Kurz gesagt: KI-Risikomanagement nach EU AI Act heißt: Unternehmen prüfen nicht nur ein Tool. Sie prüfen den konkreten Einsatz. Zweck, Daten, Betroffene, Aufsicht und Betrieb müssen zusammenpassen. Für Hochrisiko-KI verlangt der AI Act ein dokumentiertes Risikomanagementsystem. Für andere KI-Systeme ist dieselbe Logik oft der beste Weg aus Bauchgefühl, Schatten-KI und Ad-hoc-Freigaben.
Der häufigste Fehler wirkt harmlos: Ein Team findet ein gutes KI-Tool, startet einen Piloten und bekommt brauchbare Ergebnisse. Erst danach fragt jemand, wer eigentlich das Risiko trägt. Genau dort beginnt KI-Governance: nicht als Bremse, sondern als Geländer für bessere Entscheidungen.
Warum KI-Risikomanagement jetzt in den Mittelstand gehört
Der EU AI Act arbeitet risikobasiert. Die EU-Kommission beschreibt vier Risikostufen: unzulässiges Risiko, Hochrisiko, begrenztes Risiko sowie minimales oder kein Risiko. Dazu kommen Transparenzpflichten, Anbieterpflichten und Betreiberpflichten. In der Praxis steht dahinter eine einfache Managementfrage: Wissen die richtigen Menschen, welches KI-System wofür genutzt wird, welche Folgen möglich sind und wer eingreifen kann?
Viele mittelständische Unternehmen haben darauf noch keine stabile Antwort. Sie haben einzelne Piloten, starke Fachbereiche und viel Pragmatismus. Genau das kann helfen, wenn Entscheidungen sichtbar werden. Sonst entsteht ein Flickenteppich: einzelne Tools, unklare Datenflüsse, keine gemeinsame Risikologik.
Seit dem 2. Februar 2025 gelten bereits die Regeln zu verbotenen Praktiken und KI-Kompetenz. Seit dem 2. August 2026 greifen Transparenzpflichten und erste Durchsetzungsregeln breiter. Die Hochrisiko-Pflichten für Systeme in sensiblen Annex-III-Bereichen sollen nach aktueller EU-Timeline ab dem 2. Dezember 2027 gelten. Wer erst dann beginnt, baut unter Druck.
KI-Risikomanagement zwischen Recht und Praxis
Artikel 9 des AI Act verlangt für Hochrisiko-KI ein Risikomanagementsystem. Es soll eingerichtet, umgesetzt, dokumentiert und gepflegt werden. Wichtig ist dabei der Lebenszyklus: KI-Risiken entstehen nicht nur beim Einkauf. Sie entstehen auch später durch neue Daten, neue Nutzergruppen, andere Prompts, Modellupdates oder geänderte Abläufe im Team.
Das NIST AI Risk Management Framework beschreibt vier Funktionen: Govern, Map, Measure und Manage. Frei übersetzt: Rahmen setzen, Einsatz verstehen, Verhalten prüfen und Risiken im Betrieb behandeln. Der AI Act sagt, worauf besonders zu achten ist. NIST hilft, daraus einen Arbeitsrhythmus zu machen.
7 Fragen vor dem nächsten KI-Projekt
1. Welchen Zweck soll die KI wirklich erfüllen?
Viele KI-Projekte starten mit einer Toolfrage. Das ist zu spät. Beginnen Sie mit dem Zweck: Soll das System Texte entwerfen, Kundenanfragen vorsortieren, Bewerbungen bewerten, Qualitätsdaten auswerten oder interne Entscheidungen vorbereiten?
Der Zweck entscheidet über Risiko, Daten, Aufsicht und Dokumentation. Dasselbe Modell kann harmlos oder heikel sein. Ein Textentwurf im Marketing ist anders zu prüfen als ein Ranking von Bewerbenden. Dokumentieren Sie deshalb nicht nur den Toolnamen. Dokumentieren Sie den Einsatz.
2. Welche Personen können betroffen sein?
KI-Risiko ist selten rein technisch. Fragen Sie früh, welche Menschen betroffen sind: Mitarbeitende, Bewerbende, Kunden, Patienten, Schüler, Versicherte oder Lieferanten. Je näher ein KI-System an Zugang, Bewertung, Gesundheit, Beschäftigung oder Grundrechte rückt, desto genauer muss der Blick werden.
Bei bestimmten Hochrisiko-Einsätzen sieht der AI Act eine Grundrechte-Folgenabschätzung vor. Diese Pflicht betrifft nicht jedes Unternehmen in jeder Lage. Die Logik dahinter hilft trotzdem: Beschreiben Sie Nutzung, betroffene Gruppen, Risiken, menschliche Aufsicht und Gegenmaßnahmen.
3. Welche Daten fließen hinein?
Daten sind nicht nur Material. Sie sind Risikoquelle. Prüfen Sie, welche Daten eingegeben, verarbeitet oder gespeichert werden: personenbezogene Daten, Betriebsgeheimnisse, Kundendaten, Gesundheitsdaten, Bewerbungsunterlagen oder interne Strategien.
