Wer KI bereits im Betrieb nutzt, trägt Verantwortung – auch wenn das eingesetzte Tool nur Texte formuliert, Bilder auswertet oder Anfragen vorsortiert. Eine AI Act Beratung schafft Klarheit darüber, welche Systeme im Unternehmen laufen, welche Risiken damit verbunden sind und welche Maßnahmen tatsächlich erforderlich sind. Für mittelständische Unternehmen und Handwerksbetriebe geht es dabei nicht um zusätzliche Bürokratie um ihrer selbst willen. Es geht darum, KI sinnvoll zu nutzen, Beschäftigte zu schützen und bei Kunden, Auditoren oder Auftraggebern verlässlich auskunftsfähig zu sein.
Der EU AI Act gilt stufenweise. Je nach Rolle, KI-System und Einsatzbereich greifen unterschiedliche Pflichten. Wer abwartet, bis ein Kunde Nachweise verlangt oder ein System problematisch wird, muss häufig unter Zeitdruck nacharbeiten. Ein strukturierter Blick auf die eigenen Anwendungen ist deutlich wirtschaftlicher.
Was AI Act Beratung im Betrieb leistet
Viele Unternehmen denken bei KI zuerst an selbst entwickelte Software. Der AI Act betrifft aber auch Betriebe, die fertige Anwendungen einsetzen. Wer ein KI-gestütztes Recruiting-Tool nutzt, eine Software zur Bildauswertung einführt oder generative KI in Verwaltung und Kundenkommunikation verwendet, kann als Betreiber in der Pflicht stehen. Auch Anbieter, Importeure und Händler haben eigene Aufgaben.
Gute Beratung beginnt deshalb nicht mit einem allgemeinen Maßnahmenkatalog, sondern mit dem konkreten Betrieb: Welche KI-Anwendungen sind im Einsatz? Wer nutzt sie? Welche Entscheidungen werden damit vorbereitet oder automatisiert? Welche Daten fließen ein, und wer prüft die Ergebnisse? Erst aus diesen Antworten lässt sich ableiten, was zu tun ist.
Für einen Handwerksbetrieb kann das etwa ein Tool sein, das Fotos von Schäden bewertet und Kostenvorschläge erstellt. In einem produzierenden Unternehmen kann KI Wartungsbedarfe prognostizieren oder die Qualität von Bauteilen prüfen. Eine Personalabteilung setzt möglicherweise Software zur Vorauswahl von Bewerbungen ein. Die Technik ist jeweils anders, die entscheidende Frage bleibt gleich: Hat das System Auswirkungen auf Sicherheit, Rechte oder wesentliche Entscheidungen über Menschen?
Die Risikoklasse entscheidet über den Aufwand
Der AI Act unterscheidet nicht pauschal zwischen „erlaubter“ und „verbotener“ KI. Er ordnet Anwendungen nach ihrem Risiko ein. Diese Einordnung bestimmt, wie umfangreich die Anforderungen sind.
Unzulässige Praktiken sind grundsätzlich verboten. Dazu zählen bestimmte Formen manipulativer KI, Social Scoring oder einzelne biometrische Anwendungen. Solche Fälle sind in vielen KMU nicht der Alltag, sollten bei der Bestandsaufnahme aber eindeutig ausgeschlossen werden.
Die meisten allgemein genutzten Anwendungen fallen in den Bereich mit geringem oder begrenztem Risiko. Dennoch können Transparenzpflichten gelten. Wenn beispielsweise ein Chatbot mit Kunden kommuniziert, muss für die betroffene Person erkennbar sein, dass sie mit einer KI interagiert. Bei KI-generierten oder manipulierten Inhalten können Kennzeichnungspflichten relevant sein. Entscheidend ist immer der konkrete Einsatz, nicht allein der Name des Tools.
Besondere Aufmerksamkeit verdienen Hochrisiko-KI-Systeme. Dazu können Anwendungen in Bereichen wie Beschäftigung, Bildung, Zugang zu bestimmten Leistungen, kritischer Infrastruktur oder Produktsicherheit gehören. Für Betreiber solcher Systeme steigen die Anforderungen deutlich: menschliche Aufsicht, nachvollziehbare Nutzung, Protokollierung, Kontrolle der Eingabedaten und ein geregelter Umgang mit Vorfällen gehören dann zur praktischen Umsetzung.
