Das Gesetz gilt für alle: Ein Brief an den Mittelstand

Der EU AI Act ist keine Regulierung ausschließlich für Großkonzerne. Er betrifft jedes Unternehmen, das KI in relevanten Geschäftsprozessen entwickelt oder einsetzt – auch den deutschen Mittelstand. Wer heute beginnt, Governance-Strukturen aufzubauen, Verantwortlichkeiten zu definieren und Mitarbeitende zu qualifizieren, reduziert nicht nur regulatorische Risiken. Er schafft auch die Grundlage für einen sicheren, vertrauenswürdigen und nachhaltigen Einsatz von Künstlicher Intelligenz. KI-Compliance sollte deshalb nicht als Pflichtübung verstanden werden, sondern als Wettbewerbsvorteil. Unternehmen, die Transparenz, Verantwortlichkeit und Governance frühzeitig etablieren, schaffen Vertrauen – bei Kunden, Mitarbeitenden und Aufsichtsbehörden gleichermaßen. „Wir sind zu klein, das betrifft uns nicht.“ Viele kleine und mittelständische Unternehmen (KMU) gehen davon aus, dass die neue KI-Verordnung vor allem große TECH-Konzerne betrifft. Das ist allerdings ein Irrtum. Der EU AI Act knüpft seine Anforderungen nicht an die Unternehmensgröße, sondern daran, wie Künstliche Intelligenz eingesetzt wird . Wer KI-Systeme entwickelt, bereitstellt oder im Unternehmen einsetzt, kann unter die Verordnung fallen, unabhängig davon, ob es sich um einen internationalen Konzern oder ein mittelständisches Unternehmen handelt. Gerade deshalb sollten KMU jetzt prüfen, welche KI-Anwendungen bereits heute im Einsatz sind und welche regulatorischen Anforderungen sich daraus ergeben. Der EU AI Act, ein kurzer Überblick Der EU AI Act ist die weltweit erste umfassende Regulierung für den Einsatz von Künstlicher Intelligenz. Die Verordnung ist am 1. August 2024 in Kraft getreten und wird schrittweise angewendet. Bereits in Kraft Seit dem 2. Februar 2025 gelten insbesondere: Verbot bestimmter KI-Praktiken Verpflichtung zur AI Literacy (KI-Kompetenz) für Unternehmen, die KI einsetzen Seit August 2025 gelten zusätzliche Anforderungen für General-Purpose AI (GPAI)-Modelle . Weitere Meilensteine Ab August 2026 greifen die wesentlichen Anforderungen für Hochrisiko-KI-Systeme . Unternehmen müssen dann umfangreiche Governance-, Dokumentations- und Compliance-Pflichten erfüllen. Aktuelle Entwicklung Parallel wird auf EU-Ebene im Rahmen des AI Omnibus über Anpassungen einzelner Fristen diskutiert. Einige Anforderungen für Hochrisiko-KI-Systeme könnten sich dadurch zeitlich verschieben. Meine Empfehlung: Unternehmen sollten die regulatorischen Entwicklungen aufmerksam verfolgen – die Vorbereitung auf den EU AI Act jedoch bereits heute konsequent vorantreiben.

