KI im Betrieb: 12 Fragen, die Sie 2026 nicht mehr ignorieren dürfen

Vonadmin
Dieser Beitrag wurde mit KI-Unterstützung erstellt. Redaktionell verantwortlich: Manthey EDV-Beratung.

200 Seiten EU-Verordnung. 12 Monate bis zur Pflicht. Null Ahnung, ob Ihr Chatbot oder Ihre Rechnungs-KI überhaupt unter den AI Act fällt. Fakt ist: Ab August 2026 müssen Sie nachweisen können, dass Ihre KI-Systeme sicher sind – oder Sie riskieren Bußgelder bis zu 35 Millionen Euro oder 7% Ihres Umsatzes. Die gute Nachricht: Nicht jedes KMU ist betroffen. Die schlechte: Viele wissen es einfach nicht. Hier kommt der Check, der Klarheit schafft.

Wer muss sich überhaupt kümmern?

Der AI Act teilt KI-Systeme in vier Risikoklassen ein: verboten, hochriskant, begrenzt riskant und minimal riskant. Für KMU relevant sind vor allem die ersten drei. Verboten sind zum Beispiel Social-Scoring-Systeme – die meisten von Ihnen nutzen so etwas nicht. Hochriskant sind Systeme, die in kritischen Infrastrukturen, Bildung, Beschäftigung oder bei der Vergabe von Krediten eingesetzt werden. Hier wird es konkret: Wenn Sie zum Beispiel einen KI-Chatbot einsetzen, der Bewerbungen vorsortiert, fällt das unter hochriskant. Gleiches gilt für KI, die Kreditwürdigkeit prüft oder in der medizinischen Diagnostik hilft. Begrenzt riskant sind Systeme, die nur mit Menschen interagieren – etwa Chatbots für den Kundenservice. Hier reicht eine Transparenzpflicht: Nutzer müssen wissen, dass sie mit einer KI sprechen.

Minimal riskant sind Systeme, die keine direkte Interaktion mit Menschen haben oder nur einfache Aufgaben erledigen – etwa eine KI, die Rechnungen in Ihr Buchhaltungssystem einsortiert. Für diese Kategorie gibt es keine Pflichten. Die Krux: Viele KMU nutzen KI-Tools, ohne zu wissen, in welche Kategorie sie fallen. Das Ergebnis? Entweder sie bereiten sich unnötig vor – oder sie ignorieren die Pflichten und riskieren später teure Nachbesserungen.

Die 12 Fragen, die Sie jetzt beantworten müssen

Gehen Sie diese Liste Punkt für Punkt durch. Wenn Sie eine Frage mit „Ja“ beantworten, müssen Sie handeln. Wenn Sie unsicher sind, lassen Sie sich beraten – aber ignorieren Sie es nicht.

