KI und Automatisierung im Mittelstand: Die 8-Punkte-Checkliste, bevor Sie starten
Inhaltsverzeichnis
Veröffentlicht: 21. August 2026 · Lesezeit: ca. 15 Minuten
Wann haben Sie zuletzt geprüft, welche KI-Funktionen in Ihrer genutzten Software bereits aktiv sind – ohne dass Sie sie bewusst eingeschaltet haben? Und wissen Sie, welche davon seit August 2026 eine Kennzeichnungspflicht auslösen?
Die ehrliche Antwort fällt vielen Geschäftsführern schwer – nicht aus Unwissenheit, sondern weil KI und Automatisierung längst tief in Alltagstools integriert sind: in E-Mail-Clients, ERP-Systemen, CRM-Lösungen. Wer keine bewusste KI-Strategie verfolgt, hat trotzdem oft eine – er weiß es nur nicht.
Genau das ist der Ausgangspunkt dieser Checkliste. Nicht die Frage, ob KI sinnvoll ist – das belegen Zahlen eindeutig –, sondern ob Ihr Betrieb die Voraussetzungen erfüllt, um KI-Einsatz rechtssicher, kontrolliert und produktiv zu gestalten.
KI und Automatisierung sind längst kein Thema mehr, das man auf später verschieben kann. Der EU AI Act verpflichtet Unternehmen jeder Größe seit August 2026 zur Kennzeichnung von KI-generierten Inhalten und KI-betriebenen Chatbots – wer das ignoriert, trägt ein reales Rechtsrisiko, nicht nur ein theoretisches.
Gleichzeitig zeigt eine Erhebung des Statistischen Bundesamts aus 2024, dass kleine Unternehmen KI deutlich seltener einsetzen als große – obwohl die Produktivitätsgewinne messbar sind. Unternehmen, die generative KI nutzen, berichten im Schnitt von 13 % Produktivitätssteigerung pro Jahr (IW Köln, 2025). Die Frage ist also nicht ob, sondern wie man beginnt – und was dabei nicht vergessen werden darf.
Diese Checkliste gibt Ihnen 8 konkrete Prüfpunkte an die Hand: von den organisatorischen Grundlagen über technische Mindestanforderungen bis zur laufenden Governance. Sie richtet sich an Inhaber und Geschäftsführer, die KI und Automatisierung verantwortungsvoll einführen wollen – ohne dabei in typische Umsetzungsfallen zu tappen.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Anteil deutscher Unternehmen (ab 10 Beschäftigte), die KI-Technologien nutzen | 20 % – Anstieg um 8 Prozentpunkte innerhalb eines Jahres | Destatis 2024 |
| KI-nutzende Unternehmen, die Produktivitätssteigerungen durch generative KI berichten | 82 %, durchschnittlich +13 % p. a. | IW Köln 2025 |
| EU AI Act: Transparenz- und Kennzeichnungspflichten in Kraft | Seit 2. August 2026 behördlich durchsetzbar | techtag.de 2026 |
| EU AI Act – Digital Omnibus: Hochrisiko-Pflichten (Anhang III) verschoben | Neue Frist: Dezember 2027 (produktintegrierte Systeme: August 2028) | Digital Omnibus / techtag.de 2026 |
Was auf dem Spiel steht – und warum diese Checkliste jetzt zählt
KI und Automatisierung werden in der öffentlichen Debatte meist als Chance gerahmt. Das stimmt – aber nur für Betriebe, die strukturiert vorgehen. Wer Tools einführt, ohne Grundlagen zu prüfen, riskiert dreierlei: rechtliche Verstöße, Datenpannen und ein Pilotprojekt, das niemand mehr nutzt, sobald der erste Begeisterungsschub abebbt.
Der Destatis-Befund aus 2024 ist aufschlussreich: Zwar ist der Anteil KI-nutzender Unternehmen innerhalb eines Jahres um 8 Prozentpunkte gestiegen – doch die Nutzung konzentriert sich weiterhin auf große Unternehmen. Kleine Betriebe ziehen nach, oft aber ohne die begleitende Governance. Genau da entsteht Risiko.
