Der EU AI Act ist da – und mit ihm jede Menge „gefährliches Halbwissen“.
Plötzlich heißt es: Unternehmen brauchen KI-Schulungen, Zertifikate, Dokumentation, Kennzeichnungen. Und wer nicht aufpasst, riskiert hohe Strafen.
Das klingt erstmal nach einer ziemlichen Menge.
Vor allem dann, wenn Sie sich denken:
„Halt! Wir entwickeln doch gar keine KI. Meine Mitarbeitenden nutzen halt manchmal ChatGPT, Copilot, Canva oder Claude.“
Die schlechte Nachricht: Auch wenn Sie keine KI entwickeln, kann der AI Act für Ihr Unternehmen relevant sein.
Die gute Nachricht: Sie brauchen deshalb nicht automatisch einen AI Officer, ein Zertifikat für alle Mitarbeitenden oder ein 50-seitiges Governance-Handbuch.
Die wichtigere Frage ist erstmal eine andere:
Wissen Sie eigentlich, welche KI in Ihrem Unternehmen genutzt wird? Und wie?
Betrifft der EU AI Act auch Unternehmen, die KI "nur" nutzen?
Ja. Tut er.
Auch dann, wenn Sie keine eigene KI entwickeln.
Auch dann, wenn Sie „nur“ ChatGPT, Copilot, Canva, Claude oder irgendein anderes KI-Tool verwenden.
Denn aus Sicht des AI Acts geht es nicht nur um die Entwickler von KI sondern auch um die, die sie im Unternehmen einsetzen.
Wenn Ihre Mitarbeitenden also KI verwenden, sollten Sie zumindest wissen:
- Welche Tools werden eingesetzt?
- Wofür werden die Tools verwendet?
- Welche Daten landen dort?
- Und wissen Ihre Mitarbeitenden eigentlich, was sie da tun?
Denn es gibt halt doch einen kleinen, aber feinen Unterschied zwischen
„Mach mir die Mail ein bisschen freundlicher.“
und
„Bewerte mir diese Bewerbungen und sag mir, wen ich einstellen soll.“
Und deshalb funktioniert der AI Act eben so, wie er funktioniert: Es macht einen Unterschied, ob ich eine Mail freundlicher formulieren lasse oder mir ein Bewerbungs-Ranking erstellen lasse.
Und mal ganz ehrlich: Das sollten Sie auch unabhängig vom AI Act wissen.
Was der AI Act wirklich verlangt
KI-Kompetenz im Unternehmen statt Pflichtschulung
Jetzt kommen wir zu dem Teil, bei dem viel Unsinn erzählt wird:
Brauchen wir jetzt wirklich alle eine verpflichtende KI-Schulung?
Nein.
Der AI Act verlangt, dass Unternehmen Maßnahmen setzen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Wie sie das genau machen, bleibt ihnen aber erstmal selbst überlassen.
Schulung? Ja, kann sinnvoll sein.
Onlinekurs? Ja, auch.
Andere Formate? Natürlich auch möglich.
Was nicht funktioniert: gar nichts tun und hoffen, dass schon alle wissen, was sie tun.
Denn KI-Kompetenz heißt nicht, einen Spitzen-Prompt formulieren zu können. Ihre Mitarbeitenden sollten wissen:
- Wo liegen Risiken?
- Welche Daten sind problematisch?
- Wann müssen Ergebnisse überprüft werden?
- Wo kommt KI im Arbeitsalltag an ihre Grenzen?
Und nein: Dafür braucht es auch kein verpflichtendes Zertifikat.
Ein Zertifikat kann nett sein – macht sich gerahmt sicher gut an der Wand.
Eine Schulung kann sehr sinnvoll sein – vor allem, wenn es gute Brötchen und viel Kaffee gibt.
Beides verlangt der AI Act aber nicht.
Wichtiger ist, dass Ihre Leute KI nicht nur benutzen, sondern halbwegs verstanden haben, womit sie da eigentlich arbeiten.
Der konkrete Einsatz macht den Unterschied
KI ist nicht automatisch gleich Risiko.
Eine Mail umformulieren lassen? Überschaubar.
Bewerbungen vorsortieren lassen? Ganz andere Baustelle.
Und irgendwo dazwischen liegt ziemlich viel Graubereich.
Genau deshalb spielt der „konkrete Einsatz“ im AI Act eine ziemlich wichtige Rolle. Entscheidend ist jedenfalls nicht, welches Logo auf dem Tool klebt.
Entscheidend ist, was die KI wirklich macht und was passiert, wenn sie Blödsinn macht.
