Wer ist im Unternehmen für KI verantwortlich?
Der EU AI Act legt Pflichten für unterschiedliche Rollen fest – insbesondere für Anbieter und Betreiber von KI-Systemen. Unternehmen sollten deshalb klären, in welcher Rolle sie bei den eingesetzten KI-Systemen handeln, welche Pflichten daraus folgen und wer intern für deren Umsetzung verantwortlich ist.
Der AI Act schreibt Unternehmen dabei nicht pauschal eine bestimmte interne Governance-Struktur oder einen „AI Officer“ vor. Entscheidend ist vielmehr, dass die relevanten Aufgaben tatsächlich zugeordnet und erfüllt werden. Für Betreiber von Hochrisiko-KI verlangt Artikel 26 beispielsweise geeignete technische und organisatorische Maßnahmen sowie kompetente Personen für die menschliche Aufsicht.
| Auf einen Blick | |
| ✓ Im Fokus: | Rollen, Zuständigkeiten und organisatorische Verantwortung beim Einsatz von KI |
| ✓ Zentrale Rollen: | Insbesondere Anbieter und Betreiber von KI-Systemen |
| ✓ Keine Einheitslösung: | Der AI Act schreibt nicht generell einen AI Officer oder ein bestimmtes Governance-Gremium vor. |
| ✓ Jetzt klären: | KI-Systeme und Rollen erfassen, Verantwortlichkeiten zuordnen und relevante Pflichten in Prozesse überführen |
Welche Rollen unterscheidet der EU AI Act?
Welche Pflichten ein Unternehmen nach dem EU AI Act erfüllen muss, hängt wesentlich davon ab, in welcher rechtlichen Rolle es bei einem KI-System handelt. Maßgeblich ist dabei nicht die interne Stellenbezeichnung, sondern was das Unternehmen mit dem jeweiligen KI-System tatsächlich tut. Der AI Act unterscheidet insbesondere Anbieter, Betreiber, Einführer und Händler; daneben können unter anderem Produkthersteller und Bevollmächtigte relevant sein.
| Rolle | Wann kann sie vorliegen? |
|---|---|
| Anbieter | Das Unternehmen entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr bzw. nimmt es selbst in Betrieb. |
| Betreiber | Das Unternehmen verwendet ein KI-System in eigener Verantwortung für berufliche oder geschäftliche Zwecke. |
| Einführer | Ein in der EU ansässiges Unternehmen bringt ein KI-System in Verkehr, das den Namen oder die Marke eines außerhalb der EU ansässigen Anbieters trägt. |
| Händler | Ein Unternehmen in der Lieferkette stellt ein KI-System auf dem EU-Markt bereit, ohne selbst Anbieter oder Einführer zu sein. |
| Produkthersteller | Ein Hersteller bringt ein Produkt zusammen mit einem KI-System unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr oder nimmt es in Betrieb. |
| Bevollmächtigter | Eine in der EU niedergelassene Person oder Organisation übernimmt aufgrund eines schriftlichen Mandats bestimmte Aufgaben für einen Anbieter. |
| Für Unternehmen wichtig: Ein Unternehmen kann bei unterschiedlichen KI-Systemen unterschiedliche Rollen haben. Die Rollen sollten deshalb nicht einmalig für das gesamte Unternehmen, sondern für jedes relevante KI-System und den konkreten Einsatz bestimmt werden. |
| Rollen können sich verändern: Wer beispielsweise seinen Namen oder seine Marke auf ein bereits in Verkehr gebrachtes Hochrisiko-KI-System setzt, ein solches System wesentlich verändert oder die Zweckbestimmung eines KI-Systems so ändert, dass es dadurch zu Hochrisiko-KI wird, kann für dieses System als Anbieter gelten und die entsprechenden Anbieterpflichten übernehmen. Artikel 25 regelt diese Verantwortungsverschiebung entlang der KI-Wertschöpfungskette. |
Welche Pflichten hängen von der Rolle des Unternehmens ab?
