KI-Beauftragter: Pflicht nach KI-Verordnung oder nicht? Rollen in Firmen mit 20 bis 500

Verlangt die KI-Verordnung einen KI-Beauftragten?

Nein. Die KI-Verordnung der EU nennt keinen KI-Beauftragten, und die Fragen und Antworten der Europäischen Kommission zur KI-Kompetenz halten fest, dass für Artikel 4 keine bestimmte Governance-Struktur vorgeschrieben ist; das Gesetz verlangt stattdessen Pflichten, vor allem Maßnahmen zur KI-Kompetenz der Beschäftigten und bei manchen Verwendungen Transparenz gegenüber den Menschen, mit denen die KI spricht. Ein Unternehmen mit eigenem KI-Assistenten braucht trotzdem jemanden, der dafür einsteht; sonst entscheidet niemand, welche Dokumente er lesen darf, wer ihn nutzt und was bei einer falschen Antwort passiert.

Dieser Leitfaden richtet sich an Inhaber und Geschäftsführung eines Unternehmens mit 20 bis 500 Beschäftigten, das einen internen Assistenten auf einem eigenen Server plant, und an die Leitung von Büro, Qualität oder IT, die ihn am Ende betreuen wird. Er trennt, was das EU-Recht verlangt, von dem, was sich in der Praxis bewährt, und beschreibt eine kleine Zahl von Rollen mit ihren monatlichen Aufgaben. Er gibt allgemeine Informationen zum EU-Recht mit Stand Oktober 2026; Ihre Rechtsberatung und Ihr Datenschutz­beauftragter bestätigen, wie es für Sie gilt.

Was die KI-Verordnung von einem KMU mit eigener KI verlangt

Ein Unternehmen, das ein KI-System „in eigener Verantwortung“ verwendet, ist nach Artikel 3 Nummer 4 der KI-Verordnung Betreiber. Wer einen eigenen Assistenten zusammenstellt und im Haus nutzt, kann zugleich dessen Anbieter sein, weil die Inbetriebnahme auch die erste Verwendung für eigene Zwecke umfasst; unser Leitfaden zur KI-Verordnung für Unternehmen mit eigenen LLMs erklärt beide Rollen. Für einen Assistenten, der Texte entwirft, zusammenfasst und Fragen an Firmendokumente beantwortet, sind die Pflichten überschaubar.

Verordnung (EU) 2024/1689, Artikel 3, 4, 5, 26, 50 und 113 in der konsolidierten Fassung vom 27. Juli 2026, AI Act Service Desk der Europäischen Kommission; Verordnung (EU) 2026/1744 auf eur-lex.europa.eu; gelesen am 25. Oktober 2026.

Artikel 4. Seit dem Inkrafttreten des Digital-Omnibus zur KI, der Verordnung (EU) 2026/1744, am 27. Juli 2026 ergreifen Anbieter und Betreiber Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen fördern, die in ihrem Auftrag KI-Systeme betreiben oder nutzen, unter Berücksichtigung von Kenntnissen, Erfahrung und Einsatzkontext. Der geänderte Text stellt klar, dass die Pflicht kein bestimmtes Niveau an KI-Kompetenz bei einzelnen Personen verlangt, und dass Kommission und Mitgliedstaaten diese Anstrengungen unterstützen, insbesondere bei KMU. Die Fragen und Antworten der Kommission nennen vier Mindestschritte: ein allgemeines Verständnis von KI in der Organisation, ein Blick auf die eigene Rolle als Anbieter oder Betreiber, ein Blick auf die Risiken der bereitgestellten oder eingesetzten Systeme und darauf aufbauende Maßnahmen, die technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Beschäftigten berücksichtigen. Ein Zertifikat ist danach nicht nötig, und Organisationen können eine interne Aufzeichnung über Schulungen und andere Maßnahmen führen. Die nationalen Markt­überwachungs­behörden überwachen und vollziehen die Regeln ab dem 2. August 2026. Unser Leitfaden zur KI-Kompetenz-Schulung nach Artikel 4 gibt Schulungsinhalte nach Rolle.

Artikel 50. Anbieter gestalten Systeme, die direkt mit Menschen interagieren, so, dass diese erfahren, dass sie mit einem KI-System interagieren, außer es ist offensichtlich, und die Information erreicht sie spätestens bei der ersten Interaktion. Für einen internen Assistenten erledigt eine klare Kennzeichnung als KI in seiner Oberfläche den praktischen Teil.

