Aktualisiert am 07.10.2026: Wir haben den Beitrag auf unsere Praxis-Sicht umgestellt. Rechtliche Inhalte stehen nur noch als verlinkte Primärquelle.
Fast jedes Unternehmen nutzt mehr KI, als auf der Lizenzliste steht
„Wir bauen ja keine KI." Diesen Satz hören wir oft, wenn es um den AI Act geht. Er stimmt meistens. Für die Frage, welche KI im Haus läuft, hilft er trotzdem nicht weiter.
Prüfen Sie kurz gegen Ihren eigenen Alltag. Nutzt Ihr Vertrieb ChatGPT für Angebotsentwürfe? Läuft Copilot in Ihren Office-Anwendungen? Sortiert Ihr CRM Kunden mit einer KI-Funktion, die der Hersteller per Update eingespielt hat? Wer diese Fragen ehrlich durchgeht, findet in der Regel deutlich mehr Werkzeuge, als irgendjemand auf dem Zettel hatte.
Der AI Act nennt Unternehmen, die KI-Systeme beruflich einsetzen, „Betreiber“. Die Definition steht in Art. 3 Nr. 4 der Verordnung. Daher hat der Check seinen Namen. Ob und mit welchen Pflichten der Begriff auf Ihr Unternehmen zutrifft, ist eine juristische Frage, die wir hier nicht beantworten. Der Betreiber-Check ist ein Praxis-Check Ihres KI-Einsatzes. Er liefert den Überblick, mit dem Ihre Rechtsberatung diese Frage schnell klären kann.
Unsere Erfahrung: Der Aufwand liegt weniger im Regelwerk als im Überblick. Wer weiß, welche KI bei ihm läuft, hat den größten Teil der Arbeit hinter sich.
Fristen und Pflichten: Wo Sie verlässliche Antworten finden
Seit dem AI Omnibus, einem Änderungspaket der EU zum AI Act, heißt es oft, der AI Act sei verschoben. Welche Termine sich tatsächlich geändert haben, beschreibt die EU-Kommission aktueller und verbindlicher, als wir es könnten. Den Wortlaut finden Sie auf EUR-Lex: den AI Act selbst und die Änderungsverordnung (EU) 2026/1744.
In Deutschland betreibt die Bundesnetzagentur einen KI-Service-Desk für Fragen zur KI-Verordnung. Zur KI-Kompetenz der Mitarbeitenden hat sie eine eigene Informationsseite. Für Ihren Einzelfall ist Ihre Rechtsberatung die richtige Adresse.
Für unsere Arbeit zählt etwas anderes. Das Inventar brauchen Sie unabhängig davon, welche Frist gerade gilt. Deshalb raten wir nicht zum Warten.
Der Betreiber-Check in 5 Schritten: Vom Tool-Inventar zur Liste offener Fragen
Der Betreiber-Check ist kein Rechtsgutachten. Er ist eine strukturierte Bestandsaufnahme mit Bordmitteln und der praktische Weg zum Überblick, auf dessen Basis Ihre Rechtsberatung Pflichten zuordnen kann. Sie brauchen dafür eine verantwortliche Person, ein Tabellendokument und einige Wochen Kalenderzeit. Die fünf Schritte bauen aufeinander auf.
Schritt 1: KI-Einsatz inventarisieren, auch die Schatten-KI
Erfassen Sie jedes System, in dem KI arbeitet. Das sind drei Kategorien:
- Offensichtliche Tools: ChatGPT, Copilot und vergleichbare Assistenten, die Mitarbeitende direkt bedienen.
- Eingebettete KI-Funktionen: KI-Features in Software, die Sie ohnehin nutzen, etwa Textvorschläge im CRM, automatische Priorisierung im Ticketsystem oder Übersetzungsfunktionen.
- Schatten-KI: Tools, die Fachabteilungen ohne IT-Freigabe eingeführt haben. Die finden Sie nicht per Rundmail, sondern im Gespräch. Fragen Sie jede Abteilung konkret, womit sie Texte schreibt, Bilder erstellt, Bewerbungen sichtet oder Daten auswertet.
Pro System notieren Sie Name, Zweck, nutzende Abteilung und die Daten, die hineinfließen. Mehr braucht das Inventar zunächst nicht.
