Vier Risiken, die KMU beim KI-Einsatz unterschätzen.
Eine Bestandsaufnahme für Verantwortliche im Mittelstand. Vier Bereiche (Vertrag, Datenschutz, EU AI Act, Angriffsvektoren) mit je drei Prüffragen. Direkt am Bildschirm prüfbar oder als Druckansicht fürs Team.
Fortschritt
Antworten werden ausschließlich lokal in diesem Browser gespeichert.
So funktioniert die Prüfung
Vier Bereiche, je drei Fragen, in einem Durchgang machbar.
01
Bestandsaufnahme
Jede Frage hat einen Norm- oder Vorfall-Bezug. Zwischen Frage und Erläuterung wird klar, worauf die Prüfung zielt.
02
Drei Antworten
Ja, Nein oder Unklar. „Unklar“ ist ein vollwertiger Befund, eine Aufgabe fürs Q3, kein Versagen.
03
Bestandsbild
Am Ende steht keine Note, sondern eine Liste der offenen Punkte. Das Bestandsbild bleibt im Browser oder geht in den Drucker.
Die zwölf Prüffragen
Die Bereiche sind gleichwertig. Wer einen Punkt nicht beantworten kann, hat damit seine Hausaufgabe fürs nächste Quartal identifiziert.
Kostenfalle und Vertragsrisiko
Ist der monatliche Token-Verbrauch je KI-Lizenz im Unternehmen bekannt und überwacht?
Token-basierte Tarife machen Verbrauch zur Kostenkennzahl. Ohne Monitoring sind Rechnungssprünge nicht vorhersehbar.
Regelt der Vertrag mit dem KI-Anbieter Tarifänderungen (einschließlich Wechsel auf Token-Abrechnung) mit angemessener Vorlaufzeit?
Mehrere große KI-Anbieter haben 2025/2026 Tarife mit kurzer Vorlaufzeit angepasst (öffentlich dokumentiert in Heise und Golem). Ohne Vertragsklausel bleibt der Reaktionsspielraum schmal.
Ist abgeschätzt, wie lange eine Migration produktiver KI-Workflows zu einem alternativen Anbieter dauern würde?
Lock-in misst sich in Migrationszeit, nicht im Wechselpreis. Die Schätzung gehört zur Risikobewertung.
Datenschutz
Liegt eine Übersicht vor, welche personenbezogenen Daten in welchem KI-Werkzeug verarbeitet werden, und auf welcher Rechtsgrundlage?
Anforderung aus Art. 30 DSGVO. In der KI-Werkzeugkette häufig unvollständig dokumentiert.
Werden Mitarbeiter- oder Kundendaten an Drittland-Anbieter (USA, Indien, China) übermittelt, und liegen die Voraussetzungen nach Art. 44 ff. DSGVO vor?
Standardvertragsklauseln, Angemessenheitsbeschluss oder Einwilligung: eine der drei Grundlagen muss dokumentiert sein.
Werden Mitarbeiter zur KI-Nutzung an Identifikationsdienste Dritter verwiesen, und ist die Verarbeitung biometrischer Daten nach Art. 9 DSGVO geregelt?
ID-Verifikation über biometrische Drittdienste verbreitet sich (etwa Persona, Veriff). Biometrische Daten unterliegen den besonderen Anforderungen nach Art. 9 DSGVO.
KI-Governance und EU AI Act
Ist geklärt, ob das Unternehmen bei den eingesetzten KI-Systemen Anbieter, Betreiber oder beides im Sinne der KI-VO ist?
Pflichten nach Art. 16 (Anbieter) und Art. 26 (Betreiber) unterscheiden sich erheblich.
Wird KI in Personalauswahl, Kreditprüfung, kritischer Infrastruktur oder Bildung eingesetzt, und sind diese Anwendungen als Hochrisiko-Systeme nach Anhang III dokumentiert?
Hochrisiko-Pflichten beginnen voraussichtlich 2027/2028 (Trilog zu Omnibus VII läuft). Vorlaufzeit ist Vorbereitungszeit.
Lässt sich für alle Mitarbeiter mit KI-Kontakt eine ausreichende KI-Kompetenz nach Art. 4 KI-VO nachweisen?
Diese Pflicht gilt seit dem 2. Februar 2025 ohne Übergangsfrist. Häufig übersehen.
KI-gestützte Angriffe und Social Engineering
Gibt es für sensible Anweisungen (Zahlungen, Vertragsänderungen, Zugriffsfreigaben) einen verpflichtenden Zweitkanal, auch wenn der Anrufer die Stimme der Geschäftsleitung hat?
Voice-Cloning ist mit verbreiteten Tools innerhalb weniger Minuten reproduzierbar (BSI-Lagebericht 2025). Single-Channel-Verifikation reicht nicht mehr.
Werden bei Remote-Interviews und Online-Vertragsverhandlungen identifizierende Schritte jenseits der Videokonferenz eingesetzt?
Öffentlich dokumentierte Deepfake-Vorfälle bei Remote-Identifikation seit 2024 (u. a. Arup-Fall Hongkong 2024, FBI-Warnung zu Deepfake-Bewerbern Juni 2024).
Werden Mitarbeiter regelmäßig zu aktuellen KI-gestützten Phishing-Mustern (QR-Code-Phishing, Voice-Phishing) geschult, mit dokumentiertem Auffrischungs-Rhythmus?
Klassische E-Mail-Filter erkennen viele neue Varianten nicht. Der Mensch bleibt die erste Filterebene.
Ihre Auswertung
Eine Zusammenfassung Ihrer Antworten zu allen zwölf Prüffragen. Das Ergebnis bleibt im Browser, wird nicht übertragen und lässt sich kopieren oder drucken.
Diese Selbstprüfung ist eine Orientierungshilfe und ersetzt keine Beratung.
KI-Security Briefing — alle zwei Wochen.
Die wichtigsten Entwicklungen aus KI-Governance, Informationssicherheit und Regulierung: analysiert, eingeordnet, ohne Rauschen.
Vertiefung
EU AI Act im Detail prüfen
Bereich 03 dieser Selbstprüfung skizziert nur die Eckpunkte. Wer die Risikoklasse seiner KI-Systeme nach VO (EU) 2024/1689 bestimmen will, findet im Self-Assessment einen vierschrittigen Wizard mit Pflichtenliste und Fristenupdate.
Zur EU-AI-Act-Prüfung