KI im Unternehmen
Vom Anwendungsfall zum produktiven Betrieb
Die Technologie ist selten das Problem. Woran KI-Vorhaben scheitern, sind unklare Anwendungsfälle, fehlende Integration, ungeklärte Verantwortlichkeiten und eine Wirtschaftlichkeitsrechnung, die wesentliche Kostenblöcke auslässt. Diese Seite behandelt genau diese Punkte, inklusive der seit dem 27. Juli 2026 geltenden neuen Fristen des EU AI Act.
Was bedeutet KI-Einführung im Unternehmen konkret?
KI-Einführung im Unternehmen bedeutet, einen klar abgegrenzten Arbeitsvorgang zu identifizieren, ihn technisch zu automatisieren, die Ergebnisse zu messen und den Ablauf anschließend in den Regelbetrieb zu überführen. Sie ist damit ein Prozessprojekt mit technischer Komponente und kein Softwarekauf. Unternehmen, die KI als Werkzeugbeschaffung behandeln, stellen nach einigen Monaten fest, dass das Werkzeug vorhanden ist, aber niemand seine Arbeit anders macht.
Der wirtschaftliche Nutzen entsteht fast immer an derselben Stelle: bei wiederkehrenden, textlastigen Vorgängen mit klaren Regeln, die heute manuell erledigt werden. Rechnungsprüfung, Angebotserstellung, Vorqualifizierung von Anfragen, Auswertung von Dokumenten. Nicht bei kreativen Einzelfällen und nicht bei strategischen Entscheidungen.
- Einsatzfelder nach Unternehmensbereich
- Reifegradmodell: wo steht Ihr Unternehmen
- Einführung in sechs Schritten
- Change Management und Akzeptanz
- DSGVO, EU AI Act und die neuen Fristen
- NIS-2: Pflichten beim Betrieb
- Drei Pflichten vor dem Start
- Business Case und ROI realistisch gerechnet
- Kennzahlen für die Erfolgsmessung
- Warum KI-Projekte scheitern
Wo im Unternehmen wird KI tatsächlich eingesetzt?
Sechs Bereiche, in denen sich der Einsatz in unseren Projekten regelmäßig rechnet. Jeweils mit konkretem Vorgang, realistischer Wirkung und der Voraussetzung, die erfüllt sein muss.
Vertrieb
Angebote, Ausschreibungen, Nachfassen- Konkreter Vorgang
- Erstellung von Angeboten aus Anfragen und bestehenden Vorlagen, Auswertung umfangreicher Ausschreibungsunterlagen auf Anforderungen und Ausschlusskriterien, Vorbereitung von Nachfassschreiben mit Bezug zur Historie im CRM.
- Realistische Wirkung
- Die Durchlaufzeit bis zum versandten Angebot sinkt deutlich, weil der Erstentwurf steht, bevor ein Mensch ihn öffnet. Bei Ausschreibungen entfällt der größte Teil des ersten Durchsehens.
- Voraussetzung
- Zugriff auf CRM und Preislogik sowie eine gepflegte Vorlagenstruktur. Ohne saubere Stammdaten produziert das System schnelle, aber falsche Angebote.
Kundenservice
Anfragen, Tickets, Wissenszugriff- Konkreter Vorgang
- Eingehende Anfragen werden klassifiziert, dem richtigen Team zugeordnet und mit einem Antwortvorschlag versehen, der auf Ihren Handbüchern und der Vorgangshistorie beruht. Die Freigabe bleibt beim Mitarbeitenden.
- Realistische Wirkung
- Deutlich kürzere Bearbeitungszeit je Vorgang und gleichmäßigere Antwortqualität über das gesamte Team hinweg, besonders spürbar bei neuen Mitarbeitenden.
- Voraussetzung
- Eine aufbereitete Wissensbasis. Solange Handbücher veraltet oder widersprüchlich sind, verbreitet KI diese Widersprüche schneller als vorher.
Finanzen und Buchhaltung
Belege, Prüfung, Abstimmung- Konkreter Vorgang
- Eingangsrechnungen werden ausgelesen, gegen Bestellung und Lieferschein geprüft, bei Übereinstimmung zur Buchung vorbereitet und bei Abweichung mit Begründung an die Fachabteilung weitergeleitet.
- Realistische Wirkung
- Der überwiegende Teil unstrittiger Belege läuft ohne manuellen Eingriff durch. Die Bearbeitung konzentriert sich auf die Fälle, die tatsächlich eine Entscheidung brauchen.
- Voraussetzung
- Schnittstelle zum ERP und ein klar definierter Prüfpfad. Die Freigabegrenzen gehören vorab festgelegt, nicht im Betrieb nachgeschärft.
Personalwesen
Bewerbungen, Verträge, Auskünfte- Konkreter Vorgang
- Strukturierte Aufbereitung eingehender Bewerbungen, Beantwortung wiederkehrender Mitarbeiterfragen zu Regelungen und Prozessen, Vorbereitung von Vertrags- und Zeugnisentwürfen aus Bausteinen.
- Realistische Wirkung
- Spürbare Entlastung bei Routineauskünften und deutlich schnellere Vorsichtung von Bewerbungen bei gleichbleibender Prüfungstiefe durch den Menschen.
- Voraussetzung
- Lokale Verarbeitung. Hier fallen durchgängig personenbezogene Daten an, teilweise besonderer Kategorien. Zusätzlich gilt: Eine automatisierte Bewertung von Bewerbern ist rechtlich gesondert zu prüfen und in der Regel nicht zu empfehlen.
Entwicklung und IT
Code, Dokumentation, Support- Konkreter Vorgang
- Unterstützung beim Programmieren, Erzeugen und Aktualisieren technischer Dokumentation, Vorqualifizierung interner Supportanfragen, Auswertung von Protokolldateien bei Störungen.
- Realistische Wirkung
- Der am besten belegte Produktivitätsgewinn überhaupt, besonders bei Routineaufgaben, Tests und Dokumentation. Bei konzeptioneller Arbeit fällt der Effekt deutlich geringer aus.
- Voraussetzung
- Eine klare Regelung, welcher Quellcode an externe Dienste übergeben werden darf. Diese Regel gehört schriftlich fixiert, bevor das erste Werkzeug ausgerollt wird.
Einkauf und Logistik
Lieferanten, Verträge, Disposition- Konkreter Vorgang
- Vergleich von Lieferantenangeboten anhand definierter Kriterien, Auswertung von Rahmenverträgen auf Fristen und Klauseln, Aufbereitung von Bedarfsmeldungen aus unstrukturierten Zulieferungen.
- Realistische Wirkung
- Angebotsvergleiche, die bisher aus Zeitgründen oberflächlich blieben, werden vollständig durchgeführt. Der Nutzen liegt hier häufiger in besseren Konditionen als in eingesparter Zeit.
- Voraussetzung
- Vergleichbare Datengrundlage. Wenn Angebote in unterschiedlichen Strukturen vorliegen, ist die Vereinheitlichung der eigentliche Arbeitsschritt.
Wie verbreitet ist KI im deutschen Mittelstand tatsächlich?
