KW 24: Draußen glitzert der Rhein im Juni-Licht, und hier drinnen in meinem Büro in Düsseldorf staubt ein Ordner aus dem Jahr 2024 vor sich hin. Darauf steht in krakeliger Handschrift: „KI-Richtlinien – Entwurf“. Wenn ich heute, Mitte 2026, darauf zurückblicke, muss ich fast ein bisschen lachen, wenn es nicht so traurig wäre. Damals dachten wir noch, ein paar Sätze zum Datenschutz würden reichen. Heute, nachdem der EU AI Act mit voller Wucht in den Unternehmen angekommen ist, sieht die Welt ganz anders aus.
Ich habe gestern Abend wieder bis lange nach den üblichen Bürozeiten hier gesessen. Mein Monitor war die einzige Lichtquelle, und ich habe versucht, unsere internen Regeln an die neuesten Anforderungen anzupassen. Wir sind immer noch 78 Leute im Maschinenbau-Zulieferbetrieb, und ich bin immer noch diejenige, die ohne IT-Zertifikat oder Jura-Diplom dafür sorgen muss, dass wir nicht mit einem Bein im Gefängnis stehen (oder zumindest keine Bußgelder zahlen, die unseren Jahresumsatz auffressen). Wenn du dich gerade genauso fühlst wie ich – erschlagen von Paragrafen und der Angst, etwas falsch zu machen – dann ist dieser Eintrag für dich.
KW 3: Warum die alten Regeln im Januar im Papierkorb landeten
Anfang des Jahres kam der ITler Tobias in mein Büro. Er hatte diesen Blick drauf, den er immer hat, wenn er eine Sicherheitslücke gefunden hat. „Wir haben ein Problem“, sagte er nur und legte mir eine Liste auf den Tisch. Er hatte bei einer Routineprüfung festgestellt, dass fast die Hälfte der Belegschaft Tools nutzt, die in unseren alten Richtlinien von 2024 überhaupt nicht vorkamen. Bildgeneratoren für technische Zeichnungen, Transkriptions-Bots in internen Meetings, KI-gestützte Code-Schreiber in der Entwicklung.
Ich merkte schnell: Meine alten Verbote waren wie ein löchriger Zaun. Die Leute nutzen die Technik sowieso, weil sie ihnen die Arbeit erleichtert. Wenn ich es verbiete, machen sie es heimlich auf ihren privaten Handys. Das ist das gefährlichste Szenario für den Datenschutz. Ich musste also weg von der „Verbots-Kultur“ hin zu einer „Leitplanken-Kultur“. Wir brauchen Regeln, die so flexibel sind, dass sie auch nächste Woche noch gelten, wenn das nächste Super-Tool auf den Markt kommt.
KW 8: Der Schock durch die neuen Fristen des AI Act
Mitte Februar wurde mir erst richtig bewusst, dass die Schonfrist vorbei ist. Bestimmte Anforderungen des AI Act sind nun seit dem 2. Februar 2026 scharf geschaltet. Ich saß an einem Dienstagabend über den Texten und habe erstmal eine Viertelstunde fassungslos aus dem Fenster gestarrt. Wir müssen jetzt nicht nur dokumentieren, *dass* wir KI nutzen, sondern auch *wie* wir die Kompetenz unserer Mitarbeiter fördern. Das ist keine Bitte mehr, das ist eine Pflicht.
Besonders kritisch wurde es bei der Frage, was wir komplett lassen müssen. Es gibt Dinge, die sind einfach tabu. Ich habe dazu extra eine Übersicht erstellt, welche verbotenen KI-Anwendungen im EU AI Act wir sofort aus unseren Prozessen entfernen mussten. Zum Beispiel alles, was in Richtung Verhaltensüberwachung am Arbeitsplatz geht. Frau Krüger aus der Fertigung wollte mal ein System testen, das die Effizienz der Zerspanungsmechaniker anhand von Videodaten analysiert. Da musste ich hart „Nein“ sagen. Das war kein schönes Gespräch, aber mein Job als AI-Act-Beauftragte ist es eben auch, die Spielverderberin zu sein, um das Unternehmen zu schützen.
Das Ampel-System: Meine Lösung für den Büroalltag
Im April hatte ich den Durchbruch. Ich saß nach meiner wöchentlichen Yoga-Stunde (die einzige Zeit, in der mein Nacken mal nicht wie Beton ist) auf der Matte und dachte: Warum machen wir es nicht wie im Straßenverkehr? Niemand liest ein 40-seitiges Handbuch, bevor er über eine Kreuzung fährt. Wir brauchen eine Ampel-Logik für unsere KI-Richtlinien.
