Wer verantwortet KI, wenn es keine Bestellpflicht gibt?
Drei Wege stehen zur Wahl, und sie unterscheiden sich weniger im Anspruch als in der Antwortzeit. Hier stehen die Bedingungen, unter denen jeder von ihnen hält.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Kurz gesagt
Die KI-Verordnung verlangt keine Bestellung eines KI-Beauftragten, anders als das Datenschutzrecht, das nach Paragraf 38 BDSG einen Datenschutzbeauftragten verlangt, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind. Verlangt wird, dass die Pflichten erfüllt und belegt werden, und dass bei Hochrisikosystemen nach Artikel 26 Absatz 2 natürliche Personen mit der nötigen Kompetenz und Befugnis die menschliche Aufsicht übernehmen, für Systeme nach Anhang III ab dem 2. Dezember 2027. Dafür gibt es drei gangbare Wege: eine eigene Rolle, die Erweiterung einer bestehenden Funktion oder ein Gremium aus mehreren Bereichen. Welcher davon trägt, entscheidet weniger die Unternehmensgröße als die Zahl paralleler Anwendungsfälle und die Frage, wie schnell im Haus entschieden werden muss.
Stand dieser Seite: 04.10.2026
01 Worum es geht
Ohne Bestellpflicht bleibt die Aufgabe zwischen den Stühlen liegen
Weil kein Gesetz eine Bestellung verlangt, wird die Frage vertagt. Der Datenschutz hält sich für nicht zuständig, weil es nicht nur um personenbezogene Daten geht. Die IT hält sich für nicht zuständig, weil die Werkzeuge aus den Fachbereichen kommen. Die Fachbereiche halten sich für nicht zuständig, weil sie nur nutzen, was freigegeben scheint.
In dieser Lücke wachsen die Anwendungen weiter. Ein Werkzeug im Marketing, eines im Kundenservice, ein Skript in der Buchhaltung, und keine dieser Entscheidungen war für sich genommen falsch. Falsch ist nur, dass niemand sie zusammen betrachtet.
Der Preis zeigt sich beim ersten Anlass von außen. Ein Fragebogen eines Großkunden, eine Anfrage des Betriebsrats oder ein Vorfall, und plötzlich soll innerhalb einer Woche eine vollständige Übersicht entstehen, die zwei Jahre lang niemand geführt hat.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
02 Im Detail
Der direkte Vergleich
Eigene Rolle
eine namentlich benannte Person, für die KI die Hauptaufgabe oder ein fest zugesagter Anteil ist
Bestehende Funktion erweitern
Datenschutz, Informationssicherheit oder Compliance übernehmen das Thema zusätzlich
Gremium mehrerer Bereiche
ein fester Kreis aus Fachbereich, IT, Recht und Personal entscheidet gemeinsam
| Entscheidungsfrage | Eigene Rolle | Bestehende Funktion erweitern | Gremium mehrerer Bereiche |
|---|---|---|---|
| Wie schnell bekommt ein Fachbereich eine Freigabe für ein neues Werkzeug? | Stärke Eine benannte Person kann innerhalb von Tagen antworten, weil sie auf keinen Sitzungstermin warten muss. | Kommt darauf an Die Antwort kommt, steht aber hinter dem bestehenden Pensum und verzögert sich in Spitzenzeiten deutlich. | Schwäche Zwischen Anfrage und Sitzung liegen Wochen, und genau in dieser Lücke entsteht die Nutzung ohne Freigabe. |
| Was passiert, wenn die zuständige Person ausfällt oder das Haus verlässt? | Schwäche Das Wissen sitzt in einer Person. Ohne schriftliche Ablage steht der Bereich still, bis nachbesetzt ist. | Kommt darauf an Die Vertretungsregelung der bestehenden Funktion greift, deckt die KI-Themen inhaltlich aber selten ab. | Stärke Der Kreis arbeitet weiter, weil mehrere Personen denselben Stand kennen und Beschlüsse protokolliert sind. |
| Wie gut trägt das Modell, wenn zehn oder mehr Anwendungsfälle gleichzeitig laufen? | Stärke Der Aufwand wächst mit der Zeit, die der Rolle zugestanden wird, und lässt sich sichtbar erhöhen. | Schwäche Die Aufgabe kommt zusätzlich zum vorhandenen Pensum. Ab etwa zehn Fällen bleibt das Verzeichnis liegen. | Kommt darauf an Der Kreis kann viel bewegen, aber die Taktung begrenzt den Durchsatz an Einzelentscheidungen. |
