KI-Governance für KMU: Der Weg zur AI-Act-Compliance

KI-Governance für KMU schafft einen besiko zu bewerten und im Betrieb kontrolliert zu nutzen. Für die AI-Act-Compliance braucht es keine Konzernbürokratie, sondern Zuständigkeiten, Nutzungsregeln, Lieferantenprüfungen und dokumentierte Kontrollen. Wer früh beginnt, reduziert Haftungsrisiken und beschleunigt zugleich den produktiven KI-Einsatz.

Warum wird KI-Governance für KMU zur betrieblichen Pflichtaufgabe?

Künstliche Intelligenz kommt im Mittelstand selten durch ein einziges, zentral geplantes Großprojekt ins Unternehmen. Meist beginnt sie an vielen kleinen Stellen gleichzeitig: Der Vertrieb lässt Angebote überarbeiten, der Einkauf vergleicht Lieferanteninformationen, die Personalabteilung entwirft Stellenanzeigen, der Kundenservice fasst Anfragen zusammen und die technische Dokumentation nutzt KI für Wartungsberichte oder Arbeitsanweisungen.

Dadurch entsteht eine neue Form der betrieblichen Realität. KI ist bereits Bestandteil von Abläufen, obwohl sie möglicherweise noch nicht im Softwareverzeichnis, im Datenschutzmanagement oder in der IT-Architektur auftaucht. Manche Anwendungen sind als eigenständige Werkzeuge sichtbar, andere stecken inzwischen als Assistenzfunktion in CRM-, ERP-, Office-, Helpdesk- oder Bewerbermanagementsystemen.

Genau an diesem Punkt beginnt KI-Governance für KMU. Sie beantwortet nicht nur die juristische Frage, ob der EU AI Act auf einen bestimmten Anwendungsfall zutrifft. Sie regelt ebenso, welche Anwendungen freigegeben sind, welche Daten verarbeitet werden dürfen, wer Ergebnisse kontrolliert, wie Anbieter ausgewählt werden und was bei fehlerhaften Ausgaben oder Sicherheitsvorfällen geschieht.

Dass Governance kein Randthema mehr ist, zeigen aktuelle Erhebungen. Nach Angaben des ifo Instituts nutzten im Mai 2026 bereits 54,5 Prozent der Unternehmen in Deutschland KI in ihren Geschäftsprozessen. Das Institut für Arbeitsmarkt- und Berufsforschung ermittelte für 2025, dass 24 Prozent der deutschen Betriebe generative KI einsetzten. In einer OECD-Erhebung lag die Nutzung generativer KI unter deutschen KMU bei 39 Prozent; zugleich nannten 54 Prozent der nicht nutzenden KMU rechtliche oder regulatorische Bedenken als Einführungshindernis. schreiben einen typischen Zielkonflikt: KI wird schnell in Arbeitsabläufe integriert, während Regeln, Verantwortlichkeiten und Kontrollmechanismen später nachgezogen werden. Das führt nicht automatisch zu einem Verstoß. Es erhöht jedoch die Wahrscheinlichkeit, dass sensible Daten in ungeeigneten Systemen landen, Ergebnisse ungeprüft weiterverwendet werden oder niemand mehr nachvollziehen kann, welche KI an einer Entscheidung beteiligt war.

Welche Vorschriften des EU AI Act gelten bereits?

Der EU AI Act wird stufenweise angewendet. Seit dem 2. Februar 2025 gelten unter anderem die Vorschriften zu verbotenen KI-Praktiken und zur KI-Kompetenz. Anbieter und Betreiber müssen Maßnahmen treffen, damit Mitarbeiter und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein für ihren Aufgabenbereich angemessenes Wissen verfügen. Seit dem 2. August 2025 gelten zudem Governance-Vorgaben und Verpflichtungen für General-Purpose-AI-Modelle. wurden die Anwendungsfristen für bestimmte Hochrisiko-Vorschriften geändert. Die Pflichten für eigenständige Hochrisiko-KI-Systeme sollen nun ab dem 2. Dezember 2027 gelten. Für Hochrisiko-KI, die als Sicherheitskomponente in regulierte Produkte integriert ist, wurde der Termin auf den 2. August 2028 verschoben. Die Verschiebung sollte nicht als Anlass verstanden werden, Governance-Projekte aufzuhalten. Inventarisierung, Kompetenzaufbau, Datenschutz, Informationssicherheit und Lieferantensteuerung benötigen ohnehin organisatorische Vorarbeit. ndische Unternehmen ist außerdem entscheidend, zwischen verschiedenen Rollen zu unterscheiden. Ein Betrieb kann lediglich Nutzer beziehungsweise Betreiber einer Standardanwendung sein. Er kann aber auch zum Anbieter werden, beispielsweise wenn er ein KI-System unter eigenem Namen vermarktet, dessen Zweck wesentlich verändert oder eine vorhandene Lösung so umbaut, dass daraus ein neuer Hochrisiko-Anwendungsfall entsteht.

