Ein ausgedruckter Stapel der KI-Verordnung liegt in vielen Büros im Mittelstand ungelesen neben dem Monitor. Genau daran erkenne ich oft, wie ernst ein Unternehmen KI-Compliance nimmt – oder ob nur ein Kästchen abgehakt werden soll. Geschäftsführer und IT-Leiter fragen mich inzwischen selten, ob der EU AI Act sie überhaupt betrifft; das ist angekommen. Häufiger geht es darum, ob sie das nötige Wissen intern aufbauen oder sich extern beraten lassen sollten. Eine tragfähige Compliance-Strategie braucht in der Regel beides – nur in unterschiedlicher Dosierung, je nachdem, wie ein Unternehmen aufgestellt ist.
Der Werkstudent kennt ChatGPT, nicht die Risikoklassifizierung
Kürzlich fragte mich ein Mandant aus dem Maschinenbau, ob sein Werkstudent die KI-Compliance nicht einfach nebenher mit erledigen könne – der junge Mann nutze schließlich privat ChatGPT und komme mit Prompts gut zurecht. Der Gedanke ist nachvollziehbar, verwechselt aber zwei unterschiedliche Kompetenzen. Anwenderwissen sagt nichts darüber aus, ob jemand beurteilen kann, ob ein System nach Anhang III überhaupt als hochriskant gilt – das lässt sich nicht am Bauchgefühl entscheiden, sondern verlangt eine saubere Einordnung nach den Kriterien der Verordnung.
Bei einem Konstruktionsprozess, in den KI-gestützte Systeme eingreifen, reicht dieses Bauchgefühl nicht aus. Ein Werkstudent kann hervorragend bei der Recherche helfen, aber niemand sollte ihm die Verantwortung für ein Risikomanagement übertragen, das im Ernstfall die Geschäftsführung persönlich betrifft. Genau hier liegt die erste Grenze der rein internen Lösung: Wissen über die Anwendung von KI ist nicht dasselbe wie Wissen über ihre Regulierung.
Warum ein Qualitätsmanagement für KI kein Nebenprojekt ist
Anbieter von Hochrisiko-Systemen müssen laut Verordnung ein funktionierendes Qualitätsmanagement nachweisen – nicht nur auf dem Papier, sondern gelebt in den täglichen Abläufen. Wie diese Klassifizierung anschließend dokumentiert werden muss, ist ein eigenes Thema für sich, das ich hier nicht vertiefen will. Wichtiger ist die Frage, wer im Unternehmen als Anbieter und wer als Betreiber gilt – eine Abgrenzung, die mir auch nach vielen Mandaten in Grenzfällen nicht leicht fällt, weil die Verordnung hier Interpretationsspielraum lässt, den selbst die Leitlinien des KI-Büros nicht vollständig schließen.
Dass ich die Originaltexte auf Englisch neben der deutschen Übersetzung lese, hat schon mehr als einmal zu einer anderen Einstufung geführt, als die deutsche Fassung nahelegt. Nach etlichen Seiten beginnt der Blick über die Zeilen zu flimmern, ohne dass der Kopf noch mitkommt – ein Grund mehr, solche Passagen in Ruhe und nicht zwischen zwei Terminen zu lesen. Bei Zulieferern in der Industrie kommt häufig noch die Frage hinzu, welche Pflichten sich vertraglich auf sie verschieben lassen und welche nicht – ein Punkt, den viele Maschinenbauer erst spät auf dem Schirm haben.
Das hybride Modell für KI-Compliance im Mittelstand: interner Product Owner, externe Leitplanken
Ein eigener Vollzeit-KI-Compliance-Manager wirkt zunächst wie die saubere Lösung, ist im Mittelstand aber oft ineffizient. Die Anforderungen ändern sich schneller, als eine einzelne Person sie allein aktuell halten kann, ohne den Bezug zur operativen Praxis zu verlieren. In der Beratungspraxis sehe ich immer wieder, dass eine solche Stelle in ihrem eigenen Silo Dokumente produziert, die von den Entwicklern im SaaS-Team oder den Ingenieuren in der Logistik am Ende ignoriert werden.
Andere Unternehmen versuchen es andersherum und warten lieber ab, bis eine Behörde amtliche Hinweise veröffentlicht, statt selbst aktiv zu werden. In einem Fall zog sich das über Monate, und als der Leitfaden endlich kam, ließen sich die Hinweise kaum in die tägliche Dokumentation übersetzen. Beide Extreme – die Vollzeitstelle im Silo und das Abwarten auf offizielle Signale – lösen das Grundproblem nicht.
