KI-Beauftragter: Pflicht oder freiwillig? Wer die Rolle 2026 wirklich braucht

Die Frage kommt in fast jedem Erstgespräch: „Sind wir eigentlich verpflichtet, einen KI-Beauftragten zu bestellen?” Die ehrliche Antwort ist differenzierter als bei ihrem berühmten Vorbild, dem Datenschutzbeauftragten — und genau deshalb lohnt sich ein genauer Blick. Denn der EU AI Act kennt keine Bestellpflicht für einen KI-Beauftragten. Er kennt aber einen Pflichtenkatalog, der ohne eine verantwortliche Person in der Praxis regelmäßig scheitert.

Was das Gesetz tatsächlich verlangt

Die DSGVO macht es vor: Art. 37 zählt exakt auf, wer einen Datenschutzbeauftragten bestellen muss. Eine solche Norm sucht man in der KI-Verordnung vergeblich — es gibt keinen „Art. 37 des EU AI Act”. Stattdessen definiert die Verordnung Ergebnispflichten, die jemand im Unternehmen erfüllen muss:

• Art. 4 — KI-Kompetenz: Alle mit KI befassten Personen müssen nachweisbar geschult sein. Jemand muss Schulungsbedarf ermitteln, Programme aufsetzen und dokumentieren.
• Art. 50 — Transparenz: KI-Inhalte kennzeichnen, Chatbots offenlegen, bei Emotionserkennung informieren. Jemand muss wissen, wo im Unternehmen überhaupt KI-Inhalte entstehen.
• Art. 26 — Betreiberpflichten bei Hochrisiko-KI: Betrieb nach Betriebsanleitung, wirksame menschliche Aufsicht durch kompetente, geschulte und befugte Personen, Kontrolle der Eingabedaten, Protokoll-Aufbewahrung, Überwachung und Meldewege. Hier kommt die Verordnung einer Rollenpflicht am nächsten: Ohne benannte Aufsichtspersonen ist Art. 26 schlicht nicht erfüllbar.
• Art. 27 — Grundrechte-Folgenabschätzung für bestimmte Betreiber — ein Verfahren, das jemand methodisch beherrschen muss.

Die Summe dieser Pflichten ist der Grund, warum sich die Rolle „KI-Beauftragter” in der Praxis durchsetzt: nicht weil ein Paragraf sie fordert, sondern weil unverteilte Pflichten unerfüllte Pflichten sind. Welche Pflichten Sie als Nutzer von KI-Systemen im Detail treffen, haben wir im Ratgeber zur Betreiber-Rolle nach dem EU AI Act aufgeschlüsselt.

Wer die Rolle wirklich braucht — eine ehrliche Einordnung

Dringend (faktische Pflicht):

• Betreiber von Hochrisiko-KI nach Anhang III — Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, Medizin, kritische Infrastruktur. Art. 26 verlangt hier benannte, kompetente Aufsichtspersonen; ohne strukturierte Verantwortung drohen die höchsten Bußgeldkategorien.
• Regulierte Branchen: Wer ohnehin unter BaFin-Aufsicht, MDR oder KRITIS-Pflichten steht, bekommt KI-Compliance-Fragen längst in Audits und von Kunden gestellt.
• KI-Entwickler und -Anbieter: Wer KI-Lösungen baut oder unter eigenem Namen anbietet, trägt Anbieterpflichten bis zur Konformitätsbewertung — ohne dedizierte Verantwortung nicht zu stemmen.

Sinnvoll (klare Empfehlung):

• Unternehmen ab etwa 20 bis 50 Mitarbeitern mit wachsender KI-Nutzung — Copilot, ChatGPT-Teams, KI-Funktionen in CRM und Ticketsystem. Hier entsteht Schatten-KI schneller, als eine Einzelperson nebenbei überblicken kann.
• Unternehmen mit Betriebsrat oder öffentlichen Auftraggebern: Beide fragen inzwischen systematisch nach KI-Verantwortlichkeit.

Vertretbar ohne dedizierte Rolle:

• Kleinstunternehmen mit einer Handvoll Standard-Tools und ohne Hochrisiko-Nähe. Aber auch hier gilt: Art. 4 und Art. 50 treffen jedes Unternehmen — irgendjemand muss Schulung und Kennzeichnung verantworten, und sei es die Geschäftsführung selbst mit externem Sparring.

Intern besetzen, kombinieren oder extern vergeben?

Die interne Vollzeitstelle lohnt sich erst bei großen KI-Landschaften: 80.000 bis 120.000 € Jahreskosten, dazu der leergefegte Arbeitsmarkt für Compliance-Profile mit KI-Tiefe.

Die Kombination mit dem Datenschutzbeauftragten ist der naheliegende Mittelweg — die Überschneidungen sind real (Folgenabschätzungen, Betroffenenrechte, Dokumentationslogik). Sie stößt an Grenzen, sobald technische Risikoklassifizierung, Modell-Monitoring oder Anbieterthemen dazukommen. Wo die Rollen sich unterscheiden, zeigt unser Vergleich KI-Beauftragter vs. Datenschutzbeauftragter.

Der externe KI-Beauftragte übernimmt die Rolle als Dienstleistung — mit Fachwissen aus vielen Mandaten, ohne Recruiting-Risiko und zu planbaren Pauschalen. Für die meisten kleinen und mittleren Unternehmen ist das der wirtschaftlichste Weg; die Abwägung im Detail steht im Vergleich intern vs. extern.

Der pragmatische Einstieg in drei Schritten

1. Bestandsaufnahme: Welche KI-Systeme laufen im Haus — offiziell und inoffiziell? Ohne KI-Inventar bleibt jede Compliance-Diskussion Theorie.
2. Risikoklasse klären: Jedes System gegen die verbotenen Praktiken und Anhang III prüfen. Erst danach steht fest, ob Sie „nur” Art. 4 und Art. 50 erfüllen müssen — oder den vollen Hochrisiko-Katalog.
3. Verantwortung zuweisen: Intern benennen, mit dem Datenschutz kombinieren oder extern vergeben — Hauptsache, die Pflichten haben ab jetzt einen Namen und einen Prozess dahinter.

Fazit

Ein KI-Beauftragter ist keine gesetzliche Pflicht — aber die Pflichten der KI-Verordnung existieren trotzdem, und sie sind seit August 2026 voll bußgeldbewehrt. Die Frage ist also weniger „Müssen wir?”, sondern „Wer macht es bei uns — und kann diese Person es neben ihrem Tagesgeschäft wirklich leisten?” Wenn die Antwort zögerlich ausfällt: Genau dafür gibt es die Rolle als Dienstleistung. Was der externe KI-Beauftragte leistet, steht transparent in der Kosten-Übersicht — und der schnellste Weg zur Einschätzung Ihrer konkreten Lage ist die kostenlose Erstberatung.