Stell dir einen ganz normalen Tag in deinem Betrieb vor. Im Vertrieb entstehen Angebote mit einem Chatprogramm, das ein Mitarbeiter auf eigene Rechnung nutzt. Die Buchhaltung probiert ein zweites Programm für die Belegsortierung aus. Im Lager hat jemand ein drittes entdeckt. Du erfährst davon zufällig beim Mittagessen. Welche Kundendaten dort schon eingegeben wurden, kann dir niemand sagen.
Dieses Bild kennen viele Geschäftsführer, ob mit oder ohne eigene IT-Abteilung. Laut einer Bitkom-Befragung setzen 41 Prozent der Unternehmen in Deutschland bereits KI ein. Im Vorjahr waren es 17 Prozent. Weitere 48 Prozent planen den Einsatz oder diskutieren darüber.¹ Befragt wurden 604 Unternehmen ab 20 Beschäftigten. Das Thema ist also im Betrieb angekommen. Eine KI-Strategie für KMU entscheidet darüber, ob daraus ein Vorteil wird oder ein Flickenteppich.
In diesem Artikel erfährst du, was eine KI-Strategie im Mittelstand ausmacht, wie du in fünf Schritten Ordnung in den Werkzeugwildwuchs bringst, was die EU-KI-Verordnung von deinem Betrieb verlangt und worauf du bei Kosten und Datenschutz in deiner KI-Strategie achten solltest. Offen bleibt zunächst eine Frage, die dir kein Ratgeber abnehmen kann: Welche KI-Werkzeuge laufen in deinem Haus heute schon? Die ehrliche Antwort kennt vermutlich noch niemand.
Was genau ist eine KI-Strategie?
Die Kurzantwort
Eine KI-Strategie für KMU ist ein schriftlicher Plan. Er legt fest, wofür dein Betrieb KI einsetzt, welche Werkzeuge dafür erlaubt sind, welche Daten hineindürfen und wer im Haus die Verantwortung trägt. Dahinter stehen vier Bausteine:
- Ziele: Welche Aufgaben sollen schneller oder besser werden?
- Werkzeuge: Welche Programme sind zugelassen und welche nicht?
- Regeln: Welche Daten dürfen in ein KI-Werkzeug und welche bleiben draußen?
- Verantwortung: Wer entscheidet, wer prüft die Ergebnisse und wer schult das Team?
Der Umfang richtet sich nach deinem Betrieb. Wichtiger als die Seitenzahl ist, dass jeder im Haus die Regeln kennt und versteht.
Warum ein Plan mehr bringt als eine Liste erlaubter Programme
Eine Liste der zugelassenen Werkzeuge ist der Anfang. Erst die KI-Strategie verbindet sie mit Zielen und Regeln. Dann lässt sich beantworten, ob ein Programm seinen Zweck erfüllt. Ohne diese Verbindung wird jedes neue Werkzeug einzeln bewertet, meist zu spät und von jemandem, der den Überblick nicht hat.
Warum entsteht bei KI im Mittelstand so schnell ein Tool-Chaos?
Gut gemeinte Einzelinitiativen
Chatprogramme sind in wenigen Minuten startklar. Es braucht kein Budget und keinen Antrag. Mitarbeiter wollen Zeit sparen und probieren aus, was funktioniert. Das ist verständlich und oft sogar lobenswert. Für den Betrieb entsteht daraus ein Risiko, sobald niemand mehr weiß, welche Programme im Einsatz sind.
Aus Sicht eines IT-Unternehmers beginnt jede brauchbare KI-Strategie mit einer Bestandsaufnahme, weil sich ohne sie nichts bewerten lässt. Was du nicht kennst, kannst du nicht erlauben und nicht absichern.
Was die Bitkom-Zahlen für kleinere Betriebe bedeuten
Die Bitkom-Befragung zeigt, woran die Digitalisierung in Unternehmen hakt. 77 Prozent nennen die Datenschutzanforderungen als Hürde, 66 Prozent fehlende Zeit und 48 Prozent fehlende finanzielle Mittel.¹ Genau diese drei Punkte treffen auch jede KI-Strategie für KMU: Datenschutz muss geklärt sein, die Zeit muss jemand aufbringen und das Geld soll gut angelegt werden.
Ein Hinweis zur Einordnung: Die Befragung umfasst nur Unternehmen ab 20 Beschäftigten. Ob die Werte in kleineren Betrieben ähnlich aussehen, zeigt die Studie nicht.
Gedankenspiel: Die Kundenanfrage im Chatfenster
Stell dir vor, ein Mitarbeiter kopiert eine Kundenanfrage samt Name und Adresse in ein frei verfügbares Chatprogramm, um schneller zu antworten. Niemand hat im Betrieb festgelegt, ob das erlaubt ist. Die Datenschutzkonferenz der Aufsichtsbehörden weist darauf hin, dass bei offenen Cloud-Systemen Risiken durch Weiterverarbeitung und Übermittlung in Drittstaaten bestehen. Geschlossene Anwendungen, bei denen die Eingaben nicht für das Training genutzt werden, bewertet sie datenschutzrechtlich als vorzugswürdig.² Eine klare Regel im Haus hätte die Frage beantwortet, bevor sie sich stellt.
Das Risiko ist real.
Du weißt nicht genau, welche KI-Werkzeuge in deinem Betrieb schon im Einsatz sind? MIT-System aus Kassel verschafft sich mit dir in einem Beratungsgespräch einen ersten Überblick und zeigt dir, an welchen Stellen Regeln fehlen.
Wie sieht eine KI-Strategie für KMU in fünf Schritten aus?
Die fünf Schritte bauen aufeinander auf. Du brauchst dafür keine eigene KI-Abteilung. Du brauchst jemanden im Haus, der das Thema verantwortet. Dazu kommt die Bereitschaft, klein anzufangen.
Zuerst: Die Bestandsaufnahme aller Werkzeuge und Aufgaben
Sammle zwei Listen. Die erste enthält alle KI-Werkzeuge, die im Betrieb genutzt werden: Name des Programms, wer es nutzt, wofür, welche Daten dort landen, ob es kostenlos oder bezahlt ist und ob ein Firmenkonto oder ein privates Konto dahintersteht. Die Datenschutzkonferenz empfiehlt, dass Beschäftigte nicht mit privaten Konten und Geräten arbeiten, weil dabei Nutzerprofile entstehen können. Der Arbeitgeber sollte die Konten stellen.²
Die zweite Liste enthält wiederkehrende Aufgaben, die im Alltag viel Zeit binden. Angebote, Standardantworten auf Kundenanfragen, Protokolle oder das Übertragen von Daten zwischen Listen gehören oft dazu. Aus dieser Liste entsteht später der erste Anwendungsfall deiner KI-Strategie.
Frag ohne Vorwurf. Wer Ärger fürchtet, nennt seine Werkzeuge nicht.
Danach: Ein Ziel und einen ersten Anwendungsfall festlegen
Wähle aus der Aufgabenliste genau einen Fall für den Start deiner KI-Strategie aus. Ein guter Startpunkt erfüllt vier Kriterien: Die Aufgabe kommt oft vor, sie kostet spürbar Zeit, ein Fehler richtet wenig Schaden an und der Erfolg lässt sich messen. Formuliere das Ziel so, dass du es nach einigen Wochen überprüfen kannst, etwa als Zeit pro Angebot vor und nach dem Einsatz.
Fange mit Aufgaben an, bei denen keine personenbezogenen Daten im Spiel sind. Interne Textentwürfe oder die Gliederung eines Protokolls eignen sich dafür besser als die Bearbeitung von Kundendaten. Die heikleren Fälle folgen, sobald die Regeln stehen.
