„Wer ist bei Ihnen für den KI-Einsatz verantwortlich?“ Diese Frage steht in fast jedem Lieferantenfragebogen an erster Stelle, und sie ist die einzige, die man nicht kurzfristig nachliefern kann. Hier steht, wen Sie benennen sollten, was die Rolle wirklich umfasst — und was sie ausdrücklich nicht ist.
Nein. Das gehört an den Anfang, weil an dieser Stelle viel Verunsicherung verkauft wird. Die KI-Verordnung enthält kein Gegenstück zu Artikel 37 DSGVO, der die Bestellung eines Datenschutzbeauftragten unter bestimmten Voraussetzungen zwingend vorschreibt. Es gibt keine Mitarbeiterschwelle, ab der ein „KI-Beauftragter“ zu bestellen wäre, keine Meldung an eine Behörde und keine vorgeschriebene Qualifikation.
Wer Ihnen ein Zertifikat verkauft mit dem Argument, ohne bestellten KI-Beauftragten drohe ein Bußgeld, argumentiert an der Rechtslage vorbei. Ein solches Bußgeld existiert nicht.
Die Pflichten aus der Verordnung treffen das Unternehmen. Ein Unternehmen kann aber nichts tun — Menschen tun etwas. Ohne eine benannte Person passiert deshalb regelmäßig genau das: nichts. Jeder hält jemand anderen für zuständig.
Hinzu kommt der praktische Auslöser. Geschäftskunden fragen die Rolle inzwischen standardmäßig ab. Wer dort „nicht benannt“ ankreuzt, verliert selten den Auftrag — aber löst eine Rückfrage aus, die drei Wochen kostet.
Die verbreitete Annahme, das müsse jemand aus der IT sein, führt in die Irre. Die Aufgaben sind zu neunzig Prozent organisatorisch: nachfragen, dokumentieren, entscheiden, erinnern. Technische Tiefe braucht man dafür nicht, Zugang zur Geschäftsleitung schon.
| Kandidat | Spricht dafür | Spricht dagegen |
|---|---|---|
| Geschäftsführung selbst (bis ca. 20 Mitarbeitende) | Entscheidungsbefugnis vorhanden, keine Abstimmungsschleifen | Zeitbudget wird meist überschätzt; die Aufgabe wird verdrängt |
| Assistenz der Geschäftsführung | Kennt alle Bereiche, hat kurzen Draht nach oben, dokumentiert ohnehin | Braucht ausdrückliche Entscheidungsvollmacht, sonst bleibt jede Freigabe liegen |
| IT-Leitung | Kennt die Systemlandschaft, sieht Schatten-KI am ehesten | Neigt zur rein technischen Sicht; Fachbereiche fühlen sich kontrolliert |
| Qualitätsmanagement | Denkt in Prozessen, Dokumentation ist Tagesgeschäft | Fehlt oft in Betrieben unter fünfzig Mitarbeitenden |
| Datenschutzbeauftragte:r | Größte fachliche Nähe, kennt Verzeichnis und Verträge | Bei internen Beauftragten Rollenkonflikt möglich — siehe unten |
Es liegt nahe, beides in eine Hand zu geben. Es ist auch zulässig — aber nicht ohne Weiteres. Der Datenschutzbeauftragte hat nach Artikel 38 Absatz 6 DSGVO eine Kontrollfunktion und darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen. Wer KI-Werkzeuge selbst freigibt, kontrolliert anschließend die eigene Entscheidung.
Der saubere Zuschnitt: Der oder die KI-Verantwortliche entscheidet über Freigaben. Der Datenschutzbeauftragte wird vor jeder Freigabe angehört und kann widersprechen. Zwei Personen, eine Entscheidung, nachvollziehbar dokumentiert. Bei einem externen Datenschutzbeauftragten ist die Doppelrolle in der Regel unproblematisch, weil dort ohnehin keine operative Freigabekompetenz liegt.
