Ist ein KI-Beauftragter Pflicht? Was die KI-Verordnung wirklich verlangt

Die kurze Antwort lautet nein. Die Verordnung (EU) 2024/1689 — die KI-Verordnung — enthält keine Vorschrift, die ein Unternehmen verpflichtet, eine Person zum KI-Beauftragten zu bestellen. Es gibt keinen Artikel, der die Aufgaben einer solchen Rolle festlegt, keine Schwelle ab einer bestimmten Beschäftigtenzahl, keine Meldung an eine Behörde. Die Rolle kommt im Verordnungstext schlicht nicht vor. Wer das Gegenteil liest, liest in aller Regel eine Analogie, keine Fundstelle.

KI-Beauftragter

Betrieblich vergebene Rolle, die den Einsatz von KI in einem Unternehmen koordiniert — Systeme erfassen, Einsatzregeln setzen, Beschäftigte einweisen, Anwendungsfälle bewerten. Der Begriff stammt aus dem Weiterbildungsmarkt und aus der Analogie zum Datenschutzbeauftragten. Er ist kein Rechtsbegriff der KI-Verordnung: Weder Benennung noch Qualifikation noch Aufgabenkreis sind dort geregelt.

Die Verwechslung hat einen nachvollziehbaren Grund. Beim Datenschutz gibt es das Muster: eine benannte Person, ein gesetzlich beschriebener Aufgabenkreis, eine Meldung nach außen. Kommt eine neue Technikverordnung, sucht jeder zuerst nach der gleichen Figur — und der Markt liefert sie, weil sich eine Rolle besser verkaufen lässt als eine Organisationspflicht. Anwaltliche Einordnungen zum Thema kommen deshalb zum selben Ergebnis: Die KI-Verordnung kennt den KI-Beauftragten nicht, sinnvoll sein kann er trotzdem.

Was stattdessen gilt: Artikel 4

Verpflichtend ist die KI-Kompetenz nach Artikel 4 der KI-Verordnung. Sie richtet sich an Anbieter und an Betreiber — und damit auch an ganz normale Unternehmen, die KI nur einkaufen und benutzen. Das ist der Punkt, an dem viele Häuser sich fälschlich für nicht betroffen halten: Wer eine Textfunktion im vorhandenen Office-Paket nutzt oder einen Chatbot auf die Website stellt, ist Betreiber im Sinne der Verordnung.

Betreiber (im Unterschied zum Anbieter)

Betreiber ist, wer ein KI-System unter eigener Verantwortung einsetzt. Anbieter ist, wer ein System entwickelt oder unter eigenem Namen bereitstellt. Die Pflichten unterscheiden sich erheblich, die KI-Kompetenz nach Artikel 4 trifft beide. Ob ein Unternehmen durch Anpassung eines fremden Systems selbst zum Anbieter wird, ist eine Einzelfallfrage und gehört in eine rechtliche Prüfung.

KI-Kompetenz (Artikel 4 KI-VO)

Pflicht von Anbietern und Betreibern, Maßnahmen zu ergreifen, die die KI-Kompetenz des eigenen Personals und anderer Personen fördern, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Adressat ist das Unternehmen, nicht eine einzelne Person. Ein bestimmtes Format — Schulung, Zertifikat, Prüfung — schreibt die Verordnung nicht vor.

Was der Omnibus im Juli 2026 an Artikel 4 geändert hat

Ältere Ratgeber klingen an dieser Stelle strenger, und das hat einen Grund: Artikel 4 wurde geändert. Die Verordnung (EU) 2026/1744 — der sogenannte AI Omnibus — trat am 27. Juli 2026 in Kraft und entschärfte den Wortlaut. Bis dahin war ein „ausreichendes Maß an KI-Kompetenz“ sicherzustellen. Jetzt heißt es, Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen; ausdrücklich verlangt die Pflicht nicht, „ein bestimmtes Niveau der KI-Kompetenz einer Einzelperson zu garantieren“. Als Grund nennt der Erwägungsgrund den Compliance-Aufwand, besonders für kleinere Unternehmen.

Das ist eine Absenkung des Anspruchs, keine Abschaffung. Die Pflicht besteht weiter, sie ist nur nicht mehr als Ergebnisgarantie pro Kopf formuliert, sondern als Bemühen der Organisation. Praktisch heißt das: Sie schulden nachvollziehbare Maßnahmen, keine bestandene Prüfung jedes Einzelnen. Wer 2025 einen Plan aufgesetzt hat, muss ihn nicht verwerfen — aber wer eine Beratungsleistung einkauft, die sich auf den alten Wortlaut stützt, kauft eine überholte Begründung mit.