Die rechtliche Einordnung hängt deshalb nicht allein vom verwendeten Sprachmodell oder Softwareprodukt ab. Relevant sind der vorgesehene Zweck, der konkrete Einsatzkontext, die betroffenen Personen, die verwendeten Daten und der Einfluss des Systems auf Entscheidungen oder Arbeitsabläufe.

Wo beginnt eine belastbare KI-Inventur?

Die erste operative Maßnahme ist kein umfangreiches Richtliniendokument, sondern ein KI-Inventar. Dabei wird erfasst, welche Systeme tatsächlich genutzt werden. Eine reine Abfrage bei der IT reicht meist nicht, weil viele Anwendungen über Browser, private Accounts, Testzugänge oder bereits lizenzierte Standardsoftware in den Betrieb gelangen.

Ein praxistaugliches Inventar sollte mindestens den Namen der Anwendung, den Anbieter, die verantwortliche Fachabteilung, den betrieblichen Zweck, die betroffenen Prozesse, die Datenarten, mögliche Empfänger, das verwendete Modell und den Status der Freigabe enthalten. Zusätzlich sollte festgehalten werden, ob die KI lediglich Inhalte vorbereitet, Empfehlungen ausgibt, Entscheidungen beeinflusst oder selbst Aktionen in angebundenen Systemen ausführt.

Gerade der letzte Punkt gewinnt an Bedeutung. Ein Textassistent, der eine Antwort formuliert, erzeugt ein anderes Risikoprofil als ein KI-Agent, der Kundendaten aus einem CRM liest, Angebote vorbereitet, Termine einträgt und Nachrichten versendet. Sobald ein System Werkzeuge aufrufen oder Transaktionen auslösen kann, müssen Berechtigungen, Protokollierung, Freigabeschritte und Abbruchmöglichkeiten stärker berücksichtigt werden.

Erfahrungswerte aus Governance-Projekten zeigen, dass eine zentrale Liste allein nicht genügt. Das Inventar muss mit Einkauf, IT, Datenschutz, Informationssicherheit und den Fachbereichen verbunden sein. Sonst wird es zu einer statischen Datei, die wenige Wochen nach der Erfassung nicht mehr den tatsächlichen Betrieb abbildet.

Hilfreich ist ein einfacher Meldemechanismus: Neue KI-Anwendungen, wesentliche Funktionsänderungen und neue Integrationen werden vor dem produktiven Einsatz erfasst. Die Prüfung sollte proportional bleiben. Ein Übersetzungsassistent für öffentliche Produkttexte benötigt kein Verfahren wie ein System, das Bewerber bewertet oder sicherheitsrelevante Wartungsentscheidungen unterstützt.

Wie unterscheidet sich eine KI-Richtlinie von wirksamer KI-Governance?

Eine KI-Richtlinie beschreibt Regeln. KI-Governance sorgt dafür, dass diese Regeln in Beschaffung, Betrieb, Kontrolle und Weiterentwicklung tatsächlich angewendet werden. Viele Unternehmen veröffentlichen ein Dokument, führen eine kurze Schulung durch und betrachten die Aufgabe anschließend als erledigt. Damit ist zwar eine Grundlage geschaffen, aber noch kein dauerhaftes Steuerungsmodell.

