AI Readiness im Unternehmen: zehn Fehler, die HR und Führung vermeiden sollten

Bereitschaft zeigt sich an Entscheidungen, nicht an Logins

Wenn du als Verantwortlicher für HR eine neue Anwendung freigibst, reicht Begeisterung im Team nicht aus. Du brauchst einen nachvollziehbaren Zweck, verlässliche Informationen, geeignete Kompetenzen und einen Prozess, der auch bei Fehlern funktioniert. Genau darin liegt AI Readiness: Deine Organisation kann einen bestimmten Einsatz verantwortbar vorbereiten, prüfen, betreiben und bei Bedarf beenden. Tool Adoption beschreibt dagegen, ob Menschen ein Werkzeug tatsächlich verwenden. Beides kann zusammenhängen, ist aber nicht dasselbe.

Ein Bereich kann hohe Nutzungszahlen haben und trotzdem nicht wissen, wer eine falsche Auskunft korrigiert. Ein anderer Bereich kann nach sorgfältiger Prüfung einen Einsatz bewusst ablehnen und damit hohe Entscheidungsfähigkeit zeigen. Readiness ist deshalb keine pauschale Eigenschaft des gesamten Unternehmens. Sie gilt für einen abgegrenzten Anwendungsfall unter benannten Bedingungen.

Die folgenden zehn Fehlerbilder sind eine praxisorientierte Auswahl, keine empirisch belegte Rangliste nach Häufigkeit. Sie richten sich an KMU, NGOs und Fachabteilungen größerer Unternehmen. Alle Beispiele sind hypothetisch. Die vorgeschlagenen Gates und Kennzahlen sind organisatorische Empfehlungen, keine gesetzlichen Schwellenwerte.

Ein gemeinsamer Rahmen für deine Prüfung

Das freiwillige NIST AI RMF unterscheidet die Funktionen GOVERN, MAP, MEASURE und MANAGE. Governance durchzieht dabei die übrigen Funktionen. NIST beschreibt diese nicht als starre Reihenfolge oder bloße Checkliste. Für deine Arbeit bedeutet das: Du klärst Verantwortung, verstehst den Kontext, prüfst Wirkungen und behandelst Risiken über den Lebenszyklus hinweg. [1]

Die OECD nennt unter anderem Transparenz, Robustheit und Rechenschaft als Prinzipien vertrauenswürdiger KI. Daraus lässt sich keine automatische Freigabe ableiten. Die Prinzipien helfen dir jedoch, konkrete Fragen an einen Einsatz zu stellen: Wer versteht die Grenzen? Wer kontrolliert das Ergebnis? Wer kann eingreifen? [4]

Lege für jede dieser Fragen ein Belegstück fest. Ein Gate ist hier eine dokumentierte Entscheidung mit drei möglichen Ausgängen: weiterarbeiten, unter klaren Auflagen nachbessern oder stoppen. Ein nicht erfülltes Kriterium darf nicht durch eine überzeugende Präsentation verschwinden. Halte außerdem fest, wer den Nachweis erstellt und wer ihn unabhängig genug beurteilt.

Fehler 1: Du kaufst ein Werkzeug, bevor das Problem geklärt ist

Das Symptom erkennst du an Vorhaben wie „Wir brauchen einen Assistenten für HR“. Niemand kann sagen, welche wiederkehrende Aufgabe besser werden soll. Die Diskussion dreht sich um Funktionen und Anbieter. Ein belastbarer Vergleich zum bisherigen Verfahren fehlt. Besonders in kleinen Organisationen bindet diese Unschärfe Kapazität, die später für Prüfung und Pflege gebraucht wird.

Die Intervention beginnt ohne Produktauswahl. Beschreibe eine Aufgabe mit Auslöser, Eingangsinformation, gewünschtem Ergebnis und Empfänger. Ein geeigneter erster Gegenstand könnte die Suche nach freigegebenen Informationen zum Onboarding sein. Grenze ausdrücklich aus, dass das System Personalentscheidungen trifft. Erhebe dann, wie lange die bisherige Suche dauert und wie oft Rückfragen entstehen.

Der Gate Nachweis besteht aus einem einseitigen Auftragsblatt: Problem, Zielgruppe, erlaubter Umfang, ausgeschlossene Nutzung, erwarteter Nutzen und verantwortliche Person. Ergänze eine kurze Prüfung, ob bessere Ablage oder eine verständliche Prozessbeschreibung das Problem bereits lösen würden. Freigabe erhält nicht das attraktivste Werkzeug, sondern ein hinreichend klares Problem. Kontext und Zweck gehören zur MAP Funktion des NIST Rahmens. [1]

Fehler 2: Du behandelst HR als alleinigen Eigentümer

Das Symptom ist eine lange Liste engagierter Beteiligter ohne eindeutige Entscheidungskompetenz. HR organisiert Schulungen, die IT betreibt Zugänge und der Fachbereich erwartet Ergebnisse. Bei einer falschen Antwort zeigt jede Stelle auf eine andere. In einer NGO kann dasselbe Muster zwischen Geschäftsführung, Projektleitung und externem Dienstleister entstehen.

Die Intervention ist eine kleine, verbindliche Verantwortungsmatrix. Benenne einen Prozesseigner für Nutzen und fachliche Qualität, einen technischen Verantwortlichen für Betrieb und Zugriff sowie eine Person für Wissenspflege. Kläre die Einbindung von Datenschutz und Informationssicherheit. Eine Vertretung darf nicht nur auf dem Papier stehen. In einem KMU können mehrere Rollen bei derselben Person liegen, die Aufgaben müssen trotzdem unterscheidbar bleiben.

Der Gate Nachweis ist eine unterschriebene Zuständigkeitsübersicht mit Freigaberecht, Eskalationsweg und Stellvertretung. Simuliere einen Fehlerfall: Eine intern veröffentlichte Auskunft widerspricht der gültigen Richtlinie. Wer sperrt sie? Wer informiert Betroffene? Wer gibt die Korrektur frei? Wenn diese Antworten erst im Störfall ausgehandelt werden müssten, ist das Gate nicht erreicht. Das entspricht der übergreifenden Bedeutung von Governance im NIST Rahmen. [1]

Fehler 3: Du verwechselst Teilnahme mit Kompetenz

Das Symptom ist ein voller Schulungskalender ohne überprüfbare Handlungssicherheit. Beschäftigte kennen Begriffe und schreiben brauchbare Prompts. Sie erkennen aber nicht, wann personenbezogene Angaben unzulässig eingegeben werden oder eine Antwort fachlich geprüft werden muss. Eine Teilnahmebestätigung zeigt Anwesenheit, nicht die sichere Bewältigung einer Aufgabe.

Artikel 4 des AI Act gilt seit dem 2. Februar 2025. Nach der aktuell von der EU Kommission erläuterten geänderten Fassung sollen Anbieter und Betreiber Maßnahmen zur Entwicklung der KI Kompetenz ihrer Beschäftigten und weiterer im Auftrag handelnder Personen unterstützen. Vorwissen, Erfahrung und Einsatzkontext bleiben wichtig. Die aktuelle Erläuterung schreibt kein bestimmtes individuelles Kompetenzniveau und kein pauschales Schulungszertifikat vor. Ein einzelner Kurs beweist deshalb nicht automatisch die Erfüllung sämtlicher einschlägiger Anforderungen. Rechtsstand und konkrete Pflichten sind für den jeweiligen Einsatz gesondert zu prüfen. [7]

Die Intervention besteht aus rollenbezogenen Übungen. Eine Führungskraft muss eine Freigabe begründen können. Eine anwendende Person muss ungeeignete Eingaben erkennen. Ein Wissensverantwortlicher muss widersprüchliche Quellen auflösen. Nutze kurze Fallszenarien mit begründeten Entscheidungen statt ausschließlich Wissensfragen.

Der Gate Nachweis enthält Lernziele, Aufgaben, Bewertungskriterien und dokumentierte Nachschulung. Eine sinnvolle interne Regel lautet: Ohne bestandene Aufgabe für die betreffende Rolle kein produktiver Zugang. Diese Regel ist deine organisatorische Festlegung und keine gesetzlich vorgeschriebene Prüfungsform.

Fehler 4: Du setzt verfügbare Dokumente mit verlässlichem Wissen gleich

Das Symptom ist eine große Wissenssammlung mit widersprüchlichen Antworten. Eine alte Betriebsanweisung steht neben einer aktuellen Fassung. Ausnahmen sind nur einer erfahrenen Kollegin bekannt. Der Assistent findet Texte schnell, kann ihren fachlichen Vorrang aber nicht zuverlässig bestimmen. Mehr Dokumente bedeuten unter diesen Bedingungen mehr Möglichkeiten für falsche Sicherheit.

Die Intervention beginnt mit einer Quelleninventur für den konkreten Anwendungsfall. Erfasse Eigentümer, Geltungsbereich, Freigabestatus, Aktualität und Zugriffsrechte. Definiere eine Vorrangregel, wenn Quellen einander widersprechen. Nicht aufgelöste Konflikte bleiben aus der Antwortbasis ausgeschlossen. Auch mündliches Erfahrungswissen braucht fachliche Prüfung, bevor es zur verbindlichen Auskunft wird.

Der Gate Nachweis ist ein freigegebener Quellenkatalog mit dokumentierten Konfliktentscheidungen. Prüfe Fragen, deren Antwort fehlt oder nur für einen anderen Standort gilt. Erwartet wird dann eine begründete Einschränkung oder Weiterleitung, keine plausible Ergänzung. Das NIST Profil für generative KI beschreibt Konfabulation als Risiko selbstbewusst formulierter falscher Inhalte. Eine flüssige Antwort ist daher kein Qualitätsbeleg. [2]

Fehler 5: Du prüfst Datenschutz erst nach dem Pilotstart

Das Symptom sind echte Bewerbungsunterlagen oder Gesprächsnotizen in einer Testumgebung, deren Datenwege niemand vollständig kennt. Die Begründung lautet häufig, dass es zunächst nur ein Versuch sei. Der organisatorische Status als Pilot macht personenbezogene Daten jedoch nicht weniger schutzbedürftig.

Die DSGVO verlangt unter anderem Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage. Je nach Verarbeitung sind zusätzliche Fragen zu besonderen Datenkategorien, Auftragsverarbeitung und Sicherheitsmaßnahmen zu klären. Artikel 35 betrifft eine Datenschutzfolgenabschätzung bei voraussichtlich hohem Risiko. Artikel 22 enthält besondere Regeln für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Nicht jede HR Anwendung fällt automatisch darunter. [5]

Die Intervention ist eine Datenflussprüfung vor dem ersten Test mit echten Daten. Kläre Eingaben, Speicherorte, Empfänger, Aufbewahrung, Löschung und Zugriffsrechte. Verwende zunächst synthetische Fälle. Vertraue nicht allein auf entfernte Namen, wenn Personen durch andere Angaben weiterhin bestimmbar bleiben.

Der Gate Nachweis umfasst eine freigegebene Datenbeschreibung und die dokumentierte Prüfung der einschlägigen Anforderungen. Offene Rechtsfragen gehen an die zuständige Fachstelle. Ein technisch funktionierender Test ersetzt diese Prüfung ebenso wenig wie ein allgemeines Sicherheitsversprechen des Anbieters.

Fehler 6: Du wählst einen ersten Einsatz mit zu hoher Tragweite

Das Symptom ist ein Pilot zur Bewertung von Bewerbungen, obwohl der Bereich noch keine belastbare Qualitätsprüfung für einfache Auskünfte besitzt. Die Hoffnung auf große Wirkung verdrängt die Frage nach möglichen Schäden. Gleichzeitig werden stark unterschiedliche Aufgaben unter derselben Bezeichnung zusammengefasst. Eine Formulierungshilfe wird mit einer Auswahlentscheidung verwechselt.

Die Intervention ist eine Einstufung nach Wirkung, Datenempfindlichkeit, Fehlerfolgen und Rücknehmbarkeit. Beginne mit einem eng begrenzten Einsatz, dessen Fehler vor einer relevanten Außenwirkung erkannt werden können. Eine interne Suche in freigegebenen Informationen ist organisatorisch anders zu behandeln als eine Empfehlung über berufliche Chancen. Das bedeutet nicht, dass die erste Aufgabe risikolos ist.

Der Gate Nachweis enthält eine begründete Auswahl und einen Negativkatalog. Dort stehen ausgeschlossene Personengruppen, Entscheidungen und Datenarten. Prüfe außerdem vorhersehbare Zweckverschiebungen: Könnte ein Zusammenfassungswerkzeug faktisch zur Leistungsbewertung verwendet werden? Der Prozesseigner muss solche Übergänge erkennen und eine erneute Prüfung auslösen. Das NIST Rahmenwerk verlangt die Betrachtung des Nutzungskontexts und möglicher Auswirkungen auf Menschen und Organisationen. [1]

Fehler 7: Du bewertest Nutzen ohne Ausgangsmessung

Das Symptom sind Aussagen wie „Die Antworten kommen viel schneller“. Unklar bleibt, wie viel Prüfzeit anfällt und wie viele Ergebnisse tatsächlich verwendbar sind. Eine hohe Zahl erzeugter Texte kann sogar zusätzliche Arbeit bedeuten. Für HR ist besonders relevant, ob eine Aufgabe vollständig besser wird, nicht nur ihr erster Entwurf.