  • 1. Nutzen Sie KI, um Bewerbungen zu filtern oder Vorstellungsgespräche zu bewerten?
    Hochriskant. Sie brauchen eine Risikobewertung, technische Dokumentation und ein Qualitätssicherungssystem.
  • 2. Setzen Sie KI ein, um Kreditwürdigkeit oder Versicherungstarife zu berechnen?
    Hochriskant. Gleiches gilt für Bonitätsprüfungen oder Scoring-Systeme.
  • 3. Verwenden Sie KI in der medizinischen Diagnostik oder Therapieplanung?
    Hochriskant. Selbst wenn es nur eine unterstützende Rolle spielt.
  • 4. Nutzen Sie einen Chatbot für Kundenservice oder Beratung?
    Begrenzt riskant. Sie müssen Nutzer darüber informieren, dass sie mit einer KI sprechen.
  • 5. Setzen Sie KI ein, um Mitarbeiter zu überwachen oder Leistungsbewertungen durchzuführen?
    Hochriskant. Dazu gehören auch Systeme, die Arbeitszeiten tracken oder Produktivität messen.
  • 6. Verwenden Sie KI, um Zugang zu Bildung oder beruflicher Weiterbildung zu steuern?
    Hochriskant. Beispiel: KI-gestützte Auswahlverfahren für Fortbildungen.
  • 7. Nutzen Sie KI für biometrische Identifikation (z. B. Gesichtserkennung) in Echtzeit?
    Verboten, außer in eng definierten Ausnahmefällen (z. B. Strafverfolgung).
  • 8. Setzen Sie KI ein, um Emotionen oder Persönlichkeitsmerkmale von Menschen zu analysieren?
    Hochriskant. Beispiel: KI, die aus Sprachaufnahmen Stimmungen erkennt.
  • 9. Verwenden Sie KI, um automatisiert Entscheidungen über Sozialleistungen oder öffentliche Dienste zu treffen?
    Hochriskant. Gilt auch für private Anbieter, die solche Dienstleistungen im Auftrag erbringen.
  • 10. Nutzen Sie KI, um Inhalte zu personalisieren (z. B. Newsfeeds, Werbung)?
    Begrenzt riskant. Sie müssen Nutzer über die Personalisierung informieren.
  • 11. Setzen Sie KI ein, um Sicherheitskomponenten in Produkten zu steuern (z. B. Maschinen, Fahrzeuge)?
    Hochriskant. Dazu gehören auch KI-Systeme, die in der Produktion eingesetzt werden.
  • 12. Verwenden Sie KI, um Rechnungen zu verarbeiten, Buchhaltung zu automatisieren oder Steuern zu optimieren?
    Minimal riskant. Keine Pflichten, aber Sie sollten trotzdem prüfen, ob die Datenverarbeitung DSGVO-konform ist.

Was kostet die Compliance – und was passiert, wenn Sie nichts tun?

Die Kosten für die Umsetzung hängen davon ab, wie viele KI-Systeme Sie einsetzen und in welche Risikoklasse sie fallen. Für ein hochriskantes System sollten Sie mit folgenden Posten rechnen:

  • Risikobewertung: 2.000–5.000 Euro (externer Berater oder interner Aufwand)
  • Technische Dokumentation: 3.000–8.000 Euro (je nach Komplexität des Systems)
  • Qualitätssicherungssystem: 5.000–15.000 Euro (inkl. Schulungen und Prozesse)
  • Externe Zertifizierung: 10.000–20.000 Euro (falls erforderlich)

Bei einem mittelgroßen KMU mit zwei hochriskanten Systemen kommen so schnell 30.000–50.000 Euro zusammen. Klingt viel? Ist es auch. Aber die Alternative ist teurer: Bußgelder bis zu 35 Millionen Euro oder 7% des weltweiten Umsatzes. Bei einem Umsatz von 5 Millionen Euro sind das 350.000 Euro – und das ist kein theoretisches Risiko. Die EU hat bereits angekündigt, dass sie die Einhaltung des AI Act streng kontrollieren wird.

Für begrenzt riskante Systeme (z. B. Chatbots) sind die Anforderungen überschaubar: Sie müssen Nutzer darüber informieren, dass sie mit einer KI sprechen. Das kostet Sie vielleicht einen Tag Arbeit für die Anpassung der Nutzeroberfläche – aber es ist Pflicht. Ignorieren Sie es, riskieren Sie Abmahnungen oder Bußgelder bis zu 10 Millionen Euro oder 2% des Umsatzes.

So gehen Sie vor – Schritt für Schritt

1. Inventur machen: Listen Sie alle KI-Systeme auf, die Sie nutzen. Das klingt banal, aber viele KMU wissen gar nicht, wo überall KI im Einsatz ist. Prüfen Sie auch Tools, die Sie nicht selbst entwickelt haben – etwa Cloud-Dienste oder SaaS-Lösungen. Fragen Sie Ihre IT-Abteilung oder externe Dienstleister nach einer Übersicht.

2. Risikoklasse zuordnen: Gehen Sie die 12 Fragen oben durch und ordnen Sie jedes System einer Risikoklasse zu. Wenn Sie unsicher sind, ziehen Sie einen Experten hinzu. Das kostet Sie vielleicht 1.000–2.000 Euro – aber es spart Ihnen später viel Geld.

