Externer KI-Beauftragter oder eigene Stelle: so entscheiden Sie

„Brauchen wir dafür jemanden?“ Die Frage kommt, sobald in einem Betrieb klar wird, dass KI längst im Alltag steckt. Gemeint ist meistens: Schreiben wir eine Stelle aus? Meine Antwort ist unbequem. Das weiß am Anfang niemand. Auch Sie nicht.

Für mehrere Unternehmen übernehme ich die Rolle des KI-Beauftragten extern. Ich schaue auf die Frage extern oder intern also von der Seite, die davon lebt. Gerade deshalb schreibe ich hier auch auf, wann eine eigene Stelle die bessere Wahl ist und wie eine Übergabe aussieht. Ein Externer, der sich unersetzlich macht, hat seinen Auftrag falsch verstanden.

Warum die Stellenfrage am Anfang zu früh kommt

Eine Stelle braucht eine Beschreibung. Eine Beschreibung braucht eine Vorstellung davon, was anfällt. Genau die fehlt am Anfang. Wie viele KI-Werkzeuge laufen im Betrieb? Wie oft fragt jemand, ob er eine Kundenzeichnung in einen Chatbot laden darf? Wie viele Freigaben stehen im Monat an? Solange das niemand gezählt hat, ist jede Stellenbeschreibung geraten.

Wer zum ersten Mal ein KI-Verzeichnis anlegt, findet oft mehr als erwartet. Den Assistenten im Office-Paket. Die Übersetzungsfunktion im Mailprogramm. Die Bedarfsprognose, die mit dem letzten ERP-Update kam. Das private Chatbot-Konto im Vertrieb. Nichts davon wurde als KI-Projekt eingeführt. In den Überblick gehört trotzdem alles, eingekaufte Funktionen genauso wie selbst gebaute.

Eine Stelle auf Verdacht hat zwei mögliche Ausgänge. Ist sie zu groß, sucht sich die Person Arbeit, und selten die richtige. Ist sie zu klein, wird KI zur Nebenaufgabe der IT-Leitung, die ohnehin voll ist. Das eine kostet Geld. Das andere kostet Aufmerksamkeit, und die fehlt dann genau dort, wo jemand gerade Kundendaten in ein fremdes Werkzeug kopiert.

Was Gesetz und Norm zur Besetzung sagen

Die kurze Antwort: nichts. Kein Gesetz schreibt einen KI-Beauftragten vor. Und keine Vorschrift verlangt, dass die Rolle im eigenen Haus sitzt.

Art. 4 der KI-Verordnung gilt seit dem 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Niveau müssen sie für niemanden garantieren. Wer diese Maßnahmen organisiert, lässt der Artikel offen. Neben dem eigenen Personal nennt er ausdrücklich auch Personen, die im Auftrag des Betriebs mit KI-Systemen arbeiten.

ISO/IEC 42001 ist freiwillig. Wer danach arbeitet, findet zur Besetzung drei Stellen, die zusammen ein klares Bild ergeben:

• Abschnitt 5.3: Die oberste Leitung weist zu, wer dafür sorgt, dass das KI-Managementsystem die Norm erfüllt, und wer ihr über seine Leistung berichtet. Ob diese Person angestellt ist, steht dort nicht.
• Abschnitt 7.2, Anmerkung 2: Als Wege zur nötigen Kompetenz nennt die Norm Schulung, Mentoring, Versetzung und die Anstellung oder Beauftragung kompetenter Personen. Intern und extern stehen dort nebeneinander.
• Abschnitt 8.1: Extern bereitgestellte Prozesse und Dienste, die für das Managementsystem relevant sind, muss die Organisation steuern. Ein externer KI-Beauftragter ist so ein Dienst. Er nimmt Ihnen die Steuerung nicht ab. Sie steuern ihn.

Beim Datenschutz kennt der Mittelstand diese Wahl seit Jahren. Art. 37 Abs. 6 DSGVO lässt ausdrücklich beides zu: Der Datenschutzbeauftragte kann Beschäftigter sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Ein Unterschied bleibt. Für den Datenschutz sagt § 38 BDSG, ab wann Sie überhaupt einen Beauftragten benennen müssen: in der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für KI gibt es keine solche Schwelle. Die müssen Sie selbst finden.

In beiden Modellen bleibt die Verantwortung bei der Geschäftsführung. Ein KI-Beauftragter koordiniert und entlastet. Die Rechenschaft gegenüber Kunden, Behörden und Belegschaft behält die Leitung.