| Bleibt die Trennung zwischen entscheidender und prüfender Funktion sauber? | Stärke Die Rolle lässt sich prüfend anlegen, ohne den Datenschutz in seiner Kontrollfunktion zu berühren. | Schwäche Entscheidet der Datenschutz über die Einführung mit und kontrolliert anschließend, entsteht der Konflikt im eigenen Haus. | Kommt darauf an Im Kreis lässt sich die Trennung abbilden, sie muss aber ausdrücklich festgehalten werden, sonst verschwimmt sie. |
| Wie viel Rückhalt hat eine unbequeme Entscheidung im Haus? | Kommt darauf an Ohne ausdrückliches Mandat der Leitung wird die Rolle bei einem wichtigen Projekt im Zweifel überstimmt. | Kommt darauf an Die vorhandene Autorität der Funktion hilft, reicht gegen ein Vorhaben mit Vorstandsinteresse aber oft nicht. | Stärke Ein Beschluss mehrerer Bereiche lässt sich schwerer übergehen als die Einschätzung einer einzelnen Person. |
| Wie hoch ist der Aufwand im ersten Jahr? | Schwäche Zuschnitt, Mandat und der Aufbau des Verzeichnisses binden von Beginn an einen festen Anteil einer Stelle. | Stärke Verzeichnisse, Bewertungsroutinen und Auskunftswege sind vorhanden und lassen sich erweitern statt neu bauen. | Kommt darauf an Der Aufbau geht schnell, der laufende Abstimmungsaufwand über das Jahr ist aber beträchtlich. |
Wie schnell bekommt ein Fachbereich eine Freigabe für ein neues Werkzeug?
Eine benannte Person kann innerhalb von Tagen antworten, weil sie auf keinen Sitzungstermin warten muss.
Die Antwort kommt, steht aber hinter dem bestehenden Pensum und verzögert sich in Spitzenzeiten deutlich.
Zwischen Anfrage und Sitzung liegen Wochen, und genau in dieser Lücke entsteht die Nutzung ohne Freigabe.
Was passiert, wenn die zuständige Person ausfällt oder das Haus verlässt?
Das Wissen sitzt in einer Person. Ohne schriftliche Ablage steht der Bereich still, bis nachbesetzt ist.
Die Vertretungsregelung der bestehenden Funktion greift, deckt die KI-Themen inhaltlich aber selten ab.
Der Kreis arbeitet weiter, weil mehrere Personen denselben Stand kennen und Beschlüsse protokolliert sind.
Wie gut trägt das Modell, wenn zehn oder mehr Anwendungsfälle gleichzeitig laufen?
Der Aufwand wächst mit der Zeit, die der Rolle zugestanden wird, und lässt sich sichtbar erhöhen.
Die Aufgabe kommt zusätzlich zum vorhandenen Pensum. Ab etwa zehn Fällen bleibt das Verzeichnis liegen.
Der Kreis kann viel bewegen, aber die Taktung begrenzt den Durchsatz an Einzelentscheidungen.
Bleibt die Trennung zwischen entscheidender und prüfender Funktion sauber?
Die Rolle lässt sich prüfend anlegen, ohne den Datenschutz in seiner Kontrollfunktion zu berühren.
Entscheidet der Datenschutz über die Einführung mit und kontrolliert anschließend, entsteht der Konflikt im eigenen Haus.
Im Kreis lässt sich die Trennung abbilden, sie muss aber ausdrücklich festgehalten werden, sonst verschwimmt sie.
Wie viel Rückhalt hat eine unbequeme Entscheidung im Haus?
Ohne ausdrückliches Mandat der Leitung wird die Rolle bei einem wichtigen Projekt im Zweifel überstimmt.
Die vorhandene Autorität der Funktion hilft, reicht gegen ein Vorhaben mit Vorstandsinteresse aber oft nicht.
Ein Beschluss mehrerer Bereiche lässt sich schwerer übergehen als die Einschätzung einer einzelnen Person.
Wie hoch ist der Aufwand im ersten Jahr?
Zuschnitt, Mandat und der Aufbau des Verzeichnisses binden von Beginn an einen festen Anteil einer Stelle.
Verzeichnisse, Bewertungsroutinen und Auskunftswege sind vorhanden und lassen sich erweitern statt neu bauen.
Der Aufbau geht schnell, der laufende Abstimmungsaufwand über das Jahr ist aber beträchtlich.
Was passt wann
- Wenn ihr unter fünf KI-Anwendungen habt und der Datenschutz Luft hat
- erweitert die bestehende Funktion und trennt dabei ausdrücklich das Entscheiden vom Prüfen.
- Wenn mehrere Fachbereiche gleichzeitig eigene Werkzeuge einführen
- richtet eine eigene Rolle mit zugesagter Antwortzeit und Auskunftsrecht ein.
