An einem regnerischen Mittwochabend saß ich allein im Büro, die Yoga-Matte lehnte ungenutzt an der Wand, während ich versuchte, Artikel 4 der KI-Verordnung in verständliches Deutsch für unsere Buchhaltung zu übersetzen. Draußen auf der Düsseldorfer Landstraße war der Berufsverkehr längst verstummt, und das einzige Geräusch im Raum war das trockene Geräusch des Textmarkers auf dem Gesetzestext. Ich frage mich in solchen Momenten oft, ob die EU-Kommission jemals bedacht hat, dass in einem 78-Mann-Betrieb die HR-Frau auch die Compliance-Expertin sein muss.
Ich bin keine Juristin. Ich habe BWL studiert und vier Jahre Erfahrung in der operativen Personalarbeit bei einem mittelständischen Zulieferer für den Maschinenbau hier in Düsseldorf. Als ich im Herbst 2024 zur internen 'AI-Act-Beauftragten' ernannt wurde, fühlte sich das eher wie ein schlechter Scherz an. Niemand wusste genau, was das bedeutet, aber alle hatten Angst vor den Bußgeldern – immerhin geht es um bis zu 7 Prozent des weltweiten Jahresumsatzes bei schweren Verstößen gegen Verbote. Da wir keinen externen Berater bezahlen wollten, hieß es: 'Frau Müller, Sie machen doch HR, Sie können gut mit Menschen und Regeln umgehen. Lesen Sie sich da mal ein.'
KW 46: Der Schock über die KI-Kompetenz
Mein erster richtiger Berührungspunkt war der besagte Artikel 4 des EU AI Act. Darin steht etwas von 'KI-Kompetenz' (AI Literacy). Kurz gesagt: Wir als Unternehmen müssen sicherstellen, dass unsere Leute wissen, was sie da eigentlich tun, wenn sie ChatGPT oder andere Tools nutzen. Das klingt erst mal logisch, aber wie setzt man das um, wenn man keine IT-Abteilung mit 50 Experten hat, sondern nur den ITler Tobias, der eigentlich schon mit dem Server-Update voll ausgelastet ist?
Ich habe am Anfang den Fehler gemacht, alles perfekt dokumentieren zu wollen. Ich wollte für jedes winzige Tool eine eigene Richtlinie schreiben. Nach zwei Wochen war ich völlig ausgebrannt und hatte erst drei Seiten fertig. Da wurde mir klar: Wenn ich so weitermache, brauche ich die 12 Monate Umsetzungsfrist für allgemeine KI-Modelle allein für das Inhaltsverzeichnis meiner Dokumentation. Ich musste pragmatischer werden. Compliance im Mittelstand ist kein juristisches Monster, sondern Fleißarbeit, die man häppchenweise servieren muss.
Der wichtigste Hebel: Strikte Account-Trennung statt Papierberge
Nach ein paar schlaflosen Nächten und viel Recherche kam mir die Erkenntnis, die heute unser wichtigster Sicherheitsanker ist. Viele Berater sagen dir, du musst jede Interaktion mit der KI protokollieren. Ganz ehrlich? Das macht im Büroalltag niemand. Mein Ansatz ist ein anderer: Wir konzentrieren uns auf die strikte Trennung von privaten und geschäftlichen KI-Accounts. Das ist mein persönlicher 'Geheimtipp' für alle, die keine Rechtsabteilung im Rücken haben.
Warum? Weil das Haftungsrisiko sofort sinkt, wenn keine Firmendaten in privaten Accounts landen, für die wir keine Kontrolle über die Datennutzung haben. Ich habe eine klare Ansage gemacht: Wer ChatGPT nutzt, nutzt den Firmen-Account mit den entsprechenden Datenschutzeinstellungen. Private Accounts auf Dienstgeräten sind tabu. Das ist eine Regel, die jeder versteht – vom Azubi bis zur Geschäftsführung. Es ist viel einfacher, eine klare Grenze zu ziehen, als zu versuchen, die Grauzone dazwischen mit 50 Seiten Text zu regulieren.
Natürlich müssen wir trotzdem wissen, wer was macht. Deshalb habe ich angefangen, unsere Prozesse zu scannen. Dabei habe ich gemerkt, dass wir oft gar nicht wissen, wo überall schon KI drinsteckt. Wenn du wissen willst, wie wir das im Detail gelöst haben, schau dir mal an, wie wir KI-Regeln im Homeoffice sicher und datenschutzkonform umsetzen. Das war nämlich die nächste Baustelle, sobald die Leute das Büro verlassen haben.
KW 10: Die Geburtsstunde des KI-Führerscheins
Anfang März saß ich mit Tobias aus der IT zusammen. Er war genervt, weil ständig jemand fragte, ob man dieses oder jenes Tool 'mal eben' ausprobieren dürfe. Da wurde mir klar: Wir brauchen ein System, das die Leute befähigt, selbst zu entscheiden, aber innerhalb unserer Leitplanken. So entstand die Idee zum 'KI-Führerschein'.