Schritt 2: Heikle Einsatzfelder markieren
Der AI Act behandelt nicht jede KI gleich. Wie ein einzelnes System einzustufen ist, entscheiden wir nicht selbst. Wir sortieren pragmatisch: Alles, was Menschen bewertet (Bewerbungen, Kreditwürdigkeit, Leistung), Emotionen auswertet oder Menschen anhand biometrischer Merkmale einordnet, bekommt den Vermerk „juristisch prüfen“.
Orientierung für den Mittelstand bieten etwa die Industrie- und Handelskammern und die Mittelstand-Digital-Zentren. Eine verbindliche Antwort bekommen Sie vom KI-Service-Desk der Bundesnetzagentur oder von Ihrer Rechtsberatung. Markieren Sie außerdem ehrlich, wo Sie unsicher sind. Auch diese Unklarheiten sind ein Ergebnis.
Schritt 3: Offene Fragen je System sammeln
Zu jedem System gehört eine kurze Liste mit Fragen, die im Alltag auftauchen. Wir arbeiten mit diesen:
- Wissen die Menschen, die mit dem Tool arbeiten, was es kann und wo es danebenliegt? Gibt es eine Schulung oder eine Anleitung passend zum Einsatz?
- Hat das System Kundenkontakt? Sieht der Kunde, dass er mit einer KI spricht? Zum KI-Hinweis im Kundenservice gibt es einen eigenen Beitrag.
- Veröffentlicht Ihr Haus KI-erzeugte Bilder, Texte oder Audio, und wer gibt sie frei?
- Haben Sie den Chatbot auf Ihrer Website unter eigenem Namen entwickeln lassen, oder ist es ein Standardprodukt? Das gehört als Frage auf die Liste für die Rechtsberatung.
- Wer prüft die Ergebnisse, bevor sie wirken?
Die rechtliche Zuordnung übernimmt Ihre Rechtsberatung. Mit dieser Liste geht sie schnell.
Schritt 4: Verantwortliche benennen
Eine Tabelle ohne Namen bleibt Papier. Benennen Sie pro System eine verantwortliche Person, die nicht aus der IT kommen muss. Sie sollte aus der Abteilung stammen, die das System tatsächlich nutzt. Diese Person beantwortet künftig drei Fragen: Wofür setzen wir das Tool ein? Welche Daten gehen hinein? Wer prüft die Ergebnisse, bevor sie wirken? Zusätzlich braucht der Check einen Eigentümer auf Geschäftsführungsebene, der entscheidet, wenn zwei Abteilungen sich uneinig sind.
Schritt 5: Lücken dokumentieren
Der letzte Schritt ist der wertvollste: Halten Sie fest, was fehlt. Typische Lücken sind Tools ohne klaren Zweck, Systeme ohne benannten Verantwortlichen, fehlende Schulungen oder keine Regel dafür, welche Daten in externe KI-Dienste fließen dürfen.
Priorisieren Sie nach Kundennähe. Was Kunden direkt sehen, kommt zuerst. Danach folgt alles, was Sie in Schritt 2 mit „juristisch prüfen“ markiert haben, mit genug Vorlauf für die Prüfung.
Am Ende steht eine Arbeitsliste. Jedes System ist erfasst, markiert und mit offenen Fragen und einem Namen versehen, die offenen Punkte sind priorisiert. Damit können Sie steuern. Ab hier wird der Check zum Werkzeug.
Was der Check über die Pflichtfrage hinaus liefert: Ihr erstes ehrliches KI-Inventar
Schauen Sie sich das Ergebnis noch einmal ohne Compliance-Brille an. Auf dem Tisch liegt eine Liste aller KI-Werkzeuge, die in Ihrem Unternehmen tatsächlich laufen, inklusive der Tools, die Fachabteilungen ohne Freigabe nutzen. Dazu eine Übersicht, wer womit arbeitet, und eine ehrliche Markierung der Stellen, an denen Regeln, Verantwortliche oder Datenklarheit fehlen.
Genau diese Grundlage brauchen Sie für die nächsten Schritte ohnehin.
