Rolle KI-Beauftragte:r im Unternehmen

Lernziele

Sie beschreiben das vollständige Aufgabenprofil einer KI-Beauftragten / eines KI-Beauftragten (strategisch, operativ, compliance-bezogen, kommunikativ).

Sie grenzen die KI-Beauftragten-Rolle klar von der Datenschutzbeauftragten-Rolle (DSB) und der CISO/IT-Security-Rolle ab.

Sie beurteilen, ob und wie Ihre Organisation die KI-Beauftragten-Rolle etablieren sollte, und nennen ein realistisches Qualifikationsprofil.

Sie beschreiben die vier Schritte zur Etablierung der Rolle und die empfohlene Reporting-Struktur.

Sie erklären, warum fehlende KI-Governance-Verantwortung zu einem unternehmerischen Risiko wird.

Auf einen Blick

Worum geht es?

Stellen Sie sich vor, Sie sind in zwei Jahren in einer Prüfungssituation durch eine Aufsichtsbehörde. Die Frage lautet: „Wer ist in Ihrem Unternehmen verantwortlich für die Einhaltung der EU AI Act Pflichten?” Wenn die Antwort ist: „Hm, das macht irgendwie jeder ein bisschen mit” — dann haben Sie ein Problem.

Governance ohne Verantwortliche bleibt Theorie. In Modul 9 haben Sie gelernt, wie man KI-Systeme absichert, Daten klassifiziert, Anbieter bewertet, Qualität sichert, Vorfälle bearbeitet und Dokumentationspflichten erfüllt. All diese Aufgaben brauchen eine koordinierende Person, die den Überblick behält, Prozesse initiiert und die Verbindung zwischen IT, Datenschutz, Fachbereichen und Geschäftsführung herstellt.

Der EU AI Act schreibt diese Rolle nicht ausdrücklich vor — aber die Komplexität der Aufgabe macht sie faktisch unumgänglich. Diese Lerneinheit beschreibt das Aufgabenprofil, die Abgrenzungen zu verwandten Rollen und den Weg zur Etablierung in Ihrer Organisation.

Lerntext — Theorie und Konzepte

Warum KI-Governance eine koordinierende Rolle braucht

KI-Governance ist intrinsisch interdisziplinär: Sie erfordert technisches Verständnis (Systemarchitektur, Sicherheit), rechtliches Wissen (EU AI Act, DSGVO), Organisationskompetenz (Prozesse, Schulungen) und strategische Weitsicht (Roadmap, Innovationsmanagement).

Ohne eine koordinierende Funktion passiert das Typische: IT sichert technisch ab, aber weiß nichts von den Meldepflichten. Der DSB wacht über Datenschutz, hat aber keinen Überblick über alle KI-Systeme. Die Fachabteilungen führen neue Tools ein, ohne IT oder DSB zu informieren. Das Ergebnis ist fragmentierte Governance — und am Ende ist jeder für alles und damit niemand für etwas verantwortlich.

Merksatz

Governance ohne Verantwortliche bleibt Theorie. Die KI-Beauftragten-Rolle macht KI-Governance zu einem konkreten Prozess mit einer erkennbaren, ansprechbaren Person.

Abb. 107.1 — Rollenprofil KI-Beauftragte:r: Abgrenzung zu DSB und CISO, Aufgabenschwerpunkte

Aufgabenprofil KI-Beauftragte:r — vier Dimensionen

Strategisch:

KI-Strategie und KI-Systemverzeichnis pflegen und weiterentwickeln

KI-Roadmap koordinieren und mit Geschäftsstrategie verknüpfen

Drei-Stufen-Freigabemodell (Grün / Gelb / Rot) aktuell halten und kommunizieren

Interne KI-Community aufbauen: Wissenstransfer zwischen Projekten, Lessons Learned teilen

Operativ:

Neue KI-Systeme und -Tools im Vendor-Assessment-Prozess begleiten (UE 102)

KI-Vorfälle koordinieren — Incident Response als Gesamtprozess steuern (UE 106)

Schulungsbedarf erheben und Schulungen initiieren (Art.-4-Compliance)

KI-Nutzungsrichtlinie pflegen und aktuell halten (UE 99)

Shadow-AI-Monitoring koordinieren

Compliance:

EU AI Act Pflichten verfolgen und sicherstellen (Art. 4, Art. 26)

Schnittstelle zur/zum DSB bei DSGVO-relevanten KI-Fragen

Externe Auditoren beim KI-Bereich unterstützen

Regulatorische Entwicklungen verfolgen (neue Leitlinien, Ergänzungen zum AI Act, nationale Umsetzungsgesetze)

Kommunikation:

Interne Kommunikation über KI-Nutzung, Möglichkeiten und Grenzen

Erste Ansprechperson für Mitarbeitende bei KI-Fragen und Bedenken

Reporting an Geschäftsführung: monatlicher KI-Status-Report

Externe Kommunikation bei KI-Fragen von Kunden oder Aufsichtsbehörden

Abgrenzung zu verwandten Rollen

Die drei Rollen ergänzen sich — sie konkurrieren nicht. In kleinen und mittleren Unternehmen wird die KI-Beauftragten-Rolle realistischerweise in Personalunion mit einer anderen Funktion ausgeübt: Ein erfahrener IT-Projektleiter mit KI-Affinität, der 20–30% seiner Zeit dieser Rolle widmet, ist ein realistisches und wirksames Modell.

Merksatz

KI-Beauftragter, DSB und CISO sind drei ergänzende Rollen — nicht konkurrierende. Wer versucht, alle drei in einer Person zusammenzufassen, überlastet diese Person und riskiert Governance-Lücken.

