Das aktuelle Signal: Neue Compliance-Anforderungen der EU und lokale SAP-Governance-Regeln treffen ab August 2026 viele DACH-KMU unerwartet. Ein Großteil hat Mitarbeiter, die ChatGPT, Microsoft Copilot oder andere generative KI-Tools täglich nutzen – ohne zentrale Dokumentation, ohne Datenschutz-Freigabe, ohne Governance-Prozess. Audit-Szenarien, die bisher unentdeckt blieben, werden nun sichtbar: „Wir dachten, das darf jeder privat nutzen“ oder „Das läuft nur auf Deutsch, also ist es ok“ sind keine gültigen Compliance-Argumente mehr.
Das typische KMU-Szenario: Audit-Überraschung
Ein Finanzamt, eine Versicherung oder ein Geschäftspartner stellt plötzlich Fragen: „Welche KI-Systeme nutzen Sie?“ Oder der IT-Sicherheits-Check entdeckt, dass Vertriebsdaten in ChatGPT hochgeladen wurden – ohne dass die Geschäftsführung das wusste. Oder die DSGVO-Prüfung findet Kopien von Kundendaten, die via Copilot analysiert wurden, um Angebote zu schreiben.
Das kostet nicht nur Vertrauen, sondern kann zu Geldstrafen führen. Neu ist jetzt: KI-Nutzung ohne Dokumentation ist kein Kavaliersdelikt mehr – es ist eine Compliance-Lücke, die Auditor häufig finden und als Befund notieren.
Nächster Schritt
Was heisst das für KI-Regeln und Nachweise?
- Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
- Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
- Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.
DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.
Das ändert sich ab August
Dokumentationspflicht: KMU müssen künftig aufzeigen können, welche KI-Tools eingesetzt werden, wer sie nutzt, und welche Daten darin fließen. Das ist nicht kompliziert, aber es muss strukturiert sein.
Risikoklasse-Bewertung: Die EU AI Act teilt KI-Systeme in Risikoklassen ein. Ein System, das Kreditanträge bewertet, ist „Hochrisiko“. Ein Tool, das E-Mail-Entwürfe schreibt, ist „Minimal-Risiko“. Diese Unterscheidung hilft KMU, nicht in einen generischen Compliance-Modus zu verfallen, sondern gezielt zu reagieren.
Governance-Tools: Anbieter wie SAP haben Governance-Suites entwickelt, die Unternehmen helfen, KI-Einführung zu dokumentieren und zu kontrollieren – statt nachträglich aufzuräumen.
So prüft ein KMU richtig
Schritt 1: Inventar machen. Welche KI-Tools sind im Einsatz? Chat, Bildgenerierung, Code, Datenanalyse? Liste mit Verantwortlichem anlegen.
Schritt 2: Datenfluss checken. Was geht in welches System? Kundendaten, Vertragsdaten, interne Prozesse? Das reicht für eine Risiko-Einteilung aus.
Schritt 3: Governance-Policy schreiben. Wer darf was mit KI tun? Wo ist der Datenschutz gesichert? Wann braucht es eine Freigabe?
Schritt 4: Audit vorbereiten. Im nächsten externen Audit sagt das KMU: „Wir haben eine KI-Policy, dokumentieren die Nutzung, und prüfen Risiken.“ Das schließt die Lücke.
Die gute Nachricht
KMU mit 5 bis 50 Mitarbeitern müssen nicht in Enterprise-Governance investieren. Oft reicht eine klare Checkliste, ein verantwortlicher Ansprechpartner, und regelmäßige Kurz-Audits (z. B. alle 6 Monate). Die Kosten liegen im dreistelligen bis niedrigen vierstelligen Bereich, nicht im fünfstelligen.
Das wichtigste ist: Jetzt handeln, nicht erst im Audit-Notfall. Wer die nächsten sechs Wochen nutzt, um Klarheit zu schaffen, geht ab August entspannt durch jede Kontrolle.
Nächster Schritt: Compliance-Checkliste für KI-Nutzung laden und im Team durchgehen. 30 Minuten Zeit, maximale Clarity.