Die rechtliche Rolle allein bestimmt noch nicht alle Pflichten nach dem EU AI Act. Entscheidend ist zusätzlich, um welches KI-System und welchen Anwendungsfall es geht. Besonders deutlich wird die Rollentrennung bei Hochrisiko-KI: Anbieter tragen vor allem Verantwortung für die regelkonforme Entwicklung und Bereitstellung des Systems, Betreiber für dessen regelkonformen Einsatz im eigenen Verantwortungsbereich.
| Rolle | Typische Verantwortlichkeiten bei Hochrisiko-KI |
|---|---|
| Anbieter | Konformität des Systems sicherstellen, Qualitätsmanagement einrichten, Dokumentation und Protokolle vorhalten, erforderliche Konformitätsbewertung durchführen, EU-Konformitätserklärung ausstellen und CE-Kennzeichnung anbringen sowie Registrierungs-, Korrektur- und Informationspflichten erfüllen. |
| Betreiber | System entsprechend der Betriebsanleitung einsetzen, geeignete technische und organisatorische Maßnahmen treffen, kompetente Personen mit der menschlichen Aufsicht betrauen, den Betrieb überwachen und – soweit einschlägig – Protokolle aufbewahren sowie Risiken oder schwerwiegende Vorfälle melden. |
| Einführer | Vor dem Inverkehrbringen insbesondere prüfen, ob der Anbieter die für das Hochrisiko-KI-System erforderlichen Voraussetzungen erfüllt, und die eigenen Pflichten als Einführer beachten. |
| Händler | Vor der Bereitstellung insbesondere prüfen, ob erforderliche Kennzeichnungen und Unterlagen vorhanden sind, und bei vermuteter Nichtkonformität entsprechend reagieren. |
Artikel 16 bündelt die zentralen Pflichten der Anbieter von Hochrisiko-KI-Systemen, Artikel 26 diejenigen der Betreiber. Die Pflichten von Einführern und Händlern finden sich insbesondere in den Artikeln 23 und 24.
| Nicht nur Hochrisiko-KI beachten: Auch außerhalb von Hochrisiko-KI können rollen- und anwendungsbezogene Pflichten bestehen – beispielsweise zur KI-Kompetenz nach Artikel 4 oder zu Transparenz und Kennzeichnung nach Artikel 50. Für die interne Governance reicht es deshalb nicht aus, nur die Rolle zu bestimmen; zusätzlich müssen KI-System, Risikokategorie und konkreter Einsatz betrachtet werden. |
Muss ein Unternehmen einen AI Officer benennen?
Nein. Der EU AI Act schreibt Unternehmen weder generell einen „AI Officer“ noch ein bestimmtes internes Governance Board vor. Der AI Act Service Desk der Europäischen Kommission stellt ausdrücklich klar, dass keine besondere interne Governance-Struktur vorgeschrieben ist.
Das bedeutet jedoch nicht, dass Verantwortlichkeiten offenbleiben dürfen. Anbieter von Hochrisiko-KI-Systemen müssen nach Artikel 17 ein Qualitätsmanagementsystem einrichten. Dieses muss unter anderem einen Rechenschaftsrahmen enthalten, der die Verantwortlichkeiten der Leitung und des sonstigen Personals festlegt.
| Frage | Vorgabe des AI Acts |
|---|---|
| AI Officer verpflichtend? | Nein, keine generell vorgeschriebene Funktion mit dieser Bezeichnung. |
| AI Governance Board verpflichtend? | Nein, keine bestimmte interne Governance-Struktur vorgeschrieben. |
| Verantwortlichkeiten festlegen? | Ja, die einschlägigen Pflichten müssen organisatorisch zugeordnet und erfüllt werden. |
| Bei Hochrisiko-Anbietern? | Zusätzlich ist ein Qualitätsmanagementsystem mit festgelegten Verantwortlichkeiten erforderlich. |
| Nicht mit dem AI Office verwechseln: Das im AI Act genannte AI Office ist eine Einrichtung auf EU-Ebene. Es ist keine Funktion, die Unternehmen intern besetzen müssen. |
Welche internen Verantwortlichkeiten sollten Unternehmen festlegen?
