulung.
• Art. 50 — Transparenz: KI-Inhalte kennzeichnen, Chatbots offenlegen, bei Emotionserkennung informieren. Jemand muss wissen, wo im Unternehmen überhaupt KI-Inhalte entstehen.
• Art. 26 — Betreiberpflichten bei Hochrisiko-KI: Betrieb nach Betriebsanleitung, wirksame menschliche Aufsicht durch kompetente, geschulte und befugte Personen, Kontrolle der Eingabedaten, Protokoll-Aufbewahrung, Überwachung und Meldewege. Hier kommt die Verordnung einer Rollenpflicht am nächsten: Ohne benannte Aufsichtspersonen ist Art. 26 schlicht nicht erfüllbar.
• Art. 27 — Grundrechte-Folgenabschätzung für bestimmte Betreiber — ein Verfahren, das jemand methodisch beherrschen muss.

Die Summe dieser Pflichten ist der Grund, warum sich die Rolle „KI-Beauftragter” in der Praxis durchsetzt: nicht weil ein Paragraf sie fordert, sondern weil unverteilte Pflichten unerfüllte Pflichten sind. Welche Pflichten Sie als Nutzer von KI-Systemen im Detail treffen, haben wir im Ratgeber zur Betreiber-Rolle nach dem EU AI Act aufgeschlüsselt.

Welche Aufgaben die Rolle im Alltag konkret umfasst und wie ein realistischer Jahresplan aussieht, zeigt der Aufgabenkatalog des KI-Beauftragten.

Wer die Rolle wirklich braucht — eine ehrliche Einordnung

Dringend (faktische Pflicht):

• Betreiber von Hochrisiko-KI nach Anhang III — Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, Medizin, kritische Infrastruktur. Art. 26 verlangt hier benannte, kompetente Aufsichtspersonen; ohne strukturierte Verantwortung drohen die höchsten Bußgeldkategorien.
• Regulierte Branchen: Wer ohnehin unter BaFin-Aufsicht, MDR oder KRITIS-Pflichten steht, bekommt KI-Compliance-Fragen längst in Audits und von Kunden gestellt.
• KI-Entwickler und -Anbieter: Wer KI-Lösungen baut oder unter eigenem Namen anbietet, trägt Anbieterpflichten bis zur Konformitätsbewertung — ohne dedizierte Verantwortung nicht zu stemmen.

Sinnvoll (klare Empfehlung):

• Unternehmen ab etwa 20 bis 50 Mitarbeitern mit wachsender KI-Nutzung — Copilot, ChatGPT-Teams, KI-Funktionen in CRM und Ticketsystem. Hier entsteht Schatten-KI schneller, als eine Einzelperson nebenbei überblicken kann.
• Unternehmen mit Betriebsrat oder öffentlichen Auftraggebern: Beide fragen inzwischen systematisch nach KI-Verantwortlichkeit.

Vertretbar ohne dedizierte Rolle:

• Kleinstunternehmen mit einer Handvoll Standard-Tools und ohne Hochrisiko-Nähe. Aber auch hier gilt: Art. 4 und Art. 50 treffen jedes Unternehmen — irgendjemand muss Schulung und Kennzeichnung verantworten, und sei es die Geschäftsführung selbst mit externem Sparring.

Intern besetzen, kombinieren oder extern vergeben?

Die interne Vollzeitstelle lohnt sich erst bei großen KI-Landschaften: 80.000 bis 120.000 € Jahreskosten, dazu der leergefegte Arbeitsmarkt für Compliance-Profile mit KI-Tiefe.

Die Kombination mit dem Datenschutzbeauftragten ist der naheliegende Mittelweg — die Überschneidungen sind real (Folgenabschätzungen, Betroffenenrechte, Dokumentationslogik). Sie stößt an Grenzen, sobald technische Risikoklassifizierung, Modell-Monitoring oder Anbieterthemen dazukommen. Wo die Rollen sich unterscheiden, zeigt unser Vergleich KI-Beauftragter vs. Datenschutzbeauftragter.

Der externe KI-Beauftragte übernimmt die Rolle als Dienstleistung — mit Fachwissen aus vielen Mandaten, ohne Recruiting-Risiko und zu planbaren Pauschalen. Für die meisten kleinen und mittleren Unternehmen ist das der wirtschaftlichste Weg; die Abwägung im Detail steht im Vergleich intern vs. extern.

