Dreizehn Regelwerke, ein Fahrplan: Wie der Mittelstand bei KI ins Machen kommt

Der Mittelstand kann Komplexität. Er führt Unternehmen durch Lieferkettenkrisen, durch Generationswechsel, durch Märkte, die sich schneller drehen als die Lehrbücher es vorsehen. Wer das kann, kann auch künstliche Intelligenz. Es braucht nur einen klaren Blick auf das Gelände.

Dass der Weg dorthin noch offen ist, zeigen die Zahlen. Nach der aktuellen Erhebung des Statistischen Bundesamts nutzten 2025 rund 57 Prozent der Großunternehmen ab 250 Beschäftigten KI-Technologien. Bei mittleren Unternehmen waren es 36 Prozent, bei kleinen 23. Der Abstand ist da, aber die Richtung stimmt: In allen Größenklassen geht die Kurve nach oben. Der Mittelstand hat begonnen. Jetzt geht es um Tempo. Denn wer früh anfängt, verschafft sich einen Vorsprung, der schwer einzuholen ist. Und Abwarten ist selten die günstigere Variante; es verlagert die Kosten nur nach hinten, wo aus dem Vorsprung der anderen ein Aufholen wird.

Woran es hakt, und warum das lösbar ist

Was den Einstieg bremst, ist selten der Wille und selten die Technik. Es ist die Unsicherheit darüber, was erlaubt ist.

Die WirtschaftsWoche hat die Ausgangslage im Frühjahr 2026 auf ihrer Mittelstandskonferenz beschrieben: geringe Datenqualität, gewachsene IT-Landschaften und eine Kultur, die Experimente eher bremst als belohnt. Das sind reale Hürden. Nur sind es Hürden, die man nehmen kann, wenn man weiß, wo sie stehen. Genau darum geht es in diesem Beitrag.

Denn hinter der vielzitierten Zurückhaltung steckt meist kein Zaudern, sondern eine offene Frage: Welche Regeln gelten eigentlich, wenn ich ein KI-Werkzeug einsetze? Diese Frage lässt sich beantworten. Sobald sie beantwortet ist, fällt das meiste Zögern von selbst ab.

Die dreizehn Regelwerke, sortiert

Wer KI im Unternehmen einsetzt, berührt eine Reihe von Vorschriften. Wir haben sie zusammengetragen und geordnet; dreizehn sind es. In Gruppen betrachtet werden sie schnell übersichtlich.

Der Datenschutz bildet die Grundlage. Die Datenschutz-Grundverordnung will wissen, welche Systeme zu welchem Zweck arbeiten, und schaut besonders genau hin, wenn eine Maschine über Menschen entscheidet. Das Bundesdatenschutzgesetz ergänzt sie, sobald Software Mitarbeitende betrifft.

Die KI-Regulierung im engeren Sinn ist jünger, aber klar strukturiert. Der EU AI Act sortiert Systeme nach Risiko; wer etwa Bewerbungen automatisiert vorsortiert, arbeitet in der Hochrisikoklasse und dokumentiert, prüft und behält die menschliche Aufsicht. Die europäische Produkthaftung regelt, wer einsteht, wenn ein System Schaden anrichtet. Und das Urheberrecht kommt ins Spiel, sobald ein KI-Output fremden Werken zu nahe kommt.

Das Arbeitsrecht sorgt für Beteiligung. Das Betriebsverfassungsgesetz holt den Betriebsrat an den Tisch, sobald ein System Leistung bewertet oder Verhalten beobachtet; früh eingebunden, wird er zum Verbündeten. Das Allgemeine Gleichbehandlungsgesetz sorgt dafür, dass Algorithmen fair entscheiden, auch dort, wo ein Bias in den Daten schlummert.

Im Finanzumfeld schließlich kommen das Geldwäschegesetz, die Vorgaben zur Buchführung und für regulierte Unternehmen die DORA-Verordnung hinzu. Dazu die Regeln zu Cybersicherheit und Tracking, NIS2 und das TDDDG.

Dreizehn Regelwerke, fünf Felder. So geordnet verlieren sie ihren Schrecken und werden zu dem, was sie sind: die Leitplanken eines Weges, den man gehen kann.

Die vollständige Übersicht mit den jeweiligen Handlungspflichten und Sanktionsrahmen haben wir in einem Dokument zusammengefasst, das am Ende dieses Beitrags zum Download bereitsteht. Ein Kompass für die ersten Schritte.

Der Fahrplan

Aus der Ordnung wird Bewegung, sobald man sie in Schritte übersetzt. Die gute Nachricht: Die Reihenfolge ist fast immer dieselbe.

Es beginnt mit einem Inventar. Welche Werkzeuge im Unternehmen verarbeiten personenbezogene Daten, und zu welchem Zweck? Diese eine Übersicht beantwortet die halbe Compliance-Frage im Vorbeigehen, weil sich vieles andere aus ihr ableitet.

Von dort führt der Weg weiter: Verträge mit den KI-Anbietern schließen, die Datenschutzerklärung um den Einsatz automatisierter Verfahren ergänzen, den Betriebsrat früh und informell einbinden, bevor ein formeller Prozess Fronten schafft. Und dort, wo es anspruchsvoll wird, im Personalwesen, in der Finanzfunktion, beim grenzüberschreitenden Einsatz, kommen die Datenschutz-Folgenabschätzung und der fachkundige Rat hinzu.

Jeder dieser Schritte ist machbar. Zusammen ergeben sie einen Pfad, der aus der ersten Idee eine tragfähige Praxis macht. Es ist Handwerk, und Handwerk lässt sich lernen.

Wer den Wandel gestaltet

Bleibt die schönste Frage: Wer nimmt das in die Hand?

Politik, Verbände und Berater können unterstützen, und sie tun es. Den Takt aber gibt die Unternehmensführung vor. Der Umgang mit KI ist längst keine Frage der IT-Abteilung mehr; er ist zur Führungsaufgabe geworden.

Wer ein mittelständisches Unternehmen durch diese Chance führen will, braucht an der Spitze Menschen, die Technologie und Recht zusammendenken. Tempo und Sorgfalt zugleich. Das eine treibt den Markt, das andere sichert die Grundlage, und die stärksten Führungskräfte beherrschen beides. Solche Profile sind gefragt, und die Nachfrage wächst.

Hier liegt die vielleicht wichtigste Investition. Nicht das nächste Werkzeug entscheidet, sondern die Führung, die den Wandel gestaltet. Wer diese Besetzung früh und mit Bedacht angeht, verschafft dem Unternehmen einen Vorsprung, der bleibt.

Die dreizehn Regelwerke sind kein Hindernis. Sie sind die Landkarte. Und Landkarten sind dazu da, dass man losgeht.

Wer KI im Unternehmen einsetzt, berührt eine Reihe von Vorschriften. Dreizehn sind es. In Gruppen betrachtet werden sie schnell übersichtlich. Öffnen Sie das Regelwerk, das Sie betrifft.

Die vollständige Übersicht der dreizehn Regelwerke, mit den jeweiligen Handlungspflichten und Sanktionsrahmen, stellen wir hier zum Download auch als PDF zur Verfügung.

Ein Wort zur Einordnung: Das Dokument ist als Orientierung gedacht und leistet keine Rechtsberatung. Wir sind keine Rechtsanwälte und dürfen und wollen keine sein. Die dargestellten Pflichten und Sanktionen geben den Stand zum Zeitpunkt der Erstellung wieder; die Rechtslage entwickelt sich fortlaufend, insbesondere im Umfeld des EU AI Act. Für Vollständigkeit, Richtigkeit und Aktualität übernehmen wir keine Gewähr, und aus der Nutzung des Dokuments lässt sich keine Haftung ableiten. Wie ein Regelwerk auf Ihr Unternehmen wirkt, klärt verlässlich nur die Prüfung des Einzelfalls durch fachkundigen Rat.