KI-Governance ohne eigenen KI-Beauftragten organisieren

Warum KI-Governance nicht an einer Einzelrolle hängen darf

Viele Organisationen stellen bei KI zuerst eine Rollenfrage: Brauchen wir eine KI-Beauftragte oder einen KI-Beauftragten? Die Frage ist nachvollziehbar, aber sie kann in die falsche Richtung führen. Ein Titel allein schafft noch keine KI-Governance. Entscheidend ist, ob Entscheidungen vorbereitet, dokumentiert, geprüft und im Alltag verstanden werden.

Gerade soziale Organisationen arbeiten mit sensiblen Informationen, Schutzkontexten, fachlicher Verantwortung und oft knappen Ressourcen. Wenn KI-Governance an einer Einzelperson hängt, entstehen Abhängigkeiten: Eine Person sammelt Toolfragen, beantwortet Datenschutzunsicherheiten, schult Kolleginnen, prüft Texte und soll nebenbei Leitung ersetzen. Das ist weder fair noch stabil.

Schlanke Governance verteilt Verantwortung. Sie macht sichtbar, welche Entscheidungen Leitung treffen muss, welche Prüfungen Datenschutz und IT brauchen, welche Standards das Qualitätsmanagement sichert und wo Fachpraxis unverzichtbar ist. So wird KI nicht zu einem Spezialthema einzelner Enthusiasten, sondern zu einem steuerbaren Organisationsprozess.

Braucht es wirklich einen KI-Beauftragten?

Ein eigener KI-Beauftragter kann sinnvoll sein, wenn eine Organisation viele Standorte, viele Tools, hohe Risiken oder komplexe Projekte hat. Für kleine und mittlere soziale Organisationen ist diese Rolle aber nicht automatisch der erste Schritt. Oft ist ein klarer Aufgabenverbund aus bestehenden Rollen realistischer.

Viele Leitungen fragen sich, ob sie ohne KI-Beauftragten überhaupt rechtssicher und organisatorisch handlungsfähig bleiben. Die praktischere Antwort lautet: KI Verantwortlichkeiten müssen sichtbar sein, aber sie müssen nicht zwingend in einer neuen Stelle gebündelt werden.

Rechtlich ist wichtig: Eine pauschale Pflicht, eine eigene Stelle mit dem Titel "KI-Beauftragter" einzurichten, besteht nicht automatisch. Trotzdem können aus KI-Verordnung, Datenschutz, Fachaufsicht, Arbeitsorganisation, Qualitätsmanagement und Vertragspraxis konkrete Organisationspflichten entstehen. Die Organisation muss also nicht zwingend einen Titel schaffen, sie muss aber die Aufgaben verantwortbar lösen.

Die bessere Einstiegsfrage lautet deshalb: Welche Aufgaben müssen bei uns verlässlich erledigt werden, und welche vorhandenen Rollen können diese Aufgaben tragen?

KI-Governance ohne eigenen KI-Beauftragten: Rollenmodell

Ein schlankes Rollenmodell kann mit fünf bis sechs Funktionen arbeiten. Diese Funktionen müssen nicht zwingend eigene Stellen sein. Eine Person kann mehrere Aufgaben übernehmen, solange Interessenkonflikte, Überlastung und fehlende Prüfung vermieden werden.

• Leitung oder Geschäftsführung: entscheidet Ziele, Grenzen, Ressourcen, Freigaben und Eskalation.
• Datenschutz: prüft Datenarten, Rechtsgrundlagen, Auftragsverarbeitung, Anbieterinformationen und Nutzungsgrenzen.
• Qualitätsmanagement: sorgt für Dokumentation, Versionierung, Nachweise, Review und kontinuierliche Verbesserung.
• Fachpraxis: bewertet Nutzen, Risiken, Fachlichkeit, Alltagstauglichkeit und Grenzen von KI-Ergebnissen.
• IT, Informationssicherheit oder externe technische Unterstützung: klärt Accounts, Zugriffsrechte, Gerätesicherheit, technische Einstellungen, Anbieterfragen, Protokollierung und sichere Nutzung.
• KI-Brückenfunktion: sammelt Fragen, bereitet Entscheidungen vor, verbindet Rollen und achtet darauf, dass offene Punkte nicht liegen bleiben.

Die KI-Brückenfunktion muss keine eigene Stelle sein. Sie kann für den Anfang auch als kleine Zusatzaufgabe bei QM, Digitalkoordination, Assistenz der Geschäftsführung oder einer fachlich geeigneten Leitung liegen. Wichtig ist ein klares Mandat: koordinieren, nicht allein entscheiden.