Drei konkrete Problemfelder sehen wir in der Praxis immer wieder:
- Rechtslücken: Seit August 2026 sind Kennzeichnungspflichten für KI-Chatbots und KI-generierte Inhalte durchsetzbar. Viele Betriebe ahnen nicht, dass ihr CRM-Chatbot oder ihre automatisierten Angebots-E-Mails darunter fallen.
- Fehlende Prozessanalyse: KI-Tools werden angeschafft, bevor klar ist, welche Abläufe überhaupt automatisierbar sind. Das Ergebnis: Tools, die parallel zum Altprozess laufen, statt ihn zu ersetzen.
- Kein menschlicher Kontrollpunkt: Automatisierung ohne definierte Eskalationsregel ist keine Effizienzmaßnahme – sie ist ein unkontrolliertes Experiment im laufenden Betrieb.
Diese Checkliste beginnt deshalb dort, wo es wehtut: bei den Voraussetzungen, nicht beim Tool. Die Digitalisierungsberatung der TTG GmbH begleitet Unternehmen genau in dieser Phase – vom ersten Prozess-Audit bis zur belastbaren KI-Strategie. In Heilbad Heiligenstadt und der gesamten Region rund um das Eichsfeld zeigt die Erfahrung: Wer diese Grundlagen überspringt, holt sie später mit deutlich mehr Aufwand nach.
Die folgenden 8 Prüfpunkte sind so sortiert, dass Sie direkt erkennen, wo Ihr Betrieb steht – und was als nächstes zu tun ist.
Prüfpunkte 1 & 2: Organisatorische Grundlagen legen
Prüfpunkt 1: Prozess-Inventar anlegen
Bevor Sie über KI und Automatisierung nachdenken, brauchen Sie ein ehrliches Bild Ihrer Abläufe. Erstellen Sie eine einfache Tabelle mit folgenden Spalten: Prozess | Häufigkeit pro Woche | Zeitaufwand | Fehlerquote | Automatisierungspotenzial. Das ist in einem bis zwei Arbeitstagen erledigt – ohne Software, ohne externe Hilfe.
Repetitive, regelbasierte Aufgaben sind die ersten Kandidaten: Bestellbestätigungen, Rechnungseingang, Lagerbestandsmeldungen, Wartungserinnerungen. Prozesse mit vielen Ausnahmen und Kundenkontakt kommen später.
- Fokussieren Sie sich auf maximal 10 Kernprozesse – nicht auf eine vollständige Unternehmenslandkarte.
- Bewerten Sie Automatisierungspotenzial nach zwei Kriterien: Regelbasiert? Und: Wiederholt sich der Ablauf mehr als zehnmal pro Woche?
- Kennzeichnen Sie Prozesse mit Kundenkontakt gesondert – hier gelten zusätzliche Kennzeichnungspflichten seit August 2026.
Prüfpunkt 2: Einen einzigen Pilot-Use-Case definieren
Der häufigste Fehler: ein unternehmensweiter Rollout als erster Schritt. Wählen Sie stattdessen einen einzigen, klar messbaren Prozess für Ihr erstes 90-Tage-Pilotprojekt. Die Kriterien für die Auswahl:
- Der Prozess läuft vollständig im Hintergrund – kein direkter Kundenkontakt im ersten Schritt.
- Sie können ihn parallel zum bisherigen Ablauf betreiben, ohne den laufenden Betrieb zu gefährden.
- Sie haben eine konkrete Ausgangskennzahl: Bearbeitungszeit, Fehlerrate oder Kosten pro Vorgang.
- Erst wenn der Pilot stabile Ergebnisse liefert, entscheiden Sie über Skalierung – nicht vorher.
Ein Handwerksbetrieb aus unserer Region hat diesen Ansatz konsequent umgesetzt: zunächst nur die automatische Wartungserinnerung per E-Mail pilotiert, Fehlerquote und Reaktionszeit gemessen – und erst nach drei Monaten auf weitere Prozesse ausgeweitet. Das Ergebnis war nachvollziehbar und hat intern Vertrauen in KI und Automatisierung aufgebaut, das ein Top-down-Rollout nie erzeugt hätte.
Für den Datenschutz bei diesem Schritt lohnt ein früher Blick auf die Empfehlungen des BSI – KI sicher einsetzen. Und zur Frage, ob Ihr Einsatz datenschutzrechtlich sauber aufgestellt ist, mehr in Abschnitt 4. Mehr zur Datensicherheit beim KI-Einsatz – TTG GmbH lesen Sie auf unserer Website.
