Fast jede Geschäftsführung im DACH-Raum stellt sich gerade dieselbe Frage: Sind wir bereit für KI? Der Beirat fragt. Wettbewerber verkünden Initiativen. Berater klopfen an. Und die naheliegende Antwort — ein Budget freigeben, eine Plattform auswählen, eine Taskforce einsetzen — ist fast immer die falsche.
Denn Readiness ist kein Gefühl und kein Beschluss. Sie ist eine Menge beobachtbarer Bedingungen, die entweder vorliegen oder nicht. Wer sie nicht vorliegen hat, kann sich das fehlende Stück nicht durch Investitionssumme erkaufen. Genau hier verbrennen die meisten Mittelständler ihr erstes KI-Budget: Sie behandeln Readiness als Frage des Wollens, dabei ist sie eine Frage der Verfasstheit. McKinseys State-of-AI-Bericht vom November 2025 dokumentiert das Ergebnis dieser Verwechslung: Zwei Drittel der Organisationen, die KI einsetzen, stecken dauerhaft in der Pilotphase fest — nicht weil die Technologie versagt, sondern weil die organisatorischen Voraussetzungen für echtes Deployment nie hergestellt wurden.
Die gute Nachricht ist, dass sich diese Verfasstheit prüfen lässt — ohne Assessment-Projekt und ohne Reifegradmodell. Es gibt fünf Signale, die zuverlässig anzeigen, dass ein Unternehmen tatsächlich bereit ist zu deployen. Und drei Warnsignale, die mindestens ebenso zuverlässig Scheitern vorhersagen. Sie können Ihr eigenes Unternehmen beim Lesen dagegen prüfen.
Die 5 Signale echter KI-Readiness
1. Sie können einen konkreten Workflow mit Volumen benennen
Nicht „Wir wollen KI im Betrieb einsetzen." Nicht „Unser Kundenservice könnte von KI profitieren." Sondern eine konkrete Aussage wie: „Unser Einkaufsteam verarbeitet 800 Lieferantenrechnungen pro Woche, und 60 Prozent folgen Mustern, die automatisierbar wären."
Der benannte Workflow ist das wichtigste einzelne Readiness-Signal — und der härteste Test, weil er sich nicht vortäuschen lässt. Er bedeutet, dass jemand die schwierige Arbeit geleistet hat, von der Aspiration zur Spezifikation zu kommen. Er bedeutet, dass ein realer Prozess mit messbarem Volumen existiert und reale Menschen ihn heute ausführen. Und er liefert nebenbei den Business Case mit: Wer „800 Lieferantenrechnungen pro Woche" sagen kann, kann auch ausrechnen, was 60 Prozent davon an Bearbeitungszeit binden. Wer den Workflow nicht benennen kann, kann auch den Nutzen nicht beziffern — und genau daran scheitern die meisten Freigaben in Monat zwei.
Unternehmen, die keinen Workflow benennen können, sind nicht unbereit — sie sind vor-bereit. Sie brauchen Discovery, kein Deployment.
2. Sie haben einen Executive Sponsor mit Budget-Autorität
KI-Initiativen, die einem Gremium „gehören", liefern nicht. KI-Initiativen, deren Sponsor sagt „klingt interessant, halten Sie mich auf dem Laufenden", liefern auch nicht.
Was liefert: Eine Initiative mit einem benannten Executive Sponsor — Geschäftsführer, Vorstand oder Senior-Fachbereichsleiter — der direkte Autorität über den Workflow, das Team, das ihn betreibt, und das Budget für die erste Phase hat. Ohne Vorstandseskalation. Diese Person muss nicht technisch sein. Sie muss operativ sein. Sie muss das Ergebnis verantworten, nicht nur die Idee befürworten.
McKinsey stellt in seinem Bericht fest, dass High Performer dreimal häufiger als der Durchschnitt ihre Workflows grundlegend neu gestalten, wenn sie KI einführen — und dass dieser Umbau ohne jemanden mit echter Entscheidungsgewalt im betroffenen Fachbereich nicht stattfindet. Der Sponsor ist nicht der Finanzier der Technologie. Er ist der Eigentümer des veränderten Prozesses.
3. Das Team hat Kapazität eingeplant — nicht nur Begeisterung
Begeisterung ist keine Kapazität. Wenn wir fragen „Wer wird während der Build-Phase vier Stunden pro Woche zur Verfügung stehen, um Ergebnisse zu validieren, Feedback zu geben und den Workflow zu testen?" — dann ist die Antwort entscheidend.
