Converxys Blog

Der EU AI Act ist seit 2024 in Kraft und wird stufenweise wirksam. Für viele mittelständische Unternehmen ist die Frage nicht mehr ob, sondern wie schnell sie reagieren müssen – besonders dort, wo KI in regulierten oder risikosensiblen Prozessen steckt, etwa in der Kreditvergabe, der Personalauswahl oder in sicherheitsrelevanter Industrie. Wer KI einsetzt oder einführt, sollte den eigenen Status jetzt kennen, statt unter Zeitdruck nachzubessern.

Die vier Risikoklassen – kurz erklärt:

• Unannehmbares Risiko: verboten (z. B. Social Scoring). Solche Systeme dürfen nicht betrieben werden.
• Hohes Risiko: erlaubt, aber mit strengen Pflichten – Risikomanagement, Dokumentation, Datenqualität und menschliche Aufsicht. Hier liegt der meiste Aufwand, z. B. bei KI in der Kreditvergabe.
• Begrenztes Risiko: Transparenzpflichten, etwa die Kennzeichnung von Chatbots oder KI-generierten Inhalten.
• Minimales Risiko: keine besonderen Pflichten – der Großteil der betrieblichen KI.

Für viele Hochrisiko-Anwendungen rücken die zentralen Fristen näher. Konkret bedeutet das für den Mittelstand vier Schritte:

• Inventar: Welche KI-Systeme sind im Einsatz – inklusive eingekaufter SaaS-Funktionen, die KI „unter der Haube" nutzen?
• Risikoklassifizierung: Einordnung jedes Systems nach den AI-Act-Kategorien.
• GAP-Analyse: Ist-Zustand gegen die Pflichten der jeweiligen Klasse abgleichen.
• Maßnahmen-Fahrplan: priorisierte To-dos mit Aufwand und Verantwortlichkeiten.

Und was danach kommt: Compliance ist kein Stichtag, sondern ein Dauerzustand. Die nachhaltigere Aufgabe beginnt nach der ersten Frist – Pflichten laufend einhalten, neue Systeme von Anfang an konform aufsetzen, Dokumentation aktuell halten. Wer das einmal sauber strukturiert, spart bei jedem weiteren KI-Projekt Zeit und Nerven.

Hinweis: Converxys liefert die technische und organisatorische Umsetzung von Compliance, keine Rechtsberatung. Bei juristischen Detailfragen arbeiten wir mit Fachanwälten zusammen.

Mehr über Converxys →

Ein AI-Agent ist mehr als ein Chatbot. Während ein Chatbot antwortet, handelt ein Agent: Er zerlegt eine Aufgabe in Schritte, greift auf Werkzeuge und Systeme zu – E-Mail, ERP, Datenbanken, interne APIs – und arbeitet teilautonom auf ein Ziel hin. Genau darin liegt der Reiz, aber auch das Risiko.

Wo Agenten heute echten Nutzen bringen:

• Recherche & Aufbereitung: Informationen aus vielen Quellen sammeln, zusammenfassen und strukturiert übergeben.
• Service-Desk-Triage: Anfragen klassifizieren, mit Kontext anreichern und Routinefälle vorbereiten oder lösen.
• Dokumenten-Verarbeitung: Daten aus Rechnungen, Verträgen oder Formularen extrahieren und in Folgeprozesse einspeisen.
• Entscheidungen vorbereiten: Optionen samt Begründung aufbereiten – die Freigabe bleibt beim Menschen.

Und wo die Grenzen liegen:

• Zuverlässigkeit: Agenten können plausibel klingen und trotzdem falsch liegen. Ohne Prüfschritt ist das in kritischen Prozessen gefährlich.
• Determinismus: Gleicher Input führt nicht immer zum gleichen Output – das erschwert Tests und Nachvollziehbarkeit.
• Verantwortung: Für Entscheidungen haftet das Unternehmen, nicht das Modell. Zuständigkeiten müssen klar sein.
• Kosten: Lange Werkzeug-Ketten können teuer und langsam werden, wenn man sie nicht eingrenzt.

Was einen produktiven Agenten ausmacht, ist deshalb weniger das Modell als der Rahmen drumherum: enge Werkzeug-Berechtigungen, ein Mensch in der Schleife bei kritischen Aktionen, ein nachvollziehbares Protokoll (Audit-Trail) und klare Abbruchbedingungen. Der pragmatische Einstieg: Agenten dort einsetzen, wo Fehler günstig korrigierbar sind und ein Mensch die finale Freigabe behält – und den Autonomiegrad erst mit nachgewiesener Zuverlässigkeit erhöhen.

In den meisten Unternehmen liegt das Wissen verteilt: in PDFs, Wikis, E-Mails, Tickets und Köpfen. Mitarbeitende verbringen einen erheblichen Teil ihrer Zeit mit Suchen statt mit Arbeiten. Genau hier setzt Retrieval-Augmented Generation (RAG) an.

Vereinfacht gesagt: Statt aus dem „Gedächtnis" zu antworten, bekommt die KI zu jeder Frage die passenden Stellen aus Ihren Dokumenten mitgeliefert und formuliert die Antwort auf deren Basis. Das Modell muss dafür nicht aufwändig nachtrainiert werden – die Wissensbasis bleibt aktuell und in Ihrer Hand.

Was das konkret bringt:

• Schnelle Antworten auf Fragen zu internem Wissen – statt langer Suche.
• Quellenangaben: Antworten lassen sich auf das Ursprungsdokument zurückführen – wichtig für Vertrauen und Prüfbarkeit.
• Kein Fine-Tuning nötig; neue Dokumente sind schnell verfügbar.
• Zugriffsrechte und Mandantentrennung lassen sich abbilden.

Was RAG nicht löst:

• Schlechte Datenqualität bleibt schlecht: Veraltete oder widersprüchliche Dokumente führen zu veralteten oder widersprüchlichen Antworten.
• Keine Garantie gegen Fehler: Ohne Quellenanzeige und Stichproben kann auch ein RAG-System danebenliegen.
• Sensible Daten brauchen Maskierung und klare Regeln, bevor sie verarbeitet werden.

Über den Erfolg entscheidet weniger das Modell als die Vorarbeit: saubere Datenaufbereitung, konsequente Rechte- und Mandantentrennung, sichtbare Quellen und ein Monitoring, das Qualität messbar macht. Richtig gemacht, entsteht ein auditierbarer Wissensbot, der verlässlich aus Ihren eigenen Inhalten antwortet.

Ein beeindruckender KI-Prototyp ist heute in Tagen gebaut. In den produktiven Betrieb gehen davon erstaunlich wenige. Der „Demo-Effekt" täuscht: Eine überzeugende Vorführung an ausgewählten Beispielen ist etwas völlig anderes als ein System, das täglich, zuverlässig und sicher im Bestand läuft.

Die typischen Stolpersteine:

• Integration: Der Prototyp lebt isoliert; produktiv muss er an ERP, CRM und Datenquellen andocken.
• Datenqualität: Was im kuratierten Demo-Datensatz glänzt, scheitert oft an der Realität der Bestandsdaten.
• Betrieb & Monitoring: Ohne Überwachung von Qualität, Kosten und Fehlern bleibt der Betrieb ein Blindflug.
• Sicherheit & Compliance: Datenschutz, Zugriffsrechte und – zunehmend – AI-Act-Pflichten müssen von Anfang an mitgedacht werden.
• Verantwortlichkeiten: Ohne klaren Owner versandet auch ein guter Prototyp.

Was produktive Lösungen auszeichnet: ein klarer Business-Case statt Technik um ihrer selbst willen, Integration statt Insellösung, Guardrails und Monitoring von Tag eins, Dokumentation (die ohnehin für den AI Act gebraucht wird) und ein iterativer Rollout in kleinen, beherrschbaren Schritten.

Genau hier helfen agentische und Low-Code-Ansätze: Sie verkürzen den Weg von der Idee zur tragfähigen Lösung – ohne den Betrieb, die Sicherheit und die Nachvollziehbarkeit zu vernachlässigen. Das Ziel ist nicht die beeindruckendste Demo, sondern die Lösung, die in sechs Monaten noch läuft.