Kurzfassung: Eine Pflicht, einen KI-Beauftragten zu bestellen, gibt es nicht. Die KI-Verordnung verlangt etwas anderes: Maßnahmen, die die KI-Kompetenz der Beschäftigten unterstützen. Wer diese Maßnahmen, die Auswahl der Werkzeuge und die Regeln für ihren Einsatz an einer Stelle bündelt, hat faktisch einen KI-Beauftragten, egal wie die Rolle heißt. Ob sich das lohnt, hängt weniger von der Größe des Unternehmens ab als davon, wie viel KI im Alltag schon läuft.

Die kurze Antwort: keine Bestellpflicht

Beim Datenschutz ist die Lage eindeutig. Artikel 37 DSGVO und § 38 BDSG schreiben einen Datenschutzbeauftragten vor, in Deutschland in der Regel dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Für KI gibt es nichts Vergleichbares. Die KI-Verordnung kennt weder eine Funktion „KI-Beauftragter“ noch eine Schwelle nach Beschäftigtenzahl. Angebote für einen „KI-Beauftragten nach Artikel 4“ beziehen sich auf eine andere Vorschrift: die zur KI-Kompetenz.

Was Artikel 4 tatsächlich verlangt

Artikel 4 gilt seit dem 2. Februar 2025. Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat er im Juli 2026 eine neue Fassung bekommen. Anbieter und Betreiber von KI-Systemen ergreifen danach Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie nicht garantieren.

Betreiber ist nach Artikel 3, wer ein KI-System in eigener Verantwortung beruflich verwendet. Gemeint sind also nicht nur Softwarehäuser, sondern jedes Unternehmen, in dem Beschäftigte mit ChatGPT, Copilot oder einem KI-gestützten Fachprogramm arbeiten.

Wie die Maßnahmen aussehen, legt die Verordnung nicht fest. Die Bundesnetzagentur, nach dem KI-MIG die zentrale Aufsichtsbehörde in Deutschland, nennt in ihren Hinweisen zur KI-Kompetenz ausdrücklich, was nicht verlangt wird: garantierte Kompetenzniveaus einzelner Personen, formalisierte oder standardisierte Trainings, externe Zertifizierungen und die Einführung eines KI-Beauftragten. Sie empfiehlt dagegen, die getroffenen Maßnahmen gut zu dokumentieren.

Enger wird es nur bei Hochrisiko-Systemen, etwa bestimmten Anwendungen im Personalwesen. Deren Betreiber müssen die menschliche Aufsicht nach Artikel 26 Absatz 2 Personen übertragen, die über die nötige Kompetenz, Ausbildung und Befugnis verfügen. Auch das ist keine Bestellpflicht für einen Beauftragten, aber eine klar zugewiesene Verantwortung.

Warum Unternehmen die Rolle trotzdem einrichten

Dass keine Pflicht besteht, heißt nicht, dass niemand zuständig sein muss. In der Praxis tauchen dieselben Anlässe immer wieder auf:

  • Werkzeuge ohne Überblick. Beschäftigte nutzen eigene Konten, Browser-Erweiterungen und Übersetzungsdienste. Niemand weiß genau, welche Daten wohin gehen.
  • Eine größere Einführung steht an. Microsoft 365 Copilot oder ein KI-Assistent in der Fachsoftware wirft Fragen zu Lizenz, Datenzugriff und Schulung auf.
  • Kunden fragen nach. Auftraggeber wollen in Fragebögen oder Ausschreibungen wissen, wie das Unternehmen mit KI umgeht.
  • Der Betriebsrat ist beteiligt. Viele KI-Werkzeuge berühren seine Mitbestimmungsrechte, dazu weiter unten mehr.
  • Besonders geschützte Daten. In Praxen, Pflege, Kanzleien und Steuerberatung gelten Schweigepflichten, die jede neue Software berühren.

Gemeinsam ist allen Fällen: Es braucht eine Stelle, bei der die Fragen zusammenlaufen. Ob sie KI-Beauftragter heißt, KI-Verantwortliche oder AI Officer, ist zweitrangig.