Zu dieser Frage kursieren sehr unterschiedliche Zahlen, weil viele Veröffentlichungen Umfragen unter Selbstauskunft zitieren. Die belastbare Quelle ist die Erhebung des Statistischen Bundesamtes zur IKT-Nutzung in Unternehmen. Berichtsjahr 2025, veröffentlicht im November 2025:
| Unternehmensgröße | nutzt KI |
|---|---|
| alle Unternehmen ab 10 Beschäftigten | 26 % |
| 10 bis 49 Beschäftigte | 23 % |
| 50 bis 249 Beschäftigte | 36 % |
| 250 und mehr Beschäftigte | 57 % |
Der Abstand ist die eigentliche Aussage. Unter den großen Unternehmen nutzt mehr als jedes zweite KI, unter den kleinen nicht einmal jedes vierte. Der Vorsprung entsteht nicht durch bessere Technik, sondern durch Personal, das sich mit der Einführung befassen kann. Genau diese Lücke ist der Grund, warum sich der Aufwand für einen kleineren Betrieb erst dann rechnet, wenn der Anwendungsfall eng zugeschnitten ist.
Noch aufschlussreicher ist, womit die Unternehmen arbeiten, die KI bereits einsetzen:
| Technologie | Anteil der KI-Nutzer |
|---|---|
| Textauswertung (Text Mining) | 52 % |
| Erzeugung von Bild, Video oder Ton | 52 % |
| Spracherkennung | 42 % |
| Erzeugung von Text und Programmcode | 35 % |
| Automatisierung von Abläufen und Entscheidungen | 27 % |
| Maschinelles Lernen | 23 % |
| Bilderkennung | 17 % |
| Autonome Bewegung von Maschinen | 6 % |
Die beiden Spitzenreiter sind Textauswertung und Erzeugung von Inhalten, autonome Maschinen bilden mit 6 Prozent das Schlusslicht. Das deckt sich mit dem, was wir in Projekten sehen: Der Nutzen entsteht zuerst dort, wo Text und Dokumente bearbeitet werden, also bei Angeboten, Rechnungen, Anfragen und Berichten. Wer bei der Produktion anfängt, wählt den schwersten Einstieg.
Quelle: Statistisches Bundesamt, IKT-Nutzung in Unternehmen, Berichtsjahr 2025, Stand 24. November 2025. Anteile in Prozent der Unternehmen ab 10 Beschäftigten beziehungsweise, in der zweiten Tabelle, in Prozent der KI nutzenden Unternehmen.
Reifegradmodell: Wo steht Ihr Unternehmen heute?
Die meisten Unternehmen befinden sich auf Stufe 1 oder 2 und halten sich für Stufe 3. Eine ehrliche Einordnung spart erhebliche Fehlinvestitionen.
Stufe anklicken: woran Sie sie erkennen und was der nächste Schritt ist.
KI ist Bestandteil definierter Geschäftsprozesse, wird überwacht, gemessen und weiterentwickelt. Ausfälle haben spürbare Auswirkungen, entsprechend existiert ein Betriebskonzept. Wenige Mittelständler sind heute hier.
KI-gestützte Schritte stehen im Prozesshandbuch, es gibt Kennzahlen, ein Betriebskonzept und einen Verantwortlichen für Störungen.
Weitere Prozesse nach demselben Muster erschließen und die Modellauswahl regelmäßig gegen den Markt prüfen.
Mindestens ein Vorgang läuft ohne manuellen Eingriff durch, angebunden an Fachsysteme, mit definierter Fehlerbehandlung und benannter Verantwortung. Ab hier ist der Nutzen belegbar.
Mindestens ein Vorgang läuft ohne manuellen Eingriff, angebunden an ein Fachsystem, mit definierter Fehlerbehandlung.
Nutzen messen und dokumentieren, dann den zweiten Anwendungsfall angehen.
Es existiert ein unternehmensweit bereitgestellter Zugang mit Benutzerverwaltung, Nutzungsregeln und Anbindung an eigene Dokumente. Der Datenabfluss über private Zugänge ist gestoppt.
Ein unternehmensweiter Zugang mit Benutzerverwaltung und Nutzungsregeln existiert, der Abfluss über private Konten ist gestoppt.
Vom Chatzugang zur Automatisierung: einen wiederkehrenden Vorgang vollständig durchziehen.
Mitarbeitende arbeiten mit frei verfügbaren Diensten, teilweise über private Zugänge. Es gibt weder Regelung noch Überblick, welche Inhalte das Unternehmen verlassen. Der häufigste Zustand im Mittelstand.
Einzelne nutzen frei verfügbare Dienste, teils über private Zugänge. Es gibt weder Regelung noch Überblick.
Zuerst den Datenabfluss stoppen: zentraler Zugang und eine schriftliche Nutzungsregel.
Das Thema ist präsent, es gibt Vorträge und Gespräche, aber keinen benannten Verantwortlichen und keinen definierten Anwendungsfall. Kein Nachteil, solange dieser Zustand nicht Jahre andauert.
Kein produktiver Einsatz, allenfalls vereinzelte Versuche ohne Bezug zu einem Geschäftsprozess.
Wiederkehrende, textlastige Vorgänge erfassen und nach Nutzen und Umsetzbarkeit priorisieren.
Der größte Kostenblock ist nie das Modell. Es ist die Integration.
Datenaufbereitung, Rechtevergabe, Schulung und laufender Betrieb machen den überwiegenden Teil der Gesamtkosten aus, unabhängig davon, ob Sie Cloud oder lokal betreiben.
In welchen Schritten führen Sie KI ein?
Dieses Vorgehen wenden wir in Projekten an. Der zeitliche Rahmen bezieht sich auf einen abgegrenzten ersten Anwendungsfall.
Vorgänge erfassen und bewerten
Aufnahme wiederkehrender Arbeitsvorgänge mit Häufigkeit, Zeitbedarf und Regelklarheit. Bewertet wird nach Nutzen und Umsetzbarkeit, nicht nach technischer Attraktivität. Ergebnis ist eine priorisierte Liste, aus der ein einziger Anwendungsfall ausgewählt wird.
Ausgangswerte messen
Wie lange dauert der Vorgang heute, wie oft fällt er an, wie hoch ist die Fehlerquote. Ohne diese Zahlen lässt sich später nicht belegen, ob sich etwas verbessert hat. Dieser Schritt wird am häufigsten übersprungen und fehlt später am schmerzhaftesten.
Architektur und Rechtsrahmen festlegen
Datenkategorien einordnen, Cloud oder lokal entscheiden, Verträge und Verarbeitungsverzeichnis vorbereiten, Rechtekonzept definieren. Diese Klärung vor der Umsetzung erspart einen späteren Umbau, der regelmäßig teurer wird als die ursprüngliche Entwicklung.
Umsetzung als lauffähiger Prototyp
Aufbau der benötigten Schichten, Anbindung an die betroffenen Fachsysteme, Aufbereitung der erforderlichen Dokumente. Am Ende steht kein Konzept, sondern ein System, das den Vorgang an echten Fällen durchläuft.
Begleiteter Betrieb mit Kontrolle
Der Ablauf läuft produktiv, jedes Ergebnis wird jedoch noch geprüft. Aus den Korrekturen entstehen Nachschärfungen. Erst wenn die Qualität über mehrere Wochen stabil ist, werden Kontrollschritte reduziert.
