Hirnworx KI-Beratung: Use-Case-Workshop und Roadmap für den Mittelstand — DSGVO-konform, mit erhobenen Ausgangswerten statt Ersparnis-Versprechen, Umsetzung optional über KI-Automatisierung (n8n, LLM, OCR).
KI Beratung für den Mittelstand
Welche Prozesse lohnen sich wirklich — und welche nicht. Strategie, Use-Case-Map und Roadmap, bevor Sie in Tools und Umsetzung investieren.
Stand: September 2026 · Verantwortlich: David De Matteo, Hirnworx Langenzenn
Viele Unternehmen starten mit einem ChatGPT-Account und enden mit Fragmenten: ein Bot hier, ein Excel-Makro dort, drei Tool-Abos in der Kreditkartenabrechnung und keine klare Priorität. KI-Beratung bei Hirnworx klärt zuerst, wo Automatisierung Zeit und Fehlerkosten spart — und wo sie sich nicht rechnet. Das zweite Ergebnis ist oft das wertvollere: eine begründete Liste dessen, was Sie nicht anfassen sollten.
Wir kommen aus der Umsetzung: n8n-Workflows, LLM-Integration, Dokumenten-KI. Die Beratung ist deshalb keine Folien-Show ohne Anschluss. Ergebnis ist eine priorisierte Use-Case-Map, ein Tool-Stack-Vorschlag mit Hosting-Entscheidung, eine datenschutzrechtliche Einordnung und ein Festpreis-Rahmen für den ersten Pilot — den wir auf Wunsch selbst bauen, aber nicht bauen müssen.
Hinter Hirnworx steht David De Matteo, Einzelunternehmen mit Sitz in der Ziegelstraße 2, 90579 Langenzenn bei Nürnberg, seit 2011 in der Entwicklung, über 350 umgesetzte Projekte. Sie sprechen von der ersten Anfrage bis zur Übergabe mit derselben Person. Abgerechnet wird als Festpreis nach Scope-Workshop in Etappen, nicht als offener Tagessatz-Stapel. Stand: September 2026.
Was ist KI-Beratung?
KI-Beratung ist die systematische Auswahl und Priorisierung von KI- und Automatisierungs-Use-Cases, bevor Software gebaut oder Tools gekauft werden. Sie klärt, welche Anwendungsfälle sich rechnen, in welcher Reihenfolge sie umgesetzt werden und unter welchen datenschutz- und aufsichtsrechtlichen Auflagen sie zulässig sind. Ergebnis ist eine Entscheidungsgrundlage mit Kosten, Reihenfolge und Ausschlüssen — nicht ein fertiges System.
Im Mittelstand heißt das konkret drei Fragen: Welche Prozesse kosten messbar Zeit oder erzeugen Fehler mit Folgekosten? Wo genügt eine Regel-Automatisierung in n8n ohne Sprachmodell, weil Eingaben und Regeln eindeutig sind? Und wo lohnt sich tatsächlich ein Sprachmodell oder eine Dokumentenerkennung — inklusive der laufenden Kosten pro verarbeitetem Vorgang, die bei API-Nutzung dauerhaft anfallen.
Die Abgrenzung zur Umsetzung ist bei uns scharf gezogen. KI-Beratung endet mit einer priorisierten Use-Case-Map, einer Architektur- und Hosting-Empfehlung, der Einordnung nach EU-KI-Verordnung und DSGVO sowie einem Festpreis-Rahmen für den ersten Pilot. Gebaut wird danach unter KI-Automatisierung: n8n-Workflows, Modellanbindung, OCR, Monitoring und Schulung. Wer beides in einen Topf wirft, bekommt eine Analyse, die zufällig genau das Tool empfiehlt, das der Anbieter verkauft.
Ebenso wichtig ist, was KI-Beratung nicht ist. Sie ist keine Förderberatung — über Bewilligung und Höhe eines Digitalbonus entscheidet allein die Bezirksregierung. Sie ist keine Rechtsberatung: Wir ordnen Use-Cases nach den Kriterien der Verordnung (EU) 2024/1689 ein und dokumentieren die Begründung, ersetzen damit aber kein anwaltliches Gutachten in Grenzfällen. Und sie ist kein Technologie-Screening: Wir bewerten nicht den Markt, sondern Ihre Prozesse.
Woran KI-Vorhaben im Mittelstand scheitern
Die Anfragen, die bei uns landen, sind selten Projekte auf grüner Wiese. Meistens ist vorher schon etwas versucht worden, und die Frage ist, warum es nicht weitergegangen ist.
Der Pilot hat keinen Anschluss
Ein Workflow wurde gebaut, die Demo lief, und danach ist nichts passiert. Fast immer lag es daran, dass der Pilot neben dem echten Prozess stand: Daten aus einem Export, Ergebnisse in einer Tabelle, keine Verpflichtung zur Nutzung. Sobald der Projektdruck nachlässt, kehrt das Team zum alten Weg zurück, weil der alte Weg im System hinterlegt ist.
Tool-Abos ohne Prozessänderung
Drei oder vier KI-Abos in der Kreditkartenabrechnung, jedes mit eigenem Login und eigenem Datenfluss, und kein einziger Arbeitsschritt ist dadurch entfallen. Die Software liegt neben dem Prozess statt darin. Wer die Abos kündigt, merkt nach zwei Wochen, dass niemand sie vermisst — das ist der Test, den vorher niemand gemacht hat.
