Französische Unternehmen sehen sich seit 2025 einem regulatorischen und technologischen Paradoxon gegenüber. Auf der einen Seite verpflichtet die europäische Verordnung über künstliche Intelligenz Organisationen, die KI-Tools nutzen, zu neuen Verpflichtungen. Auf der anderen Seite verstärkt die NIS2-Richtlinie die Anforderungen an die Cybersicherheit für eine wachsende Anzahl von Strukturen, einschließlich KMU, die sich bisher nicht betroffen fühlten. Zwischen diesen beiden Rahmenbedingungen werden IT-Lösungen, die die Leistung verbessern sollen, auch zu Compliance-Themen.
Regulatorische Verpflichtungen im Zusammenhang mit KI in Unternehmen seit 2025
Seit dem 2. Februar 2025 verpflichtet Artikel 4 der Verordnung (EU) 2024/1689 Organisationen, die KI-Systeme nutzen, dazu, ein ausreichendes Kompetenzniveau ihres Personals zu gewährleisten. Diese Verpflichtung betrifft nicht nur Softwareanbieter. Sie betrifft auch KMU, die Tools wie ChatGPT, Copilot oder Gemini in ihren täglichen Prozessen einsetzen.
Konkret bedeutet dies, dass die erlaubten Nutzungen formalisiert, die damit verbundenen Risiken identifiziert und die Schulungen, die den Teams angeboten werden, dokumentiert werden müssen. Ein Unternehmen, das einen Chatbot für den Kundenservice oder die Erstellung interner Dokumente verwendet, fällt unter den Anwendungsbereich des Textes.
Die zweite Welle von Verpflichtungen trat am 2. August 2026 mit dem Inkrafttreten von Artikel 50 derselben Verordnung in Kraft. Unternehmen müssen nun die Benutzer informieren, wenn sie mit einem Chatbot interagieren und bestimmte von der KI generierte oder manipulierte Inhalte kennzeichnen. Für ein KMU, das einen Chatbot auf seiner Website integriert hat, ist diese Transparenz nicht mehr optional. Spezialisierte Dienstleister wie skynet-system.fr unterstützen die Strukturen, die mit diesen technischen und organisatorischen Anforderungen konfrontiert sind.
Shadow IA und IT-Management: ein blinder Fleck für die IT-Sicherheit
Das Phänomen der Shadow IA bezeichnet die Nutzung von KI-Tools durch Mitarbeiter ohne Genehmigung oder Aufsicht der Geschäftsführung oder der IT-Abteilung. Ein Mitarbeiter, der Kundendaten in ein kostenloses Textgenerierungstool eingibt, schafft ein Risiko für Datenlecks, ohne dass das Unternehmen sich dessen bewusst ist.
Dieses Problem lässt sich nicht durch ein einfaches Verbot lösen. Die Rückmeldungen aus der Praxis sind in diesem Punkt unterschiedlich: Einige Organisationen stellen fest, dass restriktive Richtlinien die Nutzung noch weiter in den Schatten treiben. Die Herausforderung besteht vielmehr darin, einen Rahmen zu schaffen, validierte Alternativen anzubieten und Schulungen durchzuführen.
Das IT-Management spielt hier eine strukturierende Rolle. Ein Dienstleister, der den IT-Bereich und die Netzwerkzugänge verwaltet, kann anormale Datenströme erkennen, Verbindungen zu nicht autorisierten Diensten blockieren und konforme Cloud-Lösungen anbieten. Die Frage ist nicht mehr, ob das Unternehmen KI nutzt, sondern ob es weiß, welche KI-Tools intern tatsächlich verwendet werden.