Diese Liste gehört wörtlich in das Bestellschreiben. Sie ist zugleich die Antwort auf die Nachfrage „Was macht diese Person konkret?“, die im Fragebogen fast immer folgt.
Diese Abgrenzung entscheidet darüber, ob jemand die Aufgabe annimmt. Ohne sie wirkt die Bestellung wie eine Haftungsfalle, und das ist sie nicht.
Für einen Betrieb, der KI nutzt und nicht entwickelt:
| Betriebsgröße | Ersteinrichtung | Laufend pro Monat |
|---|---|---|
| bis 20 Mitarbeitende | ein halber Tag | 1–2 Stunden |
| 20 bis 100 | ein bis zwei Tage | 2–6 Stunden |
| 100 bis 250 | drei bis fünf Tage | 6–12 Stunden, oft auf zwei Personen verteilt |
Der größte Posten in der Ersteinrichtung ist nicht das Schreiben von Dokumenten, sondern die Bestandsaufnahme: herausfinden, was tatsächlich genutzt wird. Wer diesen Teil überspringt, spart einen Tag und dokumentiert dafür ein Inventar, das nicht stimmt.
Eine Seite genügt. Länger wird es nur, wenn jemand ein Muster aus dem Konzernumfeld kopiert.
„Frau/Herr … erhält für die Wahrnehmung dieser Aufgaben Auskunftsanspruch gegenüber allen Fachbereichen, das Recht, KI-Werkzeuge freizugeben oder zu sperren, und ein unmittelbares Vortragsrecht gegenüber der Geschäftsführung. Für die Aufgabe wird ein Zeitbudget von bis zu … Stunden im Monat zur Verfügung gestellt. Die Verantwortung der Geschäftsführung nach § 43 GmbHG bleibt unberührt.“
Der letzte Satz ist kein Beiwerk. Er stellt klar, dass niemand hier persönlich in die Organhaftung geschoben wird — und macht es leichter, dass jemand zusagt.
Es gibt Anbieter, die die Rolle extern übernehmen, ähnlich wie beim Datenschutz. Ehrliche Einschätzung: Für Betriebe unter hundert Mitarbeitenden, die KI nur nutzen, ist das meist überdimensioniert. Die Aufgabe verlangt Kenntnis des eigenen Hauses — wer täglich sieht, welche Werkzeuge im Marketing auftauchen, findet Schatten-KI, ein externer Dienstleister im Quartalstermin nicht.
Sinnvoll ist die externe Unterstützung bei drei Konstellationen: Hochrisiko-Systeme im Einsatz, eigene KI-Entwicklung mit Anbieterrolle, oder ein Konzernkunde, der eine unabhängige Bestätigung verlangt. In allen anderen Fällen ist die Kombination aus interner Person und externem Nachschlagewerk günstiger und wirksamer.
Wo Sie nach diesen vier Wochen stehen, lässt sich in zwei Minuten prüfen — der kostenlose Quick-Check geht die zehn Punkte durch, nach denen im Fragebogen gefragt wird.
Das ist häufiger als gedacht, und die Gründe sind fast immer dieselben. Sie lassen sich einzeln ausräumen.
| Einwand | Was hilft |
|---|---|
| „Ich habe keine Zeit dafür.“ | Zeitbudget als Zahl ins Bestellschreiben, und eine bestehende Aufgabe sichtbar abgeben. Eine Rolle ohne Entlastung ist eine Zusatzbelastung mit anderem Namen. |
| „Ich kenne mich mit KI nicht aus.“ | Die Aufgabe ist organisatorisch. Wer ein Verzeichnis führen und eine Frist einhalten kann, kann die Rolle ausfüllen. Fachliche Fragen werden nachgeschlagen, nicht auswendig gewusst. |
| „Dann hafte ich, wenn etwas passiert.“ | Der Klarstellungssatz zur Organhaftung im Bestellschreiben, siehe oben. Adressat der Verordnung ist das Unternehmen. |
| „Auf mich hört ohnehin niemand.“ | Bekanntgabe durch die Geschäftsführung, nicht durch die Person selbst. Rückendeckung von oben entscheidet, ob die Rolle funktioniert. |
Prüfen Sie das nach drei Monaten. Die Antworten sagen mehr als jedes Zertifikat.
