EU AI Act im Alltag: Die 60-Minuten-Inventur für kleine Unternehmen

Während Anbieter neue KI-Funktionen vorstellen, rückt für KMU eine zweite Aufgabe näher: die eigene Nutzung muss erklärbar werden. Der EU AI Act ist für viele kleine Unternehmen nicht deshalb relevant, weil sie selbst Modelle bauen. Relevant wird er durch alltägliche Software, die KI in Bewerbungen, Support, Dokumenten, Marketing, Übersetzung oder Analyse einbettet. Wer diese Nutzung nicht kennt, kann sie später weder steuern noch gegenüber Kunden oder Mitarbeitenden sauber beschreiben.

Die gute Nachricht: Der erste Schritt braucht kein Grossprojekt. Eine schlanke Bestandsaufnahme reicht, wenn sie nicht bei Toolnamen stehen bleibt. Entscheidend ist, welche Aufgabe die KI erfüllt, welche Daten hineinlaufen, welche Ausgabe entsteht und wer vor Außenwirkung prüft.

Vom Toolbestand zur Risikolandkarte

Viele kleine Unternehmen wissen ungefähr, wer ChatGPT, Copilot, Gemini, Übersetzer, Bildwerkzeuge oder KI-Funktionen in Fachsoftware nutzt. Unklar ist aber oft, wofür genau. Ein Tool kann harmlos sein, wenn es öffentliche Texte zusammenfasst. Dasselbe Tool kann kritisch werden, wenn Kundendaten, Personalinformationen oder Vertragsdetails verarbeitet werden. Deshalb reicht die Spalte „Tool vorhanden“ nicht.

Eine brauchbare Risikolandkarte besteht aus sieben Feldern: Aufgabe, Datenart, Ausgabe, Außenwirkung, Prüfer, Status und Nutzen. Damit wird sichtbar, ob eine Funktion nur intern hilft oder echte Entscheidungen beeinflusst. Ein Meeting-Zusammenfasser ist anders zu bewerten als ein Bewerbungsfilter. Ein FAQ-Entwurf ist anders als ein Chatbot, der individuelle Zusagen macht.

Die 60-Minuten-Inventur für die Geschäftsleitung

• Sammeln Sie zehn KI-Funktionen, die wirklich genutzt werden.
• Beschreiben Sie pro Funktion die Aufgabe in einem Satz.
• Markieren Sie Daten als öffentlich, intern, kundenbezogen, personalbezogen oder vertraulich.
• Notieren Sie, ob die Ausgabe intern bleibt oder Kunden, Bewerber, Lieferanten erreicht.
• Setzen Sie einen Status: erlaubt, Test, prüfen, pausieren oder ersetzen.

Diese Inventur ist bewusst pragmatisch. Sie soll nicht alle späteren Detailfragen lösen. Sie soll verhindern, dass KI-Nutzung im Nebel bleibt. Nach einer Stunde erkennt ein Unternehmen meist bereits die zwei oder drei Stellen, an denen sofort Klarheit nötig ist: Kundensupport, Bewerbung, Preis- oder Vertragskommunikation, sensible Dokumente.

Statuswörter ersetzen lange Verbote

Ein kleines Team braucht keine Sprache, die jede Initiative erstickt. Hilfreicher sind einfache Statuswörter. „Intern erlaubt“ bedeutet: für Zusammenfassungen und Entwürfe ohne sensible Daten nutzbar. „Prüfen vor Versand“ bedeutet: Außenwirkung nur nach Fachblick. „Sensibel gesperrt“ bedeutet: keine Personal-, Gesundheits-, Finanz- oder Vertragsdaten in schnelle Tests. „Automatisch verboten“ bedeutet: keine eigenständigen Entscheidungen mit Geld, Recht, Personal oder Kundenzusagen.

Diese Wörter lassen sich in eine Tabelle schreiben, auf ein Intranet stellen oder in ein Onboarding aufnehmen. Sie sind klein genug für den Alltag und klar genug für Verantwortung. Der Vorteil liegt nicht nur in Compliance. Die Liste zeigt auch, wo KI wirtschaftlich sinnvoll ist, weil wiederkehrende Arbeit sichtbar wird.

Ein Beispiel aus dem Personalbereich

Ein Team darf KI nutzen, um eine Stellenanzeige sprachlich zu verbessern. Das ist meist niedriges Risiko, solange keine vertraulichen Bewerberdaten verarbeitet werden. Ganz anders wäre ein Tool, das Bewerbungen vorsortiert oder Kandidaten bewertet. Dann berührt die Ausgabe echte Chancen von Menschen. Genau solche Unterschiede muss die Inventur erkennen, bevor eine Funktion nebenbei produktiv wird.

Die Entscheidung für KMU lautet: Nicht jede neue KI-Funktion ist ein Risiko, aber jede produktive KI-Funktion braucht eine bekannte Aufgabe und eine bekannte Grenze. Wer das jetzt dokumentiert, kann Anbieterfragen, Mitarbeitendenfragen und spätere Regeln viel ruhiger behandeln.

Recherchebasis: Google-News-Recherche zu EU AI Act, GPAI und KMU. Google-News-Recherche zu Unternehmens-KI und Agenten.

Nächster Schritt

Was heisst das für KI-Regeln und Nachweise?

• Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
• Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
• Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.

KI-Regelmappe prüfenBüro-KI danach prüfen

DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.