Ich bin keine IT-Expertin und werde es nie sein. Ich habe keine Zertifikate für Python oder Machine Learning. Aber ich weiß, wie man Schulungen organisiert. Der KI-Führerschein bei uns ist kein kompliziertes Informatik-Studium. Er ist ein pragmatisches Modulsystem. Wir bringen den Leuten bei, was ein 'Prompt' ist, aber vor allem, was sie niemals in eine KI eingeben dürfen (Kundendaten, Geschäftsgeheimnisse der Fertigung!).
Besonders stolz bin ich darauf, dass dieser Ansatz auch bei den Kollegen ankommt, die sonst eher skeptisch gegenüber neuen Regeln sind. Ich habe gemerkt, dass der KI-Führerschein für Quereinsteiger im Büro die beste Lösung ist, weil er die Angst vor der Technik nimmt und gleichzeitig die rechtliche Sicherheit gibt, die der AI Act von uns fordert. Ich erkläre den Kollegen immer: Das ist wie beim Autofahren. Ihr müsst nicht wissen, wie der Motor im Detail funktioniert, aber ihr müsst die Verkehrsregeln kennen, damit wir keine 7 Prozent Bußgeld zahlen müssen.
KW 24: Wenn die Theorie auf die Fertigungshalle trifft
Vor ein paar Wochen im Juni kam die Fertigungsleiterin Frau Krüger beim Mittagessen auf mich zu. Sie wirkte besorgt. Sie hatte gehört, dass ihre neue Schichtplan-Software, die sie gerade evaluierte, eventuell unter die 'Hochrisiko-Kategorie' fallen könnte. In diesem Moment wurde mir klar: Das Wissen kommt tatsächlich bei den Leuten an. Sie fangen an, mitzudenken.
Ich habe ihr ehrlich gesagt: 'Frau Krüger, ich weiß es aus dem Stegreif auch nicht, aber wir schauen uns das gemeinsam an.' Ich bin zwar keine Juristin, aber ich habe gelernt, die Kriterien des AI Acts anzuwenden. Wir haben geprüft, ob die Software Entscheidungen über Menschen trifft, die deren Leben oder Karriere massiv beeinflussen. Da es bei der Software nur um die Optimierung von Maschinenbelegungen ging und die menschliche Komponente minimal war, konnten wir erst mal durchatmen. Aber dieses Gespräch war Gold wert.
Es zeigt, dass Compliance nicht bedeutet, alles zu verbieten. Es bedeutet, ein Bewusstsein zu schaffen. Falls du dich fragst, wie man so etwas strukturiert angehen kann, ohne selbst zum IT-Profi zu werden: Ich habe viel darüber nachgedacht, wie man KI-Kompetenz im Team aufbauen kann, ohne den operativen Betrieb lahmzulegen. Es geht um kleine Schritte, nicht um den großen Wurf über Nacht.
Meine ehrlichen Learnings nach 9 Monaten
Wenn ich heute auf die letzten Monate zurückblicke, muss ich über meine anfängliche Panik fast ein bisschen lachen. Ich dachte wirklich, ich müsste den gesamten Gesetzestext auswendig lernen. Hier sind meine drei wichtigsten Erkenntnisse für alle HR-Kollegen in ähnlichen Situationen:
- Mut zur Lücke: Du wirst nicht alles wissen. Das ist okay. Wichtig ist, dass du die kritischen Punkte (wie die Hochrisiko-Systeme) identifizieren kannst und weißt, wen du im Zweifel fragen musst. Ich sage oft: 'Wenn du es ganz genau wissen willst, frag eine Anwältin für IT-Recht, aber für unseren Alltag reicht diese Regel hier...'
- Sprich mit der IT: Tobias und ich sind mittlerweile ein eingespieltes Team. Er liefert die technische Basis, ich die regulatorische und menschliche Hülle. Ohne diese Allianz funktioniert es nicht.
- Pragmatismus schlägt Perfektion: Eine einfache Regel, die 100 % der Belegschaft befolgen (wie die Account-Trennung), ist tausendmal mehr wert als eine perfekte Richtlinie, die ungelesen im Intranet verstaubt.
Es ist harte Arbeit, keine Frage. Manchmal sitze ich immer noch spät am Schreibtisch und verfluche die bürokratischen Hürden aus Brüssel. Aber dann gibt es diese Momente, in denen ein Kollege stolz erzählt, wie er mit einer KI eine Aufgabe in der Hälfte der Zeit erledigt hat – und dabei ganz selbstverständlich auf den Datenschutz geachtet hat. Dann weiß ich, dass wir auf dem richtigen Weg sind.
Es ist jetzt kurz vor acht. Die Putzkolonne ist schon durch, und ich bin die Letzte im Gebäude. Ich klappe den Laptop zu, atme tief durch und schaffe es gerade noch rechtzeitig zu meiner Stunde Yoga. Die Matte steht schon bereit. Compliance ist wichtig, aber meine geistige Gesundheit ist es auch. Und morgen? Morgen schauen wir uns an, wie wir die Dokumentationspflichten für unsere neuen HR-Tools angehen. Aber das ist eine Geschichte für einen anderen Tagebucheintrag. Falls du selbst gerade vor diesem Berg stehst: Fang einfach an. Ein Schritt nach dem anderen. Du musst kein Experte sein, um anzufangen – du musst nur anfangen, um Experte für dein eigenes Unternehmen zu werden.