Es gibt einen Moment in jedem größeren Wandel, in dem die alten Landkarten noch da sind aber die Landschaft sich bereits verändert hat. Wer jetzt navigiert, als wäre nichts geschehen, fährt gegen eine Wand, die auf keiner Karte eingezeichnet ist. Genau das erlebe ich gerade. Künstliche Intelligenz ist nicht einfach ein neues Werkzeug, das man zur bestehenden Infrastruktur dazukauft. Sie ist ein struktureller Eingriff in die Art, wie Wissen entsteht, wie Entscheidungen fallen, wie Wert geschöpft wird, und wer davon profitiert. Für kleine und mittelständische Unternehmen ist das kein abstraktes Problem. Es ist eine konkrete strategische Frage: Was bleibt von unserem Geschäftsmodell, wenn KI die Arbeit übernimmt, die wir bislang verkauft haben? Die größten Gefahren, und warum sie selten dort lauern, wo man hinschaut 1. Kompetenz-Illusion Die gefährlichste KI-Falle ist nicht der dramatische Fehler. Es ist die subtile Erosion der eigenen Urteilsfähigkeit. Wer Routineaufgaben zunehmend delegiert, z.B. Texte, Analysen, Zusammenfassungen, verliert schleichend die Fähigkeit, die Qualität des Outputs zu beurteilen. Man weiß noch, dass eine Antwort plausibel klingt. Aber ob sie richtig ist, merkt man erst, wenn der Schaden da ist. Für Unternehmen bedeutet das: KI-Kompetenz ist keine IT-Frage. Sie ist eine Führungsfrage. Wer nicht versteht, wie ein Modell arbeitet, welche Grenzen es hat und wann es halluziniert, kann es weder verantwortungsvoll einsetzen noch kontrollieren. 2. Compliance-Blindheit Der EU AI Act ist seit 2024 in Kraft. Ab 2026 gelten für Hochrisiko-Systeme strenge Anforderungen: Transparenz, Nachvollziehbarkeit, menschliche Aufsicht, Dokumentation. Viele KMU gehen davon aus, das betreffe nur Konzerne. Das ist ein Irrtum. Wer KI in Personalentscheidungen, Kreditvergabe, Kundenscoring oder automatisierten Empfehlungen einsetzt, ist betroffen — unabhängig von Unternehmensgröße. Die Sanktionen sind empfindlich. Das Reputationsrisiko ist es noch mehr. 3. Abhängigkeit von wenigen Anbietern Die Infrastruktur der KI ist hochgradig konzentriert: ein Handvoll Hyperscaler, ein paar Modellentwickler, proprietäre APIs. Wer seine Kernprozesse darauf aufbaut, ohne Exit-Strategie und ohne die eigenen Daten zu kontrollieren, gibt strategische Souveränität ab. Was heute günstig und komfortabel ist, kann morgen teuer oder nicht mehr verfügbar sein. 4. Tempo ohne Governance Viele Unternehmen pilotieren schnell, und implementieren schneller. Die Governance-Strukturen hinken hinterher: Wer darf was entscheiden? Wie wird KI-Output geprüft? Was passiert, wenn das System falsch liegt? Diese Fragen klingen bürokratisch. Sie sind es nicht. Sie sind der Unterschied zwischen kontrollierbarem und unkontrollierbarem Wandel. Was sich verändert: Geschäftsmodelle unter Druck Die klassische Wertschöpfungslogik vieler Dienstleistungsunternehmen lautet: Zeit gegen Geld. Stunden, Tagessätze, Leistungseinheiten. Diese Logik gerät unter Druck, sobald KI dieselben Leistungen in einem Bruchteil der Zeit erzeugt. Das bedeutet nicht, dass Expertise wertlos wird. Es bedeutet, dass sie anders monetarisiert werden muss. In diesem Zusammenhang zeichnen sich drei Muster ab: Vom Ausführer zum Orchestrator. Der Wert liegt nicht mehr im Tun, sondern im Steuern: Welche KI-Systeme werden wie kombiniert? Welche Ausgaben werden validiert? Wer trägt die Verantwortung für das Ergebnis? Unternehmen, die diese Orchestrierungskompetenz aufbauen, werden relevanter, nicht weniger. Vom Volumen zur Vertrauensleistung. Was KI nicht liefern kann: kontextsensibles Urteilsvermögen, Beziehungstiefe, ethische Abwägung, lokale Marktkenntnis, kulturelles Feingefühl. Diese Leistungen gewinnen an Gewicht, gerade weil alles andere standardisiert wird. Von der einmaligen Leistung zum dauerhaften System. Das Beratungsgespräch wird zum implementierten Prozess. Der Workshop wird zur Governance-Struktur. Der Bericht wird