KI-Verantwortung in kleinen Organisationen verteilen: Ein schlankes Rollenmodell

Warum KI-Verantwortung verteilt werden muss

In kleinen sozialen Organisationen beginnt KI oft sehr unspektakulär: Eine Kollegin möchte ChatGPT ausprobieren. Ein Team möchte ein Protokolltool testen. Eine Teamleitung sucht Formulierungshilfe für eine interne Vorlage. Eine Fachkraft lässt sich Ideen für eine Gruppenaktion geben. Genau an diesem Punkt entsteht die eigentliche Organisationsfrage: Wer darf was entscheiden?

Wenn diese Frage offen bleibt, entstehen zwei typische Risiken. Entweder KI-Nutzung bleibt informell und ungleich geregelt. Dann nutzt jedes Team andere Tools, mit anderen Daten und anderen Grenzen. Oder die Verantwortung landet bei einer einzelnen technikaffinen Person, die plötzlich Datenschutz, Fachlichkeit, Schulung, Toolauswahl und Leitungsvorbereitung tragen soll.

Beides ist für soziale Organisationen problematisch. Sie arbeiten mit vertraulichen Informationen, personenbezogenen Daten, Sozialdaten, Schutzkontexten und fachlichen Entscheidungen, die nicht an ein KI-System ausgelagert werden dürfen. KI-Verantwortung braucht deshalb einen organisatorischen Rahmen, der auch mit wenig Personal funktioniert.

Ein schlankes Rollenmodell beantwortet nicht jede Rechtsfrage. Es verhindert aber, dass Verantwortung unsichtbar wird. Es zeigt, wer den Rahmen setzt, wer vorbereitet, wer prüft, wer dokumentiert und wann Leitung, Datenschutz, Rechtsberatung, IT-Dienstleister oder Fachaufsicht einbezogen werden müssen.

Das schlanke Rollenmodell

Ein kleines Rollenmodell muss nicht mit neuen Stellen beginnen. Es kann vorhandene Funktionen so verbinden, dass KI-Fragen wiederholbar bearbeitet werden. Gute KI-Governance bedeutet nicht, dass Leitung alles selbst erledigt. Gute KI-Governance bedeutet, dass Leitung Aufgaben sicher delegieren kann. Entscheidend ist, dass jede Rolle ein klares Mandat hat und nicht alles in einer Person verschmilzt.

• Leitung oder Geschäftsführung: entscheidet Ziele, Grenzen, Ressourcen, Freigaben, Eskalation und Review.
• Datenschutzrolle: prüft Datenarten, Rechtsgrundlagen, Auftragsverarbeitung, Informationspflichten und bei Bedarf das Erfordernis einer Datenschutz-Folgenabschätzung.
• Qualitätsmanagement oder Dokumentationsrolle: hält Regeln, Versionen, Beschlüsse, Schulungsnachweise, Toolsteckbriefe und Reviews fest.
• Fachpraxis oder Fachleitung: bewertet, ob ein Anwendungsfall fachlich sinnvoll, vertretbar und im Alltag kontrollierbar ist.
• IT, Informationssicherheit oder externer Dienstleister: klärt Accounts, Zugriffe, Speicherorte, technische Schutzmaßnahmen und Anbieterinformationen.
• KI-Brückenfunktion: sammelt Fragen, sortiert Toolwünsche vor, verbindet Leitung, Datenschutz, QM und Fachpraxis und bereitet Reviews vor. Diese Rolle kann je nach Organisation beispielsweise von einer Teamleitung, einer QM-Verantwortlichen oder einer dafür benannten Fachkraft übernommen werden.

Diese Rollen sind Funktionen, keine zwingenden Stellen. In einer kleinen Beratungsstelle kann die Leitung selbst entscheiden, eine QM-Verantwortliche dokumentiert, eine Datenschutzkoordination prüft und eine Fachkraft sammelt Fragen. In einem kleinen Träger können dieselben Funktionen auf Leitungskreis, Datenschutzbeauftragte, Fachbereichsleitungen und Verwaltung verteilt werden.

Wichtig ist die Dokumentation der Verantwortlichkeiten innerhalb der Organisation. Nicht nur die Regel selbst, sondern auch die Rollenverteilung sollte nachvollziehbar festgehalten werden: Wer ist für Toolwünsche zuständig? Wer prüft Datenfragen? Wer entscheidet Freigaben? Wer aktualisiert Unterlagen? Wer informiert Mitarbeitende?

