Eine KI, die Angebote formuliert, Baustellenfotos auswertet oder Kundentermine plant, kann im Betrieb schnell spürbar entlasten. Doch sobald Ergebnisse Einfluss auf Kunden, Beschäftigte, Sicherheit oder wirtschaftliche Entscheidungen haben, reicht ein kurzer Tool-Test nicht mehr aus. Eine Risikoanalyse für KI Anwendungen schafft die Grundlage, um Chancen gezielt zu nutzen und Fehlentscheidungen, Datenschutzverstöße oder rechtliche Probleme frühzeitig zu vermeiden.
Gerade kleine und mittelständische Unternehmen müssen dafür keine eigene Rechtsabteilung aufbauen. Entscheidend ist ein nachvollziehbares Vorgehen: Wo wird KI eingesetzt? Welche Daten verarbeitet das System? Wer verlässt sich auf das Ergebnis? Und was passiert, wenn die KI falsch liegt? Aus diesen Fragen entsteht eine praxistaugliche Bewertung, die sowohl den Betrieb als auch seine Kunden schützt.
Warum KI-Risiken selten nur technische Risiken sind
Viele Unternehmen betrachten KI zunächst als Softwarethema. Das greift zu kurz. Ein Fehler in einer KI-Anwendung kann zwar technisch ausgelöst werden, seine Folgen sind aber meist operativ: Ein Angebot enthält falsche Preise, eine Terminplanung übersieht Kapazitäten, eine automatisierte Vorqualifizierung benachteiligt Bewerber oder ein Bildsystem erkennt einen sicherheitsrelevanten Mangel nicht.
Die Risiken entstehen dabei an Schnittstellen. Daten aus dem ERP-System sind unvollständig, Mitarbeitende übernehmen KI-Vorschläge ungeprüft, Verantwortlichkeiten sind nicht festgelegt oder ein externer Anbieter ändert sein System ohne klare Information. Eine gute Analyse betrachtet deshalb nicht nur das KI-Modell, sondern den gesamten Prozess rund um seine Nutzung.
Das gilt besonders im Handwerk. Ein Textassistent für allgemeine Korrespondenz hat ein anderes Risikoprofil als eine Anwendung, die Wartungsbedarfe bewertet, Arbeitszeiten verarbeitet oder Entscheidungen über Personal vorbereitet. Nicht jede KI muss aufwendig geprüft werden. Aber jede Anwendung braucht eine Bewertung, die zum tatsächlichen Einsatzzweck und zur möglichen Schadenshöhe passt.
Risikoanalyse für KI Anwendungen: Den Einsatz klar abgrenzen
Am Anfang steht keine lange Checkliste, sondern eine saubere Beschreibung des Anwendungsfalls. Formulieren Sie konkret, welche Aufgabe die KI übernimmt, welche Personen betroffen sind und wie das Ergebnis im Betrieb verwendet wird. Der Satz Wir nutzen KI für Angebote ist dafür zu ungenau. Besser wäre: Die KI erstellt auf Basis freigegebener Leistungsbausteine einen Angebotsentwurf, den ein Kalkulationsverantwortlicher vor dem Versand prüft und freigibt.
Diese Abgrenzung entscheidet über die weitere Bewertung. Eine KI, die lediglich Entwürfe liefert, ist anders zu behandeln als ein System, das automatisch Preise festsetzt oder Kundenanfragen ablehnt. Auch die Rolle des Unternehmens ist relevant. Wer eine externe Anwendung nutzt, hat andere Pflichten als ein Anbieter, der ein KI-System selbst entwickelt oder unter eigenem Namen vertreibt.
Für die Praxis hat sich ein Vorgehen in sechs Schritten bewährt:
- Anwendungen erfassen: Dokumentieren Sie alle produktiv genutzten KI-Werkzeuge einschließlich Testanwendungen. Erfassen Sie Zweck, Fachbereich, Anbieter, verantwortliche Person und verwendete Daten.
- Prozess und Entscheidung beschreiben: Halten Sie fest, wo die KI im Ablauf eingesetzt wird, welches Ergebnis sie liefert und ob ein Mensch die Entscheidung nachvollziehbar prüft.
- Betroffene und Schäden bewerten: Prüfen Sie mögliche Auswirkungen auf Kunden, Beschäftigte, Bewerber, Lieferanten und den eigenen Betrieb. Berücksichtigen Sie finanzielle Schäden, Diskriminierung, Sicherheitsrisiken, Reputationsverlust und Rechtsverstöße.
- Daten und Zugriffe prüfen: Klären Sie Herkunft, Qualität und Sensibilität der Daten. Personenbezogene Daten, Betriebsgeheimnisse, Kundenkonditionen oder Bilder von Baustellen dürfen nicht unkontrolliert in öffentliche KI-Dienste gelangen.
- Schutzmaßnahmen festlegen: Definieren Sie Freigaben, Prüfungen, Berechtigungen, Schulungen und technische Einstellungen. Legen Sie außerdem fest, wann die Anwendung nicht eingesetzt werden darf.
- Wirksamkeit regelmäßig kontrollieren: KI-Systeme und ihre Einsatzbedingungen verändern sich. Prüfen Sie deshalb in festen Abständen Ergebnisse, Fehlerfälle, Beschwerden und Änderungen beim Anbieter.
Die Dokumentation muss nicht unnötig kompliziert sein. Wichtig ist, dass ein Dritter nachvollziehen kann, warum die Anwendung eingesetzt wird, welche Risiken bekannt sind und wie der Betrieb sie beherrscht. Das hilft bei internen Entscheidungen ebenso wie bei Kundenfragen, Audits oder einer Prüfung durch Behörden.