Qualifikationsprofil

Eine KI-Beauftragte / ein KI-Beauftragter sollte mitbringen:

Technisches Grundverständnis: Kein Entwickler, aber vertraut mit Konzepten wie RAG, Agenten, APIs, Prompt Engineering — diese Schulung bildet dafür eine solide Basis.

Rechtliches Grundverständnis: EU AI Act, DSGVO-Grundlagen, Verständnis von AVV und Hochrisiko-Klassifizierung.

Projektmanagement-Kompetenz: Vendor Assessment, Incident Response und Schulungsorganisation sind strukturierte Prozesse, die methodisch begleitet werden müssen.

Kommunikationsstärke: Brücke zwischen Technik und Management, zwischen KI-Enthusiasten und Skeptikern.

Bereitschaft zum kontinuierlichen Lernen: KI-Technologie und KI-Regulierung entwickeln sich schnell — wer diese Rolle übernimmt, muss aktiv am Ball bleiben.

Schritte zur Etablierung der Rolle

Aufgabenprofil beschreiben: Eine kurze Stellenbeschreibung (1–2 Seiten) definiert den Verantwortungsbereich, den Zeitanteil und die Reporting-Linie.

Integration in bestehende Stelle: Die Rolle wird in eine bestehende Position integriert, idealerweise mit einem formalisierten Zeit-Budget (z. B. 20% Stellenanteil).

Reporting-Struktur definieren: Monatlicher KI-Status-Report an Geschäftsführung; quartalsweises Review mit DSB und CISO.

Netzwerk aufbauen: Mitgliedschaft in relevanten Fachorganisationen (Bitkom AG KI, KI-Bundesverband) ermöglicht Zugang zu aktuellen Entwicklungen und Peer-Austausch.

Vertiefung — KI-Governance als Führungsaufgabe

Die KI-Beauftragten-Rolle in der regulatorischen Landschaft

Während der EU AI Act keine Pflicht zur Benennung einer KI-Beauftragten enthält, entsteht die Rolle faktisch aus der Summe der regulatorischen Anforderungen:

Art. 4 EU AI Act: Jemand muss KI-Schulungen initiieren und Kompetenz nachweisen.

Art. 26 EU AI Act: Jemand muss Deployer-Pflichten dokumentieren und sicherstellen.

DSGVO Art. 28: Jemand muss Vendor Assessments durchführen und AVVs überwachen.

DSGVO Art. 33: Jemand muss bei Datenschutzvorfällen die 72-Stunden-Frist kennen und einhalten.

DSGVO Art. 35: Jemand muss entscheiden, ob eine DSFA erforderlich ist.

In der Summe ist das eine koordinierende Funktion, die nicht „by the way” von verschiedenen Personen nebenbei erfüllt werden kann — nicht ohne inakzeptable Governance-Lücken.

Herausforderungen der Rolle in der Praxis

Schnelle Technologieentwicklung: KI-Technologie entwickelt sich so schnell, dass kontinuierliches Lernen zwingend notwendig ist. Ein Wissensstand von vor sechs Monaten kann in wesentlichen Bereichen veraltet sein.

Organisationspolitik: Die Rolle liegt im Spannungsfeld zwischen Innovation (Fachbereiche wollen schnell neue Tools) und Governance (Compliance braucht Zeit). Dieser Zielkonflikt muss ausgehalten und moderiert werden.

Ressourcenmangel: In kleinen und mittleren Unternehmen ist der Zeitanteil für KI-Governance begrenzt. Priorisierung ist entscheidend: Ein Backlog mit priorisierten KI-Governance-Aufgaben hilft.

Fehlende Standards: Im Gegensatz zum Datenschutzbeauftragten gibt es für die KI-Beauftragten-Rolle noch keine etablierten Ausbildungs- und Zertifizierungsstandards.

KI-Beauftragter als Kulturträger und Enabler

Die formale Rollenbeschreibung ist der strukturelle Rahmen. Mindestens genauso wichtig ist die kulturelle Funktion: Die KI-Beauftragten / Der KI-Beauftragte ist nicht primär ein Kontrolleur oder Bremser, sondern ein Enabler und Kulturträger.

Was bedeutet das konkret?

In einem Unternehmen, das KI-gestützte Dienstleistungen entwickelt und erbringt, ist die KI-Kultur entscheidend für den Geschäftserfolg. Mitarbeitende, die KI-Tools als Bedrohung erleben, nutzen sie zögerlich oder gar nicht. Mitarbeitende, die KI als Werkzeug erleben, das ihnen repetitive Aufgaben abnimmt, werden zu aktiven Multiplikatoren.

Konkrete Kulturgestaltung:

Sichtbare Quick Wins kommunizieren: Wenn der Angebots-Assistent das erste vollständige Angebot unter einer Stunde ermöglicht hat, wird das intern geteilt — mit konkreten Zahlen. Nicht als Marketing, sondern als Lernimpuls.

Fehlerkultur bei KI aktiv fördern: Wenn ein KI-System falsche Antworten liefert oder ein Vorfall passiert, ist das kein Versagen der Nutzenden — sondern ein Lernmoment für das System. Die KI-Beauftragten stellen sicher, dass Fehler offen gemeldet und nicht versteckt werden.

Brücke zwischen Fachbereichen und IT: Projektleiter wissen nicht, was ein Token-Limit ist. IT-Entwickler wissen nicht, welche Kundendaten in einem Angebotsprozess vorkommen. Die KI-Beauftragten übersetzen — in beide Richtungen.

