KI im KMU einführen: Der Fahrplan für die ersten 90 Tage
KI im KMU einzuführen heißt, drei Dinge parallel zu klären: ein Werkzeug, eine Regel und eine Handvoll Anwendungsfälle, die im Alltag tatsächlich tragen. Zwischen Einzel-Experimenten ohne Rahmen und einem Großprojekt mit Lastenheft liegt der pragmatische Weg – ein strukturierter Rollout in drei Phasen von je 30 Tagen.
Der Fahrplan setzt keine eigene IT-Abteilung voraus. Er setzt eine verantwortliche Person mit Mandat voraus, drei bis fünf klar benannte Anwendungsfälle und die Bereitschaft, zuerst das Werkzeug bereitzustellen und dann die Regel zu schreiben.
Dieser Artikel beschreibt die drei Phasen, die Rollen, die typischen Stolpersteine – und was am Ende der 90 Tage dokumentiert vorliegen sollte.
Tage 1 bis 30: Grundlagen schaffen
Am Anfang stehen drei Klärungen. Erstens: Wo steht das Team heute? Die Bestandsaufnahme muss die tatsächliche Nutzung erfassen, einschließlich privater Accounts, und sie muss sanktionsfrei sein – sonst bleibt sie unvollständig.
Zweitens: Welche Regeln gelten? Eine kurze KI-Richtlinie mit konkreten Datenklassen genügt für den Start; sie kann nach dem Pilot präzisiert werden. Drittens: Welches Werkzeug wird offiziell bereitgestellt? Diese Entscheidung fällt vor der Regel, nicht danach.
Parallel gehört die Vertragsebene geklärt: Auftragsverarbeitungsvertrag, Verarbeitungsstandort, vertraglicher Ausschluss des Trainings. Wer das erst nach dem Rollout angeht, dokumentiert rückwirkend – und findet in der Regel Lücken.
Tage 31 bis 60: Pilot mit echten Anwendungsfällen
Der Pilot funktioniert am besten mit einem motivierten Team von fünf bis fünfzehn Personen und drei bis fünf konkreten Anwendungsfällen aus deren Alltag – etwa Korrespondenzentwürfe, Zusammenfassungen längerer Dokumente oder das Durchsuchen interner Vorlagen.
Wichtig ist die Auswahl der Fälle: hoher Nutzen, geringe Datensensibilität, klar prüfbares Ergebnis. Fälle, bei denen niemand beurteilen kann, ob das Ergebnis richtig ist, taugen nicht als Einstieg.
Am Ende des Pilots stehen drei Ergebnisse: eine Liste der Fälle, die tragen, eine Liste der Fälle, die nicht tragen, und eine Sammlung von Beispielen aus dem eigenen Haus, die später die Schulung trägt.
Tage 61 bis 90: Rollout und Verankerung
Mit den Erkenntnissen aus dem Pilot wird ausgerollt: Schulung für alle – kurz, praxisnah und mit den intern erprobten Beispielen –, vorbereitete Assistenten für die häufigsten Aufgaben, und klare Verantwortlichkeiten für Betrieb und Rückfragen.
Jetzt wird auch die Dokumentation abgeschlossen: Eintrag im Verzeichnis der Bearbeitungstätigkeiten, angepasste Datenschutzerklärung, abgelegter Vertrag, dokumentierte Schulung. Letztere adressiert zugleich die KI-Kompetenzpflicht aus Art. 4 EU AI Act.
Zum Abschluss gehört ein Datum für die erste Überprüfung. Ohne festen Termin bleibt die Richtlinie in dem Zustand, in dem sie am Tag 90 war.
Anwendungsfälle nach Einstiegseignung
Die Auswahl der ersten Anwendungsfälle entscheidet über die Akzeptanz. Diese Sortierung hat sich als Ausgangspunkt bewährt und lässt sich an die eigene Branche anpassen.
| Anwendungsfall | Nutzen im Alltag | Datensensibilität |
|---|---|---|
| Interne Vorlagen und Merkblätter durchsuchen | Hoch, weil täglich gesucht wird | Gering |
| Längere Dokumente zusammenfassen | Hoch | Mittel, abhängig vom Dokument |
| Entwürfe für Korrespondenz und Angebote | Hoch | Mittel bis hoch |
| Protokolle aus Notizen erstellen | Mittel | Mittel |
| Auswertungen mit Personenbezug | Unterschiedlich | Hoch – nicht als Einstieg geeignet |
Wer die Einführung trägt
KI-Einführung scheitert selten an der Technik und häufig an fehlender Zuständigkeit. Drei Rollen genügen; in kleinen Unternehmen können sie in Personalunion besetzt werden.
