KI im Mittelstand: Was der HSP-Praxisfall über eine produktive ChatGPT-Einführung zeigt

Eine am 7. August 2026 veröffentlichte Fallstudie zur deutschen HSP GRUPPE zeigt, wie generative KI in wissensintensiven Unternehmen vom Einzelexperiment zum gesteuerten Arbeitsmittel werden kann. Entscheidend sind nicht möglichst viele Funktionen, sondern Governance, Lernformate, standardisierte Anwendungsfälle und menschliche Fachverantwortung.

OpenAI nennt für den gemeinsam mit Kanzleipakt genutzten ChatGPT-Enterprise-Arbeitsbereich 81 Organisationsgruppen, eine wöchentliche aktive Nutzung von 84 Prozent, mehr als 500.000 Konversationen innerhalb von rund sechs Monaten und geschätzte 40.000 Stunden zusätzlicher Kapazität pro Jahr. 98,6 Prozent der befragten Beschäftigten berichteten demnach von höherer Produktivität. Das sind bemerkenswerte Werte – aber keine unabhängige Wirkungsstudie. Für den Mittelstand ist deshalb weniger die genaue Prozentzahl relevant als das erkennbare Einführungsmuster.

Was genau veröffentlicht wurde – und wie belastbar die Zahlen sind

HSP ist ein Verbund rechtlich eigenständiger Steuerberatungs-, Wirtschaftsprüfungs- und Rechtsanwaltskanzleien. Nach Angaben der HSP-Website verbindet das Netzwerk persönliche Beratung vor Ort mit gemeinsamer Infrastruktur und fachlichem Austausch. Die am 7. August veröffentlichte OpenAI-Fallstudie bezieht ihre Nutzungswerte ausdrücklich auf einen gemeinsamen Enterprise-Arbeitsbereich von HSP GRUPPE und Kanzleipakt mit 81 Organisationsgruppen – nicht auf ein einzelnes, klassisch zentral geführtes Unternehmen.

Für den Zeitraum vom 1. Februar bis 14. Juli 2026 nennt OpenAI mehr als 500.000 ChatGPT-Konversationen und 84 Prozent wöchentlich aktive Nutzung. Zusätzlich werden geschätzte 40.000 Stunden jährliche Zusatzkapazität sowie 98,6 Prozent der befragten Beschäftigten mit wahrgenommener Produktivitätssteigerung ausgewiesen. Eine Mitarbeiterin habe die Bewertung mehrerer Immobilieninvestitionen von neun auf rund zwei Stunden verkürzt.

Die Fallstudie belegt nicht, dass jedes Unternehmen vergleichbare Effekte erreicht. Sie zeigt aber, dass eine hohe wiederkehrende Nutzung in einer deutschen, regulierten Wissensbranche möglich ist – sofern Technik, Prozesse und Verantwortlichkeiten zusammen gedacht werden.

Quellen: OpenAI: How HSP GRUPPE builds AI capabilities for tax advisory, 7. August 2026; HSP GRUPPE: Unternehmenswebsite

Die wichtigste Lehre: Einführung vor Automatisierung

KI als Veränderungsprogramm behandeln

HSP führte ChatGPT Enterprise laut Fallstudie mit Fokus auf Akzeptanz, Governance und kontinuierliches Lernen ein. Monatliche KI-Foren dienten dazu, praktische Anwendungsfälle zu teilen und voneinander zu lernen. Erfolgreiche dezentrale Experimente wurden anschließend in gemeinsam nutzbare Agenten überführt. Damit folgt die Einführung einer sinnvollen Reihenfolge: entdecken, prüfen, standardisieren und erst dann skalieren.

Für den Mittelstand ist das oft wirksamer als ein großes Transformationsprogramm. Ein kleines, funktionsübergreifendes Kernteam kann reale Aufgaben auswählen, Musterlösungen dokumentieren und Rückmeldungen aus Fachbereichen sammeln. Die Geschäftsführung setzt Ziel und Risikorahmen; Fachverantwortliche definieren Qualität; IT und Datenschutz prüfen Datenflüsse, Zugriff und Vertrag. Ohne diese Rollen bleibt KI entweder ein unkontrolliertes Schattenwerkzeug oder ein teures Abo mit geringer Nutzung.