- Wenn eure Anwendungen Personalentscheidungen oder Kundenzugänge berühren
- kombiniert ein Gremium für die Grundsatzfragen mit einer benannten Person für den Alltag.
03 Was du mitnimmst
Was du nach dieser Seite entscheiden kannst
Die Wahl fällt nicht zwischen richtig und falsch, sondern zwischen drei Zuschnitten mit unterschiedlichen Schwächen. Danach kannst du begründen, welchen ihr nehmt.
Drei Wege, vier Aufgaben, eine Antwortzeit
- 01 Eine eigene Rolle antwortet schnell und hängt an einer Person.
- 02 Eine erweiterte Funktion startet günstig und stößt an Kapazität.
- 03 Ein Gremium trägt Beschlüsse und braucht Wochen bis zur Sitzung.
- 04 Verzeichnis, Freigabe, Nachweis und Auskunft brauchen je einen Namen.
- 05 Was länger dauert als die Geduld im Fachbereich, wird umgangen.
Auslöser statt Bauchgefühl
Du erkennst am Verhalten im Haus, wann eine feste Zuständigkeit weniger kostet als die wiederholte Einzelfallklärung.
Vier Aufgaben zuordnen
Du weißt, dass Verzeichnis, Freigabe, Qualifizierungsnachweis und Auskunft nach außen einzeln zugeordnet sein müssen.
Antwortzeit als Maßstab
Du bewertest jeden Weg danach, wie lange ein Fachbereich auf eine Entscheidung wartet, und nicht danach, wie gründlich er klingt.
Konflikt zum Datenschutz umgehen
Du trennst die entscheidende von der prüfenden Funktion, bevor du die Aufgabe dorthin gibst.
Ein Gesicht nach außen benennen
Du legst fest, wer eine Anfrage tatsächlich beantwortet, auch wenn ein Gremium darüber entscheidet.
Warnzeichen erkennen
Du weißt, woran ihr merkt, dass der gewählte Weg nicht mehr trägt, statt es erst beim nächsten Vorfall zu bemerken.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum die Frage überhaupt gestellt wird
Der Vergleich mit dem Datenschutzbeauftragten liegt nahe und führt in die Irre. Dort gibt es einen gesetzlichen Auslöser für die Bestellung. Die KI-Verordnung arbeitet anders: Sie beschreibt Pflichten und überlässt euch, wie ihr sie organisiert. Wer auf einen Auslöser wartet, wartet vergeblich.
Der praktische Auslöser ist ein anderer. Sobald eine dritte Stelle im Haus dieselbe Frage stellt, etwa ob ein bestimmtes Werkzeug für Kundendaten genutzt werden darf, ist der Punkt erreicht, an dem eine feste Zuständigkeit weniger kostet als die wiederholte Einzelfallklärung.
Der zweite Auslöser kommt von außen. Kommt ein Fragebogen eines Großkunden oder eine Lieferantenprüfung zum KI-Einsatz ins Haus, braucht es eine Person, die die Antwort geben darf, und nicht nur eine, die sie zusammensuchen könnte.
Was alle drei Wege gemeinsam brauchen
Unabhängig vom gewählten Weg müssen vier Dinge zugeordnet sein: das Verzeichnis der Anwendungen, die Entscheidung über die Freigabe neuer Werkzeuge, der Nachweis der Qualifizierung und die Antwort nach außen. Wer nur drei davon zuordnet, hat den vierten Punkt im Ernstfall bei niemandem.
Ebenso wichtig ist eine zugesagte Antwortzeit. Alle drei Modelle scheitern an derselben Stelle, nämlich an Wegen, die länger dauern als die Geduld der Fachbereiche. Ein Gremium, das monatlich tagt, ist für eine Frage aus dem Vertrieb kein Weg, sondern ein Grund, es ohne Freigabe zu tun.
Und alle drei brauchen eine benannte Person als Gesicht nach außen. Auch ein Gremium antwortet nicht, sondern beschließt. Wer eine Anfrage beantwortet und dafür geradesteht, muss namentlich feststehen.
Der häufigste Zwischenweg und seine Bedingung
In vielen mittelständischen Häusern landet die Aufgabe beim Datenschutz oder bei der Informationssicherheit, weil dort Verzeichnisse, Risikobewertungen und Auskunftsroutinen bereits existieren. Das ist ein vernünftiger Start und spart den Aufbau von Grund auf.
