Kein Produktivbetrieb ohne mitwachsende Kontrolle
In der Realität überlappen die Phasen: Ein Unternehmen kann bereits pilotieren und gleichzeitig seine Governance nachschärfen. Entscheidend ist, dass kein dauerhafter Produktivbetrieb entsteht, ohne dass Strategie, Verantwortlichkeit, Daten und Kontrolle mitwachsen. Das Modell hilft, technische Begeisterung in eine kontrollierte Entwicklung zu übersetzen – gerade für KMU, die nicht mit einem großen Transformationsprogramm starten, sondern mit einem konkreten Anwendungsfall.
Von der Sensibilisierung bis zur Skalierung
Ein realistisches KI-Verständnis entwickeln und KI von klassischer Business Intelligence oder bloßer Automatisierung abgrenzen. Die Geschäftsleitung sollte wissen, wo KI bereits genutzt wird und welche Risiken (Schatten-KI, Halluzinationen, Datenschutz) real sind. Guter Zeitpunkt für erste Sensibilisierung und die Benennung einer koordinierenden Person.
KI nicht einführen, weil ein Tool populär ist, sondern weil es ein konkretes Problem löst. Anwendungsfälle nach Geschäftswert, Machbarkeit, Datenverfügbarkeit und Rechtsrisiko priorisieren – und die Zweckbestimmung („intended purpose") sauber formulieren. Ebenso wichtig: die ausdrückliche Negativabgrenzung, welche Anwendungen bewusst nicht verfolgt werden.
Datenqualität, Zuständigkeiten, Sicherheitsanforderungen, Freigabeprozesse und laufende Kontrolle. Data Governance ist der Kern: Woher stammen die Daten, sind sie zuverlässig, wer darf sie nutzen, welche rechtlichen Beschränkungen gelten? In einem KMU können mehrere Rollen in einer Person zusammenfallen – entscheidend ist, dass die Verantwortung tatsächlich wahrgenommen wird.
Ein Pilot mit klarer Zielsetzung, definierten Daten und messbaren Erfolgskriterien. „Pilot" ist aber kein rechtsfreier Raum: Wo möglich anonyme oder synthetische Testdaten nutzen, Agenten zunächst in einer Sandbox ohne produktive Schreib- oder Zahlungsrechte betreiben. Ein unwirtschaftlicher Use Case darf – und sollte – früh gestoppt werden.
Oft schwieriger als der Pilot: Zusammenspiel mit CRM, ERP, Identitätsverwaltung und Altsystemen, bei kontrollierbaren Berechtigungen, Logging und Datenflüssen. Gerade bei Agenten wird hier aus einem Informations- ein Handlungsrisiko. Nötig ist kontinuierliches Monitoring von Qualität, Fehlerraten, Sicherheitsereignissen und Anbieteränderungen.
Aus einzelnen Use Cases wird eine unternehmensweite Fähigkeit. Wiederverwendbare Architekturbausteine, einheitliche Datenklassen, Freigabemuster und Zugriffsrollen senken Aufwand und Risiko. Ein zentraler Intake-Prozess und ein aktuelles KI-Register verhindern, dass neue Agenten unbemerkt außerhalb der Governance entstehen.
Kontrolliert testen, bevor produktiv geschaltet wird
Eine Wirtschaftsprüfungsgesellschaft pilotiert ein System zur automatisierten Vorprüfung von Belegen. Für den Pilot werden ausschließlich Belege eines abgeschlossenen Mandats verwendet, aus denen Mandantenname, Ansprechpartner und Kontonummern zuvor entfernt wurden. Das System erhält keinen Schreibzugriff auf die Buchhaltung, sondern erzeugt nur eine Liste auffälliger Belege zur manuellen Nachprüfung. Nach sechs Wochen wird die Trefferquote gegen eine manuelle Stichprobe gemessen – erst danach wird über den Produktivbetrieb entschieden. So entstehen belastbare Erkenntnisse ohne datenschutz- oder berufsrechtliche Risiken.
Praxishinweis: Unterscheiden Sie bei Feedbackschleifen sauber zwischen fachlichem Feedback, Telemetrie, Modellverbesserung und Training. Vertrag und Systemeinstellungen müssen erkennen lassen, was mit Ihren Eingaben tatsächlich geschieht – sonst fließen vertrauliche Nutzereingaben unbemerkt in ein Anbietermodell.