FAQ, KI, DSGVO & EU AI Act im Mittelstand | DropD.

Question 1

Was kostet KI-Beratung im Mittelstand bei DropD.?

Accepted Answer

Einen Pauschalpreis nennen wir bewusst nicht - die Investition hängt davon ab, wie viele Abteilungen und Prozesse wir anfassen und ob wir nur beraten oder auch implementieren. Es gibt einen schlanken Einstieg, einen Betriebs-Check zum Festpreis und die vollständige Umsetzung über alle Bereiche. Im kostenlosen Erstgespräch ordnen wir Ihren Fall ehrlich ein und nennen Ihnen einen klaren Rahmen - ohne Verkaufs-Pitch.

Question 2

Wo sitzt DropD. und arbeiten Sie deutschlandweit?

Accepted Answer

DropD. sitzt in Ratingen im Kreis Mettmann, in der Düsseldorfer Region. Wir arbeiten remote deutschlandweit für Mittelständler im DACH-Raum und kommen für Vor-Ort-Workshops nach Düsseldorf, Essen, Köln, ins Ruhrgebiet und überregional zu Ihnen.

Question 3

Was unterscheidet DropD. von anderen KI-Beratern?

Accepted Answer

Drei Punkte: Erstens herstellerneutral - keine Provisions-Agenda. Zweitens Praxis statt Theorie: Dutzende KI-Anwendungen im Echtbetrieb eines mittelständischen Unternehmens, über fünf Abteilungen hinweg. Drittens Abteilungslogik: wir verstehen, dass Vertrieb andere Werkzeuge braucht als der Einkauf und das Büro andere Abläufe als die Baustelle. Manche Abteilungen brauchen gar keine KI, sondern saubere Prozesse.

Question 4

Wie lange dauert eine KI-Implementierung im Mittelstand?

Accepted Answer

Der Betriebs-Check (Potenzialanalyse) liefert nach 2 bis 3 Wochen einen Report mit priorisierten Ansatzpunkten. Fertige Abläufe sind ab Bereitstellung einsatzbereit. Eine vollständige Umsetzung über mehrere Bereiche läuft in Etappen über 3 bis 6 Monate, mit einem sichtbaren Ergebnis pro Woche. Wo Personaldaten oder Ihr ERP berührt sind, gehen Prüfung der Zugriffsrechte und Mitbestimmung vor, und das dauert länger.

Question 5

Ab welcher Unternehmensgröße lohnt sich KI-Beratung?

Accepted Answer

Ab etwa 20 Mitarbeitern arbeiten wir mit jeder Größe, der Unterschied liegt im Vorgehen. 20 bis 50 Mitarbeiter: Ein Bereich, ein Ablauf, dort wo der Engpass am meisten kostet. Erst wenn das trägt, kommt der zweite dazu. 50 bis 100 Mitarbeiter: Hier lohnt sich der Weg über mehrere Bereiche, weil die Hebel zusammenwirken: was in der Kalkulation aufgeschrieben ist, hilft im Einkauf. 100 bis 250 Mitarbeiter: Jetzt entscheidet die Einführung, nicht die Technik. Dazu kommen Change Management und Schulung über Abteilungen hinweg, mit einem Ansprechpartner pro Abteilung. Zugriffsrechte und Mitbestimmung klären wir vorher. Ab 250 Mitarbeitern: Mehrere Standorte, oft mehrere Gesellschaften, eine eigene IT mit eigenen Vorgaben. Wir gehen Standort für Standort vor, arbeiten neben Ihrer IT und dokumentieren so, dass Ihre Leute übernehmen können. Unter etwa 20 Mitarbeitern rechnet sich unser Vorgehen selten. Das sagen wir Ihnen im Erstgespräch, statt Ihnen ein Projekt zu verkaufen.

Question 6

Brauche ich technische Vorkenntnisse?

Accepted Answer

Nein. Alles ist für Anwender gebaut, nicht für Entwickler. Und Ihre Leute werden geschult, bevor etwas produktiv geht. Wo wir selbst entwickeln, übergeben wir dokumentiert - Ihre IT oder ein anderer Dienstleister kann übernehmen.

