KI-Manager in Österreich, was die Rolle ist und wo sie endet

Den KI-Manager gibt es in Österreich nicht als gesetzlich geregelten Beruf, und die KI-Verordnung der EU verlangt nicht, eine solche Person zu bestellen. Laut Axel Anderl von DORDA kennt der AI Act keine Pflicht, einen Compliance Officer zu benennen, es mache aber Sinn, eine Person zu bestimmen (trend, aktualisiert 20. Jänner 2025¹). Anders liegt es bei der DSGVO, die unter bestimmten Voraussetzungen einen Datenschutzbeauftragten vorsieht (Art. 37 DSGVO²).

Ich bin selbst zertifizierter KI-Manager, Zertifizierungsstelle ist Austrian Standards, gemäß ISO/IEC 17024, nach dem Programm P85. Dieser Beitrag trennt, was die Rolle tut, wo ihre Grenzen liegen und wie ich selbst vorgehen würde.

Was die Verordnung verlangt

Seit 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Leute zu fördern (Art. 4 und Art. 113, konsolidierte Fassung³). Die Digital-Omnibus-Verordnung hat den Artikel am 27. Juli 2026 geändert, wie das die RTR festhält (KI-Servicestelle der RTR⁴). Was das genau heißt, steht im Beitrag KI-Kompetenz im Betrieb.

Wer das organisiert, schreibt die Verordnung nicht vor. In der Praxis ist es oft die Person, die man als KI-Manager bezeichnet. Einen Nachweis verlangt die Verordnung nicht, die RTR empfiehlt Dokumentation, zum Beispiel je Mitarbeiter im Personalakt.

Was ein KI-Manager tut

Das Kompetenzprofil von Austrian Standards beschreibt die Rolle so: Einsatzmöglichkeiten von KI in einer Organisation aufzeigen, Projekte planen, rechtliche, regulatorische und ethische Risiken aufzeigen, den Betrieb von KI-Projekten überwachen (Zertifizierungsprogramm P85, Version 3.0 vom 26. August 2025, Austrian Standards plus). Im Alltag heißt das für mich:

1. Bestand erheben. Welche KI-Werkzeuge laufen im Haus, auch die, die nie jemand freigegeben hat? Die RTR nennt eine regelmäßig wiederkehrende Erhebung als Best Practice.
2. Einsatzfälle finden und rechnen. Wo kostet ein Ablauf Zeit, die KI einsparen kann, und was kostet das Werkzeug?
3. Risiken einordnen. Ist der Betrieb Anbieter oder Betreiber, welche Risikostufe hat die Anwendung, was ist mit Datenschutz und Urheberrecht? Wie ich das für einen Einzelfall durchgehe, steht in Welche Risikoklasse trifft mich.
4. Regeln schreiben. Eine schriftliche Richtlinie: welche Werkzeuge, welche Daten dürfen hinein, wer prüft das Ergebnis.
5. Schulen und dokumentieren. Wer wurde wann worin geschult.
6. Projekte führen. Einführen, messen, nachjustieren, abdrehen, wenn es nichts bringt.
7. Abstimmen. Geschäftsführung, IT, Datenschutz und Betriebsrat an einen Tisch bringen.

Was er darf und was nicht

Die Pflichten der KI-Verordnung treffen den Betrieb als Anbieter oder Betreiber, nicht eine einzelne Person. Was ein KI-Manager entscheiden darf, regeln nach meiner Einordnung Dienstvertrag, Stellenbeschreibung und die Vollmacht der Geschäftsführung. Die Verantwortung bleibt bei der Geschäftsführung, auch wenn jemand anderer die Arbeit macht.

Gegenstand der Zertifizierung ist laut P85 ausschließlich die Kompetenz natürlicher Personen. Das Zertifikat bescheinigt also Kompetenz und gibt keine Befugnis.

Wie ich vorgehen würde

Ohne schriftliches Mandat bleibt die Rolle meiner Einschätzung nach ein Hobby. Ich würde mir schriftlich geben lassen, wofür ich zuständig bin, welches Budget ich habe und wem ich berichte. Danach:

• Mit einem Ablauf anfangen, nicht mit einer Strategie. Ein Vorgang, der heute nervt und Zeit kostet, vorher messen, nachher messen. Die P85-Prüfung verlangt dasselbe: Ausgangssituation, Kennzahlen, Return on Investment.
• Datenhoheit vor Werkzeugwahl. Erst klären, welche Daten das Haus verlassen dürfen, dann das Werkzeug suchen. Die vier Wege dafür stehen in Wo Ihre Daten landen.
• Ergebnisse prüfen lassen. KI liefert Entwürfe. Wer sie freigibt, muss das Fach beherrschen. Das ist für mich eine Frage der Haftung, nicht der Technik.
• Schulung nach Rolle. Wer Texte vorformuliert, braucht etwas anderes als jemand, der Angebote prüfen lässt.
• Ein Managementsystem erst, wenn der Betrieb es trägt. ISO/IEC 42001⁷ ist die Norm für ein KI-Managementsystem und freiwillig. Für ein Büro mit zehn Leuten halte ich sie meist für zu schwer, bei einem größeren Betrieb mit ISO 9001 passt sie dazu.

Das Zertifikat

Austrian Standards hält auf meinem Zertifikat fest, dass es zur Beurteilung der KI-Kompetenz nach Art. 4 herangezogen werden kann. Das ist die Einschätzung der Zertifizierungsstelle, die Verordnung selbst schreibt kein Zertifikat vor. Das Zertifikat gilt drei Jahre. Für die Verlängerung braucht es nach P85 mindestens 24 Stunden fachliche Weiterbildung im Zyklus und den Nachweis der aufrechten Tätigkeit im Feld, in Form einer Tätigkeits- oder Projektbeschreibung.

Aufsicht in Österreich

Laut ORF vom 30. Juli 2026 fehlte zu diesem Zeitpunkt jede Spur einer Regierungsvorlage zur Aufsicht, die Grünen kritisierten, es gebe niemanden, der die Pflichten durchsetzt. Das Bundeskanzleramt betonte, die Anforderungen gälten unabhängig davon, ob bis 2. August eine österreichische Behörde benannt wurde (ORF⁸). Erste Anlaufstelle für Fragen ist die KI-Servicestelle der RTR⁹.

Quellen

Amtlich: KI-Verordnung (EU) 2024/1689, konsolidiert³, Digital-Omnibus (EU) 2026/1744¹⁰, KI-Kompetenz, RTR⁴, ArbVG, RIS⁵, DSGVO².

Nicht amtlich: Zertifizierungsprogramm P85 KI Manager:in, Version 3.0, Austrian Standards plus GmbH, Zertifizierungsstelle gemäß ISO/IEC 17024 (liegt mir als PDF vor, keine öffentliche Adresse geprüft). KI im Betrieb⁶, Arbeiterkammer Wien, gesetzliche Interessenvertretung, keine Behörde. Mythen zum AI Act¹, Anwaltsmeinung (DORDA) im Magazin trend. Grüne kritisieren fehlende KI-Aufsicht⁸, ORF. ISO/IEC 42001:2023⁷, ISO.