Rollen und Verantwortung im Unternehmen

In vielen Unternehmen ist KI eine Angelegenheit, für die sich alle ein bisschen und niemand richtig zuständig fühlt. Das Marketing hat Bildgeneratoren im Einsatz, die IT prüft gerade einen Chatbot, die Geschäftsführung hat vom AI Act gehört, und irgendwo in der Buchhaltung läuft seit Monaten ein Tool, das keiner freigegeben hat. Diese Lage ist verständlich, weil KI so schnell und so dezentral in den Arbeitsalltag gekommen ist. Sie ist aber auf Dauer nicht haltbar – nicht wegen einer einzelnen Vorschrift, sondern weil niemand steuern kann, was niemand überblickt.

Der AI Act schreibt keine bestimmte Organisationsform vor. Er verlangt weder einen KI-Beauftragten noch ein KI-Gremium. Aber er setzt voraus, dass Unternehmen ihre Pflichten kennen und erfüllen, und das gelingt nur mit klaren Zuständigkeiten. Diese Lektion zeigt ein schlankes Modell, das sich in kleinen und mittleren Unternehmen bewährt hat, und hilft Ihnen, Schulungen nach Rollen zuzuschneiden.

1. Drei Ebenen der Verantwortung

Bewährt hat sich eine Verteilung auf drei Ebenen. Sie ist bewusst einfach gehalten und lässt sich in einem Unternehmen mit zwanzig Beschäftigten ebenso umsetzen wie in einem mit zweitausend.

Die Geschäftsführung trägt die Gesamtverantwortung. Das ist keine juristische Floskel: Die Pflichten aus dem AI Act treffen das Unternehmen, und die Leitung muss dafür sorgen, dass sie erfüllt werden. Sie entscheidet über Ressourcen, benennt Zuständigkeiten und gibt die KI-Richtlinie frei. Delegieren kann sie die Umsetzung, nicht die Verantwortung. Hilfreich ist, wenn die Leitung selbst an einer kurzen Schulung teilnimmt – das signalisiert, dass das Thema ernst gemeint ist, und verbessert erfahrungsgemäß auch die Entscheidungen über Werkzeuge und Budgets.

Eine KI-verantwortliche Person koordiniert. Sie pflegt die Inventur, entwirft die Richtlinie, organisiert die Schulungen und ist Anlaufstelle für Fragen. In kleinen Unternehmen ist das eine Teilaufgabe, oft angesiedelt in IT, Qualitätsmanagement oder Geschäftsführungsassistenz. Wichtig sind drei Dinge: ein klarer Auftrag, genügend Zeit und der direkte Draht zur Leitung.

Die Fachbereiche setzen um. Bewährt haben sich KI-Paten – Beschäftigte, die in ihrer Abteilung ohnehin gern mit neuen Werkzeugen arbeiten, Fragen der Kollegen beantworten und neue Werkzeuge melden, bevor sie heimlich im Einsatz sind. Sie sind das Frühwarnsystem, das keine Richtlinie ersetzen kann. Ein kurzes Treffen aller Paten einmal im Quartal genügt oft, um Erfahrungen auszutauschen und die Inventur aktuell zu halten.

2. Abgrenzung zu bestehenden Rollen

Häufig wird gefragt, ob nicht einfach die oder der Datenschutzbeauftragte die Aufgabe übernehmen kann. Das ist möglich, aber nicht ohne Weiteres sinnvoll. Die Datenschutzbeauftragte hat nach der DSGVO eine unabhängige, beratende und kontrollierende Rolle. Sie soll prüfen, nicht selbst entscheiden und umsetzen. Übernimmt sie zugleich die Steuerung des KI-Einsatzes, kontrolliert sie am Ende ihre eigene Arbeit. Besser ist es, sie eng einzubinden: Fast jeder KI-Einsatz berührt personenbezogene Daten, und ihre Einschätzung gehört in jede Freigabe.

