KI Rollen und RACI: Wer im Unternehmen für den AI Act verantwortlich ist

Gesetzliche Rollen und interne Funktionen trennen

Der erste Schritt jeder Zuständigkeitsordnung ist eine begriffliche Trennung. Anbieter, Betreiber, Einführer und Händler sind Rollen des AI Act, die sich aus der tatsächlichen Position in der Wertschöpfungskette ergeben. Geschäftsleitung, Fachbereich, IT, Legal, Datenschutz, Informationssicherheit oder Einkauf sind dagegen interne Funktionen. Eine RACI-Matrix kann Arbeit verteilen, aber ein Unternehmen nicht durch bloße Bezeichnung von seiner gesetzlichen Rolle befreien oder in eine andere Rolle versetzen.

Die Rollenzuordnung erfolgt systembezogen. Dasselbe Unternehmen kann ein eingekauftes System als Betreiber nutzen und bei einem anderen Produkt als Anbieter handeln. Bei Hochrisiko-Systemen können die in Artikel 25 genau bezeichneten Fälle eigener Kennzeichnung, wesentlicher Änderung oder geänderter Zweckbestimmung Anbieterfolgen auslösen; nicht jede Anpassung bewirkt automatisch einen Rollenwechsel. Deshalb beginnt jede RACI-Zeile mit dem betroffenen System, seinem Zweck, dem Lebenszyklus und der begründeten Wirtschaftsrolle. Eine pauschale Unternehmensrolle ist für ein vielfältiges Portfolio regelmäßig zu grob.

• Wirtschaftsrolle je System und Tätigkeit dokumentieren.
• Interne Jobtitel nicht mit gesetzlichen Akteursrollen gleichsetzen.
• Mehrfachrollen und mögliche Rollenwechsel ausdrücklich prüfen.

Quellen: [1] [2]

RACI richtig lesen und einsetzen

Responsible bezeichnet die Person oder Einheit, die eine Aufgabe operativ ausführt. Accountable steht für die Stelle, die das Ergebnis verantwortet und die notwendige Entscheidung trifft. Consulted wird vor der Entscheidung fachlich einbezogen; Informed erhält die erforderlichen Informationen. Für eine Aufgabe sollte es grundsätzlich eine klar erkennbare accountable Stelle geben. Mehrere operative Verantwortliche sind möglich, benötigen aber eindeutige Schnittstellen, Fristen und ein gemeinsames Ergebnisformat.

Eine RACI ist kein Selbstzweck und keine Rechtsquelle. Sie übersetzt die Governance in Arbeitsabläufe und macht Lücken sichtbar: Wer aktualisiert den Eintrag nach einem Modellwechsel? Wer darf den Betrieb stoppen? Wer beantwortet Behördenanfragen? Werden zu viele Personen nur informiert, entsteht kein zusätzlicher Schutz; werden Kontrollfunktionen bloß konsultiert, obwohl ihre Prüfung erforderlich ist, bleibt die Matrix wirkungslos. Jede Zuordnung muss daher mit realen Befugnissen, Zeit, Budget und Zugriff auf Informationen unterlegt sein.

• Pro Aufgabe eine eindeutige accountable Stelle festlegen.
• Entscheidungsrecht, Ausführung und unabhängige Kontrolle nicht vermischen.
• RACI mit Arbeitsanweisungen, Fristen und Evidenzanforderungen verbinden.

Quellen: [1] [2]

Verantwortung entlang des Lebenszyklus zuordnen

Eine vollständige Matrix deckt nicht nur die Freigabe ab. Sie beginnt bei Bedarfsmeldung und Inventarisierung, führt über Rollen- und Risikoklassifikation, Due Diligence, Vertrag, Implementierung und Schulung bis zu menschlicher Aufsicht, Monitoring, Incident Management und Stilllegung. Der Use-Case-Owner ist typischerweise für Zweck, reale Nutzung und fachliche Leistung verantwortlich. IT oder MLOps verantworten technische Integration und Messdaten, während Einkauf die Lieferanten- und Vertragsprozesse steuert.

Legal, Datenschutz, Informationssicherheit, Compliance und gegebenenfalls der Betriebsrat werden nach Betroffenheit einbezogen. Interne Revision prüft unabhängig, ob Design und Durchführung der Kontrollen wirksam sind, und sollte nicht selbst Eigentümer jener Kontrollen sein, die sie später beurteilt. Die Geschäftsleitung oder zuständige Bereichsleitung übernimmt Accountability für Entscheidungen, deren Tragweite dies verlangt. Niedrige Risiken können innerhalb klarer Delegationsgrenzen entschieden werden; rote Linien und Eskalationsfälle bleiben vorbehalten.

• Inventar, Klassifikation, Freigabe, Betrieb und Stilllegung vollständig abdecken.
• Den Use-Case-Owner als fachlich verantwortliche Person benennen.
• Unabhängige Prüfung von operativer Kontrollausführung trennen.

