KI im Mittelstand einführen 2026: Der 90-Tage-Plan vom ersten Anwendungsfall bis zur Abnahme

Ein mittelständisches Unternehmen führt KI in 90 Tagen ein, wenn es drei Phasen sauber trennt: bis Tag 30 entscheiden, von Tag 31 bis 60 im Pilot messen, von Tag 61 bis 90 abnehmen und nur den freigegebenen Anwendungsfall ausweiten. Die Ausgangslage ist für viele Betriebe ähnlich: 2024 nutzten 20 % der Unternehmen in Deutschland KI-Technologien, bei kleinen Unternehmen mit 10 bis 49 Beschäftigten waren es 17 %, bei mittleren mit 50 bis 249 Beschäftigten 28 %. Als wichtigste Gründe für den Verzicht nannten Nichtnutzer fehlendes Wissen (71 %), Unklarheit über die rechtlichen Folgen (58 %) und Datenschutzbedenken (53 %).

Genau diese drei Hürden räumt der 90-Tage-Plan in dieser Reihenfolge aus dem Weg: erst Wissen und Verantwortliche, dann Rechtsrahmen und Datenflüsse, dann ein begrenzter Pilot mit ehrlicher Messung. Der Plan ist ein redaktioneller Fahrplan, kein Erfolgsversprechen. Beträge sind gerundete Erfahrungswerte aus bios-tec-Kundenprojekten oder marktübliche Spannen, netto; nur der Plattformpreis von bios UNIVERSE steht als Zahl. KI-Beratung, Pilotbegleitung und Schulung sind individuelle Angebote.

Der 90-Tage-Plan im Überblick

90-Tage-Plan: Ein zeitlich begrenzter Einführungsrahmen, in dem ein einzelner KI-Anwendungsfall ausgewählt, pilotiert und über Messwerte für den Betrieb freigegeben oder gestoppt wird.

Die Tabelle zeigt die drei Phasen mit Verantwortlichen, Ergebnis und Abnahmekriterium. Sie ist eine Planannahme für ein Unternehmen mit 20 bis 250 Beschäftigten und einem Anwendungsfall. Wer zwei Anwendungsfälle parallel startet, braucht zwei Messreihen und verdoppelt den Kontrollaufwand.

Planannahme auf Basis des bios-tec-Beratungsablaufs Potenzialanalyse, Use Cases, Rechtsrahmen, Einführung; keine Messung.

Der häufigste Fehler liegt nicht in der Technik, sondern in der Reihenfolge: Erst wird ein Werkzeug gekauft, dann ein Anwendungsfall gesucht. bios-tec beschreibt den eigenen Beratungsablauf deshalb bewusst umgekehrt, beginnend bei Abläufen und Daten, erst danach beim Werkzeug. Dieselbe Reihenfolge gilt für den 90-Tage-Plan.

Wie startet ein mittelständisches Unternehmen mit KI?

Anwendungsfall: Ein abgegrenzter, wiederkehrender Arbeitsvorgang mit erkennbarem Anfang und Ende, bei dem KI einen Teilschritt übernimmt und ein Mensch das Ergebnis prüft.

Der Einstieg beginnt nicht mit einer KI-Strategie für das ganze Unternehmen, sondern mit einer Liste von fünf bis zehn Vorgängen, die Mitarbeitende täglich oder wöchentlich bearbeiten. Typische Kandidaten sind die Sortierung und Vorbereitung eingehender E-Mails, die Suche in internen Anleitungen und Verträgen, Erstentwürfe für Angebote und Berichte sowie Auswertungen aus Warenwirtschaft oder Buchhaltung. Entscheidend ist, dass der Vorgang heute schon dokumentiert werden kann: Wer macht ihn, wie oft, wie lange dauert er, was ist das Ergebnis.