Kriterien zur Bewertung eines IT-Management-Dienstleisters im Hinblick auf diese Risiken
- Fähigkeit, die von den Mitarbeitern verwendeten SaaS- und KI-Tools zu inventarisieren, einschließlich derjenigen, die nicht der IT-Abteilung gemeldet wurden
- Einrichtung von Netzwerkfilterrichtlinien, die an die neuen Nutzungen angepasst sind (selektive Blockierung anstelle eines globalen Verbots)
- Unterstützung bei der Einhaltung regulatorischer Anforderungen, insbesondere hinsichtlich der Transparenzpflichten aus dem AI Act
- Überwachung der ausgehenden Datenströme, um Transfers zu nicht vertraglich vereinbarten Drittanbietern zu identifizieren
NIS2-Richtlinie und Cybersicherheit: KMU betroffen, ohne es zu wissen
Die NIS2-Richtlinie erweitert erheblich den Kreis der Unternehmen, die in Europa Cybersicherheitsverpflichtungen unterliegen. Während NIS1 hauptsächlich Betreiber von kritischer Infrastruktur betraf, erweitert NIS2 diese Verpflichtungen auf viele mittelständische Unternehmen. KMU aus bislang nicht betroffenen Branchen entdecken, dass sie nun Sicherheitsrichtlinien formalisiert, Vorfälle melden und angemessene technische Maßnahmen umsetzen müssen.
In Frankreich erfolgt die Umsetzung der Richtlinie durch das Gesetz Résilience. Die verfügbaren Daten erlauben noch keine endgültige Schlussfolgerung über den Zeitrahmen der Umsetzung, aber Unternehmen, die auf die Veröffentlichung des nationalen Textes warten, um zu handeln, geraten in Rückstand. Die geforderten technischen Maßnahmen (Zugangsmanagement, Verschlüsselung, Backup, Notfallplan) benötigen mehrere Monate für die Umsetzung.
Was NIS2 für die Auswahl von Cloud-Lösungen ändert
Cloud-Computing bleibt ein Leistungshebel, aber NIS2 zwingt Unternehmen dazu, ihre Auswahlkriterien zu überdenken. Die Datenlokalisierung, die Zertifizierungen des Anbieters und die vertraglichen Klauseln zur Vorfallmeldung werden zu Entscheidungselementen, die ebenso wichtig sind wie Preis oder Funktionen.
Ein Unternehmen, das seine Geschäftsverwaltung auf ein Cloud-Tool migriert, muss sicherstellen, dass sein Anbieter die Anforderungen der Richtlinie erfüllt. Die Wahl eines zertifizierten SecNumCloud-Hosters oder eines gleichwertigen Anbieters ist kein Luxus mehr, der nur großen Unternehmen vorbehalten ist. Es ist ein Compliance-Kriterium für jede Struktur, die in den Anwendungsbereich von NIS2 fällt.
Nationaler KI-Plan und verfügbare Hilfen für KMU
Die Hilfen nehmen verschiedene Formen an:
- Subventionierte KI-Diagnosen zur Identifizierung relevanter Anwendungsfälle im Unternehmen
- Technische Unterstützung durch referenzierte Dienstleister für die Implementierung geeigneter Lösungen
- Schulungen für Führungskräfte und operative Teams zu den Grundlagen der KI und den regulatorischen Verpflichtungen
Das Ziel dieser Maßnahmen ist es, die Kluft zwischen großen Unternehmen, die über eigene technische Abteilungen verfügen, und KMU zu verringern, die oft zwischen digitaler Leistung und Budgetbeschränkungen abwägen müssen. Die Kombination von öffentlicher Unterstützung und spezialisierter IT-Dienstleistung ermöglicht es, Fortschritte zu erzielen, ohne teures Fachwissen intern zu integrieren.
Die Herausforderung bleibt die Übersichtlichkeit des Angebots. Zwischen regionalen Hilfen, nationalen Programmen und europäischen Initiativen kann ein KMU ebenso viel Zeit mit der Suche nach dem richtigen Ansprechpartner verbringen wie mit der Implementierung der Lösung selbst. Die Industrie- und Handelskammern spielen eine wichtige Filterfunktion, aber der Prozess bleibt fragmentiert.
Die Einführung leistungsfähiger IT-Lösungen im Jahr 2026 beschränkt sich nicht mehr auf den Vergleich von Funktionen oder Preisen. Die regulatorische Compliance bestimmt nun die Auswahl der Tools, sei es im Bereich KI, Cloud oder Cybersicherheit. Unternehmen, die diese Dimension bereits in der Auswahlphase berücksichtigen, vermeiden deutlich höhere Compliance-Kosten im Nachhinein.
