Ein Webinar-Kurs verspricht in einem einzigen Tag eine fertige Vorlage für Daten-Governance; ein selbstgebautes System verspricht gar nichts, außer der Chance, dass es tatsächlich zu unserem Betrieb passt. Ich habe beide Wege ausprobiert, und nur einer hat bei den 78 Leuten hier wirklich etwas bewegt. Das Ergebnis war für mich selbst überraschend, denn ich hätte vorher auf den Kurs gewettet, schließlich klang er nach der schnelleren, saubereren Lösung für unsere AI-Act-Compliance. Es kam anders, und die Gründe dafür sind der Kern dessen, was ich unter Daten-Governance im Büroalltag verstehen gelernt habe.
Ein Kurs von der Stange trifft auf einen Betrieb mit 78 Leuten
Der Anbieter hatte einen guten Ruf, das Format klang bequem: ein einziger Tag, ein Zertifikat am Ende, fertige Vorlagen zum Herunterladen. Ich hatte mir davon erhofft, dass ich die Struktur einfach auf unseren Betrieb übertragen könnte, ohne selbst bei null anzufangen. In der ersten Schulungseinheit saßen fünfzehn Kolleginnen und Kollegen vor den Bildschirmen, und nach der ersten Viertelstunde spürte ich, wie die Aufmerksamkeit im Raum kippte, kaum jemand hörte noch wirklich zu. Die Beispiele drehten sich um Konzernstrukturen mit eigenen Compliance-Abteilungen, um Freigabeprozesse über mehrere Ebenen, um Software, die wir uns in dieser Form gar nicht leisten. Nichts davon passte auf einen Maschinenbau-Zulieferer, bei dem ich die Daten-Governance quasi im Alleingang aufbauen musste.
Ich hatte angenommen, dass eine allgemeine Vorlage automatisch auch für uns funktioniert – ein Irrtum, den ich erst in diesem Raum wirklich verstanden habe. Am Wochenende danach habe ich die Kursunterlagen noch einmal durchgesehen, diesmal nicht am Küchentisch, sondern in der Stadtbücherei Düsseldorf am Bertha-von-Suttner-Platz, wo mich niemand nach dem Firmentelefon fragen konnte. Je länger ich blätterte, desto klarer wurde: Wir brauchten kein fertiges Konzept, sondern Regeln, die zu unseren tatsächlichen Daten passten – Konstruktionszeichnungen, Personalakten, Kundendaten aus dem Vertrieb.
Der Unterschied: selbstgebautes System versus Kaufkurs
Mein Ampelsystem ist im Kern denkbar simpel, und genau das war der Punkt. Öffentliche Informationen – allgemeine Branchen-News, Texte für unsere Website – fallen unter Grün, und dort darf jede KI-Anwendung im Büro nach Belieben mitarbeiten. Interne, aber unkritische Inhalte wie Protokolle von Team-Meetings ohne Kundennamen oder Entwürfe für interne Ankündigungen laufen unter Gelb, was so viel heißt wie: Nutzung erlaubt, aber mit einem zweiten Blick durch einen Menschen. Rot sind Konstruktionszeichnungen, Kundendaten und Personalakten – dort ist Standard-KI-Software für uns komplett tabu, egal wie bequem sie gerade wirkt.
Der Unterschied zum Webinar-Kurs liegt nicht in der Cleverness des Systems, sondern in der Herkunft, und das ist für mich im Kern, was HR-Management im Rahmen der KMU-Digitalisierung bedeutet. Jede Farbe in meiner Ampel ist an einem echten Vorfall aus unserem Betrieb entstanden, nicht an einer generischen Fallstudie aus einer Präsentation. Eine Kollegin aus der Fertigung wollte zum Beispiel wissen, ob sie ihre Schichtprotokolle durch ein Übersetzungstool jagen darf, und aus genau dieser Frage wurde die Gelb-Kategorie so konkret, wie sie heute dasteht. Ein Kurs von der Stange kann so etwas nicht liefern, weil er niemanden aus unserem Haus kennt.