Anschließend: Regeln für Daten und Datenschutz aufstellen
Dieser Schritt trägt die gesamte KI-Strategie. Die Datenschutzkonferenz empfiehlt klare interne Vorgaben mit zugelassenen und untersagten Einsatzszenarien, idealerweise als Dienst- oder Betriebsvereinbarung. Ob eine Mitbestimmung nötig ist, sollte geprüft werden. Beschäftigte sind durch Schulungen und Leitfäden zu sensibilisieren.²
Für jede Verarbeitung personenbezogener Daten ist eine Rechtsgrundlage erforderlich. Das Entfernen von Namen und Adressen reicht oft nicht aus, weil sich der Personenbezug aus dem Zusammenhang ergeben kann.² Nutzt du einen externen Cloud-Anbieter für eigene Zwecke, liegt häufig eine Auftragsverarbeitung nach Artikel 28 der DSGVO vor, die vertraglich zu regeln ist.² Beim Einsatz von KI wird nach der Orientierungshilfe häufig eine Datenschutz-Folgenabschätzung nötig. Wie das im Einzelfall aussieht, klärst du mit deinem Datenschutzbeauftragten oder einer Kanzlei. Dieser Artikel ersetzt keine Rechtsberatung.
Dann: Werkzeuge auswählen und das Team mitnehmen
Mit klaren Regeln fällt die Auswahl leichter. Welche Kriterien dabei zählen, findest du weiter unten in der Checkliste. Genauso wichtig sind die Menschen. KI verändert Arbeitsabläufe. Manche Beschäftigte fragen sich daher, was das für ihre Stelle bedeutet. Sprich diese Frage offen an. Erkläre, welche Aufgaben das Werkzeug übernimmt und welche weiter bei den Menschen liegen.
Zeig deinem Team außerdem, dass KI-Ergebnisse falsch sein können. Die Datenschutzkonferenz verlangt, dass Ausgaben, die Entscheidungen beeinflussen, von Menschen geprüft und hinterfragt werden können.³ In der Praxis heißt das: Jedes Ergebnis wird gelesen und geprüft, bevor es einen Kunden erreicht.
Zuletzt: Ergebnisse messen und Schritt für Schritt ausweiten
Setze den Anwendungsfall einige Wochen im Alltag ein und vergleiche dann mit deinem Ziel. Hat sich die Zeit pro Angebot verringert? Gab es Probleme mit der Qualität? Hat sich das Team an die Regeln gehalten? Halte die Antworten schriftlich fest. Das hilft bei der Entscheidung über den nächsten Fall und dient als Nachweis, dass du das Thema ernst nimmst.
Wenn der erste Einsatz trägt, nimmst du den nächsten Punkt von deiner Liste. Plane außerdem eine feste Überprüfung der KI-Strategie ein, etwa einmal im Jahr. Werkzeuge ändern sich laufend. Auch die rechtlichen Vorgaben bleiben in Bewegung. Das zeigt sich weiter unten bei der KI-Verordnung.
Fehlen in deinem Betrieb bisher klare Regeln, welche Daten in KI-Werkzeuge dürfen? MIT-System bereitet mit dir im Beratungsgespräch eine verständliche Regelung für dein Team vor. Die rechtliche Prüfung liegt weiter bei deinem Datenschutzbeauftragten oder deiner Kanzlei.
Was verlangt die EU-KI-Verordnung von deinem Betrieb?
Die Pflicht zur KI-Kompetenz
Artikel 4 der KI-Verordnung betrifft Unternehmen, die KI-Systeme entwickeln oder nutzen. Die Regel gilt seit dem 2. Februar 2025.⁴ Die Bundesnetzagentur erklärt, dass sie unabhängig von Wirtschaftszweig und Unternehmensgröße gilt. Eingeschlossen sind auch KI-Systeme mit allgemeinem Verwendungszweck, etwa Chatbots.⁵
Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer im Auftrag tätiger Personen zu fördern. Die Maßnahmen richten sich nach Kenntnissen, Erfahrung, Aus- und Fortbildung und dem Einsatzkontext. Ein bestimmter Kompetenzgrad einzelner Personen ist nicht garantiert. Eine Zertifizierung und ein KI-Beauftragter sind nicht vorgeschrieben.⁵
Der sogenannte KI-Omnibus hat den Artikel inzwischen angepasst. Nach Darstellung des Mittelstand-Digital Zentrums Fokus Mensch ändert er den Maßstab, die Pflicht selbst bleibt bestehen. Betreiber müssen weiterhin Maßnahmen ergreifen, ein Lernerfolg muss nicht garantiert werden.⁶ Für deine KI-Strategie heißt das: Schulung gehört fest dazu.
