Was Unternehmen über Aufgaben, Kosten und rechtliche Pflichten eines externen KI-Beauftragten wissen sollten
Seit Februar 2025 verlangt die EU-KI-Verordnung von Unternehmen nachweisbare KI-Kompetenz, klar zugeordnete Verantwortlichkeiten und, bei Hochrisiko-KI, eine umfassende Dokumentation. Ein externer KI-Beauftragter bündelt diese Pflichten als feste Ansprechperson, ohne dass Sie intern eine eigene Stelle schaffen müssen. Wir begleiten Unternehmen über die gesamte Spanne, vom KI-Inventar bis zur Verteidigung im Bußgeldverfahren.
Was ein externer KI-Beauftragter im Unternehmen leistet
Der KI-Beauftragte ist die zentrale Verantwortungsperson für sämtliche Pflichten aus der EU-Verordnung über künstliche Intelligenz (KI-Verordnung, KI-VO). Er erfasst, welche KI-Systeme im Unternehmen eingesetzt, beschafft oder selbst entwickelt werden, ordnet sie den Risikoklassen der Verordnung zu und stellt sicher, dass die jeweils geltenden Pflichten erfüllt werden. Dazu zählen die Dokumentation, die Schulung der Belegschaft, die Konformitätsbewertung bei Hochrisiko-KI sowie die Kommunikation mit den Aufsichtsbehörden, in Deutschland vor allem mit der Bundesnetzagentur, die nach dem geplanten KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) als zentrale Marktüberwachungsbehörde vorgesehen ist.
Strukturell ähnelt die Rolle dem Datenschutzbeauftragten nach der DSGVO, ist jedoch eigenständig und auf den Anwendungsbereich der KI-Verordnung zugeschnitten. Eine personelle Doppelfunktion ist zulässig, organisatorisch und fachlich aber selten sinnvoll, da sich Datenschutz und KI-Compliance nur in Teilbereichen überschneiden.
Vom intern beschäftigten Beauftragten unterscheidet sich die externe Lösung in drei Punkten: Weisungsunabhängigkeit, planbare Kosten und der Wegfall des Ausfallrisikos einer einzelnen Stelle. Gerade für mittelständische Unternehmen ohne eigene KI- oder Compliance-Abteilung ist sie der schnellere Weg zur Verordnungskonformität.
Setzen Sie KI im Unternehmen ein oder vertreiben Sie sie, ist die Verantwortung dafür klar zu bündeln. Wir prüfen, welche Rolle für Ihr Unternehmen verpflichtend oder fachlich geboten ist.
Die Aufgaben des externen KI-Beauftragten im Überblick
Die konkreten Tätigkeiten ergeben sich aus dem Risikoprofil Ihres KI-Einsatzes. Sechs Aufgabenfelder sind in der Praxis durchgängig von Bedeutung:
KI-Inventar
Erfassung aller KI-Systeme, die im Unternehmen eingesetzt, entwickelt oder beschafft werden, einschließlich der Schatten-KI, also jener Tools, die einzelne Mitarbeiter ohne IT-Freigabe nutzen.
Risikoeinstufung
Zuordnung jedes Systems zu einer der vier Risikoklassen der KI-VO (verboten, hochriskant, transparenzpflichtig, minimal) und Ableitung der jeweils geltenden Pflichten.
Technische und organisatorische Dokumentation
Aufbau eines Risikomanagementsystems, Pflege der technischen Dokumentation für Hochrisiko-KI, Durchführung von Konformitätsbewertungen sowie Erfüllung der Protokollierungspflichten.
Schulung und Kompetenznachweis
Konzeption, Durchführung und Dokumentation der Schulungen nach Art. 4 KI-VO, differenziert nach Funktion und Risiko der eingesetzten Systeme.
Behördenkommunikation
Ansprechpartner für die Bundesnetzagentur, für Aufsichtsbehörden anderer EU-Staaten und, bei Schnittstellen zum Datenschutz, für die Datenschutzbehörden.
Vorbereitung auf Prüfungen und Audits
Bereithaltung sämtlicher Nachweise, die Behörden im Rahmen der Marktüberwachung oder eines Bußgeldverfahrens anfordern können.