Tragfähiger ist ein hybrides Modell: Intern braucht es jemanden, der die Prozesse kennt und als Product Owner für KI-Compliance zwischen IT und Geschäftsführung vermittelt. Extern liefert ein Berater den Vergleich aus mehreren Branchen und weiß, was bei einem Maschinenbauer funktioniert und weshalb dieselbe Lösung bei einem Versicherer scheitern würde. Wer nach einer strukturierten Herangehensweise sucht, findet in der KI Compliance Schulung Anbieter finden-Checkliste einen guten Ausgangspunkt, um das nötige externe Grundrauschen ins Haus zu holen.
Wissenstransfer planen, bevor der Zeitdruck entscheidet
Ein Logistik-Unternehmen, das massiv in KI-gestützte Routenoptimierung investierte, sorgte sich genau davor: zu abhängig von externen Beratern zu werden. Das Ziel jeder guten Zusammenarbeit sollte sein, sich selbst mittelfristig überflüssig zu machen, und das gelingt nur über einen konkreten Schulungsplan, nicht über einzelne Beratungsstunden.
Dafür ist eine Standard-Schulung einer der großen Wirtschaftskanzleien oft zu abstrakt: Zwei Stunden lang wird erklärt, was ein Inverkehrbringer ist, aber niemand sagt, welches Häkchen in der Jira-Dokumentation gesetzt werden muss, damit die interne Revision zufrieden ist. Ob am Ende ein Workshop oder ein E-Learning-Modul die passendere Form ist, hängt stark vom Team und seiner Arbeitsweise ab – Pauschalantworten helfen hier niemandem. Was das Ganze pro Kopf kostet, hängt ebenfalls von der gewählten Form ab und lässt sich nicht seriös in einem Satz beziffern.
Sobald Schulungen verpflichtend werden, hat in vielen Betrieben zusätzlich der Betriebsrat ein Wort mitzureden, was den Zeitplan spürbar beeinflussen kann. Der Zeitdruck kommt dabei nicht von mir als Berater, sondern vom Gesetzgeber – ein Blick auf den EU AI Act Fristen 2026 Fahrplan zeigt, warum früh anfangen mehr bringt als spätes Nachbessern. Hinzu kommen Transparenzpflichten gegenüber den eigenen Kunden, die zunehmend selbst einen Compliance-Nachweis verlangen, bevor sie einen Auftrag vergeben.
Wann reicht intern – und wann brauchen Sie externe Hilfe?
Intern reicht es meistens aus, wenn ein Unternehmen ein reines Anwendungsthema hat: Ein Team nutzt Standard-KI-Werkzeuge ohne eigene Entwicklung, die Prozesse sind überschaubar, und es gibt bereits jemanden mit Zeit und Rückhalt, sich in die Materie einzuarbeiten. Sobald jedoch ein Hochrisiko-System im Spiel ist, eigene Modelle entwickelt werden oder sich die Pflichten mit datenschutzrechtlichen Fragen überschneiden, wird es endgültig zum Thema für Spezialisten – dort reicht internes Wissen allein nicht mehr aus.
Wie schnell internes Wissen wächst, lässt sich oft an kleinen Momenten ablesen. In einer zweiten Sitzung erlebte ich, wie ein IT-Leiter, der beim ersten Termin noch skeptisch gewirkt hatte, unaufgefordert korrekt zusammenfasste, was Art. 4 KI-VO von den Mitarbeitenden im Umgang mit KI-Systemen verlangt. Solche Momente zeigen, dass die anfängliche Schulung greift und der interne Product Owner tatsächlich in die Rolle hineinwächst.
Wer seine persönliche Haftung als Geschäftsführung ernst nimmt, sollte unabhängig von der gewählten Variante prüfen, wie sich die Haftung der Geschäftsführung vermeiden lässt, indem eine nachweisbare Schulungshistorie im Unternehmen entsteht. Am Ende ist die Wahl zwischen intern und extern keine Glaubensfrage, sondern eine Frage der Risikolage: Je näher ein System an Anhang III heranreicht, je mehr eigene Entwicklung im Spiel ist und je größer die persönliche Haftung der Geschäftsführung, desto mehr externe Expertise sollte in die Schulung einfließen – der Rest kann und sollte im Haus bleiben.
Entscheidend bleibt eine Kultur der KI-Kompetenz, die sich nicht von einer einzelnen Stelle allein tragen lässt. Der Mittelstand hat hier sogar einen Vorteil gegenüber Großkonzernen, weil Entscheidungswege kürzer sind – vorausgesetzt, der Wissensaufbau wird als Investition behandelt und nicht als lästige Pflichtübung, die sich irgendwann von allein erledigt.