Prüfpunkte 3 & 4: Technische Mindestanforderungen prüfen
Prüfpunkt 3: KI-Funktionen in bestehenden Tools inventarisieren
Viele Betriebe führen KI und Automatisierung nicht aktiv ein – sie sind bereits drin. Microsoft 365 Copilot, KI-gestützte Spam-Filter, automatische Texterkennung im Dokumentenmanagement: Diese Funktionen sind oft standardmäßig aktiviert und werden nicht bewusst wahrgenommen. Genau das ist ein Problem, denn der EU AI Act unterscheidet nicht danach, ob eine Funktion absichtlich genutzt wird.
- Erstellen Sie eine Liste aller genutzten Software-Produkte und prüfen Sie, welche KI-Funktionen darin aktiv sind – im Admin-Bereich oder beim Hersteller nachlesen.
- Bewerten Sie für jede Funktion: Erzeugt sie Inhalte, die nach außen gehen? Dann greift die Kennzeichnungspflicht.
- Dokumentieren Sie Modellversion und Einsatzzweck – diese Information brauchen Sie spätestens ab 2027 für die Governance-Dokumentation.
- Prüfen Sie, ob Ihre IT-Verträge (SaaS, Cloud) regeln, wo KI-Daten verarbeitet werden – EU-Serverstandort oder nicht.
Prüfpunkt 4: Systemstabilität und Patch-Stand sicherstellen
KI-Integration setzt stabile IT-Grundlagen voraus. Wer KI auf einer ungepatchten Infrastruktur betreibt, öffnet Angreifern Tür und Tor – und das ist keine theoretische Warnung: Die US-Sicherheitsbehörde CISA hat im August 2026 vor aktiv ausgenutzten Schwachstellen in Microsoft SharePoint, VMware vCenter und macOS gewarnt (heise Security, August 2026 – CISA-Warnung zu SharePoint, VMware und macOS). Wer Copilot oder andere KI-Dienste auf SharePoint-Basis nutzt, sollte den Patch-Stand dort unverzüglich prüfen.
- Vergewissern Sie sich, dass alle Server, Clients und Cloud-Connectoren auf aktuellem Patch-Stand sind – vor dem KI-Start, nicht danach.
- Richten Sie einen festen monatlichen Patch-Zyklus ein und dokumentieren Sie ihn.
- Testen Sie neue KI-Funktionen zunächst in einer Nicht-Produktivumgebung, bevor Sie sie produktiv schalten.
Weitere Informationen zur ISO/IEC 27001-konformen IT-Infrastruktur finden Sie bei der ISO/IEC 27001 zertifiziert – TTG GmbH.
Prüfpunkte 5 & 6: Sicherheit und Datenschutz im KI-Betrieb
Prüfpunkt 5: Datenschutz-Prüfung vor dem Go-live
KI-Systeme verarbeiten oft personenbezogene Daten – von Kundenstammdaten über E-Mail-Inhalte bis hin zu Fertigungsdaten mit Personenbezug. Die DSGVO gilt unabhängig davon, ob eine KI im Spiel ist. Neu hinzu kommt der EU AI Act, der für bestimmte Einsatzzwecke zusätzliche Transparenzpflichten definiert.
- Klären Sie vor dem Einsatz: Werden personenbezogene Daten durch das KI-System verarbeitet? Wenn ja – gibt es einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter?
- Prüfen Sie, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist – das ist immer dann der Fall, wenn das System systematisch Personen bewertet oder überwacht.
- Stellen Sie sicher, dass Mitarbeitende keine sensiblen Kundendaten in öffentliche KI-Tools (z. B. ChatGPT ohne Enterprise-Vertrag) eingeben – das ist datenschutzrechtlich kritisch.
- Informieren Sie Ihre Mitarbeitenden schriftlich darüber, welche KI-Tools erlaubt sind und welche nicht – eine einfache Richtlinie, ein Nachmittag Arbeit.