Schaubild: Rollen auf einen Blick

Das Rollenmodell lässt sich als einfache Verantwortungsstruktur lesen: Leitung setzt den Rahmen, Fachrollen prüfen und dokumentieren, die KI-Koordination verbindet die Fragen aus dem Alltag mit den richtigen Entscheidungswegen.

Was bei der Leitung bleibt

KI-Verantwortung kann verteilt werden, aber die Organisationsverantwortung bleibt bei Leitung, Geschäftsführung oder Träger. Das ist kein formaler Zusatz, sondern praktisch wichtig. Mitarbeitende brauchen Klarheit, welche Nutzung erlaubt ist und bei welchen Fragen sie stoppen müssen.

Die Leitung entscheidet vor allem den Grundrahmen: Dürfen KI-Tools eingesetzt werden? Für welche Zwecke? Welche Daten sind ausgeschlossen? Welche Tools sind freigegeben? Wer muss vor einer Nutzung beteiligt werden? Wann wird geprüft, ob die Regeln noch passen?

Auch Ressourcen bleiben Leitungsthema. Wenn Mitarbeitende KI nutzen sollen, brauchen sie Zeit für Schulung, klare Unterlagen, eine Ansprechstruktur und realistische Grenzen. Eine Regel, die im Alltag niemand versteht oder anwenden kann, erzeugt keine Sicherheit.

Klare Rollen sorgen außerdem dafür, dass Leitungen Aufgaben gezielt delegieren können, ohne Verantwortung aus der Hand zu geben. Genau darin liegt der praktische Wert eines schlanken Rollenmodells: Es entlastet Leitung, ohne Organisationsverantwortung unsichtbar zu machen.

Was delegiert werden kann

Nicht jede KI-Frage muss von der Leitung selbst bearbeitet werden. Gerade kleine Organisationen bleiben nur handlungsfähig, wenn Aufgaben sinnvoll verteilt werden. Delegation bedeutet aber nicht: "Jemand kümmert sich schon." Delegation braucht Auftrag, Grenze und Nachweis.

Delegierbar sind zum Beispiel die Sammlung von Toolwünschen, die Vorprüfung von Anwendungsfällen, die Vorbereitung einer Datenschutzfrage, die Pflege einer Toolliste, die Organisation von Schulungen, die Dokumentation von Teilnahme oder die Zusammenstellung offener Fragen für den Leitungstermin.

Nicht delegiert im Sinne eines Verschwindens dürfen Grundsatzentscheidungen. Ob personenbezogene Daten in ein Tool eingegeben werden dürfen, ob ein Tool für Fallarbeit geeignet ist, ob ein Vertrag passt oder ob eine Nutzung aus fachlichen Gründen ausgeschlossen bleibt, braucht ein klares Mandat und je nach Thema die richtige Prüfung.

Hilfreich ist eine einfache RACI-Logik: Wer ist verantwortlich für die Durchführung? Wer entscheidet verbindlich? Wer wird fachlich oder datenschutzbezogen beteiligt? Wer muss informiert werden? Diese Logik kann in einer kleinen Tabelle genügen.

Datenschutz, QM und Fachpraxis verbinden

KI-Verantwortung ist nie nur eine Technikfrage. In sozialen Organisationen gehören Datenschutz, fachliche Verantwortung und Qualitätsmanagement zusammen. Ein Tool kann technisch einfach wirken und fachlich trotzdem ungeeignet sein. Umgekehrt kann eine hilfreiche Idee datenschutzrechtlich oder organisatorisch zu früh kommen.

KI-Governance entsteht dort, wo solche Rollen zusammenarbeiten. Datenschutz sollte früh klären, welche Datenarten betroffen sind, ob personenbezogene Daten verarbeitet werden, ob Auftragsverarbeitung vorliegt, welche Anbieterinformationen fehlen und ob Informationspflichten, Verträge, technische und organisatorische Maßnahmen oder das Verzeichnis von Verarbeitungstätigkeiten angepasst werden müssen. Je nach Einsatzszenario kann auch eine Datenschutz-Folgenabschätzung erforderlich sein.

Qualitätsmanagement sorgt dafür, dass Entscheidungen nicht im E-Mail-Verlauf verschwinden. Es kann Versionen, Freigaben, Schulungsnachweise, Toolsteckbriefe, Review-Termine und Änderungen dokumentieren. Damit wird KI-Governance anschlussfähig an bestehende Prozesse statt zu einem Sonderthema neben der Organisation.

