Es war ein Mittwochabend im Januar, die Heizung in meiner Küche gluckerte leise, und ich starrte auf eine Liste, die Tobias aus der IT mir am Nachmittag zugeschoben hatte. Es war eine Liste der Tools, die unsere 78 Mitarbeitenden in den letzten Monaten 'einfach mal so' ausprobiert hatten. Da saß ich nun, frisch ernannte AI-Act-Beauftragte ohne Jura-Diplom, und fühlte mich, als müsste ich einen Ozean mit einem Teelöffel ausschöpfen. Mir war klar: Wenn ich jetzt mit einem 50-seitigen Compliance-Handbuch um die Ecke komme, wird das niemand lesen. Nicht Frau Krüger aus der Fertigung und erst recht nicht der Vertrieb.
Warum starre Verbote im Mittelstand nicht funktionieren
In meinen vier Jahren hier im Unternehmen habe ich eines gelernt: Wenn man Dinge verbietet, finden die Leute kreative Wege daran vorbei. Die 'Schatten-KI' war längst da. Anstatt also alles abzuriegeln, habe ich mich für einen unkonventionellen Weg entschieden: Ich habe ein kleines 'Schatten-KI-Budget' zugelassen. Klingt verrückt, oder? Aber ich wollte sehen, wo der echte Bedarf liegt. Anstatt die Leute zu rügen, wenn sie ChatGPT nutzen, habe ich sie gebeten, mir zu zeigen, wie es ihnen hilft. Nur so konnte ich verstehen, welche Daten überhaupt fließen.
Ich bin keine IT-Expertin, ich habe BWL studiert. Aber ich weiß, wie man Prozesse strukturiert. Mein Ziel war nicht, die Technik zu verstehen, sondern die Regeln für den Umgang mit unseren Informationen festzulegen. Das ist im Kern das, was man heute Daten-Governance nennt, auch wenn das Wort für mich anfangs nach purer Überforderung klang.
KW 08: Der Geruch von kaltem Kräutertee und Artikel 4
Ein paar Wochen später, es war Ende Februar, saß ich wieder spätabends am Schreibtisch. Ich erinnere mich noch genau an den Geruch von kaltem Kräutertee und die trockene, fast schon staubige Textur der ausgedruckten Seiten der KI-Verordnung. Ich habe das Wort 'Risikomanagement' sicher zum zehnten Mal mit meinem gelben Textmarker umrandet. Dabei stieß ich auf Artikel 4 des EU AI Act. Da steht schwarz auf weiß, dass Organisationen sicherstellen müssen, dass ihr Personal über ein ausreichendes Maß an 'KI-Kompetenz' verfügt.
Das war mein Heureka-Moment. Es geht nicht nur darum, was die Maschine macht, sondern was der Mensch davor weiß. In diesem Moment wurde die Idee für unseren KI-Führerschein für Mitarbeiter geboren. Ich dachte mir: Wir brauchen keine Verbotsliste, wir brauchen eine Befähigung. Ich muss meinen Kollegen nicht erklären, wie ein neuronales Netz funktioniert; ich muss nur sicherstellen, dass niemand unsere proprietären Maschinenbau-Blaupausen in eine öffentliche Cloud hochlädt.
Die rechtliche Leitplanke: Artikel 2 und der Anwendungsbereich
Während ich mich durch die Paragraphen kämpfte, lernte ich auch Artikel 2 kennen, der den Anwendungsbereich regelt. Für einen Maschinenbau-Zulieferer wie uns bedeutet das: Wir müssen unterscheiden, was wir intern nutzen, um E-Mails zu schreiben, und was vielleicht später in unsere Produkte einfließt. Da ich für die Verwaltung und HR zuständig bin, lag mein Fokus erst einmal auf dem 'Büro-Alltag'. Wenn du in einer ähnlichen Situation bist, kann ich dir nur raten: Atme tief durch. Du musst nicht das gesamte Gesetz auswendig kennen. Ein EU AI Act Glossar hilft enorm, um erst einmal die Sprache der Bürokratie zu verstehen.
