Es ist spät. In meinem Büro in Düsseldorf brennt nur noch die Schreibtischlampe, und draußen wirft die Straßenlaterne lange Schatten auf den Parkplatz. Das einzige Geräusch ist das leise, rhythmische Summen des Druckers im leeren Flur und der Geruch von abgestandenem Kaffee, während ich die Definition von 'Hochrisiko-KI' zum zehnten Mal lese.
KW 48: Der Berg vor mir
Ende November. Ich stand heute Morgen vor meinem Whiteboard und habe ganz groß 'KI-Strategie' in die Mitte geschrieben. Dann habe ich den Marker weggelegt und erst mal fünf Minuten lang starr auf die weiße Fläche geguckt. Seit ich im Herbst zur AI-Act-Beauftragten ernannt wurde, fühle ich mich manchmal wie eine Hochstaplerin. Ich habe BWL studiert, nicht Informatik oder Jura. Aber mit 78 Leuten sind wir zu klein für eine eigene Rechtsabteilung und zu groß, um das Thema einfach zu ignorieren.
Was ich heute gelernt habe: Wir müssen kein Rad neu erfinden. Der EU AI Act unterscheidet strikt zwischen Anbietern (Providern), die KI bauen, und Betreibern (Deployern), die sie nutzen. Wir sind Betreiber. Das nimmt schon mal Druck raus. Trotzdem müssen wir unsere Tools sortieren. Besonders in der HR, wo ich sitze, landen wir schnell im Bereich 'Hochrisiko', wenn wir KI für Recruiting oder Leistungsbewertung nutzen. Ich habe dazu neulich erst aufgeschrieben, wie man KI-Systeme nach Risikoklassen im Mittelstand richtig einteilt, aber die Strategie dahinter fehlte mir noch.
KW 2: Die 250-Mitarbeiter-Hürde und der Vorlagen-Wahn
Nach der Weihnachtspause kam der ITler Tobias in mein Büro. Er hatte ein 50-seitiges Strategie-Template dabei, das er irgendwo im Netz gefunden hatte. 'Hier, damit sind wir sicher', sagte er. Ich habe reingeschaut und nach drei Seiten Kopfschmerzen bekommen. Das war für Konzerne geschrieben, die ganze Heerscharen von Compliance-Leuten beschäftigen. Wir sind ein KMU – die Grenze liegt bei 250 Mitarbeitern, und wir sind mit unseren 78 Leuten weit darunter. Warum sollten wir uns also mit Prozessen quälen, die für Siemens oder Bosch gedacht sind?
Ich habe den Fehler gemacht, zu glauben, dass eine Strategie 'kompliziert' sein muss, um gut zu sein. Ich habe versucht, Begriffe wie 'Data Governance' und 'Algorithmische Auditierung' in unsere Abläufe zu pressen. Frau Krüger aus der Fertigung hat mich nur entgeistert angesehen, als ich ihr das Konzept beim Mittagessen erklären wollte. 'Soll ich jetzt Maschinen bauen oder Formulare ausfüllen?', fragte sie. Sie hat recht. Ich bin keine Juristin, und ich sollte nicht versuchen, so zu klingen.
KW 10: Ein regnerischer Mittwochabend im März
Es regnet gegen die Scheiben, und ich bin frustriert. Ich hatte versucht, jedes einzelne Tool – vom Excel-Makro bis zur Rechtschreibprüfung – in die Strategie aufzunehmen. Das Ergebnis war ein bürokratisches Monster, das niemand lesen wollte. Ich habe mich gefragt, ob ich den Job einfach hinschmeißen soll. Mein Nacken war so verspannt, dass ich den Kopf kaum noch drehen konnte. Aber es ist mein Projekt, und ich will, dass wir das hier sicher über die Bühne bringen.
Ich merkte, dass ich mich in Details verlor. Ich wusste zwar schon aus meiner Inventur der Schatten-IT, was wir alles nutzen, aber ich hatte keinen Plan, wie wir entscheiden, was wir *dürfen*. Wenn du also gerade selbst vor so einem Berg stehst: Atme tief durch. Man muss nicht alles auf einmal lösen.
KW 11: Der Yoga-Moment und die Ampel-Lösung
Mittwochabend, kurz vor acht. Ich liege beim Yoga in der 'Kind-Position' und merke plötzlich das Lockern der Nackenmuskulatur, als ich beschließe, das 50-seitige Berater-Template einfach komplett zu löschen und bei Null anzufangen. Mein ganzer Körper schien 'Danke' zu sagen. Die Erkenntnis war: Unsere Strategie muss wie unsere Maschinen sein – funktional, sicher und ohne unnötigen Schnickschnack.
Statt die KI-Strategie mit komplizierten Zielen zu überladen, sollten wir gezielt nur den Prozess automatisieren, der den größten täglichen Frust auslöst. Bei uns ist das die manuelle Erfassung von Frachtpapieren. Frau Krüger flucht jeden Tag darüber. Wenn wir dort eine KI einsetzen, die wirklich hilft, haben wir die Leute auf unserer Seite. Alles andere ist erst mal zweitrangig.
Ich habe die Strategie auf drei Säulen reduziert:
- Die Ampel-Liste: Grün (erlaubt, z.B. ChatGPT für Texte), Gelb (Prüfung nötig, z.B. HR-Tools), Rot (verboten laut AI Act, z.B. Social Scoring).
- Der Frust-Check: Wir führen nur KI ein, die ein echtes Problem löst, nicht weil es 'modern' ist.
- KI-Kompetenz: Wir schulen die Leute, damit sie verstehen, was die KI macht. Das ist laut Gesetz sogar Pflicht.
KW 18: Anfang Mai – Es funktioniert
Heute Morgen habe ich der Geschäftsführung mein zweiseitiges Dokument präsentiert. Keine 50 Seiten, sondern zwei. Sie waren begeistert. Warum? Weil es greifbar ist. Wir haben jetzt ein klares Vorgehen für unsere 78 Mitarbeiter. Wir wissen, dass es insgesamt 4 Risikoklassen gibt und wo wir uns bewegen. Ich bin natürlich keine Rechtsberaterin – wenn es um Haftungsfragen geht, solltet ihr immer eine spezialisierte Kanzlei für IT-Recht drüberschauen lassen – aber für den operativen Start reicht unser Plan völlig aus.
Wir haben auch angefangen, darüber zu sprechen, wie wir die KI-Kompetenz im Mittelstand fördern, ohne dass wir externe IT-Gurus für teures Geld einfliegen müssen. Es geht darum, die Angst zu nehmen. 'Einfach' ist oft schwerer zu erarbeiten als 'kompliziert', aber es lohnt sich.
Wenn ich eines gelernt habe in den letzten Monaten: Eine KI-Strategie ist kein IT-Projekt. Es ist ein Menschen-Projekt. Es geht darum, dass Frau Krüger keine Angst vor der Technik hat und Tobias weiß, welche Tools er freigeben darf. Und ich? Ich sitze jetzt nicht mehr bis spät in die Nacht vor Verordnungstexten. Zumindest nicht mehr jeden Abend.