Nicht jede KI im Personalbereich ist automatisch Hochrisiko-KI, und nicht jedes System zur Qualitätsprüfung ist unkritisch. Genau hier liegt der Wert einer sauberen Einzelfallbewertung. Pauschale Aussagen helfen wenig, wenn die tatsächlichen Prozesse ungeprüft bleiben.
Der erste Schritt: KI-Inventar statt Bauchgefühl
In vielen Betrieben ist KI nicht zentral beschafft worden. Mitarbeitende testen Textassistenten, Softwareanbieter ergänzen Funktionen, oder neue Werkzeuge werden über Fachabteilungen eingeführt. Das führt schnell zu einem unvollständigen Bild. Bevor Richtlinien geschrieben werden, braucht es daher ein belastbares KI-Inventar.
Erfasst werden sollten nicht nur die Hauptanwendungen, sondern auch integrierte KI-Funktionen in bestehenden Programmen. Relevant sind der Zweck, die Nutzergruppen, die eingesetzten Daten, die Ergebnisse des Systems und die Frage, ob ein Mensch eine Entscheidung überprüft. Ebenso wichtig: Welche Verträge, Anleitungen und Konformitätsinformationen stellt der Anbieter zur Verfügung?
Diese Bestandsaufnahme bringt oft einen zusätzlichen Nutzen. Sie zeigt Doppelstrukturen, unnötige Lizenzen und Prozesse, in denen Mitarbeitende Ergebnisse manuell korrigieren müssen. AI Act Compliance und Prozessoptimierung lassen sich deshalb sinnvoll verbinden. Wer weiß, wo KI eingesetzt wird, kann nicht nur Risiken besser steuern, sondern auch Aufwand, Qualität und Verantwortlichkeiten verbessern.
AI Act Beratung in fünf umsetzbaren Schritten
Eine wirksame Umsetzung muss zum Betrieb passen. Ein Unternehmen mit drei Standardtools benötigt kein überzogenes Regelwerk. Ein Betrieb, der KI in sicherheitsrelevanten Abläufen oder im Recruiting einsetzt, braucht dagegen tiefere Prüfungen und klarere Kontrollen. Bewährt hat sich ein Vorgehen in fünf Schritten:
- Anwendungen erfassen: Alle genutzten und geplanten KI-Systeme werden zentral dokumentiert – einschließlich eingebetteter Funktionen in Standardsoftware.
- Rollen und Risiko bewerten: Es wird geklärt, ob das Unternehmen Betreiber, Anbieter oder in einer anderen Rolle handelt und welche Risikokategorie in Betracht kommt.
- Pflichten priorisieren: Dringliche Punkte wie verbotene Praktiken, Transparenz, KI-Kompetenz und Anforderungen an Hochrisiko-Anwendungen werden in eine sinnvolle Reihenfolge gebracht.
- Prozesse verankern: Zuständigkeiten, Freigaben, Dokumentation, menschliche Kontrolle und Meldewege werden in bestehende Abläufe integriert.
- Wirksamkeit prüfen: Schulungen, Stichproben und regelmäßige Überprüfungen sorgen dafür, dass Regeln nicht nur auf dem Papier bestehen.
Der entscheidende Punkt ist die Verankerung im Alltag. Ein Verzeichnis, das nach einem Workshop nicht mehr gepflegt wird, schützt nicht. Ebenso wenig hilft eine Richtlinie, wenn Beschäftigte nicht wissen, wann sie KI-Ergebnisse prüfen oder welche Daten sie nicht eingeben dürfen.
KI-Kompetenz ist keine einmalige Schulung
Der AI Act verlangt, dass Personen, die KI-Systeme bedienen oder überwachen, über ausreichende KI-Kompetenz verfügen. Was „ausreichend“ bedeutet, hängt von Aufgabe, Risiko und Vorkenntnissen ab. Ein allgemeiner Vortrag für alle kann ein guter Einstieg sein, ersetzt aber keine arbeitsplatzbezogene Unterweisung.
