Beratung

Beratung für den Mittelstand

Erst die Standortbestimmung, dann die Richtung: KI für die Zukunft ausrichten.

KI-Assessment, EU AI Act, NIS2, DSGVO und ISO für den Mittelstand, dazu Kundenservice, Operations und Outsourcing

In vielen mittelständischen Unternehmen ist KI längst im Alltag angekommen, oft schneller als die Regeln und Details dafür, und das Thema landet meist bei den wenigen, die ohnehin schon viel tragen. Mein Ansatz: Ich setze mich neben euch. Wir klären gemeinsam, wo ihr steht, gehen offen durch die Anforderungen und leiten daraus ab, was zu tun ist. Am Ende steht eine Richtung, die zu euren Teams, euren Prozessen und den deutschen und europäischen Regeln passt, für die KI genauso wie für die Menschen dahinter.

Kennenlernen vereinbaren Zu den Themen

kostenfrei und unverbindlich

Björn-Olaf Lange im Sakko, lächelnd an eine Ziegelwand gelehnt

Woran du merkst, dass es Zeit ist

Meist beginnt es mit einer ganz konkreten Situation im Alltag, irgendwo zwischen zwei Terminen. Vielleicht erkennst du dich in einer davon wieder.

Bei KI und Regeln

  • Eine KI wie zum Beispiel Microsoft Copilot ist freigeschaltet, und niemand hat bisher gesagt, welche Daten hineindürfen und welche draußen bleiben.
  • Ein Kunde fragt im Lieferantenfragebogen nach eurem Umgang mit KI oder nach einem Zertifikat, und die Antwort soll bis Freitag raus.
  • IT, Datenschutz und Informationssicherheit hängen an ein, zwei Leuten, und jede neue Frage landet wieder bei ihnen.
  • Ihr fragt euch, ob NIS2 euch betrifft und was die Geschäftsleitung dann tun muss.
  • Das Budget für 2027 steht an, und KI sollte darin mehr sein als eine Zeile für Lizenzen.

Im Kundenservice oder dem BPO

  • Der Vertrag mit eurem Dienstleister läuft aus, und ihr wollt neu entscheiden: verlängern, neu ausschreiben oder zurückholen.
  • Die Kosten pro Kontakt steigen schneller als die Zufriedenheit eurer Kunden.
  • Eine Ausschreibung steht an, und am Ende sollen die Angebote wirklich vergleichbar sein, statt dass jeder Anbieter eine andere Frage beantwortet.

Der Standort

Sechs Themen, einmal in Ruhe sortiert

Sie kommen oft gleichzeitig an und greifen ineinander. Zu jedem steht hier, was gilt, und was das für euch im Alltag heißt.

EU AI Act

Was gilt

Der AI Act sortiert KI nach Risikostufen: Je mehr für Menschen auf dem Spiel steht, desto mehr Sorgfalt verlangt er. Für euch wirkt das bereits, wenn ihr KI im Betrieb nutzt, denn seit Februar 2025 ist es eure Aufgabe, die Menschen in euren Teams im Umgang damit zu stärken. Seit August 2026 kommen Transparenzpflichten dazu, etwa bei Chatbots und KI-erzeugten Inhalten, damit jeder weiß, womit er es gerade zu tun hat. Besonders genau hinzuschauen lohnt sich bei KI-Systemen und Prozessen, die über Menschen mitentscheiden: Systeme, die Bewerber auswählen oder Leistung bewerten sollen, zählen zum Hochrisiko-Bereich, dessen Pflichten ab Dezember 2027 greifen.

Was das für euch heißt

Für die meisten Firmen heißt das zunächst: wissen, welche KI im Einsatz ist, die Leute befähigen und festhalten, was ihr dafür tut. Wer ein allgemeines Werkzeug gezielt im Personalbereich einsetzt, klärt das am besten vor dem Start.

Dazu im Blog: EU AI Act, 2. August 2026: Was jetzt gilt

DSGVO und BDSG

Was gilt

Sobald KI personenbezogene Daten verarbeitet, gelten die bekannten Grundsätze: Rechtsgrundlage, Zweckbindung und Transparenz. Bei KI im Personalbereich geht es fast immer auch um Beschäftigtendaten. Einen Datenschutzbeauftragten braucht ihr in der Regel, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).

Was das für euch heißt

Der Engpass vieler KI-Projekte ist die Frage, welche Daten hineindürfen. Holt ihr euren Datenschutz früh mit dazu, statt ihn am Ende um eine Unterschrift zu bitten, läuft die Einführung deutlich ruhiger.