Klären Sie auch, ob der Anbieter Eingaben zum Training nutzt, wo Daten verarbeitet werden und welche Löschlogik gilt. Für manche Einsätze reicht eine klare interne Regel. Für andere braucht es Datenschutzprüfung, AVV, DPIA oder technische Sperren. Kein Team sollte sensible Daten in ein Tool kippen, nur weil die Oberfläche freundlich aussieht.
4. Wer darf entscheiden, stoppen und überstimmen?
Menschliche Aufsicht ist kein Satz im Konzept. Sie braucht Menschen mit Zeit, Kompetenz und Autorität. Bei Hochrisiko-KI müssen Betreiber Aufsicht Personen zuweisen, die dafür geeignet und befugt sind.
- Benennen Sie eine fachlich verantwortliche Person.
- Regeln Sie Eskalation bei Fehlern.
- Legen Sie fest, wann KI-Ausgaben nicht genutzt werden.
- Dokumentieren Sie Overrides und kritische Entscheidungen.
Aufsicht ohne Entscheidungsrecht ist Dekoration. Das ist schön anzusehen, hilft aber nicht im Ernstfall.
5. Welche Protokolle brauchen Sie wirklich?
Logs wirken trocken. Im Ernstfall sind sie Gedächtnis. Auch wenn nicht jedes KI-Tool formale Hochrisiko-Protokolle braucht, lohnt die Grundfrage: Welche Nachweise brauchen wir, um einen Fehler zu verstehen?
- Einsatzdatum und verantwortlicher Bereich.
- Zweck und Datenkategorie.
- Risikoeinschätzung und Freigabeentscheidung.
- Bekannte Einschränkungen.
- Vorfälle, Korrekturen und nächster Prüftermin.
Nicht alles muss groß sein. Aber nichts Kritisches sollte nur in Köpfen liegen.
6. Was kommt vom Anbieter, was bleibt bei Ihnen?
Viele Mittelständler entwickeln KI nicht selbst. Sie kaufen Software, aktivieren Funktionen oder nutzen Cloud-Modelle. Damit verschwindet Verantwortung nicht. Der Anbieter kennt das System. Sie kennen den Einsatzkontext. Beides muss zusammenkommen.
Prüfen Sie, welche Informationen der Anbieter liefert: Zweckbestimmung, technische Grenzen, Sicherheitsmaßnahmen, Datenverarbeitung, Modelländerungen, Support bei Vorfällen und Dokumentation. Danach klären Sie intern, was Ihr Unternehmen trotzdem entscheiden muss.
7. Wie bleibt das Risiko im Betrieb sichtbar?
KI verändert sich. Prozesse auch. Deshalb endet KI-Risikomanagement nicht mit der Freigabe. Planen Sie eine kurze Wiedervorlage: nach drei Monaten, nach einem Modellupdate, nach einer neuen Nutzergruppe oder nach einem Vorfall.
- Liefert die KI noch im vorgesehenen Zweck?
- Haben Nutzer neue Workarounds gebaut?
- Gab es Fehler oder Beschwerden?
- Haben sich Daten, Anbieter oder Rechtslage geändert?
- Passt die Aufsicht noch zur tatsächlichen Nutzung?
Das ist kein Audit-Theater. Das ist Betriebsführung.
Der pragmatische Start: ein KI-Risiko-Protokoll
Viele Unternehmen brauchen nicht sofort ein großes Governance-Handbuch. Sie brauchen ein brauchbares Protokoll. Starten Sie pro KI-Einsatz mit einer Seite: Name des Systems, Zweck, Fachbereich, Nutzergruppen, betroffene Personen, Datenarten, Risikoeinschätzung, menschliche Aufsicht, Anbieterinformationen, Freigabeentscheidung und nächster Prüftermin.
Danach wird aus Einzelwissen ein System. Der Entscheidungsprotokoll-Ansatz von AI Governance Pro passt genau hier hinein. Er zwingt nicht zur Bürokratie. Er zwingt zur Klarheit.
Was Unternehmen dadurch gewinnen
KI-Risikomanagement ist keine einmalige Checkliste. Es ist ein wiederholbarer Entscheidungsprozess: erst Inventar, dann Risikoblick, dann Maßnahmen, dann Kontrolle. Wer das sauber aufsetzt, gewinnt bessere Freigaben, weniger Schatten-KI und klarere Verantwortung zwischen Fachbereich, IT, Datenschutz und Geschäftsführung.
Wenn Sie gerade KI im Unternehmen ausrollen, lohnt ein kurzer Stopp vor dem nächsten Tool. Nicht um Tempo zu verlieren. Sondern um später weniger zurückrollen zu müssen.
AI Governance Pro unterstützt genau dabei: vom KI-Inventar über die Risikologik bis zur 90-Tage-Roadmap. Wenn Sie klären wollen, wo Ihr Unternehmen steht, buchen Sie ein erstes Gespräch: https://ai-governance.pro/#termin.
Quellen und Orientierung
- European Commission: AI Act und risikobasierter Ansatz, abgerufen am 15. September 2026.
- AI Act Service Desk: Timeline for the Implementation of the EU AI Act, abgerufen am 15. September 2026.
- European Commission: AI Literacy Questions & Answers, abgerufen am 15. September 2026.
- NIST: AI Risk Management Framework, abgerufen am 15. September 2026.