KI-Beratung für KMU: Die wichtigsten Fragen für 2026

Die EU-KI-Verordnung (KI-VO) ist am 1. August 2024 in Kraft getreten. Die für KMU relevanten Pflichten greifen in drei Stufen. Die erste Stufe (Artikel 4 zur KI-Kompetenz) gilt seit dem 2. Februar 2025. Seit der Änderung vom Juli 2026 (Verordnung (EU) 2026/1744) muss jedes Unternehmen, dessen Mitarbeiterinnen und Mitarbeiter KI-Systeme im Geltungsbereich einsetzen, Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz dieser Personen zu unterstützen. Der frühere Wortlaut verlangte, ein ausreichendes Maß „sicherzustellen“. Ein Zertifikat ist nicht vorgesehen. Bewertet werden die Maßnahmen, die Sie ergriffen haben. Halten Sie deshalb fest, wer welche KI für welche Entscheidungen nutzt und welche Schulung zu den Grenzen des Werkzeugs stattgefunden hat. Wer in Personalwesen, Finanzwesen, Kundenservice oder Rechtsabteilung KI-gestützte Werkzeuge einsetzt und keinen solchen Nachweis hat, kann einer Behörde auf Nachfrage nichts vorlegen. Die zweite Stufe sind die Transparenzpflichten nach Artikel 50. Sie gelten seit dem 2. August 2026 und wurden nicht verschoben: Menschen müssen erfahren, wenn sie mit einem Chatbot oder Sprachagenten sprechen, und Deepfakes sind offenzulegen. Für die maschinenlesbare Kennzeichnung von KI-Ausgaben gilt bei bereits am Markt befindlichen Werkzeugen eine Übergangsfrist bis zum 2. Dezember 2026; diese Pflicht liegt bei den Anbietern der Werkzeuge. Die dritte Stufe greift jetzt am 2. Dezember 2027, die Verordnung (EU) 2026/1744 hat sie vom 2. August 2026 verschoben: Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen nach Anhang III der KI-VO. In Produkte nach Anhang I eingebettete KI folgt am 2. August 2028. Die meisten KMU sind Betreiber (sie nutzen das KI-Produkt eines Anbieters) doch die Betreiberpflichten nach Artikel 26 der KI-VO sind erheblich: Nutzung gemäß Gebrauchsanweisung des Anbieters, menschliche Aufsicht, Überwachung, Aufbewahrung der Protokolle und Information der Beschäftigten. Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation sind Pflichten des Anbieters. Bei Nicht-Einhaltung drohen Bußgelder bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes; bei Verstößen gegen das Verbot nach Artikel 5 bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für KMU gilt der jeweils niedrigere Betrag (Artikel 99 Absatz 6). Der praktische Dreischritt für ein KMU mit 10 bis 250 Beschäftigten: (1) alle eingesetzten KI-Werkzeuge inventarisieren und gegen Anhang III klassifizieren; (2) für alle KI-nutzenden Mitarbeiterinnen und Mitarbeiter Maßnahmen zur KI-Kompetenz nach Artikel 4 durchführen und dokumentieren; (3) einen KI-Operations-Audit beauftragen, um festzustellen, welche Werkzeuge eine formelle Governance-Dokumentation erfordern. Mittelstand-Digital, das Förderprogramm des Bundesministeriums für Wirtschaft und Energie (BMWE), bietet kostenlose Readiness-Workshops als Einstieg. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat darüber hinaus KI-Sicherheitsleitlinien veröffentlicht, die sowohl NIS2 als auch die KI-VO-Pflichten für KMU in regulierten Branchen berücksichtigen.