zum lebenden Dashboard. Unternehmen, die nicht mehr Leistungen verkaufen, sondern funktionierende Systeme, schaffen nachhaltigere Erlösmodelle. Wer sind die Zielgruppen — und was brauchen sie wirklich? KI-Implementierung ist kein homogenes Thema. Je nach Unternehmenstyp sind die Herausforderungen grundverschieden. Familienunternehmen und klassischer Mittelstand stehen vor einer generationalen Herausforderung: Die Inhabergeneration ist skeptisch, die Nachfolgegeneration ungeduldig, und die Belegschaft verunsichert. Was fehlt, ist keine Technologie, es fehlt ein Orientierungsrahmen. Klare Antworten auf die Fragen: Was dürfen wir einsetzen? Wofür haften wir? Wie nehmen wir die Menschen mit? Professional Services — Kanzleien, Steuerberater, Unternehmensberater — erleben, dass KI Teile ihrer Standardleistungen automatisiert. Die existenzielle Frage: Was ist die eigene Unverwechselbarkeit jenseits des Faktenwissens? Wer diese Antwort nicht hat, verliert Marktanteile. Wachstumsunternehmen und Scale-ups testen oft schnell und breit, ohne Struktur. Das Risiko: technische Schulden, Compliance-Lücken, kulturelle Brüche. Was sie brauchen, ist keine Bremse, sondern eine Architektur, die schnelles Experimentieren mit Kontrolle verbindet. Industrie und produzierendes Gewerbe hat oft bereits KI im Einsatz — in der Qualitätskontrolle, der Predictive Maintenance, der Lieferkette. Aber die Integration in die Unternehmenssteuerung, ins Risikomanagement, in die Berichtserstattung an Gesellschafter und Aufsicht: das steht noch aus. Welche Märkte entstehen gerade neu? Einige Felder, die in den nächsten zwei bis drei Jahren strategisch bedeutsam werden möchte ich ihnen hier vorstellen. KI-Governance als eigenständige Disziplin. Nicht als Compliance-Checkliste, sondern als Führungsaufgabe. Unternehmen suchen Menschen, die Aufsichtsgremien befähigen, KI zu verstehen, zu steuern und zu verantworten. Das ist eine neue Kompetenz und ein neuer Markt. Menschenzentrierte KI-Integration. Technologie einzuführen ist einfach. Menschen dazu zu bringen, sie sinnvoll zu nutzen, ist die eigentliche Herausforderung. Change Management, Enablement, Kulturarbeit das wird zum kritischen Erfolgsfaktor und zu einem eigenständigen Beratungsfeld. Daten-Souveränität und KI-Audit. Unternehmen werden zunehmend danach gefragt — von Kunden, Partnern, Regulatoren —, wie sie mit KI umgehen. Wer das nicht belegen kann, verliert Aufträge. Wer es kann, gewinnt Vertrauen. Das schafft Nachfrage nach Strukturen, Dokumentation, unabhängiger Einschätzung. Branchenspezifische KI-Anwendung. Generische KI-Beratung wird zur Commodity. Was bleibt, tiefes Branchenwissen kombiniert mit KI-Kompetenz. Das Duo aus Domänenexpertise und Implementierungserfahrung ist schwer zu replizieren — und entsprechend gefragt. --  Mein Framework Control / Integrate / Enable ist kein Zufall. Es ist die Antwort auf genau diese Dynamiken. Control // weil Unternehmen Sicherheit brauchen, bevor sie Vertrauen aufbauen können. Governance, Compliance, Risikorahmen: das ist keine Bremse. Es ist die Voraussetzung für nachhaltige Skalierung. Integrate // weil der Wert von KI nicht in einzelnen Tools liegt, sondern in der Vernetzung mit bestehenden Prozessen, Daten, Entscheidungsstrukturen. Enable // weil Technologie ohne Menschen, die sie verstehen und nutzen wollen, nicht funktioniert. Enablement ist keine Schulungsmaßnahme. Es ist Change und Kulturarbeit. Der Mittelstand braucht keine KI-Euphorie und keine KI-Angst. Er braucht Klarheit, Struktur und einen verlässlichen Partner, der nicht mit dem nächsten Hype-Zyklus weiterzieht. Das ist die Arbeit, die ich mit kimaco mache. Ich berate kleine und mittelständische Unternehmen bei der strukturierten Einführung von KI. Ich verbinde technisches Verständnis mit unternehmerischem Pragmatismus und dem Blick auf Governance, den Aufsichtsgremien heute brauchen. Fragen, Feedback, Austausch: kimaco.de