Was passiert, wenn man nichts tut

Hier kursiert eine Zahl, die nicht stimmt. „35 Millionen Euro Bußgeld für fehlende KI-Schulung“ trifft nicht zu. Dieser Rahmen — bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes — gilt nach Artikel 99 Absatz 3 für Verstöße gegen die Verbote des Artikels 5, also etwa für Emotionsableitung am Arbeitsplatz oder Social Scoring. Artikel 4 steht dort nicht.

Daraus folgt aber nicht, dass Artikel 4 folgenlos ist. Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten allgemein, „wirksame, verhältnismäßige und abschreckende“ Sanktionen vorzusehen; in Deutschland regelt das seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz, das für bestimmte verfahrensrechtliche Verstöße Geldbußen bis 50.000 Euro vorsieht. Wer sich also darauf verlässt, dass Artikel 4 im EU-Bußgeldkatalog fehlt, verwechselt einen fehlenden Katalogeintrag mit Straflosigkeit. Und die praktisch teurere Folge steht ohnehin woanders: Wer nicht weiß, welche Systeme im Haus laufen, verstößt irgendwann gegen eine Vorschrift, die sehr wohl im Katalog steht — etwa die Transparenzpflichten des Artikels 50, die seit dem 2. August 2026 gelten. Welche Vorschrift wann greift und was der Omnibus an den Fristen geändert hat, steht im Beitrag zur Fristenlage.

Der einzige rollenähnliche Anker in der Verordnung

Wer in der Verordnung nach etwas sucht, das einer benannten Rolle nahekommt, findet genau eine Stelle: Artikel 26 Absatz 2. Betreiber von Hochrisiko-Systemen müssen die menschliche Aufsicht natürlichen Personen übertragen, die die nötige Kompetenz, Schulung und Befugnis haben und die dabei unterstützt werden. Das ist eine Zuweisung nach innen, keine Bestellung nach außen: kein Titel, keine Meldung, keine Amtszeit. Und diese Vorschrift steht in Kapitel III Abschnitt 3 — dem Teil, den der Omnibus verschoben hat. Anwendbar wird sie erst am 2. Dezember 2027 für Systeme nach Anhang III und am 2. August 2028 für Systeme nach Anhang I.

Menschliche Aufsicht (Artikel 26 Absatz 2 KI-VO)

Pflicht des Betreibers eines Hochrisiko-KI-Systems, die Beaufsichtigung des Systems namentlich bestimmten natürlichen Personen zu übertragen, die dafür Kompetenz, Schulung, Befugnis und Unterstützung erhalten. Sie begründet eine interne Zuständigkeit, keine gesetzlich benannte Funktion mit eigenem Aufgabenkatalog wie beim Datenschutzbeauftragten.

Warum die Rolle trotzdem meist jemand ausfüllt

Pflichten brauchen einen Eigentümer. Artikel 4 adressiert das Unternehmen, und ein Unternehmen ergreift keine Maßnahmen — Menschen tun das. Jemand muss wissen, welche Systeme laufen, wer sie benutzt, welche Fälle regulatorisch heikel sind und in welcher Reihenfolge sie angefasst werden. Diese Arbeit fällt an, ob sie nun einen Titel trägt oder nicht.

Die Rolle hat damit aber ein Legitimationsproblem, das der Datenschutzbeauftragte nicht hat. Ihr Mandat kommt nicht aus einem Paragrafen, sondern aus einer Hausentscheidung. Wer sie ausfüllt, kann sich in der Auseinandersetzung um Zeit, Budget und Priorität nicht auf eine Fundstelle berufen — er muss jede Reihenfolge selbst begründen. Genau deshalb ist der Reflex, sich die Legitimation über ein Zertifikat zu besorgen, verständlich. Er löst das Problem nur nicht: Ein Zertifikat begründet keine Priorisierung.

Wie eng es dabei zugeht, zeigt die Unternehmensbefragung der Bundesnetzagentur aus dem Herbst 2024: Mangelnde Zeit (66 Prozent) steht dort weit vor fehlendem Budget (23 Prozent). Wer die Rolle übernimmt, kämpft also typischerweise nicht um Geld, sondern um Aufmerksamkeit und um eine belastbare Reihenfolge; was aus dieser Rangfolge für die Verteilung von Aufgaben folgt, führt der Beitrag zur Workshop-Nachbereitung aus.

