Was der Inhaber-CEO im Mittelstand über KI-Marketing wissen muss

Drei Entscheidungen, die Sie nicht delegieren dürfen – und ein 30-Minuten-Check, mit dem Sie den Stand Ihrer Marketing-KI selbst prüfen

TL;DR

• Inhabergeführte Mittelständler delegieren KI-Marketing typischerweise an ihr Marketing-Team. Drei Entscheidungen dürfen sie trotzdem nicht abgeben: die KI-Policy, die Datenfreigabe und die Markenhoheit. Alle drei sind Haftungsfragen, nicht Marketingfragen.
• Der EU AI Act und die DSGVO schaffen 2026 eine Pflichtenlage, die bei Missachtung bis zu sieben Prozent des Jahresumsatzes kosten kann. Die meisten Unternehmen kennen die Pflichten, nur wenige haben sie operativ dokumentiert.
• Mit einem 30-Minuten-Check aus sechs Fragen lässt sich der Governance-Status eines Unternehmens präzise beurteilen. Wer fünf oder sechs Fragen klar beantworten kann, steht gut da. Wer bei drei oder mehr zögert, hat ein strukturelles Problem – keines, das der Marketingleiter allein lösen kann.

---

Warum dieses Briefing überhaupt gebraucht wird

In inhabergeführten Mittelständlern gilt traditionell ein klares Prinzip: Der Inhaber kennt die Zahlen, den Markt, die Kernkunden. Das Marketing macht das Marketing. Diese Arbeitsteilung hat vierzig Jahre stabil funktioniert. Mit der Integration von KI-Systemen in die Marketing-Prozesse bricht sie an drei Stellen, die selten thematisiert werden, bevor der erste Zwischenfall passiert.

Die erste Bruchstelle ist die Haftung. Wenn ein Sprachmodell im Namen des Unternehmens eine irreführende Produktaussage macht, ist nicht der Marketingleiter juristisch greifbar, sondern die Geschäftsführung. Die zweite ist die Datenfreigabe. Wer entscheidet, welche internen Dokumente in externe KI-Systeme eingespeist werden dürfen? In den meisten Unternehmen niemand explizit. Das Marketing-Team trifft diese Entscheidung implizit jeden Tag, ohne eine dokumentierte Policy im Rücken. Die dritte ist die Markenhoheit. Sprachmodelle lernen über Monate eine bestimmte Darstellung des Unternehmens. Wer diese Darstellung nicht aktiv steuert, überlässt sie dem Zufall der Trainingsdaten.

Eine Bitkom-Erhebung zum deutschen Mittelstand 2025 zeigt, dass zwar achtzig Prozent der Unternehmen KI bereits aktiv einsetzen, aber nur ein Bruchteil eine dokumentierte KI-Policy hat. Die Lücke zwischen Nutzung und Governance ist der kritische Punkt, auf den ein CEO blicken sollte.

Die drei nicht-delegierbaren Entscheidungen

Entscheidung 1: Die KI-Policy des Unternehmens

Was dürfen Mitarbeiter mit KI-Tools tun, was nicht? Welche Freigaben braucht es für welche Art von Inhalt? Wer haftet bei fehlerhaften KI-Ausgaben? Eine solche Policy ist weder ein IT-Dokument noch eine Compliance-Formalie. Sie ist eine Geschäftsführungs-Entscheidung, weil sie den operativen Spielraum des gesamten Unternehmens definiert. Die klassische Delegation „Das macht die Rechtsabteilung” funktioniert nicht, weil die Rechtsabteilung die Marketing-Workflows nicht kennt und nicht wissen kann, welche Regeln praktikabel sind.

Entscheidung 2: Die Datenfreigabe

Welche Daten des Unternehmens dürfen in externe KI-Systeme? Kundenlisten? Interne Preisstrukturen? Strategiepapiere? Patentskizzen? Je nach Tool-Wahl (OpenAI, Anthropic, Google) gelten unterschiedliche Datenverarbeitungsbedingungen. Enterprise-Verträge mit Opt-out-Klausel lösen das Problem für die großen Anbieter, aber nur der CEO kann entscheiden, welche Kategorien von Unternehmensdaten überhaupt in externe Systeme gelangen dürfen – und welche ausschließlich in lokalen oder On-Premise-Systemen bleiben müssen.

