KI im Mittelstand: Was der HSP-Praxisfall über eine produktive ChatGPT-Einführung zeigt

Eine am 7. August 2026 veröffentlichte Fallstudie zur deutschen HSP GRUPPE zeigt, wie generative KI in wissensintensiven Unternehmen vom Einzelexperiment zum gesteuerten Arbeitsmittel werden kann. Entscheidend sind nicht möglichst viele Funktionen, sondern Governance, Lernformate, standardisierte Anwendungsfälle und menschliche Fachverantwortung.

OpenAI nennt für den gemeinsam mit Kanzleipakt genutzten ChatGPT-Enterprise-Arbeitsbereich 81 Organisationsgruppen, eine wöchentliche aktive Nutzung von 84 Prozent, mehr als 500.000 Konversationen innerhalb von rund sechs Monaten und geschätzte 40.000 Stunden zusätzlicher Kapazität pro Jahr. 98,6 Prozent der befragten Beschäftigten berichteten demnach von höherer Produktivität. Das sind bemerkenswerte Werte – aber keine unabhängige Wirkungsstudie. Für KMU ist deshalb weniger die genaue Prozentzahl relevant als das erkennbare Einführungsmuster.

Was genau veröffentlicht wurde – und wie belastbar die Zahlen sind

HSP ist ein Verbund rechtlich eigenständiger Steuerberatungs-, Wirtschaftsprüfungs- und Rechtsanwaltskanzleien. Nach Angaben der HSP-Website verbindet das Netzwerk persönliche Beratung vor Ort mit gemeinsamer Infrastruktur und fachlichem Austausch. Die am 7. August veröffentlichte OpenAI-Fallstudie bezieht ihre Nutzungswerte ausdrücklich auf einen gemeinsamen Enterprise-Arbeitsbereich von HSP GRUPPE und Kanzleipakt mit 81 Organisationsgruppen – nicht auf ein einzelnes, klassisch zentral geführtes Unternehmen.

Für den Zeitraum vom 1. Februar bis 14. Juli 2026 nennt OpenAI mehr als 500.000 ChatGPT-Konversationen und 84 Prozent wöchentlich aktive Nutzung. Zusätzlich werden geschätzte 40.000 Stunden jährliche Zusatzkapazität sowie 98,6 Prozent der befragten Beschäftigten mit wahrgenommener Produktivitätssteigerung ausgewiesen. Eine Mitarbeiterin habe die Bewertung mehrerer Immobilieninvestitionen von neun auf rund zwei Stunden verkürzt.

Die Fallstudie belegt nicht, dass jedes Unternehmen vergleichbare Effekte erreicht. Sie zeigt aber, dass eine hohe wiederkehrende Nutzung in einer deutschen, regulierten Wissensbranche möglich ist – sofern Technik, Prozesse und Verantwortlichkeiten zusammen gedacht werden.

Quellen: OpenAI: How HSP GRUPPE builds AI capabilities for tax advisory, 7. August 2026; HSP GRUPPE: Unternehmenswebsite

Die wichtigste Lehre: Einführung vor Automatisierung

KI als Veränderungsprogramm behandeln

HSP führte ChatGPT Enterprise laut Fallstudie mit Fokus auf Akzeptanz, Governance und kontinuierliches Lernen ein. Monatliche KI-Foren dienten dazu, praktische Anwendungsfälle zu teilen und voneinander zu lernen. Erfolgreiche dezentrale Experimente wurden anschließend in gemeinsam nutzbare Agenten überführt. Damit folgt die Einführung einer sinnvollen Reihenfolge: entdecken, prüfen, standardisieren und erst dann skalieren.

Für KMU ist das oft wirksamer als ein großes Transformationsprogramm. Ein kleines, funktionsübergreifendes Kernteam kann reale Aufgaben auswählen, Musterlösungen dokumentieren und Rückmeldungen aus Fachbereichen sammeln. Die Geschäftsführung setzt Ziel und Risikorahmen; Fachverantwortliche definieren Qualität; IT und Datenschutz prüfen Datenflüsse, Zugriff und Vertrag. Ohne diese Rollen bleibt KI entweder ein unkontrolliertes Schattenwerkzeug oder ein teures Abo mit geringer Nutzung.