Quellen: [1] [2]

Kontrollfunktionen und Eskalation absichern

Datenschutz, Informationssicherheit, Compliance und interne Revision benötigen Zugang zu den für ihre Aufgaben relevanten Informationen. Ihre Einbindung darf nicht davon abhängen, ob ein Projektteam freiwillig Bedenken übernimmt. Die Matrix sollte deshalb ein dokumentiertes Eskalationsrecht, direkte Berichtswege für erhebliche Risiken und eine Möglichkeit zur vorläufigen Aussetzung vorsehen. Die jeweilige gesetzliche Unabhängigkeit, etwa der Datenschutzfunktion, bleibt von der RACI unberührt und ist in der Prozessgestaltung zu respektieren.

Auch der Betriebsrat wird nicht pauschal durch eine RACI ersetzt. Ob und wie er zu beteiligen ist, hängt von konkreter Anwendung und österreichischem Arbeitsverfassungsrecht ab. Für Konflikte braucht es eine Entscheidungskaskade: zunächst Klärung auf Projektebene, danach Risikoeigner oder Steering-Funktion und bei wesentlichen, nicht auflösbaren Risiken das zuständige Leitungsorgan. Ein Eskalationsfall endet mit einer dokumentierten Entscheidung, konkreten Auflagen und einem Termin für erneute Bewertung.

• Eskalationsrecht und direkte Berichtswege schriftlich festlegen.
• Gesetzliche Unabhängigkeit und Beteiligungsrechte nicht durch RACI verkürzen.
• Konflikte mit Frist, Entscheidungsebene und Ergebnisdokumentation steuern.

Quellen: [1] [2]

Hochrisiko-Governance und Artikel 17 vorbereiten

Für Anbieter von Hochrisiko-Systemen verlangt Artikel 17 künftig ein dokumentiertes Qualitätsmanagementsystem, das unter anderem Verantwortlichkeiten, Verfahren, Prüfungen, Datenmanagement, Risikomanagement, Monitoring und Vorfallkommunikation umfasst. Die RACI kann diesen Accountability-Rahmen abbilden, ersetzt aber die materiellen Anforderungen nicht. Betreiber benötigen ihrerseits klare Zuständigkeiten für Nutzung nach Anleitung, menschliche Aufsicht, Eingabedaten, Protokolle sowie Risiko- und Vorfallmeldungen, soweit die entsprechenden Pflichten anwendbar sind.

Nach dem Digital Omnibus gelten die einschlägigen Hochrisikopflichten für Systeme nach Anhang III grundsätzlich ab 2. Dezember 2027 und für Systeme nach Artikel 6 Absatz 1 grundsätzlich ab 2. August 2028. Für Produkte nach Anhang I Abschnitt B ist wegen Artikel 2 Absatz 2 zusätzlich das sektorale Produktrecht maßgeblich. Unternehmen können die Verantwortungsstruktur vorher aufbauen und erproben. Dabei ist Proportionalität wichtig: Ein kleiner Betrieb braucht nicht dieselben Gremien wie ein Konzern, muss aber Aufgaben, Entscheidungsschwellen, Vertretung und Nachweise eindeutig organisieren. Die Erleichterungen für KMU und kleine Midcap-Unternehmen sind konkret zu prüfen.

• Artikel 17 in bestehendes Qualitätsmanagement integrieren, wo das Unternehmen Anbieter ist.
• Betreiberaufgaben nicht ungeprüft in den Anbieterprozess kopieren.
• Anwendungstermine und proportionale Erleichterungen sichtbar dokumentieren.

Quellen: [2] [1]

Matrix testen, pflegen und wirksam halten

Eine veröffentlichte Matrix ist noch keine wirksame Governance. Mindestens anhand eines neuen Use Cases, eines Modellwechsels und eines simulierten Vorfalls sollte geprüft werden, ob Beteiligte ihre Aufgabe kennen, Informationen rechtzeitig erhalten und Entscheidungen innerhalb der erforderlichen Zeit treffen können. Lücken zeigen sich oft erst bei Abwesenheit, externer Lieferantenabhängigkeit oder widersprüchlichen Bewertungen. Deshalb gehören Stellvertretungen, Rufbereitschaft für kritische Vorfälle und ein erreichbarer Entscheider in das Design.

Die Matrix wird bei Organisations-, System- und Rechtsänderungen aktualisiert. Ein jährlicher Termin kann für stabile Bereiche genügen; dynamische Portfolios brauchen häufigere Reviews. Kennzahlen sind etwa überfällige Klassifikationen, Freigaben ohne Owner, offene Hochrisikomaßnahmen, nicht bearbeitete Vorfälle und fehlende Vertretungen. Die Geschäftsleitung erhält verdichtete Informationen über Lücken und akzeptierte Restrisiken. Eine RACI unterstützt damit die Steuerung, bietet jedoch keine automatische Konformitäts- oder Haftungsgarantie.

• Neue Use Cases und Vorfälle als Praxistest für Zuständigkeiten nutzen.
• Vertretungen und Erreichbarkeit für kritische Entscheidungen prüfen.
• Governance-Lücken mit Frist und verantwortlicher Stelle nachverfolgen.

Quellen: [1] [2]

Häufige Fragen