Die meisten KI-Projekte im Mittelstand scheitern nicht an der Technik, sondern an der Reihenfolge. Ein Team lädt eine App herunter, probiert eine Weile herum, stößt auf Datenschutzfragen und legt das Thema wieder zur Seite. Wer KI im Unternehmen einführen will, braucht dafür keine Großinitiative, aber eine klare Abfolge. Diese Roadmap führt in sechs Phasen vom ersten Anwendungsfall bis zum geregelten Regelbetrieb. Jede Phase hat ein greifbares Ergebnis, sodass Sie nach jedem Schritt wissen, wo Sie stehen.
Phase 1: Anwendungsfälle erfassen und priorisieren
Beginnen Sie nicht mit dem Werkzeug, sondern mit der Arbeit. Sammeln Sie in ein oder zwei Terminen mit den Fachbereichen die Aufgaben, die viel Zeit kosten und sprachlastig sind: E-Mails und Angebote formulieren, Protokolle zusammenfassen, Recherchen aufbereiten, wiederkehrende Dokumente entwerfen, Texte übersetzen. Notieren Sie zu jedem Fall den geschätzten Zeitaufwand pro Woche und die Art der Daten, die dabei anfallen.
Priorisieren Sie anschließend nach zwei Achsen: erwartete Zeitersparnis und Sensibilität der Daten. Der beste Einstieg ist ein Fall mit spürbarem Nutzen und geringem Risiko, etwa interne Zusammenfassungen ohne personenbezogene Inhalte. Fälle mit sensiblen Daten, zum Beispiel Personal- oder Gesundheitsakten, gehören auf die Liste, aber nicht in den ersten Pilot. Das Ergebnis dieser Phase ist eine kurze, priorisierte Liste von drei bis fünf Anwendungsfällen, mit denen sich der Nutzen belegen lässt.
Phase 2: Ein DSGVO-konformes Werkzeug auswählen
Erst wenn die Anwendungsfälle stehen, wird das Werkzeug ausgewählt. Denn ob eine Lösung passt, hängt davon ab, welche Daten sie verarbeiten soll. Für den Unternehmenseinsatz sind fünf Eigenschaften entscheidend, und keine davon ist ein Werbeversprechen, sondern nachprüfbar:
- Verarbeitung in der EU. Der Serverstandort ist die Grundlage, alles andere braucht belastbare Garantien.
- Auftragsverarbeitungsvertrag (AVV). Ohne AVV nach Artikel 28 DSGVO fehlt die rechtliche Basis, sobald personenbezogene Daten im Spiel sind.
- Kein Training mit Ihren Daten. Ihre Eingaben dürfen nicht zur Verbesserung fremder Modelle genutzt werden. Kostenlose Verbrauchertarife garantieren das oft nicht.
- Transparente Dokumentation. Datenschutzerklärung, technische und organisatorische Maßnahmen und, bei Datentransfers, Standardvertragsklauseln.
- Ein Werkzeug für viele Fälle. Zugang zu mehreren Modellen und die Möglichkeit, eigene Dokumente einzubinden, reduzieren den Bedarf, für einzelne Aufgaben zu privaten Gratis-Diensten auszuweichen.
Welche Anbieter diese Kriterien nach öffentlich verfügbaren Informationen erfüllen, ordnet der Beitrag DSGVO-konforme KI-Tools im Vergleich ein. Die datenschutzrechtlichen Grundlagen dahinter bündelt der Überblick zu DSGVO-konformer KI. Das Ergebnis dieser Phase ist eine getroffene Werkzeugentscheidung samt unterzeichnetem AVV.
Wysor ist ein Beispiel für eine solche Plattform: ein privater, EU-gehosteter KI-Workspace mit Zugang zu mehreren Modellen (Claude, GPT, Gemini und weitere) in einer Oberfläche, mit Zero Data Retention, ohne Training auf Ihren Daten und mit einem AVV je Modellanbieter. Dazu kommen Dokumenten-Upload für PDF, DOCX, XLSX und PPTX sowie Recherche-Datenbanken für Rechts- und Fachliteratur. Der Einstieg ist ohne Enterprise-Vertrag möglich, mit einem kostenlosen Plan sowie Plus für 19,99 EUR und Premium für 29,99 EUR im Monat.