Grenzen ziehen: was das Ampelsystem regelt und was nicht
Bevor die Ampel überhaupt funktionieren konnte, brauchte es eine ehrliche Bestandsaufnahme: welche KI-Tools im Haus überhaupt im Einsatz waren, oft ganz ohne offizielle Freigabe. Diese Schatten-KI-Inventur ist ein eigenes Kapitel für sich, das ich an anderer Stelle ausführlicher beschreibe. Was das Ampelsystem selbst bewusst nicht regelt, sind die Nachbarthemen: Die Risikoklassifizierung der KI-Systeme selbst ist ein eigenes Thema, genauso wie die Schulungspflicht für unsere Mitarbeitenden – daraus ist bei uns immerhin der KI-Führerschein für Mitarbeiter entstanden – oder die Frage, welche Anwendungen ohnehin komplett verboten sind. Auch die menschliche Aufsicht bei automatisierten Entscheidungen, ein sauberer Nachweis der KI-Kompetenz, die Rollenfrage zwischen Anbieter und Betreiber, die Kennzeichnungspflicht für KI-generierte Inhalte, unsere Dokumentationspflichten und der Schutz vor algorithmischer Diskriminierung gehören für mich zu Baustellen, die anderswo bearbeitet werden. Wer bei alldem erstmal die Begriffe sortieren will, für den habe ich ein EU AI Act Glossar zusammengestellt, das im Alltag mehr hilft als jede einzelne Kursfolie.
Zwei externe Stimmen sehen das unterschiedlich
Zwei Rückmeldungen von außen haben mir dabei besonders zu denken gegeben. Oliver Franke, ein freiberuflicher KI-Compliance-Coach, mit dem ich mich hin und wieder austausche, sieht die Sache deutlich entspannter als ich: Er glaubt, dass die meisten Mittelständler viel schneller eigene Lösungen finden, als sie sich selbst zutrauen, sobald sie erst einmal anfangen. Christian Weber, Betriebsratsvorsitzender in einem Lebensmittelverarbeitungsbetrieb im Ruhrgebiet, schrieb mir dagegen als Leser, dass ein Ampelsystem wie meines niemals allein von der HR-Abteilung festgelegt werden dürfe, und berief sich dabei auf das Mitbestimmungsrecht des Betriebsrats. Er hat damit recht – bei uns ist das Ampelsystem erst nach Gesprächen mit dem Betriebsrat verbindlich geworden, und wie man diesen Prozess sinnvoll gestaltet, habe ich an anderer Stelle beschrieben, als es um die Einbindung des Betriebsrats bei KI-Regeln ging.
Der richtige Weg für verschiedene Betriebe
Ein Kurs von der Stange lohnt sich meiner Erfahrung nach vor allem für Betriebe, die beim Thema KI-Governance bei null anfangen und erst einmal einen Überblick über die Begriffe brauchen, bevor sie irgendetwas selbst entscheiden können. Ein selbstgebautes System wie unsere Ampel lohnt sich dagegen, sobald man schon eine ungefähre Vorstellung davon hat, welche Daten im eigenen Haus wirklich sensibel sind, und wenn die Lösung von den eigenen Leuten mitgetragen werden soll statt nur abgenickt zu werden. Für einen Zulieferer mit 78 Mitarbeitenden war Letzteres der richtige Weg, auch wenn er unbequemer war als ein einziger gebuchter Kursnachmittag.
Was am Ende zählt, ist nicht, welches Modell auf dem Papier eleganter aussieht, sondern ob die Leute auf dem Hallenboden und im Vertrieb wissen, was sie tun dürfen und was nicht. Aus diesem Vergleich ziehe ich vor allem eine Konsequenz für meine Rolle als interne KI-Beauftragte im Mittelstand: Sie hat weniger mit dem Einkauf fertiger Lösungen zu tun als mit dem Übersetzen zwischen Regelwerk und Werkshalle, egal ob die Vorlage von einem teuren Kurs oder vom eigenen Schmierzettel stammt.