Alexander Beisswenger
Warum KI-Projekte im Mittelstand scheitern
Sechs Ursachen, an denen KI- und Automatisierungsprojekte im Mittelstand immer wieder hängen bleiben, und was Sie jeweils dagegen tun können.
WeiterlesenDer EU AI Act sorgt im Mittelstand für Verunsicherung. Manche Geschäftsführer haben den Eindruck, jede Nutzung eines KI-Assistenten sei jetzt ein rechtliches Risiko. Andere halten die Verordnung für ein Thema der großen Technologiekonzerne. Beides trifft es nicht.
Dieser Artikel ordnet ein, was die europäische KI-Verordnung für typische Anwendungen in mittelständischen Betrieben bedeutet. Er ersetzt keine Rechtsberatung. Für Ihre konkrete Situation, insbesondere bei eigenen KI-Produkten, sprechen Sie bitte mit einer fachkundigen Rechtsberatung.
Was der EU AI Act regelt
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist ein europäisches Gesetz, das unmittelbar in allen Mitgliedstaaten gilt. Sie regelt nicht die Technik an sich, sondern ihren Einsatz. Der Grundgedanke: Je größer das Risiko einer Anwendung für Menschen, desto strenger die Anforderungen.
Die Pflichten treten gestaffelt in Kraft. Für den Mittelstand sind vor allem zwei Zeitpunkte wichtig:
| Seit | Was gilt |
|---|---|
| 2.2.2025 | KI-Kompetenzpflicht (Art. 4) und Verbot bestimmter KI-Praktiken |
| 2.8.2026 | Transparenzpflichten (Art. 50) und weitere Teile der Verordnung |
Für Hochrisiko-Systeme sind teils spätere Fristen vorgesehen. Auf europäischer Ebene wird zudem über Anpassungen am Zeitplan beraten. Den aktuellen Stand sollten Sie prüfen, falls Sie in diesem Bereich tätig sind.
Die Risikoklassen im Überblick
Der AI Act unterscheidet grob vier Stufen. Die Einordnung hängt nicht vom Werkzeug ab, sondern davon, wofür es eingesetzt wird.
Verbotene Praktiken
Einige Anwendungen sind grundsätzlich untersagt, etwa Systeme zur manipulativen Beeinflussung von Menschen, Sozialbewertung von Personen oder in vielen Fällen Emotionserkennung am Arbeitsplatz. Für die übliche Büro- und Produktionsarbeit spielt das selten eine Rolle, sollte aber bekannt sein.
Hochrisiko-Systeme
Hier gelten umfangreiche Anforderungen an Risikomanagement, Dokumentation, menschliche Aufsicht und Qualität. Beispiele sind KI zur Vorauswahl von Bewerbern, zur Bewertung von Beschäftigten oder KI als Sicherheitsbauteil in bestimmten Produkten. Für Maschinenbauer ist der letzte Punkt relevant, wenn KI in der Maschine eine sicherheitsrelevante Funktion übernimmt.
Begrenztes Risiko mit Transparenzpflichten
Dazu zählen Systeme, die mit Menschen interagieren oder Inhalte erzeugen, etwa ein Chatassistent auf der Website. Hier geht es vor allem darum, offen zu sagen, dass KI im Spiel ist.
Minimales Risiko
Der große Rest: Spamfilter, Sortierhilfen, interne Suchfunktionen und vieles mehr. Hier macht der AI Act über die Kompetenzpflicht hinaus kaum zusätzliche Vorgaben.
Was für typische Mittelstands-Anwendungen gilt
Die meisten KI-Anwendungen, die wir in Produktionsbetrieben sehen, fallen nicht in den Hochrisiko-Bereich. Eine grobe Einordnung, ohne Gewähr für den Einzelfall:
| Anwendung | Typische Einordnung | Was zu tun ist |
|---|---|---|
| Textentwürfe für Angebote oder Mails | minimales Risiko | Kompetenz, interne Regeln, Mensch prüft vor Versand |
| Interne Wissenssuche über eigene Dokumente | minimales Risiko | Kompetenz, Berechtigungen, Datenschutz |
| Sortierung eingehender Mails und Anfragen | minimales Risiko | Kompetenz, Kontrolle von Fehlzuordnungen |
| Chatassistent für Kunden auf der Website | begrenztes Risiko | Hinweis, dass KI antwortet (Art. 50) |
| KI-gestützte Bewerbervorauswahl | Hochrisiko | umfangreiche Pflichten, Rechtsberatung |
| KI mit Sicherheitsfunktion in der Maschine | kann Hochrisiko sein | Rechtsberatung, Konformitätsbewertung prüfen |
Das bedeutet: Wer Unternehmenswissen durchsuchbar macht oder sich beim Erstellen von Angeboten unterstützen lässt, hat nach dem AI Act überschaubare Pflichten. Datenschutz, Geschäftsgeheimnisse und Berechtigungen bleiben trotzdem wichtig, sie sind nur an anderer Stelle geregelt.
Anbieter oder Betreiber: Welche Rolle Sie haben
Der AI Act verteilt die Pflichten nach Rollen. Die beiden wichtigsten sind Anbieter und Betreiber.
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Das sind in erster Linie die Hersteller von KI-Werkzeugen und Sprachmodellen. Auf ihnen liegt der Großteil der Pflichten, etwa zu technischer Dokumentation und Kennzeichnung.
Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich nutzt. Das ist die typische Rolle eines mittelständischen Betriebs, der einen Assistenten für Textentwürfe oder eine interne Wissenssuche einsetzt. Die Pflichten sind hier deutlich geringer.