Prüfpunkt 6: Kennzeichnungspflichten sofort umsetzen
Seit August 2026 sind die Transparenzpflichten des EU AI Act in Deutschland behördlich durchsetzbar. Das bedeutet konkret: Chatbots müssen als KI ausgewiesen sein, automatisierte E-Mails mit KI-generiertem Inhalt müssen entsprechend gekennzeichnet sein – auch wenn sie intern versandt werden.
| Situation | Kennzeichnung erforderlich? | Warum |
|---|---|---|
| Chatbot auf der Unternehmenswebsite | Ja – sofort | Art. 50 EU AI Act, seit Aug. 2026 durchsetzbar |
| KI-generierte Angebots-E-Mails an Kunden | Ja – sofort | KI-generierter Text im Kundenkontakt |
| Internes KI-Tool zur Textzusammenfassung | Empfohlen, nicht zwingend | Kein direkter Kundenbezug, aber gute Praxis |
| KI-Spam-Filter im E-Mail-Server | Nein | Keine Inhaltserzeugung, keine Außenwirkung |
- Ergänzen Sie bestehende Chatbots sofort mit einem sichtbaren Hinweis („Dieser Chat wird von einer KI unterstützt“).
- Fügen Sie bei automatisierten Kunden-E-Mails mit KI-Anteil eine kurze Kennzeichnung in der Fußzeile ein.
Förderprogramme für die technische Umsetzung dieser Anforderungen finden Sie über die Förderberatung für Digitalisierungsprojekte – TTG GmbH.
Prüfpunkte 7 & 8: Laufende Kontrolle und Dokumentation etablieren
Prüfpunkt 7: Human-in-the-Loop für risikoreiche Entscheidungen
Automatisierung bedeutet nicht, dass Maschinen allein entscheiden. Gerade bei Prozessen mit hohen Geldbeträgen, rechtlichen Konsequenzen oder Kundenkommunikation braucht jede KI-gestützte Entscheidung einen menschlichen Kontrollpunkt. Das ist kein Misstrauen gegenüber der Technologie – es ist ein Grundprinzip verantwortungsvoller KI und Automatisierung.
- Definieren Sie vor dem Go-live: Ab welchem Betrag oder welcher Fehlerwahrscheinlichkeit greift ein Mensch ein? Setzen Sie konkrete Schwellenwerte, keine vagen Richtlinien.
- Legen Sie Eskalationsregeln schriftlich fest: Wer wird benachrichtigt? In welchem Zeitfenster muss gehandelt werden?
- Testen Sie den Eskalationsweg im Probebetrieb – nicht erst, wenn ein echter Fehler auftritt.
- Überprüfen Sie quartalsweise, ob die Schwellenwerte noch zur aktuellen Prozessrealität passen.
Hinweis: Artikel 4 des EU AI Act verpflichtet Unternehmen ausdrücklich dazu, Mitarbeitende im sachgerechten Umgang mit KI zu schulen. Das ist keine Empfehlung – es ist eine Rechtspflicht. Eine strukturierte Basisschulung, die erklärt, wie KI-Ergebnisse zu interpretieren und zu hinterfragen sind, gehört zum Minimalstandard.
Prüfpunkt 8: Governance-Dokumentation anlegen – jetzt, nicht 2027
Die Hochrisiko-Dokumentationspflichten des EU AI Act greifen erst ab Dezember 2027. Das verleitet dazu, das Thema aufzuschieben. Unsere klare Einschätzung: Wer jetzt damit beginnt, spart später erheblichen Aufwand – und ist auditfähig, wenn Behörden oder Kunden danach fragen.
- Dokumentieren Sie für jedes eingesetzte KI-System: Einsatzzweck, genutztes Modell (inkl. Version), Anbieter, Verarbeitungsort der Daten, Datum der Inbetriebnahme.
- Halten Sie verwendete Prompts und Prompt-Templates zentral fest – nicht in individuellen E-Mails oder lokalen Textdateien.
- Notieren Sie, welche menschlichen Kontrollpunkte definiert wurden und wer verantwortlich ist.
- Überprüfen Sie die Dokumentation bei jedem Software-Update oder Modellwechsel.
Eine solide IT-Infrastruktur für den digitalen Wandel – TTG GmbH bildet die technische Basis, auf der Governance-Prozesse zuverlässig funktionieren.
Was tun, wenn ein Prüfpunkt nicht erfüllt ist? Priorisierung nach Risiko
Nicht jede Lücke hat dieselbe Dringlichkeit. Wer nach dieser Checkliste feststellt, dass mehrere Punkte offen sind, sollte nach Risikoklassen priorisieren – statt alles gleichzeitig anzugehen und dabei nichts fertigzustellen.