Aus dieser Liste wählt die Geschäftsführung gemeinsam mit den Prozessverantwortlichen einen Fall aus. Drei Kriterien helfen bei der Auswahl:

1. Häufigkeit: Mindestens 50 Vorgänge im Messzeitraum von vier Wochen, sonst ist keine belastbare Messung möglich.
2. Datenlage: Die benötigten Informationen liegen digital und zugänglich vor, ohne dass personenbezogene Daten in großem Umfang verarbeitet werden müssen.
3. Prüfbarkeit: Ein Mensch kann das KI-Ergebnis in weniger als einer Minute auf Richtigkeit prüfen.

Wer mit KI startet, braucht keine KI-Vorkenntnisse im Team. bios-tec beschreibt den Einstieg in die Plattform bios UNIVERSE als Bedienung wie in einem Chat, mit Schulung beim Start und Begleitung danach. Die Lernkurve liegt weniger in der Bedienung als in der Gewohnheit, Ergebnisse zu prüfen statt zu übernehmen.

Ein Hinweis zur Größenordnung: Im EU-Durchschnitt nutzten 2025 rund 20 % der Unternehmen KI, bei kleinen Unternehmen 17 %, bei mittleren rund 30 %. Wer heute startet, ist also weder spät dran noch Vorreiter. Der Vorteil liegt nicht im Zeitpunkt, sondern in der Disziplin der Einführung.

Welche KI passt zu Aufgaben, Daten und Budget?

Datenklasse: Die Einstufung von Informationen nach Schutzbedarf, zum Beispiel öffentlich, intern, vertraulich oder personenbezogen, die festlegt, welche Werkzeuge sie verarbeiten dürfen.

Die folgende Tabelle ordnet typische Anwendungsfälle nach Nutzen, benötigten Daten und Risiko. Die Nutzenangaben sind qualitativ; belastbare Zahlen entstehen erst in der Pilotmessung zwischen Tag 31 und 60.

Anwendungsfälle aus der bios-tec-Plattformbeschreibung; Risikobewertung redaktionell.

Bei der Werkzeugwahl stehen drei Wege zur Verfügung. Erstens Cloud-Dienste großer Anbieter, bei denen Dokumente und Eingaben auf Servern des Anbieters verarbeitet werden. Zweitens Plattformen, die in einem deutschen Rechenzentrum betrieben werden und auf die eigenen Systeme nur mit Berechtigungen zugreifen. Drittens der Betrieb auf eigenen Servern im Haus. bios-tec bietet die beiden letzten Wege über die Plattform bios UNIVERSE an: in der bios-tec Cloud im bios-tec Rechenzentrum in Deutschland, DSGVO-orientiert und ohne US-Cloud-Pflicht, oder auf eigener Hardware.

Für das Budget gilt: Die Werkzeugkosten sind nur ein Posten. Hinzu kommen Beratung, Schulung, der Zeitaufwand der Pilotnutzer und die laufende Kontrolle. Welche Posten im 90-Tage-Plan auftauchen, zeigt der Abschnitt zu den Budgetposten weiter unten. Ein Vergleich konkreter KI-Plattformen für den Mittelstand folgt in einem eigenen Beitrag.

Wozu braucht ein Unternehmen KI-Governance?

KI-Governance: Die Summe der Regeln, Zuständigkeiten und Nachweise, die festlegen, wer im Unternehmen welche KI mit welchen Daten für welche Zwecke nutzen darf und wer das kontrolliert.

Der rechtliche Rahmen ist seit 2024 in Stufen in Kraft getreten. Für die meisten mittelständischen Betriebe, die KI-Assistenten für Büroarbeit einsetzen, sind drei Bausteine relevant: die Pflicht zur KI-Kompetenz, die Transparenzpflichten und die DSGVO. Hochrisiko-Vorgaben betreffen dagegen nur bestimmte Einsatzbereiche wie Personalauswahl, Kreditvergabe oder kritische Infrastruktur.