Aufmerksam sollten Sie werden, wenn Sie KI-Funktionen in eigene Produkte einbauen, etwa in eine Maschinensteuerung oder eine Software, die Sie an Kunden verkaufen. Dann können Sie selbst zum Anbieter werden, mit entsprechend mehr Pflichten. Gleiches kann gelten, wenn Sie ein fremdes System wesentlich verändern oder unter eigenem Namen anbieten. In diesen Fällen lohnt sich eine frühe rechtliche Prüfung, bevor Entwicklungsaufwand entsteht.
KI-Kompetenzpflicht nach Art. 4
Seit 2.2.2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt unabhängig von der Risikoklasse, also auch für den alltäglichen Einsatz eines Textassistenten.
Was „ausreichend“ heißt, legt das Gesetz nicht in Stunden fest. Es kommt auf die Aufgabe, die Vorkenntnisse und den Einsatzzweck an. In der Praxis bewährt sich:
- eine Grundschulung für alle, die KI-Werkzeuge nutzen: Was kann das Werkzeug, wo liegen die Grenzen, welche Daten dürfen hinein?
- vertiefte Einweisung für Personen, die KI-Ergebnisse weiterverwenden, etwa im Vertrieb oder in der Technik
- eine kurze Dokumentation, wer wann geschult wurde
Wichtig ist der Kern dahinter: Mitarbeiter sollen verstehen, dass KI-Ergebnisse falsch sein können und geprüft werden müssen. Das ist nicht nur eine rechtliche Pflicht, sondern schützt Sie vor teuren Fehlern.
Transparenzpflichten nach Art. 50
Seit 2.8.2026 gelten Transparenzpflichten. Die wichtigsten für den Mittelstand:
- Interaktion mit KI erkennbar machen. Wenn Menschen mit einem KI-System kommunizieren, etwa einem Chatassistenten, müssen sie darüber informiert werden, sofern es nicht ohnehin offensichtlich ist. Betrifft zum Beispiel einen KI-Assistenten auf der Website.
- Künstlich erzeugte Inhalte kennzeichnen. Anbieter von Systemen, die Texte, Bilder, Audio oder Video erzeugen, müssen diese maschinenlesbar kennzeichnen. Diese Pflicht trifft vor allem die Hersteller der Werkzeuge.
- Deepfakes offenlegen. Wer täuschend echte Bilder, Videos oder Tonaufnahmen von realen Personen oder Orten erzeugt und veröffentlicht, muss das offenlegen.
Für KI-gestützte Texte, die ein Mensch redaktionell prüft und verantwortet, sieht die Verordnung Erleichterungen vor. Wenn Sie etwa Fachartikel aus Expertenwissen erstellen und diese vor Veröffentlichung fachlich prüfen, ist das ein anderer Fall als vollautomatisch veröffentlichte Texte. Die Details sind teils noch Gegenstand von Leitlinien. Im Zweifel lieber offen kommunizieren.
Praktische To-do-Liste
Für die meisten mittelständischen Betriebe reichen diese Schritte, um gut aufgestellt zu sein:
- Bestand erfassen. Welche KI-Werkzeuge werden im Betrieb genutzt, offiziell und inoffiziell? Wer nutzt sie wofür?
- Grob einordnen. Für jede Anwendung: minimales Risiko, Transparenzpflicht oder möglicherweise Hochrisiko? Bei Unklarheit Rechtsberatung hinzuziehen.
- Regeln festlegen. Eine kurze interne Richtlinie: welche Werkzeuge zugelassen sind, welche Daten nicht eingegeben werden dürfen, wer Ergebnisse prüft.
- Schulen und dokumentieren. Grundschulung für alle Nutzer, Nachweis in einer einfachen Liste.
- Kundenkontakt prüfen. Wo kommunizieren Kunden mit KI? Dort einen klaren Hinweis einbauen.
- Verantwortlichen benennen. Eine Person, die den Überblick behält und neue Werkzeuge vor dem Einsatz bewertet.
- Regelmäßig nachsehen. Einmal im Jahr prüfen, ob neue Anwendungen hinzugekommen sind oder sich die Rechtslage geändert hat.
Mit diesen Punkten erfüllen Sie zugleich einen Teil dessen, was der Datenschutz ohnehin verlangt. Ein Auftragsverarbeitungsvertrag mit dem Anbieter, Server in der EU und ein Berechtigungssystem gehören bei jeder KI-Anwendung mit Unternehmensdaten dazu.
Was Sie nicht tun sollten
Zwei Reaktionen sehen wir häufiger, beide sind wenig hilfreich.
KI pauschal verbieten. Das verhindert die Nutzung selten, es verschiebt sie nur ins Private. Mitarbeiter verwenden dann eigene Konten, ohne Regeln und ohne Kontrolle. Das ist rechtlich und für Ihre Geschäftsgeheimnisse riskanter als ein geregelter Einsatz.
Abwarten, bis alles geklärt ist. Die Kompetenzpflicht gilt bereits. Und die Grundlagen, also Überblick, Regeln und Schulung, sind auch dann sinnvoll, wenn sich Details noch ändern.
Fazit
Der EU AI Act ist für die meisten mittelständischen Betriebe kein Grund zur Sorge, aber ein Anlass, Ordnung zu schaffen. Textentwürfe, interne Wissenssuche und Sortierhilfen haben überschaubare Pflichten. Seit 2025 gilt die KI-Kompetenzpflicht, seit August 2026 die Transparenzpflichten, etwa für Chatassistenten. Wer seine KI-Werkzeuge kennt, klare Regeln hat und seine Mitarbeiter schult, ist gut aufgestellt. Wo KI in eigene Produkte oder sicherheitsrelevante Funktionen einfließt, gehört der Fall in die Hände einer fachkundigen Rechtsberatung.