AI Act Transparenzpflichten: DACH-Unternehmen sind unzureichend vorbereitet

Die europäische Gesetzgebung fordert Klarheit beim Einsatz Künstlicher Intelligenz. Insbesondere ab dem 2. August 2026 treten für viele Unternehmen die Transparenzpflichten des EU Artificial Intelligence Act, kurz EU AI Act, in Kraft. Doch eine aktuelle Studie zeichnet ein besorgniserregendes Bild der Vorbereitung im deutschsprachigen Raum. Daten von Litzki Systems LLC, veröffentlicht am 4. Juli 2026, offenbaren, dass keines der 557 analysierten Unternehmensdomänen aus Deutschland, Österreich und der Schweiz den erforderlichen „CERTIFIED“-Status in Bezug auf die Konformität mit dem EU AI Act erreicht. Nur wenige Wochen vor dem Stichtag unterstreicht diese Erkenntnis die dringende Notwendigkeit für Unternehmen im DACH-Raum, ihre KI-Governance und -Compliance massiv zu verbessern.\n\nDieses Ergebnis ist kein Luxusproblem für Grosskonzerne, sondern betrifft den Mittelstand direkt. Es geht um rechtliche Sicherheit, den Schutz sensibler Daten und letztlich um das Vertrauen von Kunden und Mitarbeitern in den verantwortungsvollen Einsatz von KI-Technologien. Die Zeit drängt, um proaktiv zu handeln und potenzielle Risiken, einschliesslich hoher Bussgelder, abzuwenden.\n\n## Der EU AI Act: Ein risikobasierter Rechtsrahmen für Vertrauen\n\nDer EU Artificial Intelligence Act ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Das Gesetz verfolgt einen risikobasierten Ansatz. Es kategorisiert KI-Systeme nach ihrem potenziellen Schadensrisiko für Nutzer und Gesellschaft. Während bestimmte verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz bereits seit dem 2. Februar 2025 gelten, wird der 2. August 2026 zu einem entscheidenden Stichtag. Ab diesem Datum sind die Transparenzpflichten aus Artikel 50 des AI Act für eine Vielzahl von Anbietern und Betreibern generativer KI-Systeme praktisch relevant.\n\nDies betrifft insbesondere die Kennzeichnung und Erkennung von KI-generierten oder manipulierten Inhalten. Unternehmen müssen künftig nachvollziehbar machen können, wann und wie KI in die Erstellung oder Veränderung von Texten, Bildern oder anderen Medien involviert war. Diese Anforderung ist weitreichender, als viele derzeit annehmen. Sie erstreckt sich nicht nur auf die explizite Nutzung von grossen Sprachmodellen, sondern auch auf integrierte KI-Funktionen in Standardsoftware wie Office-Suiten, CRM-Systemen oder HR-Tools.\n\nFür sogenannte Hochrisiko-KI-Systeme nach Anhang III, beispielsweise in den Bereichen Personalwesen, Bildung oder Kreditprüfung, wurden die Fristen auf den 2. Dezember 2027 verschoben. Für Hochrisiko-KI nach Anhang I, die in regulierte Produkte eingebettet ist, gilt eine noch längere Übergangsfrist bis zum 2. August 2028. Ungeachtet dieser gestaffelten Fristen sind grundlegende Transparenz- und Governance-Anforderungen jedoch unmittelbar relevant und dürfen nicht aufgeschoben werden. Der AI Act zielt darauf ab, das Vertrauen in KI zu stärken und negative Auswirkungen zu verhindern. Dies ist angesichts der oft intransparenten Entscheidungsfindung von KI-Systemen von grosser Bedeutung, insbesondere wenn es um sensible Bereiche wie Einstellungsprozesse oder die Gewährung öffentlicher Leistungen geht.