Sofort handeln (innerhalb von 14 Tagen): Fehlende Kennzeichnung von Chatbots und KI-E-Mails ist seit August 2026 rechtswidrig – das lässt sich nicht aufschieben. Ebenso: offene Sicherheitslücken in genutzter Infrastruktur. Wer etwa das WordPress-Plugin Forminator Forms einsetzt, sollte es unverzüglich aktualisieren – im August 2026 wurde eine kritische Schadcode-Lücke bekannt, die aktiv ausgenutzt wird (heise Security, August 2026 – Forminator Forms: kritische Sicherheitslücke).
In 30 Tagen angehen: Prozess-Inventar und Pilot-Use-Case-Definition. Das kostet intern Zeit, aber keine nennenswerten Mittel. Datenschutz-Prüfung (AVV, DSFA-Check) gehört ebenfalls in dieses Zeitfenster.
Strategisch planen (60–90 Tage): KI-Kompetenzschulung für Mitarbeitende, Governance-Dokumentation aufbauen, Eskalationsregeln definieren. Diese Punkte brauchen Abstimmung und etwas Vorlaufzeit – aber keine externe Software.
Ein Maschinenbauer aus unserer Region, der sich an genau dieser Priorisierung orientiert hat, konnte innerhalb von drei Monaten Kennzeichnungspflichten umsetzen, einen Pilot für die automatische Bestellerfassung starten und die ersten Dokumentationsstrukturen aufbauen – ohne den laufenden Betrieb zu unterbrechen.
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung begleitet die TTG GmbH Betriebe in genau dieser Übergangsphase: strukturiert, ohne Umwege, mit klarem Blick auf das, was wirklich dringend ist. Die Priorisierung nach Risikoklassen ist dabei kein Zugeständnis an begrenzte Ressourcen – sie ist die einzig sinnvolle Vorgehensweise.
Weiterführende Orientierung bietet das BMWK – Digitalisierung im Mittelstand mit konkreten Handlungsempfehlungen und Förderwegen für mittelständische Unternehmen. Lassen Sie Ihr persönliches Digitalisierungspotenzial prüfen: Digitalisierungs-Potenzial prüfen lassen.
Zusammenfassung: Was sofort, was in 30 Tagen, was langfristig ansteht
KI und Automatisierung lassen sich nicht in einer einzigen Maßnahme abarbeiten – aber sie lassen sich in klare Zeitfenster einteilen. Die folgende Übersicht fasst zusammen, was in welchem Zeithorizont realistisch ist:
Sofort – innerhalb der nächsten zwei Wochen:
- Chatbot und KI-gestützte Kundenkommunikation kennzeichnen (EU AI Act, Art. 50).
- Patch-Stand aller genutzten Systeme prüfen – insbesondere SharePoint, VMware, macOS und WordPress-Plugins.
- Interne Richtlinie verabschieden: Welche KI-Tools sind erlaubt, welche nicht?
In 30 Tagen:
- Prozess-Inventar anlegen: Tabelle mit Häufigkeit, Zeitaufwand und Automatisierungspotenzial.
- Einen Pilot-Use-Case auswählen und Ausgangskennzahlen dokumentieren.
- Datenschutz-Check durchführen: AVV mit KI-Anbietern vorhanden? DSFA erforderlich?
- KI-Funktionen in bestehender Software inventarisieren.
Langfristig – 60 bis 90 Tage und fortlaufend:
- KI-Kompetenzschulung für Mitarbeitende planen und durchführen (Pflicht nach Art. 4 EU AI Act).
- Governance-Dokumentation für alle KI-Systeme aufbauen: Modell, Version, Einsatzzweck, Verantwortlicher.
- Eskalationsregeln und Confidence-Schwellenwerte für automatisierte Entscheidungen festlegen.
- Pilot auswerten: Harte Kennzahlen vergleichen, dann Entscheidung über Skalierung treffen.
Einen wichtigen Orientierungspunkt liefern die Zahlen des IW Köln: 82 % der Unternehmen, die generative KI einsetzen, berichten von Produktivitätsgewinnen – im Schnitt 13 % pro Jahr. Dieses Potenzial ist real. Es entfaltet sich aber nur, wenn der Einsatz von KI und Automatisierung strukturiert vorbereitet wird. Wer diese drei Zeitfenster konsequent abarbeitet, hat nach 90 Tagen eine rechtssichere Basis, einen laufenden Piloten und erste belastbare Ergebnisse – ohne unternehmensweiten Chaos-Rollout.
