KI-Strategie für kleine Unternehmen Schritt für Schritt einfach erstellen

Zwölf Bausteine soll eine vollständige KI-Strategie laut den Vorlagen haben, die gerade in fast jedem Beratungs-Newsletter für den Mittelstand kursieren – von der Risikoklassifizierung bis zur Mitbestimmung des Betriebsrats. Als interne AI-Act-Beauftragte in einem Maschinenbau-Zulieferer mit unter achtzig Beschäftigten habe ich inzwischen die meisten dieser Listen gesehen, und die Bausteine darin stimmen fast immer. Was fast nie stimmt, ist die Reihenfolge, in der sie abgearbeitet werden sollen. Genau das hat mich bei unserer eigenen KI-Strategie für kleine Unternehmen am meisten Zeit gekostet – nicht das Fehlen von Wissen, sondern die falsche Anordnung davon.

Bevor ich das verstanden hatte, saß ich mit einem ausgedruckten Exemplar der kompletten EU-Verordnung in einem Termin mit unserer Geschäftsführung, in der Annahme, Vollständigkeit würde überzeugen. Auf dem Carlsplatz hatte ich in der Mittagspause davor noch kurz den Kopf freibekommen, der Kaffee in meiner Thermoskanne war da schon kalt geworden. Nach zehn Minuten war der Termin beendet, ohne dass eine einzige Entscheidung gefallen war. Niemand hatte dabei etwas falsch gemacht außer mir: Ich hatte Inhalt vor Struktur gesetzt.

Warum steht die Rollenfrage vor jedem anderen Schritt?

Der Grund, warum dieser Termin scheiterte, wurde mir erst später klar: Ich hatte nie geklärt, in welcher Rolle wir im AI Act überhaupt stecken, bevor ich über Pflichten sprach. Der EU AI Act unterscheidet zwischen Anbietern, die Systeme entwickeln, und Betreibern, die sie einsetzen. Diese Rollenfrage gehört an den Anfang jeder KI-Strategie, nicht ans Ende, sonst plant man Maßnahmen, für die man gar nicht zuständig ist. Wir sind eindeutig Betreiber, aber das hatte ich der Geschäftsführung nie in einem einzigen klaren Satz gesagt, bevor ich sie mit hundert Seiten Verordnungstext konfrontierte. Wie man die eigenen Systeme anschließend den vier Risikoklassen zuordnet, habe ich an anderer Stelle ausführlich beschrieben. Wichtig ist an dieser Stelle nur, dass diese Zuordnung ohne die Rollenklärung wenig Substanz hat. Oliver Franke, ein freiberuflicher KI-Compliance-Coach, mit dem ich mich hin und wieder austausche, sieht die Umsetzungsbereitschaft in kleinen Betrieben deutlich optimistischer als ich – er sagt, die Rollenfrage sei für die meisten KMU inzwischen Routine. Aus meinen Gesprächen mit anderen HR-Leuten kann ich das noch nicht bestätigen.

Der Trugschluss der fertigen Vorlage

Die zweite Verwechslung passiert meistens direkt danach: Sobald die Rollenfrage geklärt ist, greifen viele zu Vorlagen, die für Konzerne geschrieben wurden statt für ein KMU mit deutlich unter 250 Beschäftigten wie unseres mit 78 Leuten. Diese Dokumente wirken vollständig, mit eigenen Kapiteln für jede denkbare Pflicht, aber sie beantworten keine einzige Frage, die bei uns in der Fertigung tatsächlich gestellt wird. Ein kleines Unternehmen braucht keine gekürzte Konzern-Vorlage. Es braucht ein eigenes Dokument, das mit den Werkzeugen anfängt, die die Kollegen jeden Tag benutzen, nicht mit Kapitelüberschriften.

Erst zählen, dann einordnen

Erst wenn klar ist, welche Werkzeuge im Haus tatsächlich laufen, ergibt eine Risikoeinordnung überhaupt Sinn – deshalb kommt die Inventur der Schatten-IT vor jeder Klassifizierung, nicht danach. Als Tobias aus der IT mir vor Kurzem seine vollständige Liste aller eingesetzten KI-Tools ins Postfach schickte, blieb mein Blick eine Sekunde zu lange auf dem Bildschirm hängen – zum ersten Mal hatten wir eine Grundlage, auf der sich überhaupt etwas einordnen ließ. Genau in dieser Reihenfolge, erst zählen, dann einordnen, entscheidet sich, ob die spätere Klassifizierung Substanz hat oder nur eine Behauptung bleibt.

Verbote, Aufsicht und die Grenzen der Automatisierung

Nicht jedes Werkzeug, das technisch möglich wäre, darf danach überhaupt eingesetzt werden – manche Anwendungen sind schlicht verboten, etwa alles, was in Richtung Social Scoring von Mitarbeitenden geht, und das gehört in die Strategie, bevor man über Nutzen diskutiert. Für alles, was erlaubt bleibt, aber heikel ist, muss außerdem geklärt sein, wer am Ende die menschliche Aufsicht über eine Entscheidung behält, wenn ein System zum Beispiel Bewerbungen vorsortiert. Und weil solche Systeme Muster aus alten Daten übernehmen, gehört eine Prüfung auf mögliche Diskriminierung in jede Strategie, die HR-nahe Systeme überhaupt anfasst – bei uns ist das inzwischen ein fester Punkt, auch wenn ich froh bin, dass wir dazu noch keinen konkreten Vorfall hatten.

Schulung und Mitbestimmung entscheiden, ob die Strategie im Alltag hält

Eine Strategie auf Papier bringt wenig, wenn die Kollegen nicht wissen, was sie mit den freigegebenen Tools eigentlich dürfen – deshalb ist die Schulungspflicht zu KI-Kompetenz kein netter Zusatz, sondern im AI Act fest verankert. Ob ein separates Zertifikat darüber hinaus etwas bringt, wird bei uns immer wieder diskutiert, ohne dass wir schon eine endgültige Antwort hätten. Genauso wenig funktioniert eine Strategie, die am Betriebsrat vorbeigeplant wird: Ein Leser, Christian Weber, Betriebsratsvorsitzender in einem Lebensmittelverarbeitungsbetrieb im Ruhrgebiet, schreibt mir regelmäßig und zitiert dabei gern das Mitbestimmungsrecht, wenn er anderer Meinung ist als ich – meistens zu Recht. Dazu kommen Punkte, die schnell untergehen, weil sie unspektakulär klingen: eine geregelte Datenhaltung für die Systeme, die wir einsetzen, eine klare Kennzeichnung, wenn Inhalte mit KI-Unterstützung entstanden sind, und eine Dokumentation, die im Zweifel auch ohne mich verständlich ist. Wie man KI-Kompetenz im Mittelstand aufbaut, ohne dafür externe Berater ins Haus zu holen, ist noch mal ein eigenes Thema für sich.

Die Reihenfolge ist die eigentliche Strategie

Was am Ende auf zwei Seiten passt, ist deshalb nicht weniger wert als ein Dokument mit fünfzig Seiten, es ist nur anders sortiert: zuerst die Rolle, dann die Inventur, dann die Einordnung, dann die Grenzen, dann die Menschen, die es im Alltag tragen müssen. Wenn du gerade selbst an so einer Strategie sitzt, fang nicht bei der Vorlage an, sondern bei der Frage, ob dein Betrieb Anbieter oder Betreiber ist – alles andere baut darauf auf. Für die rechtliche Bewertung der eigenen Situation ersetzt das keine anwaltliche Prüfung, aber für den ersten Entwurf, mit dem man arbeiten kann, reicht diese Reihenfolge fast immer aus.