Was ein KI-Beauftragter konkret tut

  1. Überblick schaffen. Ein Verzeichnis aller eingesetzten KI-Werkzeuge, auch der privat genutzten. Eine Vorlage dafür ist das KI-Inventar für Gesundheitseinrichtungen, das sich auf andere Branchen übertragen lässt.
  2. Regeln festlegen. Eine KI-Nutzungsrichtlinie und eine Datenampel, die zeigt, welche Angaben in welches Werkzeug dürfen.
  3. Neue Werkzeuge prüfen. Vor der Einführung klären, wo Daten verarbeitet werden, ob Eingaben zum Training genutzt werden und ob ein Vertrag zur Auftragsverarbeitung vorliegt. Das geschieht gemeinsam mit dem Datenschutzbeauftragten.
  4. Kompetenz fördern. Neue Beschäftigte einweisen, regelmäßig auffrischen und die Maßnahmen dokumentieren, etwa mit einem Schulungskonzept nach Artikel 4.
  5. Berichten. Die Geschäftsführung regelmäßig über eingesetzte Werkzeuge, offene Punkte und Änderungen im Rechtsrahmen informieren.
  6. Nutzen nachweisen. Abläufe auswählen, in denen KI Zeit spart, und vorher und nachher messen. Ohne diesen Teil bleibt die Rolle eine reine Verwaltungsaufgabe.

Intern oder extern?

Intern übernehmen die Rolle oft Qualitätsmanagement, IT-Leitung oder Assistenz der Geschäftsführung, meist neben ihren eigentlichen Aufgaben. Der Vorteil: Diese Personen kennen die Abläufe. Der Nachteil: Ihnen fehlt häufig die Zeit, die Rechtslage und den Werkzeugmarkt laufend zu verfolgen.

Naheliegend scheint der Datenschutzbeauftragte. Hier lohnt ein genauer Blick auf Artikel 38 Absatz 6 DSGVO: Weitere Aufgaben sind erlaubt, solange sie zu keinem Interessenkonflikt führen. Wer über den Einsatz eines KI-Werkzeugs entscheidet und denselben Einsatz datenschutzrechtlich kontrolliert, prüft sich selbst.

Ein externer KI-Beauftragter bringt Erfahrung aus mehreren Unternehmen mit und ist eine feste Ansprechperson, ohne dass eine neue Stelle entsteht. Er muss den Betrieb allerdings erst kennenlernen. In vielen Fällen trägt eine Mischform am besten: eine interne Ansprechperson für den Alltag und eine externe Begleitung für Regeln, Prüfungen und Schulung.

Den Betriebsrat früh einbinden

Wo es einen Betriebsrat gibt, ist er bei KI in der Regel beteiligt:

  • Nach § 87 Absatz 1 Nummer 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die Verhalten oder Leistung der Beschäftigten überwachen können. Nach der Rechtsprechung des Bundesarbeitsgerichts reicht es, dass eine Software objektiv dazu geeignet ist.
  • Nach § 90 Absatz 1 Nummer 3 BetrVG ist er über die Planung von Arbeitsverfahren und Arbeitsabläufen zu unterrichten, ausdrücklich einschließlich des Einsatzes von Künstlicher Intelligenz.
  • Nach § 80 Absatz 3 BetrVG gilt die Hinzuziehung eines Sachverständigen als erforderlich, wenn er die Einführung oder Anwendung von KI beurteilen muss.

Ein KI-Beauftragter ersetzt diese Beteiligung nicht. Er kann sie aber vorbereiten, sodass Gespräche mit vollständigen Unterlagen beginnen.

Die eigentliche Frage

Kein Gesetz verlangt einen KI-Beauftragten. Die Aufgaben dahinter fallen trotzdem an, sobald KI im Alltag genutzt wird: Überblick, Regeln, Kompetenz, Prüfung neuer Werkzeuge. Die bessere Frage lautet deshalb nicht, ob ein Unternehmen einen KI-Beauftragten braucht, sondern wer diese Aufgaben heute erledigt. Lautet die ehrliche Antwort „niemand“, ist eine feste Zuständigkeit der nächste Schritt.

Einen schnellen Stand liefert der Selbsttest zur KI-Kompetenz. Wer die Rolle nicht intern besetzen möchte, kann sie auslagern: als externer KI-Beauftragter mit fester Ansprechperson, Regeln für den Alltag und Abläufen, deren Nutzen gemessen wird.

Dieser Beitrag beschreibt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.