KI-Beauftragter: Ist er Pflicht?

Wer nach „KI-Beauftragter“ sucht, landet fast nur bei Kursanbietern. Manche Werbeanzeigen sprechen von einer „KI-Beauftragten-Pflicht“ und drohen mit Bußgeldern in Millionenhöhe. Die Bundesnetzagentur, in Deutschland im Regelfall die Aufsicht für den AI Act, sieht das nüchterner: Auf ihrer Seite zur KI-Kompetenz steht die Einführung eines KI-Beauftragten ausdrücklich in der Liste dessen, was nicht vorgeschrieben ist. Ganz ohne Zuständigkeit geht es trotzdem nicht. Hier ist, was wirklich gilt, und wie du die Rolle für ein kleines Team schlank regelst.

Das Wichtigste in Kürze

• Keine Pflicht: Weder der EU AI Act noch das deutsche Durchführungsgesetz (KI-MIG) verlangen, dass du einen KI-Beauftragten benennst. Bundesnetzagentur und EU-Kommission sagen das ausdrücklich.
• Was gilt, ist Art. 4: Seit dem Digital Omnibus musst du Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz deines Teams unterstützen. Ein bestimmtes Niveau musst du nicht garantieren, und ein Bußgeld dafür gibt es in Deutschland nicht.
• Kein zweiter Datenschutzbeauftragter: Ein KI-Beauftragter hat keine gesetzliche Stellung, also keine Weisungsfreiheit, keinen besonderen Kündigungsschutz und keine Meldung an eine Behörde.
• Meist reicht eine Ansprechperson: Lege in deiner KI-Richtlinie fest, wer neue Tools freigibt, Schulungen organisiert und die Nachweise führt. Das kann auch die Geschäftsführung selbst sein.
• Ab Dezember 2027 kann es konkreter werden: Wer Hochrisiko-KI einsetzt, etwa zum Filtern von Bewerbungen, muss die menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis übertragen.
• Zertifikate sind freiwillig. Ein Kurs kann der Person helfen, die die Rolle übernimmt. Vorgeschrieben ist er nicht, und er ersetzt nicht die Schulung des restlichen Teams.

Gibt es eine Pflicht zum KI-Beauftragten?

Nein. Der EU AI Act (Verordnung (EU) 2024/1689) enthält keine Vorschrift, nach der ein Unternehmen intern eine Person für KI benennen muss. Benennen müssen nach dem AI Act vor allem Behörden und Mitgliedstaaten, etwa ihre Aufsichtsbehörden. Für Unternehmen gibt es genau einen Fall: Anbieter mit Sitz außerhalb der EU, die Hochrisiko-KI oder KI-Modelle mit allgemeinem Verwendungszweck auf den EU-Markt bringen, müssen einen Bevollmächtigten in der EU benennen (Art. 22 und Art. 54). Das ist eine Vertretung gegenüber Behörden, kein interner Beauftragter, und betrifft dein Unternehmen als Nutzer gängiger KI-Tools nicht.

Auch das deutsche KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG), in Kraft seit dem 29. Juli 2026, regelt nur, welche Behörden zuständig sind und was sie dürfen. Eine Benennungspflicht für Unternehmen enthält es nicht. Was die Aufsicht tatsächlich prüfen darf, steht in unserem Artikel zur Bundesnetzagentur als KI-Aufsicht.

Zwei Stellen haben die Frage ausdrücklich beantwortet:

• Die Bundesnetzagentur zählt auf ihrer Seite zur KI-Kompetenz auf, was für Art. 4 nicht vorgeschrieben ist: garantierte Kompetenzniveaus einzelner Personen, formalisierte oder standardisierte Trainings, externe Zertifizierungen und „die Einführung eines KI-Beauftragten“.
• Die EU-Kommission beantwortet in ihren Fragen und Antworten zur KI-Kompetenz die Frage, ob man wie bei der DSGVO einen KI-Beauftragten braucht, ob Datenschutzbeauftragter und KI-Beauftragter dieselbe Person sein können und ob ein KI-Gremium nötig ist. Ihre Antwort: Nein, für Art. 4 ist keine bestimmte Governance-Struktur vorgeschrieben (Stand der Seite: 20. Oktober 2026).

