KI-Compliance-Manager: Werden Datenschutzbeauftragte als DSB durch die KI-Verordnung abgelöst? – Was sollten Unternehmen beachten

Künstliche Intelligenz verändert derzeit nicht nur Geschäftsprozesse, sondern auch die internen Zuständigkeiten für Recht, Compliance und Governance. In vielen Unternehmen rückt der Datenschutzbeauftragte (DSB) deshalb zunehmend in eine erweiterte Rolle hinein, die über die klassische DSGVO-Begleitung hinausgeht und immer stärker Elemente eines KI-Compliance-Managements umfasst. Entscheidend ist dabei jedoch, dass kein gesetzlich fest umrissenes neues Berufsbild entstanden ist, sondern sich in der Praxis eher eine Doppelrolle aus Datenschutzbeauftragtem und KI-Verantwortlichem herausbildet, der rechtlich und organisatorisch sauber ausgestaltet werden muss.

Warum sich das Berufsbild des Datenschutzbeauftragten derzeit verändert

Die Rolle des Datenschutzbeauftragten war schon immer mehr als reine Rechtskontrolle. Datenschutzbeauftragte beraten, strukturieren Prozesse, begleiten Fachbereiche und übersetzen regulatorische Anforderungen in betriebliche Praxis. Mit dem Einsatz von KI verschiebt sich dieses Aufgabenbild nun weiter. Der Grund liegt darin, dass KI-Projekte regelmäßig nicht nur datenschutzrechtliche Fragen, sondern zugleich Fragen der Governance, Risikosteuerung, Dokumentation, Schulung und organisationsweiten Freigabe auslösen.

Genau an dieser Schnittstelle wächst die Bedeutung des Datenschutzbeauftragten. In vielen Unternehmen ist er bereits diejenige Funktion, die bereichsübergreifend arbeitet, Risiken frühzeitig erkennt und interne Kontrollmechanismen mitgestaltet. Deshalb ist es nachvollziehbar, dass sich die Rolle des DSB zunehmend in Richtung eines KI-Compliance-Managers entwickelt. Rechtlich ist dabei aber wichtig: Es handelt sich nicht automatisch um ein neues, gesetzlich festgelegtes Berufsbild, sondern eher um eine erweiterte oder kombinierte Funktion, die an bestehende Datenschutz- und Compliance-Strukturen anknüpft.

KI-Verordnung in der Praxis: Warum Unternehmen klare Zuständigkeiten für KI-Compliance brauchen

Die KI-Verordnung verlangt zwar regelmäßig keine ausdrückliche Benennung eines „KI-Beauftragten“. Unternehmen dürfen aber nicht den Fehler machen, daraus auf fehlenden Handlungsbedarf zu schließen. Die Verordnung setzt vielmehr voraus, dass betroffene Organisationen interne Governance-Strukturen, Verantwortlichkeiten, Prüfprozesse und Dokumentationswege für KI-Systeme festlegen, um die Einhaltung der regulatorischen Vorgaben sicherzustellen.

Damit entsteht in der Praxis ein erheblicher Organisationsbedarf. Unternehmen müssen klären, wer KI-Anwendungen inventarisiert, wer Risiken bewertet, wer über Freigaben mitentscheidet, wer Schulungen koordiniert und wer regulatorische Änderungen überwacht. Gerade weil die KI-Verordnung keinen starren Pflichtkatalog für ein bestimmtes Berufsbild vorgibt, sind Unternehmen gezwungen, selbst tragfähige Rollenmodelle zu entwickeln.

Für viele Unternehmen liegt es nahe, diese Aufgaben zumindest teilweise beim Datenschutzbeauftragten anzusiedeln.

Das ist vor allem dort plausibel, wo KI-Systeme personenbezogene Daten verarbeiten, Betroffenenrechte berühren oder datenschutzrechtliche Risikoanalysen erfordern.

Die Rolle des Datenschutzbeauftragten erweitert sich damit faktisch, auch wenn sich daraus keine automatische gesetzliche Neubestimmung seiner Funktion ergibt.

