Braucht eine kleine soziale Organisation einen KI-Beauftragten?

Warum die Frage nach dem KI-Beauftragten so früh auftaucht

Viele kleine soziale Organisationen merken zuerst an einer ganz praktischen Stelle, dass KI ein Organisationsthema wird: Mitarbeitende testen Chatbots, Leitung sieht Entlastungspotenzial, Datenschutz fragt nach Datenflüssen, und Teams wollen wissen, was erlaubt ist. Dann liegt die Rollenfrage nahe: Wer ist dafür zuständig?

Der Begriff KI-Beauftragter klingt nach Ordnung. Er verspricht eine klare Adresse für Fragen, Toolwünsche, Schulungen, Datenschutzabstimmung und Freigaben. Gleichzeitig kann er kleine Organisationen überfordern, wenn daraus sofort eine neue Stelle, ein neues Gremium oder ein komplizierter Prozess abgeleitet wird.

Die bessere Einstiegsfrage lautet deshalb nicht: "Wen ernennen wir?" Sondern: "Welche Aufgaben müssen verlässlich erledigt werden, und welche vorhandenen Rollen können sie tragen?" Genau hier entscheidet sich, ob KI-Verantwortung alltagstauglich wird.

Ist ein KI-Beauftragter Pflicht?

Eine pauschale Pflicht, eine eigene Rolle mit dem Titel KI-Beauftragter einzurichten, besteht nicht automatisch. Auch wenn viele Leitungen danach suchen, ob ein KI-Beauftragter erforderlich ist, stellt die KI-Verordnung nicht den Titel in den Mittelpunkt, sondern Aufgaben: KI-Kompetenz, verantwortliche Nutzung, Risikobewusstsein, menschliche Aufsicht, Transparenz, Dokumentation und Pflichten je nach Rolle als Anbieter oder Betreiber.

Für kleine soziale Organisationen ist besonders wichtig: Seit dem 2. Februar 2025 gelten die Anforderungen an KI-Kompetenz nach Artikel 4 der KI-Verordnung. Organisationen, die KI-Systeme im Arbeitskontext einsetzen lassen, müssen nach besten Kräften sicherstellen, dass die beteiligten Personen über ein ausreichendes Maß an KI-Kompetenz verfügen. Wie diese Kompetenz aufgebaut wird, ist nicht als einheitliches Format vorgeschrieben.

Auch Datenschutzrecht verlangt nicht den Titel KI-Beauftragter. Sobald personenbezogene Daten, Sozialdaten, Gesundheitsdaten, Beratungsinhalte oder interne vertrauliche Informationen betroffen sind, braucht es aber geprüfte Zwecke, Rechtsgrundlagen, Schutzmaßnahmen, Auftragsverarbeitung, Löschregeln, Informationspflichten und gegebenenfalls eine Risikoprüfung. Je nach Einsatzszenario, Datenarten, Umfang und möglichen Folgen für betroffene Personen kann auch eine Datenschutz-Folgenabschätzung erforderlich sein. Diese Aufgaben verschwinden nicht, nur weil keine neue Rolle geschaffen wird.

Praktisch heißt das: Kein Pflicht-Titel, aber Pflicht zur Organisation. Kleine Träger brauchen einen belastbaren Weg, wie KI-Fragen entschieden, dokumentiert, geschult und überprüft werden.

Was trotzdem geregelt werden muss

Wenn es keinen eigenen KI-Beauftragten gibt, müssen die Mindestaufgaben besonders klar verteilt werden. Sonst entsteht genau das Risiko, das eine Beauftragtenrolle eigentlich vermeiden soll: informelle Nutzung, unklare Zuständigkeit und einzelne Personen, die ohne Mandat entscheiden.

• Leitungsentscheidung: Die Organisation legt fest, ob und wofür KI genutzt werden darf.
• Datenregeln: Personenbezogene Daten, Sozialdaten, Gesundheitsdaten, Falldaten, Schutzkontexte und vertrauliche Inhalte werden klar eingeordnet.
• Toolfreigabe: Neue KI-Tools werden vor beruflicher Nutzung nach Zweck, Datenarten, Anbieter, Speicherort und Risiken bewertet.
• KI-Kompetenz: Mitarbeitende erhalten eine passende Unterweisung oder Schulung und verstehen Chancen, Risiken, Grenzen und Prüfpflichten.
• Fachliche Prüfung: KI-Ergebnisse werden nicht ungeprüft für Beratung, Dokumentation, Hilfeplanung, Bescheide, Personalentscheidungen oder Kommunikation verwendet.
• Informationssicherheit: Accounts, Zugriffe, Uploads, Freigaben, Protokolle und Speicherorte werden geregelt.
• Dokumentation interner Verantwortlichkeiten: Entscheidungen, Freigaben, Schulungen, Zuständigkeiten, offene Fragen und Änderungen werden nachvollziehbar festgehalten.
• Review: Regeln und Tools werden regelmäßig und bei wesentlichen Änderungen überprüft.

Diese Aufgaben können klein starten. Ein zweiseitiger Rollenplan, eine Datenampel, ein Toolsteckbrief, eine Schulungsnotiz und ein Review-Termin sind für viele Organisationen hilfreicher als ein großer Titel ohne gelebte Abläufe. Die dokumentierte Verteilung interner Verantwortlichkeiten ist dabei ein eigener Governance-Baustein: Sie zeigt, wer vorbereitet, wer prüft, wer entscheidet und wer informiert wird.

