Die EU-KI-Verordnung wird erstmals auf ihre Praxistauglichkeit getestet – und zeigt bei autonomen KI-Agenten bereits Schwächen

KI-Agenten-Systeme stehen im Zentrum des ersten großen Stresstests für die EU-KI-Verordnung – dieser Artikel zeigt, wie diese Systeme rechtlich einzuordnen sind und wo Regulierungslücken klaffen.

Mit den sog. KI-Agenten-Systemen steht nun bereits der nächste große Entwicklungsschritt im Bereich der KI-Systeme in den Startlöchern. Damit gemeint sind KI-Systeme, die in der Lage sind, auch komplexe Aufgaben auf Aufforderung des Nutzers selbstständig erfüllen zu können. So kann ein KI-Agenten-System auf die Aufforderung des Nutzers, einen Urlaub zu planen, einen entsprechenden Reiseplan auf der Basis der Präferenzen des Nutzers erstellen und selbstständig die entsprechenden Reisedienstleistungen buchen.

KI-Agenten-Systeme sollen nach der Vorstellung der entwickelnden Unternehmen autonom Geschäftsprozesse durchführen und als „virtuelle“ Mitarbeiter bzw. Kollegen handeln. Für die KI-Verordnung stellen KI-Agenten-Systeme den ersten großen „Stresstest“ dar, da es sich um die erste nennenswerte technologische Fortentwicklung seit Erlass der KI-Verordnung handelt. Der Beitrag untersucht, wie diese Systeme in die EU-KI-Verordnung einzuordnen sind und ob der risikobasierte Ansatz der Verordnung ausreicht.

Rechtliche Einordnung von KI-Agenten-Systemen

Der Unionsgesetzgeber hat sich in der KI-Verordnung für einen technologieoffenen Regelungsansatz entschieden, mit dem Ziel, möglichst viele KI-Systeme zunächst in den Anwendungsbereich der Verordnung zu bringen. Die Definition des „KI-Systems“, welche den sachlichen Anwendungsbereich der KI-Verordnung determiniert, ist entsprechend breit gewählt und umfasst viele verschiedene Erscheinungsformen künstlicher Intelligenz.

Die Regelungsintensität der KI-Verordnung differenziert nach der typischen Gefährlichkeit des beabsichtigten Nutzungszwecks nach einem sog. risikobasierten Ansatz. Besonders gefährliche Verwendungszwecke werden verboten oder sind nur unter hohen Voraussetzungen zulässig, während für andere, wenig oder nicht gefährliche Verwendungszwecke nur geringe Auflagen bestehen.

Der Unionsgesetzgeber konnte diesen technologieoffenen Ansatz im Trilog-Verfahren jedoch nicht durchhalten: So wurde eine zweite „Kategorie“ mit einem eigenen Regelungssystem in die Verordnung aufgenommen: Für sog. KI-Modelle mit allgemeinem Verwendungszweck weitere Pflichten geschaffen, welche neben dem risikobasierten Ansatz stehen. Rechtliche Pflichten können sich mithin entweder aus dem risikobasierten Ansatz oder der Einordnung als KI-Modell mit allgemeinem Verwendungszweck ergeben.

1. KI-Modell mit allgemeinem Verwendungszweck

Die KI-Verordnung definiert ein KI-Modell mit allgemeinem Verwendungszweck gemäß Art. 3 Nr. 63 KI-Verordnung als „ein KI-Modell einschließlich der Fälle, in denen ein solches KI-Modell mit einer großen Datenmenge unter umfassender Selbstüberwachung trainiert wird, das eine erhebliche allgemeine Verwendbarkeit aufweist und in der Lage ist, unabhängig von der Art und Weise seines Inverkehrbringens ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen, und das in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden kann“.