Wiederverwendbare Agenten statt Prompt-Sammlungen

Als Beispiele nennt OpenAI einen gemeinsamen Agenten für Mandantenkommunikation sowie einen Buchungsassistenten für SKR03 und SKR04. Beide unterstützen Vorbereitung und Strukturierung, treffen aber nicht die abschließende fachliche Entscheidung. Der Nutzen liegt damit nicht in einem „autonomen Steuerberater“, sondern in wiederholbaren Vorarbeiten mit klarer Übergabe an Fachkräfte.

Ein KMU kann dieses Prinzip unabhängig vom Anbieter übernehmen: Ein freigegebener Assistent enthält Arbeitsauftrag, zulässige Quellen, Formatvorgaben, Ausschlüsse und Prüfschritte. Änderungen werden versioniert und einer verantwortlichen Stelle zugeordnet. Das ist kontrollierbarer als private Prompt-Sammlungen, die weder auf Aktualität noch auf Datenrisiken geprüft werden.

Quelle: OpenAI: HSP GRUPPE – Inside the rollout

Wo der wirtschaftliche Nutzen tatsächlich entsteht

Der Praxisfall deutet auf drei Nutzenklassen: Informationen schneller vorbereiten, Kommunikation konsistenter entwerfen und Fachwissen breiter verfügbar machen. OpenAI beschreibt unter anderem juristische Recherche, Finanzanalyse, Wissensaustausch und Mandantenkommunikation. Die frei werdende Zeit soll bei HSP nicht primär Stellen ersetzen, sondern zusätzliche Beratung, kürzere Durchlaufzeiten und bessere Betreuung ermöglichen.

Diese Unterscheidung ist für Mittelständler zentral. Zeitersparnis wird erst dann wirtschaftlich, wenn sie in einen messbaren Engpass zurückfließt. Wer 20 Minuten bei einem Text spart, aber anschließend durch unnötige Abstimmungen oder Nacharbeit keinen Prozess beschleunigt, hat noch keinen Geschäftsnutzen erzeugt. Gute Kennzahlen verbinden deshalb Aktivität und Ergebnis.

Messbereich	Sinnvolle Kennzahlen	Warum relevant
Nutzung	Aktive Anwender, wiederkehrende Nutzung, Abbruchquote	Zeigt, ob das Werkzeug im Alltag ankommt
Effizienz	Bearbeitungszeit, Rückfragen, Durchlaufzeit	Misst Prozesswirkung statt Prompt-Menge
Qualität	Korrekturschleifen, Fehlerquote, fachliche Freigaben	Verhindert Scheingewinne durch zusätzliche Nacharbeit
Geschäft	Zusätzlich bearbeitete Fälle, Reaktionszeit, Kapazität	Verbindet Zeitgewinn mit Kundennutzen oder Umsatz
Risiko & Kosten	Vorfälle, sensible Eingaben, Gesamtkosten pro Prozess	Macht Skalierung steuerbar

Ein belastbarer Pilot dokumentiert Ausgangswert, Ziel, Messzeitraum und Verantwortliche bereits vor dem Start. Subjektive Produktivitätsangaben bleiben nützlich, sollten aber durch Prozessdaten und Stichproben zur Ergebnisqualität ergänzt werden.

Quelle: OpenAI: HSP GRUPPE – Results and operating model

Governance: Warum Enterprise-Funktionen allein nicht reichen

OpenAI nennt für seine Business-Angebote unter anderem Verschlüsselung bei Übertragung und Speicherung sowie die Zusage, Geschäftsdaten standardmäßig nicht zum Training der Modelle zu verwenden. Je nach Produkt und Berechtigung stehen Funktionen wie SAML-SSO, SCIM, rollenbasierte Zugriffe, Nutzungsanalysen, Audit-Logs sowie Datenresidenz zur Verfügung. Welche Funktionen tatsächlich enthalten sind, muss jedoch im konkreten Tarif und Vertrag geprüft werden.

