EU AI Act: Die KI-Fallliste, die KMU vor dem nächsten Audit brauchen

Die KI-Kompetenzpflicht im EU AI Act wird oft wie ein Schulungsthema behandelt. Für KMU ist sie aber vor allem eine Betriebsfrage: Wer nutzt KI, wofür, mit welchen Daten, in welcher Rolle und mit welcher Prüfung? Wenn diese Fragen unbeantwortet bleiben, hilft auch ein absolviertes E-Learning wenig. Der Betrieb braucht keine Prüfungsangst, sondern eine lebende Fallliste.

Seit Artikel 4 wird von Anbietern und Anwendern verlangt, ein ausreichendes Kompetenzniveau rund um KI sicherzustellen. Praktische Leitfäden betonen, dass Mitarbeitende und externe Beteiligte, die mit KI-Systemen umgehen, passend zu Rolle, Kontext und Risiko befähigt werden müssen. Das ist keine abstrakte Digitalbildung. Es ist Arbeitsorganisation.

Warum die Toolliste nicht reicht

Viele Unternehmen beginnen mit einer Liste: ChatGPT, Copilot, Gemini, DeepL, Bildgenerator, CRM-Funktion. Diese Liste ist nützlich, aber sie beantwortet nicht die Kernfrage. Ein Tool kann in einem Fall harmlos und im nächsten kritisch sein. Eine öffentliche Produktbeschreibung sprachlich zu glätten ist etwas anderes als eine Beschwerdeantwort vorzubereiten. Ein Protokoll zusammenzufassen ist etwas anderes als eine Personalbewertung zu formulieren.

Darum sollte die erste KI-Kompetenzliste nicht nach Tool, sondern nach Arbeitsfall aufgebaut sein. Ein Arbeitsfall lautet zum Beispiel: „Kundenmail zusammenfassen und fehlende Angaben markieren.“ Ein anderer: „Stelleninserat mit KI verbessern.“ Ein dritter: „Rechnungseingang nach Risiko vorsortieren.“ Diese Formulierungen zeigen sofort, welche Daten berührt werden und wo Prüfung nötig ist.

Die Fünf-Spalten-Liste für kleine Betriebe

Arbeitsfall: Was wird wiederholt mit KI vorbereitet?
Rolle: Wer nutzt die KI in diesem Fall, etwa Administration, Verkauf, Geschäftsführung oder HR?
Daten: öffentlich, intern, kundenbezogen, personenbezogen oder vertraulich?
Ausgabe: Entwurf, Zusammenfassung, Sortierung, Empfehlung oder Aktion?
Prüfung: Wer kontrolliert, bevor das Ergebnis verwendet wird?

Diese fünf Spalten sind bewusst einfach. Sie passen in eine Tabelle und können in einer Stunde mit echten Beispielen gefüllt werden. Ein KMU braucht am Anfang keine perfekte Taxonomie. Es braucht Sichtbarkeit. Sobald zehn reale Fälle eingetragen sind, wird klar, wo eine kurze Einweisung genügt und wo ein roter Bereich entsteht.

Rollen statt Einheitskurs

KI-Kompetenz ist nicht für alle gleich. Die Geschäftsführung muss verstehen, welche Entscheidungen sie nicht an KI delegiert. Die Administration muss wissen, welche Daten in Entwürfen landen dürfen. Der Verkauf muss Grenzen bei Preisen, Rabatten und Zusagen kennen. HR muss bei Bewerbungen besonders vorsichtig sein. IT oder externe Betreuer müssen Berechtigungen, Protokolle und Anbieterfragen prüfen.

Ein Einheitskurs verfehlt diese Unterschiede. Besser sind kurze Rollenkarten. Auf einer Karte stehen erlaubte Fälle, gelbe Fälle, rote Fälle und typische Prüffragen. Eine Administrationskarte kann Rechnungen, Kundenmails und Terminfragen behandeln. Eine Verkaufskarte kann Offerten, Nachfassmails und CRM-Notizen abgrenzen. Eine Führungskarte kann Entscheidungen, Delegation und Dokumentation regeln.

Der Monatsrhythmus: Fälle sammeln, nicht Folien zählen

Ein praxistauglicher Kompetenzprozess läuft monatlich. Jede Abteilung bringt zwei echte KI-Fälle mit: einen gelungenen, einen unsicheren. Das Team bespricht, welche Daten verwendet wurden, welche Ausgabe entstand und welche Kontrolle nötig war. Daraus wird die Fallliste aktualisiert. So wächst Kompetenz mit der Arbeit, nicht neben der Arbeit.

Dieser Rhythmus hat einen Nebeneffekt: Er entdramatisiert KI. Mitarbeitende müssen nicht so tun, als hätten sie alle Risiken verstanden. Sie lernen am konkreten Beispiel. Führungskräfte sehen, wo Unsicherheit entsteht. Externe Berater oder Toolanbieter können gezielter eingebunden werden, weil der Betrieb seine Fälle kennt.

Drei rote Fälle sofort markieren

Einige Fälle sollten in jedem KMU früh sichtbar rot sein: Personalentscheidungen, Zahlungs- und Bankdaten sowie verbindliche Kundenzusagen. Die KI kann Informationen vorbereiten, aber sie darf die Entscheidung nicht tragen. Gerade diese roten Fälle machen Schulung glaubwürdig. Wenn alles erlaubt klingt, glaubt niemand an die Regel. Wenn die wichtigsten Stopps klar sind, werden grüne Fälle leichter genutzt.

Auch vertrauliche Verträge, Gesundheitsdaten, Rechtsfragen und Beschwerden mit Eskalationsrisiko gehören in einen strengen Prüfbereich. Das bedeutet nicht, dass KI nie unterstützen darf. Sie kann Gliederungen, Fragenlisten oder Zusammenfassungen liefern. Aber der Verwendungszweck bleibt eng, und die Ausgabe wird bewusst geprüft.

Was bis zur nächsten Frist praktisch zu tun ist

Der nächste Schritt ist kein Zertifikatsordner. Er ist eine KI-Fallliste mit Verantwortlichen. Starten Sie mit zehn Fällen, ordnen Sie sie grün, gelb oder rot ein, schreiben Sie pro Rolle eine kurze Karte und legen Sie einen monatlichen Falltermin fest. Dokumentieren Sie Datum, Teilnehmerkreis und Änderungen an der Liste. Das ist pragmatischer als ein langer Leitfaden, der im Alltag nicht geöffnet wird.

Für KMU wird KI-Kompetenz damit zu einem Führungsinstrument. Sie zeigt, wo KI wirklich hilft, wo Mitarbeitende Sicherheit brauchen und wo der Betrieb bewusst Stopp sagt. Genau darin liegt der Wert des EU-AI-Act-Signals: nicht in Bürokratie, sondern in besserer Steuerung der täglichen KI-Nutzung.

Recherchebasis: AI-Act-Literacy-Programme. Praxisleitfaden zur KI-Kompetenzpflicht. Copilot-Adoption als Organisationsaufgabe.