Braucht euer Mittelstand einen KI-Beauftragten?

Seit dem Sommer liegt in fast jedem Postfach, das ich kenne, dasselbe Angebot: Zertifikatslehrgang zum KI-Beauftragten, drei Tage, vierstellig. Der Aufhänger ist immer der EU AI Act. Der Haken ist, dass der EU AI Act keinen KI-Beauftragten verlangt.

Was tatsächlich in der Verordnung steht

Die Pflicht, um die es geht, ist Artikel 4 der KI-Verordnung, und sie gilt seit dem 2. Februar 2025. Anbieter und Betreiber von KI-Systemen müssen dafür sorgen, dass die Leute, die damit arbeiten, genug davon verstehen, um sie verantwortungsvoll einzusetzen. Das ist die ganze Vorschrift. Die EU-Kommission hat dazu in ihren Fragen und Antworten zur KI-Kompetenz ausdrücklich klargestellt: keine Zertifizierungspflicht, kein vorgeschriebener Wissenstest, kein vorgeschriebenes Schulungsformat und keine eigene Position eines KI-Beauftragten.

Was sich mit dem 2. August 2026 geändert hat, ist die Marktüberwachung. Seitdem sind die Behörden zuständig und Verstöße können geahndet werden. Genau daran hängt der Vertriebsdruck der letzten Monate. Aus „ab jetzt kann jemand fragen" wurde in der Broschüre „ab jetzt brauchen Sie einen Beauftragten", und das ist ein Sprung, den die Verordnung nicht hergibt.

Der Vergleich, der dabei mitschwingt, ist der Datenschutzbeauftragte. Der ist in Deutschland tatsächlich Pflicht, nach § 38 BDSG ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, und unabhängig von der Zahl, wenn eine Datenschutz-Folgenabschätzung nötig ist. Für KI existiert nichts Vergleichbares. Wer die beiden Fälle nebeneinanderstellt, verkauft eine Analogie als Rechtslage.

Warum die Frage trotzdem berechtigt ist

Die Nutzung hat sich innerhalb eines Jahres mehr als verdoppelt: Laut Bitkom setzen 41 Prozent der Unternehmen ab 20 Beschäftigten KI aktiv ein, nach 17 Prozent im Vorjahr, weitere 48 Prozent planen oder diskutieren es. Das heißt in der Praxis, dass in fast jedem Betrieb bereits jemand ein Sprachmodell benutzt, ob das oben bekannt ist oder nicht.

Und da wird es unangenehm. Ich habe in den letzten Monaten mehr als einmal gesehen, wie Angebotstexte, Preislisten oder Reklamationsschreiben in einem kostenlosen Chatbot landeten, weil es schneller ging. Niemand hatte es verboten. Niemand hatte es erlaubt. Es hat nur niemand gefragt.

Das Problem ist selten, dass KI im Betrieb fehlt. Das Problem ist, dass sie längst da ist und keiner weiß, wo.

Dafür braucht es eine Zuständigkeit. Nicht wegen Artikel 4, sondern weil sonst niemand die Frage beantworten kann, welche Daten den Betrieb verlassen.

Zuständigkeit ist nicht dasselbe wie eine Stelle

In einem Betrieb mit 50 Leuten ist ein KI-Beauftragter mit Stellenbeschreibung, Budget und Quartalsbericht Unsinn. Was funktioniert, ist eine benannte Person mit vier konkreten Aufgaben:

• Eine Liste führen. Welches Werkzeug, in welcher Abteilung, für welchen Zweck, mit welchen Daten. Ein Tabellenblatt reicht. Diese Liste ist auch das, was man vorzeigt, wenn tatsächlich jemand fragt.
• Eine Seite Regeln schreiben. Was rein darf, was nicht, und wer gefragt wird, bevor ein neues Werkzeug eingeführt wird. Eine Seite, nicht zwölf. Zwölf liest niemand.
• Die Einweisung organisieren. Das ist der Teil, der Artikel 4 abdeckt. Zwei Stunden für alle, die es benutzen, plus eine kurze Notiz, wer wann teilgenommen hat. Die Dokumentation ist im Zweifel der Nachweis.
• Ansprechpartner sein. Damit die Frage „darf ich das hier reinkopieren?" überhaupt eine Adresse hat.

