Externer KI-Beauftragter für Ihr Unternehmen

Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Er ist am 1. August 2024 im Amtsblatt der EU erschienen und am 1. August 2024 in Kraft getreten, mit gestaffeltem Geltungs-Beginn: ab 2. Februar 2025 die Verbote bestimmter Praktiken (Social Scoring, biometrische Echtzeit-Identifikation in Echtzeit, Emotions-Erkennung am Arbeitsplatz, gezielte Manipulation) und die Schulungs-Pflicht nach Art. 4. Ab 2. August 2025 die Regeln für allgemeine KI-Modelle (GPAI) und die Sanktions-Vorschriften. Ab 2. August 2026 die Pflichten für Hochrisiko-Systeme nach Anhang III und der überwiegende Teil der Vorschriften. Ab 2. August 2027 für KI-Systeme, die als Sicherheitskomponente in produktregulierten Bereichen verbaut sind (Anhang I). Bestandssysteme haben Übergangsfristen.

Praktisch jedes Unternehmen, das KI einsetzt – auch über Standard-Software. Wer einen E-Mail-Assistenten, einen Chatbot auf der Website, ein KI-gestütztes Buchhaltungs-Tool, eine Bewerber-Vorauswahl per KI, ein Übersetzungs-Tool oder ein lokales Sprachmodell nutzt, ist nach Art. 3 als Betreiber im Sinne der Verordnung adressiert. Wer KI-Funktionen in eigene Produkte einbaut, ist zusätzlich Anbieter und trägt deutlich höhere Pflichten. Eine pauschale Kleinunternehmer-Ausnahme gibt es nicht. Auch Kanzleien, Praxen, Handwerksbetriebe, Vereine und Pfarrgemeinden fallen darunter, sobald KI im Spiel ist.

Der Datenschutz-Beauftragte ist gesetzlich in Art. 37–39 DSGVO und §38 BDSG vorgesehen und prüft die Verarbeitung personenbezogener Daten. Der KI-Beauftragte ist im AI Act nicht namentlich als Rolle benannt, ergibt sich aber aus den Pflichten zu Schulung (Art. 4), Risikoklassifizierung (Art. 6), Dokumentation (Art. 11), Aufsicht durch Menschen (Art. 14) und Folgenabschätzung. In der Praxis braucht jedes Unternehmen mit KI-Einsatz eine Person oder eine Stelle, die diese Pflichten organisiert – intern oder extern. Beide Rollen überlappen (jede KI verarbeitet meist Daten), sind aber inhaltlich unterschiedlich: DSGVO schützt Personen, AI Act regelt Systeme. Die Doppelrolle in einer Person ist zulässig, wenn beide Felder fachlich abgedeckt sind.

Sie brauchen jemanden, der die Pflichten organisiert. Ob diese Person formal „KI-Beauftragter" heißt, ist nachrangig. Was Sie konkret brauchen: ein vollständiges Inventar Ihrer eingesetzten KI-Systeme, eine Risiko-Einordnung jedes Systems nach Art. 6, dokumentierte Schulung der Mitarbeiter, einen Ablauf für neue Tools, eine Anlaufstelle für Beschwerden, eine schriftliche Stellungnahme bei Anfragen der Aufsicht. Bei einem Solo-Betrieb mit zwei Browser-KI-Tools ist das in wenigen Stunden im Monat erledigt. Bei einem mittelständischen Unternehmen mit 30 eingesetzten Systemen wird daraus eine Halbtagsstelle. Genau dafür gibt es uns als externe Lösung.

Ab 2. August 2026 greifen die Vorschriften für Hochrisiko-KI-Systeme nach Anhang III: Verfahren in den Bereichen Beschäftigung (Bewerber-Auswahl, Leistungs-Bewertung), Kreditwürdigkeit, Versicherungs-Tarifierung, Strafverfolgung, Migrationskontrolle, kritische Infrastruktur, Bildung. Wer ein solches System einsetzt, muss Konformitätsbewertung, technische Dokumentation, Risiko-Management, Daten-Governance, menschliche Aufsicht, Genauigkeits- und Robustheits-Nachweise vorhalten. Wer ein solches System anbietet, hat noch deutlich mehr Pflichten. Zusätzlich werden ab diesem Datum die Sanktionen voll durchsetzbar: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Millionen oder 3 Prozent bei Verstößen gegen Hochrisiko-Pflichten, bis 7,5 Millionen oder 1 Prozent bei falschen Angaben gegenüber Behörden.

Ein KI-Inventar erfasst pro System mindestens: Bezeichnung des Systems, Anbieter und Hosting-Ort, Modell-Familie und Version, Einsatz-Zweck im Unternehmen, beteiligte Abteilungen, verarbeitete Daten-Arten, Risikoklasse nach Art. 6 AI Act, verantwortliche Person, Datum der letzten Risiko-Bewertung, Datum der Mitarbeiter-Schulung zum System, technische Schutzmaßnahmen, Notfall-Abschaltung, Anbieter-Konformitäts-Erklärung wenn vorhanden, Schnittstellen zu anderen Systemen. Wir führen das Inventar als revisionssichere Tabelle mit Versionshistorie und übergeben es bei Bedarf an die Aufsichtsbehörde, an Auditoren oder an den Datenschutz-Beauftragten.