KI-Kompetenz als neue Schlüsselqualifikation für Datenschutzbeauftragte

Eine der praktisch wichtigsten Entwicklungen betrifft die Pflicht zur KI-Kompetenz. Unternehmen müssen sicherstellen, dass Mitarbeiter und sonstige Beschäftigte, die mit KI-Systemen arbeiten oder deren Einsatz verantworten, über ein angemessenes Verständnis der jeweiligen Funktionsweise, Risiken und Einsatzgrenzen verfügen.

Das betrifft nicht nur technische Teams, sondern ausdrücklich auch solche Funktionen, die an Freigabe, Kontrolle und Governance beteiligt sind.

Damit verändert sich auch das Anforderungsprofil für Datenschutzbeauftragte.

Wer KI-Projekte rechtlich begleiten soll, muss heute nicht mehr nur Datenschutzrecht beherrschen. Er muss auch verstehen, wie KI-Anwendungen in der Praxis eingesetzt werden, welche Risikoklassen relevant sein können, wo Grenzen automatisierter Entscheidungen verlaufen, wie Trainings- und Validierungsdaten einzuordnen sind und welche organisatorischen Anforderungen und Maßnahmen für ein belastbares KI-Management erforderlich sind.

KI-Kompetenz wird damit zu einer neuen Kernqualifikation des modernen Datenschutzbeauftragten. Das bedeutet nicht, dass jeder DSB zugleich technischer KI-Spezialist sein muss. Es bedeutet aber sehr wohl, dass der klassische Fokus auf die Datenschutz-Grundverordnung (DSGVO), Verarbeitungsverzeichnisse und Betroffenenrechte für viele Unternehmen nicht mehr ausreicht. Datenschutzbeauftragte werden zunehmend zu strategischen Sparringspartnern für KI-Governance.

Datenschutzbeauftragter und KI-Compliance-Manager: Eigenständige Funktion oder kombinierte Rolle?

Die interessantere Antwort lautet: eher eine kombinierte Rolle als ein vollständig neues Berufsbild.

In der Unternehmenspraxis lässt sich derzeit beobachten, dass sich Rollenprofile ausdifferenzieren.

Einerseits bleibt der Datenschutzbeauftragte der Ansprechpartner für datenschutzrechtliche Fragen, etwa zu Rechtsgrundlagen, Transparenz, Datenminimierung, Datenschutz-Folgenabschätzungen und Betroffenenrechten.

Andererseits entstehen zusätzliche Aufgaben rund um den EU AI-Act, etwa in den Bereichen KI-Risikomanagement, Policy-Entwicklung, Inventarisierung von KI-Systemen, Schulungen, interne Freigabeprozesse und Überwachung regulatorischer Entwicklungen.

Daraus entwickeln sich typischerweise drei Rollenmodelle:

Der klassische Datenschutzbeauftragte

In diesem Modell bleibt der Schwerpunkt klar auf DSGVO, BDSG und datenschutzrechtlicher Governance. Der Datenschutzbeauftragte begleitet KI-Projekte vor allem dort, wo personenbezogene Daten betroffen sind. Er prüft die datenschutzrechtliche Zulässigkeit, unterstützt bei Datenschutz-Folgenabschätzungen und achtet auf Privacy by Design.

Der eigenständige AI-Officer oder KI-Compliance-Verantwortliche

Hier wird eine separate Funktion geschaffen, die sich schwerpunktmäßig mit der KI-Verordnung, dem KI-Risikomanagement, internen Richtlinien, KI-Registern, Schulungskonzepten und organisationsweiten Freigabestrukturen befasst. Dieses Modell kann insbesondere für größere Unternehmen, regulierte Branchen, Hochrisiko-Szenarien oder komplexe KI-Landschaften sinnvoll sein.

Die kombinierte Rolle „DSB + KI-Compliance-Manager“

Gerade im Mittelstand dürfte dieses Modell in der Praxis besonders häufig auftreten.

Der Datenschutzbeauftragte übernimmt gerade in mittelständischen Unternehmen häufig zusätzlich koordinierende Aufgaben im Bereich KI-Compliance und wird zu einer Art integriertem Ansprechpartner für Data- und AI-Governance. Das kann effizient sein, setzt aber voraus, dass Rollen, Zuständigkeiten und Grenzen sauber definiert werden.