- Grün: Tools für allgemeine Texte, Rechtschreibprüfung oder Brainstorming. Erlaubt, solange keine Kundendaten oder Geschäftsgeheimnisse eingegeben werden. Hier vertrauen wir auf den gesunden Menschenverstand.
- Gelb: Tools, die Daten verarbeiten oder für die Analyse von Tabellen genutzt werden. Hier muss Tobias aus der IT einmal drüberschauen und die Lizenz freigeben. Kein „Schatten-Account“ mit der privaten E-Mail-Adresse!
- Rot: Alles, was Entscheidungen über Menschen trifft oder Hochrisiko-Bereiche betrifft (wie unsere Recruiting-Software). Hier darf nichts ohne meine explizite Freigabe und eine ordentliche Dokumentation passieren.
Diese Logik hat Frau Krüger und auch die Jungs in der Werkstatt sofort überzeugt. Es ist einfach, es ist klar, und es nimmt die Angst vor Fehlern. Wir haben das Ganze dann in einen sogenannten KI-Führerschein für Mitarbeiter gegossen. Erst wer die Ampel-Regeln verstanden hat, bekommt das offizielle „Go“ für die gelben Tools. Das hat den Stresspegel im Team massiv gesenkt.
KW 20: Der Moment, in dem die Geschäftsführung unterschrieb
Vor ein paar Wochen war es dann soweit. Ich hatte den finalen Entwurf der Richtlinie fertig. Ich bin keine Juristin, das habe ich dem Chef auch immer wieder gesagt. Wenn wir es absolut wasserfest für einen Börsengang bräuchten, müssten wir eine Kanzlei für IT-Recht für 600 Euro die Stunde buchen. Aber für uns als Mittelständler war wichtig: Wir brauchen ein Dokument, das lebt.
Ich war so nervös, als ich ins Büro des Geschäftsführers ging. Aber wissen Sie, was er sagte? „Frau HR-Managerin, danke, dass Sie das so pragmatisch gelöst haben. Ich hatte schon Angst, wir müssen die Hälfte unserer Innovationen einstellen.“ Dass er die Richtlinie ohne große Änderungen unterschrieben hat, war für mich wie ein Ritterschlag. Es zeigt mir, dass wir im Mittelstand nicht perfekt sein müssen, aber wir müssen anfangen. Wenn du dich fragst, wie ich überhaupt in diesen Schlamassel geraten bin und was ich den ganzen Tag so treibe, habe ich mal aufgeschrieben, wie meine Aufgaben als interne KI-Beauftragte eigentlich aussehen – das ist manchmal mehr Detektivarbeit als HR.
Wie du deine eigene Vorlage baust (ohne Wahnsinnig zu werden)
Wenn du jetzt vor deinem leeren Dokument sitzt, gib nicht auf. Mein wichtigster Rat aus der Praxis: Fang klein an. Schreib nicht direkt das „Gesetzbuch des Unternehmens“. Fang mit einer Nutzungsvereinbarung an, die zwei Seiten lang ist.
Wichtig sind drei Punkte, die bei uns den Unterschied gemacht haben: 1. Transparenz: Die Mitarbeiter müssen sagen, wenn sie KI nutzen. Keine Strafe dafür, sondern Unterstützung. 2. Verantwortung: Der Mensch ist immer der letzte Prüfer. Wenn die KI Mist baut, haftet nicht die KI, sondern derjenige, der den Text oder die Zeichnung freigegeben hat. 3. Datenschutz-Check: Ein kleiner Kasten am Ende der Richtlinie, in dem steht: „Stopp! Sind hier Namen von Kunden oder technische Patente enthalten? Wenn ja -> IT fragen!“
Ich merke selbst, wie ich Woche für Woche dazulerne. Gestern dachte ich noch, ich hätte alles verstanden, heute kommt eine neue Meldung der EU-Kommission und ich muss wieder nachjustieren. Aber das ist okay. Wir wachsen da rein. Ich bin jetzt seit 2021 im Unternehmen und habe noch nie eine so spannende, aber auch so anstrengende Zeit erlebt.
Es ist jetzt gleich 19 Uhr. In einer Stunde fängt mein Yoga-Kurs an. Ich werde heute besonders tief durchatmen müssen, denn morgen steht die erste Schulung für die Verwaltung an. Wir gehen die neuen Richtlinien gemeinsam durch. Ich werde ehrlich zugeben, was ich selbst noch nicht weiß. Ich glaube, diese Ehrlichkeit ist es, die uns im Mittelstand durch diesen KI-Dschungel bringt. Wir sitzen alle im selben Boot, und solange wir die Leitplanken stabil halten, kann eigentlich nicht viel schiefgehen. Also, Kopf hoch – du schaffst das auch!