Unklare Rechtslage nach EU-KI-Verordnung
Seit dem 1. August 2024 ist die Verordnung (EU) 2024/1689 in Kraft und gilt in Stufen. Verbotene Praktiken und die Pflicht zur KI-Kompetenz greifen seit dem 2. Februar 2025, die Hochrisiko-Pflichten im Wesentlichen ab dem 2. August 2026. In der Praxis führt diese Unsicherheit zu Stillstand — obwohl die meisten Mittelstandsanwendungen nicht in die Hochrisiko-Klasse fallen.
Keine Datengrundlage für den Wunsch-Use-Case
Der Chatbot soll Produktfragen beantworten, aber die Produktdaten stehen in drei Systemen mit widersprüchlichen Attributen und ohne Pflegeverantwortung. Ein Sprachmodell macht aus lückenhaften Daten keine vollständigen — es macht daraus flüssig formulierte lückenhafte Aussagen. Der Aufwand liegt dann in der Datenpflege, nicht in der KI, und das verschiebt das Budget komplett.
Das Team blockt aus Angst vor Abbau
Wenn ein Automatisierungsprojekt ohne Erklärung startet, rechnen die betroffenen Mitarbeitenden mit Stellenabbau und liefern entsprechend zurückhaltend Informationen über ihre Abläufe. Ohne diese Informationen ist jedes Audit unvollständig. Deshalb gehört in den Kickoff eine klare Aussage der Geschäftsführung dazu, was mit der eingesparten Zeit passieren soll.
KI ist gewollt, aber niemand kann den Nutzen beziffern
Die Geschäftsführung gibt das Ziel vor, die Fachabteilungen sollen liefern, und im Raum steht kein einziger Prozess mit Mengen und Durchlaufzeiten. Ohne Ausgangswerte — wie viele Vorgänge pro Monat, wie lange dauert einer heute, wie hoch ist die Fehlerquote — ist jede Nutzenrechnung nachträglich konstruiert und jede Budgetfreigabe eine Vertrauensfrage.
Use-Cases zuerst — dann bauen
Workshop, Roadmap und DSGVO-Konzept, bevor eine Automatisierung live geht. So bleibt KI messbar statt Spielerei.
Was belegt ist
Nur Angaben mit benannter Quelle. Zahlen ohne nachprüfbare Herkunft stehen hier bewusst nicht.
Seit diesem Tag gelten die verbotenen KI-Praktiken und die Pflicht zur KI-Kompetenz
Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt in Stufen. Betreiber müssen seit diesem Datum dafür sorgen, dass die Personen, die ihre KI-Systeme bedienen, über ausreichende KI-Kompetenz verfügen — nachweisbar, also mit Schulung und Teilnehmerliste.
Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und Art. 5, 2025
Ab diesem Tag gilt der Großteil der Pflichten für Hochrisiko-KI-Systeme
Die Pflichten für Modelle mit allgemeinem Verwendungszweck greifen bereits seit dem 2. August 2025. Wer Bewerbervorauswahl, Beschäftigtenbewertung oder Zugangsentscheidungen automatisieren will, muss Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht einplanen — das verändert den Projektumfang erheblich.
Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex CELEX 32024R1689, 2026
Recht, keiner ausschließlich automatisierten Entscheidung mit erheblicher Auswirkung unterworfen zu werden
Unabhängig von der KI-Verordnung gilt diese Grenze schon heute. Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung dürfen nicht am Modell enden, sondern brauchen einen Freigabeschritt, der die Entscheidung tatsächlich prüfen kann. Hinzu kommt der Auftragsverarbeitungsvertrag nach Art. 28 mit jedem Modellanbieter.
Für wen KI-Beratung passt
Wir sind ein Einzelunternehmen mit Partnernetzwerk und kommen aus der Umsetzung. Das macht uns für bestimmte Ausgangslagen sehr passend und für andere erkennbar falsch.
Mittelstand mit hoher Vorgangszahl
Unternehmen, bei denen derselbe Prozess hundert- oder tausendfach pro Monat läuft: Angebote, Rechnungen, Artikelpflege, Anfragen. Hier lohnt die Analyse, weil kleine Ersparnisse pro Vorgang sich summieren und die Ausgangswerte leicht zu erheben sind.
10–250 Mitarbeitende
Handel und E-Commerce mit Datenlast
Wer Lieferantenkataloge, mehrere Verkaufskanäle und uneinheitliche Artikeldaten verwaltet, hat den am besten belegten Anwendungsfall für Sprachmodelle — genau das Muster aus dem Umakov-Scraper für FeNau und aus der Shopware-Anbindung bei LeadCollect.
Handel, B2B-Vertrieb
Unternehmen mit Datenschutz-Auflagen
Wer personenbezogene oder vertrauliche Daten verarbeitet und deshalb Cloud-Modelle nicht ungeprüft einsetzen kann, braucht die Hosting- und Rechtsfrage vor der Toolauswahl. Für diese Fälle rechnen wir EU-Hosting und On-Premise mit Kostenfolge gegen.
Dienstleister, Gesundheit, Personal
Wann Sie besser jemand anderen fragen
- —Sie wissen bereits genau, welchen Workflow Sie wollen. Dann ist ein Strategieworkshop überflüssig — gehen Sie direkt mit einem Scope-Gespräch in die Umsetzung unter KI-Automatisierung.
- —Sie brauchen ein Rechtsgutachten zur EU-KI-Verordnung oder zur DSGVO. Wir ordnen ein und dokumentieren die Begründung, aber in Grenzfällen brauchen Sie eine Kanzlei mit Berufshaftung, keine Agentur.