3. Dokumentation vorbereiten: Für hochriskante Systeme brauchen Sie eine technische Dokumentation, die nachweist, dass das System sicher ist. Dazu gehören:

  • Eine Beschreibung der Funktionsweise des Systems
  • Datenquellen und Trainingsdaten
  • Risikobewertung und Maßnahmen zur Risikominderung
  • Anleitungen für die sichere Nutzung

4. Qualitätssicherung einführen: Sie müssen nachweisen können, dass Ihr KI-System kontinuierlich überwacht wird. Das bedeutet:

  • Regelmäßige Tests und Audits
  • Schulungen für Mitarbeiter
  • Prozesse für die Meldung von Vorfällen

5. Transparenzpflichten umsetzen: Für begrenzt riskante Systeme müssen Sie Nutzer darüber informieren, dass sie mit einer KI interagieren. Das kann ein einfacher Hinweis im Chatfenster sein („Dieser Chatbot wird von einer KI gesteuert“).

6. Zertifizierung prüfen: In einigen Fällen müssen Sie Ihr System von einer benannten Stelle zertifizieren lassen. Das ist aufwendig und teuer, aber unvermeidbar, wenn Sie hochriskante KI einsetzen. Informieren Sie sich frühzeitig, welche Stelle für Ihr System zuständig ist.

7. Fristen im Blick behalten: Der AI Act tritt im August 2026 in Kraft. Aber: Für einige Systeme gibt es Übergangsfristen. Hochriskante Systeme, die bereits vor dem Inkrafttreten genutzt wurden, müssen bis August 2027 angepasst werden. Nutzen Sie die Zeit, um sich vorzubereiten – aber schieben Sie es nicht auf die lange Bank.

Was Sie jetzt tun sollten – und was Sie lassen können

Wenn Sie nach diesem Check feststellen, dass Sie hochriskante KI-Systeme einsetzen, haben Sie zwei Optionen: Entweder Sie passen die Systeme an die Vorgaben an – oder Sie ersetzen sie durch weniger riskante Alternativen. Beispiel: Statt einen KI-Chatbot für Bewerbungen einzusetzen, können Sie auf manuelle Vorselektion setzen. Das ist aufwendiger, aber es spart Ihnen die Compliance-Kosten.

Für begrenzt riskante Systeme (z. B. Kundenservice-Chatbots) reicht es, die Transparenzpflichten umzusetzen. Das ist mit minimalem Aufwand erledigt – aber es muss gemacht werden. Ignorieren Sie es, riskieren Sie Abmahnungen.

Minimal riskante Systeme (z. B. KI für Rechnungsverarbeitung) können Sie weiter nutzen, ohne sich um den AI Act kümmern zu müssen. Aber: Prüfen Sie trotzdem, ob die Datenverarbeitung DSGVO-konform ist. Der AI Act ist nicht das einzige Gesetz, das für Sie gilt.

Fazit: Der AI Act ist kein Hexenwerk – aber er ist auch keine Lappalie. Wenn Sie KI im Betrieb einsetzen, müssen Sie sich damit auseinandersetzen. Die gute Nachricht: Mit den 12 Fragen oben wissen Sie jetzt, wo Sie stehen. Die schlechte: Wenn Sie handeln müssen, wird es teuer. Aber es ist immer noch günstiger, als später ein Bußgeld zu zahlen.

Und falls Sie unsicher sind: Holen Sie sich Hilfe. Ein Tag Beratung kostet Sie vielleicht 1.500 Euro – aber es spart Ihnen später viel Ärger. Und wenn Sie KI-Tools einsetzen, die Sie nicht selbst entwickelt haben, fragen Sie beim Anbieter nach, ob das System AI-Act-konform ist. Viele Anbieter haben die Compliance bereits in ihre Produkte integriert – aber verlassen Sie sich nicht darauf. Prüfen Sie es selbst.

Ähnliche Beiträge