Und die Frage „ab wann“? Der 2. August 2026, den manche Anzeigen nennen, ist der Tag, an dem der AI Act im Wesentlichen anwendbar wurde, unter anderem mit den Transparenzpflichten. Eine Pflicht zum KI-Beauftragten ist damals nicht dazugekommen und steht auch für später nirgends im Gesetz.

Was Art. 4 tatsächlich verlangt

Hinter fast jedem Angebot zum KI-Beauftragten steht Art. 4 AI Act, die Pflicht zur KI-Kompetenz. Sie gilt seit dem 2. Februar 2025 für alle, die KI beruflich anbieten oder einsetzen. Mit dem Digital Omnibus (Verordnung (EU) 2026/1744) hat die EU sie zum 27. Juli 2026 neu gefasst. Seitdem heißt es in Art. 4 Abs. 1:

Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind […]. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Vorher mussten Unternehmen „nach besten Kräften sicherstellen“, dass ihr Personal über „ein ausreichendes Maß an KI-Kompetenz“ verfügt. Die neue Fassung ist milder, aber keine Entwarnung. Für die Frage nach dem KI-Beauftragten heißt das:

• Die Pflicht trifft das Unternehmen. Adressat sind „die Anbieter und Betreiber“, also dein Unternehmen. Benennst du jemanden, verteilst du Arbeit. Die Verantwortung bleibt beim Unternehmen und damit bei der Geschäftsführung.
• Die Pflicht gilt für alle, die mit KI arbeiten, nicht nur für eine zentrale Person. Auch Freelancer, die in deinem Auftrag KI nutzen, zählen dazu.
• Ein Bußgeld gibt es in Deutschland nicht. Art. 4 steht weder im Bußgeldkatalog des AI Act (Art. 99 Abs. 3 bis 5) noch in den Bußgeldvorschriften des KI-MIG (§ 15).
• Untätigkeit bleibt riskant. Die Bundesnetzagentur schreibt: „Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht angesehen werden, insbesondere wenn dadurch ein Schaden entsteht.“ Die Behörde empfiehlt, die Maßnahmen zu dokumentieren: Art, Inhalt und Umfang sowie die Teilnehmenden.

Interessant ist ein Detail in den Empfehlungen der Bundesnetzagentur: Beim Aufbau der KI-Kompetenz sollen Organisationen „Ziele und Verantwortlichkeiten“ festlegen. Das ist der vernünftige Kern hinter der Idee des KI-Beauftragten. Irgendjemand sollte sich kümmern. Einen Titel, ein Zertifikat oder eine Stabsstelle braucht es dafür nicht. Wie eine schlanke Schulung aussieht, steht im Artikel zur KI-Schulung für Mitarbeitende.

KI-Beauftragter und Datenschutzbeauftragter im Vergleich

Der Name legt nahe, dass der KI-Beauftragte so etwas wie der Datenschutzbeauftragte für KI ist. Rechtlich haben die beiden Rollen wenig gemeinsam:

Die DSB-Pflicht gilt in Deutschland unverändert (Stand Oktober 2026). Ob die 20-Personen-Regel wegfällt und was bis dahin gilt, erklärt Dieter Datenschutz im Beitrag DSB-Pflicht: Fällt die 20er-Regel weg?.

Kann der Datenschutzbeauftragte die KI-Rolle übernehmen?

Grundsätzlich ja. Ein Datenschutzbeauftragter darf andere Aufgaben übernehmen, solange daraus kein Interessenkonflikt entsteht (Art. 38 Abs. 6 DSGVO). Bei KI kommt es darauf an, was die Rolle umfasst.

