EU AI Act im August: Welche KI-Arbeitsfälle Geschäftsführer jetzt sichtbar machen müssen

Die aktuelle Google-News-Lage zum EU AI Act ist für DACH-KMU ungewöhnlich konkret: Meldungen sprechen über Geschäftsführerhaftung, Weiterbildungspflichten und den Stichtag im August 2026. Ob einzelne Detailfristen politisch weiter diskutiert werden oder nicht, die operative Richtung ist klar. Unternehmen müssen KI-Nutzung nicht nur erlauben, sondern führbar machen. Für kleine Betriebe beginnt das nicht mit einem grossen Compliance-Projekt, sondern mit einer datierten Übersicht: Wer nutzt KI wofür, mit welchen Daten und mit welcher menschlichen Prüfung?

Der Fehler wäre, KI-Kompetenz als allgemeines Seminar abzuhaken. Ein Team kann einen Kurs besuchen und trotzdem im Alltag Kundendaten in das falsche Werkzeug kopieren, einen KI-Text als verbindliche Zusage senden oder eine Bewerbungsbewertung unkritisch übernehmen. Der AI-Act-Druck trifft also nicht zuerst die Folien. Er trifft die Stellen, an denen ein KI-Vorschlag Wirkung auf Kunden, Mitarbeitende, Geld oder Verträge bekommt.

Der August-Termin braucht eine Arbeitsfall-Akte

Eine Arbeitsfall-Akte ist bewusst kleiner als ein Handbuch. Sie beschreibt einen konkreten KI-Einsatz: etwa eine Supportmail zusammenfassen, eine Rechnung vorprüfen, ein Stellenprofil analysieren, ein Protokoll in Aufgaben übersetzen oder eine Offerte strukturieren. Pro Fall stehen Eingänge, verbotene Daten, erlaubtes Ergebnis, Prüfer und rote Linie auf einer Seite.

Der Vorteil liegt in der Nachvollziehbarkeit. Wenn ein Geschäftsführer gefragt wird, wie KI im Betrieb geführt wird, reicht ein Satz wie „Wir sensibilisieren unsere Mitarbeitenden“ kaum aus. Besser ist eine Liste mit Datum, Arbeitsfällen, Grenzen und Verantwortlichen. Sie zeigt, dass der Betrieb nicht blind experimentiert, sondern reale Nutzung sichtbar macht.

Haftungsangst ist kein guter Prozessdesigner

Viele KMU reagieren auf Regulierung entweder mit Abwehr oder mit zu viel Papier. Beides hilft wenig. Haftungsangst führt schnell zu pauschalen Verboten, die im Alltag unterlaufen werden. Papierflut führt zu Regeln, die niemand liest. Der praktikable Weg liegt dazwischen: wenige, harte Grenzen für kritische Fälle und kurze Beispiele für erlaubte Nutzung.

• Rot: KI darf keine Zahlung freigeben, keine Kündigung bewerten und keine verbindliche Kundenzusage senden.
• Gelb: KI darf kritische Vorschläge vorbereiten, wenn Prüfung und Verantwortlichkeit sichtbar bleiben.
• Grün: KI darf interne Recherche, Zusammenfassung oder Textvarianten liefern, solange Daten und Quellen passen.
• Prüfspur: Bei gelben Fällen wird festgehalten, wer das Ergebnis geprüft hat.
• Update: Die Liste wird monatlich ergänzt, statt einmalig abgelegt.

Die erste Risikokarte gehört nicht in die IT allein

IT kann Werkzeuge absichern, Zugänge verwalten und Datenschutzfragen vorbereiten. Die roten Linien liegen aber in den Fachprozessen. HR weiss, wo Bewerbungsentscheidungen entstehen. Finanzen weiss, wo Zahlungen und Stammdaten kritisch werden. Vertrieb weiss, welche Formulierung wie eine Zusage wirkt. Deshalb sollte die erste KI-Risikokarte gemeinsam mit den Verantwortlichen dieser Bereiche entstehen.

Ein kurzer Termin reicht für den Start. Jede Person nennt drei echte KI-Situationen oder naheliegende Fälle. Danach wird nicht über Toolfunktionen diskutiert, sondern über Wirkung. Berührt der Fall Personen? Geld? Vertragsnähe? Kundenerwartung? Interne Orientierung? Diese Sortierung ist für KMU oft wertvoller als die Frage, ob ChatGPT, Copilot oder Gemini schöner antwortet.

Schulung wird besser, wenn sie fallbezogen ist

Aus der Arbeitsfall-Liste ergibt sich die Schulung fast automatisch. Wer KI nur für interne Zusammenfassungen nutzt, braucht andere Beispiele als jemand, der Kundenantworten vorbereitet. Wer mit Bewerbungen arbeitet, braucht andere Grenzen als jemand im Marketing. Statt alle Mitarbeitenden in denselben Promptkurs zu schicken, kann das Unternehmen drei Module bauen: Daten und Geheimhaltung, Prüfung und Quellen, rote Linien bei Aussenwirkung.

Diese Module müssen nicht perfekt sein. Sie müssen wiedererkennbar sein. Ein Mitarbeiter sollte nach der Einführung sagen können: „Ich darf die Beschwerde zusammenfassen, aber keine Kulanz zusagen.“ Eine HR-Verantwortliche sollte sagen können: „Ich darf Anforderungen strukturieren, aber keine Eignung automatisch bewerten.“ Solche Sätze sind Kompetenz im Betrieb.

Der 14-Tage-Plan bis zur ersten belastbaren Ordnung

Tag eins bis drei: reale KI-Nutzungen sammeln. Tag vier bis sechs: Fälle nach rot, gelb und grün sortieren. Tag sieben bis neun: pro Fall eine erlaubte und eine verbotene Handlung formulieren. Tag zehn bis zwölf: die betroffenen Teams kurz einführen. Tag dreizehn und vierzehn: zwei echte Fälle nachprüfen und die Liste korrigieren.

Damit ist das Unternehmen nicht fertig, aber es ist handlungsfähig. Es kann später juristisch nachschärfen, Tools vergleichen und Richtlinien erweitern. Der wichtige Schritt passiert vorher: KI-Nutzung wird aus dem unsichtbaren Alltag geholt. Genau das ist für den August-Termin die nüchterne KMU-Entscheidung.

Recherchebasis: Google-News-Recherche zu EU AI Act, Geschäftsführerhaftung, KI-Weiterbildung und August-Fristen.

Nächster Schritt

Was heisst das für KI-Regeln und Nachweise?

• Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
• Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
• Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.

KI-Regelmappe prüfenBüro-KI danach prüfen

DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.