Die Aufgabenverteilung zwischen dem externen Beauftragten und Ihren internen Verantwortlichen lässt sich modular gestalten. In der Praxis übernehmen wir die rechtliche Steuerung, während technische Umsetzung und Tagesgeschäft beim Unternehmen verbleiben.
Ein Aufgabenkatalog ist nur dann tragfähig, wenn er zu Ihrem konkreten KI-Portfolio passt. Wir entwickeln den Aufgabenrahmen für Ihren Beauftragten auf Grundlage einer ersten Bestandsaufnahme.
Wann ein externer KI-Beauftragter Pflicht ist – und wann er sinnvoll wird
Die KI-Verordnung kennt keine ausdrückliche Pflicht, einen formalen KI-Beauftragten zu bestellen. Sie verlangt jedoch die Erfüllung ihrer Pflichten, und das setzt bei nahezu jedem Unternehmen mit KI-Bezug eine klar zugeordnete Verantwortung voraus. In den folgenden Konstellationen ist eine externe Lösung in der Praxis erforderlich oder nachdrücklich zu empfehlen:
- Anbieter von Hochrisiko-KI: Unternehmen, die KI-Systeme nach Anhang III entwickeln oder unter eigenem Namen vertreiben – etwa für Recruiting, Kreditbewertung, biometrische Identifikation oder kritische Infrastruktur. Ab 02.08.2026 greifen umfassende Konformitäts- und Dokumentationspflichten.
- Anbieter von General-Purpose-KI: Wer KI-Modelle mit allgemeinem Verwendungszweck (GPAI) bereitstellt, unterliegt seit 02.08.2025 eigenständigen Transparenz- und Sicherheitspflichten.
- Betreiber von Hochrisiko-KI: Unternehmen, die solche Systeme einsetzen, müssen Risikobewertungen, Überwachung und Schulungen sicherstellen. Die Haftung trifft die Geschäftsführung persönlich, wenn Pflichten unterbleiben.
- Unternehmen mit Schatten-KI: Wer KI-Tools im Tagesgeschäft nutzt, ohne den Bestand zu kennen, verstößt regelmäßig gegen die KI-Kompetenzpflicht aus Art. 4. Ein externer Beauftragter schafft systematisch Übersicht.
- Unternehmen mit Abmahnungsrisiko: Wettbewerber können Verstöße gegen die KI-Verordnung über das Wettbewerbsrecht abmahnen. Vorbeugende Compliance ist günstiger als der Verteidigungsfall.
Auch ohne formale Pflicht ist die Bestellung sinnvoll, sobald KI Teil interner Entscheidungsprozesse wird, etwa bei der automatisierten Vorauswahl im Personalbereich, der KI-gestützten Vertragsanalyse oder der Kundenkommunikation über Chatbots.
Ob für Ihr Unternehmen Pflicht oder Empfehlung greift, lässt sich erst nach einem KI-Inventar belastbar beurteilen. Diese Bestandsaufnahme nehmen wir in der Regel innerhalb von zwei bis drei Wochen vor.
Kosten und Modelle: Externer Beauftragter im Vergleich zur Festanstellung
Eine eigene Stelle für KI-Compliance ist ab einer bestimmten Unternehmensgröße fachlich sinnvoll, wirtschaftlich jedoch selten effizient. Eine intern besetzte Vollzeitstelle mit der erforderlichen Doppelqualifikation aus Recht und KI-Technik bewegt sich einschließlich Lohnnebenkosten regelmäßig im sechsstelligen Bereich pro Jahr. Hinzu treten Fortbildung, Fluktuationsrisiko und Vakanzkosten.
Externe Modelle skalieren demgegenüber mit dem tatsächlichen Bedarf. Drei Modelle haben sich etabliert:
Retainer-Modell
Feste monatliche Pauschale mit definiertem Aufgabenumfang. Geeignet für Unternehmen mit laufendem KI-Einsatz und regelmäßigem Beratungsbedarf.
Stundenkontingent
Vereinbarte Stunden je Quartal, nach Bedarf abrufbar. Geeignet für Unternehmen mit überschaubarem KI-Portfolio.
