EU AI Act: Countdown zur Compliance – Handlungsdruck für DACH-Unternehmen

Der 2. August 2026 ist nicht irgendein Datum. Für unzählige Unternehmen im DACH-Raum markiert dieser Tag den Beginn einer neuen Ära der KI-Compliance. Mit der umfassenden Anwendbarkeit der Kernbestimmungen des EU AI Acts tritt eine wegweisende Regulierung in Kraft, die die Spielregeln für die Entwicklung, Bereitstellung und Nutzung Künstlicher Intelligenz grundlegend neu definiert. Dies betrifft nicht nur europäische Firmen, sondern aufgrund der extraterritorialen Wirkung auch zahlreiche Schweizer Unternehmen, die KI-Systeme im EU-Markt in Verkehr bringen oder deren Ergebnisse dort genutzt werden. Es geht hier nicht um eine abstrakte regulatorische Übung, sondern um konkrete, operative Anforderungen, die weitreichende Konsequenzen für Geschäftsmodelle und die digitale Strategie des Mittelstands haben.

Die Einführung des EU AI Acts ist ein entscheidender Schritt, um Vertrauen in KI-Technologien zu schaffen und gleichzeitig Innovationen zu ermöglichen. Aus unserer Sicht bei Kapitel H ist es entscheidend, die notwendigen Anpassungen nicht als blosse Bürde zu sehen, sondern als Chance, die eigenen Prozesse zu schärfen, die digitale Resilienz zu stärken und letztlich Wettbewerbsvorteile zu sichern. Das ist der Zeitpunkt, um von einer reaktiven Haltung zu proaktivem Handeln überzugehen.

Der EU AI Act: Ein risikobasierter Ansatz für KI-Vertrauen

Der EU AI Act, dessen schrittweises Inkrafttreten bereits am 1. August 2024 begann, ist weltweit das erste umfassende Gesetz zur Regulierung von KI-Systemen. Er setzt einen globalen Präzedenzfall und wird voraussichtlich andere Regionen inspirieren. Das Hauptziel der Verordnung ist es, ein Gleichgewicht zu finden: die Förderung technologischer Innovationen bei gleichzeitiger Sicherstellung des Schutzes grundlegender Rechte und der Sicherheit der Bürger. Um dies zu erreichen, verfolgt der Act einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien unterteilt:

1. Unannehmbare Risiken: Systeme, die eine klare Bedrohung für die Grundrechte darstellen, sind grundsätzlich verboten. Beispiele hierfür sind KI-Systeme zur Social Scoring durch staatliche Stellen oder zur biometrischen Echtzeit-Fernidentifizierung im öffentlichen Raum, mit engen Ausnahmen. 2. Hochrisiko-KI: Diese Systeme bergen erhebliche Risiken für die Gesundheit, Sicherheit oder die Grundrechte von Personen. Sie unterliegen den strengsten Auflagen. Dazu gehören KI-Systeme in kritischen Infrastrukturen, im Bildungsbereich, bei der Strafverfolgung, im Gesundheitswesen oder bei der Personalauswahl. Für diese Kategorie treten die zentralen Compliance-Anforderungen am 2. August 2026 in Kraft. 3. Geringes Risiko: Systeme, die spezielle Transparenzpflichten erfordern, um Nutzer zu informieren, dass sie mit einer KI interagieren oder dass Inhalte von einer KI generiert wurden. Beispiele sind Chatbots oder Deepfakes. 4. Minimales Risiko: Die überwiegende Mehrheit der KI-Systeme fällt in diese Kategorie. Sie unterliegen keinen spezifischen Verpflichtungen über die bestehenden Gesetze hinaus, es sei denn, die Unternehmen entscheiden sich freiwillig für die Einhaltung von Verhaltenskodizes.

Die Kernpflichten, die ab dem 2. August 2026 gelten, konzentrieren sich auf die Hochrisiko-KI-Systeme. Für Unternehmen bedeutet dies eine genaue Analyse ihrer eingesetzten KI-Anwendungen und eine transparente Klassifizierung nach den Kriterien des Acts. Eine solche Kategorisierung ist die Grundlage für alle weiteren Compliance-Schritte.

Die extraterritoriale Reichweite und ihre Bedeutung für den DACH-Raum

Ein oft unterschätzter Aspekt des EU AI Acts ist seine sogenannte extraterritoriale Wirkung. Das heisst, die Vorschriften beschränken sich nicht auf Unternehmen, die ihren Hauptsitz innerhalb der Europäischen Union haben. Vielmehr greifen die Regeln, sobald ein KI-System oder seine Ergebnisse in der EU genutzt werden, unabhängig davon, wo der Entwickler oder Betreiber seinen Sitz hat. Dies ist für Schweizer Unternehmen von höchster Relevanz.

Konkret fallen Schweizer Firmen unter den EU AI Act, wenn sie: * KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen. * als Anbieter (Hersteller, Händler) oder Betreiber (Deployer) von KI-Systemen agieren und die erzeugten Ergebnisse in der Europäischen Union verwendet werden.

Das bedeutet in der Praxis, dass nahezu jedes Schweizer Unternehmen, das digitale Produkte oder Dienstleistungen im EU-Markt anbietet, mit EU-Kunden interagiert oder Daten von EU-Bürgern verarbeitet, direkt betroffen sein kann. Die Vorstellung, man sei als Schweizer Unternehmen vom EU-Recht ausgenommen, ist im Kontext des AI Acts ein Trugschluss, der teuer werden kann.

Diese extraterritoriale Wirkung war auch ein zentrales Diskussionsthema am Point Zero Forum in Zürich im Juni 2026. Dort wurden unterschiedliche Ansichten deutlich: Während einige Stimmen eine möglichst schlanke Regulierung für die Schweiz forderten, um den Wirtschaftsstandort nicht zu belasten, betonten andere die Notwendigkeit klarer Regeln. Sie argumentierten, dass diese Regeln Vertrauen schaffen und langfristig sogar einen Standortvorteil darstellen könnten, indem sie ein verlässliches Umfeld für KI-Anwendungen bieten. Sergio Ermotti, CEO der UBS, unterstrich diese Haltung, indem er Vorsicht im Umgang mit KI forderte und Vertrauen, Sicherheit sowie Stabilität als oberste Priorität nannte. Die UBS selbst setzt bereits rund 500 KI-Agenten ein, was die Relevanz und den praktischen Einsatz von KI im Finanzsektor verdeutlicht.

Auch innerhalb Deutschlands und Österreichs schreitet die nationale Umsetzung der europäischen Verordnung voran. In Deutschland ist ein Gesetzentwurf zur Durchführung der KI-Verordnung in Arbeit, der die Zuständigkeiten der Behörden sowie Aufsichts- und Bußgeldregelungen festlegt. Die Bundesnetzagentur wird dabei voraussichtlich eine zentrale Rolle als Marktüberwachungsbehörde einnehmen, sofern diese Aufgabe nicht spezifischen Fachbehörden zugewiesen wird. Unternehmen müssen sich auf empfindliche Strafen einstellen: Verstöße gegen Mitwirkungs- und Auskunftspflichten können mit Geldbußen von bis zu 50.000 Euro geahndet werden. Für Hochrisiko-KI-Systeme, die nicht konform sind, können die Bußgelder sogar bis zu 30 Millionen Euro oder 6% des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. In Österreich hat sich die Wirtschaftskammer Österreich (WKO) proaktiv positioniert und