- —Sie erwarten einen Nachweis wie „spart 80 % der Zeit“ oder „ROI in drei Monaten“ im Angebot. Solche Zahlen können wir vor der Messung nicht seriös nennen, und wir nennen sie deshalb nicht.
- —Sie möchten ein eigenes Modell trainieren oder ein Forschungsprojekt aufsetzen. Wir integrieren bestehende Modelle und bauen Prozesse darum — Modellentwicklung gehört zu Spezialisten mit anderer Infrastruktur.
- —Sie suchen eine Beratung, die anschließend ein bestimmtes Produkt ausrollt, für das Sie schon eine Lizenz haben. Wenn das Ergebnis feststeht, brauchen Sie einen Implementierungspartner, keine Analyse.
Was KI-Beratung bei Hirnworx umfasst
Strategie und Entscheidung — nicht Folien ohne Anschluss. Jede Leistung endet mit einem konkreten Deliverable für den nächsten Schritt.
Use-Case-Workshop
Jeder Kandidat wird gegen dieselben vier Fragen bewertet: Wie oft läuft der Prozess, wie teuer ist ein Fehler, liegen die Daten maschinenlesbar vor, und wer gibt das Ergebnis frei. Daraus entsteht eine Reihenfolge für 90 Tage.
Beispiel: Vertrieb + Buchhaltung: Lead-Routing und Rechnungs-OCR vor Chatbot
Prozess-Audit
Abläufe, Schnittstellen und Datenquellen prüfen: wo steckt manuelle Wiederholung, wo fehlen Freigaben, wo bricht die Datenqualität. Wir zählen Schritte und Systemwechsel, statt Gefühle zu protokollieren — eine Anfrage durch vier Systeme ist messbar teurer als eine, die im CRM bleibt.
Beispiel: Anfrage → CRM → Angebot: 12 manuelle Schritte, 4 davon automatisierbar
Tool-Stack & Architektur
n8n gegen Eigenentwicklung, Cloud-Modelle gegen EU-gehostete oder lokale Varianten. Entschieden wird nach Datenschutz, laufenden Kosten und Wartbarkeit, nicht nach Bekanntheit des Anbieters. Zu jeder Empfehlung gehört, was ein Wechsel später kosten würde.
Beispiel: EU-Endpoints und dokumentierte n8n-Flows statt Blackbox-SaaS
Datenschutz & Governance
Welche Daten dürfen in Prompts, wer gibt Ausgaben frei, was wird protokolliert, wann gelöscht. Dazu der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Anbieter und die Prüfung, ob eine Entscheidung unter Art. 22 DSGVO fällt.
Beispiel: Anonymisierte Angebotsdaten, menschliche Freigabe vor Versand
Einordnung nach EU-KI-Verordnung
Jeder Use-Case wird in die Risikoklassen der Verordnung (EU) 2024/1689 eingeordnet und die Begründung dokumentiert. Für die meisten Mittelstandsanwendungen ist das Ergebnis entlastend — bei Personalauswahl oder Kreditentscheidungen ändert es den Projektumfang erheblich.
Beispiel: Textgenerierung im Shop: geringes Risiko, Kennzeichnungspflicht prüfen
KI-Kompetenz im Team
Art. 4 der EU-KI-Verordnung verlangt seit dem 2. Februar 2025 ausreichende KI-Kompetenz der bedienenden Personen. Wir schulen an Ihren echten Prozessen statt an Beispielprompts — inklusive der Grenzen: woran man eine Halluzination erkennt.
Beispiel: Halbtag pro Abteilung, Übungen an eigenen Dokumenten
Use-Cases, die wir zuerst prüfen
Aus Beratung und Umsetzung — keine Theorie. Referenzen wie der Umakov-Scraper (FeNau) und LeadCollect zeigen, was produktionsreif möglich ist.
Lead-Routing
Webformular → CRM → richtiger Vertriebler, mit Duplikat-Check und Erinnerung bei Überschreitung der Reaktionszeit. Reine Regellogik, kein Sprachmodell nötig — deshalb stabil und günstig im Betrieb.
Rechnungs-OCR
PDF → strukturierte Felder → Buchhaltungs-Export. Sprachmodell und Regeln kombiniert, nicht blindes Vertrauen in jedes Extrakt: Betrag und Steuersatz werden gegengerechnet, Abweichungen gehen in die manuelle Prüfung.
Angebotsentwürfe
CRM und Produktkatalog erzeugen einen Entwurf, der Mensch prüft und versendet. Referenz: Der Umakov-Scraper liefert Shop-, eBay- und Amazon-Texte für FeNau aus Artikeldaten und Seiten-Screenshots.
Support-Triage
Eingehende Tickets klassifizieren, priorisieren und Standardantworten vorschlagen. Die Eskalation bleibt menschlich, und die Klassifikation wird stichprobenartig gegengeprüft, statt sich selbst zu bestätigen.
Artikel-Anreicherung
Tausende Artikelnummern mit konsistenten Texten und Attributen versorgen — Playwright für den visuellen Kontext, Gemini für den Text, CSV-Mapping für den Import. Beim Umakov-Scraper produktionsreif im Einsatz.
Wiederkehrende Ansprache
Bei LeadCollect wird aus anonymem B2B-Traffic ein adressierbarer Kontakt: standortbasierte Firmen-Identifikation, Lead-Scoring, Warenkorb-Recovery und KI-personalisierte Print-Briefe mit Gutschein- und QR-Code, angebunden an Shopware 6.
Beweis aus der Praxis: Umakov-Scraper für FeNau
Problem: tausende Lieferanten-Artikel manuell für Shop, eBay und Amazon anreichern. Entscheidung: Batch-KI mit Playwright-Screenshots und Google Gemini statt Copy-Paste-Armee. Ergebnis: automatisierte, kanalspezifische Texte — produktionsreif.