Neue Aufgaben für Datenschutzbeauftragte im KI-Compliance-Management

Die Erweiterung in Richtung KI-Compliance zeigt sich vor allem in den praktischen Aufgaben. Datenschutzbeauftragte begleiten heute in vielen Unternehmen bereits nicht mehr nur einzelne Datenverarbeitungen, sondern ganze KI-Einsatzszenarien. Besonders relevant sind dabei folgende Felder:

• Bewertung geplanter KI-Use-Cases, insbesondere im Hinblick auf Risiken, Datenbezug und Freigabebedarf
• Verzahnung von Datenschutz-Folgenabschätzung und KI-Risikoprüfung
• Mitwirkung an einem KI-Register oder KI-Inventar
• Entwicklung und Prüfung interner KI-Richtlinien, etwa zu Shadow-KI, zulässigen Anwendungsfällen oder Vendor-Governance
• Begleitung von Schulungen und Awareness-Maßnahmen zur KI-Kompetenz
• Abstimmung mit IT-Sicherheit, Informationssicherheit und Compliance

Gerade die Verbindung zwischen Datenschutz, IT-Sicherheit und KI-Governance gewinnt an Bedeutung.

KI-Compliance ist in der Praxis selten ein isoliertes Rechtsprojekt.

Sie berührt regelmäßig Sicherheitsfragen (und verzahnt sich mit dem IT-Sicherheitsrecht), Governance-Fragen, Beschaffungsprozesse, den Umgang mit Drittanbietern und interne Kontrollsysteme.

Der Datenschutzbeauftragte wird dadurch immer häufiger zum Knotenpunkt zwischen mehreren Compliance-Bereichen.

Das kann für Unternehmen insbesondere dann problematisch sein, wenn der im Unternehmen berufene interne DSB oder auch ein externer DSB über keine juristische Ausbildung verfügt. In diesen Fällen kann es angesichts der zunehmenden Komplexität von Rechtsfragen und der sich immer stärker verzahnenden Rechtsbereiche, wie beispielsweise das IT-Recht, Das KI-Recht, der Datenschutz, das dafür einschlägige spezifische Vertragsrecht, einen externen juristischen Experten zur Projektbegleitung hinzuzuiehen.

Gerade im Bereich der Projektbegleitung und Projektumsetzung können wir aufgrund unserer jahrelangen Expertise  mit Mehrwert für Ihr Unternehmen beratend zur Seite stehen und Sie unterstützen.

Wo die Stärken des Datenschutzbeauftragten im KI-Kontext liegen

Datenschutzbeauftragte bringen für diese Entwicklung mehrere Vorteile mit. Sie sind es gewohnt, risikobasiert zu denken, Prozesse zu dokumentieren, Fachbereiche zu beraten und mit Aufsichtsanforderungen umzugehen. Diese Erfahrung ist auch für die KI-Compliance wertvoll.

Besonders stark ist der DSB regelmäßig in folgenden Bereichen:

Datenschutzrechtliche Einordnung von KI-Anwendungen

Viele KI-Systeme verarbeiten personenbezogene Daten oder lassen zumindest Personenbezug entstehen. Dann stellen sich sofort Fragen zu Rechtsgrundlagen, Transparenz, Speicherbegrenzung, Zweckbindung und Betroffenenrechten. Datenschutzbeauftragte können diese Fragen strukturiert aufarbeiten und in die Projektsteuerung einbringen.

Datenschutz-Folgenabschätzung und risikobasierte Prüfung

Gerade im Personalbereich, im Kundenmanagement, in Scoring-Konstellationen oder bei automatisierten Entscheidungsprozessen ist die Frage einer Datenschutz-Folgenabschätzung zentral. Datenschutzbeauftragte verfügen hier bereits über methodische Erfahrung und können helfen, datenschutzrechtliche Risiken frühzeitig zu erkennen.

Policy- und Governance-Arbeit

Unternehmen benötigen zunehmend klare Regelwerke für den Einsatz künstlicher Intelligenz. Dazu gehören Nutzungsrichtlinien, Freigabeverfahren, Vorgaben für den Einsatz externer Tools, Regeln zur Dokumentation und interne Eskalationsprozesse. Auch hier ist der DSB häufig ein naheliegender Mitgestalter.