Der Unterschied wird im Tagesgeschäft sichtbar. Eine Richtlinie kann beispielsweise festlegen, dass keine vertraulichen Daten in öffentlich zugängliche KI-Dienste eingegeben werden dürfen. Governance beantwortet zusätzlich, welche freigegebene Alternative zur Verfügung steht, wer Ausnahmen genehmigt, wie Verstöße gemeldet werden und wie die Regel technisch unterstützt wird.

Fehlt eine nutzbare Alternative, entsteht häufig Schatten-KI. Mitarbeiter verwenden dann private Accounts oder nicht genehmigte Werkzeuge, weil die freigegebenen Prozesse zu langsam sind oder ihre Aufgaben nicht unterstützen. Ein reines Verbot behandelt das Symptom. Ein wirksames Governance-Modell verbindet Schutzanforderungen mit praxistauglichen Arbeitsmitteln.

Wie lässt sich der risikobasierte Ansatz im Mittelstand umsetzen?

Nicht jede KI-Anwendung benötigt dieselbe Prüfungstiefe. Für KMU ist deshalb eine interne Risikostufung sinnvoll, die den regulatorischen Ansatz in eine betriebliche Entscheidungshilfe übersetzt.

Am unteren Ende stehen Anwendungen mit begrenzter Wirkung, etwa Formulierungshilfen für interne Texte, Übersetzungen von bereits veröffentlichten Informationen oder Ideensammlungen ohne personenbezogene Daten. Hier genügen meist freigegebene Werkzeuge, einfache Nutzungsregeln und eine fachliche Endkontrolle.

In der mittleren Kategorie liegen Systeme, die interne Entscheidungen vorbereiten, Kundenkommunikation erzeugen, technische Dokumente zusammenfassen, Angebote kalkulatorisch unterstützen oder auf geschäftskritische Daten zugreifen. Hier sind Datenfreigaben, Berechtigungskonzepte, Protokollierung, Stichprobenkontrollen und Lieferantenprüfungen erforderlich.

Besondere Aufmerksamkeit benötigen Anwendungen, die Menschen bewerten, Zugang zu Leistungen beeinflussen, Beschäftigungsentscheidungen unterstützen, Sicherheitsfunktionen übernehmen oder wesentliche Entscheidungen weitgehend automatisieren. Bei solchen Fällen sollte die rechtliche Einordnung dokumentiert und bei Bedarf spezialisiertes Fachwissen einbezogen werden.

Für die Bewertung ist eine Kombination mehrerer Fragen hilfreich: Welche Entscheidung wird beeinflusst? Welche Folgen kann ein Fehler haben? Werden personenbezogene oder vertrauliche Daten verarbeitet? Kann ein Mitarbeiter das Ergebnis wirksam übersteuern? Ist die Ausgabe später nachvollziehbar? Verändert sich das System durch Updates, neue Modelle oder zusätzliche Datenquellen?

Der Zweck ist nicht, für jede kleine Anwendung ein Gutachten zu erstellen. Ziel ist eine nachvollziehbare Begründung, weshalb eine Anwendung in eine bestimmte interne Risikostufe eingeordnet wurde und welche Kontrollen daraus folgen.

Welche Rollen benötigt ein mittelständisches Unternehmen?

Ein KMU braucht nicht zwingend eine neue Vollzeitstelle für KI-Governance. Es braucht jedoch benannte Verantwortlichkeiten. Ohne Zuordnung bleiben Inventar, Freigaben und Kontrollen häufig zwischen IT, Datenschutz, Einkauf und Fachbereich liegen.

Die Geschäftsführung legt Risikobereitschaft, Grundsätze und Eskalationsgrenzen fest. Sie entscheidet beispielsweise, ob KI in der Bewerberauswahl, in sicherheitsrelevanten Prozessen oder für autonome Kundenkommunikation eingesetzt werden darf.

Der fachliche Prozesseigner beschreibt den Anwendungsfall und trägt die Verantwortung dafür, dass die KI im vorgesehenen Prozess sinnvoll eingesetzt wird. Er muss beurteilen können, ob eine Ausgabe fachlich verwendbar ist und welche Folgen ein Fehler hätte.