Phase 3: Eine Nutzungsrichtlinie festlegen
Bevor die ersten Beschäftigten arbeiten, braucht es Leitplanken. Eine Nutzungsrichtlinie muss nicht dick sein; zwei bis vier Seiten, die tatsächlich gelesen werden, sind mehr wert als ein Handbuch, das niemand öffnet. Der Kern besteht aus drei Punkten: welche Werkzeuge freigegeben sind, welche Daten hineindürfen und welche nicht, und dass jede KI-Ausgabe vor der Verwendung von einem Menschen geprüft wird.
Bewährt hat sich eine einfache Datenregel in drei Stufen: unbedenkliche Inhalte, personenbezogene oder vertrauliche Inhalte nur im freigegebenen Werkzeug, und besonders schützenswerte Inhalte gar nicht ohne gesonderte Freigabe. Eine fertige Gliederung mit Textbausteinen liefert die Vorlage für eine KI-Nutzungsrichtlinie, die Sie an Ihr Unternehmen anpassen können. Das Ergebnis dieser Phase ist ein datiertes, freigegebenes Dokument mit einer verantwortlichen Person und einem Überprüfungsintervall.
Phase 4: Pilot mit einem kleinen Team
Jetzt wird es konkret. Wählen Sie einen der priorisierten Anwendungsfälle und ein kleines, motiviertes Team von drei bis acht Personen. Setzen Sie einen festen Zeitraum, etwa vier bis sechs Wochen, und legen Sie vorab fest, woran Sie den Erfolg messen: eingesparte Zeit pro Aufgabe, Qualität der Ergebnisse, Zufriedenheit der Beteiligten.
Wichtig ist die Rückkopplung. Ein kurzes wöchentliches Gespräch, in dem das Team berichtet, was gut läuft und wo es hakt, deckt Stolpersteine früh auf. Halten Sie Beispiele fest, die später in der Schulung dienen können, gute wie schlechte. Ein Pilot, der scheitert, ist kein verlorener Aufwand, sondern eine günstige Erkenntnis. Das Ergebnis dieser Phase ist eine belastbare Einschätzung, ob und wie der Anwendungsfall im Alltag trägt, samt konkreten Zahlen zur Zeitersparnis.
Phase 5: Beschäftigte schulen (KI-VO Artikel 4)
Schulung ist an dieser Stelle nicht optional. Seit dem 2. Februar 2025 verpflichtet Artikel 4 der KI-Verordnung Unternehmen, die KI-Systeme einsetzen, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen. Gemeint ist kein Zertifikatskurs, sondern ein angemessenes Grundverständnis: Was kann das Werkzeug, wo irrt es, welche Daten dürfen hinein, und warum muss jede Ausgabe geprüft werden.
Praxisnah wirkt das am besten. Fünfzehn bis dreißig Minuten mit echten Beispielen aus dem eigenen Arbeitsalltag, gern die Fälle aus dem Pilot, prägen sich besser ein als abstrakte Theorie. Zeigen Sie die Datenregel an konkreten Situationen und machen Sie deutlich, dass die Verantwortung für das Ergebnis beim Menschen bleibt. Dokumentieren Sie, wer wann geschult wurde; diese Nachweisbarkeit ist der praktische Kern der Pflicht aus Artikel 4. Das Ergebnis dieser Phase ist ein geschultes Team und eine dokumentierte Schulung, auf die Sie sich später berufen können.
Phase 6: Skalieren und im Regelbetrieb verankern
Läuft der Pilot und sind die ersten Beschäftigten geschult, weiten Sie die Nutzung schrittweise aus: der nächste Anwendungsfall von der Liste, das nächste Team, die nächste Abteilung. Skalieren heißt nicht, alles auf einmal freizuschalten, sondern die bewährte Abfolge zu wiederholen. Bündeln Sie die Zugänge über eine gemeinsame Unternehmenslösung statt über Dutzende privater Gratis-Konten, denn ein zentraler Zugang ist leichter zu überblicken und zu steuern.
