KI-Compliance im Mittelstand umsetzen: Die 10 Pflichtdokumente, eine Checkliste und ein 30-Tage-Plan

Viele Mittelständler verwechseln KI-Governance mit KI-Compliance. Governance regelt, wer entscheidet. Compliance beweist, dass die Entscheidungen rechtmäßig waren und dokumentiert sind. Der EU AI Act verlangt von Betreibern hochriskanter KI-Systeme mindestens 10 Pflichtdokumente. Dieser Ratgeber zeigt, welche das sind, wie Sie mit einer Checkliste prüfen, ob Ihr System audit-bereit ist, und wie der 30-Tage-Umsetzungsplan für KMUs ohne Rechtsabteilung aussieht.

Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung. Die Pflichten des EU AI Act sind rechtsverbindlich. Bei Unsicherheiten konsultieren Sie einen Fachanwalt für IT-Recht.

Was ist der Unterschied zwischen KI-Governance und KI-Compliance?

KI-Governance und KI-Compliance werden häufig im selben Satz genannt, aber sie erfüllen unterschiedliche Funktionen. Governance schafft Strukturen. Compliance erzeugt Nachweise. Ein KMU mit 50 Mitarbeitern kann eine funktionierende Governance mit einem einseitigen Nutzungsrichtlinie etablieren. Compliance erfordert jedoch dokumentierte Beweise, dass diese Richtlinie eingehalten wird.

Der Unterschied ist im Audit entscheidend. Ein Auditor fragt nicht "Haben Sie eine Richtlinie?", sondern "Können Sie nachweisen, dass Ihr KI-System seit 12 Monaten im Einklang mit dieser Richtlinie betrieben wird?" Die Antwort liegt in Protokollen, nicht in Absichtserklärungen.

In welche Risikoklasse fällt mein KI-System?

Der EU AI Act klassifiziert KI-Systeme nach vier Risikostufen. Die meisten KMU-Anwendungen fallen in die Kategorien minimal oder begrenzt. Hochriskante Systeme sind typischerweise in der Personalauswahl oder bei Kreditscoring zu finden. Die Einordnung bestimmt, welche der 10 Pflichtdokumente tatsächlich erforderlich sind.

Für die überwiegende Mehrheit der KMUs ist die Risikoklassifizierung einfach. Der Chatbot auf der Website fällt unter begrenztes Risiko. Die KI-gestützte Dokumentenanalyse im Backoffice unter minimales Risiko. Erst wenn KI-Systeme über Personalmanagement, Finanzentscheidungen oder medizinische Anwendungen laufen, erreicht man die Kategorie hoch.

Die 10 Pflichtdokumente des EU AI Act für den Mittelstand

Betreiber hochriskanter KI-Systeme müssen umfangreiche Dokumentationen erstellen und aufbewahren. Nachfolgend die zentralen Pflichtdokumente mit ihrer Bedeutung für den Mittelstand und der Einschätzung, welche davon durch eine Intelligenz-Schicht automatisiert werden können.

Sechs der zehn Dokumente lassen sich durch eine Intelligenz-Schicht weitgehend automatisieren. Die technische Dokumentation, das Protokollierungskonzept, die Datenmanagement-Dokumentation und der Post-Market-Monitoring-Plan entstehen als Nebenprodukt des Betriebs. Die EU-Konformitätserklärung und die Grundrechtefolgenabschätzung erfordern hingegen eine bewusste fachliche Prüfung.

Compliance-Checkliste: Ist mein KI-System audit-bereit?

Diese Checkliste richtet sich an Geschäftsführer und IT-Verantwortliche im Mittelstand. Sie deckt die zentralen Prüfpunkte ab, die ein Auditor bei der Überprüfung eines KI-Systems erwartet. Jedes angekreuzte Item reduziert das Risiko eines Compliance-Verstoßes.

Was kostet KI-Compliance im Mittelstand wirklich?

Die Kosten für KI-Compliance variieren stark je nach Ansatz. Die manuelle Erstellung aller Pflichtdokumente durch externe Berater ist teuer. Eine automatisierte Dokumentation über eine Intelligenz-Schicht reduziert die laufenden Kosten erheblich.

Die NaveSight-Kosten basieren auf den Paketen Starter (€290/Monat), Business (€990/Monat) und Business+ (€2.490/Monat). Die Intelligenz-Schicht erstellt automatisch technische Dokumentationen, führt Protokolle und überwacht das Systemverhalten. Die einmalige Einrichtung umfasst die Konfiguration der Rules Engine, den Daten-Check und die Ersteinrichtung der Dokumentationsstruktur.

Der 30-Tage-Compliance-Plan für KMUs

Compliance muss nicht mit einem sechsmonatigen Beratungsprojekt beginnen. Der pragmatische Einstieg folgt einem Wochenrhythmus, der bereits nach 30 Tagen audit-fähige Ergebnisse liefert.

Nach diesen 30 Tagen liegt ein vollständiges Dokumentationspaket vor. Die Rules Engine überwacht die definierten Parameter, die Muster-Erkennung signalisiert Abweichungen, und die Wissensbasis speichert alle Audit-relevanten Informationen zentral. Die technische Einrichtung erfolgt begleitet, nicht als Selbstbedienungsprojekt.

Wie NaveSight Compliance dokumentiert, statt nur darüber zu reden

Die meisten Compliance-Beratungen enden mit einer Präsentation. NaveSight endet mit einer lückenlosen Dokumentation, die während des Betriebs automatisch entsteht. Die Middleware zwischen DATEV, ERP und CRM erzeugt als Nebenprodukt einen vollständigen Audit-Trail. Jede Datenverarbeitung, jede Entscheidung und jede Abweichung wird protokolliert.

Ein konkretes Beispiel: Ein KMU nutzt ein KI-System zur Bewerbervorauswahl. Die Rules Engine prüft, ob alle Bewerber nach denselben Kriterien bewertet werden. Bei einer Abweichung wird automatisch ein Alert erzeugt und in der Wissensbasis dokumentiert. Der Auditor sieht nicht nur, dass eine Prüfung existiert, sondern auch, wann sie durchgeführt wurde und welches Ergebnis sie hatte.

Dieser Ansatz wandelt Compliance von einer kostspieligen Pflicht in einen automatisierten Prozess um. Nach 12 Monaten enthält die Wissensbasis die vollständige Historie aller Compliance-Prüfungen. Kein externes Beratungsunternehmen kann diese Tiefe replizieren, weil kein externes Unternehmen Zugriff auf die internen Prozessdaten hat.

Verwandte Inhalte

Dieser Ratgeber behandelt die operative Umsetzung von KI-Compliance. Für strategische und branchenspezifische Vertiefungen empfehlen sich folgende Artikel:

• KI-Governance im Mittelstand — Pragmatischer Workshop statt 100-Seiten-Konzept
• EU AI Act Mittelstand — Fristen, Kosten und 30-Tage-Plan
• EU AI Act Schulung — Was Artikel 4 wirklich verlangt
• KMU Compliance Tool — Was es wirklich können muss
• KI-gestützte Dokumentenanalyse — Der Mittelstands-Guide