Das sind ein bis zwei Stunden im Monat, nicht eine halbe Stelle. Ein Zertifikat braucht dafür niemand.

Wer es machen sollte — und wer nicht

Die naheliegende Wahl ist die IT. Ich halte das in kleinen Betrieben meistens für die falsche. Der IT-Verantwortliche im Mittelstand ist ausgelastet mit Servern, Backups und dem Drucker im zweiten Stock, und er sieht das Thema zwangsläufig als Risikofrage. Eine Zuständigkeit, die nur Risiken sieht, produziert Verbote, und Verbote produzieren die Schatten-Nutzung, die man eigentlich beenden wollte.

Besser funktioniert jemand aus dem operativen Geschäft, der das Werkzeug selbst benutzt und dessen Grenzen aus eigener Erfahrung kennt. Vertriebsinnendienst, Arbeitsvorbereitung, Konstruktion. Diese Person braucht die IT als Rückendeckung bei den technischen Fragen, aber sie sollte den Hut aufhaben, weil sie beurteilen kann, ob ein Vorschlag im Alltag überhaupt trägt.

Und die ehrliche Gegenrede zu meinem eigenen Vorschlag: Eine benannte Zuständigkeit kann auch zur Bremse werden. Wenn die Person keine Zeit und keine Entscheidungsbefugnis bekommt, entsteht nur eine weitere Schleife, durch die jede Idee muss, bevor sie versandet. Ich habe das bei Digitalisierungsprojekten oft genug gesehen: Der Beauftragte war benannt, damit die Geschäftsführung das Thema los war. Danach ist zwei Jahre nichts passiert, aber es gab einen Zuständigen. Das ist schlechter als gar keine Rolle, weil es aussieht, als sei das Thema bearbeitet.

Was es kostet, und was es verhindert

Rechnen wir es durch. Zwei Stunden pro Monat für die Zuständigkeit sind 24 Stunden im Jahr, bei 60 Euro internem Satz rund 1.440 Euro. Dazu einmalig zwei Stunden Einweisung für, sagen wir, 15 Nutzer, also 30 Stunden, weitere 1.800 Euro. Zusammen gut 3.200 Euro im ersten Jahr, danach etwa die Hälfte.

Dagegen steht der Lehrgang, je nach Anbieter rund 2.000 bis 2.600 Euro netto pro Person. Danach ist die Liste immer noch nicht geführt und die Einweisung immer noch nicht gehalten. Man hat ein Zertifikat für eine Rolle, die es rechtlich nicht gibt. Wer das Geld ohnehin ausgeben will, bekommt für dieselbe Summe die Arbeit selbst erledigt.

Was es verhindert, lässt sich schlechter beziffern, aber die Fälle sind konkret: Kalkulationsgrundlagen, die in einem fremden System landen und dort womöglich fürs Training verwendet werden. Ein Angebot mit einer erfundenen technischen Angabe, weil niemand nachgeprüft hat. Drei Abteilungen, die drei verschiedene Werkzeuge für denselben Zweck bezahlen. Der letzte Fall kommt am häufigsten vor, und er fällt in der Buchhaltung sofort auf.

Die kurze Antwort

Nein, ihr braucht keinen KI-Beauftragten. Es gibt keine Pflicht dazu, und in einem 50-Mann-Betrieb wäre die Stelle eine Erfindung ohne Inhalt.

Ihr braucht einen Namen hinter der Frage „wer weiß bei uns, was womit gemacht wird". Wenn dieser Name heute nicht existiert, ist das die eigentliche Lücke. Das Zertifikat schließt sie nicht.