Wenn Copilot aus einer mittelmäßigen Mail eine bessere macht, ist das etwas anderes, als wenn eine KI Menschen bewertet, Zugänge beeinflusst oder Entscheidungen vorbereitet, die Folgen in der echten Welt haben.
Klingt einfach? Ist es aber oft nicht.
Denn in Unternehmen passiert oft das:
Ein neues Tool wird eingeführt und es funktioniert recht gut. Und plötzlich wird es für Aufgaben genutzt, an die ursprünglich keiner gedacht hat.
Die Frage „Welche KI-Tools nutzen wir?“ reicht also nicht.
Sie muss erweitert werden um die Frage: „Wofür nutzen wir die Tools eigentlich?“
Was der AI Act von kleinen Unternehmen nicht verlangt
Nun zu den Dingen, wo es schnell mal unnötig dramatisch wird.
Nein, Sie brauchen jetzt nicht automatisch
- einen AI Officer,
- ein KI-Governance-Board,
- ein verpflichtendes Zertifikat für alle Mitarbeitenden,
- eine ganz bestimmte Standardschulung
- oder ein 50-seitiges KI-Konvolut, das sowieso keiner liest.
Und auch die Aussage „Alles, was mit KI erstellt wurde, muss gekennzeichnet werden“ stimmt so nicht.
Das heißt jetzt nicht, dass alle diese Dinge grundsätzlich sinnlos sind.
Ein großer Konzern kann sehr gute Gründe für eine eigene KI-Governance-Rolle haben. Ein Kompetenznachweis kann praktisch sein, eine strukturierte Schulung sowieso – Stichwort Kaffee und Brötchen.
Aber nur, weil etwas sinnvoll sein kann, wird daraus noch lange keine allgemeine Pflicht für jedes Unternehmen.
Also schauen wir uns das etwas genauer an.
Denn zwischen „Der AI Act verlangt das“ und „Das wäre für unser Unternehmen eine gute Idee“ liegt ein ziemlich wichtiger Unterschied.
Was kleine Unternehmen trotzdem tun sollten
Jetzt wissen wir also, was Sie in Ihrem Unternehmen alles nicht zwingend brauchen.
Heißt das, Sie können das Thema damit abhaken?
Jein.
Denn nur, weil Ihnen niemand ein umfassendes KI-Governance-Dokument vorschreibt, heißt das noch lange nicht, dass gar keine Regeln die beste Alternative sind.
Aus meiner Sicht braucht es für den Anfang vor allem eines:
einen Überblick.
Wissen, welche KI im Unternehmen genutzt wird
Jetzt mal ganz ehrlich:
Wissen Sie wirklich, welche KI-Tools Ihre Mitarbeitenden verwenden?
Also nicht, welche Tools offiziell freigegeben oder auf den Firmenrechnern installiert sind, sondern welche wirklich verwendet werden.
ChatGPT? Copilot? Canva? Claude? Irgendein KI-Tool, das eine Mitarbeiterin letzte Woche entdeckt hat und inzwischen täglich nutzt?
Und noch wichtiger: Wissen Sie, wofür die Tools genutzt werden?
Dafür braucht es auch kein riesiges KI-Register mit 27 Spalten oder so. Eine einfache Liste reicht für den Anfang vollkommen aus.
Hauptsache, Sie wissen überhaupt, was in Ihrem Unternehmen passiert.
Denn erst dann können Sie sich ansehen, wo Risiken liegen, welche Regeln Sie brauchen und – auch wichtig – wo KI Ihnen vielleicht noch mehr Arbeit abnehmen kann.
Ein paar klare Spielregeln schaffen
Wenn Sie wissen, welche Tools genutzt werden und wofür, fehlt noch etwas:
Regeln.
Und nein, dafür brauchen Sie kein umfassendes und überforderndes Rahmenwerk.
Für ein kleines Unternehmen reichen am Anfang oft ein oder zwei Seiten, auf denen steht, was erlaubt ist und was nicht.
Zum Beispiel:
- Welche Tools dürfen genutzt werden?
- Welche Daten dürfen auf keinen Fall hinein?
- Wo muss ein Mensch nochmal drüberschauen?
- Was passiert, wenn jemand ein neues Tool ausprobieren will?
- Und an wen wendet man sich, wenn man sich bei einem Use Case nicht sicher ist?
Mehr braucht es am Anfang oft gar nicht.
Wichtig ist nur, dass die Regeln nicht irgendwo abgelegt werden und dort friedlich vor sich hin altern.
Die Leute müssen wissen, dass es sie gibt.
Sie müssen sie verstehen.
Und sie müssen wissen, was sie im Alltag konkret bedeuten.