Häufige Stolperfallen bei der Umsetzung – und wie Sie sie vermeiden
Selbst Betriebe, die die Checkliste kennen, tappen in bestimmte Muster. Diese Stolperfallen sind nicht auf mangelndes Interesse zurückzuführen – sie entstehen meist aus nachvollziehbaren Entscheidungen unter Zeitdruck.
Stolperfalle 1: Das Tool als Startpunkt. Viele Entscheider beginnen mit der Auswahl einer KI-Software, bevor sie wissen, welchen Prozess sie damit verbessern wollen. Das Ergebnis ist eine Lizenz, die nach drei Monaten ungenutzt läuft. Reihenfolge korrigieren: erst Prozess, dann Tool.
Stolperfalle 2: Den Piloten zu breit aufsetzen. „Wir automatisieren erstmal den gesamten Auftragseingang“ – das klingt ehrgeizig, ist aber riskant. Ein Pilotprojekt für KI und Automatisierung funktioniert nur dann als Lernbasis, wenn es klein genug ist, um schnell Feedback zu liefern. Ein einziger Teilprozess reicht.
Stolperfalle 3: Mitarbeitende nicht einbeziehen. KI-Tools, die ohne Rückhalt im Team eingeführt werden, werden umgangen – durch Parallelwege oder schlichte Nicht-Nutzung. Holen Sie die Menschen, die täglich mit dem Prozess arbeiten, früh ins Boot. Nicht als Information am Ende, sondern als Beteiligte bei der Auswahl.
Stolperfalle 4: Rechtspflichten auf später verschieben. „Wir klären das, wenn wir größer sind“ – diese Denkweise ist seit August 2026 problematisch. Die Kennzeichnungspflichten gelten unabhängig von Unternehmensgröße. Und Art. 4 EU AI Act verpflichtet jetzt, nicht erst 2027.
Stolperfalle 5: Dokumentation als Bürokratie abtun. Wer heute keine Liste führt, welche KI-Systeme er einsetzt, wird sie 2027 rückwirkend rekonstruieren müssen – unter Zeitdruck und mit lückenhafter Information. Fünf Zeilen in einer Tabelle jetzt ersparen Stunden später.
- Beginnen Sie mit dem Prozess-Audit, nicht mit dem Tool-Vergleich.
- Halten Sie den ersten Piloten bewusst klein – ein Prozess, 90 Tage, klare Kennzahl.
- Binden Sie die Mitarbeitenden ein, die den Prozess täglich leben.
- Setzen Sie Kennzeichnungspflichten sofort um – das kostet maximal eine Stunde.
- Starten Sie Ihre Governance-Tabelle heute – auch wenn sie zunächst nur drei Einträge hat.
KI und Automatisierung sind kein Sprint. Betriebe, die methodisch vorgehen, bauen eine Basis auf, die trägt – für den nächsten Use-Case, für Audits und für ein Team, das der Technologie vertraut, weil es sie versteht.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie sofort, ob Ihre Chatbots und KI-gestützten Kunden-E-Mails als KI-erzeugt gekennzeichnet sind – seit August 2026 ist das Pflicht.
- Kontrollieren Sie den Patch-Stand Ihrer genutzten Systeme (SharePoint, VMware, WordPress-Plugins) und schließen Sie kritische Lücken unverzüglich.
- Erstellen Sie eine Prozess-Tabelle mit Ihren wichtigsten Abläufen: Häufigkeit, Zeitaufwand, Fehlerquote und Automatisierungspotenzial – intern, in einem bis zwei Tagen.
- Wählen Sie einen einzigen Pilot-Use-Case für die nächsten 90 Tage: regelbasiert, ohne direkten Kundenkontakt, mit messbarer Ausgangskennzahl.
- Klären Sie den Datenschutz vor dem Go-live: Auftragsverarbeitungsvertrag mit KI-Anbietern vorhanden? DSFA erforderlich? Mitarbeiter-Richtlinie zur Tool-Nutzung erstellt?
