Welche KI nutzt unser Unternehmen eigentlich heute?
Diese Frage stellt kaum jemand. Stattdessen wird der AI Act als Compliance-Thema behandelt: eine Frist, ein Ordner für den Auditor. Ich halte das für die falsche Diskussion — denn sie beginnt am falschen Ende.
Das eigentliche Problem
In den meisten Organisationen ist KI nicht eingeführt worden. Sie ist eingesickert.
Marketing textet mit ChatGPT. HR screent Bewerbungen mit einem Tool, das „KI-gestützt" im Namen trägt. Die Entwicklung nutzt Copilot, der Support einen Chatbot, das Projektmanagement lässt Statusberichte generieren. Jede Fachabteilung für sich, oft ohne Freigabe, fast immer ohne zentrale Übersicht.
Die Zahlen dazu sind deutlich. Je nach Studie nutzen 71 bis 80 Prozent der Beschäftigten KI-Tools, die ihre IT nie freigegeben hat. Nach einer ESCRIBA-Erhebung vom Juni 2026 arbeitet fast jeder Zweite ohne Genehmigung mit KI — rund 13 Prozent auch mit Kundendaten.
Das ist keine Rebellion. Beschäftigte greifen zu diesen Werkzeugen, weil sie damit schneller arbeiten — nicht, um Regeln zu umgehen. Shadow AI ist kein Ausnahmefall, sie ist längst Arbeitsalltag.
Das Risiko liegt deshalb nicht in einem einzelnen Tool. Es liegt darin, dass niemand sagen kann, welche Systeme im Haus laufen, welche Daten sie sehen und welche Entscheidungen sie beeinflussen. Fehlende Transparenz ist das Risiko.
Und sie bleibt nicht folgenlos, auch ganz ohne Regulierung. Wo niemand weiß, was läuft, kann niemand Qualität prüfen — Fehler in KI-generierten Ergebnissen fallen im Zweifel erst beim Kunden auf. Zuständigkeit lässt sich im Nachhinein nicht mehr klären, weil es sie nie gab. Eine Organisation kann so über Monate Ergebnisse produzieren, für die im Ernstfall niemand geradesteht.
Was der AI Act damit zu tun hat
Vor diesem Hintergrund wirkt der AI Act weniger wie ein Bürokratiemonster und mehr wie eine Zumutung der nützlichen Art. Sein risikobasierter Ansatz setzt voraus, was mit Regulierung wenig zu tun hat: zu wissen, wo überhaupt KI im Einsatz ist.
Die EU hat die Pflichten für die meisten Hochrisiko-Systeme gerade per „Digital Omnibus" um 16 Monate auf Ende 2027 verschoben, teils noch weiter. Die Verschiebung nimmt den Zeitdruck — sie nimmt nicht das Problem. Ein Unternehmen, das nicht weiß, welche KI es einsetzt, weiß es Ende 2027 immer noch nicht.
Eine Pflicht gilt ohnehin längst, seit Februar 2025, unabhängig von jeder Risikoklasse: KI-Kompetenz. Wer KI einsetzt, muss dafür sorgen, dass die eigenen Leute verstehen, womit sie arbeiten — denn wer nicht versteht, wie ein System zu seinen Ergebnissen kommt, kann dessen Risiken weder beurteilen noch beaufsichtigen.
Drei Fragen statt zwanzig Checklistenpunkte
Ob eine Organisation vorbereitet ist, entscheidet sich nicht am Umfang ihrer Dokumentation. Es entscheidet sich an drei Fragen:
Weiß ich, welche KI-Systeme bei uns tatsächlich genutzt werden — einschließlich der nicht freigegebenen?
Weiß ich, wer für jedes dieser Systeme verantwortlich ist?
Weiß ich, welche Entscheidungen noch von Menschen getroffen werden — und welche faktisch schon nicht mehr?
Wer diese drei Fragen belastbar beantworten kann, hat die Grundlage für alles Weitere. Wer sie nicht beantworten kann, hatte schon vor dem AI Act ein Governance-Problem — es hieß nur noch nicht so.
Was bleibt
Ich glaube nicht, dass der AI Act Unternehmen verändert. Regulierung verändert selten etwas, das eine Organisation nicht ohnehin ändern will.
Aber er legt offen, welche Unternehmen ihre eigene KI-Nutzung verstehen — und welche seit Jahren Werkzeuge einsetzen, die sie nie inventarisiert, nie bewertet und nie jemandem zugeordnet haben.