Was du dokumentieren solltest
Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren, damit die Erfüllung nachweisbar ist. Sie weist außerdem darauf hin, dass ein Kompetenzmangel als Sorgfaltspflichtverletzung gelten kann, besonders wenn ein Schaden entsteht.⁵ Die IHK Schleswig-Holstein schreibt, dass derzeit keine Dokumentations- oder Nachweispflicht besteht, empfiehlt die Dokumentation zur Begrenzung des Haftungsrisikos.⁴
Halte deshalb fest, wer wann an welcher Schulung teilgenommen hat und worum es ging. Eine einfache Tabelle genügt. Kostenlose Unterstützung bieten laut Bundesnetzagentur unter anderem die Mittelstand-Digital Zentren und der KI-Campus.⁵
Was kostet eine KI-Strategie für KMU?
Die Kostenfaktoren im Überblick
Feste Beträge lassen sich ohne Kenntnis deines Betriebs nicht seriös nennen. Die Kosten einer KI-Strategie setzen sich aus mehreren Faktoren zusammen:
- Lizenzen und Abonnements: Je nach Werkzeug und Zahl der Nutzer fallen laufende Gebühren an.
- Arbeitszeit des Teams: Bestandsaufnahme, Gespräche und Einarbeitung kosten Stunden, die an anderer Stelle fehlen.
- Schulung: Sie ergibt sich aus der Pflicht zur KI-Kompetenz und aus dem Wissensstand deiner Beschäftigten.
- Beratung und Datenschutzprüfung: Hier hängt der Aufwand davon ab, welche Daten verarbeitet werden.
- Pflege: Die Regeln und Werkzeuge brauchen eine regelmäßige Überprüfung.
In der Bitkom-Befragung nennen 48 Prozent der Unternehmen fehlende finanzielle Mittel als Hürde der Digitalisierung.¹ Gerade deshalb lohnt es sich, mit einem einzigen Anwendungsfall zu beginnen und den Nutzen zu messen, bevor du weiter investierst.
Was du bereits im Haus hast
Prüfe vor jeder Neuanschaffung für deine KI-Strategie, welche KI-Funktionen in deinen vorhandenen Programmen stecken. Ob und zu welchen Bedingungen solche Funktionen für deine Lizenz gelten, steht in der Dokumentation des Herstellers. Kläre vor dem Einschalten, welche Daten dabei verarbeitet werden und wo.
Du möchtest wissen, mit welchem Aufwand du für deine KI-Strategie rechnen musst? MIT-System gibt dir nach einer ersten Bestandsaufnahme eine Einschätzung zu den Kostenfaktoren in deinem Betrieb.
Worauf kommt es bei der Auswahl von KI-Werkzeugen in deiner KI-Strategie an?
Checkliste für die Auswahl
Die Orientierungshilfe der Datenschutzkonferenz liefert Kriterien, die du als Prüfliste nutzen kannst:²
- Der Einsatzzweck ist vorab festgelegt.
- Die Anwendung ist geschlossen, die Eingaben werden also nicht für das Training genutzt.
- Der Anbieter macht transparent, wie mit der Eingabe-Historie umgegangen wird.
- Bei Cloud-Diensten ist klar, ob Daten in Drittstaaten übermittelt werden.
- Bei personenbezogenen Daten liegt ein Vertrag zur Auftragsverarbeitung vor.
- Der Anbieter liefert Informationen zur Funktionsweise, die du für die Risikobewertung brauchst.
- Alle nutzen Firmenkonten mit Funktionsadressen, keine privaten Konten.
Ein Werkzeug, das mehrere dieser Punkte nicht erfüllt, gehört nicht in den Betrieb, solange der Anbieter sie nicht klären kann.
Wann ein einzelnes Werkzeug genügt
Für einen Betrieb mit einem klar umrissenen Anwendungsfall reicht oft ein geprüftes Werkzeug. Mehr Programme bringen mehr Verwaltungsaufwand. Erst wenn der erste Fall sicher läuft und ein zweiter mit anderen Anforderungen dazukommt, lohnt sich der Blick auf weitere Lösungen.
Wo stößt eine KI-Strategie an Grenzen?