Übergabe in den Regelbetrieb
Benannte Verantwortung, Überwachung, Aktualisierungen, Schulung neuer Mitarbeitender und ein festgelegter Termin, zu dem der Nutzen erneut gemessen wird. Erst mit diesem Schritt ist ein KI-Projekt abgeschlossen.
Warum entscheidet Akzeptanz über den Erfolg?
Weil ein technisch funktionierendes System ungenutzt bleibt, solange die Belegschaft fürchtet, sich selbst überflüssig zu machen.
Der häufigste Grund, warum ein technisch funktionierendes KI-System nicht genutzt wird, ist die Sorge der Mitarbeitenden, sich selbst überflüssig zu machen. Diese Sorge lässt sich nicht durch Schulungen auflösen, sondern nur durch eine klare, glaubwürdige und früh kommunizierte Aussage der Geschäftsführung dazu, was mit der eingesparten Zeit geschehen soll. Wer diese Aussage nicht trifft, bekommt Zurückhaltung, unvollständige Nutzung und stille Umgehung der neuen Abläufe.
Früh und ehrlich kommunizieren
Vor dem Projektstart, nicht bei der Einführung. Wer erst spricht, wenn das System steht, erzeugt den Eindruck einer bereits getroffenen Entscheidung über Stellen. Dieser Eindruck lässt sich nachträglich kaum korrigieren.
Die Fachabteilung baut mit
Wer den Vorgang täglich erledigt, kennt die Ausnahmen, an denen jede Automatisierung scheitert. Diese Personen gehören von Beginn an in das Projekt, nicht in die Abnahme am Ende.
Mit einem sichtbaren Erfolg beginnen
Der erste Anwendungsfall sollte eine unbeliebte Routineaufgabe treffen, nicht die anspruchsvollste Tätigkeit. Wer eine ungeliebte Arbeit loswird, wird zum Fürsprecher des nächsten Vorhabens.
Regeln schriftlich festhalten
Was darf in welches System eingegeben werden, wer prüft welche Ergebnisse, wer entscheidet im Zweifel. Diese Nutzungsrichtlinie ist zugleich ein Baustein für die nach dem AI Act geforderte KI-Kompetenz im Unternehmen.
Was antwortet man auf die Frage nach den Stellen?
Nur das, was entschieden ist, und zwar von der Person, die es entscheiden kann. Drei Angaben tragen: Wird es betriebsbedingte Kündigungen im Zusammenhang mit diesem Vorhaben geben oder nicht, für welchen Zeitraum gilt diese Aussage, und wer sagt es zu. Eine allgemeine Beruhigung ohne Zeitraum wird als Ausweichen gehört und richtet mehr Schaden an als ein ehrliches „Für die nächsten zwei Jahre schließen wir das aus, weiter kann ich heute nicht sehen“.
Was passiert mit der eingesparten Zeit?
Diese Frage entscheidet über die Nutzung, und sie hat drei brauchbare Antworten: Rückstände abbauen, die niemand aufholen konnte; die Qualität an Stellen erhöhen, an denen bisher die Zeit fehlte; oder Wachstum tragen, ohne neu einzustellen. Welche davon zutrifft, weiß die Geschäftsführung, und sie sollte es vor dem Start sagen. Unausgesprochen bleibt die vierte Antwort im Raum, und die lautet Stellenabbau.
Wie wählt man die Personen aus, die mitbauen?
Nach dem Vorgang, nicht nach der Position und auch nicht nach der Lautstärke. Zwei oder drei Personen, die den Ablauf täglich ausführen und die Ausnahmen kennen, mit einem Zeitbudget, das im Tagesgeschäft sichtbar freigestellt ist. Ohne Freistellung wird die Mitarbeit zur Zusatzbelastung, und die Rückmeldung fällt aus, obwohl formal alle beteiligt sind.
Was gehört in eine Nutzungsrichtlinie?
Sechs Punkte auf zwei Seiten: welche Werkzeuge freigegeben sind, welche Daten hineingehören und welche nicht, wer eine Ausgabe prüft, bevor sie nach außen geht, wie erzeugte Inhalte gekennzeichnet werden, auf welchem Weg ein Problem gemeldet wird und wer im Zweifel entscheidet. Was ab Dezember 2026 an Kennzeichnung verlangt wird, steht im Fachbeitrag dazu.
Wie schult man wirksam?
Am eigenen Vorgang und nicht am Werkzeug. Sechzig bis neunzig Minuten mit echten Fällen aus der Abteilung bringen mehr als ein halber Tag Funktionsübersicht, weil die Teilnehmer danach etwas können, das sie am selben Tag brauchen. Wichtig ist die Wiederholung nach einigen Wochen: Dann kommen die Fragen, die im Alltag entstanden sind. Was der AI Act an KI-Kompetenz verlangt, steht in Kapitel 07.
Wie geht man mit Ablehnung um?
Zuerst freiwillig, und ohne Sonderbehandlung in beide Richtungen. Wer nicht mitmachen will, arbeitet weiter wie bisher, solange der Vorgang das zulässt. Nach einigen Monaten entscheidet nicht die Haltung, sondern das Ergebnis: Wenn die Kollegen sichtbar schneller fertig sind, kommen die meisten von selbst. Was dabei nicht übergangen werden sollte, ist fachliche Ablehnung: Wer sagt, die Ausgabe sei für seinen Fall zu unsicher, hat oft Recht und liefert damit den nächsten Prüffall.
Wer ist im Alltag Ansprechpartner?
Eine benannte Person mit Namen im Intranet, nicht ein Postfach und nicht der Anbieter. Dazu ein Meldeweg, der zwei Klicks kostet und kein Formular ist. Was dort eingeht, ist nicht Beschwerdemanagement, sondern das Material für die nächste Verbesserung, und es gehört in den Prüfsatz, siehe Baustein 10.
Was tun, wenn Mitarbeitende private KI-Werkzeuge nutzen?
Als Befund lesen, nicht als Verstoß. Private Nutzung entsteht, wo ein Bedarf besteht und kein brauchbarer Weg angeboten wird. Ein Verbot verlagert sie auf Geräte, die Sie nicht sehen, und nimmt Ihnen den Überblick. Wirksam ist ein eigener Zugang, der gut genug ist, dass der Umweg lästig wird. Der Fachbeitrag zu Schatten-KI geht auf die Zahlen und den Ablauf ein.
Woran messen Sie Akzeptanz?
An drei Werten, die zusammen gelesen werden: Nutzung je Woche und Abteilung, Anteil der Ausgaben, die ohne Nacharbeit übernommen werden, und Zahl der Rückmeldungen. Bleibt die Nutzung aus, liegt es an Vertrauen oder Bedienung; bleiben die Rückmeldungen aus, obwohl genutzt wird, fehlt der Weg dafür. Beides ist eine andere Baustelle als ein schlechtes Modell.
Was gehört in die Kommunikation nach dem Start?
Einmal im Monat drei Sätze an die betroffenen Abteilungen: was sich geändert hat, was die Messung zeigt, was als Nächstes kommt. Das klingt nach Formalie und ist der Unterschied zwischen einem Projekt, das als Entscheidung von oben erlebt wird, und einem, an dem Leute mitwirken. Wer nach der Einführung nichts mehr hört, nimmt an, dass niemand hinsieht, und verhält sich entsprechend.