Mitarbeitende im Kundenservice müssen andere Fragen beantworten können als Fachkräfte in der Qualitätsprüfung. Wer generative KI nutzt, sollte beispielsweise Grenzen bei personenbezogenen Daten, Geschäftsgeheimnissen und der fachlichen Prüfung von Ergebnissen kennen. Wer ein System mit Einfluss auf Personalentscheidungen bedient, braucht ein deutlich tieferes Verständnis für mögliche Fehlentscheidungen, Diskriminierungsrisiken und Eskalationswege.
Praxisnahe KI-Kompetenz bedeutet nicht, technische Modelle erklären zu müssen. Sie bedeutet, Ergebnisse kritisch einzuordnen, erkennbare Fehler zu melden und die eigene Verantwortung nicht an ein Tool abzugeben. Dokumentierte, zielgruppengerechte Schulungen schaffen hierfür eine nachvollziehbare Grundlage.
Dokumentation muss prüfbar und handhabbar bleiben
Der AI Act bringt Dokumentationsanforderungen mit sich. Für den Mittelstand ist jedoch nicht die Menge der Dokumente entscheidend, sondern deren Nutzbarkeit. Ein schlankes KI-Verzeichnis, klare Verantwortlichkeiten, Schulungsnachweise und nachvollziehbare Prüfungen sind oft wertvoller als ein umfangreiches Handbuch ohne Bezug zur Praxis.
Bei Hochrisiko-Anwendungen kann eine detailliertere Betriebsdokumentation notwendig sein. Dazu gehören je nach System die Gebrauchsanweisung des Anbieters, Vorgaben zur menschlichen Aufsicht, Protokolle, Prüfungen der Eingabedaten sowie ein Verfahren für schwerwiegende Vorfälle. Wer hier frühzeitig Strukturen aufbaut, kann Anforderungen von Kunden, Zertifizierern und Behörden ruhiger begegnen.
Dabei sollte AI Act Compliance nicht isoliert behandelt werden. Datenschutz, Informationssicherheit, Qualitätsmanagement und vorhandene Freigabeprozesse greifen ineinander. Ein neues Parallel-System erzeugt oft Reibung. Besser ist es, vorhandene Prozesse gezielt zu ergänzen: etwa durch eine KI-Prüfung bei der Softwarebeschaffung oder durch einen zusätzlichen Punkt im bestehenden Risikomanagement.
Wann externe Unterstützung besonders sinnvoll ist
Externe AI Act Beratung ist vor allem dann hilfreich, wenn der Einsatzbereich unklar ist, mehrere Abteilungen betroffen sind oder Systeme Auswirkungen auf Beschäftigte, Kunden oder Sicherheitsentscheidungen haben. Auch Unternehmen, die KI-Lösungen selbst entwickeln, wesentlich verändern oder unter eigener Marke anbieten, sollten ihre Rolle früh prüfen lassen.
Apexigma verbindet die regulatorische Bewertung mit Prozessanalyse und Qualitätsmanagement. Das ist besonders dann sinnvoll, wenn nicht nur ein Nachweis entstehen soll, sondern eine Lösung, die im Betrieb funktioniert. Gerade im Handwerk zählt, ob eine Vorgabe im laufenden Auftrag, auf der Baustelle oder in der Werkstatt praktikabel bleibt.
Der richtige Zeitpunkt ist nicht erst kurz vor einer Prüfung. Wer neue KI-Software auswählt, sollte Anforderungen bereits in die Beschaffung aufnehmen. Dann lassen sich Anbieterunterlagen, Datenflüsse, Schulungsbedarf und Kontrollmechanismen von Beginn an berücksichtigen – statt später teure Korrekturen vorzunehmen.
KI kann Abläufe spürbar verbessern, wenn Verantwortung und Nutzen zusammen gedacht werden. Ein klarer Überblick über die eingesetzten Systeme ist dafür der beste Anfang: Er schafft Sicherheit für Entscheidungen und lässt Raum für Anwendungen, die dem Betrieb wirklich helfen.