Im Regelbetrieb wird die Richtlinie zum lebenden Dokument. Prüfen Sie sie mindestens halbjährlich, weil sich Werkzeuge und Rechtslage schnell ändern. Nehmen Sie neue Anwendungsfälle auf, streichen Sie, was sich nicht bewährt hat, und behalten Sie im Blick, welche KI-Systeme mit welcher Risikoeinstufung eingesetzt werden. Wer den Fortschritt strukturiert nachhalten will, findet in der KI-Compliance-Checkliste für Unternehmen die Punkte, die im laufenden Betrieb regelmäßig geprüft werden sollten.
Ein Wort zu regulierten Berufen
In Branchen mit besonderen Verschwiegenheitspflichten, etwa bei Ärztinnen und Ärzten, Anwältinnen und Anwälten oder Steuerberatung, verschiebt sich die Reihenfolge nicht, aber die Sensibilität der Daten ist von Beginn an hoch. Hier zahlt die Werkzeugwahl aus Phase 2 doppelt ein: Eine EU-gehostete Plattform mit Zero Data Retention und AVV je Modellanbieter hilft, das Haftungsrisiko nach §203 StGB zu senken, weil Mandanten- oder Patientendaten nicht in fremde Verbraucherdienste abfließen. Die menschliche Freigabe aus der Nutzungsrichtlinie ist in diesen Berufen ohnehin Pflicht, nicht Kür.
Warum die Reihenfolge zählt
Der häufigste Fehler ist, mit dem Skalieren zu beginnen, bevor Werkzeug, Richtlinie und Schulung stehen. Dann entsteht genau die unkontrollierte Nutzung, die Sie eigentlich verhindern wollten. Umgekehrt gilt: Wer erst die Anwendungsfälle kennt, dann bewusst ein DSGVO-konformes Werkzeug wählt, die Regeln aufschreibt, klein pilotiert und die Beschäftigten schult, kann anschließend ruhig und nachweisbar ausweiten. Die sechs Phasen bauen aufeinander auf, und jede liefert ein Ergebnis, das die nächste trägt.
Häufige Fragen
Wie lange dauert es, KI im Unternehmen einzuführen? Ein erster nutzbarer Pilot ist oft in vier bis sechs Wochen erreichbar, wenn Anwendungsfall und Werkzeug feststehen. Die vollständige Verankerung im Regelbetrieb ist ein fortlaufender Prozess, kein einmaliges Projekt.
Müssen wir mit einem großen IT-Projekt starten? Nein. Der Einstieg gelingt mit einem klar umrissenen Anwendungsfall und einem kleinen Team. Eine Plattform ohne Enterprise-Vertrag lässt sich mit einem kostenlosen Plan oder einem planbaren Monatstarif testen, bevor Sie ausweiten.
Was schreibt die KI-Verordnung Unternehmen vor? Artikel 4 der KI-VO verpflichtet seit Februar 2025 dazu, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen. Eine dokumentierte Schulung, verankert in Phase 5, ist der praktischste Weg, diese Pflicht nachweisbar zu erfüllen.
Reicht ein kostenloses KI-Tool für den Anfang? Für allgemeine, unbedenkliche Aufgaben kann das genügen. Sobald personenbezogene oder vertrauliche Daten verarbeitet werden, braucht es eine Plattform mit AVV, EU-Hosting und ohne Training auf Ihren Daten.
Was ist der häufigste Fehler bei der Einführung? Zu früh zu skalieren. Ohne freigegebenes Werkzeug, Nutzungsrichtlinie und Schulung entsteht unkontrollierte Nutzung. Die sechs Phasen verhindern das, weil jede auf der vorigen aufbaut.
Sie planen die Einführung in Ihrem Unternehmen? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App. Zum Ausprobieren gibt es einen kostenlosen Plan, Plus für 19,99 EUR/Monat und Premium für 29,99 EUR/Monat, ganz ohne Enterprise-Vertrag.