Auch ohne vorgeschriebenen AI Officer sollten Unternehmen eindeutig festlegen, wer sich um welche KI-bezogenen Aufgaben kümmert. Welche Zuständigkeiten tatsächlich erforderlich sind, hängt von den eingesetzten KI-Systemen, der Rolle des Unternehmens und den jeweils anwendbaren Pflichten ab. Der AI Act schreibt hierfür keine einheitliche interne Organisationsstruktur vor. Bei Anbietern von Hochrisiko-KI verlangt Artikel 17 allerdings ausdrücklich einen Rechenschaftsrahmen mit festgelegten Verantwortlichkeiten.
| Verantwortungsbereich | Was sollte intern geklärt sein? |
|---|---|
| KI-Systeme und Einsatz erfassen | Wer hält fest, welche KI-Systeme im Unternehmen eingesetzt werden, für welchen Zweck und in welchen Bereichen? |
| Rechtliche Einordnung | Wer prüft Rolle, Risikokategorie und relevante Anforderungen des AI Acts? |
| Freigabe und Nutzungsregeln | Wer entscheidet, welche KI-Systeme für welche Zwecke eingesetzt werden dürfen und welche internen Vorgaben gelten? |
| KI-Kompetenz | Wer ermittelt den Kompetenzbedarf der betroffenen Personen und organisiert geeignete Maßnahmen nach Artikel 4? |
| Menschliche Aufsicht | Wer übernimmt bei Hochrisiko-KI die erforderliche menschliche Aufsicht und verfügt dafür über Kompetenz, Ausbildung, Befugnis und Unterstützung? |
| Überwachung, Dokumentation und Vorfälle | Wer überwacht den Einsatz, hält erforderliche Nachweise fest und kümmert sich bei relevanten Risiken oder Vorfällen um die vorgesehenen Prozesse? |
| Keine vorgeschriebenen Stellenbezeichnungen: Die genannten Verantwortungsbereiche sind eine praktische Organisationshilfe und keine vom AI Act vorgegebene Aufbauorganisation. Je nach Unternehmensgröße können Aufgaben bei bestehenden Funktionen liegen – beispielsweise Fachbereich, IT, Compliance, Datenschutz, Recht oder Informationssicherheit – oder in einem interdisziplinären KI-Governance-Team gebündelt werden. Entscheidend ist, dass Zuständigkeiten tatsächlich geklärt und die einschlägigen Pflichten erfüllt werden. |
Wie kann eine AI-Governance-Struktur praktisch aufgebaut werden?
Eine praktikable AI Governance sollte den Weg eines KI-Systems von der Erfassung über die rechtliche Einordnung bis zur laufenden Nutzung und Überwachung abbilden. Der EU AI Act schreibt dafür kein einheitliches Organisationsmodell vor. Unternehmen können bestehende Prozesse und Zuständigkeiten nutzen, sollten aber sicherstellen, dass Rolle, Risiken und einschlägige Pflichten für die jeweiligen KI-Systeme berücksichtigt werden.
| Schritt | Praktische Umsetzung |
|---|---|
| 1. KI-Systeme erfassen | Festhalten, welche KI-Systeme eingesetzt oder bereitgestellt werden, wo sie genutzt werden und welchem Zweck sie dienen. |
| 2. Rolle und Risikokategorie bestimmen | Prüfen, ob das Unternehmen etwa Anbieter oder Betreiber ist und welche AI-Act-Regelungen für das konkrete System relevant sind. |
| 3. Verantwortlichkeiten zuweisen | Festlegen, wer fachliche, rechtliche, technische und organisatorische Aufgaben übernimmt und wer Entscheidungen trifft. |
| 4. Einsatz und Kontrollen regeln | Freigaben, Nutzungsregeln, menschliche Kontrolle und gegebenenfalls weitere Schutzmaßnahmen für den konkreten Einsatz festlegen. |
| 5. Kompetenz und Dokumentation sicherstellen | Erforderliche Kompetenzmaßnahmen organisieren und relevante Entscheidungen, Maßnahmen und Nachweise nachvollziehbar festhalten. |
| 6. Nutzung regelmäßig überprüfen | Änderungen am System, neue Einsatzbereiche, Risiken, Vorfälle und regulatorische Entwicklungen beobachten und die Governance bei Bedarf anpassen. |
| Praxisorientiertes Governance-Modell: Diese sechs Schritte sind keine vom EU AI Act vorgeschriebene Organisationsstruktur. Sie dienen dazu, die verschiedenen rollen-, system- und risikobezogenen Pflichten in einen nachvollziehbaren internen Prozess zu überführen. Wie umfangreich dieser Prozess sein sollte, hängt insbesondere von den eingesetzten KI-Systemen und deren Risiken ab. |
Welche Funktionen sollten bei AI Governance zusammenarbeiten?