Artikel 26. Die Aufsicht durch natürliche Personen mit der nötigen Kompetenz, Ausbildung und Befugnis ist eine Pflicht der Betreiber von Hochrisiko-Systemen. Hochrisiko wird ein Assistent durch seinen Zweck: Anhang III nennt unter anderem das Filtern von Bewerbungen sowie die Überwachung und Bewertung der Leistung von Beschäftigten. Nach dem geänderten Artikel 113 gelten für diese Verwendungen die Hochrisiko-Regeln ab dem 2. Dezember 2027. Ein kleines Unternehmen, das seinen Assistenten auf Entwürfe und Suche beschränkt, braucht keine Hochrisiko-Aufsicht. Es braucht aber jemanden, der bemerkt, wenn eine Abteilung den Assistenten für einen solchen Zweck nutzen will.

Für die Geschäftsführung lässt sich das kurz zusammenfassen. Das Gesetz verlangt Maßnahmen zur KI-Kompetenz, eine Aufzeichnung darüber und Transparenz, aber keine Stellenbezeichnung. Die Rollen unten sorgen dafür, dass diese Pflichten im Alltag erfüllt werden.

Der Datenschutz­beauftragte ist eine andere Rolle

Häufig wird die KI-Frage mit dem Datenschutz­beauftragten verwechselt, einer Rolle nach der DSGVO. Artikel 37 Absatz 1 verlangt einen Datenschutz­beauftragten, wenn eine Behörde oder öffentliche Stelle die Daten verarbeitet, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen besteht oder wenn sie in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht. Artikel 37 Absatz 4 ergänzt, dass ein Unternehmen freiwillig einen benennen kann und einen benennen muss, wenn Unionsrecht oder das Recht eines Mitgliedstaats es vorschreibt; nationales Recht kann die Fälle also erweitern, und Ihre Rechtsberatung bestätigt, welche gelten. Der Datenschutz­beauftragte kann Beschäftigter sein oder auf Grundlage eines Dienstleistungsvertrags arbeiten (Artikel 37 Absatz 6).

Für ein KI-Projekt zählen zwei Regeln. Der Datenschutz­beauftragte erhält bei der Erfüllung seiner Aufgaben keine Anweisungen (Artikel 38 Absatz 3), und andere Aufgaben darf er nur übernehmen, wenn sie nicht zu einem Interessenkonflikt führen (Artikel 38 Absatz 6). Ein Datenschutz­beauftragter, der auch entscheidet, was der Assistent liest und wie lange Protokolle bleiben, würde zu seinen eigenen Entscheidungen beraten. In einem kleinen Unternehmen ist er daher ein guter Berater des KI-Projekts und eine schlechte Wahl als dessen Verantwortlicher. Sein Teil sind die Datenschutz-Folgenabschätzung, Speicherfristen und Fragen zu Beschäftigtendaten, wie in unserem Leitfaden zur DSFA für ein internes LLM.

Fünf Rollen für eine interne KI im Unternehmen mit 20 bis 500

Jede Rolle ist ein Bündel von Aufgaben, das vorhandene Beschäftigte übernehmen; neue Stellen sind nicht nötig. In einem Betrieb mit 30 Personen können zwei Personen alle fünf übernehmen; bei 400 Personen hat jede Rolle einen Namen und eine Vertretung.

Unsere Zusammenfassung. Die KI-Verordnung verlangt keine dieser Bezeichnungen; die Aufgaben folgen aus Artikel 4 und 50 der Verordnung (EU) 2024/1689, die Datenschutzrollen aus Artikel 37 bis 39 der Verordnung (EU) 2016/679.

System­verantwortlicher. Diese Person steht für den Assistenten als Ganzes ein. Sie legt den Zweck in einfachen Worten fest („Entwürfe, Zusammenfassungen und Fragen zu unseren Handbüchern und Verfahrensanweisungen“), entscheidet, welche Abteilungen in welcher Reihenfolge Zugang bekommen, und benennt die Verwendungen, die das Unternehmen ausschließt, etwa die Bewertung individueller Leistung. Sie gibt Änderungen frei, die diese Entscheidungen berühren, zum Beispiel eine Anbindung an das Personalsystem. Wo es eine Arbeitnehmer­vertretung gibt, bereitet sie das Gespräch mit ihr vor, wie unser Beitrag zu Betriebsrat und internem KI-Assistenten beschreibt.

