KI Compliance im Mittelstand: Was EU AI Act, DSGVO und GoBD von Ihnen verlangen

Der Jahresabschluss ist erledigt, das Audit steht vor der Tür und der CEO fragt, ob das neue KI-Tool für die Finanzplanung schon einsatzbereit ist.  

Doch bevor diese Frage ehrlich beantwortet werden kann, braucht es Klarheit: Ist das Tool GoBD-konform archiviert, DSGVO-konform aufgesetzt, revisionssicher protokolliert? Wer als CFO darauf keine klare Antwort hat, kann nicht freigeben – egal, wie gut das Tool bereits rechnet. 

Denn Unternehmen im DACH-Raum operieren bereits heute in einem der regulatorisch dichtesten Umfelder weltweit. GoBD, DSGVO, HGB, UStG, EU-Taxonomie und das Lieferkettensorgfaltspflichtengesetz – das ist das Regelwerk, das schon vor dem ersten KI-Projekt gilt. Dazu kommt die E-Rechnungspflicht als konkreter Zeitdruckfaktor.
 

Und mittendrin: der EU AI Act, der KI nicht als technisches Experiment behandelt, sondern als regulierten Unternehmensprozess. 

KI-Compliance im Mittelstand bedeutet deshalb: KI operiert nicht im Freiraum. Sie trifft auf ein Geflecht aus Pflichten, das bereits existiert, und verschärft es. 
 

Der EU AI Act arbeitet mit einem risikobasierten Ansatz. Das bedeutet in der Praxis, je mehr eine KI-Anwendung in grundlegende Rechte oder Unternehmensentscheidungen eingreift, desto strenger die Anforderungen. 

Insgesamt gibt es vier Risikoklassen: unakzeptabel, hoch, begrenzt, minimal.  

Für den Mittelstand, z. B. im Maschinenbau, sind vor allem die Hochrisiko-Anwendungen für Personalauswahl und Leistungsbewertung in HR relevant. Auch Forecasting und Kreditwürdigkeitsprüfung in der Finanzplanung oder Steuerung und Optimierung in der Lieferkette. All das zählt zu „hochrisiko“. 

Das bedeutet: Wer KI in diesen Bereichen einsetzt, muss lückenlose Dokumentation vorhalten, menschliche Aufsicht sicherstellen, technische Robustheit nachweisen und das System in einer EU-Datenbank registrieren.  

Transparenz ist keine Kann-Option, sondern gesetzliche Pflicht. 

Wer das ignoriert, riskiert hohe Bußgelder. Möglich sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken und bis zu 15 Millionen Euro oder 3 Prozent für Verstöße im Hochrisiko-Bereich, also genau dort, wo Mittelständler KI typischerweise einsetzen.  
 

Der AI Act ist seit August 2024 in Kraft und greift stufenweise: 

• Verbote besonders schädlicher KI-Praktiken gelten seit Februar 2025 

• Transparenzpflichten seit August 2026  
   

Die vollen Hochrisiko-Pflichten sollten ursprünglich ebenfalls ab August 2026 greifen, wurden aber durch den Digital Omnibus verschoben. 

• Die Regelungen für eigenständige Hochrisiko-Systeme (Anhang III, etwa HR-Screening und Kreditwürdigkeitsprüfung) auf Dezember 2027  

• Einschränkungen für KI in regulierten Produkten (Anhang I) auf August 2028. 

Das gibt Unternehmen mehr Zeit, ist aber keine Entwarnung. Die Anforderungen werden sich nicht ändern, nur der Zeitpunkt verschiebt sich. Es ist also wichtig, sich bereits jetzt damit auseinanderzusetzen. Unternehmen, die früh beginnen, vermeiden Zeitdruck und können ihre Compliance-Strukturen gezielt aufbauen, statt sie später hastig nachzurüsten. Wer den Vorlauf nutzt, verschafft sich außerdem einen Vorsprung, denn Governance-Strukturen, die heute entstehen, tragen schon morgen jeden weiteren KI-Anwendungsfall im Unternehmen. Und sie zahlen sich doppelt aus: Wer heute eine solide Struktur aufbaut, ist auch besser für künftige Regulierungen gewappnet. 
 

KI-Governance im Mittelstand lässt sich auf fünf konkrete Dimensionen herunterbrechen und für jede davon gilt: Ein modernes ERP-System liefert genau die strukturelle Grundlage, die gebraucht wird. 

1. Nachvollziehbarkeit. Jede KI-gestützte Entscheidung muss im Nachhinein rekonstruierbar sein. Wer hat welche Daten eingespeist? Welches Modell hat auf welcher Basis welches Ergebnis produziert? Ein lückenloser Audit Trail ist keine technische Kür, sondern Voraussetzung für jede Betriebsprüfung.  
   Das ERP protokolliert diese Kette, wenn die Daten dort sauber strukturiert vorliegen. 
    

2. Datenschutz. DSGVO-konformer KI-Einsatz setzt voraus, dass personenbezogene Daten in einer kontrollierten, verschlüsselten Umgebung verarbeitet werden. Wer KI-Modelle mit Daten aus verteilten Systemen, Insellösungen oder Excel-Exporten füttert, verliert den Überblick darüber, wo welche Daten landen.  
   Ein ERP zentralisiert diese Umgebung und macht Datenschutz beim KI-Einsatz überhaupt erst steuerbar. 
    

3. Revisionssicherheit. GoBD verlangt, dass steuerrelevante Daten unveränderbar und nachvollziehbar archiviert werden. Das gilt auch für KI-generierte Ausgaben, die in buchhalterische Prozesse einfließen.  
   Ein GoBD-konformes ERP schafft diese Archivierungsstruktur systemseitig. 
    

