KI-Beauftragter (AI Officer)

Hintergrund und normative Einordnung

Der KI-Beauftragte ist eine Rolle, deren Notwendigkeit aus dem Zusammenwirken zweier normativer Quellen entsteht: dem EU AI Act (Verordnung (EU) 2024/1689) und der internationalen KI-Management-Norm ISO/IEC 42001:2023. Während der EU AI Act in Art. 4 die Pflicht zur Sicherstellung von KI-Kompetenz im Unternehmen ab dem 2. Februar 2025 einführt, ohne eine namentliche Benennung eines KI-Beauftragten zwingend vorzuschreiben, fordert ISO/IEC 42001:2023 Clause 5.3 das Top-Management auf, Verantwortlichkeiten und Befugnisse für zwei Kernfunktionen schriftlich zuzuweisen: erstens die Sicherstellung, dass das KI-Management-System (AIMS) den Normanforderungen entspricht, und zweitens die Berichterstattung über die AIMS-Performance an das Top-Management. In der Praxis nimmt der KI-Beauftragte, ob intern oder extern bestellt, diese beiden Kernfunktionen wahr. Der EU AI Act Art. 26 Abs. 2 konkretisiert für Hochrisiko-KI-Betreiber zusätzlich: Die menschliche Aufsicht über Hochrisiko-KI-Systeme muss an natürliche Personen mit erforderlicher Kompetenz, Ausbildung und Befugnis übertragen werden, eine Funktion, die organisatorisch typischerweise beim KI-Beauftragten oder einer von ihm koordinierten Aufsichtsperson liegt. Das NIST AI Risk Management Framework (AI RMF 1.0) ergänzt diesen Governance-Rahmen: Die GOVERN-Funktion des Frameworks etabliert Accountability-Strukturen für KI-Risikomanagement, definiert Rollen und Verantwortlichkeiten über den gesamten KI-Lebenszyklus und stellt sicher, dass Leitlinien und Prozesse im Unternehmen verankert sind.

In der deutschen Compliance-Landschaft befindet sich die Rolle des KI-Beauftragten im aufkeimenden AIMS-Markt. Während der Datenschutzbeauftragte (DSB) nach DSGVO Art. 37 in bestimmten Konstellationen zwingend zu benennen ist und der ISB im BSI IT-Grundschutz als explizit genannte Pflichtrolle existiert, enthält der EU AI Act keine dem Art. 37 DSGVO entsprechende Benennungspflicht für einen KI-Beauftragten. Die operative Notwendigkeit ergibt sich jedoch aus der Kombination von EU AI Act Art. 4 (Kompetenzpflicht), Art. 26 (Hochrisiko-Betreiberpflichten inklusive Aufsicht, Protokollierung, Meldepflichten) und Art. 50 (Transparenz- und Kennzeichnungspflichten ab 2. August 2026), die ohne eine koordinierende Verantwortungsrolle nicht erfüllbar sind. ISO/IEC 42001:2023 übersetzt diese regulatorischen Anforderungen in ein managementfähiges System: Annex A der Norm definiert Richtlinien für KI (A.3), Risikobeurteilung (A.6) und KI-Systemlebenszyklus (A.7), operative Felder, die koordinierend geführt werden müssen. Für KMU (100–5.000 Mitarbeiter) im deutschen Mittelstand erweist sich das externe KI-Beauftragten-Modell (KIBaaS, KI-Beauftragter as a Service) häufig als wirtschaftlichste Lösung: organisatorisch unabhängig, sofort verfügbar und mit aktueller Normen- und Regulierungskenntnis ausgestattet. SECURAM übernimmt diese Funktion als Externer KI-Beauftragter (KIBaaS), mit direkter Berichtslinie zur Geschäftsleitung und dokumentiertem Aufgabenumfang.

Normative Bezüge:

Vorgehen in der Praxis

Die Einrichtung der KI-Beauftragten-Funktion folgt einem vierstufigen Vorgehen, das aus den Anforderungen von ISO/IEC 42001:2023 Clause 5.3, EU AI Act Art. 4 und Art. 26 abgeleitet wird. Ausgangspunkt ist stets die KI-Inventur: Ohne Kenntnis der eingesetzten KI-Systeme und ihrer regulatorischen Einordnung kann kein Aufgabenkatalog für den KI-Beauftragten sinnvoll definiert werden.