Wiederverwendbare Agenten statt Prompt-Sammlungen

Als Beispiele nennt OpenAI einen gemeinsamen Agenten für Mandantenkommunikation sowie einen Buchungsassistenten für SKR03 und SKR04. Beide unterstützen Vorbereitung und Strukturierung, treffen aber nicht die abschließende fachliche Entscheidung. Der Nutzen liegt damit nicht in einem „autonomen Steuerberater“, sondern in wiederholbaren Vorarbeiten mit klarer Übergabe an Fachkräfte.

Ein mittelständisches Unternehmen kann dieses Prinzip unabhängig vom Anbieter übernehmen: Ein freigegebener Assistent enthält Arbeitsauftrag, zulässige Quellen, Formatvorgaben, Ausschlüsse und Prüfschritte. Änderungen werden versioniert und einer verantwortlichen Stelle zugeordnet. Das ist kontrollierbarer als private Prompt-Sammlungen, die weder auf Aktualität noch auf Datenrisiken geprüft werden.

Quelle: OpenAI: HSP GRUPPE – Inside the rollout

Wo der wirtschaftliche Nutzen tatsächlich entsteht

Der Praxisfall deutet auf drei Nutzenklassen: Informationen schneller vorbereiten, Kommunikation konsistenter entwerfen und Fachwissen breiter verfügbar machen. OpenAI beschreibt unter anderem juristische Recherche, Finanzanalyse, Wissensaustausch und Mandantenkommunikation. Die frei werdende Zeit soll bei HSP nicht primär Stellen ersetzen, sondern zusätzliche Beratung, kürzere Durchlaufzeiten und bessere Betreuung ermöglichen.

Diese Unterscheidung ist für Mittelständler zentral. Zeitersparnis wird erst dann wirtschaftlich, wenn sie in einen messbaren Engpass zurückfließt. Wer 20 Minuten bei einem Text spart, aber anschließend durch unnötige Abstimmungen oder Nacharbeit keinen Prozess beschleunigt, hat noch keinen Geschäftsnutzen erzeugt. Gute Kennzahlen verbinden deshalb Aktivität und Ergebnis.

Ein belastbarer Pilot dokumentiert Ausgangswert, Ziel, Messzeitraum und Verantwortliche bereits vor dem Start. Subjektive Produktivitätsangaben bleiben nützlich, sollten aber durch Prozessdaten und Stichproben zur Ergebnisqualität ergänzt werden.

Quelle: OpenAI: HSP GRUPPE – Results and operating model

Kosten und Verbrauch als Governance-Instrument

Kostenkontrolle bei KI ist ein Governance-Thema, kein Finanzthema. Ginge es nur um die Rechnung, wäre sie eine Angelegenheit des Controllings und würde dort enden. In der Praxis entscheidet sie aber darüber, wer welche Werkzeuge nutzen darf, wie lange ein Prozess laufen darf und welche Anwendungen überhaupt eingeführt werden. Der Verbrauch ist damit ein Steuerungsmittel, nicht bloß eine Kennzahl am Ende der Periode.

Auslöser ist die Verbrauchsdynamik, nicht eine einzelne Preiserhöhung: Preise je Einheit fallen, während der Verbrauch je Nutzer und Anwendung steigt, und agentische Abläufe vervielfachen die Zahl der Modellaufrufe. Hinzu kommt die schlechte Sichtbarkeit. Rechnungen laufen gebündelt ein, meist zum Monatsende und ohne Aufschlüsselung nach Abteilung, Anwendung oder Modell. Wer erst reagiert, wenn die Summe vorliegt, verwaltet nur noch den Schaden – der auslösende Prozess bleibt unsichtbar. Verbrauchsdaten sind deshalb oft die erste überhaupt objektive Rückmeldung darüber, wie ein Anwendungsfall tatsächlich arbeitet.

Daraus folgt für mittelständische Unternehmen eine Reihenfolge: erst sichtbar machen, dann steuern, erst danach optimieren. Die Verhandlungsposition im Einkauf hilft am wenigsten, solange offen ist, welcher eigene Prozess wie viel verursacht. Parallel entstehen Bestrebungen, Kennzahlen und Berichtsformate für KI-Verbrauch zu standardisieren; das ist für den Mittelstand eine Orientierung, kein Kaufargument. Preise, Modelle und Anbietervergleiche sind im eigenständigen Beitrag zur Token-Bill nachzulesen – hier bleibt es bei der Methode, die unabhängig vom Anbieter trägt.