\n\n## Das Compliance-Vakuum im DACH-Mittelstand: Eine alarmierende Bestandsaufnahme\n\nDie von Litzki Systems LLC durchgeführte „DACH Benchmark 2026“ analysierte 557 Unternehmensdomänen aus Deutschland, Österreich und der Schweiz. Ziel war es, die Bereitschaft dieser Unternehmen für die Anforderungen des EU AI Act zu bewerten. Die Untersuchung basierte auf sechs Clustern und über 80 Parametern, die für den Erhalt des „CERTIFIED“-Status als essenziell gelten. Zu diesen kritischen Bausteinen gehören eine maschinenlesbare KI-Offenlegung unter dem Standardpfad `ai-disclosure.json`, eine granular dokumentierte Cookie-Consent-Architektur und eine vollständige Governance-Dokumentation. Das Ergebnis ist eindeutig und alarmierend: Keines der untersuchten Unternehmen erreichte den erforderlichen Status. Dies weist auf ein erhebliches Compliance-Vakuum im gesamten DACH-Raum hin.\n\nExperten weisen auf mehrere Gründe für diese mangelnde Vorbereitung hin. Erstens existiert in vielen Hochrisiko-Kategorien noch immer eine unzureichende Umsetzungs-Guidance seitens der Behörden. Dies führt dazu, dass Tausende von Unternehmen zwar zur Compliance verpflichtet sind, aber nicht genau wissen, welche konkreten Schritte sie unternehmen müssen. Zweitens werden viele KI-Funktionen dezentral und oft unbemerkt in bestehende Softwareprodukte integriert. Dies erschwert eine zentrale Inventarisierung und Registrierung erheblich. Drittens werden Verantwortlichkeiten für den KI-Einsatz oft aus Budgethoheit und nicht aus einer formalen Rollenzuweisung abgeleitet. Viertens besteht häufig die irrige Annahme, der Datenschutzbeauftragte könne die gesamte KI-Governance übernehmen. Dies führt zu suboptimal besetzten Aufgaben und einer Überlastung der entsprechenden Abteilungen. Der Mangel an klaren Prozessen, Verantwortlichkeiten und die Unterschätzung der Komplexität sind die Hauptursachen für diese kritische Situation.\n\n## Sechs Handlungsfelder für die sofortige KI-Compliance\n\nDie bevorstehende Durchsetzung des EU AI Act erfordert von DACH-Unternehmen ein zügiges und systematisches Handeln. Die folgenden sechs Handlungsfelder sind entscheidend, um Compliance zu gewährleisten und die Potenziale von KI verantwortungsvoll zu nutzen.\n\n### 1. KI-Inventarisierung und Risikoklassifizierung\n\nDer erste Schritt ist eine umfassende und strukturierte Übersicht aller im Unternehmen eingesetzten KI-Systeme. Dies umfasst nicht nur offensichtliche Anwendungen, sondern auch alle eingebetteten KI-Funktionen in bestehender Software wie CRM-, ERP-, Office-Suiten oder HR-Tools. Für jedes identifizierte System sollten der Anbieter, der genaue Verwendungszweck, die Risikokategorie gemäss EU AI Act und die intern verantwortliche Person klar dokumentiert werden. Ein „Operatives KI-Audit“ kann hierbei als Instrument dienen, um eine detaillierte Workflow Map, eine präzise Risikoklassifizierung und eine robuste Kontrollarchitektur zu erstellen. Nur wer weiss, welche KI wo eingesetzt wird, kann Risiken bewerten und steuern.\n\n### 2. Transparenzpflichten und Audit-Trails\n\nGerade für sogenannte „agentische KI-Workflows“, also autonome Systeme, die eigenständig Aufgaben planen und ausführen, wird ein nachvollziehbarer Audit Trail unerlässlich. Unternehmen müssen in der Lage sein, lückenlos zu dokumentieren, wann und wie KI-generierte Inhalte erstellt oder manipuliert wurden. Der EU AI Act fordert eine explizite Kennzeichnung bestimmter KI-generierter oder manipulierter Inhalte. Dies wirft praktische Fragen auf: Weiss Ihr Unternehmen beispielsweise, ob ein vom Kunden hochgeladener Text oder eine Grafik KI-generiert wurde? Die Implementierung technischer Lösungen zur Erkennung und Kennzeichnung sowie die Schulung der Mitarbeiter im Umgang mit diesen Anforderungen sind von zentraler Bedeutung.