Die Bedingung ist die Trennung von Entscheiden und Prüfen. Wenn dieselbe Stelle über die Einführung eines Systems mitentscheidet und dessen Datenverarbeitung anschließend kontrollieren soll, entsteht ein Konflikt, der den Datenschutz in seiner eigenen Funktion beschädigt. Der Ausweg ist meist einfach: Die erweiterte Funktion bereitet vor und bewertet, entscheiden tut die Leitung.
Der zweite Fallstrick ist Kapazität ohne Entlastung. Die Aufgabe kommt oben drauf, das bestehende Pensum bleibt, und nach einem halben Jahr steht das Verzeichnis auf dem Stand des ersten Monats. Eine Aufgabe ohne freigeräumte Zeit ist keine Zuweisung, sondern eine Absichtserklärung.
Woran ihr merkt, dass der gewählte Weg nicht mehr trägt
Das erste Signal sind Werkzeuge, die im Verzeichnis fehlen und im Alltag längst laufen. Wenn bei einer Stichprobe in zwei Fachbereichen jeweils eine unbekannte Anwendung auftaucht, ist die Meldelogik defekt und nicht die Belegschaft.
Das zweite Signal sind Fragen, die zweimal gestellt werden, weil die erste Antwort nirgends festgehalten wurde. Eine wachsende Liste entschiedener Fälle ist der einfachste Test dafür, ob die Zuständigkeit tatsächlich arbeitet.
Das dritte Signal ist die Leitungsrunde, in der niemand sagen kann, wie viele KI-Anwendungen im Einsatz sind. Diese Zahl muss nicht auf die Stelle genau stimmen, aber jemand muss sie nennen können.
Dazu passende Kurse
Weil die Frage am Ende in der Leitungsrunde entschieden wird, setzen Schulungen für Entscheidungen an der Unternehmensspitze genau dort an.
Wer den gewählten Weg anschließend belegen können will, findet in die Angebote zu Normen und Nachweispflichten die dazugehörigen Nachweise.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
04 Konkrete Kurse
Wo du genau das übst
- Chief AI Officer: Mandat, Macht, Messbarkeit
- KI für Manager und Führungskräfte – Möglichkeiten des Strategischen Einsatzes
- ITIL® 5 Schulung: AI Governance
- ISO / IEC 42001 Foundation Schulung und Zertifizierung
Weitere Kurse aus diesem Bereich
- KI, Ethik & Compliance: Verantwortungsvoller Einsatz in Unternehmen und Behörden
- KI-Strategie 2026: Wie dein Unternehmen heute profitieren kann
- KI und Automatisierung als Führungskraft steuern
- Führung im KI-Zeitalter: Team-Arbeit, Tempo, Entscheidungen
- Vorsprung durch KI 2026: Das Update für Management & HR - Webinar-Reihe
- Erste KI-Projekte und Use-Cases
- KI Skill Shift: Workforce Transformation umsetzen
- KI Compliance: Rechtssicherer Einsatz in Unternehmen und Behörden
Preise, Orte und Buchung für alle Kurse des Bereichs findest du im Katalog: Alle KI-Schulungen mit Terminen.
Stimmen aus den Kursen
Was Teilnehmende über die Kurse in diesem Bereich sagen
Die Rückmeldungen von allen Beteiligten war durchweg positiv und die Inhalte werden zu verbesserter/produktiverer Nutzung im Unternehmen führen.
Sehr gute Trainer, wissen konnte gut vermittelt werden mit Praxisbeispielen.
Sehr umfangreiche und Praxisnahe Schulung mit gut verständlichen Beispielen und Übungen.
05 Fragen
Häufige Fragen
Deine Frage ist nicht dabei? Stell sie uns direkt, wir antworten dir persönlich.
Gibt es eine Größe, ab der eine eigene Rolle Pflicht wird?
Reicht es, wenn die Geschäftsführung die Verantwortung selbst behält?
Funktioniert eine externe Besetzung?
Muss die Rolle irgendwo gemeldet werden?
Passt thematisch dazu
Fällt die Wahl auf eine eigene Rolle, beschreibt die Nachbarseite, welche Aufgaben und Befugnisse die Rolle im Alltag braucht und wie sie den Konflikt mit dem Datenschutz vermeidet.
Für die Besetzung lohnt der Blick darauf, welches Profil Menschen in dieser Funktion mitbringen.
Bevor ihr euch für einen Weg entscheidet, hilft ein Blick auf die Pflichten, die eine solche Zuständigkeit bündeln muss.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem KI-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die Entscheidung fällt leichter mit Vergleichswerten
In einem Format für Leitungsrunden lässt sich der eigene Zuschnitt gegen die Erfahrungen anderer Häuser halten, statt ihn allein am Schreibtisch festzulegen.