Projektmandat
Einmalige Bestandsaufnahme, Konzeption und Übergabe ohne laufende Begleitung. Geeignet für Unternehmen, die die KI-Compliance anschließend intern fortführen wollen.
Welches Modell wirtschaftlich am sinnvollsten ist, richtet sich nach Branche, KI-Reifegrad und Risikoprofil. Die Gesamtkosten einer externen Lösung liegen in der Regel deutlich unter denen einer internen Festanstellung, bei vergleichbarer fachlicher Tiefe und höherer Reaktionsfähigkeit im Konfliktfall.
Wir stellen für Ihr Unternehmen ein passendes Modell zusammen. Eine erste Einschätzung ist nach einem rund einstündigen Strukturgespräch möglich.
Ablauf der Zusammenarbeit
Die Einrichtung eines externen KI-Beauftragten erfolgt in vier klar abgegrenzten Phasen.
Bestandsaufnahme
Wir erfassen alle KI-Systeme, die im Unternehmen genutzt, entwickelt oder beschafft werden. Grundlage sind strukturierte Gespräche mit IT, Personal, Vertrieb und gegebenenfalls Produktion. Ergebnis ist ein dokumentiertes KI-Inventar.
Risikoeinstufung und Lückenanalyse
Jedes System wird einer Risikoklasse zugeordnet. Für jede Klasse ermitteln wir die geltenden Pflichten und stellen ihnen den tatsächlichen Compliance-Stand gegenüber. Sie erhalten eine priorisierte Maßnahmenliste mit Zeit- und Verantwortungsplan.
Aufbau der laufenden Beauftragten-Funktion
Übernahme der definierten Aufgaben durch unsere Kanzlei im Umfang des gewählten Modells. Dazu gehören ein regelmäßiges Berichtswesen an die Geschäftsführung sowie eine kurze, dokumentierte Quartalsabstimmung.
Jährliches Review
Einmal je Geschäftsjahr überprüfen wir, ob sich Rechtslage, KI-Portfolio oder Risikoeinstufung verändert haben, und passen Maßnahmen und Dokumentation entsprechend an.
Liegt noch keine Bestandsaufnahme vor, beginnt jede tragfähige KI-Compliance an dieser Stelle. Wir starten mit einer ersten Strukturanalyse, an die sich die weiteren Phasen je nach Befund anschließen.
Warum ein Anwalt als externer KI-Beauftragter
KI-Compliance wird derzeit von einer breiten Anbieterlandschaft besetzt: Beratungsgesellschaften, IT-Dienstleister, Auditoren und Hochschul-Spin-offs. Die juristische Verantwortung lässt sich rechtssicher jedoch nur durch eine Anwaltskanzlei wahrnehmen. Dafür sind drei Punkte entscheidend.
Wenn Sie eine externe Beauftragtenfunktion einrichten, ist die anwaltliche Lösung in den meisten Fällen die belastbarere. Wir erörtern mit Ihnen, ob sie auch für Ihr Unternehmen die richtige ist.
FAQs – Häufig gestellte Fragen zum externen KI-Beauftragten
Was kostet ein externer KI-Beauftragter?
Die Kosten hängen vom gewählten Modell und vom KI-Portfolio Ihres Unternehmens ab. Retainer-Modelle bewegen sich in der Regel im niedrigen vierstelligen Bereich pro Monat, Projektmandate im niedrigen bis mittleren vierstelligen Bereich einmalig. Eine belastbare Angabe ist erst nach einer kurzen Bestandsaufnahme möglich. In jedem Fall liegen die Kosten deutlich unter einer Vollzeit-Festanstellung mit gleicher fachlicher Tiefe.
Ist ein KI-Beauftragter gesetzlich vorgeschrieben?
Die KI-Verordnung kennt keine ausdrückliche Pflicht zur Bestellung eines KI-Beauftragten – verlangt aber, dass alle Pflichten der Verordnung erfüllt werden. Bei Anbietern von Hochrisiko- oder General-Purpose-KI ist eine zugeordnete Verantwortung in der Praxis zwingend. Auch bei Betreibern von Hochrisiko-KI und bei jedem Unternehmen mit umfangreichem KI-Einsatz ist sie kaum verzichtbar.
