Ein neuer KI-Assistent im Büro, ein Hinweis aus dem Mitarbeiterkreis oder die Anfrage eines Großkunden nach Nachhaltigkeitsdaten: Neue Compliance-Anforderungen für Mittelständler kommen selten als einzelnes, klar abgegrenztes Projekt. Sie treffen auf laufende Aufträge, knappe personelle Ressourcen und Prozesse, die im Alltag funktionieren müssen. Genau deshalb entscheidet nicht die Dicke eines Handbuchs über die Sicherheit des Betriebs, sondern eine Struktur, die Verantwortlichkeiten und Abläufe nachvollziehbar macht.
Für Geschäftsführungen und Inhaber lautet die zentrale Frage nicht: Welche Vorschrift ist gerade neu? Sondern: Was gilt für unser Unternehmen konkret, wer trägt die Verantwortung und wie weisen wir die Umsetzung belastbar nach? Wer das systematisch klärt, reduziert Haftungsrisiken und verhindert zugleich unnötige Bürokratie.
Warum sich Compliance im Mittelstand verändert
Compliance war in vielen kleineren Betrieben lange eng mit Arbeitsschutz, Datenschutz, Steuerpflichten und branchenspezifischen Regeln verbunden. Diese Grundlagen bleiben. Hinzu kommen jedoch Anforderungen, die stärker auf Transparenz, dokumentierte Entscheidungen und kontrollierte Prozesse zielen.
Besonders deutlich wird das beim Einsatz künstlicher Intelligenz. Mitarbeitende nutzen Text-, Bild- oder Analysewerkzeuge oft schon, bevor eine offizielle Regelung existiert. Das kann Zeit sparen, birgt aber Risiken: Personenbezogene Daten können unzulässig verarbeitet werden, vertrauliche Kundeninformationen nach außen gelangen oder Ergebnisse werden ungeprüft in Angebote, technische Dokumentationen und Personalentscheidungen übernommen.
Auch Anforderungen aus dem Hinweisgeberschutz, dem Datenschutz, der Informationssicherheit und den Lieferketten von Auftraggebern greifen in den Betriebsalltag ein. Ein Handwerksbetrieb mit 25 Beschäftigten unterliegt nicht automatisch denselben Berichtspflichten wie ein internationaler Konzern. Er kann aber durch Kundenanforderungen, öffentliche Vergaben, Zertifizierungen oder die eigene digitale Arbeitsweise dennoch zu belastbaren Nachweisen verpflichtet sein.
Der richtige Maßstab lautet daher: risikoorientiert und verhältnismäßig handeln. Nicht jedes Unternehmen braucht eine eigene Compliance-Abteilung. Jedes Unternehmen braucht aber einen klaren Überblick über seine Pflichten und einen Weg, diese im Alltag einzuhalten.
Neue Compliance-Anforderungen für Mittelständler richtig einordnen
Der erste Fehler ist, alle neuen Regelwerke gleich zu behandeln. Manche Pflichten gelten unmittelbar für nahezu jedes Unternehmen, andere erst ab bestimmten Mitarbeiterzahlen, Umsatzgrößen oder Tätigkeiten. Wieder andere entstehen indirekt, etwa weil ein wichtiger Industriekunde Informationen zur Lieferkette, zu Umweltstandards oder zur IT-Sicherheit verlangt.
Datenschutz bleibt ein Dauerbrenner, weil neue Anwendungen und digitale Prozesse regelmäßig neue Verarbeitungsvorgänge schaffen. Werden Kundendaten in einer Cloud-Software verarbeitet? Dürfen Monteure Fotos von Baustellen über private Messenger versenden? Wer hat Zugriff auf Personalakten? Solche Fragen gehören nicht nur in eine Datenschutzerklärung, sondern in verbindliche Arbeitsabläufe.
Das Hinweisgeberschutzgesetz betrifft Unternehmen ab 50 Beschäftigten mit einer internen Meldestelle. Dabei geht es nicht darum, Misstrauen zu organisieren. Ein funktionierender, vertraulicher Meldeweg hilft, Probleme früh zu erkennen, bevor sie zu Konflikten, Schäden oder rechtlichen Verfahren werden. Entscheidend sind eine benannte Stelle, geregelte Fristen und ein fairer Umgang mit eingehenden Hinweisen.
Bei Lieferketten- und Nachhaltigkeitsanforderungen ist Differenzierung besonders wichtig. Gesetzliche Sorgfaltspflichten treffen nicht jeden Mittelständler direkt. Dennoch fordern größere Kunden zunehmend Selbstauskünfte, Verhaltenskodizes oder Nachweise zu Arbeitsbedingungen, Umweltaspekten und eingesetzten Materialien. Wer solche Anfragen erst beantwortet, wenn die Vergabefrist läuft, verliert Zeit und im Zweifel den Auftrag.
