Wer ist im Unternehmen für die KI-Regulierung verantwortlich?

In einem Unternehmen liegt die Gesamtverantwortung für die KI-Regulierung in erster Linie beim Management, da der EU AI Act das leitende Organ verpflichtet, bestehende Governance-Strukturen an KI-spezifische Anforderungen anzupassen. In der Praxis verteilt sich diese Verantwortung jedoch auf mehrere Rollen: von Compliance-Teams und IT-Verantwortlichen bis hin zu einem dedizierten KI-Beauftragten. Die folgenden Fragen klären, wie diese Verantwortlichkeiten konkret aussehen und welche Qualifikationen dafür erforderlich sind.

Welche Rollen und Pflichten legt der EU AI Act in einem Unternehmen fest?

Der EU AI Act unterscheidet grundlegend zwischen zwei Akteuren: Anbietern und Betreibern von KI-Systemen. Anbieter sind Unternehmen, die KI entwickeln und unter eigenem Namen auf den Markt bringen. Betreiber sind all jene, die KI-Systeme beruflich einsetzen oder von Mitarbeitenden einsetzen lassen. Für beide Rollen gelten unterschiedliche, aber verbindliche Pflichten.

Zu den zentralen Pflichten, die der EU AI Act Unternehmen auferlegt, gehören:

KI-Kompetenzanforderung (Art. 4 AI Act): Alle Betreiber müssen sicherstellen, dass die Personen, die mit KI arbeiten, über ausreichendes Wissen verfügen. Diese Pflicht gilt unabhängig vom Risikoniveau des eingesetzten Systems.
Risikomanagement: Anbieter von Hochrisiko-KI-Systemen müssen ein vollständiges Risikomanagementsystem einrichten und dokumentieren.
Transparenz: Gegenüber Nutzenden und nachgelagerten Akteuren bestehen klare Informationspflichten, insbesondere wenn KI-generierte Inhalte oder automatisierte Entscheidungen im Spiel sind.
Registrierungspflicht: Betreiber von Hochrisiko-KI-Systemen am Arbeitsplatz müssen diese in einer EU-Datenbank registrieren.
Grundrechte-Folgenabschätzung: Öffentliche oder private Stellen, die öffentliche Dienstleistungen erbringen, müssen eine Grundrechte-Folgenabschätzung durchführen.

Wichtig zu wissen: Ab dem 2. August 2025 gelten die Transparenzpflichten und die KI-Kompetenzanforderung in vollem Umfang. Alle weiteren Pflichten für Hochrisiko-KI-Systeme treten gestaffelt bis 2027 bzw. 2028 in Kraft. Unternehmen, die jetzt handeln, sind deutlich besser aufgestellt als jene, die bis zur letzten Frist warten.

Wer trägt die rechtliche Verantwortung für Hochrisiko-KI-Systeme?

Bei Hochrisiko-KI-Systemen liegt die rechtliche Verantwortung in erster Linie beim Betreiber — also dem Unternehmen, das das System einsetzt. Das Management ist verpflichtet, geeignete Governance-Strukturen einzurichten und deren Einhaltung sicherzustellen. Verstöße können mit Bußgeldern von bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Die Verantwortungskette ist mehrschichtig aufgebaut. Das leitende Organ — also Vorstand oder Geschäftsführung — muss prüfen, ob die bestehenden Governance-Mechanismen für den KI-Einsatz ausreichend sind oder angepasst werden müssen. Konkret bedeutet das:

Überprüfung und ggf. Anpassung der unternehmenseigenen Risikobereitschaft
Aufbau einer Governance-Struktur zur Steuerung von KI-Entscheidungen
Sicherstellung der Compliance beim KI-Einsatz auf Unternehmensebene
Festlegung von Unternehmenskultur und -werten in Bezug auf KI

Ein häufig übersehener Punkt: Wenn ein Betreiber seine Rolle wechselt — etwa indem er ein KI-System unter eigenem Namen weitervertreibt oder dessen Funktionalität wesentlich verändert — wird er rechtlich zum Anbieter. Die damit verbundenen Pflichten sind erheblich umfangreicher und umfassen unter anderem technische Dokumentation, Konformitätsbewertungen und die Zusammenarbeit mit Behörden.

Brauchen Unternehmen einen dedizierten KI-Beauftragten?

Der EU AI Act schreibt die Bestellung eines KI-Beauftragten nicht vor, anders als die DSGVO die Benennung eines Datenschutzbeauftragten verlangt. Dennoch ist die Einrichtung einer solchen Rolle dringend empfohlen, sobald ein Unternehmen KI-Systeme in relevanten Prozessen einsetzt — insbesondere wenn Hochrisikoanwendungen betroffen sind.

Die Norm ISO 42001, der internationale Standard für KI-Managementsysteme, geht noch weiter. Sie verlangt, dass Rollen und Verantwortlichkeiten für KI klar definiert und entsprechend den Bedürfnissen der Organisation zugewiesen werden. Dazu gehört auch die Einrichtung eines Prozesses, der es Mitarbeitenden ermöglicht, Bedenken zum KI-Einsatz über den gesamten Systemlebenszyklus hinweg zu melden.

In der Praxis übernimmt ein KI-Beauftragter typischerweise folgende Aufgaben:

Überwachung der Einhaltung der KI-Regulierung im Unternehmen
Koordination zwischen IT, Recht, Compliance und Fachabteilungen
Pflege und Aktualisierung von KI-Richtlinien und dem Risikoregister
Kommunikation mit Aufsichtsbehörden und internen Gremien
Schulung und Sensibilisierung der Belegschaft

Ob diese Funktion als eigenständige Stelle oder als Zusatzaufgabe innerhalb einer bestehenden Rolle ausgestaltet wird, hängt von der Unternehmensgröße und der KI-Intensität der Prozesse ab. Entscheidend ist, dass die Verantwortung klar zugewiesen ist und nicht in einem Vakuum der Zuständigkeit verbleibt.