Typische Widerstände und Antworten:

„Jetzt gibt es wieder neue Regeln…” → Die Regeln schützen Sie und das Unternehmen. Sie ermöglichen KI-Nutzung verantwortungsvoll.

„Das dauert alles so lange…” → Der Freigabeprozess läuft in zwei Wochen. Bei Verzögerungen: direkt ansprechen.

„Die IT versteht die Arbeit des Fachbereichs nicht…” → Deshalb bin ich als Brücke da. Ich übersetze in beide Richtungen.

Aufbau eines internen KI-Governance-Reports

Ein monatlicher KI-Status-Report an die Geschäftsführung ist das wichtigste Kommunikationsinstrument. Empfohlene Struktur (1–2 Seiten):

Abschnitt 1 — KI-Systeme im Betrieb: Tabelle aller aktiven Systeme, Nutzungsintensität, Kosten, Qualitätsscore aus letztem Eval, Compliance-Status (Ampel).

Abschnitt 2 — Vorfälle und Anomalien: Liste aller Vorfälle des Monats. Auch wenn keine: „Keine meldepflichtigen Vorfälle.”

Abschnitt 3 — Anstehende Entscheidungen: Neue KI-Tools in Evaluation, was benötigt Entscheidung oder Budget.

Abschnitt 4 — Compliance-Status: Was ist abgedeckt? Was läuft? Was fehlt?

Abschnitt 5 — Ausblick: Regulatorische Entwicklungen, empfohlene nächste Schritte.

Dieser Report dauert 2–3 Stunden monatlich — positioniert die Rolle aber als strategischen Partner der Geschäftsführung.

Kontinuierliche Weiterbildung

Wöchentlich (< 30 Minuten): KI-Newsletter (The Batch, ImportAI), EU AI Act Neuigkeiten, LinkedIn-Feed: EDPB, BSI, EU AI Office.

Monatlich (2–4 Stunden): Ein relevantes Paper oder Leitfaden (NIST, ENISA, BSI). Webinar einer Fachorganisation.

Quartalsweise (Halbtag): Fachaustausch. Peer-Gespräch mit KI-Beauftragten anderer Unternehmen.

Jährlich (1–2 Tage): Vertiefungskurs (EU AI Act Compliance, KI-Sicherheit, generative KI-Technik).

Gesamter Lernplan: ~50–80 Stunden jährlich — eine überschaubare Investition für eine Funktion, die den KI-Einsatz des gesamten Unternehmens verantwortet.

Messbare Kulturindikatoren für KI-Reife

Quartalsweise im KI-Governance-Bericht zu berichten:

Anzahl intern gemeldeter KI-Vorfälle (steigend = gute Fehlerkultur)

Teilnahmequote an KI-Schulungen (inkl. Auffrischung)

Anzahl von Use-Case-Vorschlägen aus den Fachbereichen

Anteil der Use-Cases, die den Drei-Stufen-Freigabemodell-Prozess korrekt durchlaufen haben

Diese Indikatoren dienen ausschließlich der organisatorischen Steuerung — nicht der Leistungsbewertung einzelner Mitarbeitender.

Branchen-Anwendungen

IT-Dienstleistung & Beratung

In IT-Beratungsunternehmen, die KI-Systeme für Kunden entwickeln und betreiben, hat die KI-Beauftragten-Rolle eine doppelte Dimension: nach innen (eigene Governance) und nach außen (Qualitätssignal gegenüber Kunden).

Vignette: Ein mittelständisches IT-Beratungsunternehmen benennt einen Senior-IT-Projektleiter mit 25% Zeitbudget zur KI-Beauftragten. Innerhalb von sechs Monaten sind alle internen KI-Systeme im Systemverzeichnis erfasst, der Vendor-Assessment-Prozess ist etabliert, und monatliche KI-Status-Reports laufen. Ein Enterprise-Kunde fragt im nächsten Due-Diligence-Gespräch nach der KI-Governance des Dienstleisters — und bekommt eine vollständige Antwort inklusive Systemverzeichnis-Übersicht. Das ist ein differenzierender Wettbewerbsvorteil.

Industrie & Fertigung

In Fertigungsunternehmen ist die KI-Beauftragten-Rolle oft in eine bestehende Digitalisierungs- oder Produktionsleiterfunktion integriert. Der Schwerpunkt liegt auf operativer Sicherheit und Qualitätssicherung der KI-gestützten Produktionsprozesse.

Vignette: Ein Maschinenbauunternehmen integriert die KI-Beauftragten-Funktion in die Stelle des Leiters Produktionsinformatik. Schwerpunkt: Sicherstellung, dass alle KI-Systeme in der Produktion vollständig dokumentiert sind, Human-in-the-Loop-Protokolle eingehalten werden und Sicherheitstests vor jeder Produktions-Freigabe eines KI-Systems durchlaufen werden. Nach einem Jahr: null Produktionsstopps wegen KI-Fehlern, weil jede Konfigurationsänderung am System vorher getestet wurde.

Finanzdienstleistung & Versicherung

Im Finanzsektor ist die KI-Beauftragten-Rolle oft eng mit dem Chief Risk Officer (CRO) verbunden. Die Sicherstellung von KI-Compliance ist Teil des Enterprise Risk Managements.

Vignette: Eine mittelgroße Versicherungsgesellschaft richtet eine KI-Governance-Funktion ein, angesiedelt im Risk-Management-Bereich. Die Funktion koordiniert die KI-Risikoanalysen nach EU AI Act, stellt DORA-Compliance bei KI-basierten Prozessen sicher und ist Ansprechperson für die BaFin bei KI-Anfragen. Der erste externe Audit durch die BaFin zu KI-Systemen verläuft problemlos — weil das KI-Systemverzeichnis vollständig ist und alle Deployer-Pflichten dokumentiert nachgewiesen werden können.

