Seit dem Frühjahr bekommen wir dieselbe Frage in immer neuen Verkleidungen: Müssen wir jetzt etwas tun? Gemeint ist die KI-Verordnung der EU, die das Europäische Parlament im März angenommen und der Rat im Mai beschlossen hat. Die kurze Antwort lautet ja, aber nicht panisch und nicht alles gleichzeitig.
Was tatsächlich beschlossen wurde
Die Verordnung steht, ihre Pflichten greifen jedoch gestaffelt. Es gibt also keinen Morgen, an dem um acht Uhr sämtliche Anforderungen auf einmal gelten. Wer Ihnen gerade eine Deadline in die Hand drückt und dazu ein Beratungspaket verkauft, arbeitet vor allem mit Ihrer Nervosität. Deutlich wichtiger als ein Countdown ist die Frage, ob Sie überhaupt wissen, wo in Ihrem Unternehmen KI im Einsatz ist. Erfahrungsgemäß ist das mehr, als die Geschäftsführung vermutet.
Was die Verordnung ausdrücklich nicht ist: ein Verbot von KI im Betrieb. Sie ist auch kein Grund, laufende Vorhaben einzustampfen. Sie zieht Leitplanken ein, und zwar dort, wo Menschen von einer maschinellen Entscheidung ernsthaft betroffen sind.
Der risikobasierte Ansatz in einem Absatz
Sortiert wird nach Risiko, nicht nach Technologie. Ganz oben stehen verbotene Praktiken. Darunter liegen Hochrisiko-Anwendungen mit strengen Pflichten, etwa in sensiblen Feldern wie der Personalauswahl oder kritischer Infrastruktur. Dann folgt eine Stufe mit begrenztem Risiko, für die im Kern Transparenz gilt: Ein Mensch muss erkennen können, dass er mit einer Maschine spricht oder dass ein Inhalt maschinell erzeugt wurde. Und schließlich alles mit minimalem Risiko, das weitgehend frei bleibt. Das meiste, was Mittelständler heute tatsächlich einsetzen, etwa Textbausteine, Übersetzung oder die Sortierung eingehender Anfragen, fällt in die unteren Stufen.
KI steckt oft in Software, die Sie längst gekauft haben
Der blinde Fleck ist selten das selbstgebaute Modell. Es sind die eingekauften Funktionen. Das CRM, das Leads bewertet. Das Bewerbermanagement mit automatischer Vorsortierung. Die Telefonanlage, die Gespräche transkribiert. Der Chat auf der Website. Das Buchhaltungswerkzeug, das Belege erkennt. Nichts davon haben Sie jemals als KI-Projekt beschlossen. Formal sind Sie trotzdem derjenige, der das System betreibt. Deshalb steht am Anfang keine Rechtsfrage, sondern eine Inventur.
Vier Dinge, die sich jetzt lohnen
Erstens eine schlichte Liste. Welches System, welcher Anbieter, welcher Zweck, welche Daten gehen hinein, wer trifft am Ende die Entscheidung. Eine Tabelle genügt, es muss kein Werkzeug angeschafft werden.
Zweitens eine grobe Einordnung dieser Liste in die Risikostufen. Sie brauchen kein Gutachten, um zu sehen, dass ein Rechtschreibassistent und die Vorsortierung von Bewerbungen nicht in derselben Kategorie liegen. Wo Sie unsicher sind, markieren Sie die Zeile und holen sich später juristischen Rat für genau diese Zeile.
Drittens Transparenz. Wenn ein Chatbot auf Ihrer Website antwortet, sollten Besucher das wissen. Wenn KI im Bewerbungsprozess mitwirkt, sollten Bewerber und Betriebsrat das wissen. Das ist ohnehin die Haltung, mit der man sich unangenehme Gespräche im Nachhinein erspart.
Viertens die Datenherkunft. Womit wurde trainiert oder angereichert, und durften Sie diese Daten dafür verwenden? Diese Frage holt Sie unabhängig von der Verordnung ein, spätestens bei der ersten Auskunftsanfrage.
Warum Hektik hier der falsche Reflex ist
Meine ehrliche Meinung: Für die meisten Mittelständler ist die Verordnung kein Grund, Projekte zu stoppen. Sie ist ein Grund, sie ordentlich zu machen. Wer jetzt eine saubere Übersicht hat und weiß, welche Daten wohin fließen, wird die kommenden Fristen ohne Drama überstehen. Wer weiterhin nach Bauchgefühl Werkzeuge einführt, zahlt im Zweifel zweimal: einmal für das schnelle Tool und einmal dafür, es wieder aufzuräumen. In der KI-Beratung ist genau diese Bestandsaufnahme meist in zwei bis drei Terminen erledigt.
Ein Hinweis, der sein muss: Dieser Beitrag ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres konkreten Falls sprechen Sie bitte mit einer Anwältin oder einem Anwalt.
Häufige Fragen
Gilt die Verordnung auch, wenn wir nur eingekaufte Software nutzen?
Ja. Die Verordnung nimmt nicht nur Anbieter in die Pflicht, sondern auch diejenigen, die ein KI-System betreiben. Der Umfang hängt an der Risikoklasse. Deshalb ist der erste Schritt die Bestandsaufnahme und nicht der Anwalt.
Müssen wir kennzeichnen, wenn Inhalte mit KI entstanden sind?
Für Anwendungen mit begrenztem Risiko sieht die Verordnung Transparenzpflichten vor, gerade dort, wo Menschen sonst nicht erkennen könnten, dass sie mit einer KI sprechen oder generierte Inhalte vor sich haben. Wie weit das in Ihrem Fall reicht, gehört in die rechtliche Prüfung.
Sollen wir laufende KI-Projekte pausieren?
In aller Regel nicht. Sinnvoller ist, das Vorhaben sauber zu dokumentieren und die Risikoeinordnung vorzunehmen, solange es noch klein und änderbar ist.
Wenn Sie herausfinden möchten, wo bei Ihnen überhaupt KI im Haus ist, machen wir diese Inventur gern gemeinsam mit Ihnen. Ein erstes Gespräch ist unverbindlich und ohne Verkaufsdruck.
Dieser Beitrag gehört zu unserem Wissens-Hub KI und Digitalisierung im Mittelstand.