Bereite Unternehmen haben konkrete Personen identifiziert — eine Teamleitung, eine Fachexpertin, einen Process Owner — die Zeit investieren werden. Sie haben mit diesen Personen gesprochen. Sie haben Arbeitslasten angepasst oder nachbesetzt, um es möglich zu machen.
Unbereite Unternehmen sagen „Das Team ist begeistert" und gehen davon aus, dass sich Verfügbarkeit schon ergeben wird. Das tut sie nicht. Die Mitarbeitenden, die einen Workflow am besten kennen, sind meistens die Mitarbeitenden, die am wenigsten Kapazität haben. Das ist kein Zufall — es ist die Logik des Tagesgeschäfts. Wer diesen Widerspruch nicht vor dem Projektstart auflöst, löst ihn in Monat drei unter wesentlich schlechteren Bedingungen.
4. Daten sind innerhalb von Wochen zugänglich, nicht Monaten
Sie brauchen keinen Data Lake. Sie brauchen keine zentrale Datenplattform. Sie brauchen keine sauberen, perfekt strukturierten Daten.
Was Sie brauchen, ist Zugang. Können die relevanten Daten — die Inputs und Outputs des Workflows aus Signal eins — innerhalb von zwei bis drei Wochen extrahiert, gesampelt und geprüft werden? Nicht zwei bis drei Monate Data Engineering. Kein Data-Governance-Projekt. Nur Zugang.
In der Praxis heißt das: Jemand weiß, wo die Daten liegen, hat die Zugangsdaten, um sie zu erreichen, und kann ein repräsentatives Sample exportieren. Wenn das einen Data-Governance-Freigabezyklus, eine Plattform-Migration oder eine Anbieterverhandlung erfordert, sind Sie für diesen Workflow nicht bereit. Wählen Sie einen anderen. Der wichtige Punkt hier ist nicht Datenperfektionismus, sondern Datenpragmatismus: Für den ersten produktiven Workflow im DACH-Mittelstand braucht es typischerweise kein Warehouse, sondern einen exportierbaren Tabellenstand aus dem ERP und drei Monate Transaktionshistorie. Wer das nicht ohne monatelanges Projekt bereitstellen kann, hat ein IT-Governance-Problem — kein KI-Problem.
5. Ihre Compliance-Position ist bekannt — auch wenn sie streng ist
Unternehmen in regulierten Branchen nehmen manchmal an, dass Compliance-Anforderungen sie unbereit machen. Das Gegenteil ist der Fall. Ein Unternehmen, das seine Rahmenbedingungen kennt — DSGVO-Pflichten, die Risikoklasse des konkreten Workflows nach dem EU AI Act, die eigene Betroffenheit nach NIS2 —, ist bereiter als eines, das sich damit noch nie beschäftigt hat. Bekannte Rahmenbedingungen lassen sich technisch und organisatorisch lösen. Unbekannte Rahmenbedingungen produzieren Überraschungen in Monat vier, die das gesamte Vorhaben entgleisen lassen.
Der regulatorische Rahmen ist gerade in Bewegung, und es lohnt sich, die aktuellen Stände zu kennen. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Deutschland in Kraft und trifft erstmals den breiten Mittelstand: Betroffen ist, wer in einem der achtzehn regulierten Sektoren tätig ist und mindestens fünfzig Mitarbeitende oder zehn Millionen Euro Jahresumsatz erreicht — nach Schätzungen rund 29.500 Unternehmen. Die BSI-Registrierungsfrist ist am 6. März 2026 abgelaufen; bis dahin hatten sich lediglich 38,5 Prozent der betroffenen Einrichtungen registriert. Für die Geschäftsführung folgt daraus eine direkte persönliche Haftung — BSI-Präsidentin Claudia Plattner hat das unmissverständlich formuliert: Die Umsetzung und Überwachung der Risikomaßnahmen ist Aufgabe der Leitungsebene, nicht der IT-Abteilung.
Beim EU AI Act hat das Digital-Omnibus-Paket, auf das sich Brüssel am 7. Mai 2026 politisch geeinigt hat, den Zeitplan neu sortiert. Die zentralen Pflichten für Hochrisiko-KI-Systeme nach Anhang III — also die Bereiche Personalentscheidungen, Kreditvergabe, kritische Infrastruktur — gelten nun erst ab dem 2. Dezember 2027, nicht wie ursprünglich ab dem 2. August 2026. Für KI-Systeme, die in sicherheitsrelevante Produkte nach Anhang I eingebettet sind, gilt sogar der 2. August 2028. Was nicht verschoben wurde: Die Transparenzpflichten für Deployer greifen weiterhin ab dem 2. August 2026.