Question 7

Was bekomme ich konkret - und gehört es mir? Läuft es weiter, wenn DropD. mal nicht da ist?

Accepted Answer

Sie bekommen keine Blackbox, sondern ein dokumentiertes Setup: Workflows, Agents und - wo wir selbst entwickeln - die zugeschnittene KI samt Übergabe. Wo wir auf Ihrer Infrastruktur oder einem dedizierten Server in Deutschland bauen, gehört Ihnen, was dort läuft, inklusive Daten und Konfiguration. Kein Lock-in. Was genau Sie in die Hand bekommen (Lizenz, Workflow-Files, eigener Server), legen wir vor dem Start schriftlich fest.

Question 8

Bauen Sie eigene KI oder verkaufen Sie nur fremde Tools?

Accepted Answer

Beides - je nachdem, was günstiger zum Ziel führt. Wo ein Standard-Tool reicht, sparen wir Ihnen die Eigenentwicklung. Wo Datenschutz, Spezialwissen oder Unabhängigkeit zählen, entwickeln wir selbst: Wir nehmen ein starkes Open-Source-Modell und schneiden es auf Ihr Unternehmen zu - auf Wunsch gehostet in Deutschland oder On-Premise.

Question 9

Sind Sie herstellerneutral?

Accepted Answer

Ja. Wir arbeiten ohne Provisions-Agenda. Ob Copilot, ChatGPT Team, ein Open-Source-Modell oder eine andere Plattform - wir empfehlen, was zu Ihrer Situation passt, nicht was uns Provision bringt.

Question 10

Was, wenn sich KI-Tools ändern?

Accepted Answer

Sie ändern sich. Deshalb gibt es den KI-Kompass - monatliche Update-Calls, aktuelle Empfehlungen, Sicherheitshinweise, Austausch mit anderen Unternehmern. Kein Spam, nur Signal. Ihr Setup bleibt aktuell, ohne dass Sie ständig recherchieren müssen.

Question 11

Für wen sind Sie die falsche Wahl?

Accepted Answer

Unter etwa 20 Mitarbeitern rechnet sich unser Vorgehen selten. Wenn Sie eine Konzern-Transformation mit sechsstelligem Budget und Folien für den Vorstand wollen, sind Sie bei einer Big 4 besser aufgehoben. Wenn Sie nur Copilot-Lizenzen ausrollen wollen, reicht oft der Microsoft-Partner. Prompt-Kurse und Tool-Reseller-Deals machen wir nicht.

Question 12

Was können Sie nicht?

Accepted Answer

Wir bauen keine Large Language Models von Grund auf. Wir ersetzen keine Steuerberatung, keine Rechtsberatung und keine ISO-Zertifizierungsstelle. Wir liefern keine heimliche Stellenkürzung. Hochrisiko-KI ohne menschliche Letztentscheidung setzen wir nicht produktiv.

Question 13

Was bringt KI einem mittelständischen Unternehmen konkret?

Accepted Answer

KI lohnt dort, wo ein Prozess häufig vorkommt und klar beschreibbar ist: E-Mails vorsortieren, Angebote erstellen, Dokumente durchsuchbar machen, Rechnungsprüfung, Wissenssuche, Bewerber-Rückfragen beantworten. Der Nutzen entsteht nicht an abstrakten Stellen, sondern an Prozessen, die heute jemandem die Stunden wegnehmen. Wir fangen deshalb immer mit der Prozessanalyse an, nicht mit einer Tool-Empfehlung.

Question 14

Ist KI überhaupt reif für den produktiven Einsatz?

Accepted Answer

Für viele Anwendungsfälle ja - für andere nein. Text, Klassifikation, Zusammenfassung, Erstentwürfe und Datenextraktion funktionieren zuverlässig. Hochpräzise Zahlen, rechtlich bindende Texte und finale Entscheidungen bleiben besser beim Menschen. Wir trennen das sauber: KI macht den Entwurf und die Vorsortierung, Mensch prüft und entscheidet.