Die IT bewertet Integration, Zugriffsrechte, Protokollierung, technische Abhängigkeiten und Sicherheitsmaßnahmen. Datenschutz und Informationssicherheit prüfen Datenarten, Rechtsgrundlagen, Auftragsverarbeitung, Übermittlungen, Löschkonzepte und Schutzbedarf. Der Einkauf stellt sicher, dass Anbieterfragen und Vertragsanforderungen bereits vor der Bestellung behandelt werden.

In kleineren Organisationen können mehrere Aufgaben bei einer Person gebündelt werden. Entscheidend ist nicht die Größe des Gremiums, sondern die dokumentierte Zuständigkeit. Für alltägliche Anwendungen sollte ein zügiger Freigabeweg bestehen. Komplexe oder besonders folgenreiche Fälle können an ein kleines interdisziplinäres Entscheidungsteam eskaliert werden.

Deutschland sieht in seiner nationalen Umsetzungsarchitektur die Bundesnetzagentur als zentrale Koordinierungs- und Kompetenzstelle vor. Der bereits verfügbare KI-Service Desk der Bundesnetzagentur unterstützt Unternehmen und Organisationen bei Fragen zur KI-Verordnung. n KI-Anbieter und Softwarelieferanten geprüft werden?

Mittelständische Unternehmen entwickeln die meisten KI-Modelle nicht selbst. Ihre Governance hängt deshalb stark davon ab, welche Informationen und vertraglichen Zusagen sie von Lieferanten erhalten.

Eine Anbieterprüfung sollte über Datenschutz und Serverstandort hinausgehen. Relevant sind insbesondere der vorgesehene Einsatzbereich, die Rolle des Lieferanten, eingesetzte Modelle, Speicherfristen, Nutzung von Eingaben zu Trainingszwecken, Unterauftragnehmer, technische Protokolle, Sicherheitsmaßnahmen und das Verfahren bei Modellwechseln.

Auch die Produktentwicklung des Anbieters spielt eine Rolle. Ein System kann bei der Einführung bestimmte Funktionen besitzen und wenige Monate später automatisierte Aktionen, neue Datenquellen oder ein anderes Basismodell verwenden. Solche Änderungen können die ursprüngliche Bewertung überholen.

In Verträgen sollte deshalb geregelt werden, wie wesentliche Änderungen angekündigt werden, welche Dokumentation verfügbar ist und wie Daten nach Vertragsende behandelt werden. Für geschäftskritische Anwendungen gehören außerdem Exportmöglichkeiten, Exit-Regelungen, Wiederanlaufverfahren und Zuständigkeiten bei Sicherheitsvorfällen in die Prüfung.

Ein typischer Fehler besteht darin, bekannte Markennamen mit geringem Risiko gleichzusetzen. Auch ein etablierter Anbieter kann keine Entscheidung darüber treffen, ob ein konkreter Einsatz im Unternehmen zulässig und organisatorisch vertretbar ist. Der Lieferant verantwortet sein Produkt; der Betreiber bleibt für seinen tatsächlichen Anwendungsfall verantwortlich.

Was läuft bei der Einführung von KI-Governance üblicherweise falsch?

Das häufigste Problem ist ein zu großer erster Entwurf. Unternehmen versuchen, alle denkbaren KI-Risiken in einem umfassenden Regelwerk abzudecken, bevor sie überhaupt wissen, welche Anwendungen genutzt werden. Das Ergebnis ist ein Dokument mit vielen Grundsätzen, aber wenig Bezug zu Vertrieb, Service, Personal, Produktion oder Verwaltung.

Ein zweiter Fehler ist die ausschließliche Zuständigkeit einer einzelnen Funktion. Wird KI nur als Datenschutzthema behandelt, fehlen technische und fachliche Aspekte. Wird sie ausschließlich der IT zugeordnet, bleiben arbeitsrechtliche, organisatorische und kommunikative Fragen unbeachtet. Governance funktioniert nur als Zusammenspiel.

Der dritte Fehler ist eine Freigabe ohne Lebenszyklus. Eine Anwendung wird einmal geprüft und anschließend nicht mehr betrachtet. In der Zwischenzeit ändern sich Modelle, Schnittstellen, Nutzungsbedingungen, Datenflüsse oder der betriebliche Zweck. Eine regelmäßige Überprüfung ist deshalb wichtiger als eine übermäßig umfangreiche Erstbewertung.

