Inhaltsverzeichnis
1. Was der EU AI Act für KMU bedeutet
Für die meisten kleinen und mittleren Unternehmen ist der AI Act kein Grund, KI zu stoppen. Er ist eher ein Anlass, sauber zu entscheiden: Welche Tools nutzen wir? Wer hat Zugriff? Welche Daten dürfen hinein? Und wo brauchen wir klare Leitplanken?
Ich habe in den letzten Monaten mit mehreren mittelständischen Unternehmen genau diese Entscheidung durchgespielt — von einem Logistikdienstleister mit 80 Mitarbeitern bis zu einem Ingenieurbüro mit 15 Leuten. Die gute Nachricht: Wer strukturiert vorgeht, ist in 2-3 Wochen durch die erste Bestandsaufnahme durch. Keiner braucht ein 50-seitiges Rechtsgutachten, um loszulegen.
Gerade bei produktiven Anwendungen zählt nicht der Hype, sondern die Dokumentation des Vorgehens, die Qualitätskontrolle und die Verantwortlichkeit im Team. Der AI Act verlangt im Kern nichts, was ein gut geführtes Unternehmen nicht ohnehin tun sollte: nachvollziehbar machen, was mit KI passiert.
Compliance schafft Vertrauen, wenn sie praktisch bleibt.
Ich übersetze Regelwerk in konkrete Schritte, damit KI im Alltag nutzbar bleibt und nicht in einer Schublade verschwindet.
EU AI Act Audit ansehen2. Wo das echte Risiko liegt
Das größte Risiko ist nicht nur die Technik selbst. Risiko entsteht vor allem dort, wo Daten unkontrolliert in verschiedene Tools fließen, Mitarbeitende ohne Regeln experimentieren oder Ergebnisse ungeprüft übernommen werden.
Ein konkretes Beispiel aus meiner Arbeit: Ein produzierendes Unternehmen mit 120 Mitarbeitern hatte innerhalb von sechs Monaten 14 verschiedene KI-Tools im Einsatz — ohne dass jemand wusste, wer welche Daten wo hochlädt. Der Einkauf nutzte ChatGPT mit Lieferantenverträgen, der Vertrieb ließ Angebote von Claude formulieren, die Buchhaltung experimentierte mit Belegerkennung. Kein böser Wille, einfach Alltagstempo. Wir haben dann in einem halbtägigen Workshop eine Tool-Liste erstellt, Datenklassen definiert und drei verbindliche Regeln aufgestellt. Das hat mehr gebracht als jede Richtlinie.
Deshalb sollten Unternehmen nicht bei abstrakten Verboten anfangen, sondern bei einem konkreten Arbeitsmodell: Was ist erlaubt, was nicht, und wie wird Qualität kontrolliert? Dazu gehört auch die Frage, ob ein Corporate LLM für sensible Anwendungsfälle die bessere Wahl ist als öffentliche Tools.
3. Die praktische Checkliste
- Welche KI-Tools werden bereits genutzt? (Ich empfehle: Einfach mal eine anonyme Umfrage im Team machen — die Ergebnisse überraschen fast immer.)
- Welche Datenklassen dürfen in die Systeme?
- Wer ist intern verantwortlich?
- Gibt es eine Freigabe- und Dokumentationslogik?
- Wie werden Ergebnisse geprüft, bevor sie intern oder extern verwendet werden?
Diese fünf Fragen reichen oft schon, um aus diffusem Unsicherheitsgefühl eine klare Roadmap zu machen. Der wichtigste Hebel ist Transparenz: Sobald sichtbar ist, was tatsächlich genutzt wird, sortieren sich die nächsten Schritte fast von selbst. Wer tiefer einsteigen will: Der KI-Reifegrad-Check gibt eine strukturierte Momentaufnahme des aktuellen Stands.
4. Warum Compliance-Content Vertrauen bringt
Suchende Geschäftsführer wollen nicht nur Implementierung sehen, sondern auch Sicherheit. Darum performen Inhalte zu Datenschutz, AI Act und Governance oft sehr gut in der Entscheidungsphase.
Wer hier klar erklärt, wie man Risiken reduziert, wird häufiger als seriöser Partner wahrgenommen als jemand, der nur von Effizienz spricht. Aus meiner Erfahrung ist der Unterschied messbar: Anfragen, die über Compliance-Artikel reinkommen, sind qualitativ hochwertiger — die Entscheider haben sich schon orientiert und suchen gezielt Umsetzungshilfe, nicht Begeisterungsprosa. Mehr dazu auch in meinem Datenschutz-Praxisguide.