Grundlage: KI-Verordnung (Artikel 4), Angaben der Europäischen Kommission und Orientierungshilfen der Datenschutzkonferenz. Die Fristen für Hochrisiko-Systeme wurden 2026 durch den KI-Omnibus verschoben.

Für den 90-Tage-Plan bedeutet Governance vier konkrete Dokumente, die bis Tag 30 vorliegen:

• KI-Richtlinie auf zwei bis drei Seiten: Welche Werkzeuge sind freigegeben, welche Datenklassen dürfen hinein, welche nie, wer prüft Ergebnisse.
• Zuständigkeit: Eine Person verantwortet den Anwendungsfall fachlich, eine zweite die Datenflüsse und Zugriffe. Im Mittelstand sind das oft Abteilungsleitung und IT-Dienstleister.
• Schulungsnachweis: Wer am Pilot teilnimmt, wurde vorher geschult; Datum, Inhalt und Teilnehmende sind dokumentiert. Das deckt die Kompetenzpflicht ab.
• Protokoll: Zugriffe und Aktionen der KI sind nachvollziehbar. Bei bios UNIVERSE greift die KI nur mit den je Assistent gesetzten Berechtigungen auf freigegebene Daten zu; Änderungen an Gruppen und Benutzern werden protokolliert, weitere Nachweise stehen im Angebot.

Governance ist damit kein Bremsklotz, sondern die Voraussetzung dafür, dass der Pilot überhaupt mit Echtdaten laufen darf. Unternehmen, die diesen Schritt überspringen, landen bei der Abnahme an Tag 90 regelmäßig vor der Frage, ob die Messergebnisse mit Daten erzeugt wurden, die gar nicht hätten verarbeitet werden dürfen.

Was muss bis Tag 30 entschieden sein?

Ausgangsmessung: Die dokumentierte Bearbeitungszeit und Fehlerquote eines Vorgangs vor dem KI-Einsatz, erhoben an derselben Stichprobe und Aufgabenklasse, die später im Pilot gemessen wird.

Die ersten 30 Tage sind Entscheidungsarbeit der Geschäftsführung und der Prozessverantwortlichen. Technik spielt noch eine Nebenrolle. Die Checkliste:

1. Anwendungsfall festlegen. Ein Vorgang, eine Abteilung, ein Verantwortlicher. Schriftlich: Was geht hinein, was kommt heraus, wer prüft.
2. Ausgangsmessung durchführen. Mindestens zwei Wochen lang Bearbeitungszeit je Fall, Fallzahl und Fehler erfassen. Ohne diese Zahl ist jede spätere Effizienzangabe eine Behauptung.
3. Dateninventar anlegen. Welche Dokumente, Postfächer oder Systeme braucht der Anwendungsfall, in welcher Datenklasse liegen sie, wo liegen sie heute.
4. Zugriffe definieren. Welche Rechte bekommt das KI-System: nur lesen, nur bestimmte Ordner, kein Zugriff auf Personaldaten. Bei Plattformen wie bios UNIVERSE lassen sich Berechtigungen je Assistent und Abteilung setzen.
5. Werkzeug wählen. Nach Datenklasse, nicht nach Bekanntheit. Cloud-Dienst, deutsches Rechenzentrum oder eigener Server; Begründung dokumentieren.
6. Schulung planen. Termin vor Tag 31, Inhalt: Bedienung, Prüfpflicht, Datenregeln, Meldung von Fehlern.
7. Abbruchkriterien festlegen. Zum Beispiel: Fehlerquote über 10 % der geprüften Fälle, ein Datenschutzvorfall, Kontrollzeit höher als eingesparte Zeit.

Abbruchkriterium: Eine vorab festgelegte Bedingung, bei deren Eintreten der Pilot sofort gestoppt wird, unabhängig davon, wie viel bereits investiert wurde.

Am Ende der 30 Tage steht die Freigabe der Geschäftsführung für den Pilot mit Echtdaten. Diese Freigabe ist ein eigener Termin mit Protokoll, keine E-Mail im Vorbeigehen. Wer an dieser Stelle einen externen Partner einbindet, bekommt bei bios-tec die Potenzialanalyse und die Priorisierung der Anwendungsfälle als Beratungsleistung; die Klärung von Datenschutz und KI-Verordnung ist dort der dritte Schritt vor der Einführung. Potenzialanalyse, Pilotbegleitung und Schulung sind individuelle Angebote ohne Listenpreis.

Falls das IT-Inventar fehlt, lohnt sich ein vorgeschalteter Infrastruktur-Check. Eine einmalige IT-Dokumentation liegt für Umgebungen bis etwa 10 Server erfahrungsgemäß bei rund 500 bis 4.000 € netto; größere Umgebungen werden je Server angeboten. Das ist kein KI-Reifegrad-Audit, sondern eine Bestandsaufnahme von Servern, Clients und Systemen, die als Grundlage für das Dateninventar dient. Wer seine Umgebung bereits dokumentiert hat, braucht diesen Posten nicht.

Wie testet man den Pilot zwischen Tag 31 und 60?

Pilot: Ein zeitlich und personell begrenzter Echtbetrieb eines KI-Anwendungsfalls, bei dem jedes Ergebnis geprüft und jede Abweichung protokolliert wird.

Die 30 Tage Pilot sind Messarbeit. Das Pilotteam arbeitet mit dem KI-Werkzeug im Alltag, aber unter zwei Bedingungen: Jedes Ergebnis wird vor Verwendung geprüft, und die Prüfzeit wird mitgemessen. Letzteres unterscheidet eine ehrliche Pilotmessung von einer Produktvorführung. In einer internationalen Befragung von 2024 sahen 59 % der Führungskräfte Schwierigkeiten, den Produktivitätsgewinn von KI zu beziffern. Die Kontrollzeit ist der Grund: Sie wird fast nie erfasst.

Kontrollzeit: Die Zeit, die ein Mensch braucht, um ein KI-Ergebnis zu prüfen, zu korrigieren oder zu verwerfen, bevor es verwendet wird.

Die Tabelle zeigt die Messgrößen mit Ausgangswert, Pilotwert und Schwelle. Die Werte sind Beispiele für den Anwendungsfall E-Mail-Vorsortierung mit Antwortentwurf und keine Messergebnisse. Die Schwellen legt jedes Unternehmen selbst fest.

Messlogik redaktionell nach dem Prinzip gleiche Stichprobe, gleiche Aufgabenklasse, benannter Messzeitraum; Beispielwerte sind Annahmen.

Drei Regeln für die Pilotphase haben sich bewährt:

• Keine Ausweitung während des Piloten. Wer an Tag 45 eine zweite Abteilung aufnimmt, zerstört die Vergleichbarkeit der Messung.
• Fehlerfälle sind Ergebnisse. Jede falsche Antwort, jede fehlende Quelle, jeder Zugriff auf ein Dokument, das nicht hätte sichtbar sein dürfen, wird mit Datum und Ursache notiert. Diese Liste ist an Tag 90 wertvoller als die Zeitersparnis.
• Wöchentlicher Kurzbericht. Eine halbe Seite an die Geschäftsführung: Fallzahl, Zeit, Qualität, Vorfälle. So fällt die Entscheidung an Tag 90 nicht aus dem Bauch.

bios-tec beschreibt die eigenen Piloten als in Tagen produktiv, mit einem konkreten Fall wie E-Mail-Bearbeitung, Angebotsvorbereitung oder Wissenssuche als Start. Das ist mit dem 90-Tage-Plan vereinbar: Die Technik kann schnell laufen, die Messung braucht trotzdem ihre vier Wochen, weil erst dann genug Fälle für eine belastbare Aussage vorliegen.

Wann darf der Pilot bis Tag 90 in den Betrieb?

