Wer KI im Betrieb nutzt, muss nicht erst ein eigenes Sprachmodell entwickeln, um vom AI Act betroffen zu sein. Schon ein KI-gestütztes Bewerbertool, eine Software zur Bonitätsbewertung oder eine Lösung zur automatischen Priorisierung von Kundenanfragen kann Pflichten auslösen. Die acht Fehler bei der AI-Act-Vorbereitung zeigen sich deshalb oft nicht in der Technik, sondern in fehlenden Zuständigkeiten, unklaren Prozessen und unvollständigen Nachweisen.
Für kleine und mittelständische Unternehmen ist das kein Grund zur Hektik. Der AI Act verlangt eine angemessene, nachvollziehbare Vorbereitung. Wer seine KI-Anwendungen kennt, Risiken realistisch bewertet und die Umsetzung in bestehende Qualitätsprozesse einbindet, reduziert Aufwand und schafft Sicherheit für Kunden, Mitarbeitende und Geschäftsführung.
Acht Fehler bei der AI-Act-Vorbereitung, die Unternehmen vermeiden sollten
1. KI nur als IT-Thema behandeln
Viele Unternehmen geben das Thema vollständig an die IT oder einen externen Softwareanbieter ab. Das greift zu kurz. Ob ein KI-System rechtmäßig und verantwortungsvoll eingesetzt wird, hängt auch davon ab, wie Fachabteilungen es verwenden, welche Entscheidungen damit vorbereitet werden und wer Ergebnisse überprüft.
Ein Beispiel aus der Praxis: Eine KI fasst Serviceanfragen zusammen und schlägt Prioritäten vor. Technisch kann das System einwandfrei funktionieren. Werden dringende Anfragen jedoch falsch eingeordnet und ohne menschliche Prüfung weiterverarbeitet, entsteht ein operatives Risiko. Vertrieb, Service, Datenschutz, Qualitätsmanagement und Führung müssen daher gemeinsam klären, wo KI eingesetzt wird und welche Kontrollen notwendig sind.
2. Kein vollständiges KI-Verzeichnis führen
Die häufigste Ausgangslage ist erstaunlich schlicht: Niemand weiß genau, welche KI-Anwendungen im Unternehmen bereits genutzt werden. Neben offiziell beschafften Lösungen kommen oft Funktionen in Bürosoftware, Buchhaltung, CRM, Bildbearbeitung oder Fachanwendungen hinzu. Mitarbeitende verwenden zudem gelegentlich frei verfügbare Tools, um Texte, Angebote oder Auswertungen schneller zu erstellen.
Ohne Verzeichnis ist keine belastbare Bewertung möglich. Erfassen Sie daher nicht nur den Namen des Tools, sondern auch Zweck, verantwortliche Fachabteilung, Anbieter, verarbeitete Daten, Nutzerkreis und die Frage, ob das Ergebnis Entscheidungen beeinflusst. Für Handwerksbetriebe kann das beispielsweise KI in Angebotssoftware, Einsatzplanung, Baustellendokumentation oder Bewerberkommunikation betreffen.
Ein solches Verzeichnis muss nicht kompliziert sein. Es ist aber die Grundlage, um relevante Anwendungen zu priorisieren und später gegenüber Kunden, Auditoren oder Behörden nachvollziehbar Auskunft geben zu können.
3. Die eigene Rolle falsch einschätzen
Der AI Act unterscheidet unter anderem zwischen Anbietern, Betreibern, Importeuren und Händlern. Für viele mittelständische Unternehmen ist die Rolle des Betreibers maßgeblich: Sie setzen ein von Dritten entwickeltes KI-System im eigenen Betrieb ein. Daraus ergeben sich andere Pflichten als für einen Softwarehersteller.
Gefährlich wird es, wenn eine Standardlösung stark verändert, unter eigenem Namen vertrieben oder für einen neuen Zweck eingesetzt wird. Dann kann sich die Rolle verschieben. Ein Betrieb, der ein KI-Tool für die interne Einsatzplanung nutzt, trägt nicht automatisch dieselben Pflichten wie dessen Entwickler. Baut er die Lösung jedoch für Kunden aus und vermarktet sie als eigenes Produkt, ist eine neue rechtliche Bewertung erforderlich.