Die FeNau GmbH bezieht Kataloge unter anderem von Umakov und Feldmann. Die Rohdaten sind technisch korrekt, aber nicht verkaufsfähig: knappe Bezeichnungen, keine Titel für die Suche, keine kanalspezifischen Beschreibungen. Texte für drei Kanäle von Hand zu schreiben war bei diesem Volumen uneinheitlich und unwirtschaftlich — genau die Konstellation, in der sich eine Vorabprüfung des Use-Cases rechnet.
Hirnworx baute ein Python-/Streamlit-Tool: Artikel einzeln, als Nummernliste oder als ganzer Katalog aus der Umakov-XML-API abrufen, die Produktseite per Playwright als Screenshot erfassen und dieses Bild zusammen mit den Attributdaten als visuellen Kontext an Google Gemini übergeben. Daraus entstehen deutsche Titel, Meta-Daten und Beschreibungen, die über ein konfigurierbares CSV-Feld-Mapping in die Zielspalten für Shopware, eBay und Amazon laufen.
Das Entscheidende an dieser Referenz ist die Reihenfolge, nicht die Technik: Erst wurde geprüft, ob die Daten ausreichende Qualität haben, ob ein Sprachmodell gegenüber Textbausteinen überhaupt einen Vorteil bringt und wie die Freigabe aussieht. Genau diese Reihenfolge ist der Inhalt der KI-Beratung.
Wann KI-Beratung der richtige Einstieg ist
Beratung lohnt sich, wenn mehrere mögliche Use-Cases im Raum stehen, aber keine begründete Priorität existiert — oder wenn intern schon Tools getestet wurden und niemand mehr den Überblick über Verträge, Datenflüsse und Zuständigkeiten hat. Das Ziel ist bewusst eng gefasst: in Tagen entscheiden, was in Wochen gebaut wird.
Wenn Sie dagegen bereits genau wissen, was Sie wollen — etwa Lead-Routing aus dem Kontaktformular ins CRM —, brauchen Sie keinen Strategieworkshop. Dann reicht ein Scope-Gespräch unter KI-Automatisierung, und das Geld geht in die Umsetzung statt in die Analyse. Wir sagen das auch, wenn es das kleinere Angebot ist.
Der dritte Fall ist der häufigste: Die Geschäftsführung hat ein Ziel („wir müssen bei KI etwas machen“), die Fachabteilungen haben Prozesse, und beide reden aneinander vorbei. Ein Workshop mit beiden Seiten am Tisch übersetzt das Ziel in eine Liste von Prozessen mit Mengenangaben — und der wirtschaftlich interessanteste Kandidat ist selten der, über den vorher gesprochen wurde.
- Mehrere Abteilungen, unklare Priorität und konkurrierende Wünsche
- Druck aus der Geschäftsführung ohne benannten Use-Case
- Bereits laufende Tool-Abos, deren Nutzen niemand beziffern kann
- Offene Fragen zu Datenschutz und EU-KI-Verordnung vor dem ersten Pilot
- Budget-Rahmen nötig, bevor Lizenzen oder Entwicklung beauftragt werden
Wann wir von KI abraten
Nicht jeder Prozess braucht ein Sprachmodell. Wenn die Regeln klar und die Daten strukturiert sind, reicht eine Regel-Automatisierung in n8n ohne LLM: günstiger im Betrieb, nachvollziehbar im Fehlerfall und ohne laufende Token-Kosten. Ein Sprachmodell dort einzusetzen, wo eine Wenn-Dann-Regel genügt, erzeugt Unschärfe, wo vorher Eindeutigkeit war.
Wir raten ab, wenn der Use-Case keine benennbare Zeit- oder Fehlerersparnis hat, wenn die Datengrundlage zu lückenhaft für sinnvolle Extraktion ist, wenn sich der Prozess so häufig ändert, dass die Automatisierung ständig nachgezogen werden müsste, oder wenn Compliance Cloud-Modelle ausschließt und die lokale Alternative den Budgetrahmen überschreitet.
Ebenfalls abgeraten wird bei der Erwartung, KI ersetze eine Fachabteilung. Was funktioniert, ist die Verlagerung von Routine: Das Modell erstellt den Entwurf, der Mensch prüft und verantwortet. Wer die Prüfschleife einspart, um die Ersparnis zu erhöhen, tauscht Personalkosten gegen Fehlerkosten — und die sind schlechter kalkulierbar.
- Keine benennbare Zeit- oder Fehlerersparnis im Prozess
- Datenlage zu fragmentiert für verlässliche Extraktion
- Prozess ändert sich wöchentlich — zu früh für Automatisierung
- Cloud-Modelle rechtlich ausgeschlossen, lokale Variante über Budget
- Erwartung, dass KI die Freigabe durch einen Menschen ersetzt
Warum Pilotprojekte scheitern und woran man es vorher erkennt
Der typische gescheiterte Pilot ist technisch erfolgreich. Der Workflow läuft, die Demo überzeugt, und danach passiert nichts mehr. Der Grund ist fast immer derselbe: Der Pilot wurde neben dem echten Prozess gebaut, nicht in ihn hinein. Die Daten kamen aus einem Export, die Ergebnisse landeten in einer Tabelle, und niemand war verpflichtet, damit zu arbeiten. Sobald der Projektdruck nachlässt, kehrt das Team zum alten Weg zurück, weil der alte Weg im System hinterlegt ist.
Das zweite Muster ist der Pilot ohne Abnahmekriterium. Wenn vorher nicht festgelegt ist, was Erfolg bedeutet, wird hinterher darüber gestritten. Wir definieren deshalb vor dem Bau eine Messgröße aus dem Bestand: Wie viele Vorgänge laufen pro Monat durch den Prozess, wie lange dauert einer heute, wie hoch ist die Fehlerquote in einer Stichprobe von mindestens 50 Fällen. Ohne diese Ausgangswerte ist jede spätere Verbesserung eine Behauptung.
Das dritte Muster ist organisatorisch: Es gibt keinen Verantwortlichen für den Betrieb. Ein KI-Workflow ist Software und braucht jemanden, der auf Fehlermeldungen reagiert, Modellwechsel des Anbieters bemerkt und Prompts anpasst, wenn sich Formulare ändern. Wenn diese Rolle niemandem zugewiesen ist, veraltet der Workflow still. Wir liefern deshalb dokumentierte Flows mit Error-Handling und Monitoring — aber die Zuständigkeit muss im Unternehmen liegen.
- Warnsignal: Der Pilot arbeitet mit Exporten statt mit dem Livesystem
- Warnsignal: Kein Ausgangswert für Dauer, Menge und Fehlerquote erhoben
- Warnsignal: Kein benannter Verantwortlicher für den Betrieb nach dem Go-Live
- Warnsignal: Freigabeschritt ist nicht Teil des Prozesses, sondern optional
- Warnsignal: Erfolg wird an der Demo gemessen, nicht an durchlaufenden Vorgängen
DSGVO, EU-Hosting und On-Premise
KI-Beratung ohne Datenschutz ist Marketing. Wir planen von Anfang an, welche personenbezogenen Daten in welchem Schritt fließen, welches Modell sie verarbeitet, wo es gehostet wird und wer das Ergebnis freigibt. Mit jedem Anbieter, der in Ihrem Auftrag Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — ohne diesen Vertrag ist der Einsatz nicht zulässig, unabhängig davon, wie gut das Modell arbeitet.
Die zweite Prüfung betrifft Art. 22 DSGVO: Betroffene haben das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Praktisch heißt das: Bewerbervorauswahl, Bonitätsentscheidungen oder Kündigungsvorschläge dürfen nicht am Modell enden. Ein Freigabeschritt, der die Entscheidung tatsächlich prüfen kann und nicht nur abnickt, ist hier kein Komfort, sondern Voraussetzung.
Für die Umsetzung stehen drei Wege offen, die wir mit Kostenfolge gegenüberstellen: Cloud-Modelle über EU-Endpoints mit Auftragsverarbeitungsvertrag, EU-gehostete Open-Weight-Modelle, oder eine lokale Installation auf Ihrer Hardware. On-Premise löst die Übermittlungsfrage vollständig, kostet aber Anschaffung, Betrieb und Modellpflege — in unseren Kalkulationen 40 % bis 120 % über der Cloud-Variante.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Modellanbieter
- Prüfung nach Art. 22 DSGVO vor jeder Entscheidung mit Wirkung für Personen
- Löschfristen für Prompts, Ausgaben und Protokolle schriftlich festgelegt
- Anonymisierung oder Pseudonymisierung vor der Übergabe an das Modell
- Dokumentierte n8n-Flows mit Error-Handling und Monitoring statt Blackbox
Die EU-KI-Verordnung in der Praxis — was ein Mittelständler jetzt tun muss
Die Verordnung (EU) 2024/1689 — im Sprachgebrauch AI Act — ist am 1. August 2024 in Kraft getreten und gilt seitdem in Stufen. Seit dem 2. Februar 2025 sind die verbotenen Praktiken nach Art. 5 anwendbar und Betreiber müssen nach Art. 4 für ausreichende KI-Kompetenz der Personen sorgen, die ihre Systeme bedienen. Seit dem 2. August 2025 gelten die Pflichten für Modelle mit allgemeinem Verwendungszweck. Der Großteil der Pflichten für Hochrisiko-KI-Systeme greift ab dem 2. August 2026.
Für die meisten Anwendungen im Mittelstand ist das Ergebnis der Einordnung entlastend: Textgenerierung für Produktbeschreibungen, Rechnungsextraktion oder Ticket-Klassifikation sind in der Regel keine Hochrisiko-Systeme. Die Pflicht besteht darin, diese Einordnung belegen zu können, statt sie zu unterstellen. Wir dokumentieren pro Use-Case, welche Funktion das System hat, welche Entscheidung daran hängt und warum es nicht in Anhang III fällt — das ist eine Seite pro Anwendung, nicht ein Gutachten.
Ernst wird es bei drei Feldern, die im Mittelstand häufiger vorkommen als erwartet: Vorauswahl von Bewerbungen, Bewertung von Beschäftigten und automatisierte Entscheidungen über Zugang zu Leistungen. Hier kommen Anforderungen an Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht hinzu, und Art. 22 DSGVO greift zusätzlich. Wer solche Fälle plant, sollte mit deutlich mehr Projektaufwand rechnen — oder den Use-Case bewusst nicht automatisieren. Beide Entscheidungen sind vertretbar, nur die unbewusste ist es nicht.