Öffentliche Verwaltung

In der öffentlichen Verwaltung ist die KI-Beauftragten-Funktion oft in bestehenden CIO-Strukturen oder Stabsstellen für Digitalisierung verankert. Besonderheit: Die Transparenzpflichten und demokratische Rechenschaftspflicht der öffentlichen Hand stellen höhere Anforderungen an die externe Kommunikation über KI-Einsatz.

Vignette: Eine Landesbehörde benennt eine Digitalisierungsreferentin zur KI-Beauftragten. Ihre erste Maßnahme: eine öffentlich zugängliche KI-Übersicht auf der Behörden-Website, die alle eingesetzten KI-Systeme und ihren Einsatzzweck für Bürgerinnen und Bürger transparent macht. Das schafft Vertrauen und entspricht dem Transparenzprinzip des Verwaltungsrechts. Gleichzeitig: Intern wird das vollständige KI-Systemverzeichnis mit Risikobewertungen und Compliance-Nachweisen geführt — das ist die Grundlage für die öffentliche Übersicht.

Warnung — Sicherheitsrisiken

OWASP LLM Top 10 — Governance-Relevanz:

LLM08 — Excessive Agency: Wenn eine KI-Beauftragten-Rolle fehlt, werden KI-Systemen möglicherweise zu weitreichende Befugnisse eingeräumt — ohne dass jemand die Konsequenzen bewertet. Autonomous Agents, die selbst E-Mails schreiben, Kalender buchen oder externe APIs aufrufen, brauchen eine explizite Freigabe und Aufsicht, die von den KI-Beauftragten koordiniert wird.

Shadow AI als Governance-Risiko: Ohne eine KI-Beauftragte / einen KI-Beauftragten als Ansprechperson und Freigabeinstanz verbreitet sich Shadow AI (UE 99) unkontrolliert. Mitarbeitende nutzen KI-Tools ohne Assessment, weil kein einfacher, offizieller Weg zur Tool-Freigabe existiert. Die KI-Beauftragten schaffen diesen Weg — und machen damit Shadow AI unnötig.

Prompt Injection in Governance-Prozessen: Wenn KI-Tools selbst für das Erstellen oder Pflegen von Governance-Dokumenten eingesetzt werden (z. B. ein KI-Assistent, der das KI-Systemverzeichnis aktualisiert), besteht das Risiko manipulierter Eingaben. Alle KI-generierten Governance-Dokumente müssen menschlich geprüft und freigegeben werden.

Handlungsprinzip: Keine KI-Governance-Entscheidung ohne menschliche Verantwortung. Die Beauftragten-Funktion ist das institutionelle Rückgrat dieses Prinzips.

Übung 1 — Rollenprofil entwickeln

Aufgabe: Sie entwickeln eine einseitige Stellenbeschreibung für eine KI-Beauftragte / einen KI-Beauftragten in Ihrer Organisation.

Material: Laptop, Texteditor.

Schritt-für-Schritt:

Formulieren Sie den Zweck der Rolle in zwei Sätzen.

Listen Sie die fünf wichtigsten Aufgaben auf (aus den vier Dimensionen).

Beschreiben Sie das Qualifikationsprofil (Muss-Anforderungen / Kann-Anforderungen).

Definieren Sie die Reporting-Linie.

Schätzen Sie den wöchentlichen Zeitaufwand ab.

Überlegen Sie: In welche bestehende Funktion in Ihrer Organisation würde diese Rolle am besten passen?

Zeitrahmen: 15 Minuten Einzelarbeit

Musterlösung Übung 1 (Auszug):

Die KI-Beauftragte / Der KI-Beauftragte stellt sicher, dass die Organisation KI-Systeme rechtskonform, sicher und qualitätsgesichert einsetzt. Die Rolle koordiniert alle KI-Governance-Aktivitäten — von der Einführung neuer Systeme bis zur Bearbeitung von Vorfällen — und ist zentrale Ansprechperson für Mitarbeitende, Geschäftsführung und externe Aufsicht.

Fünf Kernaufgaben: (1) KI-Systemverzeichnis pflegen, (2) Vendor-Assessment-Prozess koordinieren, (3) KI-Incident-Response steuern, (4) Schulungsmaßnahmen nach Art. 4 initiieren, (5) Monatliches Reporting an GF.

Reporting-Linie: Direkt an Geschäftsführung oder CDO.

Zeitaufwand: 15–25% einer Vollzeitstelle (ca. 6–10h/Woche für ein Unternehmen mit 50–150 Mitarbeitenden).

Übung 2 — Rollenklärungsgespräch

Aufgabe: Sie simulieren ein Gespräch zwischen KI-Beauftragter:m und Datenschutzbeauftragter:m über die Zuständigkeit für das Vendor Assessment eines neuen KI-Tools.

Schritt-für-Schritt:

Person A: KI-Beauftragte:r — „Ich möchte einen neuen KI-Anbieter für die Angebotserstellung freigeben. Was brauchst du von mir?”

Person B: DSB — Definiert, welche DSGVO-spezifischen Prüfpunkte sie/er selbst übernimmt.

Beide klären: Wer leitet das Gespräch mit dem Anbieter? Wer trifft die finale Entscheidung?

Ergebnis: Eine RACI-Tabelle für den Vendor-Assessment-Prozess.