Für die praktische Umsetzung kann eine vorbereitete Rollenmatrix den Aufwand erheblich reduzieren. Sie zwingt nicht zu einem bestimmten Organisationsmodell, macht aber sichtbar, welche KI Verantwortlichkeiten bei Leitung bleiben, welche Aufgaben delegiert werden können und wo Datenschutz, QM, Fachpraxis oder Informationssicherheit beteiligt werden müssen.

Leitung, Datenschutz, QM und Fachpraxis verbinden

Ohne eigenen KI-Beauftragten wird die Verbindungsarbeit besonders wichtig. Leitung darf KI nicht einfach "an die Technik" delegieren. Datenschutz darf nicht erst eingebunden werden, wenn schon Tools genutzt werden. QM darf nicht nur Unterlagen ablegen, sondern sollte Regeln, Nachweise und Verbesserungen in die Organisation zurückspielen. Fachpraxis muss sagen können, welche KI-Nutzung tatsächlich hilft und wo fachliche Grenzen liegen.

Für Geschäftsführung und Trägerleitung ist das ein Steuerungsthema. Ein schlankes Rollenmodell hilft, Aufgaben zu delegieren, ohne Gesamtverantwortung zu verlieren. Es macht sichtbar, welche Entscheidungen auf Leitungsebene bleiben und welche Prüfschritte vorbereitet werden können.

Datenschutz und Fachlichkeit sollten dabei gemeinsam gedacht werden. Eine KI-Nutzung kann datenschutzarm wirken und trotzdem fachlich problematisch sein. Umgekehrt kann ein fachlich nützlicher Anwendungsfall datenschutzrechtlich oder technisch noch nicht freigegeben sein. Gute KI-Governance verhindert, dass solche Fragen im Alltag spontan entschieden werden.

Informationssicherheit und menschliche Aufsicht sichern

KI-Governance ohne eigenen KI-Beauftragten braucht einen ausdrücklichen Blick auf Informationssicherheit. Dazu gehören nicht nur Passwörter und Zugriffsrechte, sondern auch private Accounts, Datei-Uploads, Speicherorte, Protokolle, Berechtigungen, Anbieterbedingungen, Löschregeln und der Umgang mit vertraulichen Dokumenten. Gerade bei kostenpflichtigen KI-Diensten sollte geprüft werden, ob Vertragsbedingungen, Auftragsverarbeitung, Supportwege und technische Schutzmaßnahmen zur geplanten Nutzung passen.

Informationssicherheit ist damit eine gemeinsame Aufgabe von Leitung, Datenschutz, IT oder externem Dienstleister und Fachpraxis. Die Leitung entscheidet, welches Sicherheitsniveau für welche Nutzung erforderlich ist. IT oder externe Unterstützung prüft technische Einstellungen. Datenschutz bewertet Datenflüsse. Fachpraxis beschreibt, welche Inhalte im Alltag tatsächlich betroffen sein können.

Menschliche Aufsicht bedeutet mehr als "jemand schaut am Ende noch einmal drauf". Sie muss vorab geklärt werden: Wer darf KI-Ergebnisse verwenden? Wer prüft fachliche Plausibilität? Wer erkennt Fehler, Verzerrungen oder unpassende Empfehlungen? Wer stoppt eine Nutzung, wenn Risiken sichtbar werden? In sozialen Organisationen ist menschliche Aufsicht besonders wichtig, weil KI-Ergebnisse nicht ungeprüft in Beratung, Hilfeplanung, Schutzfragen, Leistungsentscheidungen oder Dokumentation einfließen dürfen.

Ein schlankes Modell kann dafür einfache Stoppschilder definieren: KI darf keine Fallentscheidung treffen, keine Schutzbewertung ersetzen, keine fachliche Einschätzung automatisieren und keine vertraulichen Daten in ungeprüfte Systeme verlagern. Solche Regeln machen KI Steuerung alltagstauglich und entlasten Mitarbeitende, weil sie nicht jede Grenzfrage allein entscheiden müssen.

Welche Prozesse mindestens geregelt werden sollten

Schlanke KI-Governance braucht keine umfangreiche Gremienstruktur. Sie braucht aber wenige wiederholbare Prozesse. Diese Prozesse sollten so einfach sein, dass sie im Alltag genutzt werden, und so verbindlich, dass sie bei Unsicherheit tragen.

