KI einführen, ohne bei den Werkzeugen zu beginnen

Warum die Werkzeugfrage die zweitbeste erste Frage ist.

In Gesprächen fällt fast immer zuerst ein Produktname. Welches System sollen wir nehmen, welche Lizenz, welcher Anbieter. Die Frage ist verständlich, weil sie konkret ist und sich beantworten lässt. Nur beantwortet sie nichts, solange offen bleibt, wofür im eigenen Haus überhaupt etwas gebraucht wird.

Wie weit die Verbreitung in Österreich ist, lässt sich beziffern. Statistik Austria hat für die Erhebung über den IKT-Einsatz in Unternehmen 2025 Betriebe ab zehn Beschäftigten befragt, im Zeitraum Februar bis Juli 2025. Das Ergebnis: „Während im Jahr 2025 EU-weit 20 % der Unternehmen KI-Technologien einsetzen, sind es in Österreich bereits 30 %.“ Vier Jahre zuvor lag der österreichische Wert bei 9 %.

Aufschlussreicher als der Anteil der Nutzenden ist die Begründung der übrigen. 77 % der österreichischen Unternehmen ohne KI-Nutzung haben solche Technologien nach eigener Angabe noch gar nicht in Erwägung gezogen; die restlichen 23 % haben es erwogen und nicht weiterverfolgt. Unter den Gründen, die diese nennen, steht fehlendes internes Fachwissen an erster Stelle, vor Datenschutzbedenken und rechtlichen Unklarheiten. Bezogen auf alle Unternehmen ohne KI-Nutzung sind das 15 % beim Fachwissen, je 11 % bei Datenschutz und Rechtslage, 6 % bei zu hohen Kosten und 5 % beim fehlenden Nutzen. Mehrfachangaben waren möglich.

Das Muster darin finde ich bemerkenswert. Was fehlt, ist selten das Werkzeug — Angebote gibt es reichlich, viele davon kostenfrei. Es fehlt die Auseinandersetzung damit, und es fehlt Wissen im Haus. Beides lässt sich durch keine Anschaffung ersetzen: Ein gekauftes System bringt weder eine Richtung mit noch die Fähigkeit, seine Ergebnisse einzuschätzen.

Quellen: Statistik Austria, Pressemitteilung vom 24.06.2026 zum KI-Einsatz österreichischer Unternehmen (PDF), Gründe nach Tabelle 2 und Statistik Austria, Erhebung über den IKT-Einsatz in Unternehmen 2025 — Unternehmen ab 10 Beschäftigten.

Was die KI-Servicestelle an den Anfang stellt.

Zu dieser Reihenfolge gibt es eine österreichische Auskunft, und sie stammt nicht aus einem Beratungshaus. Die KI-Servicestelle der RTR schreibt auf ihrer Seite zur KI-Kompetenz nach Artikel 4 des AI Act wörtlich: „Als ersten Schritt der Umsetzung des Art. 4 im Unternehmen kann mit zwei Maßnahmen begonnen werden: Einer Erhebung der aktuell in Unternehmen bereits eingesetzten KI-Systeme, sowie der Frage nach der strategischen Ausrichtung des Unternehmens in Hinblick auf KI-Nutzung.“

Zwei Maßnahmen also, und keine davon ist eine Anschaffung. Die eine blickt nach innen und stellt fest, was ist. Die andere blickt nach vorn und legt fest, wofür. Erst aus beidem ergibt sich, was ein Werkzeug in diesem Betrieb überhaupt können soll — und woran sich später beurteilen lässt, ob es das tut.

Ich halte diese Reihenfolge für praktisch, weil sie zwei Debatten beendet, bevor sie beginnen. Wer ohne Bestandsaufnahme über Zulassung diskutiert, verhandelt über einen Zustand, den niemand kennt; die Regel trifft dann auf eine Wirklichkeit, die sie nicht gemeint hat. Und wer ohne Richtung auswählt, kauft eine Antwort auf eine ungestellte Frage — die Enttäuschung darüber wird später meist dem System angelastet.

Die Servicestelle nennt die Erhebung zuerst; dieser Beitrag bespricht die Richtung vorweg, weil sie vorgibt, wonach man im Bestand sucht. Die Startlandkarte am Ende bleibt bei der Reihenfolge der Servicestelle: erst der Bestand, dann die Richtung, dann die Zuständigkeit, der Abgleich und die Befähigung.

Die Richtung ist eine Entscheidung, keine Geschmacksfrage.

Woran sich diese Entscheidung orientiert, sagt die Servicestelle ebenfalls: „Die Art und Weise, wie KI-Systeme im Unternehmen eingesetzt werden sollen, ist eine strategische Entscheidung. Sie orientiert sich an Kriterien wie der allgemeinen Unternehmensstrategie, den Werten und der Kultur eines Unternehmens, der Risikobereitschaft, der Höhe des von KI-Systemen ausgehenden Risikos, dem Risikoumfeld der Organisation sowie den rechtlichen Anforderungen, denen ein Unternehmen unterliegt.“

Im Alltag eines mittelgroßen Betriebs bedeutet das weniger, als es klingt, und mehr, als üblicherweise geschieht. Es bedeutet nicht, ein Strategiepapier zu verfassen, das niemand aufschlägt. Es bedeutet, drei oder vier Sätze zu haben, die eine Geschäftsführung auch in der Teeküche wiederholen könnte: wofür KI hier gedacht ist, wofür ausdrücklich nicht, wie viel Risiko wir tragen wollen und was uns dabei wichtig ist.

Die Kriterienliste ist nützlicher, als sie auf den ersten Blick wirkt, weil sie die Frage aus der Technik herausholt. Risikobereitschaft ist eine Eigentümerfrage. Werte und Kultur sind eine Führungsfrage. Das Risikoumfeld hängt an der Branche. Keines dieser Themen lässt sich in der IT-Abteilung klären, und keines wird leichter, wenn man es aufschiebt, bis eine Lizenz bereits läuft.

Vier Fragen nennt die Servicestelle als Bestandteil dieser Ausrichtung:

1. „Wie kann der Einsatz von KI-Systemen vorangetrieben werden? Gibt es unternehmensinterne Prozesse?“
2. „Wie verhält sich der Einsatz von KI-Systemen zu anderen unternehmensinternen Richtlinien – zu Datenschutz, Datensicherheit oder ESG?“
3. „Wer im Unternehmen trifft Entscheidungen über Entwicklung, Anschaffung und Einsatz von KI-Systemen? Welche Aspekte sind bei solchen Entscheidungen relevant?“
4. „Wie kann sichergestellt werden, dass KI-Kompetenz bei allen Entscheider:innen und Anwender:innen vorhanden ist?“

Vier Fragen, keine davon technisch. Wer sie beisammen hat, erledigt die Werkzeugauswahl danach in einer Sitzung.

Wer entscheidet, bevor jemand etwas anschafft.

Die dritte dieser Fragen ist die unbequemste, und sie wird am seltensten gestellt. In vielen Betrieben fällt die Entscheidung über Anschaffung und Einsatz an mehreren Stellen gleichzeitig: Eine Fachabteilung probiert ein Werkzeug aus, die IT spielt ein Update ein, das neue Funktionen mitbringt, der Einkauf verlängert eine Lizenz, deren Leistungsumfang sich zwischenzeitlich geändert hat. Jede dieser Handlungen ist für sich unauffällig. Zusammen ergeben sie eine Einführung, die nie beschlossen wurde.

Zu klären ist deshalb zweierlei: wer im Haus solche Entscheidungen trifft, und wie sich der KI-Einsatz zu dem verhält, was ohnehin schon geregelt ist. Die Servicestelle nennt dafür ausdrücklich Datenschutz, Datensicherheit und ESG. Darin steckt eine Arbeitsersparnis: Vieles ist im Betrieb bereits festgelegt, nur ohne das Wort KI. Ein Verweis auf die bestehende Regelung trägt meist weiter als eine zweite, leicht abweichende Formulierung derselben Sache.

Eine Sorge kann ich an dieser Stelle nehmen. Aus Artikel 4 folgt keine Pflicht, eine eigene Rolle zu schaffen — die Servicestelle schreibt wörtlich: „Wichtig ist, dass aus Art. 4 AIA – anders als in der DSGVO – nicht die gesetzliche Pflicht resultiert, einen ‚KI-Beauftragten‘ zu benennen.“ Das entbindet allerdings nicht von der Frage, wer im Zweifelsfall antwortet, wenn jemand vor einer offenen Entscheidung sitzt. Ohne benannte Anlaufstelle wird der Zweifel nicht geklärt, sondern von jeder Person anders entschieden.

Und eine Grenze gehört hierher: Ob ein bestimmter Einsatz im eigenen Haus zulässig ist, klärt nicht dieser Text, sondern die im Betrieb zuständige Stelle — die Datenschutzstelle, die Rechtsabteilung oder die Kammer; erste Auskünfte zum AI Act gibt die KI-Servicestelle der RTR.

KI ist meist schon im Haus, nur nicht auf einer Liste.

Die zweite Maßnahme ist der Bestand, und sie führt regelmäßig zu Überraschungen. Die Servicestelle beschreibt den Grund nüchtern: „Künstliche Intelligenz ist bereits aktuell Bestandteil von vielen Softwareprodukten. Auch Softwareupdates von bestehender Standardsoftware bringen oft neue KI-Komponenten mit sich. Damit ist es möglich, dass KI-Systeme bereits jetzt im Unternehmen eingesetzt werden, das den intern dafür zuständigen Stellen möglicherweise aber noch unbekannt ist.“

Wer also glaubt, mit KI noch nicht begonnen zu haben, hat häufig nur noch nicht nachgesehen. Die Zusammenfassungsfunktion im Postfach, die Textvorschläge in der Bürosoftware, die Erkennung von Inhalten im Dokumentenarchiv: Nichts davon wurde als KI-Vorhaben beschlossen, alles davon kam mit einem Update.

