Die Europäische Kommission hat angekündigt, ab dem 2. August weitere Regeln des EU AI Act und neue Transparenzanforderungen durchzusetzen. Für Unternehmen ist das kein Anlass für hektische Verbotslisten, wohl aber für eine saubere Bestandsaufnahme. Wer heute Chatbots, automatische Klassifizierung, generative Assistenz oder KI-Funktionen in Standardsoftware nutzt, sollte wissen, wo diese Systeme arbeiten, welche Daten sie verarbeiten und wer für ihren Einsatz verantwortlich ist. Die eigentliche Managementaufgabe lautet deshalb: aus verstreuten KI-Experimenten einen nachvollziehbaren, steuerbaren Betriebsprozess zu machen.
Was die neue Phase praktisch verändert
Bestätigt ist zunächst, dass die Kommission weitere AI-Act-Regeln und Transparenzpflichten ab dem 2. August durchsetzt. Welche konkrete Pflicht für ein einzelnes Unternehmen gilt, hängt vom jeweiligen System, der Rolle im Wertschöpfungsprozess und dem Einsatzkontext ab. Eine pauschale Aussage wäre daher unseriös. Die betriebliche Konsequenz ist trotzdem klar: Entscheidungen über KI dürfen nicht länger nur in einzelnen Fachbereichen oder persönlichen Accounts verborgen bleiben. Unternehmen brauchen eine gemeinsame Sicht auf eingesetzte Modelle, Anbieter, Zwecke, Datenflüsse und Kontrollmechanismen. Diese Übersicht ist zugleich die Grundlage für Sicherheit, Kostensteuerung und spätere Automatisierung.
- Erfassen Sie jedes produktiv genutzte KI-System mit Zweck, verantwortlichem Bereich, Anbieter und betroffenen Prozessen.
- Trennen Sie reine Assistenzfunktionen von Systemen, die Entscheidungen vorbereiten, priorisieren oder automatisch ausführen.
- Dokumentieren Sie, welche Daten eingegeben werden dürfen und welche Informationen grundsätzlich ausgeschlossen bleiben.
- Legen Sie fest, wann Mitarbeitende KI-Ausgaben prüfen müssen und wer bei Fehlern oder Beschwerden entscheidet.
- Prüfen Sie bei neuen Tools nicht nur Funktionen und Preis, sondern auch Nachweise, Änderungsprozesse und Abschaltmöglichkeiten.
Ein belastbarer Umsetzungsplan für vier Wochen
In der ersten Woche sollte ein Verantwortlicher gemeinsam mit IT, Datenschutz und den wichtigsten Fachbereichen alle laufenden KI-Anwendungen sammeln. In der zweiten Woche werden die Systeme nach geschäftlicher Bedeutung, Datenrisiko und Grad der Automatisierung sortiert. Woche drei dient dazu, Lücken zu schließen: fehlende Freigaben, unklare Anbieterbedingungen, nicht dokumentierte Datenquellen oder Prozesse ohne menschliche Kontrollstelle. In der vierten Woche werden die Regeln in den tatsächlichen Arbeitsablauf eingebaut. Dazu gehören kurze Freigabeformulare, verständliche Hinweise für Mitarbeitende und eine feste Überprüfung, wenn Anbieter Modelle oder Funktionen ändern.
Nicht jede KI-Anwendung braucht denselben Aufwand
Ein Schreibassistent für interne Entwürfe ist anders zu behandeln als ein System, das Bewerbungen vorsortiert, Preise verändert oder Kundenanfragen automatisch beantwortet. Sinnvoll ist deshalb eine einfache Risikostufung. Niedrige Stufen erhalten klare Nutzungsregeln und eine verantwortliche Person. Mittlere Stufen benötigen zusätzlich dokumentierte Tests und regelmäßige Stichproben. Kritische Anwendungen dürfen erst nach fachlicher, rechtlicher und technischer Prüfung produktiv werden. Dieser Ansatz verhindert, dass harmlose Werkzeuge durch Bürokratie blockiert werden, während sensible Automationen unbemerkt wachsen.
- Inventar erstellen und einen fachlichen Eigentümer je System benennen.
- Einsatzkontext, Datenarten und Auswirkungen auf Kunden oder Mitarbeitende bewerten.
- Kontrollen, Freigaben und verständliche Transparenzhinweise festlegen.
- Änderungen an Modellen, Prompts, Datenquellen und Automationen versioniert nachhalten.
So bleibt die Umsetzung im Alltag belastbar
Governance funktioniert nur, wenn sie in bestehende Routinen eingebaut wird. Die Beschaffung eines neuen SaaS-Werkzeugs sollte deshalb automatisch eine kurze KI-Prüfung auslösen. Dasselbe gilt für neue Automationsschritte, veränderte Datenquellen und Modellupdates. Ein monatlicher Kontrolltermin reicht für stabile, wenig kritische Anwendungen oft als organisatorischer Takt; sensible Prozesse benötigen engere Prüfungen. Entscheidend ist nicht die Menge der Dokumente, sondern die Verbindung zwischen Entscheidung, verantwortlicher Person und technischem Zustand. Werden Regeln nur in einer Richtlinie abgelegt, aber weder in Berechtigungen noch in Freigaben oder Monitoring übersetzt, bleiben sie wirkungslos. Gute KI-Governance ist daher immer auch Systemdesign: Zugänge werden begrenzt, Änderungen protokolliert und Ausnahmen sichtbar gemacht.
Für die Geschäftsleitung sollte daraus ein kurzes, regelmäßiges Lagebild entstehen. Es zeigt, welche KI-Anwendungen produktiv sind, wo neue Risiken hinzugekommen sind und welche Projekte messbare Wirkung liefern. So wird Compliance nicht von der Wertschöpfung getrennt. Das Unternehmen kann schwache Experimente beenden, erfolgreiche Anwendungen gezielt ausbauen und bei regulatorischen Änderungen schnell reagieren. Gleichzeitig wissen Mitarbeitende, welche Werkzeuge erlaubt sind und an wen sie sich bei Unsicherheit wenden können. Diese Klarheit reduziert Schatten-IT und schafft Vertrauen in die Automationen, die tatsächlich im Alltag helfen.
Transparenz als Vorteil statt reine Pflicht
Saubere Transparenz hilft nicht nur bei Compliance. Sie macht KI-Projekte wirtschaftlich steuerbar. Ein Unternehmen erkennt doppelte Werkzeuge, unnötige Abonnements, unklare Datenwege und Prozesse, die noch keine messbare Wirkung haben. Gleichzeitig entsteht eine belastbare Grundlage für neue Automationen: Verantwortlichkeiten sind geklärt, Datenquellen bekannt und Kontrollpunkte definiert. Wer diese Arbeit früh erledigt, kann neue KI-Funktionen schneller prüfen und sicherer einführen. Der EU AI Act wird damit zum Auslöser für bessere Systemarchitektur und nicht nur zu einer weiteren Pflicht auf der To-do-Liste.