Was sie offen lässt
Eine KI-Strategie ersetzt keine Rechtsberatung und keine Fachkenntnis. Sie sorgt für Ordnung, Regeln und Verantwortlichkeiten. Ob ein Ergebnis inhaltlich stimmt, prüft weiter ein Mensch. Auch die Aussagen von Herstellern zu Datenschutz und Datenverarbeitung solltest du dir schriftlich bestätigen lassen und nicht allein der Werbung glauben.
Ein weiterer Punkt betrifft das Tempo. In der Bitkom-Befragung sehen sich 62 Prozent der Unternehmen eher als Nachzügler.¹ Dieses Selbstbild sagt nichts darüber aus, ob ein schneller Start besser wäre. Entscheidend ist, ob ein Anwendungsfall zu deinem Betrieb passt und ob du ihn sicher betreiben kannst.
Wann externe Hilfe sinnvoll ist
Wenn im Haus die Zeit fehlt, ist das kein seltener Fall. 66 Prozent der befragten Unternehmen nennen fehlende Zeit als Hürde.¹ Externe Begleitung bei der KI-Strategie lohnt sich vor allem dann, wenn niemand die Bestandsaufnahme übernehmen kann oder wenn die technische Umsetzung der Regeln Fachwissen verlangt, etwa bei Konten, Zugriffsrechten und Geräten.
Wie begleitet MIT-System Betriebe in Kassel und Nordhessen?
Zusammenarbeit auf Augenhöhe
MIT-System ist ein IT-Systemhaus aus Kassel. Bei einer KI-Strategie geht es um die technische Seite: Welche Programme laufen im Haus, wie sind Konten und Zugriffe geregelt, welche Daten liegen wo? Diese Fragen kann ein IT-Partner beantworten, auch ohne dass du eine eigene IT-Abteilung unterhältst. Die Entscheidungen über Ziele, Budget und Risiken triffst du weiterhin selbst.
Vor Ort im Einsatzradius
MIT-System betreut Unternehmen in Kassel und Nordhessen. Der Einsatzradius umfasst rund 40 Kilometer um Kassel, etwa bis Baunatal oder Hann. Münden. Bei diesen Wegen lässt sich ein Termin im Betrieb ohne großen Aufwand einplanen.
Dein nächster Schritt
Notiere dir vor dem ersten Gespräch, welche KI-Werkzeuge in deinem Betrieb bereits genutzt werden und welche Aufgaben im Alltag am meisten Zeit binden. Je genauer diese Liste, desto konkreter wird die Beratung zur KI-Strategie.
Du möchtest Ordnung in die KI-Nutzung deines Betriebs bringen? Vereinbare ein kostenloses Beratungsgespräch mit MIT-System aus Kassel und lass dir zeigen, wie du in fünf Schritten zu einer KI-Strategie kommst, die zu deinem Betrieb passt.
Häufige Fragen zum Thema
Meine Mitarbeiter probieren auf eigene Faust Chatprogramme aus. Wie bringe ich Ordnung hinein?
Fang mit einer ehrlichen Bestandsaufnahme an. Frag dein Team ohne Vorwurf, welche Programme jemand nutzt, wofür und mit welchen Daten. Erst wenn du das weißt, kannst du entscheiden, was erlaubt bleibt und was nicht. Aus dieser Liste, den Zielen und den Regeln entsteht eine KI-Strategie für KMU. Sie muss kein dickes Papier sein, jeder im Betrieb sollte sie nur verstehen.
Wie fange ich mit Künstlicher Intelligenz im Betrieb an, ohne mich zu verzetteln?
Such dir genau eine Aufgabe aus, die oft vorkommt, spürbar Zeit kostet und bei der ein Fehler wenig Schaden anrichtet. Setze dafür ein geprüftes Werkzeug ein und miss nach einigen Wochen, ob es etwas gebracht hat. Dieses schrittweise Vorgehen ist der Kern jeder brauchbaren KI-Strategie. Danach nimmst du die nächste Aufgabe in Angriff.
Dürfen meine Mitarbeiter Kundendaten in ein Chatprogramm kopieren?