KI wirft ethische Fragen – zu Verantwortung, Fairness und Datenschutz. Erfahren Sie, worauf KMU beim KI-Einsatz achten sollten und wie Sie einen verantwortungsvollen Rahmen schaffen.

Warum ihre Bühne jetzt Roadmaps statt Buzzwords braucht.

Haben Sie in letzter Zeit eine „KI-Strategie“ verfasst? Wenn ja, herzlichen Glückwunsch! Damit sind Sie vielen Unternehmen bereits einen wichtigen Schritt voraus. Wenn dieses Dokument jetzt allerdings als schickes PDF in einem digitalen Ordner verstaubt, haben Sie ein Problem. Eine KI-Strategie ist kein theoretisches Pflichtprogramm, das man einmal abhakt. Es ist das Fundament für die Zukunft Ihres Unternehmens. Doch damit dieses Fundament hält, braucht es ein stabiles Gerüst: KI-Governance. Warum KI-Governance weit mehr ist als nur Risikomanagement und warum sie zum echten Wettbewerbsvorteil wird, erfahren Sie in meinen neuen Beitrag. Das Missverständnis: „Wir haben doch Richtlinien!“ Wenn ich mit Unternehmen sprechen, höre ich oft: „Wir haben KI-Governance geregelt – unsere Mitarbeiter wissen, dass sie keine Kundendaten in öffentliche Tools eingeben dürfen.“ Das ist ein guter Anfang, aber es ist keine Governance. Das ist lediglich eine Verbotsliste. Echte KI-Governance blockiert nicht, sie befähigt. Sie sorgt dafür, dass Innovation und Sicherheit Hand in Hand gehen. Stellen Sie sich ein Auto vor: Die Bremsen sind nicht da, um Sie krampfhaft langsam zu halten, sondern damit Sie überhaupt erst sicher mit 200 km/h über die Autobahn fahren können. KI-Governance ist genau diese Bremse. Warum eine KI-Strategie ohne Governance scheitert Eine Strategie definiert das Was und das Warum. Die Governance liefert das Wie und das Wer. Ohne diesen Grundpfeiler drohen drei klassische Szenarien: Die Schatten-KI (Shadow AI): Mitarbeiter nutzen heimlich unautorisierte Tools, weil die offiziellen Prozesse zu träge sind. Die Folge? Intellektuelles Eigentum und sensible Daten wandern unabsichtlich und unkontrolliert auf externe Server. Die Schockstarre: Aus Angst vor Fehlern, DSGVO-Verstößen oder dem EU AI Act wird überhaupt kein KI-Projekt umgesetzt. Das Unternehmen verliert den Anschluss an den Markt. Insel-Lösungen: Das Marketing nutzt Tool A, der Vertrieb Tool B, die IT weiß von nichts. Nichts ist kompatibel, Lizenzen werden doppelt bezahlt und Daten-Silos wachsen munter weiter. Was braucht es also für lebendige KI-Governance? Wie wird aus ihrem theoretischen Strategiepapier nun ein lebendiger Grundpfeiler? Indem Sie Governance in vier Dimensionen denken: 1. Klare Verantwortlichkeiten (People) Wer entscheidet, welches Tool eingeführt wird? Wer haftet für die Ergebnisse? KI ist keine reine IT-Aufgabe. Es braucht ein interdisziplinäres Team (z. B. ein AI Core Team), in dem eine zentrale Koordinationsstelle z.B. das Chief Digital Office, IT, Recht, und für die Use Cases der Fachabteilungen die operativen Fachabteilungen an einem Tisch sitzen. 