KI-Compliance im Mittelstand: Vom Wildwuchs zur Struktur.
Die meisten Mittelständler kennen gar nicht alle KI-Tools, die intern schon laufen. Das ist der Startpunkt — nicht die Richtlinie.
| Bereich | Vorher | Nach Umsetzung | Artefakt |
|---|---|---|---|
| KI-Inventar | Unbekannt | Zentral gelistet | Register |
| Risiko-Klassifikation | Nicht erfasst | Nach EU AI Act | Matrix |
| Vendor-Management | Verteilt | Zentrale Prüfung | Checkliste |
| Doku-Workflow | Ad-hoc | Standardisiert | Template |
Ohne Struktur läuft die Uhr. Mit Struktur wird's machbar..
Zwei Zustände, wie wir sie in Projekten regelmäßig sehen — und was sich konkret ändert.
Kein Überblick, keine Doku
Register, Matrix, Workflows
Ein Register, das lebt.Nicht ein PDF im Ordner..
Die meisten Policies landen nach drei Monaten in Vergessenheit. Unser Ansatz: Ein maschinenlesbares KI-Inventar mit klaren Feldern pro System — Einsatzzweck, Datenarten, Risiko-Klasse, Vendor, Ansprechpartner. Daraus ergeben sich Doku-Pflichten und Review-Zyklen automatisch. Der DSB oder die Kanzlei bekommt am Ende eine saubere Vorlage zur rechtlichen Freigabe, statt bei null anzufangen.
# Eintrag pro eingesetztem KI-System
system: "Chatbot Kundensupport"
vendor: "Anbieter GmbH"
zweck: "Erstantwort Tier-1 Anfragen"
datenarten:
- "Kundenname, E-Mail"
- "Bestellhistorie"
risiko_klasse: "begrenzt" # EU AI Act
owner: "Leitung Customer Care"
review_zyklus: "halbjährlich"
letzte_freigabe: "DSB, 2026-03-12"Häufige Fragen zur KI-Richtlinie.
Welche KI-Systeme gelten überhaupt als Hochrisiko?
Der EU AI Act kennt vier Klassen: verbotene Praktiken, Hochrisiko, begrenztes Risiko und minimales Risiko. Hochrisiko trifft typischerweise zu bei Einsatz in Personalauswahl, Kreditvergabe, Bildung oder kritischer Infrastruktur. Wir gehen Ihr konkretes Inventar Position für Position durch und ordnen die Klassen zu. Die juristische Letzt-Bewertung trifft Ihr DSB oder Ihre Kanzlei — wir bringen die Vorarbeit in Form.
Was muss ich bis wann dokumentieren?
Die Fristen gestaffelt: Seit Februar 2025 greifen die Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz (Art. 4). Ab August 2026 folgen die Pflichten für General-Purpose-KI-Modelle. Für Hochrisiko-Systeme sind Technische Dokumentation, Risiko-Management und Log-Führung relevant. Wir bauen Ihnen die Vorlagen und den Prozess so, dass Sie bei einer Prüfung nicht suchen müssen.
Wie läuft so ein Projekt bei euch konkret ab?
Kurz: Kickoff, KI-Inventar, Klassifikation, Doku-Aufbau, Vendor-Review, Übergabe. Wir starten mit einem halbtägigen Workshop zur Aufnahme aller eingesetzten KI-Tools — inklusive Schatten-IT, die meistens erst dabei auftaucht. Dann Risiko-Klassifikation pro System. Danach bauen wir die Doku-Templates und den Vendor-Review-Prozess. Am Ende steht ein Paket, das Ihr DSB oder Ihre Kanzlei prüfen und freigeben kann.
Was kostet die Umsetzung grob?
Das hängt halt stark von der Unternehmensgröße und der Zahl eingesetzter KI-Systeme ab. Ein Mittelständler mit fünf bis zehn KI-Anwendungen liegt meistens bei einem überschaubaren Festpreis-Projekt. Für größere Strukturen mit konzernweitem Rollout planen wir phasenweise. Wir machen vorher ein kostenfreies Erstgespräch und nennen Ihnen einen konkreten Rahmen — keine Pauschalangebote ohne Einblick.
Braucht meine GmbH einen KI-Beauftragten?
Eine explizite Rolle wie der Datenschutzbeauftragte ist im EU AI Act nicht zwingend vorgeschrieben. In der Praxis bewährt sich aber eine klare Verantwortlichkeit — oft beim DSB, IT-Leiter oder Compliance-Officer angesiedelt. Wir empfehlen, die Rolle im Organigramm zu benennen und ein halbjährliches Review fest einzuplanen. Ob das für Ihren Fall ausreicht, entscheidet Ihre Kanzlei.
Seid ihr eine Kanzlei oder macht ihr Rechtsberatung?
Nein, ausdrücklich nicht. Wir sind B2B-KI-Beratung und machen die technisch-organisatorische Umsetzung. Heißt konkret: Inventarisierung, Prozesse, Doku-Templates, Vendor-Management, technische Integration. Die rechtliche Bewertung und finale Freigabe liegt bei Ihrem DSB oder einer Fachkanzlei für IT-Recht. Wir arbeiten auf Wunsch direkt mit Ihrer bestehenden Kanzlei zusammen.
Lassen Sie uns Ihr KI-Inventar mal durchgehen.
30 Minuten Erstgespräch, kostenfrei. Danach wissen Sie, wo Ihr Betrieb bei EU AI Act steht und welche Schritte als nächstes Sinn ergeben. Rechtliche Letzt-Freigabe bleibt bei Ihrem DSB oder Ihrer Kanzlei.
Mehr strategischer Kontext: KI-Beratung Wo KI im Mittelstand wirklich Sinn macht und wo nicht.
Technischer Hintergrund — KI-Agenten entwickeln wie wir Multi-Agenten-Systeme produktiv aufsetzen.
Compliance und Sicherheit greifen ineinander — KI-Betrugserkennung für B2B deckt die Defense-Seite neben der regulatorischen Dokumentation ab.