Für die Bewertung der Einsatzbereitschaft (Readiness): Ob Ihr Unternehmen bereit ist, KI produktiv zu betreiben, lesen Sie am Ist-Zustand ab. Welche Prozesse berühren heute schon KI? Wo entstehen Ergebnisse, die niemand prüft? Ohne Inventar raten Sie. Mit Inventar bewerten Sie.
Für die Governance (die Spielregeln und Zuständigkeiten für den KI-Einsatz): Regeln lassen sich nur für Systeme schreiben, die man kennt. Eine Richtlinie, die an der tatsächlichen Nutzung vorbeigeht, wird ignoriert. Die im Check dokumentierten Lücken, also fehlende Zuständigkeit und unklare Datenwege, sind Ihre Governance-Agenda in Rohform.
Für erste agentische Workflows: Damit meinen wir Abläufe, in denen KI Arbeitsschritte selbstständig ausführt, innerhalb klar definierter Grenzen und mit menschlicher Kontrolle an den richtigen Stellen. Das verlangt Betriebsdisziplin: Einsatz nach Gebrauchsanweisung, Aufsicht durch Leute, die das System verstehen, Kontrolle der Eingabedaten, laufendes Monitoring. Wer diese Muster früh einübt, baut die Fähigkeit auf, von der der spätere produktive Betrieb abhängt.
Klar benannte Verantwortliche für KI-Werkzeuge sehen wir selten. Wer den Check macht, weiß danach, wo er steht, und kann von dort aus planen, statt bei jedem KI-Vorhaben wieder bei null anzufangen.
Dieselbe Bestandsaufnahme, die Ihre Rechtsberatung für die Pflichtenfrage braucht, ist der erste Arbeitsschritt der Transformation. Darin liegt der Hebel des Betreiber-Checks.
Vom Check zum Betrieb: Governance und Freigabe-Stufen von Anfang an
Das Ergebnis des Betreiber-Checks ist eine Liste: Welche KI-Systeme laufen bei Ihnen, wer nutzt sie, mit welchen Daten, und wo fehlen Regeln? Der häufigste Fehler an dieser Stelle ist, daraus ein Regelwerk zu machen, das im Ordner verschwindet. Besser ist, aus jeder Lücke eine einfache Betriebsregel abzuleiten, die Montag früh funktioniert.
Dafür brauchen Sie im Kern zwei Arten von Regeln.
Erstens: Wer darf was freigeben? Nicht jede KI-Ausgabe braucht dieselbe Kontrolle. Ein intern genutzter Textentwurf ist etwas anderes als ein Angebot an einen Kunden oder eine Bewertung, die eine Person betrifft. Ordnen Sie Ihre Anwendungsfälle aus dem Check in zwei bis drei Freigabe-Stufen: Was darf ohne Prüfung raus, was braucht einen Blick vom Fachverantwortlichen, was entscheidet die Geschäftsführung? Der Gedanke dahinter ist einfach. Für jedes System gibt es eine benannte Person, die verantwortet, was es im Alltag tut.
Zweitens: Welche Daten dürfen wohin? Der Check hat gezeigt, welche Werkzeuge Ihre Teams tatsächlich nutzen, oft auch die, von denen offiziell niemand wusste. Die Regel dazu passt auf eine Seite: Welche Datenkategorien (Kundendaten, Verträge, Personaldaten, interne Zahlen) dürfen in welches Werkzeug, und welche in keines? Ohne diese Seite beantworten Mitarbeitende die Frage selbst, und jeder anders.
Unabhängig von jeder Einstufung achten wir in Projekten auf ein paar Grundsätze: Werkzeuge so betreiben, wie der Hersteller es vorsieht, Ergebnisse von Menschen beaufsichtigen lassen und den Betrieb laufend beobachten. Das gilt bei uns auch für ganz gewöhnliche Bürowerkzeuge. Sie beschreiben, was einen geordneten Betrieb von einem Experiment unterscheidet.
Der Maßstab für jede dieser Regeln ist derselbe: Kann eine Mitarbeiterin in der Buchhaltung oder ein Projektleiter im Vertrieb in dreißig Sekunden entscheiden, ob das, was er gerade tun will, erlaubt ist? Wenn ja, wird die Regel gelebt. Wenn die Antwort ein Verweis auf Kapitel 7, Abschnitt 3 ist, wird sie ignoriert. Dann sind Sie wieder bei der Schatten-KI, die der Check gerade erst sichtbar gemacht hat.
