KI-Beauftragter: Rolle, Aufgaben und Verankerung im Unternehmen

Ein KI-Beauftragter (AI Officer, teils KI-Verantwortlicher oder AIMS Manager genannt) ist die Person, die das KI-Managementsystem (KIMS) nach ISO/IEC 42001 operativ verantwortet und steuert. ISO/IEC 42001 schreibt diesen Titel nicht zwingend vor, verlangt aber in Clause 5.3 die explizite Zuweisung KI-relevanter Rollen, Verantwortlichkeiten und Berichtslinien. In der Praxis wird die bündelnde Rolle deshalb fast immer eingerichtet, weil ein Managementsystem eine end-to-end verantwortliche Person braucht.

• Was: Zentrale Steuerungsrolle für das KI-Managementsystem - Inventar, Risiko, Compliance, Kompetenz.
• Pflicht? Kein vorgeschriebener Titel, aber zugewiesene KI-Verantwortlichkeiten sind nach ISO 42001 Clause 5.3 verpflichtend.
• Abgrenzung: Nicht identisch mit dem Datenschutzbeauftragten - die Rollen überschneiden sich beim Impact Assessment, ersetzen sich aber nicht.

Warum es die Rolle braucht

ISO/IEC 42001:2023 ist die erste zertifizierbare Managementsystem-Norm für Künstliche Intelligenz. Sie folgt der Annex-SL-Struktur (wie ISO 27001 oder ISO 9001) und verlangt in Clause 5.3 ausdrücklich, dass die oberste Leitung KI-relevante Rollen und Berichtslinien zuweist. Die Norm nennt bewusst keinen festen Titel. In mittelständischen DACH-Organisationen wird die Funktion daher häufig mit dem CISO oder dem Datenschutzbeauftragten kombiniert, in Konzernen oft mit CISO oder CDO - jeweils mit expliziter Verankerung gegenüber der Geschäftsführung oder einem Board-AI-Committee.

Der praktische Grund für eine klar benannte Rolle: Bei einem ISO-42001-Audit befragen Auditoren den AI Officer als denjenigen mit end-to-end-Wissen über das KIMS - neben der obersten Leitung, den System- bzw. Agenten-Verantwortlichen, Data Stewards, CISO, DSB und dem Einkauf. Ohne eine solche Rolle zerfällt die Verantwortung, und typische Audit-Findings (veraltetes KI-Inventar, nicht gepflegte Statement of Applicability, fehlende Kompetenznachweise) entstehen fast zwangsläufig.

Die Kernaufgaben des KI-Beauftragten

Die Aufgaben des AI Officers leiten sich direkt aus den normativen Klauseln und den Annex-A-Kontrollen von ISO 42001 ab. Die folgende Tabelle ordnet jede Aufgabe dem zugehörigen Normbezug zu.

Drei Aufgaben sind erfahrungsgemäß die häufigsten Schwachstellen in Audits: das KI-Inventar (neue Agenten sind oft nicht registriert), das Impact Assessment (besonders bei kundenseitigen oder HR-/Kredit-Agenten zu flach) und die Kompetenznachweise nach Clause 7.2 - vor allem die AI-Literacy über die technischen Teams hinaus.

AI-Literacy: die unterschätzte Pflicht

Clause 7.2 (Kompetenz) verlangt dokumentierte Kompetenznachweise für alle Personen mit KI-relevanten Aufgaben, Clause 7.3 die entsprechende Awareness. Verstärkt wird das durch EU AI Act Art. 4, der eine KI-Kompetenzpflicht (AI Literacy) statuiert. Der KI-Beauftragte ist hier Treiber: Er definiert den Schulungsplan, führt die Nachweise und sorgt dafür, dass nicht nur die Entwickler, sondern auch die Reviewer und Nutzer von KI-Outputs geschult sind. Im ISO-42001-Mapping wird Art. 4 explizit Clause 7.2 (Kompetenz) und Clause 7.3 (Awareness) zugeordnet.

Abgrenzung zum Datenschutzbeauftragten

Die häufigste Verwechslung im DACH-Raum betrifft das Verhältnis zum Datenschutzbeauftragten. Beide Rollen sind notwendig, aber nicht deckungsgleich.

Die Schnittmenge liegt beim Impact Assessment. Die Research empfiehlt für DACH-Deployer ein einziges, gut strukturiertes AISIA-Template, das DSFA-spezifische und FRIA-spezifische Unterabschnitte auslöst, wenn sie anwendbar sind. Dieses Vorgehen erfordert aber juristische Freigabe, weil die DSFA einen eigenen Inhaltskatalog (DSGVO Art. 35 Abs. 7) und die FRIA (EU AI Act Art. 27) einen eigenen Katalog hat. Eine Personalunion von KI-Beauftragtem und DSB ist im Mittelstand zulässig, sofern keine Interessenkonflikte entstehen und die Unabhängigkeit der internen Audit-Funktion (Clause 9.2) gewahrt bleibt.

