In dem Moment, als ein Kollege mir grinsend erzählte, er habe gerade unsere komplette Kalkulationstabelle für den neuen Großkunden in ein kostenloses KI-Tool im Netz hochgeladen, nur um schneller an Markttrends zu kommen, hatte ich keine Antwort parat. Tobias aus der IT schickte mir den Chat-Verlauf, mein Puls ging hoch, und mir wurde schlagartig klar, dass unsere HR-Prozesse für genau so einen Fall keinerlei Vorgehen kannten. Wir setzen KI in fast jeder Abteilung unseres Betriebs ein, aber KI-Compliance war bis dahin ein Wort auf einer Folie, keine gelebte AI-Act-Umsetzung.
Kurzer Hinweis vorab: Ich verlinke in diesem Tagebuch gelegentlich Kurse oder Tools, die ich für die Digitalisierung in einem KMU wie unserem selbst ausprobiert oder für Kollegen gebucht habe. Kaufst du darüber etwas, bekomme ich eine kleine Provision, der Preis für dich ändert sich dadurch nicht. Ich schreibe nur über Dinge, die bei uns im Haus tatsächlich im Einsatz sind.
Der ausgedruckte Verordnungstext, der bei Seite 30 stecken blieb
Mein erster Reflex war typisch für mich: Ich lade mir den vollständigen Text der EU-KI-Verordnung als PDF herunter und will ihn einmal ganz durchlesen, bevor ich irgendjemandem im Betrieb etwas erkläre. An einem ruhigen Nachmittag sitze ich in der Stadtbücherei am Bertha-von-Suttner-Platz, weil ich zuhause nie ungestört zum Lesen komme. Der Drucker dort spuckt Seite um Seite aus, dieser leicht säuerliche Geruch von frischer Druckertinte liegt über dem Tisch, und ich fange ernsthaft an. Bei Seite 30 höre ich auf. Nicht weil ich fertig bin, sondern weil mir auffällt, dass ich keinen einzigen Satz davon in eine Anweisung für Tobias oder Frau Krüger übersetzen könnte.
Genau da wurde mir klar, dass AI Act Compliance für KMU ohne Rechtsabteilung etwas völlig anderes bedeutet als einen Verordnungstext von vorne bis hinten zu lesen. Man braucht keine juristische Vollständigkeit. Man braucht einen Prozess, den auch jemand ohne Jurastudium in drei Minuten erklären kann.
Warum unsere HR-Prozesse noch keinen Plan für KI-Vorfälle hatten
Zwischen dem gescheiterten Leseversuch und der ersten echten Schulung lagen ein paar Wochen, in denen ich vor allem eins gelernt habe: Wissen allein ändert kein Verhalten. In KW 12 saß ich vor fünfzehn Kollegen in unserer ersten Schulungseinheit zum Thema KI-Vorfälle. Nach den ersten zehn Minuten tippten drei am Handy unter dem Tisch, zwei blätterten in ihren Unterlagen, und nur eine Handvoll hörte wirklich zu. Ich hatte angenommen, dass ein sauber vorbereiteter Foliensatz reicht, um Aufmerksamkeit zu bekommen. Das war falsch eingeschätzt, und ich musste mir eingestehen, dass Vorträge über Meldepflichten für die meisten einfach zu abstrakt sind, solange ihnen kein konkreter Fall aus ihrem eigenen Arbeitsalltag begegnet.
Ein Bekannter von mir, der Schlagzeug in einer Hobbyband spielt, hat mich neulich gefragt, ob das bei uns im Büro auch so chaotisch anläuft wie seine ersten Bandproben. Ich musste lachen, weil der Vergleich ziemlich gut passt: Am Anfang spielt jeder sein eigenes Tempo, und erst wenn alle denselben Takt kennen, klingt es nach etwas.
Mein Notfallplan für KI-Vorfälle in unserem KMU
Aus diesen beiden Rückschlägen ist inzwischen ein Ablauf entstanden, der so simpel ist, dass er auf eine einzige Bildschirmseite passt. Sobald jemand vermutet, dass sensible Daten wie unsere Konstruktionspläne in ein KI-Tool geflossen sind, wird der Zugang zu diesem Tool sofort gesperrt, noch bevor irgendjemand prüft, ob das rechtlich überhaupt relevant ist. Parallel dazu läuft bei mir eine innere Uhr: Der AI Act verlangt in Artikel 62, dass schwerwiegende Vorfälle innerhalb von 15 Tagen gemeldet werden, und ich bin keine Juristin, aber genau diese Frist behalte ich im Blick, indem ich innerhalb der ersten 48 Stunden kläre, ob sie überhaupt greift. Screenshots von Prompt und Antwort der KI sichern wir in jedem Fall, ganz gleich wie klein der Vorfall aussieht, weil man im Nachhinein selten weiß, was später noch wichtig wird.