Die wichtigsten Risikofelder im Betrieb
Ein zentraler Bereich ist die Qualität der Ergebnisse. Generative KI kann Inhalte überzeugend formulieren und trotzdem falsche technische Angaben, erfundene Quellen oder unpassende Vertragsformulierungen liefern. Bei Angeboten, Prüfberichten oder Arbeitsanweisungen sollte deshalb klar sein, wer fachlich prüft und nach welchen Kriterien die Freigabe erfolgt. Je höher die wirtschaftliche oder sicherheitsrelevante Bedeutung, desto weniger darf eine KI-Ausgabe ungeprüft in den Prozess gelangen.
Ein zweiter Bereich betrifft Datenschutz und Vertraulichkeit. Werden Namen, Kontaktdaten, Krankmeldungen, Bewerbungsunterlagen, Fotos oder Auftragsinformationen verarbeitet, greifen regelmäßig Anforderungen der Datenschutz-Grundverordnung. Zusätzlich sind vertragliche Fragen mit dem Anbieter zu klären: Wo werden Daten verarbeitet? Werden Eingaben zum Training verwendet? Lassen sich Daten löschen? Welche Unterauftragnehmer sind beteiligt?
Auch Verzerrungen und Benachteiligungen verdienen Aufmerksamkeit. Besonders kritisch wird es, wenn KI Bewerbungen sortiert, Mitarbeitende bewertet, Kreditwürdigkeit einschätzt oder Zugänge priorisiert. Historische Daten können bestehende Muster übernehmen und verstärken. Eine scheinbar neutrale Vorauswahl kann damit einzelne Gruppen systematisch schlechter stellen. Hier reichen Stichproben nicht immer aus. Kriterien, Ausnahmen und menschliche Kontrollmöglichkeiten müssen klar geregelt sein.
Nicht zuletzt braucht KI betriebliche Sicherheit. Dazu zählen Rollen und Berechtigungen, sichere Schnittstellen zu Fachsystemen, Protokolle für Änderungen sowie ein Vorgehen bei Fehlern. Wenn die Anwendung ausfällt oder auffällige Ergebnisse liefert, muss bekannt sein, wer entscheidet und wie der Prozess ohne KI weiterläuft. Ein funktionierender Rückfallprozess ist oft wertvoller als eine umfangreiche technische Beschreibung.
Was der AI Act für die Bewertung verändert
Der AI Act ordnet KI-Systeme nach ihrem Risiko ein und verbindet daran unterschiedliche Anforderungen. Für viele Unternehmen als Nutzer liegt die praktische Aufgabe zunächst darin, die eingesetzten Systeme zu identifizieren und ihren Zweck richtig einzuordnen. Anwendungen mit verbotenen Praktiken dürfen nicht eingesetzt werden. Bei Hochrisiko-Systemen, etwa in bestimmten Bereichen der Beschäftigung oder bei sicherheitsrelevanten Produkten, steigen die Anforderungen an Kontrolle, Dokumentation und menschliche Aufsicht deutlich.
Daneben gelten Transparenzpflichten für bestimmte Anwendungen. Wer mit Chatbots kommuniziert oder KI-generierte Inhalte einsetzt, muss je nach Fall dafür sorgen, dass Betroffene nicht getäuscht werden. Die konkreten Pflichten hängen vom System, der eigenen Rolle und dem jeweiligen Einsatz ab. Deshalb ist es sinnvoll, die Risikoanalyse nicht als einmalige Rechtsprüfung zu verstehen, sondern als Steuerungsinstrument für den gesamten Lebenszyklus.
Für KMU ist dabei Augenmaß gefragt. Ein internes Tool zur Formulierung allgemeiner E-Mails verlangt keine Behandlung wie ein System, das Bewerber automatisiert aussortiert. Umgekehrt kann ein vermeintlich kleines Tool relevant werden, wenn es sensible Daten verarbeitet oder Entscheidungen ohne ausreichende Kontrolle vorbereitet.
Von der Bewertung zur gelebten Praxis
Die beste Risikoanalyse bleibt wirkungslos, wenn sie in einem Ordner verschwindet. Sie sollte an bestehende Abläufe aus Qualitätsmanagement, Datenschutz, Informationssicherheit und Prozessverantwortung anknüpfen. Neue KI-Anwendungen können beispielsweise über einen festen Freigabeprozess bewertet werden, ähnlich wie neue Lieferanten, Maschinen oder kritische Software.
Mitarbeitende brauchen klare, einfache Regeln: Welche Tools sind zugelassen? Welche Daten dürfen eingegeben werden? Wann ist eine Prüfung zwingend? Wo werden Fehler gemeldet? Schulungen sollten konkrete Alltagssituationen aufgreifen, nicht nur abstrakte Verbote vermitteln. Wer versteht, warum Kundendaten nicht in offene Systeme gehören und warum KI-Ergebnisse geprüft werden müssen, handelt sicherer.
Apexigma unterstützt Unternehmen dabei, diese Anforderungen in nachvollziehbare Prozesse zu übersetzen – passend zur Betriebsgröße, zum Anwendungsfall und zu vorhandenen Managementsystemen. Ziel ist keine Papier-Compliance, sondern ein KI-Einsatz, der Mitarbeitende entlastet und zugleich steuerbar bleibt.
Beginnen Sie mit den Anwendungen, die bereits im Alltag genutzt werden. Eine ehrliche Bestandsaufnahme, klare Verantwortlichkeiten und wenige wirksame Kontrollpunkte schaffen meist schneller Sicherheit als ein umfangreiches Regelwerk, das niemand anwendet.