Beruht das KI-Agenten-System auf einem LLM und wird lediglich um die für die Agenten-Funktion erforderlichen Fähigkeiten ergänzt, so wird das Modell als KI-Modell mit allgemeinem Verwendungszweck einzustufen sein. Wird ein LLM im Wege des Fine-Tunings für einen bestimmten Zweck zugeschnitten, führt dies nicht automatisch dazu, dass es sich bei dem Modell nicht mehr um ein KI-Modell mit allgemeinem Verwendungszweck handelt. Vielmehr muss im Einzelfall betrachtet werden, welche Fähigkeiten im Modell verbleiben und ob diese verbleibenden Fähigkeiten noch einem allgemeinen Verwendungszweck entsprechen.

2. KI-System mit allgemeinem Verwendungszweck

Gemäß Art. 3 Nr. 66 KI-Verordnung muss das KI-System in der Lage sein, einer Vielzahl von Zwecken sowohl für die direkte Verwendung als auch für die Integration in andere KI-Systeme zu dienen, damit es als KI-System mit allgemeinem Verwendungszweck eingestuft werden kann. Maßgeblich ist mithin, welche Zwecke das KI-System erfüllen kann.

Der risikobasierte Ansatz sowie die begriffliche Unterscheidung zur „Zweckbestimmung“ sprechen dafür, dass bei der Bestimmung, ob es sich um ein KI-System mit allgemeinem Verwendungszweck handelt, auch auf absehbare Fehlverwendungen ankommen muss.

Bei der Bestimmung der Verwendungszwecke eines KI-Agenten-Systems muss daher nicht nur das beabsichtigte „Betätigungsfeld“ des Agenten-Systems und die Natur des erzeugten Outputs berücksichtigt werden, sondern auch die dem KI-Agenten-System zur Verfügung stehenden Werkzeuge. Somit wäre auch ein KI-Agenten-System, welches zwar nur einen beabsichtigten Verwendungszweck hat, wie etwa ein Agent für Reisebuchungen, als KI-System mit allgemeinem Verwendungszweck anzusehen, wenn es als Werkzeug beispielsweise einen Computer oder Browser eigenständig steuern könnte.

3. Systemisches Risiko

Im Zusammenhang mit KI-Agenten-Systemen sind einige der Kriterien des Anhang XIII der KI-Verordnung erwähnenswert. Hiernach kann das systemische Risiko auch anhand der „Ein- und Ausgabemodalitäten“ des Modells, sowie der „Anpassungsfähigkeit zum Erlernen neuer, unterschiedlicher Aufgaben, des Grades an Autonomie und Skalierbarkeit sowie der Instrumente, zu denen es Zugang hat“ bestimmt werden. Die Entscheidung, ob aufgrund dieser Kriterien ein systemisches Risiko gegeben ist, trifft die Kommission von Amts wegen.

Wenn das KI-Agenten-System beispielsweise eigenständig einen Computer steuern kann, besteht die Gefahr, dass sich Fehlfunktionen gravierend auswirken, auch wenn der eigentliche Einsatzzweck, etwa ein Reisebuchungs-Agent unkritisch wirkt und die Risikoklassifizierung entsprechend gering ausfällt.

Das Risiko, dass ein „harmloses“ KI-System jedoch aufgrund einer Fehlfunktion nicht im vorgesehenen Anwendungsgebiet bleibt oder sich sein Verhalten insbesondere bei Agenten-Systemen, die selbstständig ihre erforderlichen Handlungen planen als Risiko für einen unvorhergesehenen Bereich darstellt (sog. „Emergent Behavior“), wird so jedoch nicht adressiert. Insoweit erscheinen gerade die Regelungen für „Nicht-Hoch-Risiko“ KI-Systeme als nicht adäquat, um das geänderte Risikoprofil von KI-Agenten-Systemen vollständig zu adressieren.

Auswirkungen für die Praxis

Die Auswahl der Werkzeuge bestimmt, welche Maßnahmen das KI-Agenten-System tatsächlich umsetzen kann. Die Auswahl der Werkzeuge determiniert mithin unmittelbar die Leistungsfähigkeit und somit auch das Risikoprofil des KI-Agenten-Systems. Je mehr Werkzeuge Sie Ihrem System zur Verfügung stellen, desto höher das regulatorische Risiko.

Da ein KI-Agenten-System zunächst die Nutzereingabe verstehen, ein bestimmtes Ziel identifizieren, planen und sodann Maßnahmen umsetzen können muss, steht zu erwarten, dass auch ein KI-Agenten-System, dessen zugrundeliegendes KI-Modell für ein bestimmtes Anwendungsgebiet zugeschnitten wird, in den allermeisten Fällen ein KI-Modell mit allgemeinem Verwendungszweck beinhalten wird.

Rechtliche Pflichten können sich mithin entweder aus dem risikobasierten Ansatz oder der Einordnung als KI-Modell mit allgemeinem Verwendungszweck ergeben. Prüfen Sie beide Regelungsstränge parallel.

Für eine rechtssichere KI-Beratung, die beide Regelungsstränge von Anfang an berücksichtigt, stehen wir Ihnen gerne zur Verfügung.​

➜ Zur To-Do-Liste (priorisiert)​​​

Risiken & Fallstricke

Nur auf den Verwendungszweck schauen

Durch das (alleinige) Abstellen auf den Verwendungszweck können die Aspekte, welche das Risikoprofil von KI-Agenten-Systemen im Vergleich zu den bislang bekannten KI-Systemen ändert, nur eingeschränkt berücksichtigt werden. Insbesondere wird das Risiko, dass das KI-System selbstständig auf verschiedene Werkzeuge zurückgreifen und diese einsetzen kann, nicht in der Risikoklassifizierung der KI-Verordnung hinreichend berücksichtigt. Viele Unternehmen übersehen, dass ein „harmloser“ Reisebuchungs-Agent zum Hochrisiko-System werden kann, wenn er einen Browser oder Computer steuern kann.

Fine-Tuning als Ausweg missverstehen

Wird ein LLM im Wege des Fine-Tunings für einen bestimmten Zweck zugeschnitten, führt dies nicht automatisch dazu, dass es sich bei dem Modell nicht mehr um ein KI-Modell mit allgemeinem Verwendungszweck handelt. Vielmehr muss im Einzelfall betrachtet werden, welche Fähigkeiten im Modell verbleiben. Ein spezialisiertes Modell bleibt meist ein „Modell mit allgemeinem Verwendungszweck“, wenn es weiterhin planen, verstehen und umsetzen kann.

Autonomiegrad unterschätzen

Umso autonomer das KI-Agenten-System handeln kann, desto größer wird jedoch auch das Risikoprofil des Systems, da unerwartete, fehlerhafte oder schadensbringende Handlungen des KI-Systems nicht durch einen Eingriff des menschlichen Überwachers verhindert werden können. Wer auf maximale Autonomie setzt, muss mit höheren Compliance-Anforderungen rechnen.

Fehlverwendungen ausblenden

Bei der Bestimmung, ob es sich um ein KI-System mit allgemeinem Verwendungszweck handelt, muss es auch auf absehbare Fehlverwendungen ankommen. Planen Sie nicht nur den „Happy Path“, sondern auch, was passiert, wenn das System zweckentfremdet wird oder Fehler macht.

Doppelregulierung übersehen

Rechtliche Pflichten können sich entweder aus dem risikobasierten Ansatz oder der Einordnung als KI-Modell mit allgemeinem Verwendungszweck ergeben. Beide Regelungsstränge können parallel greifen – prüfen Sie beide.

Wie sie typische Fehler vermeiden

Werkzeug-Inventar führen: Dokumentieren Sie alle Schnittstellen, APIs und Steuerungsmöglichkeiten. Nur so können Sie das tatsächliche Risikoprofil ermitteln.

Autonomiegrad bewusst wählen: Entscheiden Sie sich für „Human in the Loop“ oder „Human on the Loop“, wenn Sie Hochrisiko-Einstufungen vermeiden wollen.

Rechtliche Begleitung ab Konzeptphase: Holen Sie Compliance und Rechtsabteilung bereits bei der Produktentwicklung an Bord – nicht erst vor dem Launch.

Transparenz intern und extern: Dokumentieren Sie Ihre Entscheidungen nachvollziehbar und kommunizieren Sie gegenüber Kunden und Behörden offen.

FAQ

Was ist ein KI-Agenten-System?

KI-Agenten-Systeme zeichnen sich dadurch aus, dass sie in der Lage sind, ein bestimmtes, vom Anwender gesetztes Ziel selbstständig zu erreichen und die für die Zielerreichung notwendigen Schritte selbstständig zu ermitteln und auch umzusetzen. Beispiel: Ein System, das auf die Aufforderung „Buche mir einen Urlaub“ selbstständig Flüge, Hotels und Mietwagen recherchiert und bucht.

Reicht es, mein LLM auf einen speziellen Zweck zuzuschneiden (Fine-Tuning)?

Meist nicht. Da ein KI-Agenten-System zunächst die Nutzereingabe verstehen, ein bestimmtes Ziel identifizieren, planen und sodann Maßnahmen umsetzen können muss, steht zu erwarten, dass auch ein KI-Agenten-System, dessen zugrundeliegendes KI-Modell für ein bestimmtes Anwendungsgebiet zugeschnitten wird, in den allermeisten Fällen ein KI-Modell mit allgemeinem Verwendungszweck beinhalten wird.

Warum sind die Werkzeuge, die mein System nutzt, so wichtig?

Bei der Bestimmung der Verwendungszwecke eines KI-Agenten-Systems muss nicht nur das beabsichtigte „Betätigungsfeld“ berücksichtigt werden, sondern auch die dem KI-Agenten-System zur Verfügung stehenden Werkzeuge. Somit wäre auch ein KI-Agenten-System, welches zwar nur einen beabsichtigten Verwendungszweck hat, als KI-System mit allgemeinem Verwendungszweck anzusehen, wenn es als Werkzeug beispielsweise einen Computer oder Browser eigenständig steuern könnte.

Was bedeutet „Human in the Loop“, „Human on the Loop“ und „Human out of the Loop“?

Bei „Human in the Loop“-Systemen ist stets eine Handlung des Nutzers erforderlich, bevor das KI-System eine Handlung vornehmen kann. Bei „Human on the Loop“-Systemen kann das KI-System selbstständig Handlungen vornehmen, der Nutzer überwacht jedoch die Handlungen des Systems und kann korrigierend einschreiten. Bei „Human out of the Loop“-Systemen erfolgt keine vorherige Freigabe oder Kontrolle durch den Nutzer.

Kann die EU-Kommission mein System nachträglich als „systemisches Risiko“ einstufen?

Ja. Die Entscheidung, ob aufgrund dieser Kriterien ein systemisches Risiko gegeben ist, trifft die Kommission von Amts wegen. Hier steht zu erwarten, dass gerade die fortgeschrittenen KI-Agenten-Systeme, welche auch komplexere Aufgaben weitgehend selbstständig erfüllen können, oftmals von der Kommission entsprechend eingestuft werden.

Reicht der risikobasierte Ansatz der KI-VO für KI-Agenten-Systeme aus?

Nein. Der risikobasierte Ansatz scheint die besonderen Eigenschaften und Risiken der KI-Agenten-Systeme nicht hinreichend adäquat erfassen zu können. Insbesondere wird das Risiko, dass das KI-System selbstständig auf verschiedene Werkzeuge zurückgreifen und diese einsetzen kann, nicht in der Risikoklassifizierung der KI-Verordnung hinreichend berücksichtigt.

➜ Zur Checkliste „Bin ich betroffen?“​​​

Neue Leitlinien zeigen, wie Unternehmen KI datenschutzkonform einsetzen können

KI DSGVO Rechtsgrundlagen sind für Unternehmen heute unverzichtbar – dieser Artikel erklärt, welche Grundlagen beim KI-Einsatz gelten. Der Landesbeauftragte für Datenschutz Baden-Württemberg hat das erste umfassende Diskussionspapier einer deutschen Aufsichtsbehörde zu Rechtsgrundlagen beim KI-Einsatz veröffentlicht. Danach stellt die zentrale Rechtsgrundlage für das Training von KI-Modellen mit personenbezogenen Daten und die Nutzung der personenbezogenen Daten in der KI die Interessenabwägung dar.

Mit der öffentlichen Verfügbarkeit von generativen KI-Systemen wie ChatGPT hat der KI-Einsatz breite Aufmerksamkeit erlangt, woraufhin der LfDI Baden-Württemberg ein Diskussionspapier zu datenschutzrechtlichen Rechtsgrundlagen beim KI-Einsatz veröffentlichte. Das Diskussionspapier ist das erste umfassendere Papier einer deutschen Aufsichtsbehörde. Ausgangspunkt ist ein abgeschlossen trainiertes Large Language Model (LLM wie ChatGPT) für die Erstellung von Texten, das auf Machine-Learning-Methoden des Deep Learning basiert und aus Trainingsdaten lernt. Soweit für die Entwicklung, Bereitstellung oder bei der Anwendung von KI-Systemen personenbezogene Daten verarbeitet werden, ist grundsätzlich eine Rechtsgrundlage erforderlich. Bei der Bestimmung, welche Rechtsgrundlagen anwendbar sind, sollte konsequent nach den Phasen der Verarbeitung unterschieden werden, da es insoweit erhebliche Unterschiede gibt.

Kernaussagen in Kürze

Bei der Erhebung von Trainingsdaten durch Web-Crawling ist die Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO die relevanteste Rechtsgrundlage.

Eine Verarbeitung ist auf Grundlage einer Interessenabwägung zulässig, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und die Interessen der betroffenen Person nicht überwiegen. Die Rechtsgrundlage ist offen ausgestaltet und daher besonders geeignet für innovative Technologien.

Der Grundsatz der Datenrichtigkeit ist sowohl bei der Prüfung der Erforderlichkeit als auch bei der Interessenabwägung zu beachten. Bei der Interessenabwägung ist besonderes Augenmerk auf die Richtigkeit der Output-Daten zu richten, da falsche oder unvollständige Daten regelmäßig zu einem Überwiegen der Interessen der betroffenen Person führen.

Per se problematisch ist bei KI-Systemen, dass die ausgegebenen Daten vielfach nicht ganz richtig sein werden, da der Output nicht auf Fakten, sondern auf Wahrscheinlichkeitsberechnungen beruht.

Der Grad der Verlässlichkeit der Daten muss sich am jeweiligen Verarbeitungszweck orientieren.

Rechtliche Einordnung: KI DSGVO Rechtsgrundlagen im Überblick

Die KI-Verordnung (VO EU 2024/1689) lässt die datenschutzrechtlichen Vorgaben und Anforderungen weitgehend unberührt. Gleichwohl können die Prozeduren, die in der KI-VO vorgesehen sind, helfen, die datenschutzrechtlichen Anforderungen zu erfüllen, soweit sie gleichlaufende Schutzziele verfolgen.

Prüfmaßstäbe für Interessenabwägung

Die Rechtsgrundlage der Interessenabwägung ist dreistufig zu prüfen: erstens muss sich der Verantwortliche auf ein berechtigtes Interesse berufen, zweitens muss die Verarbeitung dafür erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person demgegenüber nicht überwiegen.

Das berechtigte Interesse ist weit auszulegen und wird als wirtschaftliches Interesse vor allem darauf gestützt werden können, innovative Produkte zu entwickeln, im Wettbewerb mithalten zu können und im Sinne des technischen Fortschritts KI-Systeme weiterzuentwickeln.

Es muss sich um das eingriffsschwächste aller gleich effektiven Mittel handeln, die dem Verantwortlichen bereitstehen. Die Erforderlichkeit kann begründet werden, wenn dargelegt werden kann, warum die Daten benötigt werden, technische Maßnahmen zur Verringerung des Umfangs der Verarbeitung ergriffen und dem Stand der Technik entsprechend optimiert werden.

Nutzen Sie auch die unten aufgeführten Hilfen. Bei zusätzlichen Beratungsbedarf buchen Sie einen Termin für ein unverbindliches Erstgespräch:​

Auswirkungen für die Praxis

Geschäftsführung/Produkt/IT

Die Einhaltung der Grundsätze der DS-GVO und insbesondere ein Privacy-by-Design-Ansatz sind wesentlich. Der Grundsatz der Datenrichtigkeit fordert, dass Maßnahmen ergriffen werden müssen, die sicherstellen, dass die Daten nicht verfälscht werden. So ist bei der Auswahl und Menge der Trainingsdaten darauf zu achten, dass diese eine gute Qualität aufweisen und richtig sind. Daher muss in regelmäßigen Abständen geprüft werden, ob das Modell gegebenenfalls neu trainiert werden muss.

Marketing/Vertrieb

Setzt der Anwender ein KI-System ein, um für eine werbliche Kundenansprache passende individualisierte Texte zu erstellen, kann er sich dabei sowohl auf eine für Werbezwecke gegebene Einwilligung als auch eine Interessenabwägung stützen. Filter oder Richtlinien zur Prompt-Gestaltung, die eine Ausspielung personenbezogener Daten im Output verringern, können sich zugunsten des Anwenders auswirken. Es könnte beispielsweise untersagt werden, nach konkreten Personen zu fragen.

Compliance/DSB/Rechtsabteilung

Der Transparenz ist besondere Bedeutung beizumessen: Damit der Anwender weiß bzw. einschätzen kann, ob der Output auf sicheren Fakten beruht oder nicht, sollte das KI-System angeben, ob eine Information auf einer binären Kenntnis basiert, ob sie mit einer bestimmten Methodik eine Wahrscheinlichkeit berechnet oder einen Inhalt frei erfunden hat. Zugunsten des Anwenders kann eine besonders ausführliche und transparente Information über den Ablauf der Verarbeitung und über die Möglichkeiten zur Wahrnehmung der Betroffenenrechte sprechen.

FAQ

Brauche ich für jeden KI-Einsatz eine separate Rechtsgrundlage?

Bei der Bestimmung, welche Rechtsgrundlagen anwendbar sind, sollte konsequent nach den Phasen der Verarbeitung unterschieden werden, da es insoweit erhebliche Unterschiede gibt. Jede Verarbeitungsphase benötigt eine eigene Rechtsgrundlage.

Kann ich mich bei KI-Training immer auf berechtigte Interessen berufen?

Eine Verarbeitung ist auf Grundlage einer Interessenabwägung zulässig, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und die Interessen der betroffenen Person nicht überwiegen. Eine Einzelfallprüfung ist erforderlich.

Was bedeutet Datenrichtigkeit bei KI-Outputs?

Der Grad der Validität der Daten muss sich am jeweiligen intendierten Verarbeitungszweck orientieren. Je nach Anwendungsfall sind unterschiedliche Genauigkeitsgrade erforderlich.

Muss ich bei öffentlich verfügbaren Daten auch Rechtsgrundlagen beachten?

Für im Internet erhobene Trainingsdaten kann zugunsten des Verantwortlichen angeführt werden, dass die betroffene Person diese Daten selbst veröffentlicht hat. Dennoch ist eine Rechtsgrundlage erforderlich.

Wie kann ich Widerspruchsrechte bei KI-Training umsetzen?

Hilfreich könnte die Etablierung und Berücksichtigung einer Kennzeichnung wie „robots.txt“ für Suchmaschinen-Crawler sein, mit der Inhalte von der Erhebung als Trainingsdaten ausgeschlossen werden können.

➜ Zur To-Do-Liste (priorisiert)​​

Risiken & Fallstricke

Datenrichtigkeit unterschätzen

Selbst wenn ein Output auf einer mathematisch-statistisch exakten Verarbeitungsmethode und qualitativ guten Trainingsdaten beruht, kann er inhaltlich unrichtige Daten enthalten, was zu einem Verstoß gegen den Datenrichtigkeitsgrundsatz führt.

Zweckbestimmung zu ungenau

Selbst wenn ein Output auf einer mathematisch-statistisch exakten Verarbeitungsmethode und qualitativ guten Trainingsdaten beruht, kann er inhaltlich unrichtige Daten enthalten, was zu einem Verstoß gegen den Datenrichtigkeitsgrundsatz führt.

Betroffenenrechte vernachlässigen

Es besteht keine direkte Beziehung zwischen dem Verantwortlichen und der betroffenen Person, sodass die betroffene Person einen Widerspruch im klassischen Sinne faktisch nur schwer ausüben kann.

KI-VO-Anforderungen ignorieren

Die Maßnahmen der KI-VO für Hochrisiko-KI-Systeme sind grundsätzlich gut geeignet, auch die Einhaltung datenschutzrechtlicher Anforderungen zu unterstützen.

➜ Zur Checkliste „Bin ich betroffen?“​​

In diesem KI Beratung Mittelstand Podcast sprechen die beiden KIMI-Gründer Orlando Noor (KI-Stratege & Effizienz-Experte) und Philipp Weißmann (IT-Fachanwalt & zertifizierter KI-Beauftragter) in Episode 221 des Digital Breakfast Podcasts über die größten Stolpersteine beim KI-Einstieg – und wie Unternehmen heute bereits praxistauglich und rechtssicher starten können.

Dieser KI Beratung Mittelstand Podcast richtet sich an Geschäftsführer und Entscheider in Unternehmen mit 10 bis 250 Mitarbeitenden. Im Mittelpunkt steht die Frage, wie KI ohne IT-Großprojekt, ohne Vorwissen und ohne rechtliche Risiken eingeführt werden kann. Orlando Noor und Philipp Weißmann zeigen anhand konkreter Projekte, dass der Einstieg oft einfacher ist als erwartet – vorausgesetzt, Strategie, Umsetzung und rechtliche Absicherung greifen von Anfang an ineinander.

Was bedeutet KI Beratung für den Mittelstand konkret?

KI Beratung für den Mittelstand bedeutet: konkrete Prozesse identifizieren, den wirtschaftlichen Nutzen messbar machen und den Einsatz rechtssicher gestalten – ohne IT-Großprojekt und ohne Vorwissen. Genau das ist der Ansatz, den KIMI-Gründer Orlando Noor und Philipp Weißmann in Episode 221 des Digital Breakfast Podcasts vorstellen.

Warum zögern viele Mittelständler beim KI-Einstieg?

Die meisten mittelständischen Unternehmen wissen, dass KI relevant ist. Trotzdem zögern viele. Der Grund ist selten fehlendes Interesse – sondern Unsicherheit: Rechtliche Fragen rund um DSGVO und EU AI Act, unklare Prioritäten bei der Tool-Auswahl und die Sorge, mit dem falschen Schritt Ressourcen zu verschwenden.

In der Podcast-Episode zeigen Orlando Noor und Philipp Weißmann, dass diese Unsicherheit lösbar ist – vorausgesetzt, man trennt zwischen strategischer Orientierung, operativer Umsetzung und rechtlicher Absicherung. Genau diese drei Dimensionen bilden das Fundament der KIMI-Beratung.

Was KIMI von anderen KI-Beratungen unterscheidet

Was eine KI-Beratung von KIMI für den Mittelstand von anderen Anbietern unterscheidet, ist die Kombination aus Strategie, Effizienz und Rechtssicherheit – alle drei Dimensionen in einem Angebot. Die meisten Anbieter decken entweder die strategisch-operative Seite oder die rechtliche Seite ab. KIMI verbindet beides: Orlando Noor verantwortet KI-Strategie und Effizienzsteigerung, Philipp Weißmann – IT-Fachanwalt und zertifizierter KI-Beauftragter – sichert jeden KI-Workflow rechtlich ab.

Im Podcast wird dieser Ansatz greifbar: Die beiden Gründer berichten aus laufenden Projekten, nennen konkrete Zahlen und erklären, warum rechtliche Leitplanken kein Hemmnis, sondern ein Wettbewerbsvorteil sind. Als KI Beratung Mittelstand Podcast-Gäste zeigen Orlando und Philipp, wie der Dreiklang aus Strategie, Effizienz und Recht in der Praxis funktioniert.

Was KIMI von anderen KI-Beratungen unterscheidet

In der Episode sprechen Orlando und Philipp über drei Einsatzfelder, die im Mittelstand besonders hohen ROI erzeugen:

Prozessautomatisierung im Marketing:

Ein Referenzprojekt zeigt, wie durch KI-gestützte Workflow-Automatisierung der manuelle Aufwand in einer Marketingabteilung um 79 % gesenkt wurde – ohne neue Software-Infrastruktur.

KI-gestützte Content-Produktion:

Durch ein strukturiertes KI-Framework wurde die SEO-Content-Produktion auf das 32-fache beschleunigt, bei gleichbleibender Qualität und klarer redaktioneller Kontrolle.

Rechtssichere KI-Nutzung mit Mitarbeitenden:

Wie Unternehmen interne KI-Richtlinien aufsetzen, die DSGVO-konform sind und gleichzeitig den Alltag der Mitarbeitenden erleichtern – statt ihn zu verkomplizieren.

EU AI Act und DSGVO: Was Mittelständler jetzt wissen müssen

Seit Februar 2025 gelten erste Verpflichtungen aus dem EU AI Act. Viele Mittelständler wissen nicht, ob und wie sie betroffen sind. Philipp Weißmann erklärt im Podcast, worauf es jetzt ankommt: Risikoklassifizierung der eingesetzten KI-Systeme, klare Verantwortlichkeiten und eine dokumentierte Nutzungsrichtlinie. Wer heute handelt, schützt sich vor Bußgeldern und schafft gleichzeitig Vertrauen bei Kunden und Partnern.

Episode anhören & kostenlose Ressourcen

Die vollständige Episode ist beim Digital Breakfast Podcast verfügbar:

🎙️ Episode 221 anhören – Digital Breakfast Podcast

Zusätzlich stellen wir zwei kostenlose Ressourcen bereit, die in der Episode erwähnt werden:

📄 KI-Praxisleitfaden herunterladen – 9 Seiten mit konkreten Einstiegspunkten, rechtlichen Leitplanken und den Top-5-ROI-Hebeln im Mittelstand.

📋 KI-Speisekarte herunterladen – 15 sofort umsetzbare KI-Anwendungsfälle inkl. Umsetzungszeit, Schwierigkeitsgrad und erwarteter Wirkung.

Dieser KI Beratung Mittelstand Podcast ist besonders geeignet für Geschäftsführer und Entscheider, die KI ohne IT-Großprojekt einführen wollen.

Nächster Schritt: Kostenloses Orientierungsgespräch

In einem 30-minütigen Orientierungsgespräch prüfen wir gemeinsam, welcher der 5 ROI-Hebel in Ihrem Unternehmen das größte Potenzial hat – unverbindlich, sachlich und ohne Verkaufsdruck.