Was gilt nach dem AI Omnibus, und ab wann?
Die Fristen der KI-Verordnung haben sich im Juli 2026 erheblich verschoben. Ein Überblick über das, was gilt, und das, was später kommt.
Mit dem sogenannten Digital Omnibus, in Kraft seit dem 27. Juli 2026, hat die EU zentrale Fristen der KI-Verordnung nach hinten verschoben und den Begriff der Hochrisiko-KI enger gefasst. Die inhaltlichen Anforderungen an Hochrisiko-Systeme selbst wurden nicht abgeschwächt, verschoben wurde der Zeitpunkt ihrer Anwendbarkeit. Für die meisten mittelständischen Unternehmen bedeutet das mehr Vorbereitungszeit, aber keinen Wegfall von Pflichten.
Wichtig für die Einordnung: Der weit überwiegende Teil betrieblicher KI-Anwendungen, etwa Textassistenz, Dokumentenauswertung oder Automatisierung interner Abläufe, fällt ohnehin nicht in die Hochrisiko-Kategorie. Relevant werden die verschärften Pflichten vor allem dort, wo KI über Menschen entscheidet, etwa im Personalwesen oder bei der Kreditwürdigkeitsprüfung.
Verbotene Praktiken und KI-Kompetenz
Bestimmte Anwendungen sind untersagt. Zugleich gilt die Pflicht, für ausreichende KI-Kompetenz bei allen Personen zu sorgen, die KI im Unternehmen einsetzen. Gemeint sind dokumentierte Schulungen, nicht eine einmalige Informationsveranstaltung.
Pflichten für Anbieter allgemeiner KI-Modelle
Betrifft die Anbieter der Modelle selbst, nicht deren betriebliche Anwender. Für Sie als Anwender relevant, weil die Anbieter daraus Dokumentation bereitstellen, die Sie für Ihre eigene Bewertung nutzen können.
Transparenzpflichten
Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren. Betrifft in der Praxis vor allem Chatbots im Kundenkontakt und automatisierte Antwortsysteme. Diese Pflicht greift jetzt und ist mit überschaubarem Aufwand umsetzbar.
Kennzeichnung erzeugter Inhalte und neue Verbote
KI-erzeugte Inhalte sollen maschinenlesbar gekennzeichnet werden. Zusätzlich treten weitere Verbotstatbestände in Kraft. Wer generative KI für Kundenkommunikation oder Marketing nutzt, sollte die Kennzeichnung jetzt mitdenken.
Vollständige Pflichten für Hochrisiko-Systeme nach Anhang III
Ursprünglich für August 2026 vorgesehen, um rund 16 Monate verschoben. Betrifft eigenständige Hochrisiko-Systeme, etwa in Personalauswahl, Kreditwürdigkeitsprüfung oder biometrischer Identifizierung. Die inhaltlichen Anforderungen bleiben unverändert.
Hochrisiko-KI in regulierten Produkten nach Anhang I
Betrifft KI als Sicherheitsbauteil in Produkten, die bereits eigenen Regelwerken unterliegen, etwa Maschinen oder Medizinprodukte. Für Hersteller relevant, für reine Anwender in der Regel nicht.
Stand 1. August 2026. Der Digital Omnibus wurde am 7. Mai 2026 zwischen Rat und Parlament vereinbart und ist seit dem 27. Juli 2026 in Kraft. Angesichts der Dynamik in diesem Bereich prüfen wir die genannten Fristen laufend. Diese Übersicht dient der Orientierung und ersetzt keine Rechtsberatung. Die verbindliche Einordnung Ihrer konkreten Anwendungen gehört in die Hände Ihres Datenschutzbeauftragten oder eines Fachanwalts.
| Was zu klären ist | Wer verantwortet | Wann |
|---|---|---|
| Datenkategorien je Anwendungsfall | Fachabteilung mit Datenschutzbeauftragtem | Vor Architekturentscheidung |
| Auftragsverarbeitungsvertrag mit Anbietern | Geschäftsführung oder Einkauf | Vor erstem produktiven Einsatz |
| Eintrag im Verarbeitungsverzeichnis | Datenschutzbeauftragter | Vor erstem produktiven Einsatz |
| Ausschluss der Trainingsnutzung | Einkauf, vertraglich | Bei Vertragsabschluss |
| Nutzungsrichtlinie für Mitarbeitende | Geschäftsführung mit Betriebsrat | Vor Rollout |
| Nachweis der KI-Kompetenz | Personalabteilung | Laufend, dokumentiert |
| Einordnung als Hochrisiko-System | Geschäftsführung mit Rechtsberatung | Je Anwendungsfall bei Konzeption |
| Protokollierung von Anfragen und Ergebnissen | IT | Ab Inbetriebnahme |
Die Pflicht, die unabhängig von jeder Risikoeinstufung greift, steht in einem Satz:
„Die Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren.“
Wann greift NIS-2, und was heißt das für Ihr KI-System?
Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Wer betroffen ist, muss Informationssicherheit nachweisbar organisieren, für alle Systeme, KI eingeschlossen.
NIS-2 fragt nicht, ob ein System „KI“ ist, sondern ob es zur Erbringung Ihrer Dienste gehört. Ein Sprachmodell, das Angebote schreibt, Rechnungen liest oder den Support beantwortet, fällt damit in den Geltungsbereich Ihres Risikomanagements.
Betroffen ist, wer in einem der regulierten Sektoren tätig ist und die Größenschwellen überschreitet. Beides muss zusammenkommen. Mittelbar betroffen sind außerdem Zulieferer regulierter Unternehmen: Dort kommen die Anforderungen über den Vertrag statt über das Gesetz. Die Selbsteinschätzung ersetzt keine Prüfung, das BSI stellt dafür eine Betroffenheitsprüfung bereit, und auch ein Nein ist ein Ergebnis, das man später belegen können will.
Der praktische Unterschied zur KI-Verordnung: Diese fragt nach dem Risiko der Anwendung, NIS-2 nach der Sicherheit des Betriebs. Wer die NIS-2-Hausaufgaben macht, hat einen großen Teil der Dokumentation erledigt, die auch die KI-Verordnung verlangt.
| Pflicht aus dem Risikomanagement | Was das für ein KI-System bedeutet |
|---|---|
| Sicherheit der Lieferkette | Ein Cloud-Modell ist ein Dienstleister in Ihrer Kette: Welcher Anbieter verarbeitet welche Daten, wo, und was passiert bei Ausfall? |
| Zugriffskontrolle und Mehr-Faktor-Authentisierung | Ein Assistent mit Blick auf das gesamte Laufwerk macht jede Rechteverwaltung dahinter wirkungslos. |
| Protokollierung | Wer hat wann welche Anfrage gestellt, welche Quellen wurden herangezogen, welche Änderung wurde ausgelöst? |
| Schulung | Verlangt sind Schulungen der Beschäftigten und ausdrücklich auch der Geschäftsleitung. Die Verantwortung lässt sich nicht an die IT delegieren. |
| Meldung erheblicher Sicherheitsvorfälle | Ein Datenabfluss über einen manipulierten Assistenten ist meldepflichtig, sobald er schwerwiegende Störungen oder Schäden verursachen kann. |
Tritt ein erheblicher Sicherheitsvorfall ein, läuft die Frist ab Kenntniserlangung in drei Stufen: frühe Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung spätestens nach einem Monat. Das BSI stellt dabei ausdrücklich Schnelligkeit vor Vollständigkeit: Eine Meldung lässt sich nicht zurückziehen, aber jederzeit durch eine Folgemeldung ergänzen und korrigieren.