Problematisch ist auch eine pauschale menschliche Kontrolle. Die Anweisung „Ein Mitarbeiter prüft das Ergebnis“ sagt wenig darüber aus, welche Kriterien gelten, welche Informationen der Prüfer benötigt und ob er tatsächlich widersprechen kann. Menschliche Aufsicht muss organisatorisch wirksam sein. Wer lediglich eine automatisch erzeugte Entscheidung bestätigt, ohne ausreichende Zeit oder Fachkenntnis zu besitzen, erfüllt diese Funktion nicht.

Schließlich scheitern Governance-Projekte, wenn Mitarbeiter keinen Vorteil erkennen. Schulungen, die nur Verbote und Sanktionen behandeln, fördern Ausweichverhalten. Besser ist eine Verbindung aus zulässigen Anwendungsfällen, freigegebenen Werkzeugen, Datenregeln, Beispielen und konkreten Ansprechpartnern.

Wie sieht ein realistischer Umsetzungsweg zur AI-Act-Compliance aus?

Der Einstieg beginnt mit einer kompakten Bestandsaufnahme. Dabei werden bekannte Systeme, Browserdienste, eingebettete KI-Funktionen und geplante Projekte zusammengetragen. Parallel sollte geprüft werden, in welchen Prozessen KI bereits Entscheidungen vorbereitet oder Daten nach außen übermittelt.

Danach folgt eine erste Risikobewertung. Nicht jede Anwendung muss sofort vollständig analysiert werden. Zunächst sollten Anwendungen mit personenbezogenen Daten, Kundenkommunikation, Personalbezug, Sicherheitswirkung oder autonomen Aktionen priorisiert werden.

Auf dieser Grundlage entsteht eine betriebliche KI-Richtlinie. Sie sollte freigegebene und nicht freigegebene Nutzungsformen, Datenkategorien, Prüferfordernisse, Kennzeichnung, Verantwortlichkeiten und Meldewege behandeln. Das Dokument muss zu den vorhandenen Abläufen passen. Ein technischer Dienstleister benötigt andere Beispiele als ein Handelsunternehmen oder ein produzierender Betrieb.

Anschließend werden Freigabe- und Beschaffungsprozesse angepasst. Neue KI-Software darf nicht erst nach Vertragsabschluss bei IT oder Datenschutz auftauchen. Ein kurzer Vorabcheck im Einkauf verhindert spätere Nachverhandlungen und technische Sackgassen.

Danach folgt der Kompetenzaufbau. Mitarbeiter im Marketing benötigen andere Kenntnisse als Personalverantwortliche, Administratoren oder Entwickler. Die Qualifizierung sollte deshalb nach Rolle, Anwendung und möglicher Wirkung abgestuft werden. Nachweise über Inhalte, Teilnehmer und Zeitpunkt unterstützen die organisatorische Dokumentation der KI-Kompetenz.

Im laufenden Betrieb werden Änderungen, Vorfälle und Nutzungserfahrungen erfasst. Damit entwickelt sich Governance von einer einmaligen Compliance-Maßnahme zu einem betrieblichen Steuerungsprozess.

Wie kann KI-Kompetenz nach Artikel 4 praktisch nachgewiesen werden?

Artikel 4 verlangt kein bestimmtes Zertifikat und keine identische Schulung für alle Mitarbeiter. Maßgeblich sind technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext und die Personen, auf die das System angewendet wird. Daraus ergibt sich ein risikobasierter Kompetenzansatz. triebsmitarbeiter kann eine Schulung zu zulässigen Kundendaten, Faktenprüfung, vertraulichen Informationen und Kennzeichnung genügen. Ein Administrator benötigt zusätzlich Wissen über Berechtigungen, Protokolle, Schnittstellen und Sicherheitskonfiguration. Wer KI in der Personalauswahl oder für sicherheitsrelevante technische Bewertungen einsetzt, braucht vertiefte Kenntnisse über Grenzen, Verzerrungen, Aufsicht und Eskalation.

Als Nachweis eignen sich Schulungsunterlagen, Teilnehmerlisten, kurze Lernerfolgskontrollen, Rollenprofile und dokumentierte Unterweisungen. Wichtig ist außerdem die Aktualisierung bei neuen Funktionen oder geänderten Anwendungsfällen.