Schulung und Sensibilisierung

Da KI-Kompetenz in der Breite aufgebaut werden muss, werden Datenschutzbeauftragte oft in Schulungen eingebunden. Sie können rechtliche Risiken verständlich vermitteln und Fachbereichen praxisnahe Leitplanken für den Umgang mit KI geben.

Die entscheidende Grenze: Unabhängigkeit und Interessenkonflikte

So naheliegend die Erweiterung des Aufgabenprofils ist, so deutlich ist auch die rechtliche Grenze. Der Datenschutzbeauftragte darf nicht in Rollen gedrängt werden, die seine Unabhängigkeit untergraben.

Das bedeutet in der Praxis:

Der DSB kann beraten, prüfen, koordinieren und überwachen.

Problematisch wird es dort, wo er zugleich operative Entscheidungen über dieselben KI-Systeme trifft, deren Rechtmäßigkeit oder Risikosteuerung er später unabhängig kontrollieren soll.

Wer etwa die endgültige Freigabe für ein KI-System erteilt, das KI-Managementsystem operativ verantwortet oder wirtschaftliche Steuerungsentscheidungen trifft, gerät schnell in einen Interessenkonflikt. Gerade hier kann die Hinzuziehung eines externen Beistandes mit juristischer spezieller Expertise im Bereich des KI-Rechts und rund um die KI-Verordnung (AI Act) für Unternehmen einen echten Vorteil und Mehrwert bei der Prozessumsetzung, wie z.B. der Erstellung oder Optimierung von KI-Guidelines mit sich bringen.

Gerade bei einem Doppelrollen-Modell ist deshalb eine präzise Rollendefinition unverzichtbar. Nicht jede zusätzliche KI-Aufgabe ist unzulässig. Aber je stärker der Datenschutzbeauftragte in operative Verantwortung eingebunden wird, desto größer wird das Konfliktrisiko.

KI-Weiterbildung für Datenschutzbeauftragte: Warum neue Qualifikationen zum Wettbewerbsvorteil werden

Die Praxis reagiert bereits deutlich auf diese Entwicklung. Der Markt für Weiterbildungen zeigt, dass Unternehmen und Fachkräfte den Bedarf erkannt haben. Zertifikatsangebote, Lehrgänge und Spezialisierungen rund um KI-Compliance, KI-Beauftragte, AI Governance oder AI Literacy richten sich zunehmend an Personen aus Datenschutz, Recht, IT und Compliance.

Das ist nicht als ein bloßer Fortbildungstrend zu sehen, sondern ein Hinweis auf die tatsächliche Veränderung des Berufsbildes. Wo neue Schulungs- und Zertifizierungsformate entstehen, verändert sich meist auch die betriebliche Erwartungshaltung. Unternehmen suchen heute zunehmend nach Profilen, die Datenschutzwissen mit KI-Verständnis, Risikokompetenz und Governance-Erfahrung verbinden.

Für Datenschutzbeauftragte (DSB) bedeutet das: Zusätzliche KI-Kompetenz wird nicht nur rechtlich relevant, sondern auch beruflich strategisch.

Wichtig ist: Wer diese Entwicklung frühzeitig aufgreift, kann sich in Unternehmen als zentrale Schnittstelle zwischen Datenschutz, KI-Regulierung und betrieblicher Umsetzung positionieren.

KI-Governance im Unternehmen: So sollte ein tragfähiges Rollenmodell aussehen

Entscheidend ist nicht, welcher Titel auf der Visitenkarte steht, sondern ob die Governance tragfähig ist. Unternehmen sollten deshalb nicht vorschnell nur neue Funktionsbezeichnungen einführen, sondern ein belastbares Modell schaffen, das Zuständigkeiten klar zuweist.