Worin unterscheidet sich der KI-Beauftragte vom Datenschutzbeauftragten?
Beide Rollen sind eigenständig. Der Datenschutzbeauftragte überwacht die Einhaltung der DSGVO, der KI-Beauftragte die Einhaltung der KI-Verordnung. Überschneidungen gibt es bei KI-Systemen, die personenbezogene Daten verarbeiten – etwa im HR oder Marketing. Eine Doppelfunktion in einer Person ist rechtlich möglich, fachlich aber selten sinnvoll, da KI-Compliance technisches und produktbezogenes Spezialwissen erfordert.
Welche Qualifikation muss ein externer KI-Beauftragter haben?
Die KI-Verordnung legt keine formale Qualifikation fest. In der Praxis verlangt die Rolle eine Kombination aus juristischer Expertise zur KI-VO, technischem Grundverständnis von KI-Systemen und Erfahrung in Compliance-Strukturen. Eine spezialisierte Anwaltskanzlei bringt diese Kombination ein und kann sie durch Kooperation mit technischen Partnern ergänzen.
Kann ein Rechtsanwalt KI-Beauftragter sein?
Ja. Anwälte sind als externe KI-Beauftragte berufsrechtlich zulässig und durch die Verschwiegenheitspflicht aus § 43a BRAO besonders gut geeignet. Vor allem für Unternehmen, die mit Bußgeldverfahren, Abmahnungen oder Behördenkontrollen rechnen müssen, ist die anwaltliche Lösung dem rein beratenden Modell überlegen.
Wie lange dauert ein erstes KI-Audit?
Eine Bestandsaufnahme inklusive Risikoeinstufung und Lückenanalyse dauert je nach Unternehmensgröße und KI-Portfolio zwei bis sechs Wochen. Kleinere Unternehmen mit überschaubarem KI-Einsatz erhalten ihre Ergebnisdokumentation in der Regel innerhalb von zwei Wochen.
Welche Pflichten ergeben sich aus Art. 4 KI-VO für mein Unternehmen?
Art. 4 KI-VO verlangt seit dem 02.02.2025, dass Personen, die mit KI-Systemen umgehen, über ein der jeweiligen Funktion angemessenes Maß an KI-Kompetenz verfügen. Das gilt für die Geschäftsführung ebenso wie für Mitarbeitende in IT, HR, Recht, Vertrieb und allen Bereichen, in denen KI-Tools eingesetzt werden. Die Pflicht erstreckt sich auf Schulung, Dokumentation und regelmäßige Auffrischung.
Wer haftet, wenn der KI-Beauftragte einen Fehler macht?
Die rechtliche Verantwortung für die Einhaltung der KI-Verordnung verbleibt grundsätzlich beim Unternehmen, vertreten durch die Geschäftsführung. Der KI-Beauftragte haftet vertraglich gegenüber dem Unternehmen für die ordnungsgemäße Erfüllung seiner Pflichten. Bei externen anwaltlichen Beauftragten besteht zusätzlich der Schutz der Berufshaftpflichtversicherung.
Können wir den KI-Beauftragten auch intern besetzen?
Ja, eine interne Besetzung ist rechtlich möglich und in größeren Unternehmen verbreitet. Die Stelle erfordert allerdings juristische und technische Doppelqualifikation, deutliche Weisungsfreiheit und Vertretungsregelungen. In der Praxis ist die externe Lösung für mittelständische Unternehmen schneller umsetzbar und wirtschaftlich überlegen. Eine Mischform aus internem Ansprechpartner und externer Steuerung lässt sich problemlos einrichten.
Wann sollte ich einen Anwalt einschalten?
Spätestens, wenn KI-Systeme im Unternehmen eingesetzt werden, eine Abmahnung wegen eines KI-Verstoßes eingegangen ist oder Hinweise auf ein Bußgeldverfahren bestehen. Eine bestehende Rechtsschutzversicherung deckt anwaltliche Beratung in KI- und Compliance-Fragen häufig ab – die Übernahme lässt sich vorab klären. Je früher Sie die Verantwortung strukturieren, desto geringer ist das Risiko, im Konfliktfall mit unzureichender Dokumentation dazustehen.