EU AI Act: Die 30-Tage-Bestandsaufnahme für KMU ohne Compliance-Theater

Die Diskussion um den EU AI Act wird oft so geführt, als müssten KMU entweder sofort ein grosses Compliance-Projekt starten oder das Thema komplett vertagen. Beides ist falsch. Für kleine Unternehmen ist jetzt vor allem eine belastbare Bestandsaufnahme wichtig: Wo wird KI bereits genutzt, welche Daten sind betroffen, und welche Ausgabe kann Kunden, Mitarbeitende oder Öffentlichkeit erreichen? Ohne diese Liste bleibt jede Frist abstrakt.

Viele Betriebe haben bereits mehr KI-Nutzung als offiziell sichtbar ist. Texte werden formuliert, Stellenanzeigen überarbeitet, Tabellen erklärt, Supportmails zusammengefasst oder Bilder entworfen. Das ist nicht automatisch problematisch. Problematisch wird es, wenn niemand unterscheiden kann, ob es um harmlose Formulierungshilfe, personenbezogene Daten, interne Zahlen oder verbindliche Entscheidungen geht.

Die Bestandsaufnahme beginnt nicht bei Paragrafen

Ein KMU muss nicht mit juristischer Sprache starten. Der bessere Einstieg ist eine Prozessliste. Welche Teams nutzen KI? Für welche Aufgabe? Mit welchem Tool? Welche Daten gehen hinein? Wer prüft die Ausgabe? Wird etwas gespeichert? Geht etwas an Kunden oder Bewerber? Diese Fragen sind verständlich und führen direkt zu den Stellen, an denen Regeln nötig werden.

Ein Beispiel: Marketing nutzt KI für Themenideen. Das ist meist risikoarm, solange keine vertraulichen Daten eingegeben werden. HR lässt Bewerbungen zusammenfassen. Das ist deutlich sensibler. Der Kundendienst erstellt Antwortentwürfe aus echten Mails. Das kann nützlich sein, braucht aber Toolfreigabe, Zweck, Prüfung und klare Grenzen. Die gleiche Technologie hat je nach Prozess eine andere Risikostufe.

Die fünf Spalten der KI-Liste

• Aufgabe: Was soll die KI konkret vorbereiten oder erzeugen?
• Daten: öffentlich, intern, personenbezogen, vertraulich oder sensibel?
• Wirkung: intern, Systemänderung, Kundenkontakt oder Veröffentlichung?
• Prüfung: Wer nimmt die Ausgabe ab und was wird kontrolliert?
• Stoppregel: Wann darf der Vorschlag nicht verwendet werden?

Diese Liste passt in eine einfache Tabelle. Sie ersetzt keine Rechtsberatung, aber sie schafft Ordnung. Vor allem zeigt sie, wo sofort gehandelt werden muss. Eine KI-Idee ohne sensible Daten und ohne Aussenwirkung braucht andere Regeln als ein Prozess, der Kundendaten verarbeitet oder Bewerber betrifft. So wird Compliance nicht pauschal, sondern betriebsnah.

Warum Stoppregeln wichtiger sind als Toolverbote

Viele Unternehmen reagieren mit generellen Verboten. Das ist verständlich, löst aber selten das Alltagsproblem. Mitarbeitende suchen dann Umwege oder nutzen KI gar nicht mehr, auch dort, wo sie unkritisch wäre. Besser sind sichtbare Stoppregeln. Kein Passwort, keine Zahlungsdaten, keine Gesundheitsdaten, keine ungeprüfte Kundenantwort, keine endgültige Personalentscheidung, keine öffentliche Veröffentlichung ohne Verantwortliche.

Stoppregeln haben einen zweiten Vorteil: Sie sind trainierbar. In einer kurzen Teamsitzung lassen sich echte Beispiele durchspielen. Eine Rechnung mit neuer Bankverbindung? Stopp. Eine anonymisierte Gliederung für einen internen Leitfaden? möglich. Eine Zusammenfassung echter Bewerbungsunterlagen? nur mit freigegebenem Prozess. So entsteht KI-Kompetenz im Alltag, nicht nur im Dokument.

Ein 30-Tage-Plan ohne Bürokratieaufbau

• Woche 1: alle bekannten KI-Nutzungen sammeln, auch informelle Fälle.
• Woche 2: Datenarten und Aussenwirkung markieren.
• Woche 3: gelbe und rote Fälle mit Verantwortlichen und Stoppregeln versehen.
• Woche 4: eine Kurzregel veröffentlichen und im Onboarding verankern.

Der Plan ist bewusst klein. Er zwingt niemanden zu einem Grossprojekt, aber er verhindert blindes Wachstum. Danach kann das Unternehmen entscheiden, welche Tools offiziell erlaubt werden, welche Prozesse einen Pilot bekommen und welche Fälle vorerst ausgeschlossen bleiben. Diese Reihenfolge ist wirtschaftlich: erst Überblick, dann Freigabe, dann Automatisierung.

Der Nutzen über die Pflicht hinaus

Eine KI-Liste hilft nicht nur wegen Regulierung. Sie verbessert auch Einkauf, Schulung und Produktivität. Wer weiss, welche Prozesse wirklich laufen, kauft weniger doppelte Tools. Wer Datenarten kennt, kann Anbieter besser prüfen. Wer Stoppregeln hat, spart Diskussionen im Einzelfall. Und wer klare Prüfrollen definiert, kann KI-Vorarbeit schneller nutzen, ohne Verantwortung zu verlieren.

Für KMU ist die beste Reaktion auf neue Fristen deshalb nüchtern: keine Panik, keine Ausreden, sondern eine sichtbare Betriebsordnung. Je früher die tatsächliche Nutzung auf dem Tisch liegt, desto leichter wird jede spätere Pflicht. Und desto schneller kann KI dort wachsen, wo sie wirklich Wert schafft.

Recherchebasis: Google-News-Recherche zu EU AI Act, Fristen und Mittelstand.

Nächster Schritt

Was heisst das für KI-Regeln und Nachweise?

• Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
• Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
• Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.

KI-Regelmappe prüfenBüro-KI danach prüfen

DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.