Externer KI-Beauftragter – KI nutzen, Risiken steuern.

Eine Bestellpflicht wie beim Datenschutzbeauftragten gibt es nicht. Die Pflichten aus dem AI Act – KI-Kompetenz, Einordnung der Systeme, Transparenz, Aufsicht – gelten trotzdem. Jemand muss sie steuern; der externe KI-Beauftragte ist die pragmatische Antwort darauf – ohne eigene Vollzeitstelle.

Ja. Als Betreiber von KI-Systemen gilt für Sie seit dem 2. Februar 2025 die Pflicht zu Maßnahmen für die KI-Kompetenz nach Art. 4 – auch bei Standard-Tools. Veröffentlichen Sie KI-erzeugte Inhalte oder setzen Chatbots im Kundenkontakt ein, kommen seit dem 2. August 2026 Transparenzpflichten hinzu.

Die Verordnung (EU) 2026/1744 gilt seit dem 27. Juli 2026. Sie verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) und fasst Art. 4 neu: Unternehmen müssen die KI-Kompetenz ihres Personals fördern, statt ein bestimmtes Niveau sicherzustellen. Abgeschafft ist die Pflicht nicht.

Die höchsten Bußgelder betreffen verbotene Praktiken: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Verstöße gegen weitere Pflichten, etwa für Hochrisiko-KI, können bis zu 15 Mio. € oder 3 % kosten. Art. 4 selbst ist nicht bußgeldbewehrt – dokumentierte Maßnahmen zählen aber, wenn nach einem Schaden gefragt wird, was getan wurde.

Nein – und Vorsicht vor Anbietern, die das versprechen. Die Gesamtverantwortung bleibt bei der Geschäftsführung, die Aufsicht über kritische Entscheidungen bei qualifizierten Verantwortlichen im Unternehmen. Wir bauen und steuern das Governance-System, qualifizieren Ihre Verantwortlichen und begleiten Sie laufend.

Wir liefern nicht nur Richtlinien-PDFs. Wir entwickeln selbst mit KI, setzen Regeln technisch mit um, überwachen laufend Änderungen, Vorfälle und neue Anwendungen und berichten regelmäßig an Geschäftsführung, ISB und Datenschutz.

Dominik Scherer ist DEKRA-zertifizierter KI-Beauftragter im UBESAFE-Team. Er arbeitet eng mit unseren zertifizierten ISB Laura Klinzmann und Ezahraa Djemai sowie mit Alexander Brütsch als CISO zusammen – so sind KI, Informationssicherheit und Management-Bericht aus einer Hand.

Eine gesetzliche Bestellung wie beim Datenschutzbeauftragten sieht der AI Act nicht vor. Wir benennen den KI-Beauftragten verbindlich; Aufgaben, Befugnisse und Berichtslinie stehen im Vertrag. Damit ist die Rolle intern und gegenüber Prüfern klar dokumentiert.

Der ISB verantwortet die Informationssicherheit, der Datenschutzbeauftragte den Umgang mit personenbezogenen Daten. Der KI-Beauftragte steuert den Einsatz von KI-Systemen über beide Bereiche hinweg. Die drei Rollen arbeiten eng zusammen; den Datenschutzbeauftragten stellt UBESAFE über einen Partner.

Nein. Wir erbringen Governance-, Sicherheits- und Umsetzungsleistungen – keine Rechtsberatung. Bei Auslegungsfragen zum AI Act arbeiten wir mit Ihrer Kanzlei zusammen; die Abgrenzung ist vertraglich klar geregelt.

Mit einem kostenlosen Erstgespräch. Danach erfassen wir in einer Bestandsaufnahme, welche KI-Systeme im Einsatz sind, geben eine Ersteinschätzung zu Risikoklassen und Pflichten und schlagen einen konkreten Fahrplan vor. Sie entscheiden, ob und in welchem Umfang wir übernehmen.

Zwei Modelle: Als Rolle stellen wir den benannten KI-Beauftragten für 800 € netto im Monat, Ausarbeitung und Unterstützung rechnen wir nach Aufwand zu 135 € netto je Stunde ab. Im Mandat für 1.500 € netto im Monat sind sechs Stunden laufende Arbeit enthalten. Die Einführung rechnen wir in beiden Modellen einmalig nach Aufwand ab.

Die Rolle passt, wenn wenige KI-Tools im Einsatz sind und eigene Verantwortliche die Umsetzung tragen. Das Mandat lohnt sich, sobald regelmäßig neue Anwendungen zur Freigabe kommen, Berichte anstehen oder Schulungen nachgezogen werden – ab rund sechs Stunden laufender Arbeit im Monat ist es günstiger als die Rolle mit Abrechnung nach Aufwand.

Ein generelles Verbot verlagert die Nutzung in private Konten – dort fehlt jede Kontrolle. Besser ist eine Liste freigegebener Tools mit klaren Regeln, welche Daten hineindürfen. Das senkt das Risiko und hält die Produktivität im Unternehmen.

Das hängt vom Tool, seiner Konfiguration und dem Vertrag ab. Eine im eigenen Microsoft-365-Tenant abgesicherte Lösung ist anders zu bewerten als ein privates Konto. Die KI-Richtlinie legt fest, welche Datenklassen in welches Tool dürfen – verständlich für alle Mitarbeitenden.

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50. Wer mit einem KI-System kommuniziert, muss das erkennen können, und bestimmte KI-erzeugte Inhalte sind zu kennzeichnen. Welche Pflicht Sie trifft, hängt davon ab, ob Sie Anbieter oder Betreiber sind.

Hochrisiko-KI nach Anhang III betrifft bestimmte Einsatzbereiche, etwa Personalauswahl, Bildung, Kreditwürdigkeitsprüfung oder kritische Infrastruktur. Entscheidend ist der konkrete Zweck, nicht das Tool. Wir ordnen jedes System einzeln ein und dokumentieren die Begründung.

KI-Dienste sind Werte und Lieferanten im ISMS und gehören in Risikoanalyse, Lieferantenmanagement und Schulung. Wer nach ISO 27001 arbeitet oder unter NIS2 fällt, verankert die KI-Governance dort – und kann später ein KI-Managementsystem nach ISO/IEC 42001 darauf aufbauen.

Ja. Wir betreiben ein eigenes KI-Modell auf Azure-Servern in Europa und stellen für allgemeine Aufgaben Instanzen großer KI-Anbieter bereit; vertraulich eingestufte Daten laufen nur über das eigene Modell. Die Rolle des KI-Beauftragten ist davon unabhängig: Wir bewerten jedes Tool nach denselben Regeln – auch Lösungen anderer Anbieter.

Überwiegend remote, Workshops und Schulungen bei Bedarf auch vor Ort. Wir arbeiten aus Wolfsburg – bundesweit und für Kundenstandorte weltweit.