Das Licht der Straßenlaternen auf der Düsseldorfer Straße spiegelt sich in meinem Monitor, während die Stadt draußen langsam zur Ruhe kommt. Es ist spät im November, KW 47, und ich starre auf einen Chat-Verlauf, den mir der ITler Tobias gerade weitergeleitet hat. Ein Kollege aus dem Vertrieb hat – in bester Absicht, um Zeit zu sparen – unsere komplette Kalkulationstabelle für den neuen Großkunden in ein öffentliches, kostenloses KI-Tool hochgeladen, um „die Trends zu analysieren“. Mein Herz schlägt bis zum Hals. In diesem Moment realisiere ich: Wir haben 78 Mitarbeitende, nutzen täglich KI, aber wir haben absolut keinen Plan, was wir tun, wenn etwas schiefgeht.
Hinweis: Auf diesem Blog findest du ab und zu Affiliate-Links zu Kursen oder Tools, die ich in meiner Rolle als KI-Beauftragte selbst ausprobiert habe. Wenn du darüber etwas buchst, erhalte ich eine kleine Provision – für dich bleibt der Preis natürlich gleich. Ich empfehle hier nur Dinge, die ich entweder selbst nutze oder für die ich meine Kollegen angemeldet habe.
Der Moment, in dem die Theorie auf die Realität prallt
Ich bin jetzt seit vier Jahren in der operativen HR-Arbeit hier im Maschinenbau-Zulieferer. Seit ich im Herbst 2024 zur internen AI-Act-Beauftragten ernannt wurde, habe ich mich durch hunderte Seiten Text gequält. Aber Theorie ist das eine, die Praxis etwas ganz anderes. Das leise Summen der Kaffeemaschine in der leeren Teeküche begleitet mich oft, während ich zum dritten Mal die Definition von „Hochrisiko-KI“ lese und versuche zu verstehen, in welche der 4 Risikoklassen des AI Acts unsere Anwendungen eigentlich fallen.
Bisher dachte ich immer, ein „Vorfall“ wäre etwas für die IT-Abteilung. Ein Serverausfall, ein Virus. Aber bei KI geht es um mehr. Es geht um Datenabfluss, um falsche Versprechungen gegenüber Kunden und um rechtliche Grauzonen. Als ich sah, dass die KI dem Kunden völlig falsche Lieferzeiten „halluziniert“ hatte, weil sie die Daten falsch interpretierte, spürte ich dieses plötzliche Herzklopfen. Das ist kein IT-Problem. Das ist ein Compliance-Problem. Und ich stehe in der Mitte.
Mein erster (und kläglicher) Versuch: Das 20-Seiten-PDF
Kurz nach der ersten Yoga-Stunde im neuen Jahr – ich brauche diesen Mittwochabend als Anker, sonst würde ich den AI Act nachts im Schlaf zitieren – setzte ich mich hin. Ich wollte alles richtig machen. Ich schrieb einen Prozess auf. Wer meldet was an wen? Welche Fristen gelten? Ich erstellte ein 20-seitiges PDF, in dem ich minutiös erklärte, wie man einen Vorfall erkennt. Spoiler: Es war mein größter Misserfolg. Niemand im Betrieb hat es gelesen. Frau Krüger aus der Fertigungsleitung sagte mir ganz ehrlich: „Kindchen, wenn hier die Hütte brennt, lese ich kein Handbuch.“
Ich musste lernen, dass AI Act Compliance für KMU ohne Rechtsabteilung simpel sein muss. Der AI Act schreibt in Artikel 62 vor, dass schwerwiegende Vorfälle innerhalb von 15 Tagen gemeldet werden müssen. 15 Tage klingen viel, aber wenn man erst herausfinden muss, was passiert ist, wer zuständig ist und ob es sich um ein Hochrisiko-System handelt, verfliegt die Zeit. Ich bin keine Juristin, aber ich weiß, dass wir diese Frist nicht reißen dürfen.
Der praktische Notfallplan: Weniger ist mehr
Nach etwa drei Monaten Testphase habe ich das 20-seitige Monster beerdigt. Stattdessen haben wir jetzt ein einfaches Online-Formular mit drei Fragen. Wir haben gelernt, dass die Hemmschwelle zur Meldung so niedrig wie möglich sein muss. Wenn Tobias oder Frau Krüger etwas Komisches bemerken, wollen sie nicht erst prüfen, ob das rechtlich relevant ist. Sie sollen es einfach melden.