Der Zertifizierungsmarkt: Preise, Leistung, Grenzen

Der Suchbegriff ist kommerziell besetzt, und das ist kein Vorwurf, sondern eine Marktlage, die man kennen sollte, bevor man ein Budget freigibt. Bis auf die Pflichtfrage selbst zielen sämtliche Vorschläge, die Google zum Begriff „KI-Beauftragter“ ergänzt, auf Qualifikation: Zertifikat, Schulung, TÜV, IHK, DEKRA, Ausbildung, Gehalt, Jobs. Wer die Rolle bereits hat und die Arbeit machen muss, findet dort wenig.

Was solche Lehrgänge leisten, ist Sortierung: Sie führen durch Risikoklassen, Fristen und Begriffe und ersparen das mühsame Selbstlesen der Verordnung. Was sie nicht leisten, ist die Entscheidung im eigenen Haus. Welcher der gesammelten Anwendungsfälle am Montag zuerst angefasst wird, welcher wegen Artikel 5 gar nicht erst auf die Liste gehört und welcher sich rechnet — das steht in keinem Prüfungskatalog, weil es von Zahlen abhängt, die nur im eigenen Betrieb vorliegen. Und die Bundesnetzagentur formuliert für den Kompetenzaufbau ausdrücklich einen Ermessensspielraum: Die Verordnung lege nicht fest, wie KI-Kompetenz aufzubauen sei, standardisierte Trainings seien nicht vorgegeben, Organisationen entschieden das selbst — maßgeblich seien Rolle, eingesetzte Systeme, Risikolage und Vorkenntnisse. Diese Aussage stammt aus Juni 2025 und damit aus der Zeit vor der Entschärfung; sie ist seither eher weiter als enger geworden.

Kostenlose Anlaufstellen

Bevor Geld für einen Lehrgang oder für Beratung fließt, lohnt der Blick auf zwei kostenlose Angebote: Die Bundesnetzagentur betreibt seit dem 29. Juli 2026 einen KI-Service-Desk, der zu Risikoeinstufung und Umsetzungsanforderungen berät, und ein KI-Reallabor, das ausdrücklich auch kleinen und mittleren Unternehmen offensteht. Zuschnitt und Zuständigkeit der Behörde sind im Beitrag zur Fristenlage beschrieben.

Acht Fragen, mit denen Sie Ihre Ausgangslage klären

1. Welche KI-Systeme laufen bei uns bereits — einschließlich der Funktionen, die mit einem Update in vorhandene Software gekommen sind und die niemand beschafft hat?
2. Sind wir bei diesen Systemen Betreiber oder Anbieter? Die Pflichten unterscheiden sich; die Abgrenzung im Einzelfall gehört in eine rechtliche Prüfung.
3. Fällt einer der Fälle unter die Verbote des Artikels 5 — etwa Emotionsableitung am Arbeitsplatz? Das ist seit dem 2. Februar 2025 kein Aufwandspunkt, sondern ein Ausschlussgrund.
4. Interagieren Menschen direkt mit einem System oder veröffentlichen wir generierte Inhalte? Dann greifen die Transparenzpflichten des Artikels 50, die seit dem 2. August 2026 gelten.
5. Berühren geplante Fälle Personalauswahl, Leistungsbewertung, Kreditwürdigkeit oder Versicherungsrisiken? Dann gelten DSGVO und Mitbestimmung schon heute, die Hochrisiko-Pflichten der KI-Verordnung ab dem 2. Dezember 2027.
6. Welche Einweisung erhält wer — und ist das dokumentiert? Artikel 4 verlangt Maßnahmen, keinen Abschluss.
7. Wer trägt die Rolle intern, mit welchem Mandat, welchem Zeitbudget und welchem Zugang zur Geschäftsführung? Ohne diese drei Angaben ist die Benennung symbolisch.
8. Wen fragen wir bei Unsicherheit? Für Auslegungsfragen den KI-Service-Desk der Bundesnetzagentur, für die Bewertung des Einzelfalls eine rechtliche Beratung.

Fragen und Antworten

Bleibt die Frage, was die Person, die diese Rolle übernimmt, in den ersten Wochen tatsächlich tut. Der Beitrag über die ersten 90 Tage als KI-Verantwortlicher beschreibt das Vorgehen: erst die Systemliste, dann die Bewertung, dann die Reihenfolge.