AI Governance ist in der Praxis meist eine bereichsübergreifende Aufgabe. Welche Funktionen beteiligt sein sollten, hängt von den eingesetzten KI-Systemen, den damit verbundenen Risiken und den gesetzlichen Pflichten ab. Der EU AI Act schreibt dafür keine feste Besetzung eines Governance-Teams vor. Bei Hochrisiko-KI bestehen je nach Rolle konkrete organisatorische Pflichten. Betreiber müssen beispielsweise geeignete Personen mit der menschlichen Aufsicht betrauen, die über die erforderliche Kompetenz, Schulung, Befugnis und Unterstützung verfügen.
| Funktion | Möglicher Beitrag zur AI Governance |
|---|---|
| Fachbereich | Zweck, Einsatzkontext und fachliche Anforderungen des KI-Systems beurteilen sowie die Nutzung im Arbeitsprozess verantworten. |
| IT / Digitalisierung | Technische Integration, Systembetrieb, Zugänge und technische Rahmenbedingungen begleiten. |
| Recht / Compliance | Rechtliche Rolle, anwendbare AI-Act-Pflichten und weitere regulatorische Anforderungen prüfen. |
| Datenschutz | Datenschutzrechtliche Anforderungen prüfen, wenn personenbezogene Daten verarbeitet werden. |
| Informationssicherheit | Sicherheitsanforderungen und Risiken des eingesetzten Systems bewerten und geeignete Schutzmaßnahmen begleiten. |
| Personal / Learning & Development | Maßnahmen zur KI-Kompetenz und gegebenenfalls aufgabenspezifische Schulungen organisatorisch unterstützen. |
| Management / verantwortliche Führungskräfte | Zuständigkeiten, Entscheidungswege und erforderliche Ressourcen festlegen und die Umsetzung organisatorisch verankern. |
| Keine Pflichtbesetzung: Diese Funktionen sind keine vom EU AI Act vorgeschriebene Zusammensetzung eines AI-Governance-Teams. Welche Bereiche tatsächlich beteiligt werden sollten, ist unternehmens- und systembezogen zu entscheiden. In kleineren Unternehmen können mehrere Aufgaben bei denselben Personen oder bestehenden Funktionen gebündelt werden. |
Checkliste: Sind Rollen und Verantwortlichkeiten geklärt?
Mit dieser Checkliste können Unternehmen prüfen, ob zentrale Zuständigkeiten für den Einsatz und die Bereitstellung von KI organisatorisch geklärt sind. Welche Punkte im Einzelfall erforderlich sind, hängt von den eingesetzten KI-Systemen, der Rolle des Unternehmens und den jeweils anwendbaren Pflichten des EU AI Acts ab.