- Definieren Sie Eskalationsregeln für automatisierte Entscheidungen: Ab welchem Betrag oder welcher Fehlerwahrscheinlichkeit greift ein Mensch ein?
- Planen Sie eine Basisschulung für Ihre Mitarbeitenden im Umgang mit KI-Tools – Artikel 4 EU AI Act macht das zur Rechtspflicht, nicht zur Option.
- Legen Sie eine Governance-Tabelle an mit allen genutzten KI-Systemen: Einsatzzweck, Modell/Version, Anbieter, Verarbeitungsort, Verantwortlicher.
Häufig gestellte Fragen
Gilt der EU AI Act auch für uns, wenn wir nur Standard-Software wie Microsoft 365 nutzen?
Ja – und das wird häufig unterschätzt. Wer KI-Funktionen in Standard-Tools nutzt (Copilot, automatisierte E-Mails, KI-Chatbots auf der Website), fällt unter die Transparenzpflichten des EU AI Act, die seit August 2026 durchsetzbar sind. Der Gesetzgeber unterscheidet nicht danach, ob eine Funktion selbst entwickelt oder zugekauft wurde. Entscheidend ist, ob KI-generierte Inhalte nach außen gelangen oder Nutzer mit einem KI-System interagieren – wenn ja, gilt die Kennzeichnungspflicht.
Wie viel Zeit und Budget muss ich für einen ersten KI-Piloten einplanen?
Für einen klar abgegrenzten Piloten reichen in der Regel vier bis acht Wochen und ein überschaubares Budget. Der größte Aufwand liegt nicht in der Software, sondern in der Vorbereitung: Prozess dokumentieren, Ausgangskennzahl definieren, Testumgebung einrichten. Wer diesen Schritt sorgfältig macht, spart später Iterationsschleifen. Externe Unterstützung beim ersten Piloten rechnet sich, wenn interne Kapazitäten fehlen – danach können Folgeprojekte meist eigenständig laufen.
Müssen wir wirklich jetzt mit der Governance-Dokumentation beginnen, wenn die Pflichten erst 2027 kommen?
Unserer Erfahrung nach: ja. Wer 2027 eine rückwirkende Dokumentation für Systeme aufbauen muss, die seit Jahren produktiv laufen, hat ein ernstes Problem – fehlende Modellversionen, unklare Verantwortlichkeiten, keine Protokolle. Eine einfache Tabelle mit fünf bis acht Zeilen, die heute gepflegt wird, ist in 30 Minuten angelegt. Das ist keine aufwändige Compliance-Übung, sondern saubere Buchführung für digitale Werkzeuge.
Was, wenn unsere Mitarbeitenden KI-Tools ablehnen oder skeptisch sind?
Skepsis ist kein Hindernis – sie ist ein Signal. Mitarbeitende, die KI und Automatisierung ablehnen, haben oft konkrete Bedenken: Jobsicherheit, Kontrollverlust, Mehraufwand durch Fehler. Diese Bedenken verdienen eine ehrliche Antwort, keine PowerPoint-Präsentation über KI-Chancen. Holen Sie die Menschen, die einen Prozess täglich kennen, früh in die Pilotplanung ein. Wer mitgestaltet, lehnt selten ab.
Wie finde ich heraus, welche meiner Prozesse wirklich automatisierbar sind?
Zwei Kriterien helfen bei der Ersteinschätzung: Erstens, ist der Prozess regelbasiert – also folgt er immer denselben Schritten ohne viele Ausnahmen? Zweitens, wiederholt er sich häufig genug, dass der Automatisierungsaufwand sich lohnt? Prozesse mit mehr als zehn Wiederholungen pro Woche und wenig Ausnahmen sind gute Kandidaten. Die TTG GmbH begleitet diesen Prozess-Audit strukturiert – oft reicht ein halber Tag, um die drei bis fünf vielversprechendsten Prozesse zu identifizieren.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute mit Sicherheit, welche KI-Funktionen in Ihrer Software aktiv sind – und welche davon seit August 2026 eine Kennzeichnungspflicht auslösen?
Digitalisierungspotenzial ausschöpfen
Welche Prozesse können Sie automatisieren? Die TTG GmbH analysiert Ihr Unternehmen und entwickelt einen praxisnahen Digitalisierungsplan für KMU im Eichsfeld.