Ein praxistauglicher Mindestansatz sollte folgende Punkte abdecken:

• KI-Inventar oder KI-Register für eingesetzte und geplante Anwendungen
• klare Rollenverteilung zwischen Fachbereich, IT, Compliance, Datenschutz und Informationssicherheit
• Prüfprozess für neue KI-Use-Cases
• Richtlinien für zulässige Nutzung, Shadow-KI und Drittanbieter
• Schulungskonzept zur KI-Kompetenz
• Verzahnung mit Datenschutz- und Sicherheitsprozessen

Entscheidend ist dabei aber, dass eine Prüfung und Anpassung immer im Einzelfall und unter Berücksichtigung des konkreten Geschäftsfeldes und Tätigkeitsfeldes erfolgen sollte.

Wichtig ist deshalb: Gerade in mittleren und größeren Organisationen empfiehlt sich ein Modell, in dem der Datenschutzbeauftragte nicht alleiniger Träger der KI-Compliance, sondern Teil eines abgestimmten Governance-Systems ist. So lassen sich Fachkompetenz, Unabhängigkeit und Umsetzbarkeit besser miteinander vereinbaren.

Praxisempfehlung für Unternehmen und interne Datenschutzbeauftragte

Wer die Entwicklung richtig einordnen will, sollte weder in Alarmstimmung, noch in Abwehrhaltung verfallen, sondern neue Herausforderungen auch als Chance begreifen und proaktiv im Unternehmen tätig werden, um die Weichen für die Zukunft des Unternehmens im Bereich des Datenschutzes und der Künstlichen Intelligenz  optimal zu stellen.

Es geht nicht darum, dass Datenschutzbeauftragte zwingend einen völlig neuen Beruf erlernen müssen. Es geht vielmehr darum, dass sich ihr Tätigkeitsfeld real erweitert und Unternehmen darauf organisatorisch und rechtskonform reagieren müssen.

Für Unternehmen bedeutet das, die Rolle des DSB bewusst zu gestalten und nicht nur aus Bequemlichkeit zu erweitern. Für interne Datenschutzbeauftragte bedeutet es, das eigene Profil weiterzuentwickeln, ohne die Grenzen der Unabhängigkeit preiszugeben. Besonders sinnvoll ist es, frühzeitig zu klären, welche KI-bezogenen Aufgaben der DSB beratend und koordinierend übernehmen kann und welche Aufgaben besser in einer separaten Governance- oder Compliance-Funktion verortet werden sollten.

Fazit

Der Datenschutzbeauftragte entwickelt sich in vielen Unternehmen zunehmend in Richtung eines KI-Compliance-Managers, allerdings nicht als vollständig neues, gesetzlich definiertes Berufsbild, sondern meist als erweiterte Rolle oder Doppelrolle zwischen DSB und AI Officer. Genau darin liegt die eigentliche praktische Entwicklung.

Für Unternehmen ist das eine Chance, bestehende Datenschutzkompetenz sinnvoll für den Aufbau einer belastbaren KI-Governance zu nutzen. Gleichzeitig darf diese Entwicklung nicht dazu führen, dass die Unabhängigkeit des Datenschutzbeauftragten ausgehöhlt oder KI-Compliance vorschnell auf eine Einzelperson verlagert wird. Erfolgreich ist nur ein Modell, das Rollen sauber trennt, Zuständigkeiten dokumentiert und Datenschutz, KI-Compliance sowie Informationssicherheit gemeinsam denkt.

Für Sie bedeutet das konkret: Prüfen Sie jetzt, ob Ihr Datenschutzbeauftragter bereits faktisch Aufgaben eines KI-Compliance-Managers übernimmt, ohne dass diese Rolle intern sauber definiert ist. Gerade hier entstehen in der Praxis häufig die größten Reibungsverluste und Haftungsrisiken.

Unsere Kanzlei unterstützt Unternehmen, interne Datenschutzbeauftragte und Compliance-Verantwortliche dabei, tragfähige KI-Governance-Strukturen aufzubauen, Rollenkonflikte rechtlich zu bewerten und Datenschutz- sowie KI-Compliance praxistauglich miteinander zu verzahnen.

Wenn Sie die Rolle Ihres Datenschutzbeauftragten im KI-Kontext rechtssicher definieren oder ein integriertes Governance-Modell entwickeln möchten, nehmen Sie gerne Kontakt mit uns auf.