Im Unternehmen trägt in erster Linie die Geschäftsführung die Gesamtverantwortung für die KI-Regulierung, denn sie ist laut EU AI Act als Leitungsorgan verpflichtet, bestehende Governance-Strukturen an KI-spezifische Anforderungen anzupassen. In der Praxis wird diese Verantwortung jedoch auf mehrere Rollen verteilt: von Compliance-Teams über IT-Verantwortliche bis hin zu einem dedizierten KI-Beauftragten. Die folgenden Fragen klären, wie diese Zuständigkeiten im Unternehmen konkret aussehen und welche Qualifikationen dabei gefragt sind.
Der EU AI Act unterscheidet grundlegend zwischen zwei Akteuren: Anbietern und Betreibern von KI-Systemen. Anbieter sind Unternehmen, die KI entwickeln und in eigenem Namen in Verkehr bringen. Betreiber sind alle, die KI-Systeme beruflich einsetzen oder von Mitarbeitenden einsetzen lassen. Für beide Rollen gelten unterschiedliche, aber verbindliche Pflichten.
Zu den zentralen Pflichten, die der EU AI Act Unternehmen auferlegt, gehören:
Wichtig zu wissen: Seit dem 2. August 2025 gelten die Transparenzpflichten sowie die Pflicht zum KI-Kompetenznachweis vollumfänglich. Alle weiteren Pflichten für Hochrisiko-KI-Systeme greifen gestaffelt bis 2027 beziehungsweise 2028. Unternehmen, die jetzt handeln, sind deutlich besser aufgestellt als solche, die bis zur letzten Frist warten.
Bei Hochrisiko-KI-Systemen liegt die rechtliche Verantwortung primär beim Betreiber, also bei dem Unternehmen, das das System einsetzt. Die Geschäftsführung steht dabei in der Pflicht, geeignete Governance-Strukturen einzurichten und deren Einhaltung sicherzustellen. Bei Verstößen drohen Bußgelder von bis zu 7 Prozent des weltweiten Jahresumsatzes.
Die Verantwortungskette ist dabei mehrschichtig aufgebaut. Das Leitungsorgan, also Vorstand oder Geschäftsführung, muss evaluieren, ob bestehende Governance-Mechanismen für den KI-Einsatz ausreichen oder angepasst werden müssen. Konkret bedeutet das:
Ein häufig übersehener Punkt: Wechselt ein Betreiber die Rolle, etwa weil er ein KI-System unter eigenem Namen weitervertreibt oder wesentliche Änderungen an der Funktionalität vornimmt, wird er rechtlich zum Anbieter. Die damit verbundenen Pflichten sind deutlich umfangreicher und schließen unter anderem technische Dokumentation, Konformitätsbewertungen und die Zusammenarbeit mit Behörden ein.
Der EU AI Act schreibt keine Pflicht zur Benennung eines KI-Beauftragten vor, anders als etwa die DSGVO beim Datenschutzbeauftragten. Dennoch empfiehlt sich die Einrichtung einer solchen Rolle dringend, sobald ein Unternehmen KI-Systeme in relevanten Prozessen einsetzt, insbesondere wenn Hochrisiko-Anwendungen betroffen sind.
Die Norm ISO 42001, der internationale Standard für KI-Managementsysteme, geht hier weiter. Sie fordert, dass Rollen und Zuständigkeiten für KI entsprechend den Bedürfnissen der Organisation klar festgelegt und zugewiesen werden. Dazu gehört auch die Einrichtung eines Verfahrens, das es Mitarbeitenden ermöglicht, Bedenken hinsichtlich des KI-Einsatzes während des gesamten Systemlebenszyklus zu melden.
In der Praxis übernimmt ein KI-Beauftragter typischerweise folgende Aufgaben:
Ob diese Funktion als eigenständige Stelle oder als Zusatzaufgabe einer vorhandenen Rolle ausgestaltet wird, hängt von der Unternehmensgröße und der KI-Intensität der Prozesse ab. Entscheidend ist, dass die Verantwortung klar zugewiesen ist und nicht in einem Zuständigkeitsvakuum verbleibt.
KI-Governance funktioniert nicht als Einzelperson, sondern als Teamaufgabe. Eine sinnvolle Verteilung der KI-Verantwortung im Unternehmen orientiert sich an bestehenden Zuständigkeiten und ergänzt diese um KI-spezifische Aufgaben. Dabei gibt es typische Zuständigkeitsbereiche, die sich in der Praxis bewährt haben.
Die Geschäftsführung trägt die Gesamtverantwortung und legt die KI-Strategie sowie die Risikobereitschaft fest. Das Compliance- und Risikoteam überwacht die Einhaltung der KI-Verordnung und pflegt das Risikomanagementsystem. Die IT-Abteilung verantwortet die technische Implementierung, Sicherheit und Dokumentation der eingesetzten Systeme. HR ist zuständig für den Kompetenznachweis der Mitarbeitenden sowie für die Einhaltung arbeitsrechtlicher Pflichten beim KI-Einsatz am Arbeitsplatz.
Ergänzend dazu spielen Aufsichtsgremien, externe Fachberater und Auditoren eine wichtige Rolle. Sie überprüfen, ob die eingerichteten Governance-Strukturen tatsächlich funktionieren, und geben unabhängige Einschätzungen zur Compliance-Reife des Unternehmens. Gerade bei der KIMS-Zertifizierung nach ISO 42001 sind externe Auditoren ein fester Bestandteil des Prozesses.
Entscheidend für das Gelingen ist ein klarer Eskalationsweg: Wer meldet Bedenken an wen? Wer entscheidet bei Zielkonflikten zwischen Effizienz und Compliance? Diese Fragen sollten in einer KI-Richtlinie schriftlich geregelt sein, die in regelmäßigen Abständen auf ihre Aktualität geprüft wird.
KI-Verantwortliche im Unternehmen benötigen ein breites Kompetenzprofil, das technisches Grundverständnis, rechtliches Wissen und organisatorische Fähigkeiten verbindet. Der EU AI Act verlangt ausdrücklich, dass Betreiber sicherstellen, dass die mit KI befassten Personen über ausreichende KI-Kompetenz verfügen. Das betrifft nicht nur IT-Fachkräfte, sondern alle Rollen entlang der Governance-Kette.
Konkret sollten KI-Verantwortliche folgende Kenntnisse mitbringen oder aufbauen:
Die gute Nachricht: Diese Qualifikationen lassen sich gezielt aufbauen. Anerkannte Zertifizierungen, etwa als KI-Manager oder KI-Compliance Beauftragter, liefern das strukturierte Wissen, das für die Umsetzung der EU KI-Verordnung im Unternehmensalltag notwendig ist.
Wir bei mITSM bieten spezialisierte Trainings und Zertifizierungen, die Fach- und Führungskräfte gezielt auf die Anforderungen der EU KI-Verordnung und der ISO 42001 vorbereiten. Unsere Trainer sind zertifizierte Experten, die KI-Governance und KI-Compliance aus der Praxis kennen und dieses Wissen direkt vermitteln.
Unser Angebot umfasst unter anderem:
Alle Kurse sind darauf ausgelegt, das Wissen praxisnah zu vermitteln, sodass Teilnehmende die Inhalte direkt in ihrer Organisation anwenden und als Multiplikatoren weitergeben können. Informiere dich jetzt über unser Schulungsangebot zu KI und Compliance und starte mit der richtigen Qualifikation in die KI-Regulierung.
Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.