Dazu im Blog: Die Aufzeichnung ist nicht das Problem. Was du danach damit machst, schon.

Betriebsrat und Mitbestimmung

Was gilt

Gibt es bei euch einen Betriebsrat, unterrichtet ihr ihn rechtzeitig über geplante Arbeitsabläufe, ausdrücklich auch über den Einsatz von KI, und beratet euch so früh mit ihm, dass seine Vorschläge und Bedenken noch in die Planung einfließen können (§ 90 BetrVG). Bei technischen Einrichtungen, mit denen sich Verhalten oder Leistung überwachen lassen, bestimmt er mit (§ 87 Abs. 1 Nr. 6 BetrVG), und das trifft auf viele KI-Werkzeuge zu. Muss er KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 BetrVG). Ab Dezember 2027 verlangt auch der AI Act, vor dem Einsatz von Hochrisiko-KI am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Beschäftigten zu informieren.

Was das für euch heißt

Holt euren Betriebsrat von Anfang an mit ins Boot, am besten schon bei der Auswahl der Werkzeuge. Ich spreche ihn mit an, beziehe ihn in die Standortbestimmung ein und lege offen, was ein System kann und was mit den Daten passiert. So baue ich Brücken, und aus Mitbestimmung wird ein gemeinsames Projekt, in dem Bedenken früh auf den Tisch kommen, solange sich noch alles gestalten lässt.

NIS2 und BSI-Gesetz

Was gilt

Seit Dezember 2025 setzt das BSI-Gesetz die europäische NIS2-Richtlinie in Deutschland um. Betroffen sind Unternehmen aus den dort genannten Sektoren, in vielen Fällen ab 50 Mitarbeitenden oder jeweils mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme. Ob das auf euch zutrifft, prüft ihr selbst. Wer betroffen ist, muss sich innerhalb von drei Monaten beim BSI registrieren und Maßnahmen zum Risikomanagement umsetzen, die Geschäftsleitung überwacht die Umsetzung und nimmt regelmäßig an Schulungen teil.

Was das für euch heißt

Am Anfang steht die Selbstprüfung, dafür bietet das BSI eine Betroffenheitsprüfung an. Wer schon seit Dezember 2025 darunterfällt und noch nicht registriert ist, holt das am besten jetzt nach. Mit ISO 27001 habt ihr für das Risikomanagement schon eine gute Grundlage.

ISO 27001 und ISO 42001

Was gilt

Beide Normen beschreiben Managementsysteme: ISO 27001 für Informationssicherheit, ISO 42001 speziell für KI. Sie sind freiwillig und für Kunden und Partner ein sichtbarer Nachweis, dass ihr Informationssicherheit und KI strukturiert steuert.

Was das für euch heißt

Wer ISO 27001 oder eine andere Norm schon lebt, baut für KI auf dem Vorhandenen auf und erweitert es. Das Ziel ist ein sicherer und transparenter Prozess, der auch nach dem Audit weiterlebt.

Dazu im Blog: ISO-Zertifizierung und KI: Aus dem Audit-Sprint wird ein Qualitätsprozess

Microsoft Copilot und KI-Budget

Was gilt

Microsoft 365 Copilot heißt inzwischen Microsoft Copilot, manche Lizenzen und Funktionen tragen übergangsweise noch den alten Namen. Copilot nutzt alles, was eine Person in Microsoft 365 mindestens lesen darf, und nur das. Deshalb werden gewachsene Berechtigungen in SharePoint und Teams plötzlich wichtig, worauf Microsoft selbst ausdrücklich hinweist. Neben der festen Lizenz rechnet Microsoft immer mehr Leistungen nach Verbrauch in Copilot Credits ab, etwa bei Agenten, die von selbst loslaufen.

Was das für euch heißt

Vor dem breiten Einsatz lohnt ein Blick auf Berechtigungen, Datenhaltung und die Verträge mit den KI-Anbietern. Für das Budget 2027 heißt das: neben den Lizenzen auch die Arbeit planen, die KI erledigt.

Dazu im Blog: Wie budgetieren wir Copilot und KI-Agenten 2027?

Meine Übersicht hilft beim Einordnen und schafft Klarheit in den Themen. Daneben wirken weitere Regelwerke, etwa der EU Data Act bei vernetzten Produkten und Cloud-Verträgen. Ich ordne sie in der Standortbestimmung mit ein, und wo sie greifen könnten, kommen sie auf die Liste der zu prüfenden Regelwerke. Die rechtliche Bewertung im Einzelfall braucht anwaltliche Unterstützung und Freigabe.