Entscheidung 3: Die Markenhoheit

Wie soll das Unternehmen in KI-Antworten dargestellt werden? Welche drei bis fünf Kernaussagen sollen Sprachmodelle mit der Marke verbinden? Welche Begriffe sollen vermieden werden? Diese Entscheidung ist das Äquivalent zum klassischen Markenhandbuch, nur für maschinelle Leser. Ohne sie wird die Markendarstellung in KI-Systemen zum Zufallsergebnis aus Pressemeldungen, Blogposts, Fachartikeln und Konkurrenz-Kontext. Der CEO muss die Kernbotschaften festlegen – niemand sonst im Unternehmen hat das Mandat dafür.

Der 30-Minuten-CEO-KI-Check: Sechs Fragen

Die folgenden sechs Fragen sind so formuliert, dass ein Inhaber-CEO sie allein beantworten können sollte – oder schnell erkennen, wenn sein Team sie nicht beantworten kann. Der Check dauert rund dreißig Minuten und ist gedacht als Selbstdiagnose, nicht als Audit.

Frage 1:

Können Sie in einem Satz sagen, welche KI-Tools Ihr Marketing-Team produktiv nutzt, und kennen Sie den Datenschutz-Status jedes dieser Tools? Wenn Sie mehr als fünf Sekunden nachdenken müssen oder nur „ChatGPT irgendwie” antworten, fehlt der Überblick.

Frage 2:

Haben Sie eine schriftliche KI-Policy, die Mitarbeiter gelesen und bestätigt haben? Wenn die Antwort „wird gerade erarbeitet” ist, liegt das Unternehmen in einer Haftungszone, die der EU AI Act spätestens 2026 sanktionieren kann.

Frage 3:

Wissen Sie, welche Ihrer internen Dokumente schon einmal in externe KI-Systeme kopiert wurden – und mit welcher Freigabe? Die korrekte Antwort lautet selten „alles erlaubt”, häufig „ich weiß es nicht”. Letztere Antwort ist ein Handlungssignal.

Frage 4:

Können Sie die drei Kernaussagen nennen, die Ihr Unternehmen in KI-Antworten konsistent transportieren soll? Wenn die Antwort improvisiert wirkt oder mit „das machen wir im Marketing” endet, existiert diese Steuerung nicht – und die Markendarstellung in Sprachmodellen ist zufallsgetrieben.

Frage 5:

Wissen Sie, wer in Ihrem Haus die formale Verantwortung für KI-Compliance trägt? Wenn niemand benannt ist oder sich drei verschiedene Personen zuständig fühlen, existiert die Verantwortung faktisch nicht.

Frage 6:

Gibt es ein dokumentiertes Verfahren für den Fall, dass eine KI-Ausgabe einen Reputationsschaden verursacht – etwa eine falsche Produktaussage, eine unangemessene Kundenmail oder eine diskriminierende Formulierung? Wenn „wir würden das dann ad hoc regeln” die Antwort ist, fehlt das Incident-Management.

Wer fünf oder sechs dieser Fragen klar beantworten kann, hat ein solides Governance-Setup. Wer bei zwei oder drei zögert, steht am Anfang. Wer vier oder mehr nicht beantworten kann, hat ein strukturelles Problem, das keine einzelne Abteilung allein lösen kann.

Typische Fehler bei inhabergeführten Unternehmen

In der Arbeit mit inhabergeführten Strukturen – ob familiengeführte Fachgroßhändler oder inhabergeführte Versicherungsagenturen – zeigen sich immer wieder die gleichen drei Muster, die jeweils einen anderen Ursprung haben, aber ähnliche Konsequenzen.

Das erste Muster ist die Startup-Analogie. Der Inhaber hat von KI-Use-Cases in Tech-Unternehmen gelesen und möchte das im eigenen Haus replizieren. Die Konsequenz ist ein zu schneller Rollout ohne Governance-Fundament. Das zweite Muster ist das genaue Gegenteil: die Abwehrhaltung. Der Inhaber sieht KI als Risiko, verbietet sie offiziell, und duldet die inoffizielle Nutzung durch einzelne Mitarbeiter. Das erzeugt eine Schatten-IT, die operativ funktioniert, aber rechtlich unhaltbar ist. Das dritte Muster ist die formale Delegation: Der Inhaber beauftragt „das Marketing” mit der KI-Einführung, ohne selbst mitzudenken. Die Folge: unklare Entscheidungen, Haftungslücken, und eine Unternehmens-KI, die irgendwann vor der eigenen Geschäftsführung erklärt werden muss.

Der produktive Mittelweg heißt nicht „KI zur Chefsache machen”. Er heißt: die drei nicht-delegierbaren Entscheidungen selbst treffen, den Rest delegieren, aber die Delegation dokumentieren.