Rückfallverfahren: Die dokumentierte Vorgehensweise, mit der ein Vorgang ohne KI-Unterstützung weiterläuft, wenn das System ausfällt, fehlerhaft arbeitet oder abgeschaltet wird.

Die Abnahme an Tag 61 bis 90 hat zwei Teile. Der erste ist die Nutzen-Risiko-Abnahme: Die Geschäftsführung bekommt die Messreihe, das Fehlerprotokoll und die Einschätzung der Datenschutzbeauftragten. Der zweite Teil ist die Betriebsfreigabe mit vier Festlegungen:

1. Betriebsverantwortung: Wer betreibt die Plattform, überwacht sie und reagiert bei Störungen. Bei bios-tec wird KI Teil der betreuten IT; die Betreuungsstufe Standard reagiert auf kritische Server-Störungen innerhalb 4 Stunden, Rundum innerhalb 2 Stunden, als Reaktionszeit und Bemühenspflicht, nicht als Lösungszusage.
2. Supportweg: An wen wenden sich Nutzer bei falschen Antworten oder Zugriffsproblemen, und in welcher Zeit wird reagiert.
3. Laufende Kosten: Plattform, Betrieb, Kontrollzeit und Nachschulung als Monatsbetrag, dem der gemessene Netto-Zeitgewinn gegenübersteht.
4. Rückfallverfahren: Wie läuft der Vorgang ohne KI weiter, wer schaltet ab, wo liegen die Daten danach.

Die drei Betreuungsstufen von bios-tec im Überblick:

Erst nach dieser Freigabe wird ausgeweitet, und zwar nur der abgenommene Anwendungsfall auf weitere Nutzer oder Standorte. Ein zweiter Anwendungsfall startet wieder bei Tag 1, mit eigener Ausgangsmessung. bios-tec beschreibt denselben Takt: Was funktioniert, wird ausgebaut, Schritt für Schritt mit messbarem Ergebnis.

Wie begrenzt man Schatten-KI und sensible Datenflüsse?

Schatten-KI: Die Nutzung von KI-Diensten durch Beschäftigte ohne Freigabe des Unternehmens, meist über öffentliche Chatbots im Browser, bei der Eingaben das Unternehmen unbemerkt verlassen.

Die Zahlen zeigen, warum der 90-Tage-Plan das Thema in Phase 1 behandelt: 75 % der Wissensarbeiter nutzten 2024 generative KI bei der Arbeit, 52 % der Nutzer gaben ungern zu, sie für wichtige Aufgaben einzusetzen. Ein Pilot, der neben unkontrollierter Nutzung läuft, misst nur einen Teil der Realität. Was im Mittelstand konkret passiert und warum Sperren das Problem verlagern, beschreibt der Beitrag zu Schatten-KI im Mittelstand.

Drei Maßnahmen begrenzen Schatten-KI im Rahmen des Plans:

• Freigegebene Alternative ab Tag 31. Das Pilotteam bekommt ein Werkzeug, das Firmenwissen kennt und Daten im Kontrollbereich hält. Der Anreiz, in den öffentlichen Chatbot auszuweichen, sinkt, weil die freigegebene Lösung bessere Antworten liefert.
• Datenregeln in der KI-Richtlinie. Eine Tabelle mit drei Spalten reicht: Datenklasse, erlaubte Werkzeuge, verbotene Werkzeuge. Kalkulationen, Kundendaten, Personaldaten und Verträge stehen bei öffentlichen Diensten in der Spalte verboten.
• Protokollierung statt Überwachung. Protokolliert wird, worauf die KI zugreift, nicht, was einzelne Beschäftigte tippen. Das deckt Datenschutz und Revision ab, ohne Misstrauen zu erzeugen.