Wie man ein KI-System vorab in eine Risikoklasse einordnet, ist ein eigenes Kapitel für sich, das ich hier bewusst nicht aufrolle. Wichtiger für den Alltag war für uns die Frage, wie wir überhaupt herausfinden, welche Tools im Haus im Einsatz sind, denn eine Inventur der Schatten-KI auf privaten Handys deckt regelmäßig Anwendungen auf, von denen ich vorher nichts wusste. Genauso spielt die menschliche Aufsicht eine Rolle, sobald ein Vorfall passiert ist: Jemand muss die Entscheidung treffen, nicht das Tool. Damit gar nicht erst so viele Vorfälle entstehen, setzen wir seit diesem Jahr auf eine verpflichtende Grundschulung. Der KI-Führerschein war für uns dabei der Baustein, mit dem die Kollegen überhaupt erst verstehen, wo die Grenzen der Technik liegen, damit sie Fehler von KI im Büro erkennen, bevor daraus ein meldepflichtiger Vorfall wird.
Hochsensible Abteilungen brauchen einen anderen Weg
In Bereichen wie unserer kleinen Rechtsabteilung oder der IT-Sicherheit reicht dieser Standardweg nicht aus. Dort haben wir einen zweiten, kürzeren Weg eingeführt: kein Formular, sondern ein direkter Anruf, weil die Kommunikation von Anfang an unter einem anderen Schutz stehen muss und weil Haftungsfragen für das ganze Unternehmen auf dem Spiel stehen können. Diese Unterscheidung habe ich nicht am Schreibtisch erfunden, sondern erst im Gespräch mit anderen HR-Verantwortlichen aus ähnlich großen Betrieben verstanden: Man kann nicht jede Abteilung mit demselben Prozess abdecken, so verlockend die Einheitlichkeit auf dem Papier auch wirkt.
Was die AI-Act-Umsetzung heute anders macht
Verglichen mit meinem ersten Anlauf im Herbst arbeiten wir heute mit deutlich weniger Papier und deutlich mehr Gesprächen. Die KI Dokumentationspflichten im Büro nehmen wir nach wie vor ernst, weil sie im Ernstfall den Unterschied machen, aber sie stehen inzwischen im Hintergrund und nicht mehr im Mittelpunkt jeder Schulung. Kollegen wie Tobias oder Frau Krüger kommen inzwischen von sich aus vorbei, wenn ihnen etwas komisch vorkommt, und genau das war das eigentliche Ziel: nicht Aktenordner, sondern die Bereitschaft, überhaupt zu melden.
Fang klein an, nicht perfekt
Mittwochabends gehe ich nach wie vor zum Yoga, das ist der einzige feste Ausgleich, den ich mir in dieser Zeit gönne, und ich sage das nicht, um nett zu klingen, sondern weil ohne diesen Termin die Verordnungstexte in meinem Kopf nie zur Ruhe kämen. Erwarte von dir selbst nicht, dass du den AI Act an einem Wochenende durchdringst. Fang mit dem kleinsten möglichen Prozess an, teste ihn an einem echten Fall, und baue erst danach aus. Für den Einstieg in die praktische Schulung hat sich bei uns wieder der KI-Führerschein bewährt, weil er die Brücke zwischen „ich nutze das mal eben" und „ich weiß, was ich da tue" schlägt, ohne gleich mit Paragraphen um sich zu werfen.
Große Rechtsabteilungen wie in Konzernen haben wir nicht, dafür haben wir uns selbst und ein bisschen gesunden Menschenverstand. Falls du tiefer einsteigen willst, lohnt sich ein Blick auf die Seiten des BfDI, das hat mir öfter weitergeholfen als ein teures Erstgespräch. Die Kontrolle über KI-Vorfälle im eigenen Betrieb gewinnt man nicht durch ein perfektes Dokument, sondern durch einen Prozess, den jeder im Ernstfall auch tatsächlich nutzt.