EU AI Act & Regulierung
Nein, die KI-Verordnung schreibt keinen KI-Beauftragten vor – ein Pendant zum Datenschutzbeauftragten gibt es nicht. Was tatsächlich verlangt wird, warum die Rolle trotzdem sinnvoll ist und welche Bußgeld-Legende gerade durchs Netz geht.
Nein. Der EU AI Act schreibt keinen KI-Beauftragten vor.
Und trotzdem sollten die meisten Organisationen einen benennen – nur aus einem anderen Grund, als der Anbieter behauptet, der Ihnen gerade ein Zertifikat dazu verkaufen will.
480 Mal im Monat wird in Deutschland nach „KI-Beauftragter“ gesucht. Der Klickpreis für dieses Keyword liegt bei 6,48 Euro. (Ja, ich habe das nachgeschaut, bevor ich diesen Text geschrieben habe.) Diese zwei Zahlen erklären ziemlich genau, warum die Frage gerade so laut gestellt wird – und warum die Antworten, die man findet, so oft schief sind.
Also der Reihe nach.
Die KI-Verordnung (Verordnung (EU) 2024/1689) kennt keine Rolle, die dem Datenschutzbeauftragten der DSGVO entspricht. Es gibt keine Benennungspflicht, keine Meldung an eine Behörde, keine Mindestqualifikation, keinen Kündigungsschutz. Auch das deutsche Durchführungsgesetz schafft keine solche Rolle – es regelt Behördenzuständigkeiten, Bußgeldverfahren und Innovationsförderung.
Was es gibt, sind Pflichten, die jemand erfüllen muss. Wer das ist, entscheiden Sie.
Vier Stellen kommen der Sache nahe – und keine davon verlangt einen Beauftragten:
- Art. 4 – KI-Kompetenz. Gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber, unabhängig von der Unternehmensgröße. Das Personal muss über ausreichende KI-Kompetenz verfügen. Wer das organisiert, steht nicht drin.
- Art. 26 Abs. 2 – menschliche Aufsicht. Betreiber von Hochrisiko-KI übertragen die menschliche Aufsicht an natürliche Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis – und unterstützen sie dabei. Das ist die einzige Stelle, die einer Benennung wirklich nahekommt. Sie meint aber Personen an konkreten Systemen, nicht eine zentrale Instanz.
- Art. 17 – Qualitätsmanagementsystem. Anbieter von Hochrisiko-KI brauchen ein QMS mit klarer Verantwortungszuordnung. Wieder: Zuständigkeiten ja, Beauftragter nein.
- Art. 22 – Bevollmächtigter. Anbieter aus Drittländern benennen einen Bevollmächtigten in der Union. Das ist eine echte Benennungspflicht – betrifft aber nur Anbieter außerhalb der EU.
Das war es. Wer in der Verordnung nach „KI-Beauftragter“ sucht, findet nichts.
Weil der 2. August 2026 vor der Tür steht. Ab dann ist die KI-Verordnung in weiten Teilen anwendbar, die Transparenzpflichten nach Art. 50 greifen, und die Marktüberwachung beginnt zu arbeiten. In Deutschland übernimmt die Bundesnetzagentur diese Rolle: Bundestag und Bundesrat haben das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) im Juni und Juli 2026 beschlossen. Die BNetzA wird zentrale Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle; sektorale Zuständigkeiten wie BaFin oder BSI bleiben bestehen.
Ein Datum, eine Behörde, ein diffuses Bedrohungsgefühl. Daraus lässt sich hervorragend ein Lehrgang bauen.
Zur Einordnung: Ein zertifizierter KI-Beauftragter ist deshalb nicht wertlos. Er ist nur keine Rechtspflicht – und wer ihn als solche verkauft, sagt die Unwahrheit.
Der häufigste Satz in der Werbung dazu lautet sinngemäß: „Ohne KI-Beauftragten drohen Bußgelder bis 35 Millionen Euro.“
Das ist falsch, und zwar auf zwei Ebenen.