Das hängt vom Programm und von deinen Regeln ab. Für jede Verarbeitung personenbezogener Daten braucht es eine Rechtsgrundlage. Nur Namen und Adressen zu entfernen, reicht oft nicht, weil sich der Personenbezug aus dem Zusammenhang ergeben kann. Deshalb gehört eine klare Datenregel in jede KI-Strategie. Die genaue Prüfung klärst du mit deinem Datenschutzbeauftragten oder einer Kanzlei.
Muss ich meine Mitarbeiter wegen der EU-Regeln zur Künstlichen Intelligenz schulen?
Ja, Maßnahmen zur Förderung der KI-Kompetenz sind vorgesehen. Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für Unternehmen, die KI-Systeme nutzen. Eine Zertifizierung ist nicht vorgeschrieben, die Maßnahmen richten sich nach Vorwissen und Einsatzbereich. Planst du die Schulung als festen Teil deiner KI-Strategie ein, erfüllst du die Vorgabe mit überschaubarem Aufwand.
Brauche ich im Betrieb einen eigenen Beauftragten für Künstliche Intelligenz?
Nach Angaben der Bundesnetzagentur ist ein KI-Beauftragter nicht vorgeschrieben. Sinnvoll ist eine Person, die das Thema im Haus verantwortet, also Regeln pflegt, Fragen beantwortet und Schulungen organisiert. In kleinen Betrieben übernimmt das oft die Geschäftsführung selbst. Wer das wird, legst du in deiner KI-Strategie fest.
Was kostet es, Künstliche Intelligenz im Betrieb vernünftig einzuführen?
Einen festen Betrag kann niemand seriös nennen, ohne deinen Betrieb zu kennen. Die Kosten hängen von den Lizenzen, der Arbeitszeit deines Teams, dem Schulungsbedarf und dem Aufwand für die Datenschutzprüfung ab. Eine KI-Strategie für KMU hilft dir, diese Posten vorab zu überblicken und mit einem einzigen Anwendungsfall zu beginnen, bevor du mehr Geld einsetzt.
Woran erkenne ich, ob ein Programm mit Künstlicher Intelligenz sicher genug für meinen Betrieb ist?
Die Datenschutzkonferenz nennt dafür Kriterien. Der Einsatzzweck steht fest. Deine Eingaben werden nicht für das Training genutzt. Der Anbieter sagt offen, wo Daten liegen und ob sie in Drittstaaten gehen. Bei personenbezogenen Daten gibt es einen Vertrag zur Auftragsverarbeitung. Diese Punkte bilden die Auswahlliste deiner KI-Strategie. Erfüllt ein Programm sie nicht, bleibt es draußen.
Ist mein Betrieb mit wenigen Mitarbeitern zu klein für Künstliche Intelligenz?
Die Vorgaben der KI-Verordnung gelten unabhängig von der Größe des Unternehmens. Auch kleine Betriebe profitieren davon, ihre Regeln einmal sauber festzulegen. Der Aufwand für eine KI-Strategie wächst mit der Zahl der Werkzeuge und Daten, nicht mit der Betriebsgröße allein. Ein Betrieb mit einem klaren Anwendungsfall kommt mit wenig Papier aus.
Woran merke ich, dass sich der Einsatz von Künstlicher Intelligenz in meinem Betrieb lohnt?
Lege vorher fest, was du messen willst, etwa die Zeit pro Angebot. Vergleiche nach einigen Wochen den Stand davor und danach. Halte außerdem fest, ob die Qualität stimmt und ob sich das Team an die Regeln hält. Dieser Rückblick ist der letzte Schritt jeder KI-Strategie und liefert dir die Grundlage für die nächste Entscheidung.
Wie starte ich, wenn mir ein IT-Partner aus der Region dabei helfen soll?
Notiere dir zuerst, welche Programme mit Künstlicher Intelligenz in deinem Betrieb schon laufen und welche Aufgaben am meisten Zeit binden. Mit dieser Liste kannst du ein kostenloses Beratungsgespräch mit MIT-System aus Kassel vereinbaren. Das IT-Systemhaus betreut Unternehmen in Kassel und Nordhessen und erklärt dir ohne Fachchinesisch, wie deine KI-Strategie aussehen kann. Du gehst damit keine Verpflichtung ein.