Inhaltsverantwortliche. Der Assistent antwortet aus Dokumenten, und Dokumente haben Verantwortliche. Die Qualitäts­leitung entscheidet, welche Verfahrensanweisungen er nutzen darf, die Vertriebsleitung entscheidet über Preislisten und Angebote, die Personalabteilung entscheidet, dass Personalakten draußen bleiben. Jede inhaltsverantwortliche Person sorgt außerdem dafür, dass veraltete Fassungen entfernt werden, denn der Assistent zitiert, was er findet. Unser Leitfaden dazu, Dokumente für den KI-Assistenten vorzubereiten, behandelt diese Arbeit.

IT-Ansprechpartner. Jemand hält Server, Betriebssystem, Modellsoftware und Chat-Oberfläche aktuell, verwaltet Konten und führt ein kurzes Protokoll der Einstellungen: wer Administratorrechte hat, was protokolliert wird und wie lange. In einem Betrieb ohne eigene IT ist das ein externer Partner mit schriftlich festgelegtem Umfang, wie in unserem Leitfaden zum KI-Server ohne IT-Abteilung.

Datenschutz. Der Datenschutz­beauftragte, oder externe Beratung, wo keiner vorgeschrieben ist, berät zur Folgenabschätzung, zur Speicherdauer von Chats und Protokollen und zu allen Fragen rund um Beschäftigtendaten.

Key-User. Eine erfahrene Person je Abteilung beantwortet erste Fragen, sammelt Beispiele falscher Antworten und hält die kurze Einweisung, die neue Nutzer vor dem Zugang erhalten. Diese Einweisung mit einer Liste der Teilnehmenden ist die interne Aufzeichnung, von der die Fragen und Antworten der Kommission sprechen.

Unser Service Private AI/ML schult die Personen, die die Plattform betreiben werden; beschreiben Sie, wer in Ihrem Unternehmen diese Rollen übernehmen würde, und unser Team antwortet, was Schulung und Plattform abdecken würden.

Was jede Rolle jeden Monat tut

Eine feste monatliche Runde hält den Aufwand klein. Tragen Sie sie in den Kalender jeder Rolle ein.

1. System­verantwortlicher: die Liste gemeldeter falscher Antworten und die Änderungswünsche lesen, über neue Abteilungen oder Anbindungen entscheiden und prüfen, dass die ausgeschlossenen Verwendungen weiter ausgeschlossen sind.
2. Inhaltsverantwortliche: überholte Dokumente aus den Beständen entfernen, die der Assistent liest, neue ergänzen und bestätigen, dass die Zugriffsrechte noch zur Abteilung passen.
3. IT-Ansprechpartner: Updates und Sicherheitskorrekturen für Oberfläche und Modellserver einspielen, Sicherungen und Speicherplatz prüfen, die Nutzerliste mit der Schulungsaufzeichnung abgleichen und jede geänderte Einstellung notieren. Unser Leitfaden zur Härtung von Open WebUI empfiehlt eine monatliche Prüfung der Sicherheitsmeldungen des Projekts.
4. Datenschutz: prüfen, dass Chats und Protokolle fristgerecht gelöscht werden, und die Folgenabschätzung überprüfen, wenn sich Zweck, Daten oder Nutzer geändert haben.
5. Key-User: wiederkehrende Fragen weitergeben, die Einweisung für neue Nutzer halten und sie in die Aufzeichnung aufnehmen.

Einmal im Jahr prüft der Systemverantwortliche die Liste der KI-Systeme, die Schulungsinhalte und die Rolleninhaber und hält das Ergebnis fest. Ein Unternehmen, das den Assistenten in ein oder zwei Abteilungen nutzt, erledigt das in einer Besprechung.

Wie sich die Rollen bei 20, 100 und 500 Beschäftigten verteilen

Unsere Beispielverteilung; die Unternehmens­größen sind Beispiele.

Zum Scheitern neigt eine Lösung, bei der ein einzelner Begeisterter in der IT alles allein verantwortet. Ist diese Person im Urlaub, entscheidet niemand, und die Dokumente, die der Assistent liest, veralten. Trennen Sie die Entscheidungen (System­verantwortlicher, Inhaltsverantwortliche) vom Betrieb (IT-Ansprechpartner), dann übersteht die Rollenverteilung Urlaub und Personalwechsel. Größere Organisationen, die ein zertifizierbares Managementsystem wollen, finden den Weg über ISO/IEC 42001 in unserem Leitfaden zur KI-Governance für eine private LLM-Plattform.

