Der Mittelstand lässt die KI reden, nicht rechnen — Tim x Jonas

Worum es in dieser Folge geht

Alle paar Wochen nehme ich mit Dr. Tim Wiegels unser Stammformat auf — er als Berater, ich als jemand, der die Entscheidungen im eigenen Haus treffen muss. Diesmal war der Anlass eine Verschiebung: Die Hochrisiko-Einordnung im AI Act kommt später.

Was gilt, gilt trotzdem: Transparenzpflichten, verbotene Praktiken und der Aufbau von KI-Kompetenz. Und seit dem 29. Juli 2026 hat Deutschland eine KI-Aufsicht — die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, die BaFin für den Finanzsektor.

Die ehrliche Antwort auf die Frage, was die Verschiebung bei uns auslöst, lautet: nichts. Wir haben keine Hochrisiko-Themen geplant. Für Tim ist genau das der interessante Teil — weil er bei seinen Mandanten die Projekte, um die es hier geht, fast nie sieht.

Die Storyline

Der Befund: Es passiert zu wenig, nicht zu viel

Bei uns läuft die unspektakuläre Variante: Listen machen. Wo wird überhaupt KI eingesetzt, welche Dienstleister aktivieren im Hintergrund eine Funktion, wollen wir die nutzen, können wir sie abschalten. Daraus folgt für mich eine sehr praktische Aufgabe — pro KI-System eine Zuordnung, wer es verantwortet.

Das klingt banal, ist es aber nicht. Data ist in vielen Häusern zentral gewachsen. KI wächst dezentral, weil es keine Hürde gibt. Tim beschreibt das als Data Mesh, das sich von selbst baut: Die Teile flocken überall auf, weil jedes Team es benutzt.

Gleichzeitig versuchen gerade viele Dienstleister, die KI-Nutzung über Anlagen zu regeln — mein Eindruck ist, sie wollen damit vor allem die Haftung loswerden. Tims Punkt dagegen ist nüchterner: Es muss beschrieben werden, welche Methode wo eingesetzt wird. Nicht Modell und Plattform bis ins Detail, denn genau die sollen austauschbar bleiben.

Dass wir beide an einer Stelle selbst ins Straucheln kommen — ob eine klassische Recommendation-Engine im Shop überhaupt unter die Kennzeichnungspflicht fällt — ist vielleicht die ehrlichste Passage der Folge.

Die Zahl der Folge: 14 gegen 3

Eine KfW-Research-Studie vom Juli 2026 zählt rund 20 Prozent der Mittelständler, die mindestens eine KI-Technologie nutzen — gegenüber 4 Prozent im Zeitraum davor. Aufgeschlüsselt wird es interessant: 14 Prozent für die Erzeugung natürlicher Sprache, 3 Prozent für Datenanalyse.

Für mich ist das der Beleg, dass Gen AI eingeführt wurde, aber keine Datenprodukte gebaut wurden. Das ist kein KI-Problem. Das ist ein Datenreife-Problem.

Tim legt den Beleg dazu: Anthropic hat die eigenen Agenten auf rohe Daten losgelassen — 21 Prozent richtige Antworten. Dieselben Daten annotiert, aggregiert, mit definierten KPIs: 95 bis 99 Prozent.

Governance verkaufen, ohne Governance zu sagen

Genau hier kommt der Teil, den ich mir mitgeschrieben habe. Tim baut bei seinen Kunden gerade die Data Warehouses so um, dass wirklich jede KPI definiert ist und ein Governance-System dahintersteht. Die Begründung, mit der er die Fachbereiche mitnimmt, ist nicht Compliance.

Das funktioniert, weil es stimmt: Ohne die Beschreibung der Fachbereiche, was sie eigentlich berechnen wollen, kann kein Agent sauber arbeiten. Und es funktioniert, weil es zum ersten Mal einen Grund liefert, den die Fachseite selbst haben will.

Dass wir damit wieder beim Engineering landen, hat fast schon Running-Gag-Qualität. Vor sechs Jahren, als ich mit dem Podcast angefangen habe, war der Witz: Firmen holen sich Data Scientists statt Data Engineers. Wir stehen an derselben Stelle. Tims These für die nächsten Jahre ist entsprechend deutlich — die relevante Rolle ist die Mischung aus Analyst, Engineer und Product Manager, die versteht, was das Business braucht, und es selbst sauber in den Daten aufbereiten kann.

Die unsexy Hausaufgaben

Die dritte News der Folge ist der Cost-of-a-Data-Breach-Report: im Schnitt 4,25 Millionen Euro pro Vorfall gegenüber 3,8 Millionen im Vorjahr, gut 160 Tage Gesamtdauer — davon 121 Tage allein bis zur Entdeckung. Über 25 Prozent der bösartigen Vorfälle sind inzwischen KI-gestützt, ein Plus von 56 Prozent gegenüber dem Vorjahr. Nur 37 Prozent verschlüsseln ihre sensiblen Daten.

Tims Einordnung: Anomalie-Erkennung über alle Event-Pipelines ist harter Engineering-Aufwand, und die Tools dafür sind bescheiden. Mein Umgang damit ist pragmatisch — ich sage meinen Mitarbeiterinnen und Mitarbeitern 80 Prozent Projektarbeit, 20 Prozent Ad-hoc, und in diesen 80 Prozent müssen ab und zu Hausmeister-Aufgaben stecken: Verschlüsselung, Monitoring, die Dinge, die keiner machen will.

Die Rolle, die fehlt — und die Wette

Der Satz, der für mich am längsten nachgehallt hat, kam von Tim am Ende:

Jemand muss dauerhaft wissen, welche Tools und welche KI-Features im Haus laufen — und gleichzeitig verfolgen, was die Regulatorik daraus macht. Tim hält das für einen sehr speziellen Menschen. Er selbst, sagt er, wollte den Job wahrscheinlich nicht machen.

Bei uns heißt das Prinzip übrigens nicht Human in the Loop, sondern Human in the Lead. Der Unterschied ist klein im Wortlaut und groß in der Praxis.

Und weil wir das inzwischen zur Tradition gemacht haben, steht am Ende eine Wette. Ich sage: Die 3 Prozent Mittelständler mit KI für Datenanalyse stehen bis Mitte 2027 nicht höher als 8. Tim hält dagegen — er erwartet einen Sprung, sobald die großen Anbieter Tools liefern, mit denen sich der semantische Layer einfach bauen lässt. Wir dokumentieren sie ab jetzt, mal sehen, wer recht behält.

Warum mich das besonders umtreibt

Mich beschäftigt an dieser Folge, dass wir zwei Leute sind, die sich beruflich mit nichts anderem beschäftigen — und trotzdem an einer simplen Abgrenzungsfrage hängen bleiben. Wenn wir das nicht sauber auf der Matte haben, wie soll es dann jemand haben, der KI nebenbei mitverantwortet?

Deshalb wünsche ich mir sehr konkret mehr Austausch zwischen den Betreibern, also den Menschen, die im eigenen Unternehmen entscheiden müssen. Nicht noch eine Folienschlacht, sondern Leute, die dasselbe Problem gerade lösen. Tim sei mir nicht böse, aber die Beraterrunde ist dafür nicht der richtige Raum.

Wenn ihr in eurem Unternehmen gerade genau diese Liste baut — welche KI-Features laufen bei uns, wer verantwortet sie —, dann schreibt mir. Ich würde meine Herangehensweise gerne an eurer gegenchecken.