Schlankes Rollenmodell für kleine Organisationen

Ein schlankes Rollenmodell sollte vorhandene Funktionen nutzen. Es geht nicht darum, neue Hierarchien zu schaffen, sondern Entscheidungswege sichtbar zu machen. In kleinen Organisationen kann eine Person mehrere Aufgaben übernehmen, solange Prüfung, Entscheidung und Kontrolle nicht unklar vermischt werden.

• Leitung oder Geschäftsführung: entscheidet Grundrahmen, Ressourcen, erlaubte Nutzung, Ausschlüsse, Freigaben und Eskalation.
• Datenschutzkoordination oder Datenschutzbeauftragte: prüft Datenarten, Rechtsgrundlagen, Auftragsverarbeitung, TOMs, Informationspflichten und mögliche DSFA-Anlässe.
• Qualitätsmanagement: dokumentiert Prozesse, Versionen, Schulungsnachweise, Review-Termine und Verbesserungen.
• Fachpraxis oder Fachleitung: bewertet, welche KI-Nutzung fachlich sinnvoll, riskant oder ausgeschlossen ist.
• IT-Dienstleister oder Informationssicherheitsrolle: prüft technische Sicherheit, Accounts, Zugriffe, Speicherorte und Administrationsfragen.
• KI-Ansprechperson oder Brückenfunktion: sammelt Fragen, sortiert Toolwünsche vor, hält Vorlagen aktuell und verbindet die Rollen.

Diese Brückenfunktion kann am Anfang sehr klein sein: eine benannte Person mit zwei Stunden Koordinationszeit im Monat, klarer Rückbindung an Leitung und einem einfachen Formular für Toolfragen. Wichtig ist, dass sie nicht allein entscheiden muss. Sie koordiniert, aber sie ersetzt weder Leitung noch Datenschutz, QM oder Fachaufsicht.

Wann reicht eine Ansprechperson, wann braucht es mehr?

Eine einzelne KI-Ansprechperson reicht oft für den Start, wenn KI-Nutzung auf risikoarme Anwendungen begrenzt ist: allgemeine Textstruktur, Ideensammlung, interne Schulungsbeispiele, fiktive Fallvignetten oder Prozessideen ohne personenbezogene Daten. Dann braucht es vor allem klare Grenzen und einen Weg für Rückfragen.

Mehr Struktur wird notwendig, sobald echte Arbeitsprozesse, sensible Daten oder viele Teams betroffen sind. Wenn KI-Tools Protokolle erstellen, Dokumentation vorbereiten, Beratungstexte formulieren, Fallinformationen strukturieren oder mit internen Systemen verbunden werden sollen, reicht eine informelle Ansprechperson nicht mehr.

Ein eigener KI-Beauftragter oder eine stärkere Koordinationsrolle wird insbesondere dann sinnvoll, wenn Toolanfragen zunehmen, mehrere Standorte beteiligt sind, hohes Risiko entsteht, Schulung dauerhaft organisiert werden muss, Datenschutzprüfungen häufig werden oder Leitung regelmäßig Entscheidungsvorlagen braucht.

Die Entscheidung ist deshalb keine Entweder-oder-Frage. Kleine Organisationen können mit einer KI-Ansprechperson starten, daraus eine Brückenfunktion entwickeln und erst später prüfen, ob eine formellere Rolle oder externe Begleitung nötig wird.

Praxisbeispiele

Kleine Beratungsstelle mit begrenzter KI-Nutzung

Eine Beratungsstelle mit zehn Mitarbeitenden möchte KI für allgemeine Formulierungen, interne Ideensammlungen und die Vorbereitung von Schulungsmaterial nutzen. Eine eigene KI-Beauftragtenstelle wäre unrealistisch. Die Leitung benennt eine KI-Ansprechperson, legt eine Datenampel fest und entscheidet: keine echten Beratungsinhalte, keine Namen, keine Falldaten, keine Gesundheitsdaten in externe ungeprüfte Tools. Datenschutz prüft die Datenregel, QM dokumentiert Schulung und Review.

Ambulanter Dienst mit vielen Einzelanfragen

Ein ambulanter Dienst erhält aus Verwaltung, Leitung und Fachpraxis viele Fragen: Darf ein Chatbot für E-Mails genutzt werden? Darf ein Protokolltool Teamsitzungen zusammenfassen? Darf KI einen Konzeptentwurf überarbeiten? Hier reicht eine reine Zuruflösung nicht mehr. Die Organisation führt einen Toolsteckbrief ein: Zweck, Datenarten, Nutzerkreis, Anbieter, Speicherort und Prüffragen werden erfasst, bevor Leitung entscheidet.

Jugendhilfe mit Schutzkontexten

Ein Jugendhilfeträger will KI ausprobieren, arbeitet aber mit hochsensiblen Hilfeverläufen und Schutzkontexten. Die Leitung entscheidet, zunächst nur fiktive oder vollständig neutrale Beispiele zuzulassen. Fachleitungen bewerten Anwendungsfälle, Datenschutz prüft Grenzen, QM erstellt Nachweise. Eine KI-Brückenfunktion sammelt Fragen, darf aber keine Einzelfälle freigeben.

Verein ohne eigene IT-Abteilung

Ein kleiner Verein nutzt externe IT-Unterstützung und hat keine Digitalisierungsstelle. Statt einen KI-Beauftragten zu ernennen, verbindet die Leitung vorhandene Rollen: Vorstand entscheidet, Verwaltung sammelt Toolfragen, Datenschutz wird bei Datenbezug einbezogen, der IT-Dienstleister prüft technische Einstellungen und QM hält Regeln aktuell. Nach sechs Wochen wird geprüft, ob die Lösung tragfähig ist.