Sechs Regeln für die Kostensteuerung

1. Erfassen Sie die laufenden KI-Kosten vollständig. Jede Lizenz, jede API-Anbindung und jede automatische Integration gehört mit Nutzerzahl, Use Case und aktuellen Kosten auf eine Liste. Diese Liste ist rund ein Arbeitstag Aufwand – gelingt das nicht, ist bereits das erste Problem sichtbar.
2. Steuern Sie Provider und Modelle über eine dokumentierte Zuordnung. Standardaufgaben wie Zusammenfassen, Übersetzen, Klassifizieren oder einfache Codegenerierung gehören auf Modelle niedrigerer Leistungsklassen. Teure Spitzenmodelle bleiben dort vorbehalten, wo ein messbarer Qualitätsgewinn vorliegt und dieser dokumentiert ist. So wird die Modellwahl zur nachvollziehbaren Entscheidung statt zur Einzelentscheidung der Anwender.
3. Setzen Sie Budgets mit Warnschwellen. Je Abteilung ein Monatsbudget, je Nutzer eine Obergrenze, dazu eine automatische Meldung, sobald ein vereinbarter Anteil verbraucht ist. Eine Grenze, die erst nach der Überschreitung auffällt, steuert nichts – sie dokumentiert nur.
4. Protokollieren Sie jeden Modellaufruf mit Use Case, Anwender und Kostenstempel. Nur diese Zuordnung beantwortet zwei Fragen zugleich: welcher eigene Prozess verursacht die Kosten, und welche Daten sind in welches Modell geflossen. Ohne sie bleiben sowohl Budgetverhandlungen als auch Prüfungen im Audit ohne Grundlage.
5. Bewerten Sie Self-Hosting für stabile Anwendungsfälle mit hohem Volumen. Wenn Auftrag und Ablauf stabil sind, lohnt der Blick auf einen Betrieb auf eigener oder gemieteter Hardware. Diese Prüfung gehört neben die Kostenrechnung, weil Datenresidenz, Wartung und Verfügbarkeit oft den Ausschlag geben – nicht der reine Vergleich zweier Preise.
6. Verankern Sie KI-Kosten im monatlichen Management-Reporting. Ein Bericht, der je Abteilung und Anwendungsfall zeigt, wie viel verbraucht wurde und welcher Nutzen gegenübersteht, macht aus Verbrauch eine steuerbare Größe. Ohne diese Verankerung trifft jede Erhöhung ein Unternehmen, das sie nicht erwartet hat.

Quellen: CNBC: OpenAI and Anthropic Face New AI Spending Reality; TechCrunch: The token bill comes due; Madrona: The Price of Tokenmaxxing; CIO Dive: Foundation to tackle AI token cost management; Linux Foundation: Open Standards für KI-Kostenmanagement

Kostenkontrolle wirkt wie ein Governance-Instrument, weil sie eine Nutzung sichtbar macht, die sonst unsichtbar bleibt – und weil sie die Frage stellt, welcher Aufwand überhaupt einen geschäftlichen Wert hat. Wer die Verbrauchsdaten eines Prozesses kennt, kann entscheiden, ob er standardisiert, begrenzt oder beendet wird. Damit schließt sich der Bogen zu der Frage nach dem wirtschaftlichen Nutzen: Ohne sichtbare Kosten bleibt die Bewertung eines Anwendungsfalls eine Meinung, mit sichtbaren Kosten wird sie eine Entscheidung.

Governance: Warum Enterprise-Funktionen allein nicht reichen

OpenAI nennt für seine Business-Angebote unter anderem Verschlüsselung bei Übertragung und Speicherung sowie die Zusage, Geschäftsdaten standardmäßig nicht zum Training der Modelle zu verwenden. Je nach Produkt und Berechtigung stehen Funktionen wie SAML-SSO, SCIM, rollenbasierte Zugriffe, Nutzungsanalysen, Audit-Logs sowie Datenresidenz zur Verfügung. Welche Funktionen tatsächlich enthalten sind, muss jedoch im konkreten Tarif und Vertrag geprüft werden.