KI-Compliance: Nicht nur ein Thema für Softwareunternehmen
Der EU AI Act betrifft nicht allein Entwickler komplexer KI-Systeme. Unternehmen, die KI einsetzen, gelten je nach Rolle und Anwendung als Betreiber und müssen prüfen, welche Anforderungen daraus entstehen. Seit Februar 2025 gelten bereits Vorgaben zu verbotenen KI-Praktiken und zur KI-Kompetenz. Weitere Pflichten greifen stufenweise, wobei der konkrete Zeitpunkt und Umfang von der Art des Systems abhängen.
Für die meisten Mittelständler ist zunächst entscheidend, ob KI in kritischen Prozessen eingesetzt wird. Ein Tool zur Formulierung eines Entwurfs für einen Social-Media-Beitrag ist anders zu bewerten als ein System, das Bewerber vorsortiert, Kreditwürdigkeit einschätzt, Beschäftigte überwacht oder sicherheitsrelevante technische Entscheidungen vorbereitet. Je stärker ein KI-Ergebnis Rechte, Chancen oder Sicherheit von Menschen beeinflusst, desto höher sind die Anforderungen an Kontrolle, Dokumentation und menschliche Aufsicht.
KI-Kompetenz bedeutet dabei keine Programmierausbildung für die gesamte Belegschaft. Beschäftigte müssen verstehen, welches Werkzeug sie nutzen dürfen, welche Daten tabu sind, wie Ergebnisse geprüft werden und wann sie Rücksprache halten müssen. Eine kurze, praxisnahe Unterweisung mit Regeln für typische Anwendungsfälle ist wirksamer als ein allgemeines Rundschreiben, das niemand im Arbeitsalltag wiederfindet.
Vom Regelwerk zum funktionierenden Betriebsablauf
Ein gutes Compliance-System beginnt nicht mit einer umfangreichen Richtliniensammlung. Es beginnt mit einer Bestandsaufnahme. Welche Gesetze, Kundenverträge, Normen und internen Zusagen sind für den Betrieb tatsächlich relevant? Wo bestehen die größten Risiken? Und welche Regelung gibt es zwar auf Papier, wird aber praktisch nicht gelebt?
Für einen Handwerksbetrieb können die kritischen Punkte etwa in der Verarbeitung von Baustellenfotos, in der Vergabe von Nachunternehmerleistungen, in Arbeitszeitnachweisen oder in der digitalen Angebotsbearbeitung liegen. In einem produzierenden Unternehmen stehen häufig Lieferantenfreigaben, Qualitätsprüfungen, Produktsicherheit, Zugriffsrechte und dokumentierte Änderungsprozesse im Mittelpunkt.
Aus dieser Analyse sollte ein überschaubares Maßnahmenpaket entstehen. In der Regel braucht es mindestens diese fünf Bausteine:
- eine aktuelle Übersicht der relevanten Pflichten und Kundenanforderungen,
- klar benannte Verantwortliche mit realistischen Entscheidungsbefugnissen,
- einfache Regeln für besonders risikoreiche Abläufe,
- Schulungen, die sich an konkreten Arbeitssituationen orientieren,
- regelmäßige Kontrollen mit dokumentierten Verbesserungsmaßnahmen.
Wichtig ist die Reihenfolge. Zuerst sollten Risiken bearbeitet werden, die hohe Schäden verursachen können oder bei denen die Rechtslage eindeutig ist. Dazu zählen beispielsweise unkontrollierte Zugriffe auf sensible Daten, fehlende Meldestrukturen oder der Einsatz von KI mit personenbezogenen Informationen ohne klare Vorgaben. Eine vollständig ausgearbeitete Richtlinie zu einem seltenen Sonderfall hilft wenig, wenn diese Grundthemen offen sind.
Verantwortlichkeiten dürfen nicht im Organigramm enden
Viele Compliance-Projekte scheitern an einem Satz: „Dafür ist doch die Verwaltung zuständig.“ Verwaltung, IT, Personal, Qualitätsmanagement und operative Führung müssen zusammenarbeiten. Die Geschäftsführung bleibt jedoch verantwortlich, angemessene Strukturen zu schaffen und deren Wirksamkeit zu überwachen.
In kleinen Unternehmen kann ein Verantwortlicher mehrere Aufgaben bündeln. Das ist legitim, solange Zeit, Fachkenntnis und Vertretung geregelt sind. Problematisch wird es, wenn jemand zwar formell benannt wird, aber weder Zugang zu Informationen noch Rückhalt für notwendige Entscheidungen erhält.
