Wer ist für KI verantwortlich, wenn es keine IT-Abteilung gibt? Ohne IT-Abteilung, wie bei KMUs/SMBs, braucht KI trotzdem einen KI-Verantwortlichen. Welche Entscheidungen wirklich einen „Eigentümer“ haben müssen, warum ein KI-Gremium der falsche Reflex ist und was auf eine einseitige KI-Richtlinie gehört.
Wer ist für KI verantwortlich, wenn es keine IT-Abteilung gibt?
Die Geschäftsführung trägt die Verantwortung und kann die operative Wahrnehmung an eine benannte Person übertragen. Diese Person braucht drei Dinge: Entscheidungsbefugnis über Werkzeugfreigaben, Zugang zur Geschäftsführung und ein festes Zeitbudget. Fachliche KI-Expertise steht bewusst nicht auf dieser Liste, weil sie sich zukaufen lässt, Entscheidungsbefugnis dagegen nicht.
In Betrieben zwischen 20 und 500 Beschäftigten sitzt diese Rolle in der Praxis fast immer bei jemandem, der Prozesse ohnehin überblickt. Das ist häufig die kaufmännische Leitung, in produzierenden Betrieben oft die Qualitätssicherung, gelegentlich die Assistenz der Geschäftsführung. Wer den Datenschutz koordiniert, bringt den Reflex für Datenfragen schon mit.
Was regelmäßig scheitert, ist die Zuweisung an „den, der sich mit Computern auskennt”. Diese Person hat meist weder Entscheidungsbefugnis noch Zeit, und sie wird für Werkzeugfragen zuständig gemacht, während die eigentlichen Entscheidungen betriebswirtschaftlich sind.
Welche Entscheidungen brauchen wirklich einen Eigentümer?
Vier. Alles darüber hinaus ist Tagesgeschäft und kostet nur Abstimmung.
Erstens die Freigabe von Werkzeugen. Welche KI-Anwendungen dürfen im Betrieb genutzt werden, und wer trägt die Lizenzkosten? Ohne diese Entscheidung entstehen Einzelabos auf Privatkarten.
Zweitens die Datengrenze. Welche Informationen dürfen in ein KI-Werkzeug, welche nicht? Diese Frage ist nicht technisch, sondern eine Frage der Vertraulichkeitsstufen, die es im Betrieb meist längst gibt.
Drittens die Schulung. Welche Rollen arbeiten mit KI und brauchen deshalb eine Qualifizierung nach Artikel 4 des EU AI Acts? Der Digital Omnibus hat daraus eine Maßnahmen- und Nachweispflicht gemacht, und ein Nachweis braucht jemanden, der ihn führt.
Viertens die Kennzeichnung. Wo verlassen KI-erzeugte Inhalte das Haus, und wer prüft, dass sie nach Artikel 50 erkennbar sind? Diese Pflicht ist seit dem 2. August 2026 anwendbar und bußgeldbewehrt, für Bestandssysteme gilt eine Übergangsfrist bis zum 2. Dezember 2026.
Brauche ich einen KI-Beauftragten?
Als gesetzlich vorgeschriebene Funktion nein. Der EU AI Act kennt keinen KI-Beauftragten analog zum Datenschutzbeauftragten. Er verlangt in Artikel 4 Maßnahmen zur Förderung der KI-Kompetenz und deren Nachweis, und in Artikel 50 die Transparenz nach außen. Beides setzt eine zuständige Person voraus, schreibt aber keine Rollenbezeichnung vor.
Praktisch ist die Bezeichnung trotzdem nützlich, weil sie im Betrieb sichtbar macht, an wen man sich wendet. Ob das im Organigramm „KI-Beauftragter”, „Digitalverantwortlicher” oder gar nicht auftaucht, ist zweitrangig gegenüber der Frage, ob die Person die vier Entscheidungen oben tatsächlich treffen darf.
Ein Hinweis zur Abgrenzung: Diese Rolle ist keine Compliance-Funktion mit Weisungsfreiheit wie beim Datenschutz. Sie ist eine Linienaufgabe. Wer sie als Kontrollinstanz aufhängt, bekommt eine Instanz, an der man vorbeiarbeitet.
Warum ist ein KI-Gremium meistens der falsche Weg?