HSP betont in der Fallstudie zusätzlich interne Regeln für Datenschutz, Vertraulichkeit und Governance. Fachprüfung und Endverantwortung bleiben bei den zuständigen Steuer-, Rechts- oder Buchhaltungsexperten. Genau darin liegt die entscheidende Trennung: Anbieterfunktionen sichern die Plattform; das Unternehmen bleibt für zulässige Eingaben, fachliche Verwendung, Zugriffsrechte und Ergebnisse verantwortlich.

Für personenbezogene Daten gilt die DSGVO neben dem AI Act weiter. Der Europäische Datenschutzausschuss hebt hervor, dass Fragen wie Anonymität, Rechtsgrundlage und berechtigte Interessen im Einzelfall zu bewerten sind. Ein als „Enterprise“ vermarkteter Dienst schafft also nicht automatisch eine Rechtsgrundlage für die Verarbeitung von Kunden-, Beschäftigten- oder Bewerberdaten.

Quellen: OpenAI: Enterprise privacy and security; Europäischer Datenschutzausschuss: Opinion 28/2024 on AI models

Sicherheit: Von Dateneingaben bis zu Agentenrechten

Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass generative KI neue Sicherheitsrisiken schafft und bekannte Bedrohungen verstärken kann. Bei eingebetteten Modellen gehören indirekte Prompt-Injections zu den relevanten Angriffspfaden: Manipulierte Inhalte können Anweisungen einschleusen, Ausgaben beeinflussen oder bei ungünstiger Architektur Datenabfluss begünstigen. Das Risiko steigt, sobald ein Agent private Informationen liest, nicht vertrauenswürdige Quellen verarbeitet und über Werkzeuge Daten senden oder Systeme verändern kann.

Für einen reinen Textassistenten und einen Agenten mit Zugriff auf E-Mail, Dokumentenablage oder ERP dürfen daher nicht dieselben Kontrollen gelten. Vor dem Tool-Zugriff sollten Least Privilege, getrennte Testumgebung, Protokollierung, Freigabeschritte und ein Abschaltmechanismus stehen. Sensible Aktionen – etwa Zahlungen, Vertragsänderungen oder externe Nachrichten – brauchen eine explizite menschliche Bestätigung.

Eine einfache Datenampel hilft im Alltag:

• Grün: öffentliche oder ausdrücklich freigegebene Inhalte.
• Gelb: interne Informationen nur in genehmigten Business-Workspaces und für freigegebene Zwecke.
• Rot: besondere Kategorien personenbezogener Daten, Zugangsdaten, Geheimnisse oder besonders vertrauliche Mandanten- und Vertragsinhalte ohne Einzelfreigabe und geeignete Schutzmaßnahmen.

Die genaue Einstufung muss zum Unternehmen passen. Wichtig ist, dass Beschäftigte sie verstehen und direkt im Arbeitsablauf anwenden können.

Quelle: BSI: Künstliche Intelligenz – Chancen, Risiken und Gegenmaßnahmen

Regulierung: KI-Kompetenz wird Teil des Betriebsmodells

Der EU AI Act wird stufenweise angewendet. Nach der aktuellen Zeitleiste der EU gelten seit 2. August 2026 unter anderem Transparenzregeln; zugleich beginnt die Durchsetzung für anwendbare Vorschriften auf nationaler und EU-Ebene. Vorgaben zur KI-Kompetenz zielen darauf, dass Personen, die KI-Systeme einsetzen, Chancen, Risiken und mögliche Schäden einordnen können. Die angemessene Tiefe hängt von Rolle, Erfahrung und Einsatzkontext ab.

Ein allgemeines einstündiges Webinar genügt deshalb nicht für alle Rollen. Marketing benötigt andere Leitplanken als Personalwesen, Entwicklung oder Buchhaltung. Sinnvoll sind Basismodule für alle Nutzer und vertiefte Schulungen für Administratoren, Fachprüfer und Personen, die Agenten konfigurieren. Teilnahme, Inhalte und Aktualisierungen sollten dokumentiert werden. Die monatlichen Lernforen aus dem HSP-Fall sind damit nicht nur Change Management, sondern ein praktischer Baustein fortlaufender KI-Kompetenz.