- Inventar anlegen: welche KI-Systeme sind im Einsatz, wer betreibt sie, welche Daten fließen
- Risikoklasse je Use-Case einordnen und die Begründung schriftlich festhalten
- KI-Kompetenz nach Art. 4 nachweisbar herstellen — Schulung mit Teilnehmerliste
- Transparenz prüfen: wo müssen Nutzer erkennen, dass sie mit einem System interagieren
- Bei Personal- und Bonitätsentscheidungen Hochrisiko-Pflichten ab 2. August 2026 einplanen
- Quelle: EUR-Lex, CELEX 32024R1689 — nicht Zusammenfassungen von Anbieterseiten
Beratung und Automatisierung — klare Rollen
KI-Beratung liefert die Entscheidung: welche Use-Cases, welcher Stack, welche Reihenfolge, welche rechtliche Einordnung und welcher Festpreis-Rahmen. KI-Automatisierung liefert den gebauten Workflow: n8n, Modellanbindung, OCR, Monitoring, Übergabe und Schulung. Die Trennung ist keine Formsache — sie verhindert, dass die Analyse zum Verkaufsgespräch für ein bereits feststehendes Tool wird.
Beides aus einer Hand heißt praktisch: Die Roadmap wird nicht an eine andere Agentur übergeben, und wer die Prozesse aufgenommen hat, baut den Pilot. Der Umakov-Scraper für FeNau und die LeadCollect-Plattform zeigen, dass die Umsetzung stattfindet und nicht bei der Empfehlung endet. Beim Bavarian-Signs-Konfigurator war das Ergebnis ähnlich konkret: Sofort-Preisindikation statt Tage Wartezeit auf ein manuell kalkuliertes Angebot.
Sie sind trotzdem nicht gebunden. Die Roadmap ist so dokumentiert, dass eine andere Agentur oder Ihre eigene IT sie umsetzen kann: benannte Systeme, Schnittstellen, Datenflüsse, Freigabepunkte, Aufwand je Schritt. Ein Audit, dessen Ergebnis nur der Autor umsetzen kann, ist kein Audit.
Vom Kickoff zur Roadmap
Fünf Etappen mit Dauerangabe und einem Ergebnis pro Etappe. Ein kompakter Use-Case-Workshop ist in zwei bis drei Wochen abgeschlossen, ein vollständiges Audit mit Roadmap liegt typisch bei vier bis sechs Wochen — gerechnet ab dem Zeitpunkt, an dem die Gesprächspartner aus den Fachabteilungen verfügbar sind.
- 011 Tag
Kickoff
Ziele, Stakeholder, bestehende Tools, laufende Abos und Datenquellen klären. Dazu die Frage, welche Entscheidung am Ende getroffen werden soll — davon hängt der Umfang ab.
Ergebnis: Protokoll mit Zielbild, Beteiligten und Umfang des Audits
- 021–2 Wochen
Audit & Use-Case-Map
Prozesse mit Mengen und Durchlaufzeiten aufnehmen, Kandidaten nach Aufwand, Nutzen und Datenlage bewerten, Ausgangswerte für die spätere Messung erheben.
Ergebnis: Priorisierte Use-Case-Map mit Ausgangswerten je Prozess
- 031 Woche
Stack, Recht & Datenschutz
Tool- und Hosting-Entscheidung mit Kostenfolge, Einordnung nach EU-KI-Verordnung, Prüfung nach Art. 22 und Art. 28 DSGVO, Freigabe- und Protokollierungskonzept.
Ergebnis: Architekturempfehlung und datenschutzrechtliche Einordnung je Use-Case
- 043–5 Tage
Roadmap & Festpreis-Rahmen
90-Tage-Plan mit Reihenfolge und Abhängigkeiten, Scope für den ersten Pilot, Aufwandsschätzung je Schritt und die begründete Liste der Use-Cases, die bewusst nicht kommen.
Ergebnis: Roadmap, Pilot-Scope und Festpreis-Rahmen für die Umsetzung
- 051 Woche
Übergabe oder Bau
Präsentation der Ergebnisse, Dokumentation zur Weitergabe an Ihre IT oder Dritte — oder direkter Start des Piloten unter KI-Automatisierung mit angerechnetem Audit.
Ergebnis: Übergabedokument oder unterschriebener Pilot-Scope
Tool ausprobieren vs. KI-Beratung
| Kriterium | Tool only | Hirnworx Beratung |
|---|---|---|
| Ziel | Ein Tool ausprobieren | Priorisierte Use-Case-Map und Roadmap |
| Nutzenbewertung | Gefühl nach der Demo | Ausgangswerte aus dem Bestand, Stichprobe ab 50 Fällen |
| Datenschutz | Nachträglich geklärt | Art. 22 und Art. 28 DSGVO vor dem ersten Pilot geprüft |
| EU-KI-Verordnung | Nicht betrachtet | Risikoklasse je Use-Case dokumentiert |
| Laufende Kosten | Abo plus unbekannte API-Kosten | Token- und Betriebskosten kalkuliert |
| Umsetzung | Selbst basteln | Optional als Festpreis-Pilot mit Hirnworx |
| Wartbarkeit | Blackbox-Abos | Dokumentierte Flows mit Error-Handling und Monitoring |
Stand: September 2026. Umsetzung und Richtwerte: Kosten KI-Automatisierung →
Was KI-Beratung kostet
Zwei Preisebenen gehören hier getrennt: die Beratung selbst und die anschließende Umsetzung. Für die Umsetzung sind die Richtwerte belegt — Einstiegs-Workflows ab ca. 3.000 €, Chatbot oder RAG zwischen 8.000 € und 25.000 €, Prozess-Suiten zwischen 15.000 € und 40.000 €, jeweils zuzüglich laufender LLM-API-Kosten nach Verbrauch. Für die Beratung gelten die Stufen unten. Wichtig: Das Audit ist häufig Teil des ersten Automatisierungsprojekts und wird dann angerechnet, wenn die Umsetzung innerhalb von sechs Monaten beauftragt wird. Stand: September 2026.
Stand: September 2026 · Festpreis nach Scope
Use-Case-Workshop
Kompakter Einstieg für Unternehmen mit mehreren Kandidaten und unklarer Priorität. Ein bis zwei Termine, danach eine Entscheidung.
- ·Halbtags-Workshop mit Fachabteilung und IT, remote oder vor Ort
- ·Aufnahme von bis zu zehn Prozesskandidaten mit Mengen und Durchlaufzeiten
- ·Bewertung nach Aufwand, Nutzen und Datenlage in einer Matrix
- ·Kurzeinordnung nach EU-KI-Verordnung und DSGVO je Kandidat
- ·Zwei bis drei priorisierte Quick Wins mit Aufwandsschätzung
Beispiel: Handelsunternehmen mit 40 Beschäftigten: Artikelpflege, Angebotserstellung und Support-Triage standen zur Debatte. Ergebnis war die Artikelpflege als erster Schritt, Support-Triage als zweiter und der Chatbot ausdrücklich nicht, weil die Produktdaten in drei Systemen lagen.
KI-Audit mit Roadmap
Vollständige Prozessaufnahme über mehrere Abteilungen, mit Ausgangswerten, Architekturempfehlung und 90-Tage-Plan.
- ·Interviews in allen betroffenen Abteilungen, nicht nur mit der IT
- ·Erhebung von Ausgangswerten: Vorgangsmenge, Dauer, Fehlerquote in einer Stichprobe
- ·Architektur- und Hosting-Entscheidung mit Kostenfolge, Cloud gegen EU-Hosting gegen On-Premise
- ·Einordnung nach Verordnung (EU) 2024/1689 und Prüfung nach Art. 22 und Art. 28 DSGVO
- ·90-Tage-Roadmap mit Reihenfolge, Abhängigkeiten und Festpreis-Rahmen je Schritt
Beispiel: Produktionsbetrieb mit vier Standorten: 18 Prozesse aufgenommen, 6 als automatisierbar bewertet, 3 bewusst ausgeschlossen. Die dokumentierte Ausschlussbegründung war dem Kunden nach eigener Aussage so viel wert wie die Empfehlungsliste.
Begleitete Einführung
Audit plus Begleitung der Umsetzung über die ersten Monate. Nach oben offen, weil der Umfang von der Zahl der Workflows abhängt.
- ·Vollständiges Audit mit Roadmap als Grundlage
- ·Fachliche Begleitung des ersten Piloten bis zum produktiven Betrieb
- ·Halbtagesschulungen je Abteilung zur KI-Kompetenz nach Art. 4 der KI-Verordnung
- ·Aufbau von Freigabe-, Protokollierungs- und Löschregeln im laufenden Prozess
- ·Nachmessung gegen die Ausgangswerte nach 30 und 90 Tagen
Beispiel: Wird das erste Automatisierungsprojekt beauftragt, rechnen wir den Audit-Anteil an. Die Umsetzung selbst läuft dann als Festpreis in Etappen unter KI-Automatisierung — Einstiegs-Workflows ab ca. 3.000 €, Prozess-Suiten bis 40.000 €.
Unverbindliche Richtwerte netto, projektabhängig. Verbindlich wird der Preis nach dem Scope-Workshop und dann als Festpreis in Etappen.
Was den Preis nach oben treibt
Die Spanne oben entsteht nicht zufällig. Diese Faktoren erklären, warum ein Projekt am unteren oder am oberen Ende liegt.
Laufende LLM-API-Kosten
Abgerechnet wird nach Token, also nach Textmenge in Ein- und Ausgabe. Ein Workflow mit wenigen hundert kurzen Vorgängen liegt im niedrigen zweistelligen Bereich; Dokumentenverarbeitung mit langen Kontexten oder Bildanalyse wie beim Umakov-Scraper landet deutlich höher. Diese Kosten laufen dauerhaft und gehören in jede Wirtschaftlichkeitsrechnung — sie sind der Posten, der in Angeboten am häufigsten fehlt.
On-Premise statt Cloud
Eine lokale Modellinstallation löst die Übermittlungsfrage vollständig, verlagert aber Kosten: GPU-Hardware oder gemieteter dedizierter Server, Betrieb, Updates, Modellpflege und ein Ansprechpartner für Störungen. EU-gehostete Open-Weight-Modelle liegen dazwischen und sind in den meisten Fällen der wirtschaftlichere Kompromiss.
Anzahl der beteiligten Abteilungen
Jede zusätzliche Abteilung bedeutet eigene Interviews, eigene Systeme, eigene Datenqualität und eine weitere Abstimmungsrunde bei der Priorisierung. Ein Audit über zwei Abteilungen ist kein halbes Audit über vier — der Abstimmungsaufwand wächst schneller als die Zahl der Prozesse.
Datenqualität und Vorarbeit
Wenn Artikel-, Kunden- oder Dokumentdaten unvollständig, widersprüchlich oder auf mehrere Systeme verteilt sind, entsteht der Aufwand vor der KI. Bereinigung, Feldmapping und die Festlegung einer führenden Quelle sind Projektarbeit, die keine Modellwahl ersetzt.
Einordnung nach EU-KI-Verordnung
Für unkritische Anwendungen ist die Einordnung eine Seite pro Use-Case. Sobald Personalauswahl, Beschäftigtenbewertung oder Zugangsentscheidungen im Spiel sind, kommen Risikomanagement, Protokollierungskonzept und die Beschreibung der menschlichen Aufsicht hinzu — und in Grenzfällen eine anwaltliche Zweitmeinung, die separat anfällt.
Schulung und Befähigung
Art. 4 der KI-Verordnung verlangt von Betreibern seit dem 2. Februar 2025 ausreichende KI-Kompetenz der bedienenden Personen. Wir schulen an Ihren echten Dokumenten und Prozessen, nicht an Beispielprompts. Der Posten ist klein, aber er entscheidet darüber, ob ein Workflow nach drei Monaten noch benutzt wird.
Förderung für Digitalisierungsvorhaben in Bayern
Für bayerische Unternehmen mit weniger als 50 Beschäftigten kann der Digitalbonus einen Teil der Kosten abdecken. Entscheidend ist die Reihenfolge.
Digitalbonus Bayern (Standard)
bis 7.500 €Bayern · unter 50 Beschäftigte
Zuschuss von bis zu 50 % der förderfähigen Ausgaben für Digitalisierungsvorhaben — etwa Einführung oder Verbesserung digitaler Produkte, Dienstleistungen und Prozesse. Antragsberechtigt sind bayerische Unternehmen mit weniger als 50 Beschäftigten und höchstens 10 Mio. € Umsatz oder Bilanzsumme. Laufzeit des Programms bis 31.12.2027.
Programm beim Fördergeber →Digitalbonus Bayern Plus
bis 30.000 €Bayern · besonderer Innovationsgehalt
Für Vorhaben mit nachgewiesenem Innovationsgehalt, ebenfalls bis zu 50 % Fördersatz. Der Neuheitsgrad muss im Antrag detailliert beschrieben werden; in Grenzfällen entscheidet ein Expertengremium der Bezirksregierung. Plus ist während der Programmlaufzeit nur einmal möglich und nicht mit dem Standard für dieselbe Maßnahme kombinierbar.
Programm beim Fördergeber →Stand: September 2026. Über Bewilligung, Höhe und Bedingungen entscheidet allein die Förderstelle — wir liefern die technische Leistungsbeschreibung und das Angebot für den Antrag, keine Förderberatung.
Begriffe kurz erklärt
Die Begriffe, die in Angeboten und Gesprächen ständig vorkommen und selten erklärt werden.
- RAG (Retrieval Augmented Generation)
- Verfahren, bei dem ein Sprachmodell vor der Antwort passende Textstellen aus einer eigenen Datenquelle sucht und nur auf dieser Grundlage formuliert. Es ist der übliche Weg, um Modelle auf Firmenwissen anzuwenden, ohne sie zu trainieren — und der einzige, bei dem sich eine Antwort auf ein Dokument zurückführen lässt.
- Halluzination
- Eine sprachlich plausible, inhaltlich falsche Ausgabe eines Modells. Sie ist kein Bedienfehler, sondern eine Eigenschaft des Verfahrens: Modelle schätzen wahrscheinliche Fortsetzungen, sie prüfen keine Fakten. Deshalb gehört zu jedem Einsatz die Frage, was ein falscher Satz an dieser Stelle kostet.
- Hochrisiko-KI-System
- Kategorie der Verordnung (EU) 2024/1689 für Systeme in besonders sensiblen Bereichen, unter anderem bei Beschäftigung, Bildung, Kreditwürdigkeit und kritischer Infrastruktur. Für sie gelten erhöhte Anforderungen an Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht, im Wesentlichen ab dem 2. August 2026.
- Auftragsverarbeitungsvertrag (AVV)
- Vertrag nach Art. 28 DSGVO zwischen Verantwortlichem und Dienstleister, der personenbezogene Daten im Auftrag verarbeitet. Er regelt Zweck, Weisungsbindung, Subunternehmer, Löschung und Sicherheitsmaßnahmen. Ohne AVV ist der Einsatz eines Modellanbieters für personenbezogene Daten nicht zulässig.
- Token
- Abrechnungs- und Verarbeitungseinheit von Sprachmodellen, ungefähr ein Wortteil. Ein- und Ausgabe werden getrennt gezählt und bepreist, weshalb lange Kontexte — etwa vollständige Dokumente oder Bilder — die laufenden Kosten pro Vorgang stärker treiben als die Zahl der Vorgänge selbst.
- Human-in-the-Loop
- Prozessmuster, bei dem ein Mensch das Modellergebnis vor der Wirkung prüft und verantwortet. Es ist technisch trivial und organisatorisch der entscheidende Punkt: Nur wenn die prüfende Person Zeit und Information hat, die Entscheidung wirklich zu beurteilen, erfüllt der Schritt seinen Zweck — und die Anforderung aus Art. 22 DSGVO.
KI Beratung — häufige Fragen
Nutzen & Kosten
Ein kompakter Use-Case-Workshop liegt zwischen 1.900 € und 3.500 €, ein vollständiges KI-Audit mit Roadmap zwischen 4.500 € und 9.500 €, eine begleitete Einführung beginnt bei 9.500 €. Häufig ist das Audit Teil des ersten Automatisierungsprojekts und wird angerechnet, wenn die Umsetzung innerhalb von sechs Monaten beauftragt wird. Verbindlich wird der Preis nach dem Kickoff als Festpreis. Stand: September 2026.
Recht & Datenschutz
Ablauf & Abgrenzung
Hirnworx · KI Beratung · Ziegelstraße 2, 90579 Langenzenn · seit 2011
KI-Use-Cases unklar?
Erzählen Sie uns von Prozessen und Zielen — wir skizzieren Use-Cases, Risiken und einen realistischen Einstieg.
KI-Beratung besprechen →