Der AI Act unterscheidet vier Stufen. Inakzeptabel: verboten nach Art. 5, etwa Social Scoring, Emotions-Erkennung am Arbeitsplatz, biometrische Echtzeit-Fern-Identifikation im öffentlichen Raum. Hoch: nach Anhang III, etwa Bewerber-Auswahl, Kreditwürdigkeits-Prüfung, kritische Infrastruktur – mit umfangreichen Pflichten. Begrenzt: Transparenz-Pflicht nach Art. 50, etwa Chatbots mit menschlich wirkender Kommunikation, KI-generierte Bilder, Deepfakes – Nutzer muss erkennen können, dass KI dahintersteckt. Minimal: alles andere, etwa Spam-Filter, Standard-Übersetzer, Auto-Vervollständigung – weitgehend frei, aber Schulungs-Pflicht nach Art. 4 bleibt. Wir prüfen jedes System Ihrer Liste einzeln und ordnen es nachvollziehbar zu, mit Verweis auf den jeweiligen Anhang-Punkt.

Ein interner KI-Beauftragter als Halbtagsstelle kostet inklusive Lohn-Nebenkosten, Fortbildung, Tool-Lizenzen und Vertretungs-Regelung erfahrungsgemäß zwischen 35.000 und 65.000 Euro pro Jahr. Hinzu kommt die fachliche Qualifikation: Kenntnis des AI Act, der DSGVO, der branchen-spezifischen Vorgaben, der relevanten Normen wie ISO 42001 und ISO 23894. Für Unternehmen unter 80 Mitarbeitern lohnt sich die externe Lösung fast immer. Unsere Begleitung Basis kostet 3.480 Euro pro Jahr, die Plus-Variante 7.080 Euro pro Jahr – jeweils einschließlich Inventar-Pflege, Risiko-Updates und einer dokumentierten Schulung pro Jahr.

Die laufende Begleitung ist monatlich zum Monatsende kündbar, schriftlich per E-Mail oder Post genügt. Es gibt keine Mindest-Laufzeit, keine Bindung über das Erst-Inventar hinaus, keinen Automatik-Verlängerungs-Trick. Bei Beendigung übergeben wir das vollständige Inventar als revisionssichere Datei zur Übernahme durch Sie oder einen Nachfolger. Die Pflicht zur Aufbewahrung der KI-Dokumentation nach Art. 12 und 18 AI Act läuft weiter und liegt nach Beendigung bei Ihnen.

Nein. Wir sind kein bestellter Datenschutz-Beauftragter im Sinne von Art. 37 DSGVO und stellen auch keine schriftliche DSB-Bestellung aus. Für die formelle DSB-Rolle empfehlen wir spezialisierte Anbieter wie activeMind, intersoft consulting, BvD-Mitglieder oder die jeweilige Branchen-Vereinigung. Die KI-Beauftragten-Aufgaben übernehmen wir gerne und arbeiten mit Ihrem bestehenden DSB eng zusammen. Wo sich die Pflichten überschneiden – etwa bei der Folgenabschätzung nach Art. 35 DSGVO zugleich mit den Risiko-Pflichten nach Art. 9 AI Act – stimmen wir die Dokumentation mit dem DSB ab, damit doppelte Arbeit vermieden wird.

Wir übernehmen die Bearbeitung. Konkret: Wir prüfen die Anfrage auf Zuständigkeit und Frist, holen die relevanten Inventar-Auszüge, formulieren eine fachlich saubere Stellungnahme, lassen Sie diese vor Versand prüfen und versenden sie fristwahrend. Die Bundesnetzagentur ist nach dem deutschen AI-Act-Durchführungsgesetz federführende Aufsicht für die meisten KI-Systeme; für Hochrisiko-Anwendungen im Finanzbereich die BaFin, im Gesundheitsbereich das BfArM, im Datenschutz-Bereich die jeweilige Landes-Datenschutzbehörde. Wir kennen die Zuständigkeits-Matrix und sortieren Anfragen entsprechend ein.

Art. 4 AI Act verlangt, dass Personen, die KI-Systeme betreiben oder nutzen, über ausreichende KI-Kompetenz verfügen – angemessen zur jeweiligen Funktion. Das umfasst: Grundverständnis von KI (Was ist ein Sprachmodell, was kann es nicht), Erkennen von Halluzinationen und Bias, sicherer Umgang mit vertraulichen Daten, Kennzeichnungs-Pflicht bei KI-generierten Inhalten nach Art. 50, Eskalations-Wege bei Auffälligkeiten, branchen-spezifische Risiken (etwa bei medizinischer KI: Verantwortung bleibt beim Arzt). Wir liefern dokumentierte Schulungs-Materialien als PDF mit Wissens-Test, jährliche Auffrischung, Schulungs-Nachweis-Liste mit Datum und Unterschrift. Die Materialien werden auf Ihren Unternehmens-Kontext angepasst.