Stand 2. September 2026. Das NIS-2-Umsetzungsgesetz wurde am 6. Dezember 2025 verkündet und gilt seitdem ohne Übergangsfrist. Grundlage dieser Übersicht sind die Angaben des Bundesamts für Sicherheit in der Informationstechnik sowie die Definition des erheblichen Sicherheitsvorfalls in § 2 Nr. 11 BSIG. Diese Darstellung dient der Orientierung und ersetzt keine Rechtsberatung. Ausführlich im Beitrag NIS-2 und KI: welche Pflichten Ihr KI-System auslöst.
Welche drei Pflichten sind vor dem Start zu klären?
Drei Regelwerke sind vor dem Start zu klären. Alle drei haben einen bekannten Ablauf, und alle drei fallen nur einmal an.
In Deutschland stoppt ein KI-Vorhaben selten am EU AI Act. Es stoppt am Betriebsverfassungsgesetz, an der Datenschutz-Folgenabschätzung oder an einem fehlenden Auftragsverarbeitungsvertrag. Die gute Nachricht: Anders als die Frage, ob ein Modell die geforderte Qualität erreicht, sind das keine offenen Fragen. Der Ablauf ist bekannt, das Ergebnis ist absehbar, und wer den Rahmen einmal geschaffen hat, braucht ihn für das nächste Werkzeug nicht erneut.
Teuer wird es nur in einer Reihenfolge: erst das Werkzeug auswählen, dann die Beteiligung nachholen. Dann steht ein bezahltes System, das nicht in Betrieb gehen darf.
Warum der Betriebsrat mitentscheidet, und warum das nützt
Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit, wenn technische Einrichtungen eingeführt werden, die Verhalten oder Leistung der Beschäftigten überwachen können. Nach ständiger Rechtsprechung genügt die objektive Eignung dazu; auf die Absicht kommt es nicht an. Damit ist praktisch jedes System erfasst, das Arbeitsergebnisse verarbeitet, denn wer Anfragen zuordnet, erfasst zwangsläufig auch, wer sie bearbeitet hat. Seit dem Betriebsrätemodernisierungsgesetz von 2021 nennt das Gesetz KI zudem ausdrücklich in § 80 Abs. 3 (Sachverständige), § 90 Abs. 1 (Unterrichtung) und § 95 Abs. 2a (Auswahlrichtlinien).
Der Reflex, darin nur eine Bremse zu sehen, verkennt zwei Dinge. Erstens schafft eine Betriebsvereinbarung Rechtssicherheit auch für die Geschäftsführung: Was vereinbart ist, kann später nicht mehr als unzulässige Überwachung angegriffen werden. Zweitens ist die Einbindung der Belegschaft ohnehin der Faktor, der über die Nutzung entscheidet. Ein System, das niemand anfasst, erzeugt keinen Nutzen, egal wie sauber es gebaut ist. Warum das so ist, steht ausführlicher in Kapitel 04 zum Change Management.
In der Praxis ist der Betriebsrat deshalb häufiger Verbündeter als Gegner, sofern er nicht vor vollendete Tatsachen gestellt wird.
So entsteht eine Rahmenvereinbarung KI
Eine Vereinbarung je Werkzeug bindet dauerhaft Kapazität. Ein Rahmen wird einmal verhandelt und trägt danach jedes weitere System. Der Weg dorthin in sechs Schritten:
Den Anwendungsfall beschreiben, bevor Werkzeuge fallen
Fachbereich und wir halten fest, was das System tun soll, welche Daten es dabei sieht und was es ausdrücklich nicht tut. Diese Beschreibung ist die Grundlage für alles Weitere. Ohne sie verhandelt der Betriebsrat über eine Vermutung, und das dauert.
Den Betriebsrat unterrichten, nicht überzeugen
§ 90 BetrVG verlangt Unterrichtung und Beratung bei der Planung von Arbeitsverfahren, also vor der Entscheidung. Wer erst das fertige Werkzeug vorstellt, hat den Beteiligungsanspruch bereits verletzt und verhandelt ab da aus der schwächeren Position.
Den Sachverständigen von vornherein einplanen
Nach § 80 Abs. 3 Satz 2 BetrVG gilt bei der Beurteilung von KI die Hinzuziehung eines Sachverständigen als erforderlich. Darüber muss nicht mehr gestritten werden. Wer das im Zeitplan berücksichtigt, verliert keine Runde; wer es übersieht, verliert genau eine.
Einen Rahmen verhandeln statt jedes Werkzeug einzeln
Geregelt wird einmal: welche Daten verarbeitet werden dürfen, dass keine Leistungs- und Verhaltenskontrolle stattfindet, wie lange protokolliert wird, wie neue Werkzeuge angemeldet werden und wie bei Änderungen verfahren wird. Das ist die eigentliche Arbeit, und sie fällt nur einmal an.
Technisch abbilden, was vereinbart wurde
Zugriffsrechte, Umfang der Protokollierung, Löschfristen. Eine Vereinbarung, die im System nicht abgebildet ist, hält keiner Prüfung stand und beschädigt im Zweifel das Vertrauen, das sie herstellen sollte. Diesen Teil übernehmen wir.
Neue Werkzeuge anmelden statt neu verhandeln
Ab hier läuft der Rahmen. Das nächste System wird angemeldet, geprüft und in Betrieb genommen, ohne dass die Grundsatzfragen noch einmal aufgemacht werden. Genau dafür lohnt sich der Aufwand aus Schritt 4.
Was wir dabei übernehmen: die Beschreibung des Anwendungsfalls in einer Form, die der Betriebsrat prüfen kann, die technische Auskunft im Termin, und die Umsetzung dessen, was vereinbart wurde, im System. Was wir nicht übernehmen, ist die Verhandlung selbst. Die führen Arbeitgeber und Betriebsrat, und das ist auch richtig so.
Datenschutz-Folgenabschätzung: vier Teile, ein Dokument
Artikel 35 DSGVO verlangt eine Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte Betroffener birgt. Bei KI mit Beschäftigtendaten ist das eher Regel als Ausnahme, weil gleich mehrere Merkmale zusammentreffen: Bewertung persönlicher Aspekte, systematische Verarbeitung, neuartige Technologie.
Das Dokument besteht aus vier Teilen: Beschreibung der Verarbeitung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Einschätzung der Risiken, geplante Gegenmaßnahmen. Wer Schritt 1 oben sauber erledigt hat, hat den ersten Teil bereits geschrieben und den zweiten weitgehend vorbereitet. Die Folgenabschätzung ist selten die eigentliche Arbeit, sondern meist nur die Stelle, an der auffällt, dass der Anwendungsfall nie präzise beschrieben wurde.