Die Intervention ist eine einfache Baseline vor der Einführung. Miss für eine vergleichbare Stichprobe die gesamte Bearbeitungszeit, fachliche Fehler, Rückfragen und Nacharbeit. Vergleiche später dieselben Aufgabentypen unter möglichst ähnlichen Bedingungen. Halte Fallzahl und Streuung fest. Eine kleine Stichprobe liefert Orientierung, aber keine belastbare Aussage über seltene Schäden.

Der Gate Nachweis ist eine Vergleichstabelle mit nachvollziehbaren Definitionen. „Nutzbares Ergebnis“ muss heißen, dass die fachlichen Mindestkriterien erfüllt sind. Dokumentiere getrennt, ob die Qualität steigt oder nur die Zeit sinkt. Lege Grenzen vor dem Test fest, damit du sie nicht nachträglich an das Ergebnis anpasst. Die MEASURE Funktion im NIST Rahmen stützt systematische Bewertung, schreibt dir aber keine universelle Produktivitätsquote vor. [1]

Fehler 8: Du testest nur freundliche Standardfragen

Das Symptom ist eine überzeugende Vorführung mit sorgfältig ausgewählten Fragen. Im Alltag scheitert die Anwendung dagegen an fehlendem Kontext, veralteten Quellen oder unzulässigen Anfragen. Eine solche Vorführung prüft vor allem, ob ein bekannter Erfolgsfall erneut funktioniert. Sie zeigt nicht, wo die Grenzen liegen.

Die Intervention ist ein versionierter Testkatalog. Er enthält normale Fragen, mehrdeutige Eingaben, widersprüchliche Quellen, bewusst fehlende Antworten und Versuche, Zugriffsregeln zu umgehen. Bei generativer KI gehören auch erfundene Quellenangaben und die Reaktion auf manipulative Anweisungen in Dokumenten in die Prüfung. Das NIST Profil behandelt unter anderem Informationsintegrität und Informationssicherheit sowie Prüfungen vor der Bereitstellung. [2]

Der Gate Nachweis ist ein Testbericht mit Eingabe, erwarteter Reaktion, beobachtetem Ergebnis und Fehlerentscheidung. Eine falsche sensible Auskunft darf nicht durch viele korrekte harmlose Antworten rechnerisch verdeckt werden. Definiere deshalb kritische Fehlerklassen mit eigener Sperrwirkung. Nach einer Änderung am Modell, an Quellen oder an Berechtigungen prüfst du die betroffenen Fälle erneut. Ein bestandener Test ist immer an eine konkrete Version gebunden.

Fehler 9: Du schreibst menschliche Kontrolle vor, ohne sie zu ermöglichen

Das Symptom ist eine Richtlinie mit dem Satz „Alle Ergebnisse sind zu prüfen“. In der Praxis fehlen dafür Zeit, Quellenzugriff und klare Kriterien. Die anwendende Person bestätigt eine Antwort, weil sie plausibel klingt oder das System bereits als zuverlässig gilt. Formale Kontrolle wird so zum automatischen Durchwinken.

Die Intervention gestaltet den Kontrollschritt als echte Aufgabe. Zeige die verwendeten Quellen und ihre Gültigkeit. Benenne Aussagen, die zwingend fachlich geprüft werden müssen. Gib Prüfern ausreichend Zeit und die Befugnis, Ergebnisse abzulehnen. Eskalation darf nicht als persönliches Versagen erscheinen. Eine Kontrolle ohne geeignete Informationen ist keine belastbare Sicherheitsmaßnahme.

Der Gate Nachweis entsteht durch eine beobachtete Übung mit absichtlich eingebautem Fehler. Erkennt die Person den Widerspruch? Findet sie die maßgebliche Quelle? Verhindert sie die Weitergabe? Dokumentiere auch Fehlentscheidungen unter Zeitdruck. Die OECD Prinzipien zu Transparenz und Rechenschaft liefern dafür eine normative Orientierung, aber keinen Beweis, dass ein bestimmtes Kontrollverfahren bereits genügt. [4]

Fehler 10: Du planst den Start, aber weder Betrieb noch Rücknahme

Das Symptom zeigt sich einige Wochen nach dem Pilotende. Neue Richtlinien werden nicht eingepflegt, Rückmeldungen bleiben liegen und niemand bemerkt veränderte Ergebnisse nach einem Update. Die Anwendung ist eingeführt, aber nicht dauerhaft betreut. Ein Ende des Projektbudgets wird mit einem Ende der Verantwortung verwechselt.

Die Intervention ist ein Betriebsblatt mit festen Prüfterminen, Änderungsregeln und einem Rückfallverfahren. Lege fest, welche Ereignisse sofortige Sperrung auslösen. Dazu können unberechtigte Datenoffenlegung oder eine kritische Falschauskunft gehören. Definiere, wer Zugänge deaktiviert und wie der bisherige Prozess wieder übernommen wird. Prüfe auch, ob dafür genügend Personal und aktuelle Unterlagen verfügbar bleiben.

Der Gate Nachweis umfasst ein protokolliertes Rücknahmeszenario und einen benannten Betriebsverantwortlichen mit Kapazität. Die Rücknahme ist erst gelungen, wenn die Arbeit ohne die Anwendung weitergeführt werden kann. Sichere relevante Belege entsprechend den festgelegten Regeln und kläre notwendige Information an Betroffene. Die MANAGE Funktion des NIST Rahmens behandelt Risikoreaktionen über den Lebenszyklus. Eine einmalige Freigabe ersetzt diese laufende Arbeit nicht. [1]

Wissen gezielt sichern statt Bereitschaft pauschal bescheinigen

Wenn kritisches Wissen vor allem in Gesprächen steckt, kann ein strukturierter Erfassungsprozess die Wissensbasis verbessern. RECO beschreibt die Dokumentation von Gesprächswissen, dessen Strukturierung und Prüfung durch Abgleich mit vorhandenem Wissen. Für deinen Einsatz ordnest du das als Kette aus Erfassung, Kategorisierung, Verifikation und Transfer in den Arbeitsprozess ein. Die Anbieterbeschreibung ist keine unabhängige Wirksamkeitsstudie. [6]

Prüfe deshalb am eigenen Fall, ob korrekt erfasste Inhalte richtig zugeordnet, fachlich bestätigt und von einer anderen Person zuverlässig angewendet werden können. RECO ist dabei eine mögliche Unterstützung für Wissensarbeit und kein allgemeiner Zertifizierer für AI Readiness. Freigabe und Verantwortung bleiben bei deiner Organisation.

Aus der Fehlerliste wird ein verbindlicher Arbeitsauftrag

Wähle zunächst einen Anwendungsfall und prüfe die zehn Fehlerbilder gemeinsam mit Fachbereich, HR und Technik. Führe eine Belegliste mit Status, Eigentümer und Termin. Ein roter Befund braucht eine konkrete Maßnahme statt einer allgemein besseren Bewertung beim nächsten Treffen. So bleibt die Prüfung auch in kleinen Teams handhabbar.

AAS bietet für fünf bis zwölf Teilnehmende drei Formate: zwei Tage Training, zwei Tage Workshop oder zwei Tage Training mit 90 Tagen interner Umsetzung, anschließend zwei Tage Workshop und weitere 90 Tage Umsetzung. Eine konkrete Roadmap wird im Training beziehungsweise Workshop erarbeitet. Nach 90 Tagen evaluieren wir Milestones im Check in. Die Umsetzung ist intern oder mit unserer externen Begleitung möglich. Das Training macht Grundkonzepte und Frameworks erlebbar. Der Workshop entwickelt mit dem Team konkrete Aufgaben, Zuständigkeiten und nächste Umsetzungsschritte. Kein Format ersetzt notwendige technische Prüfungen, Beteiligungsverfahren oder eine fallbezogene Rechtsprüfung.

Entscheidend ist nicht das Format allein, sondern der Anschluss an deinen Arbeitsprozess. Reserviere Zeit für Nachweise und Entscheidungen. Deine Organisation ist nicht deshalb bereit, weil sie eine Lizenz oder einen Kurs besitzt. Sie wird für einen konkreten Einsatz belastbar handlungsfähig, wenn Zuständigkeiten, Wissen, Kompetenzen und kontrollierter Betrieb zusammenpassen.