Die typische Ausgangslage
- Einzelne Beschäftigte nutzen private KI-Accounts, die Geschäftsführung weiß davon nur teilweise
- Es gibt keine Richtlinie und keine Liste freigegebener Tools
- Die IT ist klein oder extern betreut und hat wenig Zeit für neue Themen
- Datenschutz liegt bei einer externen Person, die nur gelegentlich vor Ort ist
- Der Betriebsrat, falls vorhanden, fragt nach, was mit KI-Tools passiert
Das ist kein Versäumnis, sondern der Normalfall. Entscheidend ist, die vorhandene Nutzung jetzt in geordnete Bahnen zu lenken.
Einsatzfelder mit schnellem Nutzen
| Bereich | Beispiel | Risiko |
|---|---|---|
| Vertrieb | Angebote und E-Mails formulieren, Gesprächsnotizen zusammenfassen | Niedrig bis mittel |
| Einkauf | Lieferantenunterlagen und Verträge zusammenfassen | Mittel, abhängig von den Daten |
| Technik und Produktion | Handbücher durchsuchen, Dokumentation übersetzen | Niedrig |
| Personal | Stellenanzeigen formulieren | Niedrig, Bewerberauswahl dagegen hoch |
| Marketing | Texte, Social-Media-Beiträge, Bildideen | Niedrig, Urheberrecht und Kennzeichnung beachten |
| Kundenservice | Antwortvorschläge, Wissensdatenbank | Mittel |
Für den Einstieg eignen sich Aufgaben, bei denen ein Mensch das Ergebnis ohnehin prüft und nur wenige personenbezogene Daten im Spiel sind.
Die fünf Regeln, die wirklich zählen
- Nur freigegebene Tools mit Firmenkonto nutzen
- Keine Zugangsdaten und keine sensiblen Personaldaten eingeben
- Ergebnisse vor der Weitergabe prüfen
- Bei ungewöhnlichen Zahlungsbitten immer über eine bekannte Nummer zurückrufen
- Fehler und Vorfälle sofort melden
Diese fünf Regeln decken den Großteil der realen Risiken ab, von Datenabfluss bis Deepfake-Betrug. Alles Weitere lässt sich schrittweise ergänzen.
Plan für die ersten 100 Tage
| Zeitraum | Schritte |
|---|---|
| Woche 1 bis 2 | KI-verantwortliche Person benennen, kurze Bestandsaufnahme per Umfrage |
| Woche 3 bis 6 | Basis-Werkzeug auswählen, bevorzugt aus der vorhandenen Office-Umgebung, Vertrag abschließen, Betriebsrat und Datenschutz einbinden |
| Woche 7 bis 10 | Eine Seite KI-Regeln veröffentlichen, Basis-Schulung durchführen und dokumentieren |
| Woche 11 bis 14 | Freischaltung für alle, Fragen sammeln, erste Erfahrungen auswerten, Freigabeprozess für weitere Tools festlegen |
Was der AI Act für den Mittelstand bedeutet
Für die meisten mittelständischen Unternehmen sind die Pflichten aus dem AI Act überschaubar. Sie müssen Maßnahmen zur KI-Kompetenz der Beschäftigten ergreifen und Transparenzpflichten beachten, etwa bei Chatbots oder veröffentlichten Deepfakes. Kritisch wird es erst bei Hochrisiko-Anwendungen wie KI-gestützter Bewerberauswahl. Für kleine und mittlere Unternehmen gelten zudem niedrigere Bußgeldobergrenzen und Erleichterungen bei der Dokumentation.