Rollen wechseln — durch Kündigung, Elternzeit oder Umorganisation. Damit dabei nichts verloren geht, gehören vier Dinge an einen definierten Ort: das aktuelle Inventar, die Freigabeentscheidungen mit Begründung, die Schulungsnachweise und der Ordner mit den Anbieterverträgen. Wer diese vier Ablagen führt, übergibt in einer Stunde. Wer sie im eigenen Postfach hat, übergibt gar nicht.
Halten Sie außerdem fest, wo Sie den Rechtsstand nachsehen. Eine Zeile mit zwei oder drei Adressen erspart der Nachfolge die Suche und Ihnen die Sorge, dass ab dem Wechsel niemand mehr mitbekommt, wenn sich etwas ändert.
Eine benannte Person allein beantwortet keine einzige Frage aus einem Lieferantenfragebogen. Sie ist die Voraussetzung dafür, dass die übrigen Dokumente entstehen: Inventar, Richtlinie, Schulungsnachweis, Kennzeichnungsregel. Wer die Bestellung unterschreibt und danach nichts tut, hat die Lücke nur besser dokumentiert.
Nein. Die KI-Verordnung kennt keine Bestellpflicht, anders als Artikel 37 DSGVO beim Datenschutzbeauftragten. Es gibt weder eine Mitarbeiterschwelle noch eine Meldepflicht noch eine vorgeschriebene Qualifikation. Praktisch ist die Rolle dennoch Standard, weil die Pflichten das Unternehmen treffen und ohne benannte Person niemand sie erfüllt.
Zulässig ist es, aber nur mit sauberem Zuschnitt. Nach Artikel 38 Absatz 6 DSGVO darf der Datenschutzbeauftragte keine Aufgaben übernehmen, die zu einem Interessenkonflikt führen. Wer Werkzeuge selbst freigibt, kontrolliert später die eigene Entscheidung. Praktikabel ist: Freigabe durch die KI-Verantwortlichen, Anhörungsrecht für den Datenschutz. Bei externen Datenschutzbeauftragten ist die Doppelrolle in der Regel unkritisch.
Nicht nach der KI-Verordnung. Bußgelder nach Artikel 99 richten sich gegen das Unternehmen. Die Organpflicht der Geschäftsführung bleibt bestehen und geht durch die Bestellung nicht auf die benannte Person über. Im Innenverhältnis gelten die allgemeinen arbeitsrechtlichen Haftungsgrundsätze.
Für Betriebe bis zwanzig Mitarbeitende ein bis zwei Stunden, bis hundert Mitarbeitende zwei bis sechs Stunden, darüber sechs bis zwölf Stunden, meist auf zwei Personen verteilt. Die Ersteinrichtung liegt bei einem halben bis fünf Tagen, je nach Größe.
Name und Funktion, Aufgabenkatalog, Befugnisse (Auskunftsanspruch, Freigaberecht, Zugang zur Geschäftsführung), Zeitbudget als Zahl, eine namentlich benannte Vertretung sowie Unterschriften und Datum. Eine Seite genügt.
In den meisten Betrieben unter hundert Mitarbeitenden nicht. Die Aufgabe lebt von Kenntnis des eigenen Hauses. Externe Unterstützung lohnt bei Hochrisiko-Systemen, bei eigener KI-Entwicklung oder wenn ein Großkunde eine unabhängige Bestätigung verlangt.
Nein. Eine Meldepflicht wie bei der Bestellung eines Datenschutzbeauftragten nach Artikel 37 Absatz 7 DSGVO besteht für KI-Verantwortliche nicht. Die Benennung wirkt intern und gegenüber Geschäftspartnern.
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlos