Schatten-KI im Betrieb: Diese Tools nutzen wahrscheinlich schon KI, ohne dass Sie es wissen

Viele Mittelständler sind überzeugt, keine KI einzusetzen. Doch in Buchhaltung, CRM, Personalauswahl und Logistik steckt längst Künstliche Intelligenz. Was das für den AI Act bedeutet und warum eine KI-Inventur der erste Schritt ist.

Ein Handwerksbetrieb aus dem Raum Leer. Drei Fahrzeuge, acht Monteure, ein Planungstool für die Einsatzplanung.

Der Geschäftsführer ist überzeugt: „Wir nutzen keine KI."

Das Planungstool optimiert täglich die Routen seiner Monteure automatisch. Es lernt aus vergangenen Einsätzen. Es schlägt Priorisierungen vor.

Das ist KI. Und damit gilt der AI Act.

So sieht es gerade in sehr vielen Mittelstandsbetrieben aus. Nicht weil die Verantwortlichen fahrlässig wären. Sondern weil KI oft in Softwarepaketen steckt, die man einfach kauft, installiert und nutzt. Ohne großes Nachdenken.

Das Problem: Der AI Act unterscheidet nicht zwischen Software-Entwicklern und Software-Anwendern. Wer KI nutzt, hat Pflichten.

Was ist eigentlich „Schatten-KI"?

Schatten-KI bezeichnet KI-Systeme, die in einem Unternehmen im Einsatz sind, ohne dass das Management davon weiß oder bewusst eine Entscheidung für KI getroffen hätte.

Das klingt dramatischer als es ist. In den meisten Fällen handelt es sich um ganz normale Business-Software, die in den letzten Jahren KI-Funktionen bekommen hat. Oft als stilles Update, oft ohne gesonderte Ankündigung im Changelog.

Sieben Bereiche, in denen KI oft versteckt ist

1. Buchhaltung und Rechnungsverarbeitung

Moderne Buchhaltungssoftware erkennt Belege automatisch, kategorisiert Ausgaben und schlägt Buchungen vor. Viele dieser Funktionen basieren auf Machine Learning. Wer DATEV, Lexware oder ähnliche Systeme nutzt, sollte genau hinschauen, welche Automatisierungen aktiviert sind.

2. CRM und Vertrieb

Salesforce, HubSpot, Pipedrive: Nahezu jedes moderne CRM-System bewertet inzwischen Lead-Qualität automatisch oder schlägt vor, welche Kunden am ehesten zu einem Abschluss bereit sind. Das ist KI, auch wenn es sich wie eine normale Auswertung anfühlt.

3. Personalauswahl und Bewerbermanagement

Wenn Ihre Software Bewerbungen vorsortiert, Kandidaten nach Eignung bewertet oder Interviews automatisch transkribiert und zusammenfasst, handelt es sich in der Regel um Hochrisiko-KI im Sinne des AI Act. Ab Dezember 2027 gelten hierfür die strengsten Pflichten, weil automatisierte Entscheidungen über Personen getroffen werden. Wer sich jetzt vorbereitet, hat genug Vorlaufzeit.

4. Kundenservice und Chatbots

Ob auf der eigenen Website oder als Teil einer größeren Plattform: KI-gestützte Chatbots und automatische Ticket-Routing-Systeme sind weit verbreitet. Der AI Act schreibt vor, dass Kunden informiert werden müssen, wenn sie mit KI interagieren.

5. Produktionsplanung und Logistik

Planungs- und Optimierungstools in Fertigung und Logistik nutzen oft KI-Algorithmen, um Kapazitäten, Routen und Zeiten zu optimieren. Auch wenn das Ergebnis nur ein Zeitplan ist, der dann von Menschen umgesetzt wird.

6. Finanzprognosen und Reporting

Viele Business-Intelligence-Tools erstellen automatische Forecasts oder identifizieren Anomalien in Finanzdaten. Dahinter stecken fast immer statistische Modelle oder Machine-Learning-Algorithmen. Auch wenn das Tool „nur" ein Dashboard anzeigt.

7. E-Mail und Kommunikationstools

Microsoft 365 Copilot, Google Workspace mit KI-Funktionen, automatische E-Mail-Sortierung und Priorisierung: Auch in alltäglichen Kommunikationstools steckt mittlerweile KI. Wer diese Funktionen nutzt, sollte das wissen.

Warum das für den AI Act relevant ist

Der AI Act verpflichtet nicht nur Unternehmen, die KI entwickeln. Er verpflichtet auch Unternehmen, die KI einsetzen.

Als Anwender eines KI-Systems sind Sie verantwortlich dafür:

• dass Sie wissen, welche KI-Systeme Sie einsetzen und in welche Risikokategorie sie fallen
• dass Ihre Mitarbeiter ausreichend im Umgang mit diesen Systemen geschult sind
• dass Sie betroffene Personen informieren, wenn KI in Entscheidungen über sie eingesetzt wird
• dass Sie Ihren KI-Einsatz grundlegend dokumentieren können

Das klingt nach viel Aufwand. Ist es aber nicht zwingend. Für die meisten Mittelstandsbetriebe, die keine Hochrisiko-Systeme einsetzen, reicht eine strukturierte Grunddokumentation.

Was Sie jetzt tun können

Der erste Schritt ist eine KI-Inventur. Keine große Projekt-Initiative, kein teures Beraterhonorar. Nur eine ehrliche Bestandsaufnahme:

Setzen Sie sich 30 bis 60 Minuten mit Ihrer IT zusammen. Gehen Sie nicht die Liste Ihrer „KI-Projekte" durch, sondern die Liste aller Software-Tools. Fragen Sie bei jedem Tool: Gibt es hier eine Funktion, die automatisch Empfehlungen gibt, Entscheidungen vorbereitet oder Daten auswertet?

Die Antworten überraschen fast immer.

Der erste Schritt zur KI-Compliance ist kein Compliance-Projekt. Es ist eine ehrliche Software-Inventur.

Der einfachste Einstieg: Kostenlose Selbsteinschätzung

Ich habe eine Checkliste mit 10 Fragen entwickelt, die jeder Geschäftsführer in 10 Minuten durcharbeiten kann. Sie hilft Ihnen einzuschätzen, wo Ihr Unternehmen heute steht und wo konkreter Handlungsbedarf besteht.

Die Checkliste finden Sie kostenlos zum Download auf ai-officer-mittelstand.de.

Wenn Sie nach der Checkliste wissen möchten, was Ihre Ergebnisse für Ihren konkreten Betrieb bedeuten: Ich biete ein kostenloses 30-minütiges Erstgespräch an. Keine Verkaufsveranstaltung, sondern eine ehrliche Einschätzung.

Vicki Janssen ist externe KI-Beauftragte für Mittelstandsunternehmen in Ostfriesland und Niedersachsen. Als ehemalige Geschäftsführerin, zertifizierter AI Officer (Blackboat/Härting) und mit einem MBA in Digital Transformation begleitet sie Betriebe pragmatisch durch die neuen Anforderungen. Dieser Artikel dient der allgemeinen Orientierung und ersetzt keine individuelle Rechtsberatung.