• Toolwunsch einreichen: Wer ein KI-Tool nutzen möchte, beschreibt Zweck, Nutzerkreis, Datenarten und erwarteten Nutzen.
• Datenampel anwenden: Klare Datenregeln entscheiden, was erlaubt, prüfpflichtig oder ausgeschlossen ist.
• Informationssicherheit prüfen: Accounts, Zugriffe, Uploads, Speicherorte, Berechtigungen und technische Schutzmaßnahmen werden geklärt.
• Freigabe vorbereiten: Datenschutz, Fachpraxis, QM und gegebenenfalls IT bewerten die wichtigsten Prüfpunkte.
• Leitungsentscheidung dokumentieren: Freigabe, Einschränkung oder Ablehnung werden nachvollziehbar festgehalten.
• Schulung verbinden: Mitarbeitende erhalten Regeln, Beispiele und Hinweise zur fachlichen Prüfung.
• Review planen: Nach einigen Wochen und danach regelmäßig wird geprüft, ob Regeln, Toolfreigaben und Schulungsstand passen.

Viele Organisationen erstellen diese Unterlagen nicht vollständig selbst, sondern arbeiten mit vorbereiteten Vorlagen für Rollenmatrix, Toolfreigabe, Datenampel, Schulungsnachweis und Review-Protokoll. Entscheidend ist nicht, dass jede Formulierung neu erfunden wird, sondern dass die Vorlagen fachlich auf die eigene Organisation übertragen und verantwortlich freigegeben werden.

Bestehende QM-Systeme, etwa ein internes QM-Handbuch oder ein System nach ISO 9001, können dafür genutzt werden. KI muss nicht als Sonderwelt neben dem Qualitätsmanagement stehen; sinnvoller ist es, Freigaben, Zuständigkeiten, Nachweise, Schulungen und Reviews an bestehende Verfahren anzuschließen.

Auch die Datenschutzdokumentation kann betroffen sein. Wenn KI-Systeme personenbezogene Daten verarbeiten oder neue Datenflüsse entstehen, kann eine Anpassung im Verzeichnis von Verarbeitungstätigkeiten, bei Auftragsverarbeitung, technischen und organisatorischen Maßnahmen oder in Datenschutzinformationen erforderlich werden.

Der Review ist nicht nur Kontrolle, sondern Teil kontinuierlicher Verbesserung. Er hilft, Erfahrungen aus Teams aufzunehmen, Risiken früh zu erkennen, Regeln zu vereinfachen und Entscheidungen an neue Tools oder rechtliche Entwicklungen anzupassen.

Praxisbeispiele

Kleine Beratungsstelle ohne KI-Beauftragten

Eine Beratungsstelle mit zwölf Mitarbeitenden möchte KI für allgemeine Textstruktur und interne Lernübungen nutzen. Eine eigene KI-Beauftragtenstelle ist unrealistisch. Die Leitung entscheidet deshalb einen kleinen Rahmen: Datenschutz prüft Datenstopps, QM dokumentiert Regeln und Schulungsnachweise, zwei Fachkräfte testen fiktive Beispiele, und eine Verwaltungskraft sammelt Toolfragen für den monatlichen Leitungstermin.

Träger mit mehreren Teams und vielen Einzelanfragen

Ein Träger erhält aus mehreren Teams Fragen zu ChatGPT, Protokolltools und Textassistenten. Statt eine Einzelperson zur inoffiziellen KI-Stelle zu machen, wird ein schlanker Freigabeweg eingeführt. Toolwünsche werden über ein Formular gesammelt, Datenschutz und QM prüfen gemeinsam, Fachbereiche bewerten den Nutzen, und die Geschäftsführung entscheidet die Freigabe.

QM übernimmt die Koordination, entscheidet aber nicht allein

In einer Einrichtung liegt die Koordination zunächst beim Qualitätsmanagement, weil dort Prozesse, Nachweise und Versionierung ohnehin gepflegt werden. Das funktioniert, weil klar geregelt ist: QM bereitet vor, Datenschutz prüft Datenfragen, Fachpraxis bewertet Alltagstauglichkeit, und Leitung entscheidet. So wird Koordination möglich, ohne Verantwortung zu vermischen.

Jugendhilfe oder Eingliederungshilfe mit sensiblen Hilfeprozessen

Ein Team in der Jugendhilfe oder Eingliederungshilfe möchte KI nutzen, um allgemeine Formulierungen für Konzepte, Elterninformationen oder interne Vorbereitungen zu verbessern. Die Organisation erlaubt zunächst nur fiktive oder vollständig neutrale Beispiele. Hilfeverläufe, Diagnosen, Schutzkontexte, personenbezogene Informationen und fachliche Einschätzungen bleiben ausgeschlossen, solange keine ausdrückliche Prüfung erfolgt. Menschliche Aufsicht liegt bei der zuständigen Fachleitung; Datenschutz und QM dokumentieren Grenzen, Schulung und Review.

Tabelle: Wer macht was?