TL;DR für den Datenschutzbeauftragten
Drei Zahlen und eine Folge. 71 % wollen die KI-Verordnung im eigenen Bereich, 55 % haben sie schon; nur 27 % kennen den Text nach eigener Angabe gut, 85 % hatten nie eine KI-Schulung; 85 % der internen Datenschutzbeauftragten machen die Aufgabe in Teilzeit. Die KI-Verordnung erwähnt den Datenschutzbeauftragten nirgends: wer sie übernimmt, tut das ohne das Mandat aus Art. 38 DSGVO, das seine Unabhängigkeit schützt.
Wer die Datenschutzbeauftragten 2026 sind
Die Umfrage ist die fünfte Ausgabe des Observatoriums, das seit 2018 von der französischen Generaldelegation für Beschäftigung und Berufsbildung und der CNIL in Partnerschaft mit der AFCDP betrieben wird. Die diesjährige Studie wurde von der Afpa durchgeführt und am 3. Juli 2026 veröffentlicht.
- 79 % sind interne Datenschutzbeauftragte
- 54 % kommen aus anderen Bereichen als Recht und IT
- 85 % der internen und gemeinsam bestellten Beauftragten arbeiten in Teilzeit
- 45 % haben mehr als sechs Jahre Erfahrung im Datenschutz
- Männer und Frauen sind in der Funktion ausgewogen vertreten
Diese 85 % Teilzeit sind die Zahl, die man beim Lesen aller anderen im Blick behalten sollte: auf einer in Teilzeit ausgeübten Funktion wird eine zweite Verordnung abgelegt.
Die KI ist schon da, die Governance nicht
Davon nutzen 81 % generative KI-Systeme, und zwei Drittel kaufen die Lösung bei externen Anbietern, gegenüber 22 %, die selbst entwickeln. Die Nutzung wächst mit der Größe der Organisation. Die Governance hinkt aber deutlich hinterher: weniger als ein Viertel hat eine formale KI-Strategie oder -Richtlinie, weniger als ein Drittel hat Sensibilisierungsmaßnahmen durchgeführt oder eine Nutzungsrichtlinie verabschiedet, und nur 31 % haben mit der Vorbereitung auf die KI-Verordnung begonnen.
Der Punkt, der keine Schlagzeile wird
Zwei Drittel kaufen KI bei externen Anbietern. Das heißt: für die meisten Organisationen wird die KI-Konformität nicht im Haus entschieden, sondern beim Lesen von Vertrag und Dokumentation eines Anbieters. Genau das ist das Feld von Art. 28 und der dokumentierten Weisungen - kein neues Feld.
Die Lücke von 44 Punkten
Hier wird die Umfrage unbequem. 55 % geben an, die KI-Verordnung liege bereits in ihrem Verantwortungsbereich, und 71 % wünschen eine formale Ausweitung der Funktion darauf. Doch nur 27 % geben an, den Text gut zu kennen, und 85 % haben noch keine spezifische KI-Schulung besucht. Mehr als die Hälfte gibt an, oft oder systematisch in KI-Projekte einbezogen zu sein.
Die CNIL formuliert es nüchtern: Datenschutzbeauftragte sind für die DSGVO-Aspekte von KI im Wesentlichen gerüstet, es fehlen ihnen aber häufig Werkzeuge und Methoden für die Aspekte der KI-Verordnung. Und sie fügt etwas hinzu, das mehr wiegt als alle Prozentzahlen: da die KI-Verordnung den Datenschutzbeauftragten nicht nennt, ergibt sich seine Rolle in internen Governance-Ketten nicht von selbst.
Eine Rolle übernehmen ohne das Mandat, das sie schützt
Hier lohnt das Innehalten. Der Datenschutzbeauftragte hat ein geschriebenes Mandat: Art. 38 DSGVO sichert ihm die Berichtslinie zur höchsten Leitungsebene, die Weisungsfreiheit bei der Aufgabenerfüllung und den Schutz vor Abberufung wegen der Aufgabenerfüllung. Dieses Mandat deckt die Aufgaben aus Art. 39 ab, also die DSGVO. Es deckt nicht die KI-Verordnung ab, die ihn nicht nennt.
Und es gibt ein weiteres Risiko
Art. 38 Abs. 6 verbietet Aufgaben, die zu Interessenkonflikten führen. Wird der Datenschutzbeauftragte zu der Person, die die KI-Governance entwirft und aufbaut - Systeme auswählt, Verfahren schreibt, Risiken einstuft -, prüft er am Ende die eigene Arbeit. Es ist derselbe Grund, aus dem ein Datenschutzbeauftragter nicht IT-Leiter sein sollte: die bauende Rolle kann nicht die prüfende sein.
Was jetzt konkret zu tun ist
1) Halten Sie in einer Zeile schriftlich fest, ob die KI-Verordnung zu Ihrem Mandat gehört: sie faktisch zu übernehmen, ohne dass es geschrieben steht, ist das Schlechteste aus beiden Welten. 2) Trennen Sie die beiden Hüte: Beratung und Überwachung der DSGVO-Konformität von KI-Systemen sind Ihre gesetzlichen Aufgaben; die Konformität mit der KI-Verordnung ist ein zusätzlicher Auftrag, der erteilt, vergütet und dokumentiert werden muss. 3) Kauft der Mandant KI bei einem Anbieter - und das ist zwei von drei Fällen so -, ist die eigentliche Arbeit vertraglich: dokumentierte Weisungen, Modellinformationen, Rolle des Anbieters. 4) Fordern Sie die Schulung schriftlich an: Art. 38 Abs. 2 verpflichtet den Verantwortlichen, die erforderlichen Ressourcen bereitzustellen - mit 85 % ungeschulten Kolleginnen und Kollegen sind Sie in guter Gesellschaft. 5) Wenn Sie wie 85 % der internen Beauftragten in Teilzeit arbeiten, beziffern Sie die Mehrstunden vor der Annahme des erweiterten Zuständigkeitsbereichs, nicht danach.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