| Prüffrage | |
|---|---|
| ☐ | Die eingesetzten und bereitgestellten KI-Systeme sowie ihre Zwecke sind bekannt. |
| ☐ | Für relevante KI-Systeme ist geklärt, in welcher rechtlichen Rolle das Unternehmen handelt. |
| ☐ | Es ist festgelegt, wer die rechtliche und risikobezogene Einordnung übernimmt. |
| ☐ | Freigaben, Nutzungsregeln und interne Entscheidungswege sind geklärt. |
| ☐ | Die Verantwortung für Maßnahmen zur KI-Kompetenz ist zugeordnet. |
| ☐ | Bei Hochrisiko-KI sind erforderliche Verantwortlichkeiten und gegebenenfalls die menschliche Aufsicht eindeutig zugewiesen. |
| ☐ | Überwachung, Dokumentation und der Umgang mit Risiken, Änderungen und Vorfällen sind organisatorisch geregelt. |
Gerade bei Hochrisiko-KI enthält der AI Act konkrete organisatorische Anforderungen: Anbieter müssen im Qualitätsmanagementsystem einen Rechenschaftsrahmen mit Verantwortlichkeiten vorsehen; Betreiber müssen die menschliche Aufsicht geeigneten Personen mit erforderlicher Kompetenz, Ausbildung und Befugnis übertragen und ihnen die notwendige Unterstützung geben.
| Hinweis: Die Checkliste ist eine praktische Organisationshilfe und keine vom EU AI Act vorgeschriebene Governance-Struktur. Nicht jeder Punkt erfordert eine eigene Stelle oder Person. Entscheidend ist, dass die für das jeweilige KI-System tatsächlich relevanten Aufgaben und Pflichten eindeutig zugeordnet und erfüllt werden. |
Whitepaper mit AI-Act-Checkliste anfordern
EU AI Act: Was sich zum 2. August 2026 ändert Das Whitepaper gibt einen kompakten Überblick über die zentralen Änderungen des EU AI Acts und unterstützt Unternehmen dabei, den eigenen Handlungsbedarf strukturiert zu prüfen. Im Whitepaper erfahren Sie unter anderem: ✓ welche Transparenzpflichten relevant sind |
Stand und fachliche Grundlagen Stand: 13. August 2026 Die Informationen auf dieser Seite beruhen insbesondere auf den Rollendefinitionen des Artikels 3, den Anforderungen an das Qualitätsmanagement von Anbietern von Hochrisiko-KI nach Artikel 17, den Regelungen zu Verantwortlichkeiten entlang der KI-Wertschöpfungskette nach Artikel 25 sowie den Pflichten von Betreibern nach Artikel 26 des EU AI Acts. Berücksichtigt sind zudem die Änderungen durch die Verordnung (EU) 2026/1744.
Hinweis: |
Weitere Informationen zum EU AI Act
Einen Überblick über weitere Pflichten, Fristen, KI-Kompetenz, Hochrisiko-KI und Governance finden Sie auf unserer Themenseite zum EU AI Act.
→ EU AI Act: Pflichten, Fristen und Checkliste für Unternehmen
FAQ zu AI Governance und Verantwortlichkeiten
1. Muss jedes Unternehmen einen AI Officer oder ein AI-Governance-Board einrichten?
1. Muss jedes Unternehmen einen AI Officer oder ein AI-Governance-Board einrichten?
Nein. Eine Funktion mit der Bezeichnung „AI Officer“ ist im EU AI Act nicht generell vorgeschrieben. Auch zur Erfüllung der Anforderungen an die KI-Kompetenz nach Artikel 4 verlangt die Europäische Kommission ausdrücklich keine bestimmte Governance-Struktur. Je nach eingesetzten KI-Systemen können sich jedoch konkrete organisatorische Pflichten ergeben.
2. Kann ein Unternehmen bei verschiedenen KI-Systemen unterschiedliche Rollen haben?
2. Kann ein Unternehmen bei verschiedenen KI-Systemen unterschiedliche Rollen haben?
Ja. Die Rolle ist anhand des jeweiligen KI-Systems und des konkreten Handelns des Unternehmens zu bestimmen. Ein Unternehmen kann deshalb beispielsweise bei einem System Betreiber und bei einem anderen Anbieter sein. Rollen können sich außerdem verändern, etwa wenn ein Hochrisiko-KI-System wesentlich verändert oder die Zweckbestimmung eines Systems so geändert wird, dass es zu Hochrisiko-KI wird.