Was EU AI Act und DSGVO konkret fordern – in CEO-Sprache

Der EU AI Act ist seit 1. August 2024 in Kraft. Verpflichtende Kennzeichnungen gelten seit Februar 2025, die vollen Compliance-Anforderungen greifen in Stufen bis 2027. Für Marketing-Anwendungen sind drei Pflichten relevant, die sich ohne juristischen Überbau formulieren lassen.

Pflicht 1: Transparenz

Wenn eine KI Inhalte erzeugt, muss dies für den Nutzer erkennbar sein. Das betrifft Chatbots, automatisch generierte E-Mails an Kunden, KI-erzeugte Bilder in Werbemitteln. Die einfache Regel: Was dem Nutzer als persönliche Kommunikation erscheint, aber maschinell erzeugt wurde, braucht eine Kennzeichnung.

Pflicht 2: Risikobewertung für relevante Systeme

Systeme, die Personen bewerten oder Kaufentscheidungen beeinflussen, gelten als „hochrisiko” und brauchen dokumentierte Risikoprüfungen. Für klassische Marketing-Use-Cases ist das selten relevant, für automatisierte Lead-Scoring-Systeme sehr wohl. Im Zweifel: fragen.

Pflicht 3: DSGVO-Konformität bleibt vorrangig

Die DSGVO ist der bestehende Rahmen und wird durch den AI Act nicht ersetzt, sondern ergänzt. Jede Verarbeitung personenbezogener Daten durch KI-Systeme braucht eine Rechtsgrundlage, eine Auftragsverarbeitungsvereinbarung und einen dokumentierten Zweck. Das gilt für Kundennamen in ChatGPT genauso wie für Gesprächstranskripte in Fireflies.

Strafrahmen bei Verstößen: Bis zu sieben Prozent des globalen Jahresumsatzes laut AI Act, bis zu vier Prozent laut DSGVO. In der Praxis werden solche Maximalstrafen selten verhängt, aber schon ein niedriger einstelliger Prozent-Satz trifft einen mittelständischen Umsatz massiv.

---

FAQ

Reicht eine kurze E-Mail an die Mitarbeiter als KI-Policy?

Nein. Die Policy sollte schriftlich dokumentiert, von Mitarbeitern bestätigt und in regelmäßigen Abständen aktualisiert werden. Eine E-Mail ist ein Anfang, ersetzt aber kein strukturiertes Dokument, das vor Compliance-Prüfungen oder im Schadensfall vorgelegt werden kann.

Brauchen wir einen KI-Beauftragten zusätzlich zum Datenschutzbeauftragten?

In den meisten Fällen kann die Rolle innerhalb bestehender Strukturen integriert werden. Ein TÜV-zertifizierter Datenschutzbeauftragter kann die KI-Governance als Zusatzfunktion übernehmen, wenn er entsprechend geschult wird. Für kleinere Unternehmen ist das oft die effizienteste Lösung.

Wie oft sollte die KI-Policy aktualisiert werden?

Mindestens halbjährlich, plus anlassbezogen bei relevanten Änderungen: neues Tool im Einsatz, neuer Use-Case, regulatorische Änderung. In der Praxis gut bewährt hat sich ein jährlicher Policy-Review als fester Kalenderpunkt.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, grundsätzlich. Der AI Act macht keine pauschale Ausnahme für KMU. Allerdings sind die meisten Marketing-Anwendungen als „begrenztes Risiko” oder „minimales Risiko” eingestuft, was die Pflichten überschaubar macht. Komplett ausnehmen kann man sich nicht.

Wie stelle ich sicher, dass Sprachmodelle die gewünschten Kernaussagen meiner Marke lernen?

Durch konsistente, strukturierte Kommunikation über Website, Fachpresse, LinkedIn-Profile und Wikidata. Die Darstellung in Sprachmodellen folgt der Signallage im Netz. Wer über Monate dieselben drei bis fünf Kernaussagen konsistent streut, wird entsprechend gelernt. Das dauert sechs bis zwölf Monate.

---

Quellen

Europäisches Parlament (2024): Verordnung (EU) 2024/1689 über künstliche Intelligenz (AI Act). Offizielles Amtsblatt der Europäischen Union, 12. Juli 2024.

EU-Kommission (2025): AI Act Implementation Timeline. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Bitkom (2025): KI im deutschen Mittelstand – Studie zum Reifegrad und zur Governance. Berlin.

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (2024): Datenschutzkonformer Einsatz von KI-Systemen in Unternehmen.