Von der Schatten-KI zur KI-Infrastruktur: Die vier Phasen, die kein Mittelständler überspringen kann

Was passiert, wenn Sie warten?

KI ist keine Technologieentscheidung mit Aufschubpotenzial. Sie ist eine Kompetenzentscheidung, die Zeit braucht. Und Kompetenz, die heute nicht aufgebaut wird, fehlt morgen – nicht als Konzept, sondern als operative Realität.

Was Abwarten konkret bedeutet: Unternehmen, die heute anfangen, haben in 18 Monaten produktive Systeme im Betrieb. Ihren Kundenservice bearbeiten teilautomatisierte Prozesse. Ihre Mitarbeitenden sind erfahren im Umgang mit KI-Outputs. Ihr Vertrieb arbeitet mit Daten, die früher niemand ausgewertet hat. Wer 18 Monate später startet, braucht trotzdem dieselbe Anlaufzeit – nur mit späterem Enddatum und kleinerem Vorsprung gegenüber dem Wettbewerb.

Dazu kommt der regulatorische Druck. Der EU-AI-Act ist seit August 2025 in Kraft. Artikel 4 schreibt vor, dass Unternehmen, die KI einsetzen, ausreichende KI-Kompetenz ihrer Mitarbeitenden sicherstellen müssen – die Durchsetzung beginnt ab August 2026. Wer bis dahin keine Grundlagen gelegt hat, startet nicht nur mit technischem Rückstand, sondern auch mit einem Compliance-Problem.

Phase 1: Informelle Nutzung – die Schatten-KI

Bevor ein Unternehmen offiziell über KI entscheidet, ist sie schon da. 40 % der deutschen Unternehmen gehen davon aus, dass ihre Mitarbeitenden private ChatGPT-Zugänge beruflich nutzen – und die tatsächliche Zahl liegt nach Einschätzung von Experten noch höher [2]. Mitarbeitende probieren aus, was hilft, weil Neugier stärker ist als jede IT-Richtlinie.

Das ist menschlich und in gewissem Rahmen sogar nützlich: Die ersten Anwendungsfälle entstehen bottom-up, aus echten Problemen des Arbeitsalltags. Gleichzeitig trägt jede Nutzung über unkontrollierte externe Dienste ein reales Risiko. Laut IBM zahlen Unternehmen mit hoher Schatten-KI-Nutzung im Schnitt 670.000 US-Dollar mehr pro Datenpanne als Unternehmen ohne [2]. Typische Merkmale dieser Phase: Die Anwendung bleibt dezentral, spontan und personenabhängig. Es gibt keine geteilten Workflows, kein geteiltes Wissen, keine Qualitätssicherung. Die KI kennt weder Produkte noch Prozesse des Unternehmens – sie antwortet auf Basis allgemeiner Trainingsdaten, nicht auf Basis Ihres spezifischen Kontexts.

Engpass: Governance und Datensicherheit

Nur 23 % der deutschen Unternehmen haben 2025 überhaupt Regeln für den KI-Einsatz aufgestellt [3]. Das bedeutet: In drei von vier Unternehmen gibt es keine formelle Basis, keine Leitplanken und keine Haftungsklärung. Seit dem 2. August 2025 schreibt Artikel 4 des EU-AI-Acts vor, dass Unternehmen, die KI einsetzen, ausreichende KI-Kompetenz bei ihren Mitarbeitenden sicherstellen müssen. Die Durchsetzung beginnt im August 2026 – wer jetzt keine Grundlagen legt, hat dann ein Compliance-Problem. Dazu kommt: Ohne Governance-Rahmen fehlt die Datenbasis für alle späteren Phasen. Wer nicht weiß, welche Daten KI-Systeme bereits heute verarbeiten, kann später auch keine fundierte Datenstrategie aufbauen.

Formalisierung, nicht Verbote

Verbote wirken nicht. Wer KI verbietet, ohne Alternativen zu bieten, treibt die Nutzung noch tiefer in den Schatten – mit denselben Risiken, nur ohne jede Transparenz. Die produktivere Antwort: eine klare Richtlinie entwickeln, die festlegt, welche Tools freigegeben sind und was intern verwendet werden darf, und gleichzeitig schnell ein erstes offiziell genehmigtes Tool einführen. Beides zusammen – Regeln plus echte Alternative – schafft die Grundlage für Phase 2. Wer nur Regeln formuliert ohne Tool-Angebot, wird ignoriert.

Phase 3: Prozessintegration – KI als Veränderung von Abläufen

Der wichtigste Gedankensprung der gesamten KI-Reise: KI ist kein Tool-Projekt. Es ist die Veränderung von Prozessen. Wer das erst in Phase 3 versteht, hat in Phase 1 und 2 bereits Zeit und Geld verloren.

Was das konkret bedeutet: Unternehmen hören auf, KI als Ergänzung bestehender Abläufe zu denken, und beginnen, Abläufe grundlegend neu zu gestalten. Ein Kundenserviceprozess, der mit KI funktioniert, sieht anders aus als ein Prozess, dem man nachträglich ein KI-Tool hinzugefügt hat. Rollen ändern sich. Einige Schritte fallen weg. Andere entstehen neu – zum Beispiel jemand, der KI-Outputs prüft, Wissensdatenbanken pflegt und Qualitätsstandards definiert. Wiederholbare, dokumentierte Muster entstehen. Das ist das Zeichen dafür, dass ein Unternehmen in dieser Phase angekommen ist: nicht mehr jeder Mitarbeitende improvisiert anders mit KI, sondern es gibt geteilte, skalierbare Abläufe.

Engpass: Qualitätssicherung und Verantwortlichkeit

In dieser Phase wird Qualitätssicherung zum Nadelöhr. Wer ist verantwortlich, wenn eine KI eine falsche Auskunft gibt? Welche Ausgaben werden geprüft, welche nicht? Ohne klare Antworten entstehen Haftungsrisiken und Vertrauensverluste, die den Nutzen des gesamten Projekts untergraben. Erschwerend kommt hinzu: 67 % der Unternehmen berichten von Vorbehalten bei Mitarbeitenden gegenüber KI, 58 % fürchten konkret um ihren Arbeitsplatz, 51 % fühlen sich von der Technologie überfordert [6]. Wer diese Ängste nicht aktiv adressiert, verliert die Menschen, ohne die kein Prozess funktioniert – unabhängig davon, wie gut das technische System ist.

Rollen, Regeln, Reviews

Für jede KI-gestützte Aufgabe braucht es drei Dinge: eine benannte Verantwortlichkeit, eine definierte Prüfroutine und einen klaren Eskalationspfad für Grenzfälle. In der Praxis ist das oft eine einzige gut strukturierte Rollenbeschreibung und ein kurzes Review-Meeting pro Woche – kein großer Aufwand, aber ein fundamentaler Unterschied zu «organ isierter Hoffnung». KI-Nutzung muss außerdem in Stellenbeschreibungen und Onboarding-Prozessen ankommen. Was heute als Sonderkompetenz gilt, ist morgen Grundanforderung. Unternehmen, die das frühzeitig verankern, bauen einen Kompetenzvorsprung auf, der sich nicht kurzfristig aufholen lässt.