5. Wer intern Verantwortung übernehmen sollte
Der häufigste Denkfehler ist, Compliance als reines Juristen-Thema zu sehen. In der Praxis braucht es eine fachliche Person für das operative Vorgehen, eine technische Person für die Umsetzung und eine verantwortliche Stelle für Freigaben und Dokumentation.
Bei einem meiner Kunden — ein Familienunternehmen in der Bauzulieferung — haben wir bewusst keinen Juristen zum KI-Beauftragten gemacht, sondern den Leiter der Arbeitsvorbereitung. Der kannte die echten Prozessrisiken und wusste, wo Daten wirklich kritisch werden. Rechtliche Rückendeckung holte er sich bei Bedarf punktuell dazu. Das hat nicht nur funktioniert, sondern auch die Akzeptanz im Team massiv erhöht — weil eben nicht "die Compliance-Abteilung" Regeln aufstellte, sondern jemand aus dem Betrieb.
Gerade bei kleinen und mittleren Unternehmen muss das nicht kompliziert sein. Es reicht oft ein schlankes Modell mit klaren Zuständigkeiten, damit nicht jeder einzeln ausprobieren darf, was gerade praktisch erscheint.
6. Welche Mindestregeln in der Praxis helfen
- Welche Daten dürfen in öffentliche Tools und welche nicht?
- Welche KI-Systeme sind offiziell freigegeben?
- Wer prüft Ergebnisse vor externer Nutzung?
- Wo wird dokumentiert, welche Eingaben und Ausgaben relevant waren?
- Wie wird mit Fehlern, Unsicherheit und Eskalation umgegangen?
Diese einfachen Regeln machen den Unterschied zwischen chaotischem Experiment und kontrollierter Einführung. Sie helfen dem Team, schneller zu handeln, ohne die Verantwortung zu verlieren. Mein Praxistipp: Drucken Sie die fünf Regeln auf eine Seite, laminieren Sie sie, und hängen Sie sie in die Kaffeeküche. Ernsthaft. Was sichtbar ist, wird gelebt. Was in einer 30-seitigen PDF verschwindet, nicht.
7. Typische Fehler
Viele Unternehmen warten zu lange auf eine perfekte interne Richtlinie. Andere schreiben zu viel auf einmal auf und schaffen damit nur Papier, aber keinen praktischen Rahmen. Gut ist die Mitte: wenige Regeln, die wirklich angewendet werden.
Ein weiterer Fehler ist, nur über Risiko zu sprechen. Wer die sichere Einführung verständlich macht, baut Vertrauen auf und macht KI im Unternehmen erst recht nutzbar. Ich sehe immer wieder, dass Unternehmen monatelang Richtlinien schreiben, ohne ein einziges Tool getestet zu haben. Besser: Erst einen Pilot-Use-Case starten, dann die Richtlinie an den realen Erkenntnissen ausrichten.
Der dritte Klassiker: Unternehmen delegieren AI-Act-Compliance komplett an die Rechtsabteilung. Dann entsteht eine 80-seitige Policy, die operativ keiner versteht. Ich mache das anders: Ich bringe Fachbereich und Recht an einen Tisch und lasse sie gemeinsam fünf handhabbare Regeln formulieren. Das dauert drei Stunden statt drei Monate.
Der beste Einstieg ist meist ein Audit.
Wenn Sie wissen wollen, wo Sie heute stehen, ist ein kurzer Check der schnellste Weg zu einer belastbaren Einschätzung.
8. FAQ
Muss jedes KI-Tool sofort komplett umgestellt werden?
Nein. Für KMU ist oft ein pragmatischer Stufenplan sinnvoller: erst Transparenz, dann Leitplanken, dann gezielte Verbesserungen.
Ist der EU AI Act ein Hindernis für KI?
Nein. Richtig genutzt kann er sogar helfen, Vertrauen intern und extern zu stärken. Ich erlebe regelmäßig, dass Unternehmen nach einem Audit selbstbewusster mit KI umgehen — weil sie endlich wissen, was wirklich zählt und was nur Panikmache war.
Womit sollte man anfangen?
Mit einer Bestandsaufnahme der genutzten Tools, Daten und Verantwortlichkeiten. Daraus ergibt sich fast immer der nächste sinnvolle Schritt. Wer das nicht allein stemmen will: Ein strukturierter Strategieprozess bringt in 2-3 Wochen Klarheit, ohne das Tagesgeschäft lahmzulegen.