Die Richtung

Drei Bausteine für KI in eurem Alltag

Jeder Baustein lässt sich einzeln beauftragen. Ich empfehle fast immer, mit der Standortbestimmung zu beginnen, weil sie zeigt, wo sich euer Aufwand wirklich lohnt.

01

Standortbestimmung

Wir sehen uns gemeinsam an, welche KI bei euch tatsächlich läuft, gerade auch die, die nie offiziell eingeführt wurde. Danach klären wir, wo sie Daten berührt, welche Risikostufe der AI Act dafür vorsieht, welche weiteren Regelwerke mitspielen, was sie euch kostet und welche Anwendungsfälle ihr Geld wert sind. Am Ende steht eine ehrliche Landkarte, auch dort, wo sie unbequem ist: was gut läuft, was dokumentiert gehört und was Vorrang hat.

02

Managementsystem, das trägt

Rollen, Richtlinien, Dokumentation und Audit-Vorbereitung entlang ISO 27001 und ISO 42001, und wo NIS2 greift, das Risikomanagement, das die Geschäftsleitung umsetzt und überwacht. Die Schreibarbeit übernehme ich, eure Leute bringen ihr Wissen über den Betrieb ein. Ich habe viele Zertifizierungen selbst durchlaufen und kenne den Unterschied zwischen einem „Qualitätshandbuch“, das das Audit übersteht, und einem Prozess, der danach nachhaltig weiterlebt.

03

Schulung und Befähigung

Seit Februar 2025 gehört es zu euren Aufgaben, die KI-Kompetenz der Teams zu unterstützen. Gemeint sind die Menschen, die täglich mit KI arbeiten. Ich biete individuelle Schulungen für Belegschaft und Führungskreis, dokumentiert mit Agenda, Unterlagen und Teilnahmebestätigung, und unterstütze mit klaren Leitplanken für den Alltag, damit die Regeln im Betrieb ankommen.

Schulungen

Der schnellste Hebel ist fast immer die Schulung, nicht das Dokument. Seit Februar 2025 verlangt der EU AI Act, dass Unternehmen Maßnahmen ergreifen, um die KI-Kompetenz der Mitarbeiter zu unterstützen, und genau da hakt es oft, wenn ein Werkzeug einfach freigeschaltet wurde. Ich halte die Schulungen selbst, vor Ort oder remote, in der Sprache eures Alltags statt in Paragrafen, auf Deutsch oder Englisch. Das geht auch als Einzelbaustein, ohne gleich ein komplettes Managementsystem mitzubestellen.

Grundlagen für alle

Was die Werkzeuge können, wo sie zuverlässig danebenliegen und welche Daten nie hineingehören. Die Grundlage für die KI-Kompetenz nach dem EU AI Act, mit Beispielen aus eurem eigenen Arbeitsalltag, sodass alle danach mit gutem Gefühl loslegen.

Copilot und Microsoft 365

Für Teams, in denen Copilot schon läuft: Was darf hinein, was bleibt draußen, wie erkenne ich vertrauliche Inhalte, und wie sieht gute Nutzung konkret aus.

Führungskreis und Geschäftsführung

Risikostufen, Haftung, Verantwortlichkeiten und Entscheidungswege, bei Bedarf mit Blick auf NIS2 und die Mitbestimmung. Kompakt und offen, damit ihr wisst, was ihr freigebt, wenn ihr etwas freigebt.

Multiplikatoren im Betrieb

Damit das Wissen bei euch bleibt, wenn ich wieder gehe: Ich bringe ein paar eurer Leute so weit, dass sie selbst schulen und Fragen beantworten können. Mein Ziel ist, dass ihr es danach auch allein weitermachen könnt. Ich komme aber auch gerne jederzeit wieder.

Kundenservice und Outsourcing

Dieselbe Logik im Service: erst die Standortbestimmung, dann die Richtung

Bevor KI mein Schwerpunkt wurde, habe ich fast zwanzig Jahre Service- und Operations-Organisationen geführt, mit Menschen, Kennzahlen und all den Tagen, an denen alles gleichzeitig passiert. Outsourcing kenne ich von allen drei Seiten des Tisches: aus dem Unternehmen, das Leistungen rausgibt, als Berater, der Ausschreibung und Auswahl begleitet, und von der Seite des Dienstleisters, der die Leistung am Ende erbringt. Deshalb weiß ich, an welchen Stellen es zwischen den Seiten gerne mal knirscht.

01

Standortbestimmung und Strategie für den Service

Wo steht euer Service heute, wohin soll er sich entwickeln, und woran merkt ihr, dass er dort ankommt? Das erarbeiten wir gemeinsam mit euren Teams, denn sie wissen meist am besten, wo es hakt. Daraus entstehen Ziele, die vom Führungskreis bis ins Team kaskadieren, und eine Strategie, die im Alltag trägt.