Fachpraxis prüft, ob ein Anwendungsfall wirklich passt. KI kann Entwürfe, Strukturierung oder Lernprozesse unterstützen. Sie darf aber keine fachliche Bewertung ersetzen, keine Schutzentscheidung treffen, keine Hilfeplanung automatisieren und keine Beziehungsgestaltung auslagern. Fachliche Aufsicht bleibt ein Kernbaustein.

Wiederholbare Prozesse statt Einzelentscheidungen

Ein Rollenmodell wirkt nur, wenn es mit wenigen wiederholbaren Prozessen verbunden wird. Sonst steht zwar fest, wer theoretisch beteiligt ist, aber niemand weiß, wie eine Frage konkret bearbeitet wird.

• Toolwunsch: Mitarbeitende beschreiben Tool, Zweck, Nutzerkreis, Datenarten, erwarteten Nutzen und offene Fragen.
• Datenampel: Die Organisation unterscheidet erlaubte, prüfpflichtige und ausgeschlossene Daten und Anwendungsfälle.
• Fachliche Bewertung: Fachleitung oder Fachpraxis prüfen Nutzen, Grenzen, menschliche Aufsicht und Ausschlussbereiche.
• Datenschutz- und Sicherheitsprüfung: Datenschutz, IT oder externe Unterstützung klären Datenflüsse, Zugriffe, Verträge und Schutzmaßnahmen.
• Freigabeentscheidung: Leitung entscheidet Nutzung, Einschränkung, Pilotphase oder Ablehnung.
• Schulung: Mitarbeitende erhalten passende Unterweisung zu KI-Kompetenz, Datenregeln, Fehleranfälligkeit und fachlicher Prüfung.
• Review: Nach vier bis acht Wochen und danach regelmäßig werden Erfahrungen, Vorfälle, Tooländerungen und offene Fragen geprüft.

Diese Prozesse können sehr schlank bleiben. Eine Seite Rollenmatrix, ein Toolsteckbrief, eine Datenampel, eine Schulungsdokumentation und ein kurzes Review-Protokoll reichen oft für den Einstieg. Viele Organisationen entwickeln diese Unterlagen selbst. Wer schneller starten möchte, kann auf vorbereitete Vorlagen zurückgreifen. Genau für solche ersten Schritte wurden die KI-Leitplanken entwickelt.

Praxisbeispiele

Kleine Beratungsstelle mit zwölf Mitarbeitenden

Eine Beratungsstelle möchte KI zunächst für allgemeine Textstruktur, Ideensammlung und interne Lernbeispiele nutzen. Die Leitung legt fest, dass keine echten Falldaten, Beratungsverläufe oder vertraulichen Dokumente eingegeben werden dürfen. Eine Mitarbeiterin aus der Verwaltung sammelt Toolfragen, die Datenschutzkoordination prüft Datenaspekte, eine Fachleitung bewertet Praxisnähe und QM dokumentiert Freigaben und Schulungsnachweise.

Jugendhilfeträger mit mehreren Teams

Ein kleiner Jugendhilfeträger bekommt aus mehreren Teams Anfragen zu KI für Protokolle, Elternbriefe und Konzepttexte. Das Rollenmodell verhindert Schnellschüsse: Protokolltools werden wegen sensibler Gesprächsinhalte zunächst zurückgestellt. Allgemeine Konzeptentwürfe ohne personenbezogene Daten werden als Pilot erlaubt. Die Geschäftsführung entscheidet, Datenschutz und QM dokumentieren, Fachbereichsleitungen geben Rückmeldung nach sechs Wochen.

QM koordiniert, entscheidet aber nicht allein

In einer Einrichtung übernimmt QM die Koordination, weil dort ohnehin Vorlagen, Prozesse und Nachweise gepflegt werden. Das ist praktikabel, weil die Grenzen klar sind: QM sammelt und dokumentiert, Datenschutz prüft Datenfragen, Fachpraxis bewertet Anwendungsfälle und Leitung entscheidet. So wird QM nicht zur verdeckten KI-Leitung, sondern zur organisatorischen Drehscheibe.

Externe IT wird gezielt eingebunden

Eine Organisation ohne eigene IT-Abteilung nutzt einen externen Dienstleister. Dieser wird nicht für jede fachliche KI-Frage eingebunden, sondern für konkrete Sicherheits- und Vertragsfragen: Accountverwaltung, Zugriffsschutz, Speicherorte, Anbieterinformationen und technische Risiken. Fachliche Grenzen und Nutzungsszenarien entscheidet die Organisation selbst.

Tabelle: Rollen und Mindestnachweise