Diese Unterscheidung spart Zeit und verhindert zwei gegensätzliche Fehler: unnötige Übererfüllung auf der einen Seite, fehlende Verantwortung auf der anderen.
4. Risiken nach Bauchgefühl statt nach Einsatzfall bewerten
Nicht jede KI-Anwendung ist hochriskant. Der AI Act arbeitet mit einem risikobasierten Ansatz. Entscheidend ist deshalb nicht, ob ein Tool modern oder komplex wirkt, sondern wofür es eingesetzt wird und welche Folgen ein Fehler für Menschen haben kann.
Besonders aufmerksam sollten Unternehmen bei Anwendungen sein, die etwa Bewerbungen bewerten, Beschäftigte überwachen, Kreditwürdigkeit einschätzen, Zugang zu Bildung beeinflussen oder in sicherheitsrelevanten Produkten eingesetzt werden. Auch die Verbindung von KI mit personenbezogenen Daten, automatisierten Entscheidungen und sensiblen Kundengruppen verdient eine genaue Prüfung.
Eine gute Risikobewertung beantwortet konkrete Fragen: Welche Entscheidung unterstützt das System? Wer ist betroffen? Kann ein Mensch das Ergebnis prüfen und korrigieren? Was passiert bei einer falschen Empfehlung? Welche Daten fließen ein? Erst daraus ergeben sich sinnvolle Maßnahmen. Ein Chatbot für unverbindliche Produktfragen benötigt andere Kontrollen als ein System, das Bewerbungen vorsortiert.
5. Auf Aussagen des Anbieters vertrauen, ohne Nachweise einzufordern
„AI-Act-konform“ ist kein ausreichender Nachweis. Anbieterinformationen sind wertvoll, ersetzen aber nicht die Prüfung, ob das System zum eigenen Einsatzfall passt. Gerade bei Systemen mit erhöhtem Risiko benötigen Betreiber klare Unterlagen und vertragliche Regelungen.
Fragen Sie gezielt nach Zweckbestimmung, Bedienungsanleitung, vorgesehenen Nutzergruppen, menschlicher Aufsicht, bekannten Einschränkungen und Verfahren bei Störungen. Klären Sie außerdem, wie Updates dokumentiert werden, wo Daten verarbeitet werden und welche Unterstützung der Anbieter bei Vorfällen leistet.
Das ist keine Schikane gegenüber Lieferanten. Es ist professionelles Lieferantenmanagement. Wer diese Fragen früh stellt, erkennt schneller, ob eine Lösung für den Betrieb geeignet ist oder ob ein alternativer Anbieter weniger Umsetzungsrisiko mitbringt.
6. Mitarbeitende erst nach der Einführung schulen
Seit Februar 2025 gilt die Pflicht zur KI-Kompetenz. Unternehmen müssen sicherstellen, dass Personen, die KI-Systeme bedienen oder deren Einsatz verantworten, über ausreichende Kenntnisse verfügen. Wie umfangreich die Schulung sein muss, hängt von Aufgabe, Risiko und Vorerfahrung ab.
Eine allgemeine Präsentation über künstliche Intelligenz reicht nicht immer aus. Mitarbeitende müssen verstehen, welche Eingaben in ein Tool dürfen, wann Ergebnisse überprüft werden müssen, wie Fehler erkannt werden und an wen sie Auffälligkeiten melden. Bei einem KI-gestützten Kalkulationswerkzeug gehört auch dazu, plausible und unplausible Ergebnisse fachlich unterscheiden zu können.
Schulung ist dabei kein einmaliger Termin. Neue Funktionen, veränderte Prozesse oder neue Mitarbeitende machen regelmäßige Auffrischungen sinnvoll. Dokumentieren Sie Inhalte, Teilnehmer und Zuständigkeiten. Das hilft nicht nur bei Compliance-Fragen, sondern verbessert die Qualität im Alltag.