Qualifikation und Verankerung

Die fachliche Eignung leitet sich aus Clause 7.2 ab: Verständnis der ISO-42001-Anforderungen, technische KI-Literacy, Auditmethodik (ISO 19011 als Referenz) und Kenntnis der regulatorischen Lage. Die Norm verlangt keine bestimmte Zertifizierung, aber dokumentierte Kompetenz.

Bei der organisatorischen Verankerung zeigen sich zwei typische Muster aus der Research:

• DACH-Mittelstand (500-2.000 Mitarbeitende): Der AI Officer wird häufig mit dem CISO oder dem ISO-27001-ISMS-Manager kombiniert, stützt sich stark auf bestehende Infrastruktur (IT-Sicherheit, DSGVO-Programm, Lieferantenmanagement) und arbeitet mit einer schlanken Policy plus fünf bis sieben unterstützenden Verfahren.
• DACH-Konzern (ab 2.000 Mitarbeitende): Der AI Officer wird oft mit CISO oder CDO kombiniert, hat aber eine explizite Berichtslinie an ein Board-AI-Committee. Das KI-Risikoregister wird ins Enterprise-Risk-Management integriert.

Die normative Verankerung selbst steckt in Annex A.3.2 (Zuweisung von Rollen und Verantwortlichkeiten, Funktionstrennung) und A.3.3 (Meldekanal für KI-bezogene ethische Bedenken). Der AI Officer ist damit auch Anlaufstelle für Whistleblowing zu KI-Themen.

Wann die Rolle notwendig wird

ISO 42001 gilt für jede Organisation, die KI entwickelt, bereitstellt oder nutzt. Praktisch wird ein KI-Beauftragter notwendig, sobald:

• mehrere KI-Use-Cases produktiv laufen (im Mittelstand typisch 3-10 aktive Use-Cases),
• KI personenbezogene oder geschäftskritische Entscheidungen beeinflusst (kundenseitige, HR-, Kredit- oder Allokations-Agenten lösen Impact Assessments und Logging-Pflichten nach A.6.2.8 aus),
• Kunden oder RFPs eine auditierbare KI-Governance verlangen - DAX/SMI/ATX-Kunden fordern ISO 42001 zunehmend in Ausschreibungen,
• oder eine ISO-42001-Zertifizierung angestrebt wird.

Praxisbeispiel: KI-Beauftragter in einem 800-Personen-Deployer

Ein DACH-Mittelständler mit rund 800 Mitarbeitenden betreibt fünf KI-Agenten: Kundenservice, Wissensassistent, Sales-Copilot, interne Suche und einen HR-Dokumenten-Agenten. Die Geschäftsführung benennt den bestehenden CISO zusätzlich zum KI-Beauftragten. Sein erstes Projekt - das KI-Inventar (A.4.2) - listet pro Agent Zweck, Owner, Modell und Risikoklasse. Drei messbare KI-Ziele (Clause 6.2) werden gesetzt:

```
Coverage: 100% der produktiven Agenten registriert und
innerhalb 14 Tagen nach Go-Live risikoklassifiziert
Kompetenz: 100% Attestierung der jaehrlichen AI-Literacy-Schulung
(Clause 7.2 + EU AI Act Art. 4)
Transparenz: 100% der High-Risk-Agenten mit aktuellem Model Card
und Nutzungshinweis bis Q3
```

Bei einem Gesamtbudget von rund EUR 100.000 (Stand 2026, typisch für einen Mittelstands-Deployer im Bereich EUR 50.000-150.000) entfällt der größte Anteil auf Policy-/Prozessaufbau und die operative Annex-A-Umsetzung; die externen Audit-Gebühren machen etwa 15 Prozent aus. Der Zeitrahmen bis zum Zertifikat liegt bei 9-12 Monaten. Der KI-Beauftragte koordiniert dabei DSB (Impact Assessment), MLOps-Lead (Logging) und Einkauf (Lieferanten-Due-Diligence).

Dezenter Rechtshinweis

Dieser Beitrag dient der fachlichen Orientierung und stellt keine Rechtsberatung dar. Konkrete Pflichten - etwa zu DSFA-Inhalten nach DSGVO Art. 35, zur FRIA nach EU AI Act Art. 27 oder zur Personalunion von Rollen - sind im Einzelfall mit qualifizierten Rechts- und Datenschutzexperten zu klären.

Für Agenturen und B2B-Entscheider

Wer als Agentur KI-Workflows für Kunden betreibt oder als B2B-Unternehmen mehrere Agenten produktiv hat, sollte die Rolle des KI-Beauftragten frühzeitig benennen - auch ohne sofortige Zertifizierungsabsicht. Ein gepflegtes KI-Inventar, klare Risikoeinstufung und dokumentierte AI-Literacy sind die Grundlage, um in RFPs von Konzernkunden zu bestehen, denn das ISO-42001-Zertifikat ersetzt zunehmend Teile der Lieferanten-Fragebögen. Blck Alpaca unterstützt DACH-Unternehmen beim Aufbau einer auditierbaren KI-Governance - von der Rollendefinition über das KI-Inventar bis zur ISO-42001-Vorbereitung.