3. Kann ein Betreiber selbst zum Anbieter eines KI-Systems werden?
3. Kann ein Betreiber selbst zum Anbieter eines KI-Systems werden?
Ja, unter bestimmten Voraussetzungen. Artikel 25 sieht insbesondere für Hochrisiko-KI vor, dass unter anderem Betreiber, Einführer oder Händler als Anbieter gelten können, wenn sie beispielsweise eine wesentliche Veränderung vornehmen oder die Zweckbestimmung so ändern, dass ein System zu Hochrisiko-KI wird. Artikel 25 wurde 2026 durch die Digital-Omnibus-Verordnung geändert; insbesondere wurden die Pflichten des ursprünglichen Anbieters gegenüber einem neuen Anbieter konkretisiert.
4. Muss AI Governance in einem eigenen Dokument festgehalten werden?
4. Muss AI Governance in einem eigenen Dokument festgehalten werden?
Der EU AI Act schreibt nicht generell ein Dokument mit der Bezeichnung „AI-Governance-Konzept“ vor. Je nach Rolle und KI-System bestehen jedoch konkrete Dokumentationspflichten. Anbieter von Hochrisiko-KI müssen beispielsweise ein systematisch dokumentiertes Qualitätsmanagementsystem einrichten, das auch einen Rechenschaftsrahmen mit Verantwortlichkeiten enthält.
5. Muss die menschliche Aufsicht bei Hochrisiko-KI von einer Führungskraft übernommen werden?
5. Muss die menschliche Aufsicht bei Hochrisiko-KI von einer Führungskraft übernommen werden?
Nein. Artikel 26 verlangt keine bestimmte Stellenbezeichnung oder Hierarchieebene. Betreiber müssen die menschliche Aufsicht natürlichen Personen übertragen, die über die erforderliche Kompetenz, Schulung und Befugnis sowie die notwendige Unterstützung verfügen. Entscheidend ist also ihre Eignung für die konkrete Aufsichtsaufgabe.
6. Müssen Datenschutz, IT, Recht und Compliance immer Teil eines AI-Governance-Teams sein?
6. Müssen Datenschutz, IT, Recht und Compliance immer Teil eines AI-Governance-Teams sein?
Nein. Der EU AI Act schreibt keine solche feste Zusammensetzung vor. Welche Funktionen beteiligt werden sollten, hängt von dem jeweiligen KI-System, seinem Einsatz, den Risiken und den anwendbaren gesetzlichen Anforderungen ab. Die auf dieser Seite dargestellte funktionsübergreifende Zusammenarbeit ist daher eine praktische Organisationsmöglichkeit und keine gesetzliche Pflichtbesetzung.
7. Können kleinere Unternehmen eine schlankere AI Governance aufbauen?
7. Können kleinere Unternehmen eine schlankere AI Governance aufbauen?
Ja, eine Governance-Struktur muss nicht zwangsläufig aus eigenen Stellen oder Gremien bestehen. Speziell bei Anbietern von Hochrisiko-KI sieht Artikel 17 vor, dass die Umsetzung des Qualitätsmanagementsystems zur Größe der Organisation verhältnismäßig sein soll. Das erforderliche Schutzniveau und die Einhaltung der einschlägigen Pflichten müssen aber weiterhin gewährleistet sein.
Künstliche Intelligenz nach Fachbereich vertiefen
KI in Pharma & Healthcare
Entdecken Sie Weiterbildungen zum Einsatz Künstlicher Intelligenz in Pharma und Healthcare – von regulatorischen…
KI in Banken & Finanzinstituten
Entdecken Sie Weiterbildungen zu Künstlicher Intelligenz im Finanzsektor – von AI Act und regulatorischen Anforderungen…
KI in Recht & Compliance
Entdecken Sie Weiterbildungen rund um Künstliche Intelligenz im rechtlichen Umfeld – von regulatorischen Anforderungen…
KI in Strategie, Organisation & Personalwirtschaft
Entdecken Sie Weiterbildungen rund um den Einsatz Künstlicher Intelligenz in Organisation, Personalmanagement und…
Weitere KI-Themenwelten
Entdecken Sie weitere Weiterbildungen und Fachthemen rund um Künstliche Intelligenz in unterschiedlichen Arbeits- und Fachbereichen.