Erstens: Art. 99 der KI-Verordnung staffelt Bußgelder in drei Stufen – bis 35 Mio. Euro oder 7 % Weltjahresumsatz für verbotene Praktiken nach Art. 5, bis 15 Mio. Euro oder 3 % für die meisten übrigen Pflichtverstöße, bis 7,5 Mio. Euro oder 1 % für Falschangaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere Wert. Die 35 Millionen hängen an Social Scoring und biometrischer Echtzeitüberwachung, nicht an Ihrer Personalorganisation.
Zweitens: Art. 4 taucht im Bußgeldkatalog des Art. 99 überhaupt nicht auf. Die KI-Kompetenzpflicht ist eine Bemühenspflicht ohne eigenen Bußgeldtatbestand. Ob und wie Deutschland Verstöße national sanktioniert, ist eine offene Frage.
Bedeutet das, dass Sie es ignorieren können? Nein. Denn die Pflicht wirkt woanders: als Nachweis gegenüber der Aufsicht, als Enthaftung der Geschäftsführung, und im zivilrechtlichen Haftungsfall. Ein Unternehmen ohne dokumentierte KI-Kompetenz steht schlechter da, wenn etwas schiefgeht – auch ohne dass jemand ein Bußgeld verhängt.
Wenig beachtet, aber für diese Frage entscheidend: Der KI-Omnibus – am 7. Mai 2026 im Trilog geeinigt, am 16. Juni vom Parlament und am 29. Juni vom Rat angenommen – fasst Art. 4 neu. Arbeitgeber müssen künftig angemessene Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Ein bestimmtes individuelles Kompetenzniveau ist ausdrücklich nicht mehr zu gewährleisten.
Gleichzeitig verschieben sich die Hochrisiko-Fristen deutlich: eigenständige Systeme nach Anhang III (Bewerber-Screening, Kreditwürdigkeit, Bildung) auf den 2. Dezember 2027, produktintegrierte Systeme nach Anhang I auf den 2. August 2028.
Wer also gerade argumentiert, ein KI-Beauftragter werde jetzt zur Pflicht, argumentiert gegen die Richtung, in die sich die Verordnung tatsächlich bewegt.
Ein Vorbehalt: Stand 18. Juli 2026 stand die Veröffentlichung im Amtsblatt noch aus. Authentisch sind nur dort veröffentlichte Texte (Art. 297 AEUV). Bis dahin gilt formal die Ursprungsfassung. Prüfen Sie den Stand, bevor Sie darauf eine Entscheidung stützen.
Jetzt der ehrliche Teil. In fast jeder Organisation, in der ich schule, gehört die KI-Nutzung niemandem. Sie passiert einfach. Und genau das ist das Problem, das die Rolle löst – nicht die Verordnung.
1️⃣ Wenn niemand weiß, welche KI-Systeme im Haus laufen. Ohne Inventar können Sie nicht klassifizieren, ohne Klassifizierung nicht einschätzen, ob überhaupt eine Hochrisiko-Anwendung dabei ist. Das ist der erste Schritt, und er kostet fast nichts.
2️⃣ Wenn Sie Hochrisiko-KI einsetzen oder anbieten. Personalauswahl, Kreditvergabe, Bildung, kritische Infrastruktur. Dann brauchen Sie ohnehin dokumentierte Zuständigkeiten, menschliche Aufsicht nach Art. 26 Abs. 2 und belastbare Prozesse. Ob die Person „Beauftragte“ heißt, ist Nebensache.
3️⃣ Wenn Kunden, Auftraggeber oder Auditoren danach fragen. In Ausschreibungen taucht die Frage nach KI-Governance zunehmend auf. Eine benannte Ansprechperson ist dann schlicht das schnellste Argument.
Falls Sie sie einrichten – das gehört hinein:
- Inventar aller eingesetzten KI-Systeme, laufend gepflegt
- Risikoklassifizierung nach Art. 6 und Anhang III
- Freigabeprozess für neue Tools, inklusive Schatten-KI
- Organisation und Dokumentation der KI-Kompetenz nach Art. 4
- Kennzeichnung nach Art. 50 dort, wo Menschen mit KI interagieren
- Ansprechpartner für Aufsicht, Betriebsrat, Datenschutz und Kunden
Aufhängen lässt sich das gut beim Datenschutzbeauftragten oder in der Compliance – die Schnittmengen bei Trainingsdaten, automatisierten Entscheidungen und Dokumentation sind groß. Eine eigene Planstelle braucht dafür fast niemand.
