Zwölf Fachbegriffe stehen zwischen einem Betrieb ohne Rechtsabteilung und einem AI Act Programm, das im Ernstfall trägt — und keiner davon setzt eine Juristin voraus. Von der Risikoklassifizierung bis zur Mitbestimmung: Wer diese Begriffe einmal sauber durchdekliniert hat, kennt schon die komplette KMU-Compliance-Landkarte des AI Act. Als HR-Verantwortliche in einem Betrieb ohne eigene Rechtsabteilung habe ich diese Landkarte selbst gezeichnet, Baustein für Baustein, mit einer Portion KI-Kompetenz, die man sich auch ohne Fachanwalt aneignen kann.
Seit sechs Jahren arbeite ich in der Personalarbeit, aktuell bei einem mittelständischen Zulieferer für den Maschinenbau hier in Düsseldorf, ohne eigene Rechtsabteilung im Haus. Laura Schmidt, HR-Leiterin eines Sanitärunternehmens in Wuppertal und Leserin dieses Tagebuchs, hat mir vor Kurzem in ihrer gewohnt förmlichen Art geschrieben, obwohl wir längst per Du sind: Ob man für den AI Act nicht doch zuerst eine externe Kanzlei braucht, weil ihre Geschäftsführung genau das gerade vorschlägt. Diese Frage ist der Anlass, den Irrglauben dahinter einmal auseinanderzunehmen.
Der Irrglaube: Warum viele KMU-Teams AI Act Compliance für Anwaltssache halten
Genau dieser Reflex ist der Irrglaube: dass ein KMU ohne Rechtsabteilung zuerst einen Anwalt braucht, bevor überhaupt etwas passieren darf. Wir haben das selbst ausprobiert. Eine externe Kanzlei sollte uns den EU AI Act in verständliche Sprache übersetzen. Am Anfang dachte ich sogar, wir bräuchten zwingend ein rechtssicheres Gutachten, bevor wir überhaupt anfangen dürfen — ein Irrtum, den mir die Rückmeldung der Kanzlei am Ende selbst ausgetrieben hat. Das Angebot lag deutlich über dem, was für einen Betrieb unserer Größe vertretbar war, und das Ergebnis blieb erstaunlich abstrakt: viele Verweise auf Erwägungsgründe, aber keine einzige Handlungsanweisung für unseren Büroalltag. Seitdem gehen wir den Weg andersherum, nicht erst die komplette Rechtslage verstehen, sondern die einzelnen Bausteine der Reihe nach abarbeiten, mit den Leuten, die ohnehin schon im Haus sind.
Was hinter Risikoklassen, Verboten und menschlicher Aufsicht steckt
Zuerst kommt die Risikoklassifizierung: Bevor irgendetwas anderes passiert, muss klar sein, in welche Kategorie ein KI-System überhaupt fällt, und diese Einordnung kann jedes Team selbst vornehmen, wenn es die Kriterien einmal verstanden hat. Direkt daneben steht die Liste der verbotenen Anwendungen, also der KI-Praktiken, die unabhängig von der Risikoklasse schlicht nicht erlaubt sind, und die sich in kurzer Zeit durchgehen lässt. Sobald ein System als hochriskant eingestuft ist, kommt die menschliche Aufsicht ins Spiel: die Pflicht, dass am Ende immer ein Mensch die Entscheidung trägt, nicht das System allein.
Mein Kollege Stefan Roth, HR-Verantwortlicher bei einem anderen Maschinenbau-Zulieferer, nennt diese Reihenfolge instinktiv pragmatisch. Er sagt, die Klassifizierung sei die einzige Stelle im ganzen Prozess, an der man wirklich zweimal hinschauen muss, alles danach lasse sich mit gesundem Menschenverstand und etwas Struktur erledigen. Genau das deckt sich mit dem, was wir in der Praxis gesehen haben.
