Mit dem zweiten August zweitausendsechsundzwanzig wird der Hauptteil des EU AI Acts für Hochrisiko-KI-Systeme bindend, und genau in diesem Moment trifft eine regulatorische Anforderung auf den deutschen Mittelstand, der bislang in der Mehrheit ohne dedizierte KI-Verantwortung im Organigramm aufgestellt ist. Laut Bitkom-Studie aus dem Jahr zweitausendvierundzwanzig setzen bereits siebenundzwanzig Prozent der Unternehmen in Deutschland KI-Tools produktiv ein, gleichzeitig haben weniger als zehn Prozent eine schriftlich definierte Rolle eines KI-Beauftragten benannt. Diese Lücke zwischen Tool-Einsatz und Rollendefinition ist genau die Stelle, an der unter Audit-Bedingungen die Haftung problematisch wird.
Was die Rolle KI-Beauftragter im Tagesgeschäft konkret macht
Der KI-Beauftragte ist weder eine reine Compliance-Stelle, die Dokumente sammelt, noch eine technische Rolle, die Modelle baut. Die Position lebt vom Spagat zwischen Geschäftsführung und Fachabteilungen, ergänzt um die IT-Abteilung als dritte Stimme im Trio, und genau dieser Querschnitts-Charakter macht die Rolle so anspruchsvoll. Konkret übernimmt der KI-Beauftragte fünf Kernverantwortlichkeiten, die wir bei jedem Mandat schriftlich fixieren, damit im Audit-Fall keine Zuständigkeitslücken bestehen.
Inventarisierung
Pflege eines aktuellen KI-Registers mit Risikoklasse, Anbieter, Trainingsdatenquelle und Einsatzbereich pro System.
Risikobewertung
Klassifizierung jedes Systems nach EU AI Act Risikostufe und Ableitung der spezifischen Pflichten je Klasse.
Schulung
Verpflichtende KI-Kompetenz-Schulung aller Mitarbeiter laut Artikel vier mit dokumentiertem Nachweis pro Person.
Incident-Response
Definierter Prozess für Vorfälle wie Halluzinationen mit Kundenwirkung, Datenleck oder fehlerhafte Einzelentscheidung.
Vendor-Compliance
Vertragsprüfung mit KI-Anbietern, Auftragsverarbeitungsvereinbarungen und Sicherstellung der AI-Act-Konformität extern bezogener Modelle.
Diese fünf Verantwortlichkeiten ergeben in der Summe einen Aufwand, der bei einem Mittelständler mit fünfzig bis hundertfünfzig Mitarbeitern typischerweise bei sechs bis zwölf Stunden pro Monat liegt, wenn die Routinen einmal etabliert sind. Im ersten Aufbaujahr ist der Aufwand allerdings deutlich höher, weil sowohl die Bestandsaufnahme als auch die Vertragsprüfung und die Erstdokumentation initialen Mehraufwand verursachen.
Interner oder externer KI-Beauftragter
Diese Frage hängt von drei Faktoren ab: vorhandene Fachkompetenz, Kapazität der internen Stelle und die Risikoklasse der eingesetzten KI-Systeme. Die folgende Übersicht zeigt, in welchen Konstellationen welche Variante typischerweise wirtschaftlicher ist.
| Faktor | Interner KI-Beauftragter | Externer KI-Beauftragter |
|---|---|---|
| Unternehmensgröße | Ab hundertfünfzig Mitarbeitern und mehr | Bis hundertfünfzig Mitarbeiter |
| Anzahl produktiv genutzter KI-Systeme | Mehr als zehn unterschiedliche Tools | Bis zu zehn Tools, überwiegend Standard-SaaS |
| Vorhandene Fachexpertise | Compliance-Officer oder IT-Sicherheit vorhanden | Keine spezialisierte Compliance-Rolle besetzt |
| Branche | Stark regulierte Sektoren wie Finanz, Gesundheit, Versicherung | Allgemeiner Mittelstand ohne sektorspezifische KI-Pflichten |
| Typische Jahreskosten | Achtzehntausend bis zweiundvierzigtausend Euro inklusive Schulung | Vierzehntausendvierhundert bis fünfundzwanzigtausendzweihundert Euro Mandatsgebühr |
In der Praxis sehen wir bei Mandanten häufig eine Übergangslösung: Externe Übernahme der Rolle in den ersten zwölf bis achtzehn Monaten, parallel Aufbau interner Kompetenz, und ab dem zweiten Geschäftsjahr Übergabe an einen intern geschulten Mitarbeiter. Diese Konstellation kombiniert die schnelle Audit-Fähigkeit eines erfahrenen Externen mit der mittelfristig günstigeren internen Stelle.
Welche Dokumente die Rolle braucht
Ein KI-Beauftragter ohne dokumentierte Grundlage ist regulatorisch wirkungslos, weil im Audit-Fall die Rollenwahrnehmung nachweisbar sein muss. Wir liefern bei jedem Mandat ein Set aus fünf Kernunterlagen, das alle Pflicht-Felder abdeckt.
- KI-Richtlinie: Schriftliche unternehmensweite Regelung, welche KI-Tools erlaubt sind, welche Datenkategorien nicht in externe Modelle eingegeben werden dürfen und wie Mitarbeiter neue Tools beantragen.
- KI-Register: Lebende Tabelle aller produktiv genutzten KI-Systeme mit Anbieter, Risikoklasse, Vertragslage und Verantwortlichem.
- Schulungsplan: Curriculum für die Pflicht-Schulung nach Artikel vier inklusive Nachweis-Vorlage pro Mitarbeiter.
- Incident-Playbook: Eskalationspfad und Meldewege für KI-bezogene Vorfälle, abgestimmt auf bestehende DSGVO-Meldepflichten.
- Vendor-Checkliste: Standardisierte Prüfung vor Beschaffung neuer KI-Tools, inklusive AI-Act-Konformitäts-Frageliste.
Diese fünf Dokumente bilden gleichzeitig den Mindestumfang, den ein BAFA-Auditor als Verwendungsnachweis für eine geförderte Compliance-Beratung erwartet.
Was eine BAFA-geförderte Aufbauberatung kostet
Der Aufbau der KI-Beauftragten-Rolle und die Lieferung der Pflicht-Dokumente lässt sich über die BAFA-Förderung Unternehmensberatung abrechnen, weil die Beratung als Compliance- und Strategieberatung anerkannt ist. Bei einem typischen Honorar von dreitausendfünfhundert Euro netto reduziert sich Ihr Eigenanteil in den alten Bundesländern auf siebzehnhundertfünfzig Euro netto. Die anschließende laufende Mandatsausübung des externen KI-Beauftragten ist hingegen nicht förderfähig und läuft auf eine reguläre Monatsgebühr.