Zeitrahmen: 10 Minuten Zweierteams, 5 Minuten Plenum

Musterlösung Übung 2 — RACI:

Cheat-Sheet — KI-Beauftragte:r Kurzreferenz

Die Rolle ist keine gesetzliche Pflicht — aber faktisch notwendig für funktionierende KI-Governance.

Vier Dimensionen: 1. Strategisch — KI-Systemverzeichnis, Roadmap, Freigabemodell 2. Operativ — Vendor Assessment, Incident Response, Schulungen 3. Compliance — Art. 4 + Art. 26 EU AI Act, DSB-Schnittstelle 4. Kommunikation — Mitarbeitende, GF, Kunden, Behörden

Abgrenzung: - KI-Beauftragte:r → KI-Governance & -Strategie (koordiniert) - DSB → DSGVO-Compliance (prüft rechtliche Aspekte) - CISO → IT-Sicherheit (prüft technische Aspekte)

Etablierung: - Aufgabenprofil beschreiben (1–2 Seiten) - In bestehende Stelle integrieren (20–25% Zeitanteil) - Reporting-Linie zur GF - Netzwerk aufbauen (Bitkom, KI-Bundesverband)

Reporting: Monatlicher KI-Status-Report ist Minimum.

Diese Schulung ist direkter Nachweis für Art.-4-Compliance.

Prompt-Vorlage — Aufgabenprofil für KI-Beauftragte:r erstellen

Prompt für einen KI-Assistenten:

„Wir möchten in unserem mittelständischen IT-Beratungsunternehmen (150 Mitarbeitende) eine KI-Beauftragten-Rolle einführen. Die Position soll nicht als Vollzeitstelle besetzt werden, sondern als Nebenrolle für eine erfahrene Person aus dem Bereich IT-Management oder Prozessmanagement.

Erstelle folgende Dokumente für diese Einführung:

Dokument 1 — Aufgabenprofil KI-Beauftragte:r (max. 400 Wörter): - Kernverantwortlichkeiten (operativ: was macht die Person täglich / wöchentlich?) - Strategische Verantwortlichkeiten (was trägt die Person zur Unternehmensentwicklung bei?) - Schnittstellen (mit wem arbeitet die Person zusammen: IT, Datenschutz, HR, Fachabteilungen, GF?) - Kompetenzen (fachlich, methodisch, sozial) - Zeitbudget (realistische Einschätzung: Stunden pro Woche für die Nebenrolle)

Dokument 2 — 100-Tage-Plan für die erste Amtszeit (Meilensteine): Was soll die Person in den ersten 100 Tagen konkret erreicht haben? Strukturiere in drei Phasen: Orientierung (Tag 1–30), Aufbau (Tag 31–70), Wirksamkeit (Tag 71–100).

Dokument 3 — Argumentationshilfe für die Geschäftsführung (max. 200 Wörter): Warum lohnt sich die Investition in eine KI-Beauftragten-Rolle — in Zeiten knapper Ressourcen?

Ton: Professionell, klar, nicht akademisch. Die Dokumente sollen direkt als Grundlage für ein internes Gespräch mit der Geschäftsführung verwendet werden können.”

Erwartetes Ergebnis: Drei unmittelbar verwendbare Dokumente — als Grundlage für die Einführung der Rolle und die Kommunikation nach innen.

Reflexionsfragen

Welche konkreten Probleme würden in Ihrer Organisation entstehen, wenn die KI-Beauftragten-Rolle dauerhaft unbesetzt bleibt?

Wie würden Sie gegenüber einer skeptischen Geschäftsführung den Business Case für diese Rolle argumentieren?

Die Rolle erfordert kontinuierliches Lernen. Wie könnte eine KI-Beauftragte / ein KI-Beauftragter in Ihrer Organisation das sicherstellen — welche Ressourcen und Zeitbudgets braucht es?

In einem Unternehmen mit 50–150 Mitarbeitenden: Ab welchem Punkt ist eine Vollzeit-KI-Beauftragten-Stelle gerechtfertigt?

Beschreiben Sie, wie KI-Beauftragte:r und DSB bei einem KI-Vorfall mit Datenschutzbezug zusammenarbeiten sollten — und welche Entscheidung bei wem liegt.

Wie unterscheidet sich die Rolle der KI-Beauftragten in einer regulierten Branche (Finanz, Gesundheit) von der in einem IT-Dienstleistungsunternehmen?

Quellen & Weiterlesen

Hinweise für AI Champions — So vermitteln Sie das Thema

Timing: 45 Min — Empfohlene Aufteilung: 20 Min Input (Aufgabenprofil, Abgrenzung, Qualifikationsprofil), 15 Min Übung 1 oder 2, 10 Min Plenumsdiskussion.

Methodische Empfehlung: Diese UE ist die Synthese von Modul 9 — hier werden alle Governance-Fäden zusammengeführt. Der Einstieg über das Behördenprüfungs-Szenario funktioniert besonders gut in Gruppen, die bereits ein Bewusstsein für regulatorischen Druck entwickelt haben (aus UE 105 und 106). Alternativ: Mit der direkten Frage beginnen — „Wer in Ihrer Organisation wäre heute die Ansprechperson, wenn eine Aufsichtsbehörde nach Ihrem KI-Governance-Konzept fragt?”

Stolpersteine: - „Wir haben doch den Datenschutzbeauftragten dafür”: Klar abgrenzen — DSB ist für DSGVO zuständig, nicht für KI-Governance insgesamt. Die RACI-Übung in Übung 2 macht das Trennungsprinzip konkret erfahrbar. - „Das ist zu viel Aufwand für ein KMU”: Das Minimum-Modell (15–25% Zeitanteil, in bestehende Stelle integriert) hervorheben. Der monatliche Reporting-Aufwand von 2–3 Stunden ist überschaubar. - „Die KI entwickelt sich so schnell, da ist jede Governance sofort veraltet”: Darauf eingehen, dass Governance-Prinzipien (Human Oversight, Dokumentation, Incident Response) stabil bleiben — auch wenn sich spezifische Technologien ändern.