Question 15

Macht KI Stellen überflüssig?

Accepted Answer

Wir automatisieren Aufgaben, nicht Menschen. Ziel ist, dass Ihr Team die Routine loswird und sich auf das konzentriert, wofür es eingestellt wurde - nicht, Stellen abzubauen. Wer das trotzdem plant, muss das offen mit dem Betriebsrat besprechen. Wir liefern keine heimliche Stellenkürzung-Maschine.

Question 16

Wo fängt man am besten an - welches Tool zuerst?

Accepted Answer

Nicht beim Tool, sondern beim Prozess. Ein seriöser Berater schaut sich erst an, wo Zeit verloren geht, und sucht dann das Werkzeug dazu. Wer Ihnen im Erstgespräch eine konkrete KI-Lösung empfiehlt, ohne Ihre Abläufe zu kennen, ist ein Warnsignal. Typische sinnvolle Erstschritte: Wissenssuche im eigenen Material, E-Mail-Triage oder Angebotserstellung.

Question 17

ChatGPT, Copilot oder doch eine eigene KI - was passt zu wem?

Accepted Answer

Für interne Texte, Brainstorming und unkritische Aufgaben reicht ChatGPT Team oder Copilot oft aus. Sobald Kundendaten, Personalakten, Konstruktionspläne oder Geheimhaltung ins Spiel kommen, wird es eng - dann braucht es eine EU-gehostete oder eigene Lösung. Wir ordnen das pro Use-Case ein, nicht pauschal für das ganze Unternehmen.

Question 18

Wie viel Zeit spart KI wirklich?

Accepted Answer

Realistisch: 50-80 % bei E-Mail-Klassifizierung, 40-60 % bei Angebotserstellung, 70-90 % bei Dokumentenextraktion. Wichtig ist die Frage danach: Was kostet mich der Status quo? Ein Prozess, der täglich zwei Mitarbeiterstunden frisst, schlägt bei Vollkosten mit 25.000-40.000 € pro Jahr zu Buche. Daran misst sich, ob sich KI lohnt - nicht an Buzzwords.

Question 19

Was ist ein Custom KI-Agent und brauche ich sowas?

Accepted Answer

Ein Agent ist eine KI, die für eine konkrete Aufgabe in Ihrem Unternehmen eingerichtet ist - mit Ihren Daten, Ihren Regeln, Ihrer Tonalität. DropD. hat sechs Standard-Agents (z. B. Recruiterin Mara für Bewerber-Rückfragen, Christian für Telefon-Protokolle, Paula für Mail-Triage). Das brauchen Sie ab dem Moment, wo Standard-ChatGPT nicht mehr reicht, weil es Ihre Internas nicht kennt.

Question 20

Lohnt sich ein Proof of Concept vorher?

Accepted Answer

Ja, bei größeren Vorhaben. Ein PoC zeigt an einem realen Use-Case, ob die KI hält, was sie verspricht - bevor Sie in die volle Implementierung gehen. Wir machen das als Teil der Potenzialanalyse: Erst messen, dann entscheiden, ob es sich lohnt. So vermeiden Sie Investitionen in Luftschlösser.

Question 21

Ist KI im Unternehmen überhaupt DSGVO-konform nutzbar?

Accepted Answer

Ja, aber nur mit den richtigen Rahmenbedingungen. Unternehmensdaten dürfen nicht ungeschützt in öffentliche Tools fließen. Brauchbar ist: eine Rechtsgrundlage (Art. 6 DSGVO), Informationspflichten (Art. 13/14), ggf. eine Datenschutz-Folgenabschätzung (Art. 35) und ein Auftragsverarbeitungsvertrag (Art. 28) mit externen KI-Anbietern. Wir setzen das mit Ihnen um - inklusive AVV und Dokumentation.

Question 22

Was ist der EU AI Act und betrifft er mich als Mittelständler?