Praktisch bewährt sich eine einfache Zuordnung: Wer entscheidet, wer führt aus, wer prüft und wer wird informiert? Diese vier Fragen machen aus vagen Zuständigkeiten einen belastbaren Ablauf. Für den KI-Einsatz kann das beispielsweise heißen: Die Geschäftsführung genehmigt zugelassene Werkzeuge, die IT prüft Zugänge und Datenschutzvorgaben, Fachbereiche definieren sinnvolle Einsatzfälle, und Mitarbeitende kontrollieren Ergebnisse vor der Verwendung.
Dokumentation: So viel wie nötig, so nützlich wie möglich
Dokumentation wird oft als lästige Nebenpflicht wahrgenommen. Im Audit, bei einer Kundenanfrage oder nach einem Vorfall ist sie jedoch der Nachweis, dass der Betrieb seine Verantwortung ernst genommen hat. Entscheidend ist nicht die Menge der Dokumente, sondern ihre Aktualität und Verwendbarkeit.
Ein Prozess ist dann auditfest, wenn er verständlich beschreibt, was passiert, wer zuständig ist, welche Nachweise entstehen und wie Abweichungen behandelt werden. Eine Checkliste für die Freigabe neuer Software, ein Schulungsnachweis für KI-Regeln oder ein Protokoll über die Bewertung eines Lieferanten können dafür ausreichen. Unterschriftenlisten ohne Bezug zum tatsächlichen Ablauf dagegen schaffen wenig Sicherheit.
Qualitätsmanagement bietet hier einen klaren Vorteil. Wer Prozesse, Verantwortlichkeiten, Kennzahlen und Korrekturmaßnahmen bereits im Rahmen eines Managementsystems steuert, muss Compliance nicht als Parallelwelt aufbauen. Die Anforderungen lassen sich in bestehende Abläufe integrieren: in die Managementbewertung, interne Audits, Lieferantenbewertungen oder die jährliche Schulungsplanung.
Mit internen Audits Lücken früh erkennen
Ein internes Audit muss keine große Prüfung mit umfangreichem Fragenkatalog sein. Sein Zweck ist einfach: Stimmt die dokumentierte Regel mit der gelebten Praxis überein? Gerade bei neuen Anforderungen lohnt sich ein kurzer Realitätscheck wenige Wochen nach der Einführung.
Sprechen Mitarbeitende beispielsweise über KI-Nutzung, zeigt sich schnell, ob die Vorgaben verstanden werden. Sind nur freigegebene Tools im Einsatz? Werden vertrauliche Informationen geschützt? Wird bei zweifelhaften Ergebnissen ein Mensch eingebunden? Solche Gespräche liefern meist mehr Erkenntnisse als ein abgelegtes Regelwerk.
Abweichungen sind kein Zeichen des Scheiterns. Sie zeigen, wo ein Ablauf zu kompliziert, eine Schulung zu abstrakt oder eine Zuständigkeit unklar ist. Entscheidend ist, Maßnahmen zu priorisieren, Termine festzulegen und die Wirksamkeit später erneut zu prüfen. Genau darin liegt der praktische Nutzen von Auditierung und kontinuierlicher Verbesserung.
Compliance als Teil guter Unternehmensführung
Neue Pflichten werden nicht weniger, und manche Vorgaben verändern sich noch durch nationale Ausgestaltung oder Übergangsfristen. Deshalb ist es sinnvoll, Compliance nicht als einmaliges Projekt zu behandeln. Ein fester jährlicher Pflichtenkatalog-Check, ergänzt um Prüfungen bei neuen Kunden, Softwarelösungen und Geschäftsmodellen, schafft mehr Sicherheit als hektische Einzelmaßnahmen.
Apexigma unterstützt Unternehmen dabei, regulatorische Anforderungen mit Qualitätsmanagement und praxistauglichen Prozessen zu verbinden. Gerade im Mittelstand und im Handwerk zählt eine Lösung nur dann, wenn sie auf der Baustelle, in der Werkstatt und im Büro gleichermaßen funktioniert.
Der beste nächste Schritt ist keine weitere Richtlinie aus dem Internet. Nehmen Sie einen kritischen Prozess aus Ihrem Betrieb und prüfen Sie ihn gemeinsam mit den Beteiligten: Welche Regel gilt, wo liegt das reale Risiko und welcher einfache Nachweis würde im Ernstfall überzeugen? So wird Compliance vom Störfaktor zu einer verlässlichen Grundlage für gute Arbeit.
