KI-Reifegrad im Mittelstand: Warum das Risiko nicht die KI ist, sondern fehlende Regeln

Beim mvworks Barcamp „KI & Arbeit“ am 7. Juli 2026 bei Planet IC in Schwerin fiel ein Satz, der hängen bleibt: Das eigentliche Risiko ist nicht die KI, sondern das Fehlen klarer Regeln im Unternehmen. Alexander Balow, Geschäftsführer der Agentur Mandarin, brachte damit auf den Punkt, was wir bei NordFlux in fast jeder Erstberatung sehen. Nicht die Technik bremst KI-Projekte aus, sondern die offene Frage, wer im Betrieb eigentlich festgelegt hat, welche Daten in ein KI-Tool dürfen und welche nicht.

Genau darum geht es beim KI-Reifegrad: nicht um das schnellste Modell, sondern um die Frage, ob Ihr Unternehmen vorbereitet ist, KI kontrolliert einzusetzen. Dieser Beitrag zeigt die vier Punkte, die jeder Betrieb prüfen sollte, bevor der erste KI-Agent produktiv geht.

Warum KI-Projekte an Regeln scheitern, nicht an der Technik

Die Nachfrage ist da, die Ordnung fehlt. Laut der Bitkom-Studie „Künstliche Intelligenz in Deutschland“ von 2025 setzen 36 Prozent der Unternehmen KI ein, fast doppelt so viele wie im Vorjahr mit 20 Prozent. Als größte Hürde nennen jeweils 53 Prozent der Befragten Rechtsunsicherheit und fehlendes Fachwissen, noch vor knappen Personalressourcen (Quelle: Bitkom, KI-Studie 2025). Das Muster ist eindeutig: Der Engpass ist nicht das Werkzeug, sondern die Unsicherheit darüber, unter welchen Regeln man es einsetzen darf.

Ein KI-Tool ist neutral. Ob sein Einsatz sicher ist, entscheidet, was Sie hineingeben und wer die Ergebnisse verantwortet. Wer diese Regeln vorher klärt, spart sich später teure Korrekturen und peinliche Datenpannen. Die folgenden vier Punkte sind der Kern jeder KI-Readiness.

Punkt 1: Welche personenbezogenen Daten dürfen in ein KI-Tool?

Personenbezogene Daten gehören nicht ungeprüft in ein öffentliches KI-Tool. Wer Namen, Adressen, Bewerbungen oder Gesundheitsangaben in einen frei zugänglichen Chatbot kopiert, gibt die Kontrolle über diese Daten ab, oft an einen Anbieter außerhalb der EU. Die erste Regel ist deshalb einfach: Für personenbezogene Daten braucht es entweder ein Werkzeug mit Auftragsverarbeitungsvertrag und Verarbeitung in der EU oder eine Datenminimierung, die den Personenbezug vor der Übergabe entfernt. In vielen Fällen löst das Modell die Aufgabe auch mit einem anonymisierten Auszug.

Punkt 2: Wie schützen Sie sensible Unternehmensdaten?

Nicht nur personenbezogene Daten sind schützenswert, auch das eigene Geschäftsgeheimnis. Rezepturen, Kalkulationen, Kundenlisten und Strategiepapiere sind der Wert Ihres Unternehmens, und sie haben in einem öffentlichen KI-Dienst nichts verloren, der Eingaben womöglich zum Training verwendet. Die Regel: Legen Sie fest, welche Datenklassen intern bleiben und welche ein KI-Werkzeug sehen darf. Für sensible Bereiche gibt es Modelle, die in europäischen Rechenzentren oder ganz im eigenen Haus laufen, sodass die Daten die Infrastruktur nicht verlassen.

Punkt 3: Wer kontrolliert die Ergebnisse der KI?