Quellen: EU AI Act Service Desk: Timeline for implementation; EUR-Lex: Verordnung (EU) 2024/1689

Ein realistischer 90-Tage-Plan für den Mittelstand

Tage 1 bis 30: Inventar und Leitplanken

• Bestehende KI-Nutzung, Konten, Datenarten und Schatten-KI erfassen.
• Zwei klar begrenzte Prozesse mit hohem manuellem Vorbereitungsanteil auswählen.
• Datenschutz, Informationssicherheit, Fachbereich und Arbeitnehmervertretung früh einbinden.
• Genehmigten Workspace, Identitätsmanagement und Datenampel festlegen.
• Ausgangswerte für Zeit, Qualität, Kosten und Durchlauf messen.

Tage 31 bis 60: Kontrollierter Pilot

• 10 bis 25 repräsentative Nutzer statt nur KI-Enthusiasten einbeziehen.
• Rollenbezogene Schulung und wöchentliche Sprechstunde anbieten.
• Wiederverwendbare Vorlagen oder Agenten mit Verantwortlichen und Versionsstand aufbauen.
• Ergebnisse stichprobenartig fachlich prüfen und Fehlermuster dokumentieren.
• Noch keine autonomen Schreibzugriffe auf geschäftskritische Systeme erteilen.

Tage 61 bis 90: Entscheidung und Skalierung

• Nutzung, Bearbeitungszeit, Qualität, Risiko und Gesamtkosten gemeinsam auswerten.
• Erfolgreiche Arbeitsweisen standardisieren; schwache Use Cases beenden.
• Vertrag, Aufbewahrung, Subprozessoren, Datenregion und Exit-Optionen prüfen.
• Erst danach einen Agenten-Workflow mit minimalen Rechten und menschlicher Freigabe pilotieren.
• Quartalsweise Reviews sowie laufende Lernformate etablieren.

Welche Aufgaben sich zuerst eignen

Geeignet sind wiederkehrende, text- oder wissensintensive Aufgaben, deren Ergebnisse ein Mensch schnell prüfen kann: Entwürfe, Zusammenfassungen, Klassifizierung, Recherchevorbereitung, Meeting-Nachbereitung oder strukturierte Extraktion aus freigegebenen Dokumenten. Weniger geeignet für den Start sind Entscheidungen mit erheblicher Wirkung auf Personen, vollautomatische externe Kommunikation und Prozesse, bei denen ein Fehler unmittelbar finanzielle, rechtliche oder sicherheitskritische Folgen hat.

Der HSP-Fall bestätigt damit eine nüchterne Regel: Je leichter ein Ergebnis fachlich überprüfbar und je begrenzter die Berechtigung, desto besser eignet sich der Prozess für einen frühen Pilot. Autonomie ist kein Reifegrad an sich. Ein gut kontrollierter Assistent kann mehr Geschäftswert liefern als ein spektakulärer Agent, dessen Entscheidungen niemand zuverlässig überwacht.

Fazit: Der organisatorische Unterbau entscheidet

Die HSP-Fallstudie ist keine unabhängige Garantie für zweistellige Produktivitätseffekte. Sie ist jedoch ein aktuelles und für deutsche mittelständische Unternehmen relevantes Beispiel dafür, wie breite KI-Nutzung entstehen kann: durch konkrete Arbeitsprobleme, gemeinsame Lernschleifen, standardisierte Hilfsmittel und klar verbleibende Fachverantwortung.

Wer nur Lizenzen verteilt, bekommt ungleichmäßige Nutzung und schwer messbaren Nutzen. Wer dagegen Prozesse, Datenregeln, Qualifikation, Messung und Sicherheit gemeinsam gestaltet, schafft eine Grundlage für kontrollierte Skalierung. Der richtige nächste Schritt ist deshalb selten „mehr Agenten“, sondern ein begrenzter Pilot mit belastbarer Ausgangsmessung und einem benannten Prozessverantwortlichen.

EIST Consulting unterstützt Unternehmen dabei, KI-Nutzung zu inventarisieren, sichere Leitplanken aufzubauen und geeignete Prozesse in messbare Piloten zu überführen – pragmatisch, anbieterneutral und passend zur vorhandenen IT-Landschaft.