Ähnliches gilt für die IT-Sicherheit, die bei KI-Werkzeugen neue Angriffsflächen wie Prompt-Injection oder unkontrollierte Datenabflüsse bewerten muss, und für den Betriebsrat. Dessen Mitbestimmungsrechte greifen bei technischen Einrichtungen, die Leistung oder Verhalten überwachen können, sehr früh. Viele KI-Werkzeuge erfüllen diese Voraussetzung, und seit 2021 kann der Betriebsrat bei der Beurteilung von KI nach § 80 Abs. 3 BetrVG einen Sachverständigen hinzuziehen. Wer den Betriebsrat erst bei der Einführung informiert, verliert Monate. Wer ihn bei der Auswahl beteiligt, gewinnt einen Verbündeten.

3. Schulung nach Rollen zuschneiden

Art. 4 verlangt ausdrücklich, Kenntnisse, Erfahrung und Einsatzkontext zu berücksichtigen. Das spricht gegen eine Einheitsschulung für alle. Sinnvoller ist eine gemeinsame Basis für alle, die KI nutzen, und darauf aufbauend Vertiefungen für Rollen mit besonderen Risiken. Der folgende Planer zeigt, wie ein solcher Zuschnitt aussehen kann.

Die Dauer ist ein Richtwert, keine Vorgabe. Entscheidend ist, dass die Inhalte zu dem passen, was die Menschen tatsächlich tun. Ein Personalreferent, der ein Bewerbermanagement mit KI-Vorauswahl bedient, muss wissen, dass er die Vorschläge des Systems prüfen darf und soll. Ein Entwickler, der einen Chatbot baut, muss die Anbieterpflichten kennen. Beides ergibt sich nicht aus einem allgemeinen Vortrag über Chancen und Risiken.

4. Typische Stolpersteine

Die Aufgabe ohne Zeit. Die häufigste Schwäche ist eine benannte Person, die das Thema neben ihrer eigentlichen Arbeit mitmachen soll, ohne dass dafür etwas wegfällt. Nach drei Monaten liegt die Inventur halbfertig in einem Ordner. Planen Sie realistisch: Im ersten Jahr braucht die Koordination in einem mittelständischen Unternehmen einige Stunden pro Woche, danach deutlich weniger.

Die Richtlinie als Verbotsliste. Eine KI-Richtlinie, die vor allem aufzählt, was nicht erlaubt ist, treibt die Nutzung in den Untergrund. Beschäftigte greifen dann zu privaten Konten, und die Kontrolle ist ganz verloren. Wirksamer sind Richtlinien, die freigegebene Werkzeuge anbieten, klare Grenzen setzen und erklären, warum.

Schulung ohne Anlass. Wer Menschen zu einer KI-Schulung schickt, die in ihrem Alltag gar keine KI nutzen, erntet Langeweile und keine Kompetenz. Umgekehrt werden diejenigen, die täglich mit KI arbeiten, oft vergessen, weil sie „sich ja auskennen“. Gerade sie brauchen aber das Wissen über Grenzen und Pflichten, denn ihre Entscheidungen haben die größte Wirkung. Die Inventur zeigt, wo die Schulung ansetzen muss.

5. Der erste Monat

Wer bei null anfängt, sollte sich nicht mit einem großen Konzept aufhalten. In der ersten Woche wird die verantwortliche Person benannt und die Inventur begonnen. In der zweiten folgt ein Gespräch mit Datenschutz, IT und gegebenenfalls Betriebsrat über die gefundenen Werkzeuge. In der dritten Woche entsteht eine erste, kurze Richtlinie. In der vierten nehmen alle an der Basisschulung teil, etwa dem Lernpfad „Für alle Beschäftigten“ im Kurs EU AI Act. Danach wird vertieft, wo es nötig ist. Wie Sie das Ganze zu einem dauerhaften Governance-System ausbauen, zeigt Modul 8.

Stand: September 2026, Rechtsstand nach dem AI Omnibus (VO (EU) 2026/1744). Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.