Dazu im Blog: Serie Strategieentwicklung im Service

02

Outsourcing: selbst machen, rausgeben oder beides

Am Anfang steht euer eigener Grund, erst danach die Liste der Dienstleister. Ich helfe euch, Outsourcing richtig zu platzieren, die Ausschreibung aufzubauen, Angebote vergleichbar zu machen und Auswahl und Vergabe zu begleiten, mit einer Leistungsbeschreibung und Kennzahlen, die mehr messen als die Annahmequote. Manchmal ist die ehrliche Antwort auch, es selbst zu machen, und dann sage ich euch genau das.

Dazu im Blog: Serie Outsourcing im Kundenservice, zur Ausschreibung vor allem Teil 2: Wonach du wirklich fragen solltest

03

KI im Kundenservice

Hier treffen sich beide Felder. Bei ThinkOwl habe ich die Einführung von KI bei Enterprise-Kunden als Senior Consultant vorbereitet, geplant, intern technisch getestet, begleitet und verantwortet, vor Ort gemeinsam mit unseren technischen Consultants. Das Framework senkte die Bearbeitungszeit um durchschnittlich 22 Prozent (ThinkOwl, eigene Projektzahlen). Mein Grundsatz dabei: Automatisierung dort, wo sie hilft, Menschen dort, wo sie den Unterschied machen, und die Regeln von Anfang an mitgedacht.

Dazu im Blog: Automatisierung vs. Augmentation: Was KI wirklich leisten sollte

Leistungsbeschreibung, Kennzahlen und Service Levels erarbeite ich mit euch. Ich zeige auch auf, wie der Vertrag operativ für den Dienstleister funktioniert, und bereite die fachlichen und operativen Punkte für die Vertragsprüfung detailliert vor. Die rechtliche Prüfung und Freigabe übernimmt eure Kanzlei.

So arbeiten wir zusammen

  1. Kennenlernen

    Ein Gespräch, kostenfrei und unverbindlich, gern bei euch vor Ort. Ihr erzählt, ich höre zu und frage nach: wo es drückt, wer mit am Tisch sitzen sollte, bei KI auch euer Betriebsrat, sofern es einen gibt, und was ihr erreichen wollt.

  2. Standortbestimmung

    Ich schaue mir an, was bei euch heute läuft, bei KI, Daten, Prozessen oder im Service, und spreche dafür mit den Menschen, die die Arbeit machen, mit eurem Betriebsrat, wo es einen gibt, und gerade auch mit denen, die Bedenken haben, denn sie sehen Risiken oft als Erste. Das Ergebnis passt auf wenige Seiten und ist so klar, dass auch die Geschäftsführung schnell sieht, wo ihr steht.

  3. Fahrplan

    Aus der Landkarte wird ein Fahrplan mit Prioritäten, Zuständigkeiten und realistischen Zeiten, abgestimmt auf das, was euer Team neben dem Tagesgeschäft leisten kann.

  4. Umsetzung und Schulung

    Wir setzen gemeinsam um: Richtlinien, Rollen, Prozesse und die Schulungen, mit denen die Regeln im Alltag ankommen. Ich bleibe an eurer Seite, bis es läuft, und euer Team behält den Kopf frei fürs Tagesgeschäft.

  5. Nachhalten

    Nach einigen Wochen schauen wir gemeinsam drauf, was trägt und wo wir nachjustieren. Dabei frage ich auch dort nach, wo es unbequem wird, denn das Ergebnis soll dauerhaft bei euch bleiben.

Warum ich

Ich komme aus dem Betrieb. Fast zwanzig Jahre habe ich Service- und Operations-Organisationen geführt, KI dort eingeführt, wo sie im Alltag arbeiten musste, und Audits und Zertifizierungen auf der Seite des Unternehmens erlebt, von ISO 22000 über ISO 13485 bis zu SOX. Zwischen der Kanzlei, die den Rechtstext kennt, und dem Anbieter, der das Werkzeug liefert, sitze ich auf eurer Seite, dort, wo Betrieb und Audit zusammenkommen. Die Haltung dahinter hat einen Namen, über den ich ein ganzes Buch geschrieben habe: Das Caretaker-Gen. Für euch heißt das: Ich höre zu, übernehme Verantwortung und sage klar, was ich sehe, auch wenn es unbequem ist, weil mir an euch und eurem Ergebnis liegt.