Und noch ein Punkt, den viele überlesen: Menschliche Aufsicht im Sinne der Verordnung ist keine einzelne Person und kein Häkchen in einer Software. Sie ist ein System aus Rollen, echten Befugnissen, Fachwissen und ausreichend Zeit. Ein Beauftragter allein erfüllt Art. 26 Abs. 2 nicht.
Sollten Sie einen KI-Beauftragten benennen? In den meisten Organisationen ja – aber nicht, weil ein Gesetz es verlangt, sondern weil sonst niemand die Fragen beantwortet, die ab August ohnehin gestellt werden.
Muss es dafür ein vierstelliger Zertifikatslehrgang sein? Ganz ehrlich: Nein. Fangen Sie mit dem Inventar an. Das ist ein Nachmittag Arbeit und bringt Ihnen mehr Klarheit als jedes Siegel.
Nein. Die KI-Verordnung enthält keine Pflicht zur Benennung eines KI-Beauftragten. Es gibt kein Pendant zum Datenschutzbeauftragten der DSGVO. Verpflichtend sind Aufgaben – etwa KI-Kompetenz nach Art. 4 und menschliche Aufsicht nach Art. 26 Abs. 2 – nicht eine bestimmte Rolle.
Der Datenschutzbeauftragte ist unter bestimmten Voraussetzungen gesetzlich vorgeschrieben, mit definierten Aufgaben, Weisungsfreiheit und Benachteiligungsverbot. Der KI-Beauftragte ist eine freiwillige Organisationsrolle. Beide Funktionen kann dieselbe Person übernehmen, sofern die Qualifikation passt und kein Interessenkonflikt entsteht.
Nein. Es gibt keinen Bußgeldtatbestand für eine fehlende Benennung. Art. 99 sanktioniert verbotene Praktiken (bis 35 Mio. Euro oder 7 % Umsatz), Verstöße gegen Hochrisiko- und Transparenzpflichten (bis 15 Mio. Euro oder 3 %) und Falschangaben gegenüber Behörden (bis 7,5 Mio. Euro oder 1 %). Für KMU gilt jeweils der niedrigere Wert.
Ja. Art. 4 gilt seit dem 2. Februar 2025 unabhängig von der Unternehmensgröße für Anbieter und Betreiber – und erfasst neben Beschäftigten auch Dienstleister, die die KI-Systeme bedienen. Nach der Omnibus-Neufassung genügen angemessene Maßnahmen zur Förderung der Kompetenz; ein bestimmtes individuelles Niveau muss nicht nachgewiesen werden.
Die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle – festgelegt im KI-MIG, das der Bundestag am 11. Juni 2026 und der Bundesrat am 10. Juli 2026 beschlossen hat. Sektorale Zuständigkeiten bleiben bestehen, etwa die BaFin für Finanzdienstleistungen und das BSI für IT-Sicherheit.
Verbote nach Art. 5 und KI-Kompetenz nach Art. 4 seit dem 2. Februar 2025. GPAI-Pflichten und das Sanktionsregime seit dem 2. August 2025. Allgemeiner Anwendungsbeginn und Transparenzpflichten nach Art. 50 am 2. August 2026. Hochrisiko-Systeme nach Anhang III am 2. Dezember 2027, nach Anhang I am 2. August 2028.
Dieser Beitrag ist Recherche und Einordnung, keine Rechtsberatung. Stand: 18. Juli 2026.
"Ich schicke regelmäßig kostenlose Updates zum Thema KI, Sicherheit und Anwendungen."
Wählen Sie direkt einen freien Slot in meinem Kalender.
Schreiben Sie mir Ihr Anliegen — ich melde mich zeitnah.