KI kann überzeugend klingen und trotzdem falsch liegen. Sprachmodelle erfinden Fakten, sogenannte Halluzinationen, und tun das mit derselben Selbstsicherheit wie bei korrekten Antworten. Deshalb braucht jedes KI-Ergebnis, das in eine Entscheidung oder nach außen fließt, eine menschliche Prüfung. Die Regel ist nicht, der KI zu misstrauen, sondern einen festen Kontrollpunkt einzubauen: Wer gibt frei, bevor ein KI-Text an einen Kunden geht oder eine KI-Auswertung in einen Bericht wandert? Ein digitaler Mitarbeiter übernimmt die Routine, die Entscheidung bleibt beim Menschen.

Punkt 4: Wer ist verantwortlich? Governance und Zuständigkeit

Die drei ersten Punkte tragen nur, wenn jemand für sie zuständig ist. Ohne benannte Verantwortung gilt jede Regel für alle und damit für niemanden. Governance heißt hier nichts Bürokratisches: eine knappe interne Richtlinie, welche Tools erlaubt sind, welche Daten hineindürfen und wer im Zweifel entscheidet. Eine halbe Seite reicht oft. Wichtig ist, dass eine Person oder Rolle den Hut aufhat, damit neue KI-Anwendungen gegen die gleichen Regeln geprüft werden, statt dass jede Abteilung still ihr eigenes Tool nutzt.

Wie hängt das mit DSGVO und EU AI Act zusammen?

Die vier Punkte sind die organisatorische Seite. Daneben gibt es die rechtliche. Der EU AI Act gilt seit dem 2. Februar 2025 mit den ersten Verboten, seit dem 2. August 2025 sind Verstöße gegen die Verbote sanktionsbewehrt, mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (Quelle: Europäische Kommission zum AI Act). Für die meisten Automatisierungen im Mittelstand bleibt die Lage entspannt, die Details ordnen wir im Beitrag EU AI Act: Ist mein Unternehmen betroffen? ein. Wie Sie KI datenschutzkonform betreiben, sodass Ihre Daten in Deutschland bleiben, lesen Sie unter DSGVO-konforme KI.

KI-Readiness: Orientierung, bevor der erste KI-Agent live geht

Die gute Nachricht: Diese vier Punkte lassen sich an einem Nachmittag klären. Genau das ist der Kern unserer KI-Beratung. In einer KI-Readiness-Sitzung gehen wir Ihre geplanten KI-Anwendungen durch, ordnen die Datenklassen zu und halten fest, wer was entscheidet. Das Ergebnis ist eine kurze, alltagstaugliche Richtlinie statt eines Regelwerks, das niemand liest. So schafft KI-Readiness Orientierung, bevor der erste KI-Agent produktiv geht, und die Automatisierung übernimmt Routine, während die Entscheidungen bei Ihren Mitarbeitenden bleiben.

Häufige Fragen

Was bedeutet KI-Reifegrad?

KI-Reifegrad beschreibt, wie gut ein Unternehmen darauf vorbereitet ist, KI kontrolliert einzusetzen. Er misst nicht die Technik, sondern ob klare Regeln bestehen: welche Daten in ein KI-Tool dürfen, wie Ergebnisse geprüft werden und wer verantwortlich ist.

Welche Daten dürfen nicht in ein KI-Tool?

Personenbezogene Daten und sensible Unternehmensdaten wie Rezepturen, Kundenlisten oder Strategiepapiere gehören nicht ungeprüft in ein öffentliches KI-Tool. Sie brauchen entweder ein Werkzeug mit Verarbeitung in der EU und Auftragsverarbeitungsvertrag oder eine Anonymisierung vor der Übergabe.

Muss ich KI-Ergebnisse immer kontrollieren?

Ergebnisse, die in eine Entscheidung oder nach außen fließen, sollten Sie prüfen. Sprachmodelle können Fakten erfinden. Ein fester Freigabepunkt vor der Nutzung reicht meist aus, ohne dass jeder Schritt doppelt gemacht werden muss.

Wo fange ich mit KI-Readiness an?

Mit einer kurzen Bestandsaufnahme: Wo setzen wir schon KI ein oder planen es, welche Daten sind beteiligt, wer entscheidet? Diese Übersicht ist die Basis für eine knappe interne Richtlinie und zeigt, wo Handlungsbedarf besteht und wo nicht.