Der Kompetenzaufbau sollte nicht auf die Bedienung eines einzelnen Produkts beschränkt werden. Mitarbeiter müssen verstehen, wann Ergebnisse überprüft werden müssen, welche Daten nicht eingegeben werden dürfen und wann ein Vorgang an einen Verantwortlichen weiterzugeben ist.

Wie werden Transparenz und menschliche Aufsicht in Arbeitsabläufe eingebaut?

Der EU AI Act enthält Transparenzpflichten für bestimmte Systeme. Menschen müssen unter anderem darüber informiert werden, wenn sie mit einem KI-System interagieren, sofern dies aus dem Kontext nicht ohnehin erkennbar ist. Für bestimmte KI-generierte oder manipulierte Inhalte gelten zusätzliche Kennzeichnungsanforderungen. tet das, Transparenz nicht nur als Hinweis im Impressum oder in der Datenschutzerklärung zu behandeln. Sie muss dort erscheinen, wo die Interaktion stattfindet: im Chat, am Telefon, in einem Portal, bei automatisierten Nachrichten oder innerhalb eines Entscheidungsprozesses.

Menschliche Aufsicht benötigt ebenfalls einen festen Platz im Ablauf. Bei einer KI-gestützten Angebotsprüfung kann dies eine Freigabe durch den zuständigen Kalkulator sein. Bei einer automatisch erstellten technischen Arbeitsanweisung kann eine fachkundige Person die sicherheitsrelevanten Angaben prüfen. Bei Kundenkommunikation sollte definiert sein, welche Nachrichten ohne Freigabe versendet werden dürfen und wann eine Übergabe an einen Mitarbeiter erfolgt.

Für Hochrisiko-Systeme nennt der AI Act unter anderem geeignete technische und organisatorische Maßnahmen, fachkundige Aufsicht, Überwachung des Betriebs und die Behandlung ernster Vorfälle. Diese Grundgedanken sind auch für weniger regulierte, aber geschäftskritische Anwendungen sinnvoll. KI-Governance dauerhaft arbeitsfähig?

Governance darf nicht bei jeder kleinen Produktänderung ein umfangreiches Projekt auslösen. Gleichzeitig darf sie technische und organisatorische Veränderungen nicht übersehen. Deshalb braucht es überprüfbare Auslöser für eine Neubewertung.

Dazu gehören ein Wechsel des Basismodells, neue Datenquellen, zusätzliche Schnittstellen, autonome Aktionen, eine veränderte Zielgruppe oder ein neuer Einsatzzweck. Auch steigende Nutzerzahlen und die Ausweitung auf weitere Standorte können relevant sein.

Ein regelmäßiger Governance-Zyklus kann an bestehende Managementsysteme angebunden werden. Unternehmen mit Qualitätsmanagement, Informationssicherheitsmanagement, Datenschutzmanagement oder internem Kontrollsystem müssen keine parallele Organisation aufbauen. KI-spezifische Prüfungen lassen sich in vorhandene Lieferantenbewertungen, Berechtigungsreviews, Schulungspläne und Risikoregister integrieren.

Sinnvoll sind wenige betriebliche Indikatoren: Anteil erfasster KI-Anwendungen, Zahl offener Bewertungen, dokumentierte Schulungen, gemeldete Vorfälle und überfällige Lieferantenprüfungen. Diese Werte dienen nicht als Selbstzweck. Sie zeigen, ob das Governance-Modell im Alltag verwendet wird.

Wie wird aus AI-Act-Compliance ein Wettbewerbsvorteil?

Gut organisierte KI-Governance verlangsamt die Einführung nicht zwangsläufig. Sie reduziert wiederkehrende Grundsatzdiskussionen. Fachbereiche wissen, welche Werkzeuge verfügbar sind, welche Daten verwendet werden dürfen und wann eine zusätzliche Prüfung erforderlich ist.

Das verbessert auch die Skalierbarkeit. Ein erfolgreich getesteter Anwendungsfall kann auf weitere Teams oder Standorte übertragen werden, weil Verantwortlichkeiten, Datenflüsse und Kontrollen bereits beschrieben sind. Ohne diese Grundlage beginnt die Prüfung bei jeder Erweiterung erneut.