Ob Sie sich dieses Verständnis zusätzlich schriftlich bestätigen lassen, können Sie selbst entscheiden.
Eine KI-Richtlinie mit einer Handvoll Regeln macht noch keine gute KI-Governance.
Aber sie sorgt zumindest mal dafür, dass nicht alle nach Gefühl machen, was sie gerade für richtig halten.
Die Menschen mitnehmen
Die schönste KI-Richtlinie bringt aber wenig, wenn Ihre Mitarbeitenden zwar brav bestätigen, dass sie sie gelesen haben, dann aber fröhlich weiter Unternehmensgeheimnisse in irgendeinen privaten Account kippen.
Und deswegen geht es jetzt um eine ziemlich unsexy Sache:
verstehen, was man da eigentlich tut.
Wer KI im Unternehmen nutzt, sollte wissen, welche Daten problematisch sind, wann Ergebnisse überprüft werden müssen und wo ein Tool auch einfach mal überzeugend klingenden Blödsinn produziert.
Das betrifft übrigens nicht nur den AI Act.
Datenschutz ist nicht plötzlich verschwunden, nur weil jetzt KI im Spiel ist. Gleiches gilt für vertrauliche Unternehmensinformationen, Geschäftsgeheimnisse oder andere Regeln, die auch vorher schon gegolten haben.
Die Mail mit ChatGPT schöner formulieren zu lassen – das klingt auf den ersten Blick harmlos.
Ist es auch. Solange nicht der halbe Kundenfall mit Klarnamen, Vertragsdetails und internen Infos gleich mitkopiert wird.
Sie und Ihre Mitarbeitenden müssen keine halben Jurist:innen oder KI-Forscher:innen werden. Aber sie sollten wissen, wo die Stolperfallen liegen.
Und Sie sollten ziemlich sicher sein, dass sie das nicht erst dann rausfinden, wenn schon etwas schiefgegangen ist.
"Dann verbieten wir KI eben" ... und bekommen eine Schatten-KI
Natürlich können Sie KI im Unternehmen auch ganz einfach verbieten.
Problem gelöst?
Eher nicht.
Denn wenn Ihre Mitarbeitenden merken, dass KI ihnen bei der Arbeit hilft, werden sie Wege finden, sie trotzdem zu nutzen.
Dann wird aus ChatGPT im Firmenbrowser eben ChatGPT am Privathandy.
Die schlecht formulierte Mail wird mit nach Hause genommen, dort „kurz“ verbessert und am nächsten Tag wieder ins Unternehmen gebracht.
Oder das Excel-Sheet landet in irgendeinem privaten Account, weil es damit schneller geht.
Herzlichen Glückwunsch! Jetzt haben Sie nicht weniger KI im Unternehmen, sondern weniger Einblick.
Genau da entsteht „Schatten-KI“.
Und die ist aus meiner Sicht weit unangenehmer als ein klar geregelter KI-Einsatz, weil Sie irgendwann gar nicht mehr wissen, welche Tools verwendet werden, welche Daten dort landen und was überhaupt passiert – Sie haben keinen Einblick mehr.
Ein Verbot kann also funktionieren.
Wenn es aber dazu führt, dass KI-Nutzung nur noch heimlich passiert, haben Sie nicht wirklich etwas gewonnen.
KI-Governance ist kein Dokument, das man einmal abhakt
Jetzt haben Sie also zwei Seiten Regeln geschrieben, allen erklärt und sie vielleicht sogar unterschreiben lassen.
Super.
Und jetzt?
Bitte nicht abheften und vergessen.
Denn KI-Governance ist nichts, das man einmal erledigt und dann vergisst.
Neue Tools kommen dazu. Neue Mitarbeitende auch. Prozesse ändern sich. Und irgendwer entdeckt nächste Woche wieder irgendeine KI, die angeblich alles noch besser, schneller und günstiger kann.
Manchmal stimmt das sogar.
Und dann wäre es ziemlich schade, wenn Ihre interne Regelung noch auf dem Stand von vor einem Jahr ist und niemand mehr weiß, ob das Tool da überhaupt reinpasst.
Deshalb:
- regelmäßig draufschauen
- kurz prüfen
- bei Bedarf nachjustieren.
Mehr braucht es für ein kleines Unternehmen oft gar nicht.
Und ganz ehrlich: Das ist immer noch weit weniger Aufwand, als irgendwann festzustellen, dass sich im Unternehmen längst 10 verschiedene KI-Lösungen verselbstständigt haben und niemand mehr so genau weiß, wer eigentlich was womit macht.
Der AI Act als Anlass, den eigenen KI-Einsatz zu ordnen
So. Genug über Pflichten gesprochen.