Accepted Answer

Der AI Act (Verordnung (EU) 2024/1689) ist in Kraft und gilt in der EU unmittelbar - auch für KMU. Er teilt KI-Systeme in vier Risikoklassen ein: verboten (z. B. Social Scoring), hohes Risiko (z. B. Bewerber-Scoring), begrenztes Risiko (Chatbots - Transparenzpflicht) und minimales Risiko (Spam-Filter). Die meisten Mittelstands-Anwendungen fallen in die unteren Klassen. Die Transparenzpflichten für Chatbots und KI-Inhalte gelten seit August 2026, die Hochrisiko-Pflichten für HR- und Bewertungs-Systeme ab 2. Dezember 2027 (verschoben durch den KI-Omnibus vom Juli 2026).

Question 23

Ab wann gilt eine KI als Hochrisiko?

Accepted Answer

Insbesondere bei KI in der Personalauswahl, bei Leistungsüberwachung, Beförderungs- oder Kündigungsentscheidungen sowie bei Bonitäts- und Kreditbewertung. Diese Systeme brauchen Risikomanagement, menschliche Aufsicht, Dokumentation und nachvollziehbare Ergebnisse. DropD. liefert die AI-Act-Einordnung pro Use-Case mit und setzt nichts produktiv, was rechtlich nicht sauber ist.

Question 24

Muss ich meine Mitarbeiter in KI schulen?

Accepted Answer

Ja, verpflichtend seit dem 2. Februar 2025 (Art. 4 AI Act - KI-Kompetenz). Jedes Unternehmen muss sicherstellen, dass Mitarbeitende, die KI bedienen, ein ausreichendes Maß an KI-Kompetenz haben. In der Praxis: dokumentierte Schulung mit Lernzielkontrolle. Das ist kein Bonus, sondern Pflicht - und bei Verstößen können Bußgelder folgen.

Question 25

Brauche ich eine interne KI-Richtlinie?

Accepted Answer

Vom AI Act nicht ausdrücklich vorgeschrieben, in der Praxis aber unverzichtbar. Sie regelt: welche Tools erlaubt sind, welche Daten eingegeben werden dürfen (und welche nicht), wie KI-Outputs gekennzeichnet werden, wer Ansprechpartner ist und was bei Verstößen passiert. Ohne Richtlinie haben Sie Schatten-KI im Haus, die niemand kontrolliert - das größte Risiko in den meisten Betrieben.

Question 26

Was ist der Unterschied zwischen DSGVO und AI Act?

Accepted Answer

Die DSGVO regelt den Schutz personenbezogener Daten - auch beim KI-Einsatz. Der AI Act reguliert die KI-Systeme selbst: Sicherheit, Transparenz, Risikobewertung. Beide gelten parallel und ergänzen sich. Eine saubere KI-Richtlinie plus Datenfluss-Architektur erfüllt oft beide gleichzeitig - deshalb denken wir das zusammen, nicht in Silos.

Question 27

Was ist mit ChatGPT und Copilot auf DSGVO-Ebene?

Accepted Answer

ChatGPT Plus (20 $) ist für Unternehmenseinsatz nur bedingt geeignet - keine zentrale Verwaltung, unzureichende Datenschutzgarantien. ChatGPT Team/Enterprise bietet Admin-Konsolen, SSO und datenschutzrechtliche Zusagen (kein Training mit Ihren Daten). Trotzdem gilt: Was in personenbezogene oder vertrauliche Daten fällt, sollte nicht in eine US-SaaS fließen, ohne dass AVV und Übertragungsgrundlage geklärt sind.

Question 28

Welche Bußgelder drohen bei KI-Verstößen?

Accepted Answer

Verbotene KI-Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Hochrisiko-Pflichtverletzungen: bis 15 Mio. € oder 3 % (KMU niedriger). Falsche Behördeninformationen: bis 7,5 Mio. € oder 1 %. DSGVO-Verstöße: bis 20 Mio. € oder 4 %. KMU bekommen Erleichterungen - der niedrigere Wert aus Festbetrag oder Umsatzprozent greift. Echte Praxisrelevanz hat aber vor allem die KI-Kompetenz-Pflicht, die sofort gilt.

Question 29

Was passiert mit unseren Daten? Geht das DSGVO-konform?