Ein KI-Operations-Audit ist eine strukturierte Diagnose (in der Regel zwei bis drei Wochen) die die bestehenden Prozesse eines Unternehmens gegen messbare KI-Potenziale kartiert, eine priorisierte Implementierungs-Roadmap erstellt und die durch den aktuellen oder geplanten KI-Einsatz ausgelösten Compliance-Pflichten identifiziert. Er beantwortet die Frage, die die meisten Geschäftsführer im Mittelstand tatsächlich stellen: Wo spart uns Künstliche Intelligenz echtes Geld, und was müssen wir tun, um dabei rechtskonform zu bleiben? Der Vectimo KI-Operations-Audit (Einstiegsstufe, 2.500 Euro, 2 Wochen) liefert drei Ergebnisse: eine Ist-Zustand-Prozesskarte mit 8 bis 15 Kandidatenprozessen; eine priorisierte Auswahl von 4 bis 7 KI-Chancen mit 180-Tage-ROI-Szenarien; und eine Compliance-Zusammenfassung zu Anhang-III-Klassifizierung, Artikel-4-Kompetenzlücken und DSGVO-Artikel-28-Lieferantenpflichten. Das Audit vermeidet in der ersten Woche bewusst Werkzeugempfehlungen. Die Auswahl folgt der Prozessklarheit, nicht umgekehrt. Jede bewertet nach Erfassung, Zugang, Durchlaufzeit und Lernen. Dieses Rahmenwerk, abgeleitet aus der YC-These zum KI-nativen Unternehmen (Diana Hu), identifiziert, wo Unternehmen als offene Schleifen laufen: Informationen sterben in Postfächern, Entscheidungen basieren auf veralteten Daten, institutionelles Wissen verschwindet, wenn Mitarbeiterinnen und Mitarbeiter das Unternehmen verlassen. Das Ergebnis ist ein Closed-Loop-System-Design mit quantifizierten Kosten der Prozesse mit hohen Opportunitätskosten und einer 90-Tage-Implementierungs-Roadmap. Das Mensch-im-Loop-Design ist ein nicht verhandelbares Ergebnis jedes seriös aufgesetzten Audits: Jeder KI-gestützte Prozess muss den Entscheidungspunkt definieren, an dem eine Person das Ergebnis prüft, überstimmt oder freigibt, bevor es einen Kunden, einen Finanzbeleg oder einen compliance-relevanten Vorgang betrifft.

Das verlässlichste KI-ROI-Modell für ein KMU beginnt mit drei Eingangswerten: (1) wöchentliche Stunden manuellen Aufwands, den der Prozess aktuell beansprucht; (2) Vollkosten der Mitarbeiterinnen und Mitarbeiter, die diese Arbeit erledigen; (3) realistische Implementierungs- und laufende Kosten der KI-Lösung. Die Rechnung ist einfach, aber die Eingangswerte erfordern ehrliche Betriebsdaten, weshalb die meisten von KI-Anbietern präsentierten ROI-Schätzungen zu optimistisch ausfallen. Ein praxistauglicher Richtwert: Ein einziger KI-Prozess im KMU, der mindestens 10 Stunden manuellen Aufwand pro Woche berührt und für unter 15.000 Euro Gesamtkosten im ersten Jahr implementiert wird, liefert bei einer Automatisierungsrate von 70 bis 80 % der Zielaufgabe eine Erstjahresrendite von 180 bis 340 % (Vectimo interne Methodik). Drei Muster, die KI-ROI-Prognosen für KMU regelmäßig verzerren: Erstens wird eingesparte Bruttozeit statt Nettozeit angesetzt. Mitarbeiterinnen und Mitarbeiter nutzen zurückgewonnene Zeit selten zu 100 % produktiv; ein realistischer Nettowirkungsgrad liegt bei 50 bis 70 %. Zweitens werden Change-Management-Kosten ignoriert. Nutzerakzeptanzarbeit verteuert das Implementierungsbudget typischerweise um 15 bis 25 %. Drittens wird der Anwendungsfall anhand von Anbieter-Demos gewählt statt auf Basis eigener Prozessdaten. Für GoBD-relevante Prozesse (KI-gestützte Rechnungsverarbeitung, Spesenabrechnung oder Finanzdokumentenverarbeitung im deutschen Rechtsraum) muss das ROI-Modell zudem Compliance-Test- und Protokollierungsanforderungen berücksichtigen, die GoBD vorschreibt.