Mein Plan sieht heute so aus:
- Sofort-Stopp: Wenn der Verdacht besteht, dass sensible Daten (wie unsere Konstruktionspläne) abgeflossen sind, wird der Zugang zum Tool sofort gesperrt.
- Die 15-Tage-Uhr: Ich prüfe innerhalb von 48 Stunden, ob eine Meldepflicht nach dem AI Act besteht.
- Beweissicherung: Wir machen Screenshots von den Prompts und den Antworten der KI.
Besonders wichtig ist mir dabei das Thema Kompetenz. Ich habe gemerkt, dass Verbote nur zu Schatten-KI führen. Die Leute nutzen ChatGPT dann heimlich am Handy. Deshalb setzen wir jetzt massiv auf Bildung. Ein wichtiger Baustein war für uns der KI-Führerschein. Er hilft den Kollegen zu verstehen, wo die Grenzen der Technik liegen, damit sie Fehler von KI im Büro erkennen können, bevor sie zum echten Vorfall werden.
Sonderfall: Hochsensible Abteilungen
An einem schwülen Dienstagnachmittag im Juli saß ich mit unserer Rechtsabteilung (die aus einer halben Stelle besteht) zusammen. Hier ist die Lage anders. In Bereichen wie Recht oder IT-Security können Standard-Prozesse scheitern. Wenn dort ein KI-Vorfall passiert, brauchen wir sofort eine rechtliche Privilegierung der Kommunikation und eine strikte Beweissicherung. Hier geht es nicht nur um eine interne Meldung, sondern darum, Haftungsrisiken für das gesamte Unternehmen zu minimieren.
In diesen Abteilungen haben wir einen „Roten Knopf“ eingeführt. Dort wird nicht erst ein Formular ausgefüllt, sondern direkt telefoniert. Wir müssen sicherstellen, dass wir bei rechtlichen Fehltritten der KI sofort handlungsfähig sind. Das ist eine Lektion, die ich erst durch den Austausch mit anderen HR-Leuten gelernt habe: Man kann nicht alle Abteilungen über einen Kamm scheren.
Was ich heute anders machen würde
Wenn ich auf den letzten Herbst zurückblicke, muss ich über meine eigene Naivität schmunzeln. Ich dachte, ich könnte alles mit Dokumenten regeln. Aber Compliance ist keine Akte, sondern eine Kultur. Wenn Tobias heute zu mir kommt und sagt: „Ich glaube, die KI hat da was Komisches mit den Mitarbeiterdaten gemacht“, dann bin ich froh. Nicht über den Vorfall, sondern darüber, dass er es mir sagt.
Wir haben auch gelernt, dass wir die KI Dokumentationspflichten im Büro ernst nehmen müssen, aber sie dürfen uns nicht lähmen. Ich bin keine IT-Expertin und werde es auch nicht mehr. Aber ich bin diejenige, die die Fäden zusammenhält. Und das reicht oft schon aus.
Fazit: Keine Angst vor dem Fehler
KI-Vorfälle werden passieren. Das ist so sicher wie das Amen in der Kirche. Wichtig ist nur, dass wir nicht erstarren. Mein Notfallplan ist heute ein lebendes Dokument. Er wächst mit jeder Yoga-Stunde, in der ich den Stress abbaue, und mit jedem Gespräch in der Teeküche.
Wenn du in einer ähnlichen Situation bist: Fang klein an. Erwarte nicht, dass du sofort alles über den AI Act weißt. Ich lerne auch jeden Tag dazu. Ein erster Schritt für dein Team könnte eine strukturierte Schulung sein. Ich habe gute Erfahrungen damit gemacht, die Leute nicht mit Paragraphen zu bewerfen, sondern ihnen praktisches Wissen an die Hand zu geben. Der KI-Führerschein ist dafür ein super Einstieg, weil er genau diese Brücke zwischen „Ich nutze das mal eben“ und „Ich weiß, was ich da tue“ schlägt.
Am Ende des Tages geht es darum, dass wir als KMU die Kontrolle behalten. Wir haben keine riesigen Rechtsabteilungen wie die Konzerne in London oder Berlin. Wir haben uns. Und ein bisschen gesunden Menschenverstand. Falls du dich unsicher fühlst: Du bist nicht allein. Wir sitzen alle im selben Boot, versuchen den AI Act zu verstehen und hoffen, dass die nächste Yoga-Stunde den Kopf wieder frei macht. Falls du tiefer in die Materie einsteigen willst, schau dir mal die FAQs des BfDI an – das hilft oft mehr als jeder teure Berater.