Für die KI-Readiness bedeutet das keine Entwarnung, sondern eine klarere Reihenfolge. Die bereitesten regulierten Unternehmen haben Datenschutzbeauftragte und Rechtsabteilung bereits einbezogen — nicht für eine zwölfmonatige Grundsatzprüfung, sondern für ein eng gefasstes Scoping-Gespräch zum konkreten Workflow: Fällt dieser Anwendungsfall überhaupt in den Hochrisiko-Bereich? Welche personenbezogenen Daten berührt er? Wo greifen NIS2-Pflichten zu Risikomanagement und Lieferkette? Wer diese drei Fragen für einen einzelnen Workflow beantworten kann, ist bereit. Wer sie pauschal für „KI im Unternehmen" beantworten will, baut sich das nächste Strategiepapier.
Die 3 Warnsignale, die Scheitern vorhersagen
Warnsignal 1: Entscheidungen werden im Gremium getroffen
Wenn die Frage „Wer entscheidet, ob diese Initiative weitergeht?" eine Liste von fünf Namen und einen Verweis auf „den Lenkungsausschuss" produziert, steckt die Initiative in ernsthaften Schwierigkeiten.
Gremien sind hervorragend für Governance. Sie sind katastrophal für Exekution. KI-Initiativen erfordern schnelle Iteration, zügige Entscheidungen bei Scope-Änderungen und die Fähigkeit, einen Workflow innerhalb von Tagen zu stoppen oder zu pivotieren. Ein monatliches Lenkungsausschuss-Meeting kann diesen Takt nicht unterstützen — nicht weil der Ausschuss schlechte Arbeit leistet, sondern weil er für einen anderen Zweck konzipiert ist.
Das heißt nicht, dass Governance unnötig ist. Es heißt, dass Governance sich um eine Initiative legen sollte, die einen einzelnen Entscheider hat — nicht diesen Entscheider durch eine Gruppe ersetzen sollte. Der Unterschied ist nicht organisatorisch-formal, er ist praktisch: Der benannte Executive Sponsor aus Signal zwei muss in der Lage sein, am Dienstagmorgen eine Scope-Entscheidung zu treffen, ohne auf die nächste Plenarsitzung zu warten.
Warnsignal 2: „Wir brauchen erst eine Datenstrategie"
Das ist der teuerste Satz in der Unternehmens-KI. Er klingt verantwortungsvoll. Er klingt umsichtig. Und er verzögert die tatsächliche Wertschöpfung typischerweise um zwölf bis achtzehn Monate, während ein Beraterteam ein Dokument erstellt, das zum Zeitpunkt seiner Freigabe bereits veraltet sein wird.
Sie brauchen keine Datenstrategie, um Ihren ersten KI-Workflow zu deployen. Sie brauchen Datenzugang für einen Workflow. Das ist ein taktisches Problem, kein strategisches. Unternehmen, die auf einer Datenstrategie vor jedem KI-Deployment bestehen, lösen ein Reifeproblem, obwohl sie ein Readiness-Problem haben. Die richtige Reihenfolge ist: Einen Workflow deployen, lernen, welche Daten Sie tatsächlich brauchen, dann Strategie aus Erfahrung statt aus Theorie entwickeln.
Das klingt pragmatischer, als es gemeint ist. Gemeint ist: Wer die erste Deployment-Erfahrung macht, entdeckt invariant, dass die Datenprobleme, die tatsächlich auftauchen, andere sind als die, für die eine ex-ante-Strategie Lösungen vorbereitet hätte. Das Strategiedokument optimiert für Probleme, die sich das Unternehmen vorstellt zu haben. Die Deployment-Erfahrung zeigt, welche Probleme es tatsächlich hat.
Warnsignal 3: Niemand kann den Workflow benennen
Das ist die Umkehrung von Signal eins und das häufigste Warnsignal, dem wir begegnen.
Das Gespräch verläuft so: „Wir wollen ein KI-getriebenes Unternehmen werden." — „Sehr gut. Welchen Workflow automatisieren Sie zuerst?" — Lange Pause. — „Wir hatten gehofft, Sie könnten uns dabei helfen, das zu identifizieren."
Den richtigen Workflow zu identifizieren ist wertvolle Arbeit — und genau dafür ist die Discovery-Phase im KI-Betriebssystem konzipiert. Aber es ist Vor-Readiness-Arbeit. Das Unternehmen, das keinen einzigen Kandidaten-Workflow benennen kann, ist nicht bereit zu deployen. Es ist bereit zu explorieren.
Diese Unterscheidung ist folgenreich, weil Deployment ohne klares Workflow-Ziel Budget und Glaubwürdigkeit verbrennt — und weil es bei der nächsten Initiative ungleich schwerer ist, intern Zustimmung zu erzeugen. Exploration mit einem strukturierten Framework hingegen erzeugt in Wochen die Workflow-Definition, den Sponsor und die Datenklarheit, die ein verfrühtes Deployment in Monaten mühsam nachholen müsste.
Wie Sie diese Signale nutzen
Diese acht Signale — fünf positive, drei negative — sind kein Scoring-System. Sie brauchen nicht alle fünf positiven Signale, um zu starten. Aber Sie brauchen mindestens drei der fünf und keines der drei Warnsignale.
Das häufigste Profil bei bereiten Unternehmen: Sie haben einen benannten Workflow (Signal 1), einen Executive Sponsor (Signal 2) und zugängliche Daten (Signal 4). Teamkapazität und Compliance-Position werden bearbeitet, sind aber noch nicht vollständig geklärt. Das reicht für den Start — diese Lücken schließen sich während der Build-Phase, weil die Initiative jetzt Kontur hat und konkrete Klärungsgespräche ermöglicht.
Das häufigste Profil bei unbereiten Unternehmen: viel Begeisterung auf Leitungsebene, aber Entscheidungen im Gremium (Warnsignal 1) und kein benannter Workflow (Warnsignal 3). Diese Kombination endet fast immer in einer langen Planungsphase, die ein Strategiepapier produziert statt eines Produktiv-Deployments — und die im Zweifel ein Jahr später erneut bei null beginnt, weil sich der Markt weitergedreht hat. Genau das ist die Dynamik, die McKinsey als „Pilot Purgatory" beschreibt: Organisationen bewegen sich, ohne voranzukommen.
Von Signalen zu Handlung
Wenn Sie drei oder mehr positive Signale in Ihrer Organisation wiedererkennen, ist der nächste Schritt kein weiteres Assessment. Es ist Scoping: Workflow definieren, Initiative budgetieren, Sponsor zuweisen, Compliance-Position für genau diesen Workflow klären — und starten. Jede zusätzliche Reifegrad-Analyse an diesem Punkt ist Verzögerung im Mantel der Sorgfalt.
Wenn Sie dagegen die Warnsignale wiedererkennen, ist der nächste Schritt Discovery, nicht Deployment. Das ist keine Niederlage, sondern die billigere von zwei Lernkurven. Ein strukturierter Discovery-Prozess erzeugt in Wochen die Workflow-Definition, den Sponsor und die Datenklarheit, die ein verfrühtes Deployment in Monaten und mit verbranntem Budget mühsam nachholen müsste. Die Unterscheidung zwischen „bereit zu deployen" und „bereit zu explorieren" ist die folgenreichste Weiche im gesamten KI-Vorhaben — und die eine, die fast niemand bewusst stellt.
Eine Diagnose nimmt Ihren benannten Workflow und prüft ihn gegen die operativen Bedingungen aus dem KI-Betriebssystem — bevor Sie Budget gegen das falsche Problem freigeben. Das Ergebnis ist kein Reifegrad, sondern ein Deployment-Plan oder eine ehrliche Discovery-Empfehlung.
Quellen: McKinsey & Company, „The state of AI," November 2025 (mckinsey.com); EU Artificial Intelligence Act, Umsetzungs-Zeitplan (artificialintelligenceact.eu/implementation-timeline); Politische Einigung Digital Omnibus, 7. Mai 2026 — Verschiebung der Hochrisiko-Fristen nach Anhang III auf 2. Dezember 2027; Bundesamt für Sicherheit in der Informationstechnik (BSI), „NIS-2-regulierte Unternehmen" (bsi.bund.de). Stand: Juni 2026; der Rechtsstand zum EU AI Act ist aufgrund des laufenden Omnibus-Gesetzgebungsverfahrens fortlaufend zu prüfen.