Governance, Dokumentation und Kennzeichnung pragmatisch regeln
Governance bedeutet bei uns vor allem eine strikte Trennung zwischen privaten und geschäftlichen KI-Zugängen, eine Regel, die inzwischen auch greift, seit wir KI-Regeln im Homeoffice sicher und datenschutzkonform umsetzen. Die Dokumentationspflichten klingen nach einem Berg Papier, sind in der Praxis aber meist eine Tabelle: welches Tool, welcher Zweck, wer verantwortlich ist. Die Kennzeichnungspflicht betrifft uns überall dort, wo Inhalte mit KI-Beteiligung nach außen gehen, und verlangt schlicht Transparenz gegenüber den Empfängern. Und die Frage, ob wir als Anbieter oder nur als Betreiber eines Systems gelten, entscheidet am Ende, welche Pflichten überhaupt bei uns landen statt beim Softwarehersteller.
KI-Führerschein statt Anwaltsbüro: Wie man KI-Kompetenz im Team aufbaut
Bei der Schulungspflicht geht es nicht um Paragrafen, sondern um Menschen: Jeder, der im Job mit KI arbeitet, muss verstehen, was das Werkzeug tut und wo die Grenzen liegen. Bei uns lief das über einen internen KI-Führerschein, und ich habe an anderer Stelle ausführlich beschrieben, warum der KI-Führerschein für Quereinsteiger im Büro die beste Lösung ist. Der Kompetenznachweis dazu muss kein externes Zertifikat sein, ein internes Protokoll, wer welches Modul abgeschlossen hat, reicht für die Dokumentation völlig aus. Und bevor überhaupt geschult wird, kommt ohnehin die Schatten-KI-Inventur, also die ehrliche Bestandsaufnahme, welche Tools im Alltag tatsächlich genutzt werden, oft andere als die offiziell freigegebenen. Wie man KI-Kompetenz im Team aufbauen kann, habe ich in einem anderen Eintrag ausführlicher beschrieben.
Mitbestimmung und Diskriminierungsschutz als blinde Flecken
Zwei Punkte werden in vielen KMU am längsten übersehen, gerade weil sie nicht sofort nach IT klingen. Algorithmische Diskriminierung betrifft jedes System, das Menschen bewertet oder auswählt, und die Pflicht dazu besteht unabhängig davon, ob das System als hochriskant eingestuft ist. Sobald ein Tool das Verhalten oder die Leistung von Beschäftigten überwacht oder bewertet, gehört außerdem die Mitbestimmung durch den Betriebsrat von Anfang an mit an den Tisch, nicht erst, wenn die Einführung schon läuft.
Wann du wirklich externe Hilfe brauchst
Nach alledem bleibt die eigentliche Frage: Wann lohnt sich externe Hilfe dann doch? Aus meiner Erfahrung genau dann, wenn die Risikoklassifizierung eines konkreten Systems wirklich strittig ist und intern niemand eine belastbare Einschätzung treffen kann, oder wenn Betriebsrat und Geschäftsführung bei der Mitbestimmung nicht zusammenfinden. Für alles andere reicht ein Team aus HR und IT, das die zwölf Bausteine der Reihe nach durchgeht. Diese Faustregel gebe ich seither auch Laura weiter, wenn ihre förmlich formulierten E-Mails wieder eine neue Unsicherheit aus ihrem Haus melden.
Mittwochabends sitze ich inzwischen im Yoga-Kurs am Medienhafen, und die Matte neben mir wird zur einzigen Pflicht, die an dem Abend noch zählt. Vor Kurzem ist mir dort zum ersten Mal aufgefallen, dass mir während der ganzen Stunde kein einziger KI-Fachbegriff mehr durch den Kopf gegangen ist, keine Risikoklasse, keine Betreiberpflicht, nichts von alledem. Das war der Moment, in dem ich gemerkt habe, dass die zwölf Bausteine wirklich sitzen, wenn man sie einmal sauber durchgearbeitet hat: Sie laufen dann im Hintergrund mit, ohne dass man sie ständig neu denken muss.
Wer also das nächste Mal hört, AI Act Compliance sei ohne Rechtsabteilung nicht zu stemmen, kann getrost widersprechen. Es braucht keine Kanzlei, die den Gesetzestext übersetzt, sondern ein Team, das bereit ist, die zwölf Bausteine einmal ehrlich durchzugehen, und den Mut, mittendrin zuzugeben, was davon anfangs falsch eingeschätzt wurde.