Der Europäische Gerichtshof hat 2023 entschieden, dass ein Interessenkonflikt bestehen kann, wenn der Datenschutzbeauftragte Aufgaben übernimmt, bei denen er selbst „die Zwecke und Mittel der Verarbeitung personenbezogener Daten“ festlegt (Urteil vom 9. Februar 2023, C-453/21). Ob das so ist, wird im Einzelfall geprüft. Genau das passiert aber oft, wenn jemand über KI-Tools entscheidet: Welches Tool wird eingeführt, welche Daten dürfen hinein, wofür wird es genutzt? Wer das entscheidet und gleichzeitig als Datenschutzbeauftragter überwachen soll, ob es datenschutzkonform ist, prüft am Ende sich selbst.

Eine praktikable Aufteilung für kleine Teams:

• Datenschutzbeauftragter: berät bei neuen Tools, prüft Verträge und Datenflüsse, schult zum Datenschutz. Das passt zu seinen gesetzlichen Aufgaben.
• Geschäftsführung oder KI-Ansprechperson: entscheidet über die Freigabe und trägt sie ins KI-Inventar ein.

Das gilt auch für externe Datenschutzbeauftragte. Sie können wertvolle Beratung zu KI liefern. Die Entscheidung über den Einsatz sollte trotzdem im Unternehmen bleiben.

Wann eine feste Rolle sinnvoll ist

Keine Pflicht heißt nicht, dass jede Lösung gleich gut ist. Wie viel Struktur du brauchst, hängt davon ab, wie du KI einsetzt:

Die letzte Zeile kommt einer Pflicht, bestimmte Personen zu benennen, im AI Act am nächsten. Sie gilt für Hochrisiko-KI nach Anhang III, zu dem auch KI für die Einstellung oder Auswahl von Bewerbenden gehört, ab dem 2. Dezember 2027. Gemeint sind die Menschen, die das System im Einsatz überwachen, also zum Beispiel die Personalverantwortlichen, die mit einem solchen Tool arbeiten. Eine zentrale Stabsstelle verlangt das Gesetz auch hier nicht: Art. 26 Abs. 3 lässt dir ausdrücklich die Freiheit, deine Ressourcen selbst zu organisieren. Welche Systeme als Hochrisiko gelten, erklärt der Artikel zu den Risikoklassen des EU AI Act. Für Berufsgeheimnisträger lohnt außerdem der Blick in KI in der Kanzlei.

Was eine KI-Ansprechperson konkret tut

Ob du sie KI-Beauftragte, KI-Verantwortliche oder einfach Ansprechperson nennst: Die Aufgaben sind in kleinen Unternehmen überschaubar.

1. KI-Inventar führen: Welche Tools nutzt ihr, wofür und mit welchen Daten? Wer das nicht weiß, hat schnell Schatten-KI im Haus.
2. Neue Tools freigeben oder ablehnen: Datenschutz, Vertrag und Serverstandort prüfen, bei Bedarf mit dem Datenschutzbeauftragten, dann entscheiden und dokumentieren.
3. Die KI-Richtlinie aktuell halten: erlaubte Tools, Datenregeln, Kennzeichnung. Wie das aussieht, zeigt der Leitfaden zur KI-Richtlinie.
4. Schulungen organisieren und dokumentieren: wer, wann, was, in welchem Umfang. Das ist dein Nachweis für Art. 4.
5. Transparenzpflichten im Blick behalten: zum Beispiel den Hinweis, dass Kundschaft mit einem Chatbot spricht, oder die Kennzeichnung von Deepfakes (Art. 50).
6. Anlaufstelle sein: für Fragen aus dem Team und für den Fall, dass die Bundesnetzagentur Unterlagen anfordert.

Halte die Rolle schriftlich fest, mit Namen, Befugnissen und einer Vertretung. Eine Rolle, die nur auf dem Papier steht, ohne Zeit und ohne Entscheidungsbefugnis, hilft niemandem.

Kurse und Zertifikate: was sie bringen und was nicht

Lehrgänge zum KI-Beauftragten bieten Prüforganisationen, Kammern und private Akademien an, meist mit Abschlussprüfung und Zertifikat. Ein Beispiel: Der Lehrgang einer großen Prüforganisation umfasst 24 Unterrichtseinheiten, kostet gut 2.500 Euro netto und endet mit einer Prüfung; das Zertifikat gilt drei Jahre (Stand Oktober 2026).