Wann ein externer KI-Beauftragter die bessere Wahl ist

Extern passt, solange mindestens eine dieser Lagen zutrifft:

• Die Arbeit ist noch nicht gemessen. Niemand weiß, ob die Rolle vier Stunden im Monat braucht oder zwei Tage in der Woche.
• KI ist im Einsatz, aber niemand ist offiziell zuständig. Die Fragen landen bei dem, der sich gerade ein bisschen auskennt.
• Im Haus gibt es niemanden, der Werkzeuge, KI-Verordnung, Datenschutz und Normen zusammen überblickt und dafür Zeit hat.
• Ein Kunde fragt im Lieferantenaudit nach Ihrem Umgang mit KI. Die Antwort muss in Wochen stehen, eine Ausschreibung dauert länger.
• Sie wollen erst herausfinden, ob sich ein Managementsystem nach ISO/IEC 42001 für Sie überhaupt lohnt.

Ein Externer bringt den Blick aus mehreren Betrieben mit. Welche Regel in der Werkhalle gelesen wird und welche im Ordner verstaubt, sieht man im Vergleich schneller. Und er hat keine Abteilung zu verteidigen. Das hilft bei der Frage, ob der Vertrieb sein Lieblingswerkzeug behalten darf.

Die Kehrseite gehört dazu. Ich sitze nicht jeden Tag bei Ihnen. Ich höre nicht, was in der Kaffeeküche über das neue Werkzeug erzählt wird. Ein Chatbot-Konto, das am Montag angelegt wird, sehe ich frühestens beim nächsten Termin. Und gegenüber Ihren Leuten habe ich keine Weisungsbefugnis. Ein externer KI-Beauftragter funktioniert deshalb nur mit zwei Dingen: einer Person im Haus, die Bescheid gibt, und einer Geschäftsführung, die seine Freigaben sichtbar mitträgt.

Steuern heißt im Alltag: Der Auftrag steht schriftlich, bevor die Arbeit beginnt. In den Vertrag mit dem Externen gehören mindestens:

• der Umfang, in Stunden oder Terminen, und wer ihn anpassen darf
• die Befugnisse: Darf der Externe ein Werkzeug vorläufig sperren, oder nur eine Sperre empfehlen?
• der Berichtsweg zur Geschäftsführung, mit festem Rhythmus
• die Vertraulichkeit, und mit Ihrem Datenschutzbeauftragten geklärt, ob der Externe personenbezogene Daten zu sehen bekommt
• die Übergabe: Alle Unterlagen gehören dem Betrieb und liegen in seinen Systemen, nicht auf dem Rechner des Externen

Der letzte Punkt entscheidet später, wie leicht ein Wechsel fällt. Wer ihn erst beim Abschied verhandelt, verhandelt aus der schwächeren Position.

Woran Sie erkennen, dass sich eine eigene Stelle lohnt

Eine eigene Stelle lohnt sich, sobald sich die Arbeit nicht mehr in Termine pressen lässt. Die Zeichen dafür:

• Freigabeanfragen kommen jede Woche, nicht einmal im Quartal.
• Sie bauen eigene KI-Anwendungen oder lassen sie bauen. Damit können Sie selbst Anbieter im Sinne der KI-Verordnung werden, und die Arbeit wächst mit jedem Projekt.
• Ein KI-Managementsystem nach ISO/IEC 42001 läuft. Ziele, Risikobeurteilung, internes Audit, Managementbewertung und Korrekturmaßnahmen brauchen jemanden, der das ganze Jahr dranbleibt.
• Kunden fragen regelmäßig nach Ihrem Umgang mit KI, nicht ausnahmsweise.
• Im Team gibt es jemanden, der in die Rolle hineinwachsen will und dafür Rückhalt bekommt.

Der letzte Punkt ist der wichtigste. Die beste interne Besetzung ist selten eine neue Ausschreibung. Oft sitzt die Person schon im Haus. Die Qualitätsbeauftragte, die Normen und Audits kennt. Der Arbeitsvorbereiter, der jedes neue Werkzeug als Erster ausprobiert. Die IT-Leitung, sofern sie Luft hat. Was fehlt, sind Zeit und ein offizieller Auftrag der Geschäftsführung.

In die Stellenbeschreibung gehören dann drei Dinge. Ein fester Zeitanteil, damit KI nicht wieder zur Nebenaufgabe wird. Ein direkter Berichtsweg zur Geschäftsführung, so wie ihn ISO/IEC 42001 in 5.3 b) für den Bericht über die Leistung des Managementsystems vorsieht. Und die Befugnis, eine Freigabe zu verweigern, ohne vorher eine Abteilungsleitung fragen zu müssen.