Diskussionsfragen: 1. Wer in Ihrer Organisation wäre heute für die KI-Beauftragten-Rolle geeignet — und was würde fehlen? 2. Was wäre die erste Maßnahme nach Benennung der KI-Beauftragten in Ihrer Organisation? 3. Wie verhindern Sie, dass die Rolle zur reinen Compliance-Funktion wird und die Enabler-Dimension verloren geht?

Tafelbild:

KI-BEAUFTRAGTE/R — VIER DIMENSIONEN



STRATEGISCH OPERATIV

───────────────── ────────────────────

KI-Systemverzeichnis Vendor Assessment

Roadmap Incident Response

Freigabemodell Schulungen

KI-Community Nutzungsrichtlinie



COMPLIANCE KOMMUNIKATION

───────────────── ────────────────────

Art. 4 + Art. 26 Mitarbeitende

DSB-Schnittstelle Geschäftsführung

Externe Audits Kunden

Regulatorik Aufsichtsbehörden

verfolgen

Differenzierung Power-User ↔ Einsteiger: - Einsteiger: Fokus auf Vier-Dimensionen-Modell und Abgrenzung zu DSB/CISO; Übung 1 (Stellenbeschreibung) ist zugänglich und praxisnah. - Power-User: Vertiefen mit internationalem Vergleich (CAIO in USA, Digital Trust Officer), Messbare KI-Reife-Indikatoren, Post-Mortem-Kultur und Change-Management-Dimension.

Materialliste: - Vier-Dimensionen-Karte der KI-Beauftragten-Rolle (Handout, druckbar) - RACI-Blanko-Vorlage für Übung 2 - KI-Status-Report-Template (Muster für den monatlichen Report)

Übergang zur nächsten UE: UE 108 ist die abschließende Fallstudie: Risiko-Assessment für ein konkretes KI-System. Brückenformulierung: „In UE 107 haben wir die Rolle definiert, die alle Governance-Aktivitäten koordiniert. UE 108 wendet alle Konzepte aus Modul 9 in einem integrierten Fallbeispiel an — das Risiko-Assessment bringt Vendor Assessment, Datenklassifizierung, Monitoring, Dokumentation und Incident-Response-Planung zusammen.”

Tipp zur Branchenauswahl: Für Finanzgruppen: Chief Risk Officer als verwandte Rolle einführen — wie unterscheidet sich der CRO vom KI-Beauftragten? Für Industriegruppen: Verbindung zur Maschinensicherheitsverantwortung und CE-Kennzeichnung als Analogie für KI-Governance. Für Verwaltungsgruppen: Chief Digital Officer (CDO) als häufige Heimat der KI-Beauftragten-Funktion in Behörden.

Vertiefung II — Internationale Modelle der KI-Governance-Verantwortung

Die Chief AI Officer (CAIO) Rolle als Orientierungsmodell

In den USA schreibt Executive Order 14110 (Oktober 2023) vor, dass Bundesbehörden einen Chief AI Officer (CAIO) benennen müssen. Das liefert ein konkretes Referenzmodell für die institutionelle Verortung von KI-Governance-Verantwortung.

Der CAIO in US-Bundesbehörden hat folgende Kernaufgaben: - Koordination des KI-Einsatzes in der gesamten Behörde - Sicherstellung von Transparenz und Rechenschaftspflicht bei KI-Systemen - Jährlicher Bericht über den Einsatz hochriskanter KI-Systeme - Zusammenarbeit mit dem CIO und Chief Privacy Officer

Der Unterschied zum deutschen KI-Beauftragten: In Deutschland gibt es keine gesetzliche Pflicht zur Benennung einer KI-Governance-Funktion — die Rolle entsteht aus der Summe der regulatorischen Anforderungen, nicht aus einer expliziten Pflichtvorschrift. Das bedeutet mehr Gestaltungsfreiheit bei der Ausgestaltung, aber auch weniger externer Druck zur Institutionalisierung.

Das UK-Modell: Sektorbasierte KI-Governance-Verantwortung

Das Vereinigte Königreich verfolgt einen anderen Ansatz: Anstatt eine zentrale KI-Regulation einzuführen, weist die UK AI Regulation (2023 White Paper) die KI-Governance-Verantwortung bestehenden sektoralen Regulatoren zu — CMA (Wettbewerb), FCA (Finanz), ICO (Datenschutz), Ofcom (Telekommunikation).

Die Konsequenz: In UK-Organisationen liegt KI-Governance-Verantwortung stärker bei vorhandenen Compliance-Funktionen, die ihre bestehenden Zuständigkeiten auf KI ausweiten. Das schafft organisatorisch weniger Abstimmungsbedarf, bringt aber das Risiko fragmentierter Governance mit sich — dieselbe Problematik, die in UE 107 als Hauptmotivation für die KI-Beauftragten-Rolle behandelt wurde.

Organisationsmodelle im Vergleich

Wie kann eine KI-Beauftragten-Funktion in unterschiedlichen Organisationsstrukturen verankert werden? Drei Modelle in der Praxis:

Modell A — Integrierte Funktion (KMU-tauglich): Die Rolle wird in eine bestehende Position integriert. Typischer Träger: IT-Projektleiter, Digital-Manager, oder erfahrene Fachkraft mit KI-Affinität. Zeitbudget: 15–25% einer Vollzeitstelle. Vorteil: Kein zusätzliches Personalbudget. Risiko: Kapazitätsdruck bei anderen Aufgaben.