Für sensible Datenflüsse gilt zusätzlich: Keine Drittlandübermittlung ohne Prüfung, kein Modelltraining mit Unternehmensdaten, Berechtigungen je Assistent. Lösungen auf eigenen Servern oder in einem deutschen Rechenzentrum vermeiden die Drittlandfrage von vornherein; die datenschutzrechtliche Bewertung wird dadurch kürzer, nicht überflüssig. Die Orientierungshilfen der Datenschutzkonferenz zu KI und Datenschutz sowie zu generativer KI mit RAG-Methode sind die passende Prüfgrundlage.

Wie misst man Nutzen einschließlich Kontrollaufwand?

Netto-Zeitgewinn: Die tatsächlich frei werdende Arbeitszeit nach Abzug aller Zeit, die Menschen für Prüfung, Korrektur und Nacharbeit von KI-Ergebnissen aufwenden.

Das Rechenbeispiel nutzt die Beispielwerte aus der Pilottabelle. Es sind Annahmen zur Veranschaulichung, keine Messwerte und keine Zusage.

Formel als Planannahme; Werte sind Beispiele.

Drei Fehler verfälschen diese Rechnung regelmäßig. Erstens wird die Kontrollzeit weggelassen, dann stehen 480 statt 300 Minuten im Bericht. Zweitens wird im Pilot eine leichtere Aufgabenklasse gemessen als in der Ausgangsmessung. Drittens wird ein Messzeitraum von einer Woche hochgerechnet, obwohl die Fallzahl schwankt. Die Schwelle, ab der sich der Anwendungsfall lohnt, legt jedes Unternehmen selbst fest, indem es dem Netto-Zeitgewinn die laufenden Kosten für Plattform, Betrieb und Nachschulung gegenüberstellt.

Welche Budgetposten gehören in den 90-Tage-Plan?

Die Tabelle trennt einmalige und laufende Posten und markiert, was als Erfahrungsspanne oder Plattformpreis belegt ist und was nur als individuelles Angebot zu haben ist. Alle Beträge netto, gerundet, kein Angebot.

Rechenbeispiel Infrastruktur- und Plattformanteil: Ein Betrieb mit 25 Arbeitsplätzen und 4 Servern hat eine Pauschalbetreuung durch bios-tec, aber keine aktuelle IT-Dokumentation, und bindet eine Datenquelle an.

Netto, gerundet. Beratung, Pilotbegleitung und Schulung kommen als individuelles Angebot hinzu; das Beispiel ist kein KI-Gesamtbudget. Ein konkretes Angebot erstellt bios-tec nach einem kurzen Erstgespräch.

Was nicht enthalten ist

• Lizenzen Dritter. Abonnements für Cloud-KI-Dienste oder Office-Zusätze werden separat beschafft und laufen über den jeweiligen Anbieter.
• Hardware für On-Premise. Wer die KI auf eigenen Servern betreiben will, braucht passende Hardware; alternativ laufen Modelle und Daten auf dedizierten Systemen im Rechenzentrum des Dienstleisters.
• Rechtsberatung. Die Einordnung nach KI-Verordnung und DSGVO ist Beratungsleistung, ersetzt aber keine anwaltliche Prüfung in Zweifelsfällen.
• Sicherheitsprüfung. Ein Penetrationstest macht sichtbar, wo Daten heute ungeschützt das Haus verlassen; Preis, Umfang und Nachtest sind bei bios-tec ein individuelles Angebot nach Scoping.
• Zweiter Anwendungsfall. Jeder weitere Fall startet mit eigener Ausgangsmessung bei Tag 1.
• Umsatzsteuer. Alle genannten Beträge sind Nettopreise.

bios-tec auf einen Blick

Wenn Sie den ersten Anwendungsfall einordnen möchten, ist das unverbindliche Erstgespräch der Einstieg: Kontakt aufnehmen. Den Beratungsablauf beschreibt die Seite KI-Beratung, die Plattform die Seite bios UNIVERSE, den Betrieb im eigenen Haus die Seite KI-Agenten On-Premise.

Autor: Matthias Becker, Geschäftsführer der bios-tec GmbH.

Häufige Fragen