Gegenüber Kunden und Geschäftspartnern entsteht ein weiterer Vorteil. Gerade bei Ausschreibungen, Auftragsverarbeitung, technischen Dienstleistungen oder langfristigen Lieferbeziehungen werden Fragen zur KI-Nutzung zunehmen. Unternehmen, die ihr Inventar, ihre Richtlinien, Anbieterprüfungen und Kontrollverfahren vorlegen können, wirken belastbarer als Betriebe, die lediglich auf allgemeine Herstellerangaben verweisen.

KI-Governance für KMU ist deshalb mehr als ein juristisches Schutzprogramm. Sie bildet die organisatorische Infrastruktur für einen kontrollierten, wirtschaftlich sinnvollen und erweiterbaren KI-Einsatz. KrambergAI GmbH, https://krambergai.com/, unterstützt mittelständische Unternehmen dabei, KI-Anwendungen zu erfassen, Governance-Strukturen aufzubauen und technische sowie organisatorische Maßnahmen in vorhandene Betriebsabläufe zu integrieren.

Hinweis: Dieser Beitrag bietet eine betriebliche Orientierung und ersetzt keine Prüfung des individuellen Einzelfalls durch eine entsprechend qualifizierte Rechtsberatung.

Quellen der verwendeten Kennzahlen

ifo Institut – Mehr als die Hälfte der Unternehmen nutzt Künstliche Intelligenz
https://www.ifo.de/pressemitteilung/2026-06-05/mehr-als-die-haelfte-der-unternehmen-nutzt-kuenstliche-intelligenz

Institut für Arbeitsmarkt- und Berufsforschung – Jeder vierte Betrieb in Deutschland nutzt generative KI
https://iab.de/presseinfo/jeder-vierte-betrieb-in-deutschland-nutzt-generative-ki/

OECD – Generative AI and the SME Workforce
https://www.oecd.org/en/publications/generative-ai-and-the-sme-workforce_2d08b99d-en.html

Interessante Links

ISO – ISO/IEC 42001: Managementsysteme für künstliche Intelligenz
https://www.iso.org/standard/42001

NIST – Rahmenwerk für das Risikomanagement künstlicher Intelligenz
https://www.nist.gov/itl/ai-risk-management-framework

ENISA – Mehrschichtiges Rahmenwerk für gute Cybersicherheitspraxis bei KI
https://www.enisa.europa.eu/publications/multilayer-framework-for-good-cybersecurity-practices-for-ai

FAQ

Gilt der EU AI Act für jedes KMU?

Der EU AI Act unterscheidet nicht pauschal nach Unternehmensgröße, sondern nach Rolle, Systemart, Einsatzzweck und Risiko. Auch ein kleines Unternehmen kann Betreiber oder Anbieter eines regulierten KI-Systems sein. Für KMU gelten bei Sanktionen und einzelnen Unterstützungsmaßnahmen besondere Erwägungen, von grundlegenden Pflichten sind sie jedoch nicht automatisch ausgenommen.

Braucht jedes KMU einen eigenen KI-Beauftragten?

Der EU AI Act schreibt nicht allgemein vor, dass jedes Unternehmen einen formell benannten KI-Beauftragten beschäftigen muss. Notwendig sind jedoch zugeordnete Verantwortlichkeiten. Je nach Unternehmensgröße können Aufgaben bei IT, Datenschutz, Qualitätsmanagement oder Geschäftsführung gebündelt werden. Entscheidend sind erreichbare Ansprechpartner, dokumentierte Entscheidungen und ein funktionierender Freigabe- und Eskalationsprozess.

Was gehört in ein KI-Inventar?

Ein KI-Inventar sollte Anwendung, Anbieter, verantwortlichen Fachbereich, Einsatzzweck, Datenarten, betroffene Personen, Schnittstellen, Modell, Freigabestatus und interne Risikostufe erfassen. Zusätzlich sollte dokumentiert werden, ob das System Inhalte erzeugt, Empfehlungen abgibt, Entscheidungen beeinflusst oder eigenständig Aktionen ausführt. Auch eingebettete KI-Funktionen vorhandener Software gehören in die Bestandsaufnahme.