So wird aus dem Check ein Betriebssystem im Wortsinn: dokumentierte Zuständigkeiten, klare Datenwege, definierte Freigaben. Auf dieser Grundlage lassen sich erste automatisierte Abläufe mit KI verantwortbar aufsetzen, ohne dass jede neue Anwendung die Governance-Frage wieder von vorn stellt.
Typische Fehler: Abwarten, Überregulieren, an die IT delegieren
Drei Reaktionen auf das Thema begegnen uns immer wieder. Alle drei kosten mehr, als sie sparen.
Fehler 1: Abwarten, bis die Rechtslage klarer ist. Fristen können sich ändern, das hat der Omnibus gezeigt. Den Überblick über Ihre KI-Werkzeuge brauchen Sie trotzdem, für jede weitere KI-Entscheidung und für jedes Gespräch mit Ihrer Rechtsberatung. Wer abwartet, verschiebt vor allem den Nutzen.
Fehler 2: Überregulieren. Das andere Extrem ist eine 50-seitige KI-Richtlinie, juristisch wasserdicht und praktisch unbenutzbar. In einem Unternehmen mit 100 Mitarbeitenden liest sie niemand, und was niemand liest, steuert auch nichts. Die Folge ist Stillstand: Fachabteilungen nutzen KI weiter, nur fragen sie jetzt nicht mehr. Was funktioniert, sind wenige klare Regeln aus dem Check-Ergebnis: welche Tools freigegeben sind, welche Daten sie nicht sehen dürfen, wer neue Anwendungen freigibt. Eine Seite, die gelebt wird, schlägt einen Ordner, der abschreckt.
Fehler 3: Den Check als IT-Ticket behandeln. Die IT kann Tools auflisten. Sie kann aber nicht entscheiden, welche Risiken das Unternehmen trägt, wer die Aufsicht über ein KI-System übernimmt und welche Nutzung zum Geschäft passt. Das sind Organisations- und Führungsfragen. Die Durchführung können Sie delegieren, die Verantwortung bleibt bei der Geschäftsführung. Der Check gehört deshalb auf deren Agenda, und die IT arbeitet daran mit.
Die pragmatische Mitte ist unspektakulär: jetzt anfangen, wenig regeln und die Verantwortung klar vergeben.
Ihr nächster Schritt: Der Check als überschaubares Projekt
Der Betreiber-Check ist kein Jahresprojekt. Für ein mittelständisches Unternehmen mit 50 bis 200 Mitarbeitenden sind die ersten beiden Schritte, also das Tool-Inventar und die Markierung heikler Einsatzfelder, in wenigen Wochen machbar. Das geht nicht nebenbei, ist aber auch keine Großbaustelle. Eine verantwortliche Person, die das Thema treibt, und kurze Abfragen in den Fachabteilungen reichen für den Anfang.
Was Sie intern dafür brauchen:
- Eine Person mit Mandat der Geschäftsführung. Sie muss nicht aus der IT kommen. Wichtiger ist, dass sie quer durch die Abteilungen fragen darf und Antworten bekommt.
- Ehrliche Rückmeldung aus den Fachbereichen. Das Inventar steht und fällt damit, dass Mitarbeitende auch die inoffiziell genutzten KI-Tools nennen. Das gelingt nur, wenn klar ist, dass es um den Überblick geht und niemand Sanktionen fürchten muss.
- Ein einfaches Dokument statt eines Regelwerks. Eine Tabelle mit Tool, Einsatzzweck, Nutzern und dem Vermerk „juristisch prüfen ja/nein“ genügt für den Anfang. Für Nachfragen wird daraus die KI-Dokumentation mit drei Unterlagen.