Zwischen den reinen Formen liegt das Mischmodell. Eine Person im Haus übernimmt das Tagesgeschäft in Teilzeit. Der Externe bleibt mit einem kleinen festen Umfang für Schulungen, schwierige Freigaben und den Blick von außen. Das nimmt von beiden Seiten das Beste: die Nähe im Haus und den Abstand von außen.

Messen statt schätzen: was in der externen Phase mitläuft

Die Entscheidung extern oder intern braucht Zahlen. Die entstehen nebenbei, sofern in der externen Phase ein schlichtes Protokoll mitläuft. Keine Software, eine Tabelle reicht. Monatlich erfasst:

• die Zahl der Werkzeuge im KI-Verzeichnis. Wächst sie noch, ist die Bestandsaufnahme nicht fertig.
• Freigabeanfragen mit Datum, Werkzeug und Ergebnis.
• Fragen von Mitarbeitenden, grob nach Thema sortiert.
• Schulungen: wer, wann, welcher Inhalt. Das ist zugleich Ihr Beleg für die Maßnahmen nach Art. 4 KI-Verordnung und, wer nach ISO/IEC 42001 arbeitet, die dokumentierte Information zur Kompetenz nach 7.2.
• Kundenanfragen zum Umgang mit KI, etwa in Fragebögen und Lieferantenaudits.
• Vorfälle und Beinahe-Vorfälle: falsche Ausgaben, Daten am falschen Ort, ein Werkzeug ohne Freigabe.
• die Stunden, die der KI-Beauftragte tatsächlich aufwendet, getrennt nach diesen Posten.

Nach zwei Quartalen sehen Sie eine Kurve. Flacht sie ab, reicht ein kleiner fester Umfang, extern oder als Teilaufgabe im Haus. Steigt sie weiter, haben Sie die Stellenbeschreibung schon in der Hand. Sie steht in der Tabelle, Zeile für Zeile.

Ein Gedankenspiel zeigt, warum das trägt. Angenommen, die Tabelle zeigt nach sechs Monaten: Das Verzeichnis wächst nicht mehr, Freigaben kommen alle paar Wochen, die meisten Fragen drehen sich um dieselben drei Werkzeuge. Dann braucht es keine Stelle, sondern eine gute Richtlinie und eine feste Sprechstunde im Monat. Zeigt sie dagegen zwei eigene KI-Projekte in Planung, wachsende Kundenfragebögen und eine Geschäftsführung, die über eine Zertifizierung nachdenkt, ist die Stelle überfällig. Beide Ergebnisse sind gut. Schlecht ist nur, ohne Tabelle zu entscheiden.

Das ist der eigentliche Wert der externen Phase. Sie kaufen damit Gewissheit über eine Frage, die am Anfang niemand beantworten konnte.

Die Übergabe: woran Sie einen sauberen Wechsel erkennen

Fällt die Entscheidung für eine eigene Stelle, kommt der heikle Teil. Wissen, das nur in einem Kopf liegt, geht mit dem Vertrag. Zur Übergabe gehören deshalb mindestens:

• das KI-Verzeichnis mit Stand, Verantwortlichen und Freigabedatum je Werkzeug
• die KI-Richtlinie in der gültigen Fassung, samt den Gründen für strittige Regeln
• die Freigabeprotokolle, auch die Ablehnungen mit Begründung
• die Schulungsnachweise
• offene Punkte und laufende Kundenanfragen
• die Ansprechpartner bei den Anbietern der eingesetzten Werkzeuge

Dazu eine Überlappung, in der die neue Person die Arbeit macht und der Externe nur noch danebensitzt. Der Test am Ende ist einfach. Kann die neue Person die nächste Kundenfrage zum Umgang mit KI beantworten, ohne mich anzurufen? Dann ist übergeben. Muss sie anrufen, war es eine Abhängigkeit und keine Dienstleistung.

Eine Grenze gilt in beiden Modellen. Wer die Rolle ausfüllt, auditiert sie nicht. Das interne Audit braucht Objektivität und Unparteilichkeit (ISO/IEC 42001, 9.2.2 b). Bin ich in einem Unternehmen KI-Beauftragter, prüft dort jemand anderes. Ein Zertifikat stellt ohnehin ausschließlich eine akkreditierte Zertifizierungsstelle aus.

Erst messen. Dann besetzen. Dann übergeben. In dieser Reihenfolge wird aus der Stellenfrage eine Entscheidung mit Zahlen.

Was Sie am Montag tun können: Benennen Sie eine Person, bei der alle KI-Fragen landen, im Haus oder von außen. Lassen Sie ab diesem Tag mitzählen. In einem halben Jahr entscheiden Sie mit einer Tabelle statt mit einem Bauchgefühl.