Ein eigener Punkt ist Artikel 22 DSGVO: Entscheidungen allein auf automatisierter Grundlage mit rechtlicher Wirkung sind grundsätzlich unzulässig. Das heißt nicht, auf KI zu verzichten, sondern die Entscheidung bei einem Menschen zu belassen. Diese Prüfung muss allerdings inhaltlich stattfinden. Ein Haken, den jemand routinemäßig setzt, ist keine Entscheidung.
Auftragsverarbeitung: vier Fragen an jeden Anbieter
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es nach Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag, unabhängig davon, ob der Zugang etwas kostet. Genau daran scheitert die verbreitete Schatten-KI: kostenlose Konten, in die Kundendaten wandern, oft mit einer Voreinstellung, die Eingaben zum Training verwendet.
Vier Fragen klären die meisten Fälle:
- Ist vertraglich ausgeschlossen, dass Eingaben zum Training verwendet werden?
- Welche Unterauftragsverarbeiter sind eingebunden, und werden Sie über Änderungen informiert?
- Wo stehen die Server, und bei Verarbeitung außerhalb der EU: auf welcher Grundlage nach Kapitel V DSGVO?
- Nach welcher Frist werden Eingaben gelöscht, und lässt sich das nachweisen?
Bei den großen Anbietern sind diese Punkte in den Geschäftskunden-Tarifen geregelt und in den kostenlosen Zugängen regelmäßig nicht. Der Unterschied ist kein Komfortmerkmal, sondern ein rechtliches. Ein einziger freigegebener Zugang für alle ist deshalb meist die schnellste Lösung des Problems.
KI-Kompetenz nach Artikel 4: seit Juli 2026 entschärft
Artikel 4 des EU AI Acts verlangte ursprünglich, ein ausreichendes Maß an KI-Kompetenz bei den Beschäftigten sicherzustellen. Seit dem AI Omnibus genügt es, den Aufbau dieser Kompetenz zu unterstützen. Aus einer Erfolgspflicht wird eine Bemühenspflicht, und damit trägt das Unternehmen nicht mehr das Risiko, dass eine einzelne Person das nötige Verständnis nicht mitbringt.
Praktisch heißt das: Halten Sie fest, wer wann welche Schulung erhalten hat und wie die internen Regeln kommuniziert sind. Diese Aufzeichnung ist jetzt der Kern der Pflicht.
Wer wann eingebunden gehört
| Beteiligte | Zeitpunkt | Grundlage | Erfahrung aus der Praxis |
|---|---|---|---|
| Betriebsrat | Vor der Auswahl des Systems | Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG | Rahmenvereinbarung statt Einzelfallprüfung |
| Datenschutzbeauftragte | Vor der Verarbeitung personenbezogener Daten | Beteiligung an der Folgenabschätzung, Art. 35 Abs. 2 DSGVO | Frühe Einbindung spart die zweite Runde |
| Fachbereich | Bei der Auswahl des Anwendungsfalls | Kennt den Vorgang und seine Ausnahmen | Ohne ihn entstehen Lösungen für Probleme, die es nicht gibt |
| Geschäftsführung | Vor der Einstufung als Hochrisiko-System | Trägt die Verantwortung für die Einstufung | Einstufung schriftlich festhalten, mit Begründung |
| IT | Vor dem Anschluss an bestehende Systeme | Zugriffsrechte, Protokollierung, Löschfristen | Protokollierung ab Inbetriebnahme, nicht später |
Stand: 19. August 2026. Dieser Abschnitt ersetzt keine Rechtsberatung. Für die Beurteilung Ihres konkreten Falls, insbesondere bei Mitbestimmung und Folgenabschätzung, ziehen Sie bitte fachkundigen Rat hinzu.
Der Vertrag, den jeder Cloud-Dienst mit Personenbezug auslöst, ist ebenfalls wörtlich geregelt:
„Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.“
Wenn es sich nicht rechnet, sagen wir Ihnen das.
Auch wenn ein Umsetzungsprojekt für uns das größere Geschäft wäre. Vertrauen ist die Grundlage jeder längeren Zusammenarbeit.
Was gehört in die Rechnung, das häufig fehlt?
Ein durchgerechnetes Beispiel mit allen Kostenblöcken, auch denen, die in Angeboten gerne fehlen.
Rechenbeispiel: automatisierte Prüfung von Eingangsrechnungen
Angenommen, in Ihrem Unternehmen gehen monatlich 1.200 Eingangsrechnungen ein. Die manuelle Prüfung und Erfassung dauert im Durchschnitt sechs Minuten je Beleg, das entspricht rund 120 Stunden pro Monat. Nach der Automatisierung laufen etwa 70 Prozent der Belege ohne Eingriff durch, der Rest wird weiterhin manuell bearbeitet.
Diese Rechnung ist ein Beispiel zur Veranschaulichung der Systematik und kein Angebot. Entscheidend ist, dass alle Blöcke enthalten sind: Umsetzung, Betrieb, Wartung und der interne Aufwand Ihrer Mitarbeitenden während der Einführung. Fehlt einer davon, wird die Amortisation zu kurz gerechnet.
Was in die Rechnung gehört
- Einmalige Umsetzung inklusive Anbindung an Ihre Fachsysteme
- Aufbereitung der benötigten Dokumente und Stammdaten
- Laufende Modell- oder Hardwarekosten
- Wartung, Aktualisierung und Überwachung im Regelbetrieb
- Interner Aufwand der Fachabteilung während Einführung und Testphase
- Schulung und Einarbeitung neuer Mitarbeitender
Wo Rechnungen regelmäßig schönfärben
- Es wird mit 100 Prozent Automatisierungsquote gerechnet statt mit realistischen 60 bis 80 Prozent
- Die Zeit für die Prüfung der Ergebnisse wird nicht gegengerechnet
- Eingesparte Stunden werden als Personalkosten gebucht, obwohl niemand geht
- Die Datenaufbereitung wird als einmalig angesetzt, obwohl sie fortlaufend anfällt
- Betrieb und Wartung fehlen vollständig
- Der Aufwand der Fachabteilung während der Einführung wird ignoriert
Ein Hinweis zur Ehrlichkeit in dieser Rechnung: Eingesparte Arbeitszeit ist nur dann eine Kosteneinsparung, wenn die Stelle tatsächlich entfällt. In den meisten mittelständischen Projekten ist das nicht der Fall und auch nicht gewollt. Der reale Nutzen liegt dann in schnelleren Durchlaufzeiten, geringerer Fehlerquote und der Möglichkeit, Wachstum ohne zusätzliche Einstellungen abzubilden. Das ist ein belastbarer Business Case, er sollte nur auch so benannt werden.
Woran messen Sie den Erfolg tatsächlich?
Alle Werte müssen vor dem Projektstart erhoben werden. Nachträglich lassen sie sich nicht rekonstruieren.
Warum scheitern KI-Projekte im Mittelstand?
Sechs Muster, die wir in Projekten und Übernahmen gescheiterter Vorhaben immer wieder sehen.
Der Anwendungsfall war nie abgegrenzt
Gestartet wird mit dem Ziel, KI einzuführen, statt mit einem konkreten Vorgang. Ohne klares Abschlusskriterium wächst der Umfang, bis das Vorhaben unter seinem eigenen Gewicht stehen bleibt.