HSP betont in der Fallstudie zusätzlich interne Regeln für Datenschutz, Vertraulichkeit und Governance. Fachprüfung und Endverantwortung bleiben bei den zuständigen Steuer-, Rechts- oder Buchhaltungsexperten. Genau darin liegt die entscheidende Trennung: Anbieterfunktionen sichern die Plattform; das Unternehmen bleibt für zulässige Eingaben, fachliche Verwendung, Zugriffsrechte und Ergebnisse verantwortlich.

Für personenbezogene Daten gilt die DSGVO neben dem AI Act weiter. Der Europäische Datenschutzausschuss hebt hervor, dass Fragen wie Anonymität, Rechtsgrundlage und berechtigte Interessen im Einzelfall zu bewerten sind. Ein als „Enterprise“ vermarkteter Dienst schafft also nicht automatisch eine Rechtsgrundlage für die Verarbeitung von Kunden-, Beschäftigten- oder Bewerberdaten.

Quellen: OpenAI: Enterprise privacy and security; Europäischer Datenschutzausschuss: Opinion 28/2024 on AI models

Sicherheit: Von Dateneingaben bis zu Agentenrechten

Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass generative KI neue Sicherheitsrisiken schafft und bekannte Bedrohungen verstärken kann. Bei eingebetteten Modellen gehören indirekte Prompt-Injections zu den relevanten Angriffspfaden: Manipulierte Inhalte können Anweisungen einschleusen, Ausgaben beeinflussen oder bei ungünstiger Architektur Datenabfluss begünstigen. Das Risiko steigt, sobald ein Agent private Informationen liest, nicht vertrauenswürdige Quellen verarbeitet und über Werkzeuge Daten senden oder Systeme verändern kann.

Für einen reinen Textassistenten und einen Agenten mit Zugriff auf E-Mail, Dokumentenablage oder ERP dürfen daher nicht dieselben Kontrollen gelten. Vor dem Tool-Zugriff sollten Least Privilege, getrennte Testumgebung, Protokollierung, Freigabeschritte und ein Abschaltmechanismus stehen. Sensible Aktionen – etwa Zahlungen, Vertragsänderungen oder externe Nachrichten – brauchen eine explizite menschliche Bestätigung.

Eine einfache Datenampel hilft im Alltag:

• Grün: öffentliche oder ausdrücklich freigegebene Inhalte.
• Gelb: interne Informationen nur in genehmigten Business-Workspaces und für freigegebene Zwecke.
• Rot: besondere Kategorien personenbezogener Daten, Zugangsdaten, Geheimnisse oder besonders vertrauliche Mandanten- und Vertragsinhalte ohne Einzelfreigabe und geeignete Schutzmaßnahmen.

Die genaue Einstufung muss zum Unternehmen passen. Wichtig ist, dass Beschäftigte sie verstehen und direkt im Arbeitsablauf anwenden können.

Quelle: BSI: Künstliche Intelligenz – Chancen, Risiken und Gegenmaßnahmen

Regulierung: KI-Kompetenz wird Teil des Betriebsmodells

Der EU AI Act wird stufenweise angewendet. Nach der aktuellen Zeitleiste der EU gelten seit 2. August 2026 unter anderem Transparenzregeln; zugleich beginnt die Durchsetzung für anwendbare Vorschriften auf nationaler und EU-Ebene. Vorgaben zur KI-Kompetenz zielen darauf, dass Personen, die KI-Systeme einsetzen, Chancen, Risiken und mögliche Schäden einordnen können. Die angemessene Tiefe hängt von Rolle, Erfahrung und Einsatzkontext ab.

Ein allgemeines einstündiges Webinar genügt deshalb nicht für alle Rollen. Marketing benötigt andere Leitplanken als Personalwesen, Entwicklung oder Buchhaltung. Sinnvoll sind Basismodule für alle Nutzer und vertiefte Schulungen für Administratoren, Fachprüfer und Personen, die Agenten konfigurieren. Teilnahme, Inhalte und Aktualisierungen sollten dokumentiert werden. Die monatlichen Lernforen aus dem HSP-Fall sind damit nicht nur Change Management, sondern ein praktischer Baustein fortlaufender KI-Kompetenz.

Quellen: EU AI Act Service Desk: Timeline for implementation; EUR-Lex: Verordnung (EU) 2024/1689

Ein realistischer 90-Tage-Plan für KMU

Tage 1 bis 30: Inventar und Leitplanken

• Bestehende KI-Nutzung, Konten, Datenarten und Schatten-KI erfassen.
• Zwei klar begrenzte Prozesse mit hohem manuellem Vorbereitungsanteil auswählen.
• Datenschutz, Informationssicherheit, Fachbereich und Arbeitnehmervertretung früh einbinden.
• Genehmigten Workspace, Identitätsmanagement und Datenampel festlegen.
• Ausgangswerte für Zeit, Qualität, Kosten und Durchlauf messen.

Tage 31 bis 60: Kontrollierter Pilot

• 10 bis 25 repräsentative Nutzer statt nur KI-Enthusiasten einbeziehen.
• Rollenbezogene Schulung und wöchentliche Sprechstunde anbieten.
• Wiederverwendbare Vorlagen oder Agenten mit Verantwortlichen und Versionsstand aufbauen.
• Ergebnisse stichprobenartig fachlich prüfen und Fehlermuster dokumentieren.
• Noch keine autonomen Schreibzugriffe auf geschäftskritische Systeme erteilen.

Tage 61 bis 90: Entscheidung und Skalierung

• Nutzung, Bearbeitungszeit, Qualität, Risiko und Gesamtkosten gemeinsam auswerten.
• Erfolgreiche Arbeitsweisen standardisieren; schwache Use Cases beenden.
• Vertrag, Aufbewahrung, Subprozessoren, Datenregion und Exit-Optionen prüfen.
• Erst danach einen Agenten-Workflow mit minimalen Rechten und menschlicher Freigabe pilotieren.
• Quartalsweise Reviews sowie laufende Lernformate etablieren.

Welche Aufgaben sich zuerst eignen

Geeignet sind wiederkehrende, text- oder wissensintensive Aufgaben, deren Ergebnisse ein Mensch schnell prüfen kann: Entwürfe, Zusammenfassungen, Klassifizierung, Recherchevorbereitung, Meeting-Nachbereitung oder strukturierte Extraktion aus freigegebenen Dokumenten. Weniger geeignet für den Start sind Entscheidungen mit erheblicher Wirkung auf Personen, vollautomatische externe Kommunikation und Prozesse, bei denen ein Fehler unmittelbar finanzielle, rechtliche oder sicherheitskritische Folgen hat.

Der HSP-Fall bestätigt damit eine nüchterne Regel: Je leichter ein Ergebnis fachlich überprüfbar und je begrenzter die Berechtigung, desto besser eignet sich der Prozess für einen frühen Pilot. Autonomie ist kein Reifegrad an sich. Ein gut kontrollierter Assistent kann mehr Geschäftswert liefern als ein spektakulärer Agent, dessen Entscheidungen niemand zuverlässig überwacht.

Fazit: Der organisatorische Unterbau entscheidet

Die HSP-Fallstudie ist keine unabhängige Garantie für zweistellige Produktivitätseffekte. Sie ist jedoch ein aktuelles und für deutsche KMU relevantes Beispiel dafür, wie breite KI-Nutzung entstehen kann: durch konkrete Arbeitsprobleme, gemeinsame Lernschleifen, standardisierte Hilfsmittel und klar verbleibende Fachverantwortung.

Wer nur Lizenzen verteilt, bekommt ungleichmäßige Nutzung und schwer messbaren Nutzen. Wer dagegen Prozesse, Datenregeln, Qualifikation, Messung und Sicherheit gemeinsam gestaltet, schafft eine Grundlage für kontrollierte Skalierung. Der richtige nächste Schritt ist deshalb selten „mehr Agenten“, sondern ein begrenzter Pilot mit belastbarer Ausgangsmessung und einem benannten Prozessverantwortlichen.

EIST Consulting unterstützt Unternehmen dabei, KI-Nutzung zu inventarisieren, sichere Leitplanken aufzubauen und geeignete Prozesse in messbare Piloten zu überführen – pragmatisch, anbieterneutral und passend zur vorhandenen IT-Landschaft.