KI-Governance im Unternehmen – Rollen & Verantwortlichkeiten nach Art. 4 EU AI Act

Seit dem 2. Februar 2025 gilt die KI-Kompetenz-Pflicht nach Artikel 4 EU AI Act – und mit ihr eine Frage, die viele Unternehmen noch nicht abschließend beantwortet haben: Wer ist eigentlich zuständig? Wer stellt sicher, dass Schulungen stattfinden, dokumentiert werden und die richtigen Personen erreichen? Wer trägt die Verantwortung, wenn bei einer Behördenprüfung Nachweise fehlen?

Dieser Artikel zeigt, wie KI-Governance im Unternehmen strukturiert werden kann, welche Rollen dabei welche Aufgaben übernehmen – und wie die Steuerung und Dokumentation der Art.-4-Pflicht in der Praxis aussieht. *Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für Ihre konkrete rechtliche Situation wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Was Art. 4 EU AI Act von Unternehmen verlangt – und was nicht

Bevor Rollen sinnvoll verteilt werden können, braucht es ein klares Verständnis der Pflicht selbst. Art. 4 EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Eine detaillierte Einführung bietet unser Artikel EU AI Act Artikel 4 einfach erklärt.

Wichtig für die Governance-Planung: Art. 4 ist eine Organisations- und Sorgfaltspflicht, kein eigenständiger Bußgeldtatbestand. Die im EU AI Act genannten Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes beziehen sich auf Verstöße gegen verbotene KI-Praktiken nach Art. 5 – nicht auf fehlende Schulungsmaßnahmen nach Art. 4. Das Risiko fehlender Art.-4-Compliance liegt im Bereich der Organisations- und Geschäftsleiterhaftung, nicht im direkten Bußgeldbereich. Mehr dazu im Artikel Verbotene KI-Praktiken nach Art. 5 EU AI Act.

Rolle 1: Die Geschäftsleitung – Organisationsverantwortung bleibt oben

Die Unternehmensleitung – Geschäftsführung einer GmbH (§ 43 GmbHG) oder Vorstand einer AG (§ 93 AktG) – trägt die nicht delegierbare Verantwortung dafür, dass gesetzliche Anforderungen systematisch eingehalten werden. Art. 4 ist eine solche Anforderung.

Das bedeutet konkret:

• Entscheidung über Schulungsmaßnahmen, Budget und Zeitplan
• Bestellung eines Verantwortlichen für die operative Umsetzung (z. B. KI-Beauftragter, HR-Leitung)
• Freigabe der unternehmensinternen KI-Richtlinie
• Kontrolle, dass Dokumentation tatsächlich gepflegt und für Behörden zugänglich ist
• Eigene Schulung – auch Führungskräfte sind persönlich von der Kompetenzpflicht erfasst

Wer diese Aufgaben vollständig nach unten weitergibt, ohne Oversight und eigene Kenntnisnahme, handelt nicht im Sinne des Gesetzes. Mehr zu den spezifischen Kompetenzen, die Führungskräfte selbst mitbringen müssen, lesen Sie in KI-Kompetenz für Führungskräfte – Organisationspflicht nach Art. 4.

Rolle 2: Der KI-Beauftragte (AI Compliance Officer) – empfohlen, nicht vorgeschrieben

Art. 4 EU AI Act verlangt keinen eigenständigen „KI-Beauftragten". Unternehmen sind frei, diese Funktion intern zu verteilen oder zu bündeln. Gerade ab einer gewissen Unternehmensgröße oder bei intensivem KI-Einsatz hat es sich aber bewährt, eine dedizierte Koordinationsfunktion zu schaffen.

Was ein KI-Beauftragter (oder AI Compliance Officer) übernimmt:

• Bestandsaufnahme der im Unternehmen genutzten KI-Systeme und der davon betroffenen Mitarbeitenden
• Konzeption eines Schulungsprogramms, das die Art.-4-Anforderungen erfüllt
• Koordination mit HR, IT, Datenschutz und Fachbereichen
• Pflege der Dokumentation: Teilnehmerlisten, Testergebnisse, Schulungsdaten
• Monitoring neuer Anforderungen – der EU AI Act wird stufenweise erweitert (nächste Stufen: 2026 und 2027, Übersicht im Fristenfahrplan EU AI Act)
• Berichterstattung an die Geschäftsleitung

Diese Funktion kann von einer bestehenden Person übernommen werden – etwa der Datenschutzbeauftragten, der Compliance-Leitung oder einer HR-Führungskraft – sofern die Aufgabe ausreichend klar definiert und mit Zeit und Entscheidungsbefugnis ausgestattet ist.

Rolle 3: Fachbereiche und operative Führungskräfte – Brücke in die Praxis

Schulungen entfalten nur dann Wirkung, wenn sie die richtigen Menschen erreichen. Dafür braucht es Führungskräfte in den Fachbereichen, die die Verbindung zwischen abstrakter Compliance-Anforderung und konkretem Arbeitsalltag herstellen.

Operative Führungskräfte in Marketing, Vertrieb, HR, Produktion oder Kundenservice übernehmen:

• Kommunikation gegenüber dem Team: Warum gibt es die Schulung, warum ist sie verbindlich?
• Sicherstellung der Teilnahme: Wer aus dem Team muss wann teilnehmen?
• Feedback an den KI-Beauftragten oder die Geschäftsleitung: Welche KI-Nutzung passiert im Team, welche Risiken entstehen?
• Vorbild: Wer als Teamleitung selbst am Kurs teilnimmt und das Zertifikat vorzeigt, erhöht die Akzeptanz deutlich.

Die Schulungsinhalte für operative Teams unterscheiden sich von denen für Führungsebenen. Was konkret vermittelt werden sollte, zeigt der Artikel KI-Schulung Mitarbeiter: Anforderungen, Inhalte, Nachweis.

Rolle 4: Datenschutzbeauftragter und Betriebsrat – wichtige Schnittstellen

Zwei Funktionen sind keine KI-Governance-Akteure im engeren Sinne, müssen aber frühzeitig einbezogen werden:

Datenschutzbeauftragter (DSB): KI-Einsatz ist häufig mit Datenverarbeitung verbunden. Wer prüft, ob ein KI-Tool datenschutzrechtlich zulässig ist, und wer stellt sicher, dass die Schulungsdokumentation DSGVO-konform gespeichert wird? Das ist Aufgabe des DSB. Die Schnittstelle zwischen DSGVO und KI-Compliance ist real – ein koordiniertes Vorgehen verhindert parallele, widersprüchliche Anforderungen im Unternehmen. Mehr dazu: DSGVO und KI-Tools im Einsatz.

Betriebsrat: In mitbestimmungspflichtigen Unternehmen hat der Betriebsrat Mitbestimmungsrechte, wenn Schulungsmaßnahmen angeordnet werden oder KI-Systeme zur Leistungs- und Verhaltenskontrolle eingesetzt werden. Eine frühzeitige Einbindung vermeidet Konflikte und beschleunigt die Einführung.

Verantwortungsverteilung im Überblick (RACI-Logik)

Wer macht was – in vier Kategorien (angelehnt an die RACI-Methode):

Responsible – trägt die operative Last:

• KI-Beauftragter (Koordination, Dokumentation)
• HR (Einbindung in Onboarding, Terminplanung)
• Fachbereichsleitungen (Teilnahme sicherstellen)

Accountable – trägt die Verantwortung nach außen:

• Geschäftsführung (nicht delegierbar)

Consulted – wird eingebunden, hat Mitsprache:

• Datenschutzbeauftragter (Datenschutz-Compliance)
• Betriebsrat (mitbestimmungspflichtige Aspekte)
• Rechtsberatung (juristische Einordnung)

Informed – wird informiert, entscheidet nicht:

• Alle Mitarbeitenden (was gilt, warum, bis wann)
• Aufsichtsbehörde Bundesnetzagentur (im Prüfungsfall auf Anfrage)

Diese Struktur ist kein gesetzliches Muss – sie beschreibt, wie eine funktionsfähige Governance typischerweise aussieht. Unternehmen, die KI nur in wenigen, klar abgegrenzten Prozessen nutzen, kommen auch ohne dedizierten KI-Beauftragten aus, solange die Geschäftsleitung die operative Koordination klar zuweist und die Dokumentation lückenlos ist.

Dokumentation: Das Scharnier der gesamten Governance

Alle Rollen und Strukturen helfen nichts, wenn am Ende keine Dokumentation existiert. Art. 4 ist eine Nachweispflicht. Was und wie dokumentiert werden muss – und was eine Behördenprüfung durch die Bundesnetzagentur erwartet –, erklärt unsere Checkliste zur KI-Kompetenz-Dokumentation.

Empfehlenswert ist, die KI-Governance in eine schriftliche KI-Richtlinie einzubetten, die Verantwortlichkeiten, Schulungspflichten und Dokumentationsstandards verbindlich regelt. Ein Leitfaden zur Erstellung: KI-Richtlinie im Unternehmen erstellen.

Welche Konsequenzen fehlende Schulungsnachweise im Haftungsfall haben können, erläutert der Artikel Geschäftsleiterhaftung und KI-Schulungsnachweis.

Fazit: Governance ist keine Bürokratie – sie schützt

KI-Governance im Unternehmen ist keine Pflichtübung für Konzerne. Auch mittelständische Betriebe und kleinere Unternehmen brauchen klare Antworten auf die Frage: Wer trägt die Verantwortung, wenn KI-Systeme eingesetzt werden und Kompetenz-Nachweise fehlen?

Die Antwort lautet: die Geschäftsleitung – immer. Wer für die operative Umsetzung zuständig ist, kann sie selbst festlegen. Entscheidend ist, dass jemand diese Aufgabe mit klarer Befugnis und ausreichend Zeit wirklich übernimmt, und dass am Ende Dokumentation existiert, die einer Prüfung standhält.

Möchten Sie die Art.-4-Pflicht für Ihr Unternehmen effizient lösen? Unser Gratis-Schnellcheck zeigt in wenigen Minuten, wo Sie heute stehen. Für Teams und Unternehmen bietet das Firmenportal eine zentrale Verwaltung von Schulungsnachweisen für alle Mitarbeitenden. Zum vollständigen Schulungsangebot für Einzelpersonen geht es hier.

*Dieser Artikel stellt keine Rechtsberatung dar. Alle Angaben dienen der allgemeinen Information. Für Ihre konkrete rechtliche Situation wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt. Das auf ki-zertifizieren.de angebotene Zertifikat ist kein staatlich akkreditierter Abschluss.*