Wie sollte KI-Verantwortung sinnvoll auf Abteilungen verteilt werden?

KI-Governance funktioniert nicht als Einzelaufgabe — sie ist Teamarbeit. Eine sinnvolle Verteilung der KI-Verantwortung im Unternehmen orientiert sich an bestehenden Zuständigkeitsbereichen und ergänzt diese um KI-spezifische Aufgaben. Bestimmte typische Verantwortungsbereiche haben sich in der Praxis bewährt.

Primäre Verantwortlichkeiten nach Funktion

Das Management trägt die Gesamtverantwortung und legt die KI-Strategie sowie die Risikobereitschaft fest. Das Compliance- und Risikoteam überwacht die Einhaltung der KI-Regulierung und pflegt das Risikomanagementsystem. Die IT-Abteilung ist für die technische Umsetzung, Sicherheit und Dokumentation der eingesetzten Systeme verantwortlich. HR ist zuständig für den Nachweis der Mitarbeiterkompetenz und die Einhaltung arbeitsrechtlicher Pflichten beim KI-Einsatz am Arbeitsplatz.

Sekundäre Rollen und Aufsicht

Darüber hinaus spielen Aufsichtsgremien, externe Fachberatende und Prüfende eine wichtige Rolle. Sie überprüfen, ob die eingerichteten Governance-Strukturen tatsächlich funktionieren, und liefern unabhängige Einschätzungen zur Compliance-Reife des Unternehmens. Insbesondere im Rahmen der AIMS-Zertifizierung nach ISO 42001 sind externe Prüfende ein integraler Bestandteil des Prozesses.

Entscheidend für den Erfolg ist ein klarer Eskalationspfad: Wer meldet Bedenken an wen? Wer entscheidet, wenn es Konflikte zwischen Effizienz und Compliance gibt? Diese Fragen sollten schriftlich in einer KI-Richtlinie festgehalten werden, die in regelmäßigen Abständen auf ihre Aktualität hin überprüft wird.

Welche Qualifikationen brauchen KI-Beauftragte in einem Unternehmen?

KI-Beauftragte in einem Unternehmen benötigen ein breites Kompetenzprofil, das ein grundlegendes Technologieverständnis, rechtliches Wissen und organisatorische Fähigkeiten vereint. Der EU AI Act verlangt ausdrücklich, dass Betreiber sicherstellen, dass die am KI-Einsatz beteiligten Personen über ausreichende KI-Kompetenz verfügen. Das gilt nicht nur für IT-Fachleute, sondern für alle Rollen entlang der Governance-Kette.

Konkret sollten KI-Beauftragte folgende Kenntnisse mitbringen oder aufbauen:

Rechtliche Grundlagen: Verständnis der EU KI-Verordnung, des Datenschutzrechts (DSGVO), des Haftungsrechts und des Arbeitsrechts im KI-Kontext
KI-Governance und Risikomanagement: Kenntnisse der ISO 42001 sowie der Norm ISO/IEC 23894 für KI-Risikomanagement
Technisches Grundwissen: Grundlegendes Verständnis von KI-Systemen, ihrer Klassifizierung und potenzieller Sicherheitsrisiken gemäß ISO/IEC 27090
Compliance-Prozesse: Fähigkeit zur Erstellung und Pflege von Dokumentationen, Risikoregistern und Grundrechte-Folgenabschätzungen
Kommunikation und Schulung: Kompetenz, Anforderungen klar innerhalb der Organisation zu vermitteln und das Bewusstsein der Mitarbeitenden zu schärfen

Die gute Nachricht: Diese Qualifikationen lassen sich gezielt aufbauen. Anerkannte Zertifizierungen — etwa als AI Manager oder AI Compliance Officer — vermitteln das strukturierte Wissen, das für die Umsetzung der EU KI-Verordnung im Tagesgeschäft erforderlich ist.

Wie mITSM dich bei der KI-Regulierung in deinem Unternehmen unterstützt

Wir bei mITSM bieten spezialisierte Schulungen und Zertifizierungen an, die Fach- und Führungskräfte gezielt auf die Anforderungen der EU KI-Verordnung und der ISO 42001 vorbereiten. Unsere Trainer sind zertifizierte Experten, die KI-Governance und KI-Compliance aus der Praxis kennen und dieses Wissen direkt weitergeben.

Unser Angebot umfasst unter anderem:

Zertifizierungslehrgänge für AI Manager und AI Compliance Officer mit persönlichen Zertifizierungen über ICO-Cert als anerkanntem Zertifizierungspartner für KI-Themen
Kurse zur ISO 42001, dem internationalen Standard für KI-Managementsysteme, verfügbar als Präsenztraining, Online-Live-Training oder E-Learning
Inhouse-Schulungen, bei denen unsere Trainer direkt zu dir ins Unternehmen kommen
Schulungen zu KI-Risikomanagement, KI-Governance und den rechtlichen Grundlagen des EU AI Act

Alle Kurse sind darauf ausgelegt, Wissen praxisnah zu vermitteln, sodass die Teilnehmenden die Inhalte direkt in ihrer Organisation anwenden und als Multiplikatoren weitergeben können. Informiere dich jetzt über unser Schulungsangebot zu KI und Compliance und starte deine KI-Regulierungsreise mit der richtigen Qualifikation.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.