7. Menschliche Kontrolle nur auf dem Papier vorsehen
„Ein Mensch prüft das Ergebnis“ klingt gut, ist aber nur dann wirksam, wenn diese Person Zeit, Kompetenz und echte Eingriffsmöglichkeiten hat. Wer täglich hundert automatisch priorisierte Vorgänge bearbeiten muss, wird nicht jede Empfehlung kritisch hinterfragen. Die Kontrolle wird dann zur Formalität.
Definieren Sie deshalb klare Prüfpunkte. Bei welchen Ergebnissen ist eine Freigabe zwingend? Wann darf von der KI-Empfehlung abgewichen werden? Wie wird diese Abweichung dokumentiert? Und wer entscheidet, wenn die Datenlage widersprüchlich ist?
Gerade in qualitätskritischen Prozessen lohnt sich ein Blick auf bestehende Prüf- und Freigabeschritte. Oft lässt sich die KI-Kontrolle dort sinnvoll einbauen, statt einen parallelen Sonderprozess zu schaffen. Das hält die Umsetzung schlank und erhöht die Akzeptanz im Team.
8. Dokumentation und Vorfallmanagement auf später verschieben
Solange ein KI-System unauffällig läuft, wirkt Dokumentation häufig wie zusätzlicher Verwaltungsaufwand. Spätestens bei einer Kundenbeschwerde, einem fehlerhaften Ergebnis oder einer internen Prüfung zeigt sich ihr Wert. Ohne nachvollziehbare Unterlagen lässt sich kaum klären, welche Version genutzt wurde, wer verantwortlich war oder welche Entscheidung tatsächlich auf einer KI-Empfehlung beruhte.
Legen Sie für relevante Systeme fest, welche Nachweise aufbewahrt werden, wie Änderungen bewertet werden und wie Mitarbeitende Vorfälle melden. Ein Vorfall kann ein fehlerhaftes Ergebnis, eine auffällige Verzerrung, eine unerwartete Datenverarbeitung oder eine Sicherheitslücke sein. Wichtig ist ein einfacher Meldeweg, der im Betriebsalltag funktioniert.
So wird aus Compliance ein beherrschbarer Prozess
Die Fristen des AI Act gelten nicht für alle Anforderungen gleichzeitig. Verbote bestimmter Praktiken und Vorgaben zur KI-Kompetenz greifen früher, weitere Regelungen folgen schrittweise. Daher ist es sinnvoll, nicht auf den einen großen Stichtag zu warten, sondern die Vorbereitung in den normalen Verbesserungsprozess zu integrieren.
Starten Sie mit dem KI-Verzeichnis und einer kurzen Bewertung der wichtigsten Anwendungen. Legen Sie anschließend Verantwortlichkeiten, Schulungsbedarf und erforderliche Anbieterunterlagen fest. Bei kritischen Einsatzfällen folgen vertiefte Prüfungen, dokumentierte Kontrollmechanismen und ein klares Vorfallverfahren. Diese Reihenfolge verhindert, dass Zeit in Tools investiert wird, die für den eigenen Betrieb kaum relevant sind.
Wer Qualitätsmanagement bereits lebt, hat einen entscheidenden Vorteil: Zuständigkeiten, Prozessbeschreibungen, Lieferantenbewertung, Schulungsnachweise und Korrekturmaßnahmen sind bekannte Werkzeuge. Der AI Act verlangt häufig keine völlig neue Organisation, sondern eine saubere Erweiterung dieser Strukturen auf KI-Anwendungen.
Der sinnvollste nächste Schritt ist deshalb nicht, jede Software sofort auszutauschen. Nehmen Sie sich einen konkreten Prozess vor, prüfen Sie den tatsächlichen KI-Einsatz und machen Sie Verantwortlichkeit, Kontrolle und Nachweise dort sichtbar. So wächst KI-Compliance Schritt für Schritt in den Betrieb hinein, statt ihn auszubremsen.