Ein Vorgang, ein ZielBeratung und Umsetzung sind getrennt
Ein Haus liefert die Strategie, ein anderes soll sie umsetzen. Was technisch nicht durchdacht war, fällt erst in der Umsetzung auf, und dann verantwortet es niemand.
Aus einer Hand vergebenDie Datenlage wurde vorausgesetzt
Das Projekt plant mit sauberen, strukturierten Daten. Vorgefunden werden gewachsene Ablagen, gescannte Belege und drei konkurrierende Wahrheiten zum selben Kunden.
Datenlage vorab prüfenEs blieb beim Prototyp
Der Nachweis der Machbarkeit gelingt, dann fehlen Budget und Verantwortung für die Überführung in den Betrieb. Nach einigen Monaten nutzt das System niemand mehr.
Betrieb mitbeauftragenDie Belegschaft wurde übergangen
Das System ist fertig, bevor die Fachabteilung davon erfährt. Es kennt die Ausnahmen des Alltags nicht und wird als Kontrollinstrument wahrgenommen statt als Entlastung.
Früh einbindenErfolg wurde nie definiert
Ohne Ausgangswerte und ohne vereinbarte Zielgröße bleibt am Ende eine Meinungsfrage, ob sich das Vorhaben gelohnt hat. Damit fehlt die Grundlage für jede Folgeinvestition.
Zahlen vor dem StartWir liefern keine Folien. Wir liefern laufende Systeme.
Die meisten KI-Projekte scheitern nicht an der Strategie, sondern an der Stelle, an der aus einer Empfehlung funktionierende Software werden soll. KI Brains ist aus der Softwareentwicklung gekommen, nicht aus der Beratung. Wir entwickeln seit 2010 für Auftraggeber vom Mittelstand bis zum Konzern und kennen die Systemlandschaften, in die KI hineingebaut werden muss. Bewertung, Umsetzung und Betrieb kommen bei uns von denselben Personen.
Wir bewerten am realen Vorgang
Kein Workshop mit Kärtchen, sondern die Aufnahme Ihrer tatsächlichen Abläufe mit Häufigkeit und Zeitbedarf. Erst daraus entsteht eine Priorisierung, die man einer Geschäftsführung vorlegen kann.
Wir bauen in gewachsene Landschaften
ERP ohne dokumentierte Schnittstelle, Fachsoftware aus den frühen 2000ern, drei parallele Kundestämme. Das ist der Normalfall im Mittelstand und seit über 15 Jahren unser Tagesgeschäft.
Wir rechnen ehrlich
Betrieb, Wartung, Datenaufbereitung und der interne Aufwand Ihrer Leute stehen bei uns in der Kalkulation. Wenn sich ein Vorhaben damit nicht mehr rechnet, sagen wir es vor Projektbeginn.
Keine bösen Überraschungen
Aufwände werden vorab benannt, technische Grenzen offen ausgesprochen, Folgekosten eingerechnet. Deshalb kommen unsere Kunden mit dem zweiten und dritten Vorhaben wieder.
- Vodafone
- Carglass
- Snipes
- IronMaxx
- Roland
- Hussel
- Sunpoint
- WM Beautysystems AG
- Fritz Berger
- Zec Plus
- Assistance Partner Services
Fragen zur KI-Einführung im Unternehmen
Mit welchem KI-Anwendungsfall sollten wir starten?
Mit einem, der häufig vorkommt, klaren Regeln folgt, textlastig ist und von den Mitarbeitenden als lästig empfunden wird. Rechnungsprüfung, Vorqualifizierung von Anfragen oder die Auswertung wiederkehrender Dokumente sind typische Kandidaten. Ungeeignet für den Einstieg sind strategische Aufgaben, kreative Einzelfälle und alles, was juristisch heikel ist.
Wie lange dauert es, bis eine KI-Einführung Ergebnisse liefert?
Ein abgegrenzter Anwendungsfall liefert nach sechs bis zwölf Wochen einen lauffähigen Stand, an dem sich der Nutzen an echten Fällen beurteilen lässt. Der Weg in den vollständigen Regelbetrieb inklusive Integration, Rechtevergabe und Schulung dauert je nach Komplexität drei bis neun Monate. Wir arbeiten schrittweise, sodass nutzbare Zwischenstände deutlich früher vorliegen.
Ab welcher Unternehmensgröße lohnt sich KI?
Entscheidend ist nicht die Mitarbeiterzahl, sondern das Volumen wiederkehrender Vorgänge. Ein Betrieb mit 30 Beschäftigten und tausend Belegen im Monat hat einen klareren Business Case als ein Unternehmen mit 300 Beschäftigten ohne solche Mengen. Als Anhaltspunkt: Sobald ein strukturiert beschreibbarer Vorgang mehrere Stunden pro Woche bindet, lohnt sich die Prüfung.
Betrifft der EU AI Act unser Unternehmen?
In den meisten Fällen nur mit den allgemeinen Pflichten. Dazu zählen die seit Februar 2025 geltende Sorge für ausreichende KI-Kompetenz der Anwender und die seit August 2026 geltenden Transparenzpflichten, wenn Personen mit einem KI-System interagieren. Die deutlich strengeren Anforderungen an Hochrisiko-Systeme greifen erst ab Dezember 2027 und betreffen vor allem Anwendungen, die über Menschen entscheiden, etwa in der Personalauswahl.
Müssen wir bei einer KI-Einführung den Betriebsrat einbeziehen?
In aller Regel ja. Sobald ein System geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, greifen Mitbestimmungsrechte, und diese Eignung ist bei KI-gestützten Systemen häufig gegeben, auch wenn die Überwachung nicht beabsichtigt ist. Unsere Erfahrung: Eine frühe, offene Einbindung verkürzt das Projekt, eine späte verlängert es erheblich.
Was passiert mit Mitarbeitenden, deren Aufgaben automatisiert werden?
Diese Frage sollte die Geschäftsführung vor Projektbeginn beantworten und die Antwort auch kommunizieren. In den meisten mittelständischen Projekten geht es nicht um Stellenabbau, sondern darum, Wachstum ohne zusätzliche Einstellungen abzubilden und ungeliebte Routine loszuwerden. Wird diese Aussage nicht getroffen, entsteht Unsicherheit, und das System wird nicht genutzt.
Brauchen wir eine KI-Strategie, bevor wir anfangen?
Nein, und der Versuch kostet meist ein halbes Jahr. Sinnvoller ist es, mit einem Anwendungsfall zu beginnen, dabei Architektur, Rechtsrahmen und Betriebsverantwortung sauber zu klären und daraus die Struktur für weitere Vorhaben abzuleiten. Eine belastbare Strategie entsteht aus einem gelaufenen Projekt, nicht aus einem Workshop.
Können wir KI-Projekte mit eigenen Leuten umsetzen?
Teilweise. Die Auswahl des Anwendungsfalls, die Datenaufbereitung und der spätere Betrieb sind gut intern abbildbar, wenn die entsprechende Kapazität vorhanden ist. Schwieriger wird es bei der Anbindung an Fachsysteme, bei Rechteweitergabe und bei der Fehlerbehandlung, weil dort Erfahrung mit produktiver Softwareentwicklung nötig ist. Ein häufiges Modell ist eine gemeinsame Umsetzung mit anschließender Übergabe des Betriebs an Ihr Team.
