KI-Agenten im Mittelstand: Warum der EU AI Act kein Blocker ist, sondern eine Checkliste

Viele Mittelständler zögern bei KI-Agenten, sobald der EU AI Act zur Sprache kommt. Die Sorge: zu kompliziert, zu riskant, zu teuer in der Umsetzung. Bei genauerem Hinsehen ist der AI Act weniger Blocker als Checkliste, vorausgesetzt, man kennt die Punkte, die für typische Mittelstands-Anwendungsfälle tatsächlich relevant sind.

Der AI Act in Kürze

Der EU AI Act verfolgt einen risikobasierten Ansatz. KI-Systeme werden grob in Risikoklassen eingeteilt, von unannehmbarem Risiko (verboten) über hohes Risiko (strenge Auflagen) bis zu begrenztem und minimalem Risiko (überschaubare Pflichten). Die meisten KI-Agenten, die im Mittelstand für interne Automatisierung eingesetzt werden, etwa für Service-Desk, Dokumentenanalyse oder E-Mail-Triage, fallen typischerweise nicht in die Hochrisikokategorie. Das entbindet aber nicht von jeder Pflicht.

Wichtig: Die Einordnung ist nicht pauschal, sondern hängt vom konkreten Anwendungsfall ab. Ein KI-Agent, der interne Tickets klassifiziert, ist anders zu bewerten als ein System, das über Kreditvergabe oder Personalentscheidungen mitentscheidet.

Was für Mittelstands-Agenten typischerweise relevant ist

Für die meisten Automatisierungsprojekte im Mittelstand sind vor allem drei Themenfelder relevant:

• Transparenzpflichten. Nutzerinnen und Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren, etwa bei einem Chat- oder Service-Desk-Agenten.
• Dokumentation. Zweck, Funktionsweise und Grenzen des Systems sollten nachvollziehbar festgehalten sein, nicht nur im Kopf der entwickelnden Person.
• AI Literacy. Mitarbeitende, die mit KI-Systemen arbeiten oder deren Ergebnisse nutzen, müssen ausreichend geschult sein, um sie sinnvoll und verantwortungsvoll einzusetzen.

Der AI Act verlangt selten spektakuläre neue Prozesse. Er verlangt, bestehende gute Praxis sichtbar und nachweisbar zu machen.

Ein Beispiel: der Service-Desk-Agent

Ein mittelständisches IT-Systemhaus führt einen Agenten ein, der eingehende Support-Tickets klassifiziert, Lösungsvorschläge aus der internen Wissensdatenbank zieht und einfache Rückfragen direkt beantwortet. Komplexere Fälle gehen weiterhin an das Team. In der Einordnung ist das typischerweise ein System mit begrenztem Risiko: Es trifft keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Personen.

Relevant wird dennoch: Kundinnen und Kunden sollten erkennen können, dass sie zunächst mit einem KI-System kommunizieren. Das Team, das die Vorschläge des Agenten nutzt, sollte wissen, dass Antworten geprüft und nicht blind übernommen werden sollten. Und es sollte dokumentiert sein, auf welcher Wissensbasis der Agent arbeitet und wo seine Grenzen liegen. Drei überschaubare Punkte, die sich in ein normales Projekt integrieren lassen.

Was, wenn der Anwendungsfall doch höher einzustufen ist?

Nicht jeder Agent bleibt im risikoarmen Bereich. Ein System, das etwa bei Kreditentscheidungen, Personalauswahl oder sicherheitskritischen Prozessen mitwirkt, kann in eine höhere Risikoklasse fallen, mit entsprechend strengeren Anforderungen an Risikomanagement, Datenqualität und menschliche Aufsicht. Genau deshalb steht die Einordnung am Anfang jedes Projekts, nicht am Ende: Sie entscheidet darüber, wie viel zusätzlicher Aufwand tatsächlich nötig ist, und verhindert böse Überraschungen kurz vor dem Go-Live.

Checkliste: KI-Agenten AI-Act-konform einführen

Sechs Schritte, die sich in ein normales Projekt integrieren lassen, statt es zu verlangsamen:

• 1. Anwendungsfall einordnen. Welche Risikoklasse ist einschlägig? Diese Frage steht am Anfang, nicht am Ende des Projekts.
• 2. Transparenz einbauen. Ein klarer Hinweis, dass ein KI-System beteiligt ist, gehört von Beginn an ins Design, nicht als nachträgliche Ergänzung.
• 3. Dokumentation mitführen. Zweck, Datenquellen und Grenzen des Systems parallel zur Entwicklung festhalten, nicht rückwirkend rekonstruieren.
• 4. Human-in-the-Loop definieren. Welche Entscheidungen darf der Agent treffen, welche brauchen eine menschliche Freigabe?
• 5. AI Literacy sicherstellen. Das Team, das mit dem System arbeitet, braucht ein Grundverständnis für dessen Funktionsweise und Grenzen.
• 6. Regelmäßig überprüfen. Ändert sich der Anwendungsfall oder die zugrunde liegende Technologie, gehört die Einordnung erneut auf den Prüfstand.

Warum das kein Blocker sein muss

Der entscheidende Unterschied liegt darin, ob diese Punkte von Anfang an mitgedacht werden oder erst nachträglich aufgesattelt werden müssen. Ein Projekt, das Transparenz, Dokumentation und Freigabelogik von Beginn an im Design berücksichtigt, verliert dadurch kaum Zeit. Ein Projekt, das erst nach dem Go-Live nachbessern muss, wird deutlich teurer und langsamer.

Das ist auch der Grund, warum wir KI-Automatisierung und Compliance-Struktur nicht getrennt anbieten. Wird nur der Workflow beauftragt, fehlt oft die Dokumentation, die der AI Act verlangt. Wir bauen beides zusammen: den funktionierenden KI-Agenten und die passende EU-AI-Act-Struktur dazu.

Was Sie nicht brauchen

Genauso wichtig wie zu wissen, was zu tun ist, ist zu wissen, was in den meisten Fällen nicht nötig ist. Für einen typischen internen Automatisierungs-Agenten im Mittelstand braucht es in der Regel keine eigene KI-Ethikkommission, keine externe Konformitätsbewertung durch eine benannte Stelle und keinen mehrmonatigen Rechtsprüfungsprozess vor dem ersten Prototyp. Diese Anforderungen sind für Hochrisiko-Systeme relevant, nicht für die Mehrzahl der Automatisierungsfälle, die wir im Mittelstand sehen. Wer diesen Unterschied nicht kennt, überschätzt den Aufwand systematisch und schiebt sinnvolle Projekte unnötig auf.

Der praktische Blick nach vorn

Wer heute einen KI-Agenten für Service-Desk, Posteingang oder Dokumentenanalyse einführt, sollte die genannten sechs Punkte als festen Bestandteil der Projektplanung behandeln, nicht als separates Compliance-Projekt danach. So bleibt der AI Act das, was er sein soll: eine Checkliste für verantwortungsvolle Automatisierung, kein Grund, gute Automatisierungsprojekte auf die lange Bank zu schieben. Gerade für MSPs, die KI-Agenten nicht nur für sich selbst, sondern für mehrere Kundenunternehmen einführen, lohnt sich eine einmal sauber aufgesetzte Vorlage für Transparenzhinweis, Dokumentation und Freigabelogik, die sich für jeden weiteren Kunden wiederverwenden lässt.

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die rechtsverbindliche Einordnung Ihres konkreten Anwendungsfalls sollten Sie im Zweifel mit einer spezialisierten Kanzlei klären.