Externe Begleitung ist nicht immer nötig. Für eine erste Orientierung gibt es kostenlose Angebote, etwa von Industrie- und Handelskammern. Sinnvoll wird Unterstützung von außen, wenn intern niemand die Kapazität hat, das Inventar verlässlich zu treiben, oder wenn aus dem Ergebnis echte Betriebsregeln entstehen sollen: wer was freigibt und welche Daten wohin dürfen. Die rechtliche Einordnung einzelner Systeme gehört zu Ihrer Rechtsberatung. Wir arbeiten ihr mit dem Inventar zu.
Wenn Sie an diesem Punkt stehen, bieten wir ein unverbindliches Governance-Erstgespräch an. Wir verkaufen dabei kein Produkt, und Sie gehen keine Verpflichtung ein. Wir schauen gemeinsam auf Ihr Inventar oder auf die Frage, wie Sie es aufsetzen. Danach entscheiden Sie selbst, ob und wie es weitergeht. Im schlechtesten Fall haben Sie ein Gespräch investiert und wissen, wo Sie stehen. Im besten Fall ist der Betreiber-Check der Anfang Ihres produktiven KI-Betriebs. Eine erste Einschätzung Ihrer Ausgangslage bekommen Sie in der KI-Diagnose.
Eine Frage bleibt so oder so: Wissen Sie heute, welche KI in Ihrem Unternehmen tatsächlich läuft?
Häufige Fragen
Womit fangen wir an? Mit dem Inventar. Fragen Sie jede Abteilung, womit sie Texte schreibt, Bilder erstellt, Bewerbungen sichtet oder Daten auswertet, und notieren Sie pro Tool Zweck, Nutzer und Daten. Eingebettete KI-Funktionen in CRM oder Ticketsystem gehören genauso dazu wie Tools, die ohne Freigabe laufen. Alles Weitere baut auf dieser Liste auf.
Wer sollte das Inventar verantworten? Eine Person mit Mandat der Geschäftsführung, die quer durch die Abteilungen fragen darf. Sie muss nicht aus der IT kommen. Für jedes einzelne System übernimmt zusätzlich jemand aus der nutzenden Fachabteilung die Verantwortung, denn dort weiß man, wofür das Tool eingesetzt wird und wer die Ergebnisse prüft.
Wo finden wir verlässliche Informationen zu Fristen und Pflichten? Bei den Primärquellen. Die EU-Kommission beschreibt den aktuellen Zeitplan des AI Act, den Wortlaut der Verordnung und ihrer Änderung finden Sie auf EUR-Lex. Für Fragen zur Einordnung bietet die Bundesnetzagentur einen KI-Service-Desk an. Was davon für Ihr Unternehmen gilt, klärt Ihre Rechtsberatung. Die Links stehen unten in den Quellen.
Reicht eine Richtlinie zur KI-Nutzung, oder brauchen wir mehr? Eine Richtlinie ist ein Anfang. Die entscheidenden Fragen beantwortet sie aber nicht: Welche KI-Systeme laufen bei Ihnen tatsächlich, auch ohne Freigabe? Wo liegen heikle Einsatzfelder? Wer ist je System verantwortlich? Dazu kommt, dass Menschen, die mit KI arbeiten, eine Schulung oder Anleitung passend zu ihrem Einsatz brauchen. Ein Dokument im Intranet leistet das kaum. Sinnvoll ist die Reihenfolge Inventar, offene Fragen klären lassen, dann Regeln, die im Alltag funktionieren: wer was freigeben darf und welche Daten wohin dürfen.
Wie viel Aufwand bedeutet ein Betreiber-Check für ein Unternehmen mit 50 bis 200 Mitarbeitenden? Weniger, als die meisten erwarten. Inventar und Markierung heikler Einsatzfelder sind in dieser Größenordnung in wenigen Wochen machbar. Nötig sind eine verantwortliche Person mit Rückendeckung der Geschäftsführung, kurze Abfragen in den Fachabteilungen zur tatsächlichen KI-Nutzung und eine einfache Tabelle. Externe Begleitung lohnt sich, wenn intern niemand die Zeit hat, das Thema zu treiben, oder wenn daraus Betriebsregeln werden sollen. Für das Inventar selbst brauchen Sie sie nicht.
Dieser Beitrag beschreibt unsere Praxis-Sicht. Er enthält keine rechtliche Einordnung; dafür verweisen wir auf die verlinkten Primärquellen und Ihre Rechtsberatung.