Reicht eine interne KI-Richtlinie für die Compliance aus?

Eine Richtlinie ist ein wichtiger Bestandteil, reicht allein jedoch nicht aus. Sie muss durch ein Inventar, Freigabeprozesse, Anbieterprüfungen, Schulungen, technische Schutzmaßnahmen und Kontrollen ergänzt werden. Entscheidend ist, ob die Vorgaben im täglichen Betrieb angewendet werden. Ein Dokument ohne Zuständigkeiten, alternative Werkzeuge und überprüfbare Abläufe verändert die tatsächliche KI-Nutzung kaum.

Wie oft sollte eine KI-Risikobewertung aktualisiert werden?

Eine Überprüfung sollte regelmäßig und zusätzlich bei wesentlichen Änderungen erfolgen. Auslöser können ein neues Basismodell, zusätzliche Datenquellen, neue Schnittstellen, autonome Funktionen oder ein geänderter Einsatzzweck sein. Auch Vorfälle und auffällige Fehlleistungen rechtfertigen eine Neubewertung. Die Häufigkeit sollte sich an Wirkung, Datenbezug und betrieblicher Bedeutung der Anwendung orientieren.

Was bedeutet KI-Kompetenz nach Artikel 4 für Mitarbeiter?

KI-Kompetenz umfasst das Wissen und die Fähigkeiten, die Mitarbeiter für einen verantwortungsvollen Einsatz ihrer konkreten Systeme benötigen. Dazu gehören Funktionsgrenzen, Risiken, zulässige Daten, Ergebnisprüfung und Eskalationswege. Die Qualifizierung sollte zur Rolle passen. Ein Vertriebsmitarbeiter benötigt andere Inhalte als ein Administrator, Entwickler oder Personalverantwortlicher mit entscheidungsrelevanten KI-Anwendungen.

Wie sind ChatGPT, Microsoft Copilot oder Claude einzuordnen?

Die rechtliche Einordnung hängt nicht allein vom Produktnamen ab. Entscheidend ist, wie das Werkzeug verwendet, integriert und konfiguriert wird. Eine allgemeine Formulierungshilfe besitzt ein anderes Risikoprofil als eine Lösung, die Bewerber bewertet, Kundenvorgänge autonom bearbeitet oder sicherheitsrelevante Empfehlungen erstellt. Datenflüsse, Vertragsbedingungen, Zugriffsrechte und menschliche Kontrolle müssen jeweils geprüft werden.

Wann kann KI im Personalwesen als Hochrisiko gelten?

KI-Anwendungen können in den Hochrisikobereich fallen, wenn sie für Einstellung, Auswahl, Bewertung, Beförderung, Kündigung, Aufgabenverteilung oder die Überwachung von Beschäftigten eingesetzt werden und Entscheidungen wesentlich beeinflussen. Eine reine Rechtschreibunterstützung für Stellenanzeigen ist anders zu bewerten. Maßgeblich sind die tatsächliche Funktion und ihr Einfluss auf betroffene Personen.

Welche Nachweise sollte ein KMU zur KI-Governance aufbewahren?

Sinnvoll sind das KI-Inventar, Risikobewertungen, Freigabeentscheidungen, Richtlinien, Schulungsnachweise, Lieferantenprüfungen, Verträge, technische Konfigurationen und dokumentierte Kontrollen. Auch Änderungen, Vorfälle und daraus abgeleitete Maßnahmen sollten festgehalten werden. Die Dokumentation muss zur Bedeutung des Systems passen und später erkennen lassen, weshalb eine Entscheidung getroffen wurde.

Wann sollte ein KMU externe Unterstützung hinzuziehen?

Externe Unterstützung ist besonders sinnvoll bei Hochrisiko-Verdacht, personenbezogenen Daten, Beschäftigtenbezug, sicherheitsrelevanten Anwendungen, komplexen Integrationen oder eigener Produktentwicklung. Auch fehlende interne Zuständigkeiten können ein Grund sein. Beratung sollte nicht nur ein Regelwerk liefern, sondern Inventarisierung, Risikobewertung, Technik, Datenschutz, Verträge und betriebliche Umsetzung miteinander verbinden.