- Eine verantwortliche Person mit Mandat und einem festen Zeitbudget – ohne beides bleibt die Einführung ein Nebenprojekt.
- Eine Ansprechperson pro Fachbereich, die Anwendungsfälle sammelt und Rückfragen bündelt.
- Eine Zuständigkeit für Datenschutz und Verträge, die den Verarbeitungsstandort prüft und die Dokumentation führt.
Die häufigsten Stolpersteine
Fünf Fehler tauchen in KMU-Projekten immer wieder auf.
- Werkzeug ohne Regeln einführen – oder Regeln ohne Werkzeug. Beides führt dazu, dass die private Nutzung weiterläuft.
- Zu viele Anwendungsfälle gleichzeitig statt drei, die sitzen. Breite vor Tiefe kostet Akzeptanz.
- Schulung als einmalige Pflichtveranstaltung statt als laufender Austausch mit Beispielen aus dem eigenen Haus.
- Kein Verantwortlicher: Die Einführung braucht eine Person mit Mandat, nicht eine Arbeitsgruppe ohne Entscheidungsbefugnis.
- Dokumentation zuletzt: Verzeichnis, Datenschutzerklärung und Vertrag gehören in Phase eins und drei, nicht in ein späteres Aufräumprojekt.
Was nach 90 Tagen vorliegen sollte
Am Ende der drei Phasen sollte sich ohne Suchen belegen lassen, wie das Unternehmen KI einsetzt. Diese sechs Punkte sind der Nachweis.
- Ein freigegebenes Werkzeug mit zentral verwalteten Zugängen und geklärtem Verarbeitungsstandort.
- Eine in Kraft gesetzte KI-Richtlinie mit konkreten Datenklassen, die auch Hilfspersonen erfasst.
- Ein Auftragsverarbeitungsvertrag, abgelegt und auffindbar.
- Ein Eintrag im Verzeichnis der Bearbeitungstätigkeiten und eine angepasste Datenschutzerklärung.
- Eine dokumentierte Schulung mit Teilnahmenachweis.
- Ein Termin für die erste Überprüfung und eine benannte Ansprechperson für Zweifelsfälle.
Häufige Fragen
Was kostet die KI-Einführung im KMU?
Die Lizenzkosten werden in der Regel pro Person und Monat kalkuliert. Der größere Posten ist meist die interne Zeit: Bestandsaufnahme, Richtlinie, Pilot und Schulung. Realistisch sind über 90 Tage einige Personentage verteilt auf die verantwortliche Person und die Fachbereiche.
Mit welchen Anwendungsfällen sollte man starten?
Mit solchen, die täglich anfallen, geringe Datensensibilität haben und ein prüfbares Ergebnis liefern – etwa das Durchsuchen interner Vorlagen, Zusammenfassungen und Korrespondenzentwürfe. Auswertungen mit Personenbezug gehören nicht in die erste Runde.
Braucht ein KMU dafür externe Beratung?
Nicht zwingend. Werkzeugauswahl, Pilot und Schulung lassen sich intern stemmen, wenn eine Person das Mandat hat. Externe Unterstützung lohnt sich am ehesten bei der datenschutzrechtlichen Prüfung und dort, wo Berufsgeheimnis oder Aufsichtsrecht hineinspielen.
Reichen 90 Tage wirklich aus?
Für Werkzeug, Richtlinie, Pilot, Schulung und Dokumentation ja, wenn der Umfang eng gehalten wird. Nicht ausreichend sind 90 Tage für tiefe Integrationen in bestehende Fachanwendungen oder für Anwendungsfälle, die in Entscheidungen über Personen einfließen.
Müssen wir den Betriebsrat beteiligen?
In Deutschland regelmäßig ja, sobald das System zur Überwachung von Verhalten oder Leistung geeignet ist – § 87 Abs. 1 Nr. 6 BetrVG stellt auf die Eignung ab. In Österreich greifen § 96 und § 96a ArbVG. In der Schweiz gibt es keine vergleichbare Mitbestimmung. Die Klärung gehört in Phase eins, nicht ans Ende.
Wie messen wir, ob die Einführung erfolgreich war?
Sinnvoll sind Größen, die sich beobachten lassen, ohne Erwartungen zu setzen: Anteil der aktiven Nutzenden, Zahl der abgedeckten Anwendungsfälle, Rückgang der Nutzung privater Accounts und die Vollständigkeit der Dokumentation. Aussagen über eingesparte Zeit sind ohne saubere Ausgangsmessung nicht belastbar.
Quellen
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Custodos mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten