EU AI Act: Was der 2. August 2026 für DACH-Unternehmen bedeutet

Die digitale Transformation wird massgeblich durch den Einsatz künstlicher Intelligenz (KI) geprägt. Doch mit den Chancen wachsen auch die regulatorischen Herausforderungen. Eine der wichtigsten Entwicklungen der letzten Zeit für Unternehmen im deutschsprachigen Raum ist die fortschreitende Implementierung des EU AI Act. Die Verordnung entfaltet ihre Wirkung schrittweise. Der 2. August 2026 markierte einen weiteren entscheidenden Termin, an dem neue Pflichten für sogenannte Hochrisiko-KI-Systeme in Kraft traten. Für Bestandssysteme gilt eine Frist bis zum 2. Dezember 2026. Dies ist kein abstraktes Problem für Konzerne, sondern betrifft den Mittelstand direkt. Unternehmen, die KI bereits nutzen oder deren Einsatz planen, müssen die konkreten Auswirkungen auf Compliance, Datenschutz und die Auswahl ihrer KI-Tools verstehen. Nichteinhaltung kann erhebliche finanzielle und reputative Konsequenzen haben. Dieser Artikel beleuchtet, was genau auf DACH-Unternehmen zukommt und welche Schritte jetzt unternommen werden sollten, um rechtssicher und effizient mit KI zu arbeiten.

Der EU AI Act: Ein Rahmenwerk mit konkreten Pflichten

Die Verordnung (EU) 2024/1689, bekannt als EU AI Act, ist seit dem 1. August 2024 in Kraft und gilt als das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Sie schafft einen Rahmen, der KI-Systeme nach ihrem Risikograd klassifiziert. Diese Klassifizierung reicht von inakzeptablem Risiko, was ein Verbot bedeutet, über hohes Risiko mit umfassenden Dokumentations- und Überwachungspflichten, bis zu begrenztem Risiko, das Transparenzpflichten nach sich zieht. Systeme mit minimalem Risiko sind von spezifischen Verpflichtungen ausgenommen.

Die Implementierung des AI Acts erfolgt stufenweise über mehrere Jahre, um Unternehmen und Behörden Zeit zur Anpassung zu geben. Während das Verbot unzulässiger KI-Praktiken sowie Anforderungen an die KI-Alphabetisierung bereits seit dem 2. Februar 2025 durchsetzbar sind und die Verpflichtungen für Anbieter von Allzweck-KI, sogenannten General Purpose AI (GPAI), am 2. August 2025 begannen, ist der 2. August 2026 von besonderer Relevanz. An diesem Datum traten die Pflichten für Hochrisiko-KI-Systeme in Kraft. Dies betrifft Unternehmen unmittelbar, die solche Systeme entwickeln, importieren oder einsetzen. Die Übergangsfrist für bereits bestehende Hochrisiko-Systeme endet am 2. Dezember 2026. Dies bedeutet, dass Unternehmen, die bereits vor dem 2. August 2026 Hochrisiko-KI-Systeme im Einsatz hatten, diese bis Ende 2026 an die neuen Vorschriften anpassen müssen. Der Gesetzgeber signalisiert damit klar, dass die Zeit des Beobachtens vorbei ist. Es ist nun an der Zeit, aktiv zu werden und die eigenen KI-Landschaften zu überprüfen.

Hochrisiko-KI-Systeme: Was Ihr Unternehmen jetzt wissen muss

Ein zentraler Aspekt des EU AI Act sind die sogenannten Hochrisiko-KI-Systeme. Der Anhang III des Gesetzes listet verschiedene Bereiche auf, die als Hochrisiko eingestuft werden. Dazu gehören kritische Infrastrukturen, Bildung und Berufsbildung, Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit, Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen, Strafverfolgung, Migration, Asyl und Grenzkontrolle sowie Justiz- und demokratische Prozesse. Für Unternehmen im DACH-Raum sind insbesondere die Bereiche Personalwesen, Finanzdienstleistungen und Kundenservice relevant. Beispielsweise fallen die Analyse und Filterung von Bewerbungen im Personalwesen, die Bewertung der Kreditwürdigkeit natürlicher Personen oder bestimmte Risikobewertungen im Strafverfolgungsbereich unter diese Kategorie.

Für Hochrisiko-KI-Systeme gelten strenge Anforderungen, die eine umfassende Governance-Struktur erfordern. Dazu gehören detaillierte Dokumentationspflichten, welche die gesamte Lebensdauer des Systems abdecken: vom Design über die Entwicklung bis zur Funktionsweise. Es sind zudem kontinuierliche Tests zur Erkennung und Minimierung von Voreingenommenheiten, dem sogenannten Bias-Testing, durchzuführen. Diese Tests müssen sowohl vor dem Go-Live als auch danach erfolgen, um sicherzustellen, dass die KI faire und unvoreingenommene Entscheidungen trifft. Darüber hinaus muss eine menschliche Aufsicht gewährleistet sein, die jederzeit die Möglichkeit bietet, KI-Entscheidungen zu überprüfen und zu korrigieren. Ein weiteres fundamentales Recht ist das Recht auf Anfechtung: Nutzern muss ermöglicht werden, KI-basierte Entscheidungen anzufechten und eine menschliche Überprüfung einzufordern.

Die Konsequenzen einer Nichteinhaltung dieser Pflichten sind gravierend. Der AI Act sieht hohe Bußgelder vor, die in Millionenhöhe liegen oder prozentual vom weltweiten Jahresumsatz eines Unternehmens abhängen. Bei bestimmten Verstößen können diese bis zu 15 Millionen Euro oder 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Bei Verstößen gegen das Verbot unzulässiger KI-Praktiken können die Höchstbeträge sogar noch deutlich höher liegen. Diese Zahlen verdeutlichen, dass Compliance im Bereich KI keine Option, sondern eine Notwendigkeit ist.

Die Schweizer Perspektive: Dreifache Herausforderung für KMU

Für Schweizer Unternehmen ist die Situation durch eine zusätzliche Komplexität gekennzeichnet. Sie müssen nicht nur das revidierte Schweizer Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist, beachten, sondern bei Geschäftsbeziehungen mit der EU auch die Datenschutz-Grundverordnung (DSGVO) und den EU AI Act. Das revDSG enthält zwar kein spezifisches 'KI-Kapitel' im Sinne des EU AI Acts, regelt aber die Bearbeitung von Personendaten technologieunabhängig. Es legt strenge Anforderungen an die Rechtmässigkeit, Transparenz und Datensicherheit fest, die auch für KI-Anwendungen relevant sind.

Ein entscheidender Unterschied zu DSGVO und AI Act ist die persönliche Haftung. Während DSGVO und AI Act primär Bußgelder gegen das Unternehmen verhängen, sieht das revDSG persönliche Bussen für die verantwortliche natürliche Person, typischerweise den Geschäftsführer oder die Fachperson, von bis zu CHF 250.000 vor. Dies führt zu einem erheblichen persönlichen Haftungsrisiko für Entscheidungsträger in Schweizer Unternehmen. Es ist daher für Führungskräfte in der Schweiz unerlässlich, die Einhaltung der Datenschutzvorschriften genauestens zu überwachen.

Darüber hinaus wirkt der EU AI Act extraterritorial. Das bedeutet, er gilt indirekt auch für Schweizer Unternehmen, die KI-Systeme in der EU anbieten oder deren KI-Ausgaben in der EU verwendet werden. Wer beispielsweise im Schweizer E-Commerce KI einsetzt und Kundschaft in Deutschland, Österreich oder Frankreich bedient, unterliegt somit gleichzeitig dem revDSG, der DSGVO und dem EU AI Act. Eine solche Überschneidung der Regulierungen erfordert eine sorgfältige Analyse und Anpassung der internen Prozesse und KI-Strategien, um allen Anforderungen gerecht zu werden und Risiken zu minimieren. Ein 'Zwei-Zonen-Modell', das Datenflüsse und -verarbeitung basierend auf Herkunft und Ziel der Daten trennt, kann hierbei eine praktikable Lösung darstellen.

Praktische Herausforderungen und Fallstricke bei der KI-Einführung

Die Einführung und der Betrieb von KI-Systemen sind mit vielfältigen praktischen Herausforderungen verbunden, die über die reine Compliance hinausgehen. Eine zentrale Frage für DACH-Unternehmen betrifft die Datenhoheit und -architektur. Insbesondere bei der Nutzung von Cloud-basierten KI-Diensten stellt sich die Frage, wo Daten verarbeitet werden. US-basierte Provider unterliegen dem CLOUD Act, der US-Behörden unter bestimmten Umständen Zugriff auf Daten ermöglicht, unabhängig vom geografischen Speicherort. Europäische und Schweizer Rechenzentren bieten hier in der Regel einen besseren Schutz, da sie den jeweiligen nationalen und EU-Rahmenwerken unterliegen. Die Wahl des Standorts für den Reasoning-Layer der KI, also den Teil, der die eigentliche Datenverarbeitung und Entscheidungsfindung vornimmt, ist entscheidend für die Kontrolle über die Datenhoheit.

Ein weiterer kritischer Punkt ist die oft fehlende Governance. Eine aktuelle Studie zeigt, dass über 50 % der Finanzabteilungen ohne umfassende KI-Governance arbeiten. In einem stark regulierten Bereich wie dem Finanzwesen kann dies zu erheblichen Compliance-Problemen und Datenschutzverletzungen führen. Ohne klare Richtlinien, Verantwortlichkeiten und Prozesse zur Überwachung des KI-Einsatzes steigt das Risiko von Fehlern und Missbrauch exponentiell an. Zudem stellen die notwendigen Investitionen in neue Server- und Edge-Hardware, die durch den gestiegenen Rechenbedarf von KI forciert werden, für den Mittelstand eine nicht zu unterschätzende finanzielle Herausforderung dar. Die Kosten für Infrastruktur, Softwarelizenzen und spezialisiertes Personal können schnell Budgets sprengen, wenn sie nicht von Beginn an realistisch geplant werden.

Schliesslich ist die Mitarbeiter-Schulung ein oft vernachlässigter Aspekt. Trotz der zunehmenden Nutzung und der allgemeinen Ermutigung zum Einsatz von KI-Tools ist die systematische Schulung der Mitarbeiter oft unzureichend. Nur 18 % der Mitarbeiter in Finanzfunktionen der DACH-Region sind tatsächlich für den täglichen KI-Einsatz geschult, obwohl 90 % der befragten Personen Kenntnisse in generativer KI aufweisen. Dies führt dazu, dass der messbare Produktivitätsgewinn von KI-Assistenten oft hinter den Erwartungen zurückbleibt. Studien weisen darauf hin, dass generative KI im Arbeitsalltag, wenn sie nicht richtig implementiert und geschult wird, sogar zu 'Workslop' führen kann, also mehr Belastung als Nutzen. Eine fundierte Einarbeitung ist unerlässlich, um das Potenzial der Technologie voll auszuschöpfen und Frustrationen bei den Nutzern zu vermeiden.

Konkrete Handlungsempfehlungen für DACH-Unternehmen

Angesichts der aktuellen Entwicklungen und der näher rückenden Fristen ist es für DACH-Unternehmen unerlässlich, proaktiv zu handeln. Zögern oder Ignorieren der neuen Vorschriften können zu schwerwiegenden rechtlichen und finanziellen Konsequenzen führen. Die folgenden Schritte sollten dringend in Angriff genommen werden:

1. KI-Inventur und Risikobewertung: Verschaffen Sie sich einen vollständigen Überblick über alle im Unternehmen eingesetzten KI-Systeme. Bewerten Sie diese gemäss den Kategorien des EU AI Act, um Hochrisiko-Anwendungen zuverlässig zu identifizieren. Dokumentieren Sie Zweck, Einsatzbereich, Nutzerkreis und die verwendeten Datenquellen jedes Systems. 2. Compliance-Roadmap erstellen: Entwickeln Sie eine detaillierte Roadmap zur Einhaltung des EU AI Act und der relevanten Datenschutzgesetze, insbesondere DSGVO und revDSG. Dies muss auch die Überprüfung und Anpassung von Auftragsverarbeitungsverträgen (AVV) mit KI-Tool-Anbietern umfassen, um die Einhaltung der Anforderungen sicherzustellen. 3. Governance und interne Richtlinien etablieren: Implementieren Sie umfassende interne Richtlinien für den Einsatz von KI. Diese sollten Verantwortlichkeiten, Datenfluss, Sicherheitsstandards und ethische Grundsätze regeln. Sorgen Sie für die Implementierung von Audit-Trails und Mechanismen zur menschlichen Überprüfung von KI-Entscheidungen, insbesondere bei Hochrisiko-Systemen. 4. Mitarbeiterschulung systematisch durchführen: Etablieren Sie systematische Schulungsprogramme für alle Mitarbeiter. Legen Sie besonderen Fokus auf 'Power-User' und Führungskräfte, um das Verständnis für KI, sichere Nutzung, effektives Prompt-Design und die Grenzen der Technologie zu fördern. Dies hilft, 'Workslop' zu vermeiden und die Produktivität zu steigern. 5. Datenschutz-Folgenabschätzung (DSFA) durchführen: Bei der Nutzung von Hochrisiko-Anwendungen und der Verarbeitung sensibler Daten ist eine Datenschutz-Folgenabschätzung gemäss Artikel 35 DSGVO zwingend. Auch das revDSG fordert bei hohem Risiko eine solche Analyse. Dies dient der Identifikation und Minimierung von Risiken für die Rechte und Freiheiten natürlicher Personen. 6. Architekturentscheidungen überdenken: Hinterfragen Sie die Wahl Ihrer Cloud-Anbieter und Datenverarbeitungsstandorte kritisch. Stellen Sie sicher, dass nationale und europäische Datenschutzvorschriften eingehalten werden. Prüfen Sie alternative Modelle wie das 'Zwei-Zonen-Modell' für Schweizer Unternehmen, um die Datenhoheit zu sichern.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist kein bürokratisches Hindernis, sondern eine notwendige Massnahme, um Vertrauen in KI zu schaffen und Missbrauch zu verhindern. Aus unserer Sicht bei Kapitel H ist es entscheidend, diese Regulierung nicht als Last, sondern als Chance zu begreifen. Eine frühe Auseinandersetzung und strategische Anpassung bietet Unternehmen die Möglichkeit, sich als vertrauenswürdige und zukunftsorientierte Akteure zu positionieren. Wer jetzt die Hausaufgaben macht, kann die Technologie nachhaltig und verantwortungsbewusst in seine Prozesse integrieren. Die Regulierung fördert eine bewusstere Auseinandersetzung mit den Fähigkeiten und Grenzen von KI, was letztlich zu robusteren und ethischeren Anwendungen führt. Es geht darum, die Kontrolle zu behalten und KI als Werkzeug zur Befähigung zu nutzen, anstatt sich in Abhängigkeiten zu begeben oder Risiken zu ignorieren.

Ein Fokus auf praxisnahe Implementierung ist hierbei unerlässlich. Statt abstrakter Diskussionen über 'ethische KI' braucht es konkrete Massnahmen: Audit-Trails, Bias-Tests, menschliche Überprüfungsmechanismen. Diese müssen in die operativen Abläufe integriert werden, nicht als nachträglicher Gedanke. Der Mittelstand im DACH-Raum hat die Agilität, sich schnell anzupassen. Es gilt, diese Stärke zu nutzen und sich nicht von der Komplexität abschrecken zu lassen. Mit einer klaren Strategie und den richtigen Partnern kann die Compliance mit dem AI Act zu einem Wettbewerbsvorteil werden.

Fazit: Jetzt handeln für eine KI-gestützte Zukunft

Die neuesten Entwicklungen rund um den EU AI Act, insbesondere die in Kraft getretenen Pflichten für Hochrisiko-KI-Systeme ab dem 2. August 2026, unterstreichen, dass KI-Regulierung kein abstraktes Zukunftsthema mehr ist. Sie hat eine unmittelbare und konkrete Auswirkung auf den Betriebsalltag und die strategische Ausrichtung von DACH-Unternehmen. Ignoranz oder Verzögerung können erhebliche rechtliche, finanzielle und reputative Risiken bergen. Die proaktive Auseinandersetzung mit den Anforderungen des EU AI Act, des revDSG und der DSGVO ist für den Mittelstand im DACH-Raum nicht nur eine Frage der Gesetzeskonformität, sondern auch eine Investition in die Zukunftsfähigkeit des eigenen Unternehmens. Wer jetzt handelt, schafft Vertrauen bei Kunden und Partnern, minimiert Risiken und positioniert sich als verantwortungsbewusster Innovator im globalen Wettbewerb. Nutzen Sie die verbleibende Zeit bis zum 2. Dezember 2026 für Bestandssysteme, um eine solide Basis für den sicheren und effektiven Einsatz von KI zu legen.