\n\n### 3. Datenschutz und Datensouveränität\n\nDie Bestimmungen der Datenschutz-Grundverordnung (DSGVO) und das revidierte Schweizer Datenschutzgesetz (revDSG) sind direkt auf alle KI-gestützten Datenbearbeitungen anwendbar. Für Schweizer Unternehmen bedeutet dies, dass zwar keine zwingende Datenhaltung in der Schweiz vorgeschrieben ist, das Zielland jedoch einen angemessenen Datenschutz gewährleisten muss. EU-Länder gelten hierbei als zulässig. Unternehmen müssen sicherstellen, dass interne Dokumente, personenbezogene Daten oder vertrauliche Inhalte nicht unbemerkt in externe Systeme gelangen. Eine sorgfältige Prüfung der Datenresidenz und der Datenschutzbedingungen der eingesetzten KI-Anbieter ist unabdingbar. Der Trend zur „Geopatriation“, also der Verlagerung von Daten und Workloads in souveräne oder regionale Clouds, wird sich im Jahr 2026 verstärken. Dies ist eine strategische Massnahme, um Datensouveränität und Compliance proaktiv zu sichern.\n\n### 4. Rollenklärung und Kompetenzaufbau (Change Management)\n\nDie Einführung von KI ist weit mehr als ein Technologieprojekt. Es ist ein grundlegender Paradigmenwechsel, der Prozesse, Rollen, Entscheidungsfindungen und die gesamte Arbeitskultur eines Unternehmens verändert. Es ist unerlässlich, klare Verantwortlichkeiten für die KI-Governance zuzuweisen, beispielsweise einen „AI-Officer“ oder ein dediziertes Governance-Board. Gleichzeitig muss massiv in die Kompetenzentwicklung der Mitarbeiter investiert werden. Dies umfasst Schulungen in Bereichen wie Prompt-Design, Datenqualität, Bias-Erkennung und Risikomanagement. Führungskräfte müssen befähigt werden, den strategischen KI-Einsatz zu steuern und ihre Teams durch diesen tiefgreifenden Wandel zu führen. Ohne die Akzeptanz und das Wissen der Belegschaft bleibt jede KI-Initiative Stückwerk.\n\n### 5. Anbieter-Dokumentation einfordern\n\nBevor ein KI-Tool geschäftskritisch eingesetzt wird, sollten Unternehmen proaktiv umfassende Dokumentationen von ihren KI-Anbietern einfordern. Dazu gehören sogenannte „Model Cards“, welche detaillierte Informationen zum Trainingsdatensatz, den Fähigkeiten und den Grenzen des Modells enthalten. Weiterhin sind die Datenschutzbedingungen, Informationen zur Datenresidenz, eine Liste der Subprozessoren, aktuelle Sicherheitsdokumente und klare Incident-Prozesse von entscheidender Bedeutung. Diese Dokumente bilden die Grundlage für eine fundierte Risikobewertung und die Einhaltung der eigenen Compliance-Pflichten. Eine mangelnde Transparenz seitens des Anbieters sollte ein klares Warnsignal sein.\n\n### 6. Schatten-KI und interne Richtlinien\n\nDie unbeaufsichtigte Nutzung von KI-Tools durch Mitarbeiter, oft als „Schatten-KI“ bezeichnet, stellt ein wachsendes DSGVO-Risiko dar. Ohne klare Regeln und Richtlinien können sensible Unternehmensdaten oder personenbezogene Informationen unkontrolliert in externe, möglicherweise unsichere KI-Systeme gelangen. Unternehmen müssen daher verbindliche interne Richtlinien für den Einsatz von KI festlegen. Diese Richtlinien sollten definieren, welche Tools erlaubt sind, wie mit sensiblen Daten umzugehen ist und welche Schulungen obligatorisch sind. Eine offene Kommunikation über die Risiken und Vorteile von KI fördert das Verständnis und die Compliance innerhalb der Organisation.