„Die Verantwortung bleibt bei euch, die Last tragen wir gemeinsam.“

Was ich übernehme

Ich übernehme Struktur, Prozesse, Rollen und Befähigung, also das, was ihr braucht, um Anforderungen im Alltag erfüllen zu können. Die rechtliche Würdigung im Einzelfall gehört in anwaltliche Hände, und wenn eine Frage dorthin gehört, sage ich euch das offen.

Dazu habe ich geschrieben

Lieber zeigen als behaupten: In diesen Beiträgen kannst du nachlesen, wie ich denke und an Themen herangehe, schon bevor wir uns kennenlernen.

Zum Mitnehmen: Das KI-Budgetmodell 2027

Ein Excel-Modell mit Manual für Copilot und KI-Agenten, mit Lizenzen, Verbrauch, Betrieb, Einführung und dem Nutzen je Anwendungsfall. Kostenlos, ohne Registrierung, unter CC BY 4.0.

Zum Artikel mit Download Manual als PDF

KI und Regeln

Kundenservice und Outsourcing

Alle Artikel im Blog

Häufige Fragen

Brauchen wir eine KI-Schulung?

Ehrlich gesagt schreibt das Gesetz keine Schulung vor. Es verlangt aber seit Februar 2025, dass Unternehmen, die KI einsetzen, Maßnahmen für die KI-Kompetenz ihrer Leute ergreifen, ein Zertifikat ist dafür nicht nötig. Eine Schulung ist meist der schnellste und greifbarste Weg, am besten zugeschnitten auf die Werkzeuge, die ihr tatsächlich nutzt, und festgehalten mit Agenda, Unterlagen und Teilnehmerliste.

Gilt der AI Act auch für uns?

Wahrscheinlich ja. Sobald ihr ein KI-System beruflich einsetzt, seid ihr in der Sprache des Gesetzes Betreiber. Damit gelten für euch zumindest die Regeln zur KI-Kompetenz und je nach Einsatz die Transparenzpflichten. Welche Pflichten darüber hinaus greifen, hängt von der Risikostufe eurer Anwendungen ab, und genau das klären wir gemeinsam in der Standortbestimmung.

Betrifft uns NIS2?

Das hängt von eurer Branche und eurer Größe ab, und prüfen müsst ihr das selbst. Das BSI-Gesetz nennt die Sektoren in zwei Anlagen, und für viele Unternehmen beginnt die Pflicht ab 50 Mitarbeitenden oder jeweils mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme. Ein guter erster Schritt ist die Betroffenheitsprüfung des BSI, denn wer betroffen ist, muss sich innerhalb von drei Monaten dort registrieren. Die verbindliche Einordnung im Einzelfall gehört in anwaltliche Hände, Struktur und Umsetzung danach begleite ich.

Müssen wir bei KI den Betriebsrat einbeziehen?

Wenn ihr einen habt, ja, und zwar früh. Über geplante Arbeitsabläufe mit KI unterrichtet ihr ihn rechtzeitig und beratet euch so mit ihm, dass seine Bedenken noch in die Planung einfließen können (§ 90 BetrVG). Lässt sich mit einem System Verhalten oder Leistung überwachen, bestimmt er mit, und das betrifft viele KI-Werkzeuge. Ich beziehe den Betriebsrat von Anfang an mit ein und sorge für Transparenz, denn ein gemeinsamer Start ist meist schneller als eine spätere Einigung. Die rechtliche Bewertung im Einzelfall gehört in anwaltliche Hände.

Sollen wir unseren Kundenservice auslagern?

Das hängt an eurem Grund. Sprachen, Lastspitzen, Erreichbarkeit oder Headcount können gute Gründe sein, und wer seinen Grund kennt, entscheidet über mehr als den Preis. Oft ist die tragfähigste Antwort am Ende eine Mischung aus eigenen Leuten und einem Partner.

Kontakt

Der erste Schritt ist ein Gespräch.

Erzähl mir kurz, wo es bei euch gerade drückt, ob bei KI, bei den Regeln oder im Service. Ich antworte dir persönlich, und das Kennenlernen ist kostenfrei und unverbindlich, gern auch bei euch vor Ort.

Nachricht schreiben

Oder direkt per E-Mail kontakt@langeatn.de

Offen gesagt: Ich baue diese Tätigkeit gerade auf, nach fast zwanzig Jahren in Festanstellung. Was dahintersteht, ist allerdings nichts Neues, sondern das, worüber ich seit anderthalb Jahren öffentlich schreibe und was ich davor in Betrieben verantwortet habe. Wenn dich das Thema umtreibt, sprich mich einfach an, ein erstes Gespräch kostet nichts.