Accepted Answer

Wir bauen es so, dass Sie die Anforderungen erfüllen können. Wenn Datenschutz oder Geheimhaltung kritisch sind, verarbeiten wir auf dedizierten Servern in Deutschland oder direkt bei Ihnen im Haus, ohne US-Cloud. Ihr Fachwissen liegt in einem durchsuchbaren Bestand, nicht in den Gewichten des Modells: ein einzelnes Dokument bleibt löschbar und Zugriffsrechte bleiben wirksam. AVV, Datenstandort, technische Maßnahmen und Zugriffslogik liegen schriftlich vor dem Start vor. Die datenschutzrechtliche Bewertung selbst trifft Ihr Datenschutzbeauftragter, die Unterlagen dafür liefern wir.

Question 30

Was bedeutet Datenhoheit und warum ist das wichtig?

Accepted Answer

Datenhoheit heißt: Sie wissen, wo Ihre Daten liegen, wer darauf zugreifen kann und dass sie nicht ungefragt zum Training fremder Modelle fließen. Bei Kundendaten, Personalakten oder Konstruktionsplänen ist das nicht optional, sondern geschäftskritisch. Verlieren Sie die Hoheit, riskieren Sie DSGVO-Bußgelder, Geheimnisverlust und Abhängigkeit von einem US-Anbieter.

Question 31

On-Premise, deutsches Hosting oder US-Cloud - wann was?

Accepted Answer

US-Cloud (ChatGPT, Copilot) für unkritische Texte und Brainstorming. Deutsches/EU-Hosting, sobald personenbezogene oder vertrauliche Daten ins Spiel kommen und ein AVV greifen muss. On-Premise bei Ihnen im Haus, wenn Geheimhaltung, Unabhängigkeit oder regulatorische Vorgaben es verlangen. Wir empfehlen pro Use-Case - nicht das ganze Unternehmen auf eine Schiene.

Question 32

Was ist eine eigene KI und wie unterscheidet sie sich von ChatGPT?

Accepted Answer

Eine eigene KI basiert typischerweise auf einem starken Open-Source-Modell, das wir auf Ihr Unternehmen zuschneiden und auf Ihrer Infrastruktur betreiben. Der Unterschied zu ChatGPT: im On-Premise-Setup bleiben Ihre Inhalte in Ihrem Netz, ausgehende Verbindungen beschränken sich auf den Update-Weg, den Sie freigeben. Ihr Fachwissen liegt im Wissensbestand, nicht in den Gewichten des Modells, und Sie sind nicht von einem US-Anbieter abhängig. Ähnlich wie spezialisierte KI-Produkte ein offenes Basismodell nehmen und es zu etwas Eigenem ausbauen.

Question 33

Kann ich verhindern, dass meine Daten fürs Modell-Training verwendet werden?

Accepted Answer

Ja. Bei ChatGPT Team/Enterprise gibt es vertragliche Zusagen, dass Ihre Daten nicht ins Training fließen. Bei eigener oder EU-gehosteter KI liegt die Grenze in der Architektur: das Modell läuft isoliert auf Ihrer Infrastruktur, Ihre Inhalte gehen nicht an einen Anbieter. Für wirklich sensible Daten empfehlen wir letzteres, weil dort die Garantie nicht nur vertraglich, sondern architektonisch ist.

Question 34

Brauche ich einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter?

Accepted Answer

Ja, sobald ein externer Dienstleister personenbezogene Daten für Sie verarbeitet (Art. 28 DSGVO) - das gilt auch für KI-Hosts und SaaS-Tools. Bei US-Anbietern kommt die Übermittlung dazu: abgesichert über Standardvertragsklauseln oder den EU-U.S. Data Privacy Framework-Beschluss. Wir kümmern uns um AVV und Dokumentation, bevor es produktiv losgeht.

Question 35

Was ist eine Datenschutz-Folgenabschätzung und wann brauche ich sie?