Ausgewertet wird dieser Test nicht in Brüssel, sondern im eigenen Unternehmen. Die meisten kennen ihr Ergebnis nur noch nicht.
Wer eine erste Einordnung sucht, ohne gleich ein Inventar aufzusetzen: Der KI-Readiness-Check stellt 18 Fragen und wertet sie über fünf Dimensionen aus — Strategie, Daten, Kompetenz, Prozesse, Governance. Er weist keine Kompetenz im Sinne von Artikel 4 nach. Er zeigt, wo der Abstand am größten ist.
Quellen: Digital-Omnibus-Beschluss (EU-Parlament 16.06.2026, Rat 29.06.2026); KI-Kompetenzpflicht des AI Act, in Kraft seit Februar 2025; Shadow-AI-Erhebungen von WalkMe (2025), UpGuard (2025) und ESCRIBA (Juni 2026).
Häufige Fragen
Gilt die KI-Kompetenzpflicht auch für kleine Unternehmen?
Ja. Artikel 4 der EU-KI-Verordnung richtet sich an Anbieter und Betreiber von KI-Systemen und kennt keine Untergrenze nach Unternehmensgröße. Betreiber ist, wer ein KI-System im eigenen Namen einsetzt — das trifft auf ein Fünf-Personen-Team zu, das ein Sprachmodell für Angebote nutzt, genauso wie auf einen Konzern. Der Umfang der Maßnahmen darf sich am Einsatz orientieren, die Pflicht selbst nicht.
Seit wann gilt Artikel 4 — und hat der Digital Omnibus daran etwas geändert?
Die KI-Kompetenzpflicht gilt seit dem 2. Februar 2025 und ist unverändert in Kraft. Der Digital Omnibus hat die Pflichten für die meisten Hochrisiko-Systeme um 16 Monate verschoben, teils bis 2028 — Artikel 4 gehört nicht dazu. Wer die Verschiebung als Aufschub liest, verwechselt zwei verschiedene Regelungen.
Was bedeutet KI-Kompetenz konkret?
Dass die Menschen, die mit einem KI-System arbeiten oder es beaufsichtigen, verstehen, wie es zu seinen Ergebnissen kommt und wo seine Grenzen liegen — angemessen zu ihrer Rolle und zum Einsatzzweck. Das ist keine Zertifikatspflicht. Es ist die Fähigkeit, ein Ergebnis einzuordnen, statt es zu übernehmen.
Reicht eine einmalige Schulung, um die Pflicht zu erfüllen?
Die Verordnung schreibt kein Format vor, also formal vielleicht. Praktisch trägt es selten: Werkzeuge, Modelle und Einsatzfälle ändern sich schneller als ein Jahresturnus, und die Pflicht bemisst sich am tatsächlichen Können der Beteiligten, nicht an einer Teilnahmeliste. Wer den Nachweis führen will, braucht ohnehin eine Dokumentation, welche Rolle was verstanden hat.
Womit fängt man an, wenn niemand weiß, welche KI im Haus läuft?
Mit genau dieser Frage. Eine Bestandsaufnahme geht jeder Klassifizierung voraus: Welche Systeme werden eingesetzt, von wem, mit welchen Daten, und welche Entscheidungen beeinflussen sie. Ohne diese Liste ist jede Risikoeinstufung geraten — und die Erfahrung zeigt, dass die Antworten aus den Fachabteilungen kommen, nicht aus der IT.
Passendes Angebot
KI-Kompetenz nach Artikel 4 EU AI Act
Workshops für Teams, die die Pflicht erfüllen müssen — plus Team-Lizenzen für die Online-Kurse, damit das Können bleibt und nicht mit dem Termin endet.
Mehr erfahren →
Philip Müller
Trainer und Berater für Projektmanagement, agile Methoden und KI im Projektalltag.
Über den Autor →Newsletter
Was im Projektalltag wirklich funktioniert — alle zwei Wochen.
Neue Beiträge, Werkzeuge und was sich beim Einsatz von KI in Projekten bewährt hat. Kein Verkaufsgerede, keine Zusammenfassung von Nachrichten, die du schon kennst.
Ich möchte gelegentlich E-Mails von Agile Forge zu Kursen, neuen Inhalten und Angeboten erhalten. Du kannst dich jederzeit mit einem Klick wieder abmelden. Deine Adresse gebe ich nicht weiter. Zur Datenschutzerklärung