2. Dynamische Prozesse (Process) Der KI-Markt verändert sich nicht in Jahren, sondern in Wochen, wenn nicht sogar täglich. Gefühlt jeden Taggibt es neue Updates. Neues Tools. Neue Methoden, die alles bisher Dagewesene (scheinbar) überholt. Ihre Governance-Prozesse müssen agil sein. Es braucht schnelle, schlanke Freigabeprozesse für neue Tools und klare Workflows für das Risikomanagement (z. B. die Einstufung von KI-Systemen nach dem EU AI Act). 3. Technische Leitplanken (Technology) Wie stellen Sie sicher, dass Ihre Daten sauber, voneinander getrennt und sicher sind? Governance definiert die technologische Architektur. Sie legt fest, wie APIs (Schnittstellen) genutzt werden und wie das Monitoring der KI-Modelle funktioniert, um Fehler oder sogenannte „Halluzinationen“ frühzeitig zu erkennen. 4. Unternehmenskultur & Up-Skilling (Culture) Die beste Richtlinie bringt nichts, wenn sie niemand versteht. Die Richtlinie nicht geebt wird. Governance bedeutet auch, die Belegschaft mitzunehmen. Kontinuierliche Schulungen nehmen die Angst vor der Technologie und schaffen das nötige Bewusstsein für einen verantwortungsvollen Umgang. Mein Ansatz mit kimaco: Vom Strategiepapier zur Kultur Ich glauben wir brauchen ein einfaches Strategiepapier und verständliche Prozess Flowcharts, kein staubiges 50-seitiges Regelwerke, die Innovation im Keim ersticken. Ich glaube an proaktive Governance. Gerne unterstütze ich Sie dabei, ihre KI-Leitlinien zu entwickeln, die zu Ihrer individuellen Unternehmensrealität passen. Das Ziel ist eine Struktur, die Ihren Teams den Rücken freihält, damit sie experimentieren, automatisieren und skalieren können – mit dem sicheren Wissen, dass das Fundament und die Leitplanken stehen. Fazit: Eine KI-Strategie ohne Governance ist wie ein Bauplan für ein Haus ohne Fundament. Es sieht auf dem Papier toll aus, bricht aber beim ersten Sturm zusammen. Machen Sie Governance zum strategischen Beschleuniger Ihres Unternehmens. Möchten Sie Ihre KI-Strategie auf ein sicheres und zukunftsfähiges Fundament stellen? Sprechen Sie mich an. Gemeinsam entwickeln wir eine KI-Governance, die perfekt zu Ihren Zielen passt. Über kimaco kimaco unterstützt Unternehmen dabei, KI sicher einzuführen und in den Betrieb zu bringen – mit Governance, Struktur und Umsetzung im Kontext regulatorischer Anforderungen wie dem EU AI Act. Wenn KI bereits im Unternehmen genutzt wird, aber noch keine klare Struktur existiert: Jetzt Kontakt aufnehmen!

Wer trägt Verantwortung für KI-Entscheidungen im Unternehmen? 

Shadow AI verhindern: Warum Mitarbeitende heimlich KI-Tools nutzen und Künstliche Intelligenz längst im Arbeitsalltag angekommen ist 

EU AI ACT Was Unternehmen umsetzen müssen | kimaco

KI Governance im Unternehmen: Warum Kontrolle vor Skalierung kommt Ohne KI Governance scheitern KI Projekte im Unternehmen. Erfahre, warum klare Leitplanken Voraussetzung für sichere und skalierbare KI Nutzung sind.