Unser Service Private AI/ML baut die Plattform mit Abfrageprotokoll und Rechteverwaltung und schult Ihr Team für den Betrieb; schicken Sie uns Ihre Unternehmens­größe und die Abteilungen, die den Assistenten nutzen würden, und wir antworten mit einer vorgeschlagenen Aufgabenverteilung und einer Konfiguration.

Der Server, den der IT-Ansprechpartner betreut

Die Arbeit des IT-Ansprechpartners hängt von der Hardware ab. Ein eigener Server hält Eingaben, Dokumente und Protokolle in Ihrem Netz oder in einem EU-Rechenzentrum Ihrer Wahl, und Ihre IT hat nur ein Gerät, das sie aktualisiert, sichert und überwacht. Die Tabelle zeigt die beiden Konfigurationen, mit denen ein Unternehmen dieser Größe meist beginnt.

Referenz­konfigurationen auf unserer Seite KI-Server; Beschäftigte nach den Beispielwerten unseres Leitfadens nach Unternehmens­größe (etwa 4 gleichzeitige Anfragen in der Spitzenstunde je 100 Beschäftigte, gpt-oss-120b); Leistung nach unserer Schätzung mit Karten bei 600 W, zwei AMD-EPYC-Prozessoren und 15 Prozent für den Rest des Servers; ein 230-V-16-A-Stromkreis trägt bei 80 Prozent Auslastung 2,94 kW.

Für ein Unternehmen mit 20 bis 500 Beschäftigten reicht der Einstiegsserver: zwei Karten der NVIDIA RTX PRO 6000 Blackwell Server Edition, zwei AMD-EPYC-Prozessoren, 384 GB DDR5-ECC-Speicher und zwei NVMe-Laufwerke. Eine Karte betreibt das Sprachmodell des Assistenten, die andere Dokumentsuche und Spracherkennung. Die Zahl der Beschäftigten stammt aus unserer Bemessung nach Unternehmens­größe, die zählt, wie viele Personen in der stärksten Stunde gleichzeitig eine Anfrage senden. Der Server braucht einen Serverraum, weil er laut ist und seine volle Leistung als Wärme abgibt; unser Beitrag zum Stromverbrauch eines KI-Servers pro Jahr rechnet diese Leistung für das Budget in Kilowattstunden pro Jahr um.

Was aufgeschrieben wird

Die Aufzeichnungen, die die Pflichten sichtbar machen, sind kurz und gehören zu benannten Rollen.

• Liste der KI-Systeme (System­verantwortlicher): jedes genutzte KI-Werkzeug, selbst gebaut oder gekauft, mit Zweck, Nutzern und den Daten, die es erreicht.
• Schulungsaufzeichnung (Key-User und IT-Ansprechpartner): wer die Einweisung in welcher Fassung wann abgeschlossen hat, abgeglichen mit der Nutzerliste.
• Einstellungsprotokoll (IT-Ansprechpartner): Administratorrechte, Protokollstufen, Speicherfristen, Anbindungen, mit dem Datum jeder Änderung.
• Dokumentbestände (Inhaltsverantwortliche): welche Ordner der Assistent für welche Nutzer liest.
• Meldungen falscher Antworten (Key-User): was gefragt wurde, was zurückkam, was korrigiert wurde.
• Folgenabschätzung (Datenschutz): wo eine nötig ist, mit ihrem Prüfdatum.

Was wir liefern

Sie können dieses System bei uns kaufen: Unser Team bemisst die Konfiguration nach Ihrer Last und Ihrem Budget und antwortet innerhalb eines Werktages. Wir bauen KI-Server mit zwei oder vier Karten der RTX PRO 6000 Server Edition auf Bestellung, vor der Lieferung montiert und getestet, geliefert in der ganzen EU mit einem EU-Vertrag und einer Rechnung, mit Herstellergarantie auf jede Komponente, abgewickelt über uns; Mengen und Lieferzeit werden mit dem Angebot schriftlich bestätigt. Unser Service Private AI/ML mit unserem Engineering-Partner Vixen.UNO stellt den Assistenten mit Abfrageprotokoll sowie Daten- und Rechteverwaltung bereit und schult Ihr Team für den Betrieb der Plattform.

Allgemeine Informationen zum EU-Recht mit Stand Oktober 2026, keine Rechtsberatung; nationales Recht kann weitere Anforderungen stellen, etwa zum Datenschutz­beauftragten.

FAQ