Rechtlich gilt: Vorgeschrieben ist keines dieser Zertifikate. Die Bundesnetzagentur stellt klar, dass der AI Act keine Zertifizierungspflicht für Schulungen vorsieht. Die EU-Kommission schreibt, ein Zertifikat sei nicht nötig; Unternehmen könnten ihre Schulungen und anderen Maßnahmen intern dokumentieren.

Sinnvoll sein kann ein Kurs trotzdem, wenn eine Person die Rolle wirklich ausfüllen soll und sich das Wissen strukturiert aneignen will. Achte dann auf drei Dinge:

• Aktualität: Behandelt der Kurs Art. 4 in der Fassung nach dem Omnibus und die neuen Fristen für Hochrisiko-KI (2. Dezember 2027 und 2. August 2028)?
• Praxisbezug: Geht es um eure Tools und Abläufe oder um Konzern-Governance?
• Ehrliches Marketing: Ein Anbieter, der mit einer Pflicht zum KI-Beauftragten wirbt, nimmt es mit den Fakten nicht genau.

Und ein Punkt, der oft untergeht: Eine zertifizierte Person im Unternehmen erfüllt Art. 4 nicht für alle anderen. Die Pflicht erfasst jede Person, die in deinem Auftrag mit KI arbeitet.

Die häufigsten Fehler

• Einen Kurs buchen, weil eine Anzeige mit einer Pflicht wirbt. Erst nach der Norm fragen, dann entscheiden.
• Ein Zertifikat mit Art. 4 verwechseln. Die Pflicht betrifft das ganze Team, nicht nur eine Person.
• Den Datenschutzbeauftragten über KI-Tools entscheiden lassen. Beraten ja, entscheiden besser nicht.
• Niemanden zuständig machen. Dann nutzt jede Person, was sie will, und bei einer Anfrage der Aufsicht kann niemand Nachweise liefern.
• Die Rolle nur auf dem Papier vergeben. Ohne Zeit, Befugnis und Vertretung bleibt sie wirkungslos.

Wie Klaus die Rolle schlank hält

Klaus nimmt der KI-Ansprechperson die Fleißarbeit ab. Im kostenlosen KI-Check-up erfasst Klaus eure KI-Anwendungen, ordnet sie den Risikoklassen des AI Act zu und zeigt dir nach rund 20 Minuten, was zu tun ist. Daraus erstellt Klaus eure KI-Richtlinie, mit eurem Inventar, euren Tool-Regeln und euren Verantwortlichkeiten. Für jedes KI-System gibt es eine Pflichten-Checkliste: was zu tun ist, bis wann und wie du es nachweist.

Für Art. 4 bringt Klaus fertige Lerneinheiten mit, die in rund 20 Minuten erledigt sind. Im kostenlosen Plan (eine Person, ein KI-System) erstellst du die Richtlinie und schulst dich selbst. Ab Klaus Basic schulst du dein Team, und Klaus prüft deine KI-Systeme zusätzlich im 6-Phasen-Check. Bei Gesetzesänderungen wie dem Omnibus liest Klaus mit und sagt dir, was sich ändert.

Fazit

Einen KI-Beauftragten musst du nicht benennen. Das sagen der Gesetzestext, die Bundesnetzagentur und die EU-Kommission übereinstimmend. Was gilt, ist Art. 4: Seit dem Omnibus musst du die KI-Kompetenz deines Teams aktiv fördern und das sinnvollerweise dokumentieren, ohne ein bestimmtes Niveau garantieren zu müssen. Dafür braucht es eine Person, die sich kümmert, aber weder einen Titel noch ein teures Zertifikat. Für die meisten kleinen Unternehmen reicht eine benannte Ansprechperson in der KI-Richtlinie. Konkreter wird es erst, wenn du ab Dezember 2027 Hochrisiko-KI einsetzt oder selbst KI anbietest.