Accepted Answer

Die DSFA (Art. 35 DSGVO) ist eine systematische Risikoanalyse für Vorhaben mit hohem Risiko für die Rechte Betroffener - bei KI, die personenbezogene Daten verarbeitet, häufig nötig, z. B. bei Bewerber-Scoring oder Mitarbeiterüberwachung. Wir helfen Ihnen einzuschätzen, ob eine fällig ist, und setzen sie mit Ihnen auf. Lieber sauber dokumentiert als nachträglich beim Landesdatenschutzbeauftragten erklären.

Question 36

Muss der Betriebsrat bei KI-Einführung mitreden?

Accepted Answer

Ja. Wo KI das Verhalten oder die Leistung von Mitarbeitern erfassen kann, ist das nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig - schon dann, wenn die Technik objektiv dazu geeignet ist, unabhängig davon, ob sie wirklich zur Überwachung genutzt wird. Wir binden den Betriebsrat früh ein und helfen bei der Betriebsvereinbarung.

Question 37

KI bewertet Bewerbungen, liest Mails, protokolliert Anrufe - ist das erlaubt?

Accepted Answer

Nur sauber aufgesetzt. Bewerber-Scoring gilt unter dem EU AI Act als Hochrisiko-Anwendung: bei uns immer reine Vorsortierung mit menschlicher Letztentscheidung, nachvollziehbarer Begründung und Diskriminierungs-Schutz - keine automatische Absage. Telefon-Protokolle brauchen die richtige Ansage und Rechtsgrundlage, Mail-Triage die Zustimmung der Beschäftigten und des Betriebsrats. Wir liefern die Einordnung pro Use-Case mit.

Question 38

Was ist mit § 22 DSGVO - darf eine KI automatisch entscheiden?

Accepted Answer

Rein automatisierte Entscheidungen mit rechtlicher oder ähnlich weitreichender Wirkung sind grundsätzlich unzulässig (Art. 22 DSGVO). Die finale Entscheidung muss beim Menschen bleiben - die KI darf nur vorsortieren, entwerfen, vorschlagen. Mit den Hochrisiko-Pflichten ab Dezember 2027 kommt mit Art. 86 KI-VO zudem ein Recht auf Erklärung einer KI-gestützten Entscheidung dazu. Wir setzen das so um, dass immer ein Mensch am Knopf sitzt.

Question 39

Kann KI diskriminieren?

Accepted Answer

Ja, wenn die Trainingsdaten verzerrt sind - KI reproduziert Vorurteile, die in den Daten stecken. Beim Bewerber-Scoring ist das ein AGG-Risiko. Wir prüfen Ergebnisse auf systematische Verzerrungen, halten Eingaben und Outputs nachvollziehbar und bauen menschliche Kontrolle ein. Niemand bekommt bei uns eine automatische Absage von einer Maschine.

Question 40

Was muss in einer Betriebsvereinbarung zu KI stehen?

Accepted Answer

Eckpfeiler: Zweck und Umfang der KI-Nutzung, welche Daten verarbeitet werden, wer Zugriff hat, Audit- und Auskunftsrechte des Betriebsrats, Löschkonzept, menschliche Letztentscheidung und Beschwerdeweg. Eine gute Betriebsvereinbarung schützt beide Seiten - sie gibt Planbarkeit und verhindert Schatten-KI. Wir begleiten die Verhandlung, nicht nur die Technik.

Question 41

Müssen Beschäftigte informiert werden, wenn KI eingesetzt wird?

Accepted Answer

Ja. § 81 Abs. 4 BetrVG verpflichtet zur Information über den KI-Einsatz, Art. 13/14 DSGVO zu Transparenz über Datenverarbeitung, und ab Dezember 2027 verlangt Art. 26 Abs. 7 KI-VO ausdrücklich die Unterrichtung der Beschäftigten bei Hochrisiko-Systemen. Offenheit ist kein Optional - sie ist rechtliche Pflicht und Vertrauensfrage zugleich.

Antworten für den Mittelstand.

DropD. & Zusammenarbeit

KI im Unternehmen

DSGVO & EU AI Act

Datenhoheit, Hosting & eigene KI

Arbeitsrecht & Betriebsrat