Schatten-KI im Mittelstand: Warum Ihre IT-Richtlinie keine Antwort auf den EU AI Act ist
Die meisten Geschäftsführer im Mittelstand können nicht mit Sicherheit sagen, welche KI-Tools ihre Mitarbeiter täglich verwenden. Das ist kein Vorwurf, sondern eine nüchterne Bestandsaufnahme. Doch genau diese Wissenslücke entwickelt sich still und unbemerkt zu einem ernsthaften Haftungsrisiko – denn der EU AI Act macht Unwissenheit nicht zur Entschuldigung.
Schatten-KI ist kein Randphänomen
In vielen Unternehmen herrscht die Überzeugung: „Wir haben eine IT-Richtlinie, also ist die KI-Nutzung geregelt.“ Diese Annahme ist in der Praxis fast immer falsch. Studien zeigen, dass Mitarbeiter im Durchschnitt drei bis fünf nicht-genehmigte KI-Tools parallel zur offiziellen IT-Infrastruktur nutzen. Schatten-KI ist damit kein Ausnahmefall, sondern der Normalzustand in weiten Teilen des deutschen Mittelstands.
Die konkreten Situationen, die sich daraus ergeben, sind keine Theorie. Sie zeigen sich in jedem zweiten mittelständischen Unternehmen: Der Vertrieb lädt Kundendaten in ein kostenloses KI-Tool hoch, weil es sich im Arbeitsalltag als praktisch erwiesen hat. Der Einkauf lässt Lieferantenbewertungen durch eine KI analysieren, die intern niemand geprüft hat. Die Personalabteilung filtert Bewerbungsunterlagen mit einem Tool, das keiner Risikoprüfung unterzogen wurde. Die Geschäftsführung erfährt davon zuletzt – oder gar nicht.
Das eigentliche Problem ist nicht der einzelne Mitarbeiter, der ein nützliches Tool entdeckt. Das Problem ist das strukturelle Fehlen eines belastbaren Überblicks auf Führungsebene.
Was Artikel 4 des EU AI Act konkret bedeutet
Seit Februar 2025 gilt Artikel 4 des EU AI Act: die sogenannte KI-Kompetenzpflicht. Sie verpflichtet Unternehmen, sicherzustellen, dass alle Personen, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse im Umgang damit verfügen. Die Durchsetzung durch Aufsichtsbehörden startet im August 2026.
Zwischen diesen beiden Daten wächst täglich eine Haftungslücke. Und der entscheidende rechtliche Punkt lautet: Das Gesetz fragt nicht, ob Sie als Geschäftsführer wussten, was in Ihrem Unternehmen geschieht. Es fragt, ob Sie es hätten wissen müssen. Dieses Prinzip ist aus dem Steuerrecht und dem Datenschutz vertraut – und es gilt im AI Act genauso. Unwissenheit schützt nicht vor Verantwortung.
Unternehmen, die bis August 2026 keinen nachvollziehbaren Überblick über ihre KI-Nutzung aufgebaut haben, riskieren nicht nur Bußgelder. Sie riskieren auch, im Fall eines Schadensereignisses – etwa einem Datenschutzverstoß durch ein ungenehmigtes Tool – ohne belastbare Dokumentation dazustehen.
Kontrolle heißt nicht Überwachung – sondern Struktur
Die Kontrolllücke zu schließen bedeutet ausdrücklich nicht, jeden Mitarbeiter zu überwachen oder KI-Nutzung zu unterbinden. Es geht darum, einen strukturierten Überblick zu schaffen, der auf drei zentrale Fragen eine klare Antwort geben kann:
- Welche KI-Tools sind im Unternehmen im Einsatz – genehmigte wie nicht-genehmigte?
- Welche Daten fließen in welche Systeme, und wer hat das autorisiert?
- Wer trägt die Verantwortung für Entscheidungen, die mithilfe von KI getroffen werden?
Diese Fragen sind keine IT-Fragen. Sie sind Führungsfragen. Ein Softwareinventar allein reicht nicht aus. Was gefragt ist, ist ein klares Bild auf Managementebene: Welche KI-Nutzung findet statt, welche ist akzeptabel, und welche Risiken entstehen, wenn nichts geregelt wird?
Praktisch bedeutet das, einen internen Prozess zu etablieren, der regelmäßig erfasst, welche Tools tatsächlich genutzt werden – nicht nur welche offiziell freigegeben sind. Das lässt sich zum Beispiel über strukturierte Befragungen in Abteilungen, klare Meldewege für neue Tool-Nutzung und eine zentrale Verantwortlichkeit für KI-Governance umsetzen. Der Aufwand ist überschaubar. Das Risiko, es nicht zu tun, ist es nicht.
Fazit
Der EU AI Act schafft eine neue Kategorie unternehmerischer Verantwortung: die Pflicht, strukturiert zu wissen, wie KI im eigenen Unternehmen eingesetzt wird. Eine IT-Richtlinie, die niemand liest, und die Hoffnung, dass es schon nichts Gravierendes passieren werde, sind keine tragfähige Grundlage mehr. Die Zeit zwischen heute und August 2026 ist keine Schonfrist – sie ist das Zeitfenster, um eine belastbare Struktur aufzubauen, bevor Aufsichtsbehörden anfangen zu fragen.
Wenn Sie wissen möchten, wie ein strukturiertes KI-Governance-Konzept für Ihr Unternehmen aussehen kann, sprechen Sie uns an. KI Strategium begleitet mittelständische Unternehmen dabei, Klarheit zu schaffen – sachlich, praxisnah und ohne unnötigen Aufwand.
