Externe KI-Beauftragte
cogito.consulting stellt externe KI-Beauftragte als zentrale Governance-Funktion für Unternehmen. Wir koordinieren den verantwortungsvollen Einsatz von KI, schaffen Transparenz über Systeme und Zuständigkeiten und begleiten die Fachbereiche bei der Umsetzung geeigneter Prozesse. Die Rolle ist gesetzlich nicht vorgeschrieben und ersetzt nicht die Verantwortung von Anbieter, Betreiber oder Unternehmensleitung.
Die KI-Verordnung definiert keinen KI-Beauftragten. Eine fachkundig besetzte Governance-Funktion kann jedoch Zuständigkeiten bündeln, Risiken früh adressieren und die Umsetzung gesetzlicher und interner Anforderungen koordinieren. cogito.consulting übernimmt diese Rolle extern und begleitet insbesondere den Aufbau eines KI-Inventars, die strukturierte Vorprüfung von KI-Systemen, interne Freigabe- und Dokumentationsprozesse, Maßnahmen zur Förderung der KI-Kompetenz sowie die Schnittstellen zu Datenschutz und Informationssicherheit. Rechtliche Einzelfallbewertungen nach der KI-Verordnung und anderen Gesetzen erbringt bei Bedarf cogito.legal auf gesonderter Mandatsgrundlage. Gesetzliche Pflichten und unternehmerische Entscheidungen verbleiben bei der jeweils verantwortlichen Organisation.
Zentrale Ansprech- und Koordinationsfunktion für die KI-Governance. Begleitung der Fachbereiche, Strukturierung von Entscheidungsprozessen und regelmäßige Berichterstattung an die Unternehmensleitung. Die gesetzliche Verantwortung des Unternehmens wird nicht übernommen.
Beratung bei Aufbau und laufender Pflege eines zentralen Inventars der eingesetzten und geplanten KI-Systeme. Die Erfassung erfolgt gemeinsam mit den Fachbereichen und berücksichtigt auch KI-Funktionen in Standardsoftware und SaaS-Diensten.
Strukturierte fachliche Vorprüfung von KI-Anwendungen nach Einsatzzweck, Risiko und Rolle des Unternehmens als Anbieter oder Betreiber. Rechtliche Einzelfallbewertungen und Zweifelsfragen werden bei Bedarf durch cogito.legal geprüft.
Konzeption und Koordination geeigneter Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz bei Beschäftigten und weiteren mit KI-Systemen befassten Personen. Inhalte und Umfang werden an Rolle, Vorkenntnisse und Einsatzkontext angepasst. Schulungen können über cogito.training erfolgen.
Beratung bei internen Nutzungsregeln, Freigabeprozessen, Zuständigkeiten, Dokumentation und Management-Reporting für KI-Anwendungen. Die operative Umsetzung und die unternehmerischen Entscheidungen verbleiben beim Unternehmen.
Beratung bei der organisatorischen Ausgestaltung menschlicher Aufsicht, soweit entsprechende Pflichten für Hochrisiko-KI einschlägig und anwendbar sind. Zuständigkeiten, Befugnisse und Dokumentation werden definiert. Die operative Aufsicht erfolgt durch hierfür geeignete Personen des Unternehmens.
Koordination der Schnittstellen zwischen KI-Governance und Datenschutz, insbesondere bei personenbezogenen Trainings- und Eingabedaten, Datenschutz-Folgenabschätzungen, Transparenz und automatisierten Entscheidungen. Die gesetzlichen Aufgaben des Datenschutzbeauftragten bleiben unberührt.
Strukturierte Prüfung eingekaufter KI-Dienste anhand technischer und organisatorischer Kriterien, Dokumentation, Datenverwendung, Protokollierung und Anbieterinformationen. Rechtliche Vertragsprüfung und verbindliche rechtliche Bewertung erfolgen bei Bedarf durch cogito.legal.
Welche Anforderungen gelten, hängt vor allem von der Rolle des Unternehmens, dem konkreten Einsatzzweck und der Risikoklasse des jeweiligen KI-Systems ab.
Stand: August 2026, nach der Änderung durch den AI Omnibus. Anwendungstermine der einzelnen Stufen werden fortlaufend konkretisiert und sind im Einzelfall zu prüfen.
Nicht alle Anforderungen greifen gleichzeitig. Welche Stufe ein Unternehmen betrifft, hängt von seiner Rolle und der Risikoklasse des jeweiligen Systems ab. Die Anwendungstermine werden auf europäischer Ebene fortlaufend angepasst und sind im Einzelfall zu prüfen.
Gilt bereits
Die in Art. 5 genannten Praktiken sind untersagt, darunter Social Scoring und bestimmte biometrische Verfahren. Diese Stufe betrifft jedes Unternehmen, das KI einsetzt.
Gilt bereits
Anbieter und Betreiber müssen Maßnahmen treffen, die Entwicklung von KI-Kompetenz der mit KI-Systemen befassten Personen zu unterstützen. Ein bestimmtes individuelles Kompetenzniveau muss nicht gewährleistet werden.
Gilt bereits
Für Anbieter von GPAI-Modellen gelten eigene Pflichten, ebenso die Regelungen zu Governance und Aufsicht. Für Betreiber solcher Modelle sind vor allem die Transparenz- und Kompetenzanforderungen maßgeblich.
Folgt
Für Systeme in den dort genannten Bereichen greifen weitergehende Anforderungen: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz und wirksame menschliche Aufsicht.
Folgt
Für KI als Sicherheitsbauteil regulierter Produkte gelten die Anforderungen gesondert und zu einem späteren Zeitpunkt als für Anhang III.
Nein. Die KI-Verordnung sieht keine Pflicht zur Benennung eines KI-Beauftragten vor. Unternehmen können eine solche Funktion jedoch einrichten, um Zuständigkeiten für KI-Governance, Dokumentation, interne Prozesse und die Koordination gesetzlicher Anforderungen klar zuzuordnen. Die gesetzlichen Pflichten des Unternehmens werden dadurch nicht auf den KI-Beauftragten übertragen.
Der externe KI-Beauftragte übernimmt eine organisatorische Koordinations- und Governance-Funktion. Er begleitet das KI-Inventar, strukturiert Bewertungs- und Freigabeprozesse, unterstützt die Fachbereiche, koordiniert Maßnahmen zur KI-Kompetenz und berichtet an die Unternehmensleitung. Welche Aufgaben konkret übertragen werden, richtet sich nach Organisation, Risikoprofil und Einsatz der KI-Systeme.
Bei einem beruflichen Einsatz von KI-Systemen handelt ein Unternehmen regelmäßig als Betreiber im Sinne der KI-Verordnung. Welche Pflichten konkret gelten, hängt jedoch vom jeweiligen System, dem Einsatzzweck und der Rolle des Unternehmens ab. Art. 4 verlangt grundsätzlich Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz. Weitere Pflichten, etwa zu Transparenz oder Hochrisiko-KI, sind vom konkreten Anwendungsfall abhängig.
Vereinfacht gesagt bringt ein Anbieter ein KI-System unter eigenem Namen oder eigener Marke in Verkehr oder Betrieb. Ein Betreiber verwendet ein KI-System in eigener Verantwortung. Die konkrete Rollenverteilung kann komplexer sein, insbesondere bei wesentlichen Änderungen, eigener Weiterentwicklung oder dem Vertrieb integrierter KI-Lösungen. Eine verbindliche rechtliche Einordnung erfolgt bei Bedarf durch cogito.legal.
Eine personelle Verbindung ist nicht generell ausgeschlossen. Die Aufgaben müssen jedoch so zugeschnitten sein, dass die Unabhängigkeit des Datenschutzbeauftragten gewahrt bleibt und kein Interessenkonflikt entsteht. Insbesondere darf der Datenschutzbeauftragte nicht aufgrund einer anderen Funktion selbst über Zwecke und Mittel personenbezogener Datenverarbeitungen entscheiden. Die konkrete Rollenverteilung ist deshalb vorab zu prüfen.
cogito.consulting übernimmt die organisatorische und fachliche Begleitung der KI-Governance. Rechtsberatung im Einzelfall, verbindliche rechtliche Bewertungen und rechtliche Vertretung sind davon getrennt und werden bei Bedarf durch die Rechtsanwaltskanzlei cogito.legal auf gesonderter Mandatsgrundlage erbracht.
Ausgangspunkt ist eine strukturierte Bestandsaufnahme der eingesetzten und geplanten KI-Systeme sowie der bestehenden Zuständigkeiten und Prozesse. Anschließend werden die wesentlichen Risiken und Handlungsbedarfe priorisiert und ein für das Unternehmen angemessenes Governance-Modell festgelegt. Darauf baut die laufende Begleitung durch den externen KI-Beauftragten auf.
Ein mittelständisches Softwarehaus setzt generative KI in der Entwicklung ein, hat einen Chatbot im Kundenportal und plant eine Analysefunktion für Vertragsdaten. Eine Übersicht der eingesetzten Systeme besteht nicht; die Geschäftsführung möchte wissen, welche Pflichten daraus folgen.
Malte Rheingans
Geschäftsführer, cogito.consulting
Die KI-Governance verbindet Technik, Organisation und Recht. Wer sie koordiniert, sollte von Anfang an bekannt sein.
Unternehmensberatung
Seit 1987 begleiten wir digitale Vorhaben. Heute beraten wir insbesondere zu Datenschutz und KI-Governance und stellen externe Datenschutz- und KI-Beauftragte.
cogito.consulting Rechtsberatung
Wirtschaftsrechtskanzlei ausschließlich für Unternehmen. Rechtliche Beratung, Vertragsgestaltung und Vertretung insbesondere zu Datenschutz, KI und digitalen Geschäftsmodellen.
cogito.legal Gemeinsame Marke
Unter dem Dach von cogito arbeiten eine spezialisierte Unternehmensberatung und eine Wirtschaftsrechtskanzlei zusammen – rechtlich getrennt, fachlich verbunden.
cogito.deSchildern Sie uns Ihr Vorhaben. Wir melden uns kurzfristig zurück.
COGITO Gesellschaft für computergestützte