Der pragmatische Einstieg in drei Schritten

1. Bestandsaufnahme: Welche KI-Systeme laufen im Haus — offiziell und inoffiziell? Ohne KI-Inventar bleibt jede Compliance-Diskussion Theorie.
2. Risikoklasse klären: Jedes System gegen die verbotenen Praktiken und Anhang III prüfen. Erst danach steht fest, ob Sie „nur” Art. 4 und Art. 50 erfüllen müssen — oder den vollen Hochrisiko-Katalog.
3. Verantwortung zuweisen: Intern benennen, mit dem Datenschutz kombinieren oder extern vergeben — Hauptsache, die Pflichten haben ab jetzt einen Namen und einen Prozess dahinter.

Fazit

Ein KI-Beauftragter ist keine gesetzliche Pflicht — aber die Pflichten der KI-Verordnung existieren trotzdem: KI-Kompetenz und Verbote seit 2025, Transparenz seit August 2026, die Hochrisiko-Pflichten nach dem KI-Omnibus ab Dezember 2027. Die Frage ist also weniger „Müssen wir?”, sondern „Wer macht es bei uns — und kann diese Person es neben ihrem Tagesgeschäft wirklich leisten?” Wenn die Antwort zögerlich ausfällt: Genau dafür gibt es die Rolle als Dienstleistung. Was der externe KI-Beauftragte leistet, steht transparent in der Kosten-Übersicht — und der schnellste Weg zur Einschätzung Ihrer konkreten Lage ist die kostenlose Erstberatung.

Häufige Fragen

Ist ein KI-Beauftragter gesetzlich vorgeschrieben? +

Nein — anders als der Datenschutzbeauftragte nach Art. 37 DSGVO ist der KI-Beauftragte im EU AI Act nicht als Pflichtrolle verankert. Die Verordnung schreibt aber Ergebnisse vor, die ohne eine verantwortliche Person kaum erreichbar sind: KI-Kompetenz aller befassten Mitarbeiter (Art. 4), Transparenzpflichten (Art. 50) und bei Hochrisiko-Systemen den vollen Betreiberkatalog aus Art. 26 inklusive wirksamer menschlicher Aufsicht. Wer diese Pflichten niemandem zuweist, hat im Prüffall ein Organisationsverschulden.

Wer braucht einen KI-Beauftragten am dringendsten? +

Unternehmen mit Hochrisiko-KI nach Anhang III (etwa KI-gestützte Bewerberauswahl, Kreditwürdigkeitsprüfung oder Medizin-KI), regulierte Branchen (Finanzwesen, Gesundheitswesen, KRITIS), Unternehmen mit vielen KI-Systemen oder mehreren Standorten sowie alle, die KI-Lösungen selbst entwickeln oder anbieten. Je näher die KI an Personalentscheidungen, Geld oder Gesundheit arbeitet, desto dringender braucht die Compliance einen Namen.

Kann der Datenschutzbeauftragte die KI-Compliance mit übernehmen? +

Teilweise — es gibt große Überschneidungen (DSFA und Grundrechte-Folgenabschätzung, Betroffenenrechte, TOMs). Aber die KI-Verordnung verlangt zusätzlich technisches Verständnis für Modelle, Risikoklassifizierung nach Anhang III, Konformitätsthemen und laufendes Monitoring. In der Praxis funktioniert die Kombination bei kleinen KI-Landschaften; ab mehreren Systemen oder Hochrisiko-Einsatz braucht es dedizierte KI-Kompetenz — intern oder extern.

Was kostet ein externer KI-Beauftragter? +

Bei DATUREX beginnt die laufende Betreuung bei 250 € pro Monat (bis 20 Mitarbeiter), 400 € bis 50 und 600 € bis 100 Mitarbeiter — jeweils als Fair-Use-Pauschale inklusive vollständiger Compliance-Dokumentation. Zum Vergleich: Eine interne Vollzeitstelle kostet mit Gehalt und Weiterbildung schnell 80.000 bis 120.000 € jährlich.

Was passiert, wenn niemand verantwortlich ist? +

Die Pflichten gelten trotzdem — sie werden nur nicht erfüllt. Typische Folgen: keine dokumentierten Schulungen (Art. 4), unentdeckte Hochrisiko-Systeme in Fachabteilungen, fehlende Betriebsanleitungen und Protokolle bei Audits, und im Ernstfall Bußgelder bis 15 Mio. € oder 3 % des Weltjahresumsatzes für Verstöße gegen Betreiberpflichten. Dazu kommt die persönliche Verantwortung der Geschäftsleitung für das Organisationsverschulden.