Modell B — Stabsstelle (mittlere Unternehmen, 150–500 Mitarbeitende): Die KI-Beauftragten-Funktion wird als Stabsstelle mit direktem Reporting an die Geschäftsführung eingerichtet. 50–100% Stellenanteil. Vorteil: Volle Fokussierung, hohe Sichtbarkeit. Risiko: Isolationsrisiko — die Stabsstelle muss aktiv Brücken in die Fachbereiche bauen.

Modell C — KI-Governance-Team (Konzern): Ein Team aus mehreren Personen mit unterschiedlichen Spezialisierungen (juristisch, technisch, kommunikativ). Reporting an CDO oder CRO. Vorteil: Professionelle Breite. Risiko: Bürokratisierungsgefahr — KI-Governance als eigenständige Abteilung kann zur Flaschenhals-Funktion werden.

Für die meisten mittelständischen Organisationen ist Modell A oder B der richtige Einstieg.

Die KI-Beauftragten-Rolle im Change-Management-Kontext

Technologische Transformationen scheitern selten an der Technik — sie scheitern am Change Management. Die Einführung generativer KI in einer Organisation ist eine tiefgreifende Veränderung von Arbeitsweisen, und die KI-Beauftragten-Funktion ist eine wichtige Change-Management-Funktion.

Typische Widerstandsmuster und Antworten:

„KI nimmt mir meinen Job weg": Keine Verharmlosung — ernste Diskussion über KI als Produktivitätswerkzeug, nicht als Personalersatz. Konkrete Beispiele zeigen, wie KI repetitive Aufgaben übernimmt und Kapazität für wertschöpfende Arbeit freisetzt.

„Die IT versteht unsere Arbeit nicht": Die KI-Beauftragten sind die Übersetzerfunktion. Regelmäßige Gespräche mit Fachbereichen sind nicht optional, sondern Kernaufgabe.

„Das ist wieder eine Modeerscheinung": Seriöse Einschätzung der Langfristigkeit — generative KI ist eine fundamentale Technologieverschiebung, keine kurzfristige Modeerscheinung. Das zeigen die Investitionsvolumina, die regulatorischen Reaktionen und die Durchdringung aller Branchen.

„Ich traue dem System nicht": Transparenz schaffen — wie funktioniert das System? Wo liegen die Grenzen? Warum gibt es Guardrails? Vertrauen entsteht durch Verständnis.

Wann ist Change Management erfolgreich? Wenn Mitarbeitende KI-Vorfälle proaktiv melden, statt sie zu verbergen. Wenn Fachbereiche eigenständig Use-Case-Vorschläge einbringen. Wenn die Nutzungsrate der freigegebenen KI-Systeme steigt, ohne dass externe Kontrolle nötig ist.

Merksatz

Die KI-Beauftragten-Rolle ist zu gleichen Teilen eine technische, rechtliche und kulturelle Funktion. Wer nur die Compliance-Dimension wahrnimmt, wird scheitern — weil KI-Governance ohne Akzeptanz der Mitarbeitenden auf Sand gebaut ist.

Das Netzwerk der KI-Beauftragten: Peer-Austausch als Ressource

KI-Governance ist ein junges Feld — es gibt noch keine etablierten Ausbildungswege, keine Jahrzehnte lange Berufsgeschichte, keine kanonischen Handbücher. Deshalb ist Peer-Austausch besonders wertvoll:

Formale Netzwerke: - Bitkom Arbeitsgruppe Künstliche Intelligenz: Austauschformat für Unternehmen jeder Größe, regelmäßige Praxisberichte - KI-Bundesverband: Interessenverband, aber auch Community für KI-Verantwortliche - IAPP (International Association of Privacy Professionals): Bietet zunehmend KI-Governance-Ressourcen - ISO-Anwendergruppe ISO 42001: Für Organisationen, die ISO-42001-Zertifizierung anstreben oder begleiten

Informelle Formate: - LinkedIn-Community: Aktivität der EU AI Office, BSI, EDPB auf LinkedIn ist eine kostenlose, aktuelle Informationsquelle - Regionale IHK-Veranstaltungen: Zunehmend KI-Compliance-Fokus, lokales Netzwerk - Interne Community of Practice: Wenn mehrere Mitarbeitende KI-affin sind, lohnt ein monatliches internes Austauschformat

Der wichtigste Peer-Austausch-Effekt: Man erfährt, wie andere Organisationen ähnliche Probleme gelöst haben — ohne selbst alle Fehler machen zu müssen.

Qualitätssicherung der KI-Beauftragten-Funktion selbst

Wie stellt eine Organisation sicher, dass die KI-Beauftragten-Funktion nicht zur Schein-Governance wird — gut gemeint, aber ohne Wirkung? Drei Instrumente:

1. Jährliches Self-Assessment: Einmal jährlich bewertet die KI-Beauftragten-Funktion sich selbst anhand eines Reifegrad-Modells: Sind alle KI-Systeme im Verzeichnis? Wurden alle Vendor Assessments in Frist durchgeführt? Ist das Playbook aktuell? Wurden alle Art.-4-Schulungen organisiert?

2. Externe Perspektive: Alle ein bis zwei Jahre lohnt eine externe Sicht — durch einen Datenschutzberater, Auditor oder ein Peer-Unternehmen, das die eigene KI-Governance-Reife einschätzt. Diese externe Prüfung deckt systematische blinde Flecken auf, die im Alltag nicht sichtbar werden.