Weil es die Verantwortungsfrage nicht beantwortet, sondern verteilt. In Betrieben unter etwa 300 Beschäftigten ist der Arbeitskreis KI der häufigste Reflex und die häufigste Sackgasse: Vier bis sechs Personen treffen sich monatlich, sammeln Ideen, und am Ende hat niemand entschieden, welches Werkzeug freigegeben ist.
Der Grund ist strukturell. Ein Gremium kann gut Optionen bewerten und schlecht Verantwortung tragen. Die vier Entscheidungen oben sind aber Freigabeentscheidungen mit Kosten- und Haftungsfolge, und die brauchen eine Unterschrift.
Sinnvoll wird ein Kreis erst später und in anderer Funktion: als Rückkanal aus den Fachbereichen, wenn die Grundentscheidungen stehen und es um Anwendungsfälle geht. In dieser Rolle ist er wertvoll, weil die besten Anwendungsfälle selten aus der Leitung kommen.
Was gehört in eine KI-Richtlinie, die im Alltag wirklich hilft?
Eine Seite, drei Fragen. Welche Werkzeuge sind freigegeben, welche Daten dürfen hinein, und wen frage ich im Zweifel? Alles, was darüber hinausgeht, wird nicht gelesen und ändert deshalb kein Verhalten.
Was die Wirkung tatsächlich entscheidet, ist die Reihenfolge. Eine Richtlinie ohne freigegebenes Werkzeug ist ein Verbot, und Verbote verlagern die Nutzung in private Accounts, statt sie zu beenden. Erst der offizielle Weg, der mindestens so bequem ist wie der inoffizielle, dann die Regel dazu.
Der zweite Wirkfaktor ist die Ansprechperson. „Bei Zweifeln frag X” ist die Zeile, die im Alltag am häufigsten gebraucht wird, und sie fehlt in den meisten Richtlinien. Ohne sie entscheidet jeder selbst, und genau das wollte die Richtlinie verhindern.
Ist fehlende Zuständigkeit wirklich der Grund für Schatten-KI?
Häufiger als fehlende Werkzeuge. Schatten-KI entsteht, wenn ein Mitarbeitender eine Aufgabe schneller erledigen kann und der offizielle Weg unklar ist. Unklar heißt dabei selten „es gibt kein Werkzeug”, sondern „ich weiß nicht, ob ich darf, und ich weiß nicht, wen ich fragen soll”.
Das ist der Punkt, an dem die Rollenfrage konkret wird. Sobald es eine benannte Person und eine freigegebene Werkzeugliste gibt, verschwindet der Graubereich, in dem Schatten-KI wächst. Die Kompetenz, die Grenze überhaupt zu erkennen, kommt über die Qualifizierung dazu: B’IMPRESS bildet das in rollenspezifischen Lernpfaden ohne Präsenztermine ab, mit Zertifikat pro Modul für die Dokumentation.
Was diese Rolle nicht leisten muss, ist die inhaltliche Bewertung jedes Werkzeugs. Dafür gibt es den #KI-Workshop* zum Fixpreis, der in sechs Stunden die Anwendungsfälle priorisiert und die Roadmap liefert. Die Rolle im Haus entscheidet danach, sie recherchiert nicht vorher.
Häufig gestellte Fragen (FAQ)
Wer ist für KI verantwortlich, wenn es keine IT-Abteilung gibt?
Die Geschäftsführung, operativ delegiert an eine benannte Person mit Entscheidungsbefugnis, Zugang zur Leitung und festem Zeitbudget. In Betrieben zwischen 20 und 500 Beschäftigten sitzt die Rolle meist bei der kaufmännischen Leitung, der Qualitätssicherung oder der Datenschutzkoordination.
Schreibt der EU AI Act einen KI-Beauftragten vor?
Nein. Eine dem Datenschutzbeauftragten vergleichbare Pflichtfunktion gibt es nicht. Artikel 4 verlangt seit dem 2. Februar 2025 Maßnahmen zur Förderung der KI-Kompetenz und deren Nachweis, Artikel 50 seit dem 2. August 2026 die Transparenz nach außen. Beides setzt eine zuständige Person voraus, ohne eine Bezeichnung vorzuschreiben.
Fragen oder Kontakt?
Beim KI-Workshop und technischen Fragen zur KI-Implementierung im Unternehmen empfehlen wir auch Passion4IT aus Niederbayern als unseren Partner sowie unser Konsortium AI4SMB bei der technischen Entwicklung.