Vieles von dem, womit Sie sich wegen dem AI Act beschäftigen, sollten Sie sowieso machen.
Nicht für Brüssel oder Straßburg.
Für sich selbst.
Denn KI einfach irgendwie ins Unternehmen sickern zu lassen, ist auch keine besonders gute Strategie.
Dann nutzt die eine Person ChatGPT, die nächste Copilot, jemand anderer Claude oder Euria, irgendwer bastelt sich noch ein Spezialtool dazu, und nach ein paar Monaten wundert man sich, warum alles plötzlich unübersichtlich geworden ist.
Das kostet Zeit – und Nerven.
Viel sinnvoller ist es doch, einmal konzentriert hinzuschauen:
Wo kann KI uns wirklich Arbeit abnehmen?
Wo bringt sie uns etwas?
Wo entstehen Risiken?
Und wie wollen wir damit umgehen?
Dann wird aus „Wir müssen uns wegen dem AI Act mit KI beschäftigen“ ein „Gut, dass wir uns endlich angeschaut haben, wie wir KI im Unternehmen eigentlich sinnvoll einsetzen wollen.“
Und auf einmal ist die lästige Regulierung gar nicht mehr nur lästig.
Fazit: Das Gespenst ist vielleicht kleiner als gedacht
Der AI Act wirkt von außen erstmal riesig und unüberwindbar.
Viele Seiten Gesetzestext.
Neue Begriffe.
Neue Pflichten.
Neue Unsicherheiten.
Wenn man sich aber einmal wirklich damit beschäftigt, wird das Bild schnell kleiner.
Ein paar Dinge müssen Sie tun.
Ein paar Dinge sollten Sie tun.
Und ein paar Dinge, die gerade überall als Pflicht verkauft werden, müssen Sie gar nicht tun.
Vielleicht ist der AI Act gar nicht das riesige Gespenst, das irgendwo im Flur herumspukt.
Vielleicht sitzt da am Ende nur eine kleine Maus im Eck, die einen Schatten wirft.
Die sollte man natürlich auch nicht einfach ignorieren.
Aber man muss nicht gleich das ganze Haus niederbrennen.
Schauen Sie hin. Klären Sie, was in Ihrem Unternehmen wirklich passiert. Setzen Sie ein paar vernünftige Regeln. Und justieren Sie nach, wenn sich etwas ändert.
Mehr braucht es oft gar nicht.
Quellen & weiterführende Informationen
EU AI Act: Verordnung (EU) 2024/1689
Konsolidierte Fassung des AI Acts auf EUR-Lex, einschließlich der aktuellen Fassung von Art. 4 zur KI-Kompetenz (Stand: 29.08.2026).
Europäische Kommission: KI-Kompetenz / Art. 4
Fragen und Antworten zu KI-Kompetenz, Schulungen, Dokumentation, Zertifikaten und Governance-Strukturen (Stand: 29.08.2026).
Europäische Kommission: Transparenzpflichten / Art. 50
Aktuelle Leitlinie zu Kennzeichnungs- und Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte (Stand: 29.08.2026).
RTR KI-Servicestelle: Betreiberverpflichtungen nach dem AI Act
Überblick über die Pflichten von Unternehmen, die KI-Systeme einsetzen – aufgeschlüsselt nach Risikoklassen und Einsatzbereichen (Stand: 29.08.2026).
RTR KI-Servicestelle: KI-Kompetenz nach dem AI Act
Informationen zur KI-Kompetenz nach Art. 4, zu möglichen Maßnahmen im Unternehmen und zur aktuellen Rechtslage nach der Änderung durch den Digital-Omnibus (Stand: 29.08.2026).
Leitfaden für kleine Unternehmen zum AI Act
Verständlicher Überblick über den AI Act speziell für KMU, mit den wichtigsten Regelungen, Unterstützungsangeboten und praktischen Auswirkungen. Keine offizielle EU-Quelle – sondern ein Angebot des Future of Life Institute (Stand: 29.08.2026).
Sie wollen wissen, wie es bei Ihnen aussieht? Dann machen Sie den Realitätscheck:
Fragen Sie Ihre Mitarbeitenden einmal, welche KI-Tools sie wirklich nutzen und wofür. Vielleicht kennen Sie schon alle Antworten. Vielleicht aber auch nicht.
Und falls dabei die Frage auftaucht, was Ihre Mitarbeitenden im Umgang mit KI eigentlich wissen sollten: Genau darum geht es im nächsten Teil dieser Serie – und übrigens auch in unserem KI-Bootcamp BASIS.
Denn KI-Kompetenz ist deutlich mehr als gutes Prompting.
Eva Jaritz