3. Ergebnisqualität prüfen, nicht nur Prozesse: Governance-Qualität zeigt sich nicht nur daran, ob Prozesse dokumentiert sind — sondern ob sie Wirkung entfalten. Wird Shadow AI weniger? Werden Vorfälle früher erkannt? Sind die KI-Systeme stabiler geworden? Diese Outcome-Fragen sind die eigentlichen Erfolgsindikatoren.

Überblick: KI-Beauftragter in der Gesamtarchitektur von Modul 9

Modul 9 hat in UE 97–107 einen vollständigen Governance-Stack aufgebaut:

Die KI-Beauftragten-Rolle in UE 107 ist das organisatorische Dach, das alle technischen, rechtlichen und prozessualen Elemente zusammenhält. Ohne diese Rolle wäre Modul 9 ein Set von Werkzeugen ohne Handwerker — nützlich im Regal, aber nicht wirksam.

Vertiefung II — Strategische Ebene — Messung der Governance-Wirksamkeit

KPIs für die KI-Beauftragten-Funktion

Eine Funktion, die nicht gemessen wird, wird nicht gemanagt. Die KI-Beauftragten sollten ihrer Arbeit messbare KPIs zuordnen, die im monatlichen Status-Report berichtet werden:

Compliance-KPIs: - Anteil der KI-Systeme im KI-Systemverzeichnis mit aktuellem Review-Datum (Ziel: 100%) - Anteil der Mitarbeitenden mit nachgewiesener KI-Schulung im letzten Jahr (Ziel: > 90%) - Anzahl der abgeschlossenen Vendor Assessments in Frist (Ziel: 100%) - Anzahl der Systeme ohne gültigen AVV (Ziel: 0)

Qualitäts-KPIs: - Durchschnittlicher Qualitäts-Score aus letztem Golden-Test-Set-Durchlauf (Ziel: > 4,0/5,0) - Anteil der KI-Outputs mit gemeldeten Qualitätsproblemen (Ziel: < 2%)

Risiko-KPIs: - Anzahl erkannter Shadow-AI-Fälle pro Quartal (sinkend = gutes Zeichen) - Anzahl KI-Vorfälle pro Quartal (Trend ist entscheidend) - Zeit bis zur Incident-Eindämmung bei letztem Vorfall (Ziel: < 2 Stunden)

Enablement-KPIs: - Anzahl eingereichter Use-Case-Vorschläge aus Fachbereichen - Anzahl neu freigegebener Tools nach Assessment-Prozess - Nutzungsrate der freigegebenen KI-Systeme (steigend = positive Adoption)

Diese KPIs kommunizieren gegenüber der Geschäftsführung den Wert der Funktion — nicht nur in abstrakten Compliance-Begriffen, sondern in messbaren Ergebnissen.

Die Übergangsphase: Wenn die Rolle neu besetzt wird

Eine häufig übersehene Herausforderung: Was passiert, wenn die KI-Beauftragten-Funktion personell wechselt? Das gesamte institutionelle Wissen — alle Vendor-Entscheidungen, alle Incident-Erfahrungen, alle Governance-Begründungen — ist zu einem erheblichen Teil im Kopf der Person gespeichert.

Gegenmaßnahmen für eine robuste Wissensübergabe:

Schriftliche Governance-Dokumentation: Alle wesentlichen Entscheidungen (Warum dieses Hosting? Warum dieser Anbieter nicht?) werden schriftlich begründet und im Governance-System abgelegt.

Aktuelles Einarbeitungspaket: Ein Onboarding-Dokument für neue KI-Beauftragten fasst den aktuellen Stand zusammen: aktive Systeme, offene Governance-Aufgaben, wichtige Kontakte (DSB, IT-Security, Behörden), laufende Prozesse.

Stabiles Governance-System: Das KI-Systemverzeichnis, das Incident-Register und die Vendor-Assessment-Dokumentation sind so strukturiert, dass eine neue Person sie ohne Einarbeitung navigieren kann.

Governance-Kontinuität ist eine Qualitätskennzahl für die KI-Beauftragten-Funktion: Eine gut geführte Funktion übersteht einen Personalwechsel ohne Governance-Lücken.

Weiterbildungsempfehlungen für KI-Beauftragte

Für die strukturierte Weiterbildung bieten sich folgende Ressourcen an, die kostengünstig oder kostenlos zugänglich sind:

Behördenressourcen (kostenlos): BSI-Publikationen zur KI-Sicherheit, ENISA-Reports zu KI-Risiken, EU AI Office Leitlinien (sobald verfügbar), BfDI-Stellungnahmen zu KI und Datenschutz.

Normenressourcen: ISO 42001 Überblick (Public Preview verfügbar), NIST AI Risk Management Framework (kostenlos, englischsprachig, von NIST.gov), OECD AI Principles mit Implementierungsleitfaden.

Branchenverbände: Bitkom-Publikationen zu KI-Governance (viele kostenlos), KI-Bundesverband-Ressourcen, Branchenspezifische Verbände (z. B. BdV für Versicherungen, BdB für Banken) mit zunehmend KI-spezifischen Inhalten.

Diese Ressourcen zusammen — konsequent genutzt mit 30 Minuten wöchentlich — ermöglichen es KI-Beauftragten, ihren Wissensstand auch in einem sich schnell entwickelnden Feld aktuell zu halten.

Quelle: KI-Wissensbasis von MindsMachines, Edition Juni 2026. Vollständige Fassung mit Anhängen und Musterlösungen: als PDF anfordern.