KI im Unternehmen einführen: Einsatzfelder, Recht und Wirtschaftlichkeit
Künstliche Intelligenz im Unternehmen ist kein Softwarekauf, sondern ein Prozessprojekt mit technischer Komponente. Diese Unterscheidung klingt akademisch, entscheidet in der Praxis aber darüber, ob ein Vorhaben Nutzen stiftet oder nach einigen Monaten stillschweigend versandet. Wer eine Plattform beschafft und anschließend nach passenden Anwendungsfällen sucht, hat am Ende ein Werkzeug, mit dem niemand seine Arbeit anders macht. Wer umgekehrt einen konkreten, häufig vorkommenden Arbeitsvorgang auswählt, ihn misst, automatisiert und in den Regelbetrieb überführt, kann den Erfolg belegen und daraus die nächsten Schritte ableiten.
Die Einsatzfelder mit dem besten Verhältnis von Aufwand und Wirkung liegen dort, wo wiederkehrende, textlastige Vorgänge nach klaren Regeln bearbeitet werden. Im Vertrieb sind das Angebotserstellung und die Auswertung von Ausschreibungsunterlagen, im Kundenservice die Klassifikation eingehender Anfragen samt Antwortvorschlag, im Finanzwesen die Prüfung und Vorkontierung von Eingangsrechnungen. Im Personalwesen ist der Nutzen ebenfalls hoch, hier gilt jedoch besondere Vorsicht, weil durchgängig personenbezogene Daten verarbeitet werden und eine automatisierte Bewertung von Bewerbern rechtlich gesondert zu betrachten ist. In der Softwareentwicklung schließlich ist der Produktivitätsgewinn am besten belegt, besonders bei Routineaufgaben, Tests und Dokumentation.
Der Rechtsrahmen hat sich im Juli 2026 verschoben
Für die rechtliche Einordnung hat sich die Lage zuletzt spürbar verändert. Mit dem sogenannten Digital Omnibus, der seit dem 27. Juli 2026 in Kraft ist, hat die EU zentrale Fristen der KI-Verordnung nach hinten verschoben und den Begriff der Hochrisiko-KI enger gefasst. Die vollständigen Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, ursprünglich für August 2026 vorgesehen, gelten nun ab Dezember 2027. Für KI, die als Sicherheitsbauteil in regulierte Produkte eingebettet ist, verschiebt sich der Termin auf August 2028. Wichtig für die Einordnung: Verschoben wurde der Zeitpunkt, nicht die inhaltliche Anforderung. Wer betroffen ist, gewinnt Vorbereitungszeit, keine Entlastung.
Gleichzeitig gelten mehrere Pflichten bereits heute. Seit Februar 2025 müssen Unternehmen für ausreichende KI-Kompetenz bei den Personen sorgen, die KI einsetzen, und zwar nachweisbar und nicht in Form einer einmaligen Informationsveranstaltung. Seit August 2026 greifen die Transparenzpflichten, nach denen Personen erkennen können müssen, dass sie mit einem KI-System interagieren. Ab Dezember 2026 kommt die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte hinzu. Unabhängig davon bleibt die DSGVO der maßgebliche Rahmen für alle Anwendungen, in denen personenbezogene Daten verarbeitet werden, mit Auftragsverarbeitungsvertrag, Eintrag im Verarbeitungsverzeichnis und einer bewussten Entscheidung darüber, welche Datenkategorien an externe Anbieter übergeben werden dürfen.
Der Business Case muss vollständig sein
Bei der Wirtschaftlichkeitsrechnung wird regelmäßig zu kurz gerechnet. In die Kalkulation gehören die einmalige Umsetzung inklusive Anbindung an die Fachsysteme, die Aufbereitung der Dokumente und Stammdaten, laufende Modell- oder Hardwarekosten, Wartung und Überwachung im Regelbetrieb sowie der interne Aufwand der Fachabteilung während Einführung und Testphase. Fehlt einer dieser Blöcke, wird die Amortisation zu kurz gerechnet und die Enttäuschung folgt im zweiten Jahr. Ebenso wichtig ist Ehrlichkeit bei der Nutzenseite: Eingesparte Arbeitszeit ist nur dann eine Kosteneinsparung, wenn eine Stelle tatsächlich entfällt. In den meisten mittelständischen Projekten ist das weder der Fall noch gewollt. Der reale Nutzen liegt dann in kürzeren Durchlaufzeiten, geringeren Fehlerquoten und der Fähigkeit, Wachstum ohne zusätzliche Einstellungen zu bewältigen. Das ist ein tragfähiger Business Case, er sollte nur so benannt werden.
Ebenso entscheidend wie die Rechnung ist die Frage der Akzeptanz. Der häufigste Grund, warum ein technisch funktionierendes System ungenutzt bleibt, ist die Sorge der Mitarbeitenden, sich selbst überflüssig zu machen. Diese Sorge löst keine Schulung auf, sondern nur eine frühe und glaubwürdige Aussage der Geschäftsführung dazu, was mit der gewonnenen Zeit geschehen soll. Hinzu kommt die frühzeitige Einbindung derer, die den Vorgang täglich erledigen, denn sie kennen die Ausnahmen, an denen jede Automatisierung scheitert. Und in aller Regel ist der Betriebsrat einzubeziehen, weil KI-gestützte Systeme häufig geeignet sind, Verhalten oder Leistung zu erfassen, auch wenn das nicht beabsichtigt ist.
Warum wir diese Projekte anders angehen
KI Brains kommt aus der Softwareentwicklung, nicht aus der Beratung. Wir entwickeln seit 2010 und haben über 700 Projekte umgesetzt, für mittelständische Auftraggeber ebenso wie im Konzernumfeld. Deshalb bewerten wir KI-Vorhaben von der Integration her: ERP ohne dokumentierte Schnittstelle, Fachsoftware aus den frühen 2000ern und mehrere konkurrierende Kundestämme sind für uns der Normalfall und nicht die Ausnahme, die ein Projekt zum Stillstand bringt. Bewertung, Umsetzung und Betrieb kommen bei uns von denselben Personen, sodass eine Empfehlung nicht an der Stelle endet, an der es aufwendig wird. Und wenn ein Anwendungsfall sich nach vollständiger Rechnung nicht trägt, sagen wir Ihnen das vor Projektbeginn.
Vertiefend empfehlen wir die Übersicht der KI Wissensdatenbank, den Vergleich der KI-Modelle für Cloud und lokalen Betrieb sowie die Darstellung der KI-Infrastruktur und Werkzeuge. Konkrete Leistungen finden Sie unter KI Beratung, Prozessoptimierung und Leistungen.
Passende Themen in der Wissensdatenbank
Welcher Vorgang in Ihrem Unternehmen eignet sich?
In einem Gespräch sichten wir Ihre wiederkehrenden Abläufe und benennen die zwei bis drei Vorgänge mit dem besten Verhältnis von Aufwand und Wirkung. Sie erhalten eine Einschätzung zu Machbarkeit, Rechtsrahmen und Größenordnung der Kosten.
Unverbindlich und kostenfrei. Antwort in der Regel innerhalb eines Werktags.Welche Beiträge vertiefen dieses Thema?
Fachbeiträge mit Stand der Angaben und Quellen, die einzelne Kapitel dieser Seite weiterführen.