4. Zugriffskontrolle. KI-Systeme brauchen einen Datenzugang. Die Frage ist nur zu was und für wen? Unkontrollierter Datenzugriff durch KI-Anwendungen ist eines der größten Compliance-Risiken überhaupt.  
   Rollenbasiertes Berechtigungsmanagement im ERP stellt sicher, dass KI-Systeme nur auf die Daten zugreifen, für die sie autorisiert sind.  
    

5. Transparenz. Gegenüber Prüfern, Behörden und im Fall von HR-Entscheidungengegenüber betroffenen Personen muss nachweisbar sein, auf welcher Grundlage eine Entscheidung getroffen wurde. Dokumentierte Entscheidungsgrundlagen sind kein Verwaltungsaufwand. Sie sind der Beweis, dass KI-Governance tatsächlich funktioniert. 
   Ein ERP schafft eine zentrale Daten- und Prozessbasis, auf der Entscheidungsgrundlagen, relevante Stammdaten sowie Prozessschritte konsistent dokumentiert und für berechtigte Personen transparent gemacht werden können.  
    

Dahinter steckt ein Grundprinzip, das in der KI-Entwicklung schon lange gilt: “Garbage in, garbage out”. Wer schlechte, unstrukturierte oder unkontrolliert verteilte Daten in ein KI-System einspeist, bekommt unzuverlässige Ergebnisse und kann diese im Zweifelsfall nicht einmal erklären. Ein ERP hingegen hält die Datenbasis sauber und liefert damit das Fundament, auf dem die fünf Dimensionen überhaupt erst funktionieren können.  
 

Hier eine Zahl, die aufhorchen lässt:  

Nur 32 % der IT-Verantwortlichen in Deutschland sind laut einer aktuellen Splunk-Umfrage davon überzeugt, dass ihre KI-Prozesse den geltenden Datenschutzvorgaben entsprechen. Gleichzeitig messen 99 % datengestützten Entscheidungen hohe Priorität bei. 

Die Lücke zwischen Anspruch und Wirklichkeit ist enorm. Und sie hat einen konkreten Grund: Viele Unternehmen haben keine tragfähige Datenstrategie. Laut derselben Erhebung fehlt 39 Prozent der Befragten genau das. Weitere 77 Prozent sehen in schlechter Datenqualität ein ernsthaftes Unternehmensrisiko. Und 45 Prozent geben an, dass mangelnde Datenqualität sie beim KI-Einsatz gegenüber dem Wettbewerb zurückwirft. 

Das ist kein Problem von Einzelfällen. Das ist ein strukturelles Defizit. Erschwerend kommt hinzu: 8 von 10 Deutschen sorgen sich laut aktuellen Studien um den Schutz ihrer Privatsphäre, wenn Unternehmen KI einsetzen. Vertrauen ist damit nicht nur eine Compliance-Pflicht. Es ist ein Wettbewerbsfaktor. 

Wer als Mittelständler KI einführt, ohne die Governance-Infrastruktur dafür aufgebaut zu haben, riskiert neben Bußgeldern auch  das Vertrauen von Kunden, Lieferanten und Mitarbeitenden.  

Gleichzeitig verpassen Unternehmen die Vorteile von klaren Governance-Strukturen.
 

Belastbare Zahlen dafür liefert bislang vor allem eine Befragung von über 500 US-Unternehmen mit mehr als 500 Mitarbeitenden und über 100 Millionen US-Dollar Jahresumsatz (Schellman 2026). Unternehmen dieser Größe verfügen aber über Ressourcen wie eigene KI-Teams, die in kleineren Betrieben selten in der Form existieren. Die Zahlen lassen sich deshalb nicht direkt übertragen, zeigen aber die Richtung, in die es gehen kann. 57 Prozent der befragten Unternehmen mit etablierter KI-Governance berichteten von einer verbesserten internen Effizienz, 43 Prozent gaben an, dass sich KI-Anwendungen dadurch leichter unternehmensweit skalieren lassen und 49 Prozent fühlten sich besser auf neue Regulierungen vorbereitet. Die Studienautoren beobachteten außerdem, dass Kunden Anbietern eher vertrauen, wenn diese verantwortungsvolle KI-Kontrollen nachweisen können. außerdem, dass Kunden Anbietern eher vertrauen, wenn diese verantwortungsvolle KI-Kontrollen nachweisen können. 

Für den Mittelstand heißt das nicht, in großem Stil nachzuziehen, denn die nötigen Ressourcen fehlen in der Regel. Vielmehr geht es darum, Wege zu finden, denselben Grundgedanken – klare Verantwortlichkeiten und verbindliche Regeln – mit schlankeren Mitteln umzusetzen. 
 

KI kann im Mittelstand echten Mehrwert schaffen, braucht aber das notwendige Fundament. Governance ist dabei die Bedingung, unter der KI überhaupt zuverlässig und rechtssicher funktionieren kann. 

Die Logik ist einfach: Erst die Datenstrategie und die Governance-Infrastruktur aufbauen, dann KI skalieren und schließlich den strategischen Vorsprung realisieren.  

Den Vorsprung zu halten ist dabei kein einmaliger Schritt, sondern eine laufende Aufgabe: EU AI Act, DSGVO und GoBD werden immer wieder konkretisiert und angepasst. Die Anforderungen von heute sind nicht zwingend die Anforderungen von morgen. Und auch abseits der Regulatorik bewegt sich die Welt der Künstlichen Intelligenz in einem Tempo, das sich kaum noch im Alltag nebenbei verfolgen lässt. Umso wichtiger wird es für Unternehmen, den Anschluss nicht zu verlieren.