\n\n## Kritische Einordnung: Fokus auf Substanz statt Hype\n\nBei Kapitel H vertreten wir die Überzeugung, dass der Wert von Künstlicher Intelligenz nicht in abstrakten Hype-Versprechen liegt, sondern in konkreten, messbaren Geschäftsergebnissen. Die Erkenntnisse der Litzki Systems LLC Studie bestätigen eine Beobachtung, die wir seit Langem machen: Viele Unternehmen haben sich von der schillernden Welt der KI-Technologie blenden lassen, ohne die notwendigen organisatorischen und rechtlichen Fundamente zu legen. Während der KI-Hype in den Vorjahren stark ausgeprägt war, verschiebt sich der Fokus im Jahr 2026 zunehmend auf Effizienzgewinne, einen belastbaren Return on Investment (ROI) und die Fähigkeit, neue Geschäftsmodelle zu ermöglichen. McKinsey beziffert das Potenzial generativer KI auf 2,6 bis 4,4 Billionen US-Dollar jährlich, insbesondere in Bereichen wie Customer Operations, Marketing, Software-Engineering und Forschung & Entwicklung. Doch diese Zahlen bleiben unerreichbar, wenn die Basis nicht stimmt.\n\nEine erfolgreiche KI-Transformation hängt nicht primär von der eingesetzten Technologie ab, sondern von einer systematischen strategischen Verankerung, einer robusten organisatorischen Steuerung und einer tiefgreifenden kulturellen Akzeptanz. Wir beobachten oft, dass Unternehmen viel Geld in KI-Projekte investieren, die dann an mangelnden Prozessen oder unklaren Verantwortlichkeiten scheitern. Die Befähigung der Mitarbeiter, nicht nur die Technik zu bedienen, sondern auch deren Implikationen zu verstehen, ist essenziell. Es geht darum, Abhängigkeiten von externen Anbietern zu vermeiden und eine eigene, interne Kompetenz aufzubauen. Nur so kann der Mittelstand im DACH-Raum die Kontrolle über seine digitalen Prozesse behalten und gleichzeitig die Chancen der KI verantwortungsvoll nutzen. Dies erfordert pragmatisches Handeln, klare Entscheidungen und eine Abkehr von der Illusion, dass Technologie allein alle Probleme löst.\n\n## Fazit: Jetzt handeln, Risiken minimieren und Potenziale nutzen\n\nDie Veröffentlichung des Litzki Systems LLC Benchmarks hat eindringlich aufgezeigt, dass der DACH-Mittelstand der regulatorischen Realität des EU AI Act und den ab dem 2. August 2026 wirksamen Transparenzpflichten nicht ausreichend begegnet ist. Diese mangelnde Vorbereitung stellt ein erhebliches Risiko dar, da nationale Aufsichtsbehörden ab diesem Datum Verstösse aktiv prüfen und ahnden können. Unternehmen sind dringend aufgefordert, ein umfassendes KI-Inventar zu erstellen, Risiken zu klassifizieren, Governance-Strukturen aufzubauen, die notwendige Dokumentation von Anbietern einzufordern und ihre Mitarbeiter entsprechend zu schulen. Nur so können nicht nur empfindliche Bussgelder vermieden, sondern auch das volle Potenzial vertrauenswürdiger und verantwortungsvoller KI ausgeschöpft werden. Der Fokus muss sich von der reinen Technologieeinführung hin zu einer strategischen, prozessorientierten und rechtskonformen Integration von KI in die Arbeitswelt verschieben. Handeln Sie jetzt, um Ihre Wettbewerbsfähigkeit und Ihre Compliance langfristig zu sichern.