KW 14: Das Ampelsystem für unsere Daten
Kurz vor der Osterpause habe ich Frau Krüger aus der Fertigungsleitung getroffen. Sie war skeptisch. 'Frau Müller, wenn ich jetzt jede E-Mail prüfen muss, ob da eine KI drübergeschaut hat, kommen wir zu gar nichts mehr', sagte sie. Ich habe ihr dann mein 'Ampelsystem' erklärt, das ich am Wochenende zuvor auf einem Schmierzettel entworfen hatte. Das ist meine pragmatische Antwort auf die Daten-Governance.
- Grün: Öffentliche Informationen. Unsere Website-Texte, allgemeine Branchen-News. Hier darf die KI nach Herzenslust unterstützen.
- Gelb: Interne, aber nicht kritische Daten. Protokolle von Team-Meetings (ohne Kundennamen), Entwürfe für die Weihnachtsfeier. Nutzung erlaubt, aber mit menschlicher Kontrolle.
- Rot: Kundendaten, Konstruktionszeichnungen, Personalakten. Hier ist die Nutzung von Standard-KI-Tools strikt untersagt.
Dieses einfache System hat bei den 78 Leuten hier mehr bewirkt als jede offizielle Richtlinie. Es war greifbar. Plötzlich war Daten-Governance kein IT-Gespenst mehr, sondern eine klare Arbeitsanweisung. Wir haben das Ganze dann auch mit dem Betriebsrat besprochen, was erstaunlich gut lief. Falls du das vor dir hast, schau dir mal an, wie man den Betriebsrat bei der Einführung von KI-Regeln am besten mit ins Boot holt.
Ein Wendepunkt: Wenn aus Angst Neugier wird
Vor ein paar Wochen kam ein langjähriger Kollege zu mir ins Büro. Er war sichtlich nervös. Er hatte Angst, ChatGPT für seine englischen Kunden-E-Mails zu nutzen, weil er dachte, er würde damit gegen Regeln verstoßen. Als ich ihm zeigte, dass das unter meine 'gelbe' Kategorie fällt, solange er keine technischen Spezifikationen mitkopiert, fiel ihm ein Stein vom Herzen. Er verstand, dass der 'KI-Führerschein' kein Test ist, den man bestehen muss, um nicht gefeuert zu werden, sondern ein Sicherheitsnetz für ihn selbst.
Ich habe in diesem Moment gemerkt, dass meine Rolle als interne KI-Beauftragte im Mittelstand viel mehr mit Psychologie zu tun hat als mit Technik. Es geht darum, die Brücke zu bauen zwischen der Angst vor dem Neuen und der Notwendigkeit von Sicherheit. Ich bin keine Juristin – und wenn du es rechtlich ganz genau wissen willst, solltest du unbedingt eine Anwältin für IT-Recht fragen – aber für unseren Alltag hier in Düsseldorf reicht oft der gesunde Menschenverstand und eine klare Struktur.
Mein Fazit nach 8 Monaten KI-Abenteuer
Daten-Governance im Mittelstand ist kein Projekt, das man einmal abschließt. Es ist ein Prozess. Ich lerne jeden Tag dazu, oft auf die harte Tour. Letzte Woche erst habe ich gemerkt, dass ich eine Regel zu kompliziert formuliert hatte, sodass Tobias aus der IT sie selbst dreimal lesen musste. Das war der Moment, in dem ich alles nochmal vereinfacht habe.
Wenn du in einer ähnlichen Rolle bist: Lass dich nicht von den Begriffen einschüchtern. Du musst nicht wissen, wie ein Algorithmus rechnet. Du musst nur wissen, welche Daten dein Unternehmen schützen muss. Ein pragmatischer Aufbau ist viel wertvoller als ein perfektes, aber ungelesenes Konzept. Und vergiss nicht: Einmal die Woche Yoga hilft wirklich, um den Kopf frei zu bekommen, wenn die Verordnungstexte mal wieder zu trocken werden.
Wir stehen erst am Anfang. Aber mit 78 Leuten, die wissen, was sie tun dürfen, schläft es sich deutlich ruhiger. Es geht nicht um Perfektion, sondern um Transparenz. Wer weiß, vielleicht schreiben wir in einem Jahr ganz anders über dieses Thema. Bis dahin bleibe ich bei meiner Ampel und meinem Kräutertee – der schmeckt übrigens auch warm am besten.