Für die Erhebung selbst empfiehlt die Servicestelle den kurzen Weg — eine Übersicht über die verwendete Standardsoftware, aufgebaut auf dem, was ohnehin vorliegt: Listen aus der IT-Sicherheit oder ein Datenverarbeitungsverzeichnis. Und sie hält fest, dass diese Übersicht kein einmaliges Stück Arbeit ist: Sie „sollte regelmäßig bzw. anlassbezogen bei neuen KI-Komponenten oder KI-Systemen aktualisiert werden“.

Ein zweiter Teil des Bestandes steht in keiner Softwareliste: das, was Mitarbeitende auf eigene Faust und über private Zugänge verwenden. An diesen Teil kommt man über Vertrauen heran, nicht über eine Abfrage.

Erst danach das Werkzeug — und die Befähigung nach Rollen.

Wenn Bestand und Richtung stehen, wird die Werkzeugfrage klein. Sie lautet dann nicht mehr „Was ist gerade gut?“, sondern: Welche der bereits vorhandenen Funktionen decken den beschlossenen Zweck ab, und was fehlt tatsächlich noch?

Genauso ändert sich die Frage nach der Befähigung. Sie lautet nicht mehr „Wer bekommt eine Schulung?“, sondern: Wer im Haus entwickelt, wer betreibt, wer wendet an? Die Servicestelle unterscheidet genau diese drei Gruppen — mit der Entwicklung betraute Personen, mit dem Betrieb von KI-Systemen betraute Personen und Personen innerhalb eines Unternehmens, die KI-Systeme einsetzen.

Aus dieser Unterscheidung folgt ein Satz, der Druck herausnimmt: „Es gibt sohin keine pauschale Beantwortung auf die Frage, welche konkreten Maßnahmen notwendig sind, um den Anforderungen des Art. 4 AIA nachzukommen. Das bedeutet auch, dass nicht jedes Unternehmen im gleichen Ausmaß von Art. 4 AIA betroffen ist. Auch nicht jeder Mitarbeitende muss zwingendermaßen im gleichen Ausmaß über KI-Kompetenz verfügen.“ In dieselbe Richtung geht der Wortlaut des Artikels selbst, den die Servicestelle wiedergibt: Die Verpflichtung verpflichte Anbieter oder Betreiber nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“.

Was in einem Betrieb angemessen ist, lässt sich also nicht von außen zurufen — es ergibt sich aus Bestand und Richtung. Genau deshalb stehen die beiden am Anfang und nicht am Ende.

Bleibt der Nachweis. Die Servicestelle empfiehlt, die Umsetzung zu dokumentieren: Eine KI-Strategie sollte schriftlich vorliegen, und für durchgeführte Schulungen wird angeraten, Art der Schulung, bei externen Schulungen den Veranstalter, Inhalt und Ziel, Zeitpunkt sowie Wiederholungen festzuhalten. Das ist wenig Aufwand, solange man es mitschreibt, und viel Aufwand, wenn man es nachträglich rekonstruiert. Wie sich das zu Verantwortung und Haftung verhält, ist ein eigenes Thema — nachzulesen im Beitrag zu KI-Kompetenz und Haftung in Österreich.

Quelle: KI-Servicestelle der RTR, AI Act — KI-Kompetenz

Die Reihenfolge, die trägt.

Zusammengefasst ergibt sich eine Abfolge für die ersten Wochen, die ohne Budget auskommt: den Bestand aus vorhandenen Listen zusammentragen, die Richtung in wenigen Sätzen festhalten, die Zuständigkeit benennen, den Abgleich mit den bestehenden Richtlinien machen und erst dann entscheiden, wer welche Befähigung braucht. Fünf Punkte, keiner davon technisch.

Genau diese fünf habe ich als Startlandkarte auf ein Arbeitsblatt gebracht — zwei Seiten, mit Platz für die Namen, die dabei zu vergeben sind, und für die Antworten, die im eigenen Haus anders ausfallen als nebenan. Sie liegt in der Seitenspalte zum Herunterladen.

Der erste Punkt ist zugleich der, an dem die meisten hängen bleiben, weil er sich nicht aus Unterlagen beantworten lässt: Was tatsächlich verwendet wird und wie sicher sich Menschen dabei fühlen, sagt keine Softwareliste. Dieses Lagebild erheben wir in der Standortbestimmung auf Ebene 0 — anonym, ohne dass eine einzelne Person zum Ergebnis wird.

Und wenn nach all dem doch die Werkzeugfrage übrig bleibt, ist das ein gutes Zeichen. Sie ist dann nämlich beantwortbar geworden.