Abgrenzung zu verwandten Begriffen

Typische Fehler und wie ihr sie vermeidet

• Keine formale Benennung, niemand fühlt sich zuständig: In der häufigsten Praxissituation wissen mehrere Abteilungen (IT, Compliance, Datenschutz, Recht) um die Anforderungen des EU AI Act, aber keine Person hat das formale Mandat, koordinierend zu handeln. EU AI Act Art. 4 (Kompetenzpflicht ab 02.02.2025) und Art. 26 (Hochrisiko-Betreiberpflichten ab 02.08.2026) können ohne eine koordinierende Verantwortungsrolle strukturell nicht erfüllt werden: Wer führt das KI-Register? Wer koordiniert die Schulungen? Wer meldet schwerwiegende Vorfälle nach Art. 73? ISO/IEC 42001:2023 Clause 5.3 setzt hier die normative Grenze: Die Zuweisung der Verantwortlichkeit ist keine operative Empfehlung, sondern eine Voraussetzung für die AIMS-Zertifizierungsfähigkeit. Ohne dokumentierte Rollenzuweisung ist eine Konformitätsbewertung nicht möglich.
• ISB nimmt KI-Beauftragten-Rolle de facto wahr, ohne Mandat und Ressourcen: Ein verbreitetes Muster ist, dass der bestehende ISB die KI-Compliance-Themen zusätzlich übernimmt, ohne dass dies formal mandatiert und mit zusätzlichen Ressourcen ausgestattet wird. Die Folge ist eine faktische Pflichtenkumulation: Der ISB verantwortet das ISMS nach ISO 27001 und BSI Grundschutz und soll gleichzeitig das AIMS nach EU AI Act und ISO 42001 operationalisieren, ohne formale Zuweisung nach Clause 5.3, ohne angepasstes Zeitkontingent und ohne organisatorische Klarheit über Befugnisse. Dies erzeugt eine rechtliche Lücke: Im Fall einer aufsichtsbehördlichen Prüfung nach EU AI Act kann die Nichtzuweisung einer benannten verantwortlichen Rolle für die Hochrisiko-KI-Betreiberpflichten (Art. 26) als Verstoß gewertet werden.
• Fehlendes KI-Inventar, Compliance ohne Grundlage: Ohne ein vollständiges KI-Register, das alle eingesetzten KI-Systeme, ihre Risikoklassen und die dazugehörigen Compliance-Anforderungen dokumentiert, ist jede KI-Governance-Maßnahme strukturell unvollständig. Insbesondere Schatten-KI (nicht offiziell eingeführte KI-Tools, die Mitarbeiter eigenständig nutzen) bleibt ohne systematische KI-Inventur unsichtbar. Art. 26 Abs. 5 EU AI Act verlangt von Betreibern von Hochrisiko-KI-Systemen eine aktive Überwachung. Dies setzt die Kenntnis aller eingesetzten Systeme voraus. ISO/IEC 42001:2023 Annex A.7 konkretisiert: Der KI-Systemlebenszyklus muss durch die Organisation gesteuert werden, was eine systematische Erfassung aller KI-Systeme voraussetzt.
• Schulungspflicht Art. 4 nicht dokumentiert, Nachweis fehlt im Audit: EU AI Act Art. 4 verpflichtet Anbieter und Betreiber von KI-Systemen seit dem 2. Februar 2025, Maßnahmen zu ergreifen, um sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Die Pflicht besteht auch dann, wenn keine Hochrisiko-KI eingesetzt wird. Sie gilt für alle KI-Systeme. Der häufige Fehler ist die Durchführung von Schulungen ohne Dokumentation: Wer wurde wann geschult? Mit welchen Inhalten? Wie wurde die Kompetenz bewertet? ISO/IEC 42001:2023 Clause 7.2 verlangt den Nachweis der Kompetenz. Ohne Dokumentation ist dieser Nachweis im Zertifizierungsaudit und bei aufsichtsbehördlichen Prüfungen nicht zu führen.

Relevanz im regulatorischen Kontext

Der KI-Beauftragte ist in seiner Rolle primär durch EU AI Act (Verordnung (EU) 2024/1689) und ISO/IEC 42001:2023 geprägt. Der EU AI Act ist seit dem 1. August 2024 in Kraft; die verschiedenen Verpflichtungen gelten gestaffelt: Das Verbot bestimmter KI-Praktiken (Art. 5) gilt ab dem 2. Februar 2025. Die KI-Kompetenzpflicht (Art. 4) gilt ebenfalls ab dem 2. Februar 2025. Die Pflichten für Betreiber von Hochrisiko-KI-Systemen (Art. 26) gelten ab dem 2. August 2026. Die Transparenz- und Kennzeichnungspflichten (Art. 50) gelten ab dem 2. August 2026. Das Sanktionssystem nach Art. 99 sieht drei Bußgeldstaffeln vor: Verstöße gegen das Verbot verbotener KI-Praktiken (Art. 5) werden mit bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes (je höher) geahndet. Verstöße gegen sonstige Pflichten (u.a. Hochrisiko-KI-Betreiberpflichten nach Art. 26, Transparenzpflichten nach Art. 50) mit bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes. Fehlerhafte oder irreführende Angaben gegenüber Behörden mit bis zu 7,5 Millionen EUR oder 1 % des weltweiten Jahresumsatzes. Für KMU sieht Art. 99 vor, dass jeweils der niedrigere der beiden Werte (Festbetrag oder Umsatzprozentsatz) gilt.

Nationale Zuständigkeiten in Deutschland: Die Bundesnetzagentur (BNetzA) ist die koordinierende nationale Behörde für den EU AI Act; das Bundeskriminalamt (BKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) sind eingebunden, soweit ihre jeweiligen Fachgebiete betroffen sind. Das BSI hat sich mit dem Kriterien-Katalog AIC4 (Artificial Intelligence Cloud Service Compliance Criteria Catalogue) als Erweiterung des C5-Katalogs sowie mit dem QUAIDAL-Leitfaden zur Datenqualität in KI-Systemen als fachliche Referenz im KI-Sicherheitsbereich positioniert. ISO/IEC 42001:2023 ist die erste zertifizierungsfähige internationale KI-Management-Norm; eine ISO-42001-Zertifizierung kann gegenüber Auftraggebern, Kunden und Aufsichtsbehörden als Beleg für ein systematisch betriebenes AIMS dienen. Die EU AI Liability Directive (im Gesetzgebungsverfahren) und die überarbeitete Produkthaftungsrichtlinie (EU) 2024/2853 schaffen zusätzlichen zivilrechtlichen Haftungsrahmen für Schäden durch KI-Systeme, ein weiterer Grund für eine klare Zuordnung von KI-Verantwortlichkeiten in der Organisation.

Häufige Fragen