KI & Automatisierung

EU AI Act & KI-Governance für den Mittelstand

Der EU AI Act gilt — und er betrifft nicht nur Unternehmen, die KI entwickeln, sondern auch alle, die KI einsetzen. Für den Mittelstand heißt das vor allem: wissen, welche KI im Haus ist, sie richtig einstufen, Mitarbeiter befähigen und beides zusammen mit der DSGVO dokumentieren. Wir bringen das in eine Form, die im Alltag funktioniert.

Weitere Leistungen

Die Verordnung (EU) 2024/1689 gilt seit dem 1. August 2024 und wird gestaffelt wirksam. Seit dem 2. Februar 2025 sind verbotene Praktiken untersagt, und es gilt die KI-Kompetenzpflicht nach Artikel 4: Wer KI-Systeme betreibt, muss sicherstellen, dass die damit befassten Mitarbeiter Funktionsweise und Grenzen verstehen. Seit dem 2. August 2025 greifen die Regeln für Modelle mit allgemeinem Verwendungszweck sowie der Governance- und Sanktionsrahmen; seit dem 2. August 2026 ist die Verordnung im Grundsatz vollständig anwendbar. Die Fristen für Hochrisiko-Systeme wurden im Gesetzgebungsverfahren mehrfach angepasst — welche Termine für Sie konkret gelten, prüfen wir fallbezogen am aktuellen Stand.

Für die meisten mittelständischen Unternehmen ist die gute Nachricht: Was Sie einsetzen, fällt selten in die Hochrisiko-Kategorie. Ein Copilot in Microsoft 365, ein Chatbot auf der Website oder eine Textklassifikation im Posteingang sind typischerweise Systeme mit geringem Risiko oder mit Transparenzpflichten. Kritisch wird es dort, wo KI über Menschen entscheidet — im Recruiting, in der Bonitätsbewertung, in der Leistungsbeurteilung. Genau diese Fälle muss man kennen, bevor jemand sie ohne Rücksprache einführt.

Wir arbeiten deshalb von der Realität aus, nicht vom Gesetzestext: Erst ein Inventar dessen, was tatsächlich im Einsatz ist — inklusive der Tools, die Fachabteilungen ohne IT-Freigabe nutzen. Dann die Einstufung je System nach Risikoklasse und Rolle, verbunden mit der datenschutzrechtlichen Sicht: Welche Daten fließen wohin, auf welcher Rechtsgrundlage, mit welchem Auftragsverarbeitungsvertrag. Daraus entsteht ein schlankes Regelwerk, eine verständliche Nutzungsrichtlinie für Mitarbeiter und eine Schulung, die die Kompetenzpflicht tatsächlich erfüllt statt sie nur abzuhaken.

Konkrete Leistungen

KI-Inventar inklusive inoffiziell genutzter Tools
Risikoeinstufung je System nach KI-Verordnung
Verzahnung mit DSGVO: Datenflüsse, Rechtsgrundlagen, AV-Verträge
Nutzungsrichtlinie für Mitarbeiter in verständlicher Sprache
Schulung zur Erfüllung der KI-Kompetenzpflicht (Art. 4)
Dokumentation, die einer Prüfung standhält
Anwendungsfälle

So sieht das in der Praxis aus.

// 01

Copilot-Einführung absichern

Vor dem Rollout klären, welche Daten Copilot sieht, wer was darf und wie das dokumentiert wird.

// 02

Schatten-KI sichtbar machen

Erfassen, welche KI-Tools Fachabteilungen bereits nutzen — und geordnet überführen statt verbieten.

// 03

Kompetenzpflicht erfüllen

Praxisnahe Schulung für Mitarbeiter, die tatsächlich mit KI arbeiten, mit Nachweis für die Dokumentation.

So gehen wir vor

Schritt für Schritt.

1

Inventar: Welche KI ist tatsächlich im Einsatz?

2

Einstufung nach Risikoklasse und Rolle

3

Richtlinie, Dokumentation und AV-Verträge

4

Schulung und regelmäßige Überprüfung

Wir beraten technisch und organisatorisch und ersetzen keine Rechtsberatung. Die Fristen der KI-Verordnung — insbesondere für Hochrisiko-Systeme — wurden mehrfach angepasst; wir prüfen den für Sie geltenden Stand fallbezogen und arbeiten bei Bedarf mit Ihrer Rechtsberatung zusammen.

FAQ

Häufige Fragen.

Noch offene Punkte? Wir klären sie gern im Erstgespräch.

Betrifft der AI Act uns überhaupt? Wir entwickeln keine KI.
Ja. Die Verordnung unterscheidet zwischen Anbietern und Betreibern — wer KI-Systeme im eigenen Unternehmen einsetzt, ist Betreiber und hat eigene Pflichten. Die praktisch wichtigste betrifft alle Größenklassen: die KI-Kompetenzpflicht nach Artikel 4. Der Umfang der übrigen Pflichten hängt von der Risikoklasse der eingesetzten Systeme ab.
Was passiert bei Verstößen?
Die Verordnung sieht gestaffelte Bußgelder vor, im oberen Rahmen bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. In der Praxis ist der wahrscheinlichere Schaden allerdings ein anderer: fehlende Nachweise gegenüber Kunden, Auditoren oder der Datenschutzaufsicht.
Wie aufwendig ist das für ein Unternehmen mit 50 Mitarbeitern?
Überschaubar, wenn man es einmal ordentlich aufsetzt. Inventar und Einstufung sind meist in wenigen Terminen erledigt, weil die Zahl der tatsächlich eingesetzten Systeme kleiner ist als erwartet. Der wiederkehrende Aufwand beschränkt sich danach auf eine turnusmäßige Überprüfung und die Schulung neuer Mitarbeiter.
Passt dazu

Weitere Leistungen aus diesem Bereich.

KI-Beratung & Strategie

Wir helfen Ihnen, KI dort einzusetzen, wo sie echten Nutzen stiftet — nicht dort, wo sie gerade Mode ist.

KI-Automatisierung von Geschäftsprozessen

Dokumente, E-Mails, Tickets — wir automatisieren, was sich wiederholt.

Custom LLM-Lösungen & Chatbots

Eigene KI-Assistenten auf Basis Ihrer Daten — DSGVO-konform, EU-gehostet.

Lassen Sie uns Ihr Projekt besprechen.

Kostenloses Erstgespräch, 30–45 Minuten, remote. Eine ehrliche Einschätzung — auch wenn die Antwort lautet, dass Sie das eigentlich gar nicht brauchen.