EU AI Act: Compliance-Fristen für Hochrisiko-KI – Was der Mittelstand jetzt tun muss

Die Künstliche Intelligenz (KI) prägt die Arbeitswelt im DACH-Raum mit hoher Geschwindigkeit. In den letzten Wochen und Monaten konzentriert sich die Aufmerksamkeit verstärkt auf die finalen Phasen der Implementierung des EU AI Act und dessen konkrete Auswirkungen auf deutschsprachige Unternehmen. Insbesondere die Compliance-Anforderungen und Fristen für Hochrisiko-KI-Systeme stehen im Mittelpunkt der aktuellen Diskussionen.

Obwohl die Verordnung (EU) 2024/1689, bekannt als EU AI Act oder KI-Gesetz, bereits am 1. August 2024 in Kraft getreten ist, treten viele ihrer zentralen Bestimmungen gestaffelt in Kraft. Der ursprünglich für den 2. August 2026 vorgesehene Stichtag, ab dem die meisten verbleibenden Regelungen, insbesondere für Hochrisiko-KI-Systeme, vollumfänglich gelten sollten, hat sich jedoch verschoben. Diese Verschiebung bietet Unternehmen eine wichtige Atempause, sollte aber keineswegs als Entwarnung missverstanden werden. Vielmehr ist es eine Gelegenheit, die notwendigen Anpassungen mit der gebotenen Sorgfalt und Strategie anzugehen.

Der EU AI Act: Ein Rahmenwerk für verantwortungsvolle KI im DACH-Raum

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von KI-Systemen. Sein Ziel ist es, Vertrauen in KI aufzubauen und gleichzeitig Innovation zu fördern. Er verfolgt einen risikobasierten Ansatz, was bedeutet, dass die Anforderungen an KI-Systeme je nach ihrem potenziellen Risiko für Gesundheit, Sicherheit und Grundrechte der Bürger variieren. Für DACH-Unternehmen, die KI entwickeln, in Verkehr bringen oder nutzen, sind die Kategorien und die damit verbundenen Pflichten von entscheidender Bedeutung. Es ist nicht allein die Größe des Unternehmens, die über die Anwendbarkeit der Regeln entscheidet, sondern primär das Risiko, das ein eingesetztes oder entwickeltes KI-System birgt.

Bereits seit Februar 2025 gelten die Verbote für bestimmte KI-Praktiken mit „inakzeptablem Risiko“. Dazu gehören beispielsweise Social Scoring, manipulative KI-Systeme oder der Einsatz von Echtzeit-Biometrie im öffentlichen Raum, mit spezifischen Ausnahmen für die Strafverfolgung. Verstöße gegen diese fundamentalen Verbote werden streng geahndet. Hier drohen empfindliche Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dies unterstreicht die Ernsthaftigkeit, mit der die Europäische Union den Schutz von Grundrechten im Kontext von KI-Anwendungen betrachtet.

Hochrisiko-KI im Fokus: Fristen, Pflichten und die “Digital Omnibus”-Verschiebung

Der aktuelle Fokus liegt auf den Bestimmungen für Hochrisiko-KI-Systeme. Diese Kategorie umfasst KI-Anwendungen, die erhebliche Auswirkungen auf die Sicherheit oder Grundrechte von Personen haben können. Die ursprüngliche Frist für deren Compliance, der 2. August 2026, hat sich durch eine vorläufige politische Einigung im Rahmen des „Digital Omnibus“ Pakets vom 7. Mai 2026 auf den 2. Dezember 2027 verschoben. Diese Verlängerung soll Unternehmen mehr Zeit geben, ihre Systeme und Prozesse regelkonform auszurichten, bedeutet aber keinesfalls eine Entspannung der Lage, sondern eher eine strategische Chance zur Vorbereitung.

Beispiele für Hochrisiko-KI-Systeme sind vielfältig und relevant für den DACH-Mittelstand:

* KI in HR-Anwendungen: Systeme zur automatisierten Bewerberauswahl und zum Screening von Lebensläufen, zur Leistungsbeurteilung von Mitarbeitern, für Predictive Attrition oder zur automatischen Dienstplanoptimierung. Diese fallen fast immer unter die Hochrisiko-Kategorie. Das betrifft sowohl Unternehmen, die solche Tools nutzen, als auch deren Anbieter. * Kritische Infrastrukturen: KI-Systeme, die in kritischen Infrastrukturen wie Energieversorgung, Verkehr oder Wasserversorgung eingesetzt werden, da Fehlfunktionen weitreichende Konsequenzen hätten. * Bildung und berufliche Bildung: KI zur Bewertung der Lernergebnisse, für den Zugang zu Bildungseinrichtungen oder zur Analyse der beruflichen Eignung. * Kreditwürdigkeit und Risikobewertung: KI zur Bewertung der Kreditwürdigkeit von natürlichen Personen oder zur Bewertung von Risiken im Versicherungsbereich, die über finanzielle Existenzen entscheiden kann.

Für diese Hochrisiko-Systeme müssen Unternehmen umfassende Pflichten erfüllen. Dazu gehören die Implementierung eines robusten Risikomanagementsystems, die Sicherstellung der Datenqualität und Governance einschließlich der Messung und Minderung von Voreingenommenheit (Bias), die Gewährleistung menschlicher Aufsicht über die KI-Entscheidungen, die Einhaltung von Dokumentations- und Protokollierungspflichten sowie die Bereitstellung ausreichender Informationen für die Nutzer über die Funktionsweise und Grenzen der KI. Eine erhebliche Herausforderung stellt auch die Konformitätsbewertung dar: Für bestimmte Hochrisiko-Kategorien ist eine externe Bewertung durch eine benannte Stelle, wie beispielsweise den TÜV Süd oder Bureau Veritas, erforderlich. Die Kapazitäten dieser Stellen sind jedoch begrenzt, was eine frühzeitige Planung unumgänglich macht. Unabhängig von der Fristverschiebung für Hochrisiko-KI bleiben die grundlegenden Pflichten zur KI-Kompetenz (AI Literacy) und zur Transparenz unverändert und treten größtenteils bereits am 2. August 2026 in Kraft. Letztere betrifft insbesondere die Kennzeichnung von KI-generierten Inhalten und Dialogen, wie sie bei Chatbots und Deep Fakes Anwendung finden.

Mittelstand unter Zugzwang: Spezifische Herausforderungen und Handlungsfelder

Besonders der Mittelstand im DACH-Raum steht vor großen Herausforderungen. Eine aktuelle Studie von Gartner zeigt, dass weniger als 10 Prozent der betroffenen Organisationen ihr KI-System-Inventar abgeschlossen haben. Dies deutet auf einen erheblichen Nachholbedarf hin. Viele mittelständische Unternehmen sehen KI als „Jahrhundertchance“, um effizienter zu arbeiten, den Fachkräftemangel abzufedern und wettbewerbsfähig zu bleiben. Dennoch bestehen oft Berührungsängste und Unsicherheiten bei der korrekten Implementierung und der Einhaltung der gesetzlichen Vorgaben.

Ein häufiges Missverständnis ist, dass der AI Act primär große Technologiekonzerne betrifft. Dies ist nicht der Fall. Das Gesetz reguliert KI nach Risiko, nicht nach Unternehmensgröße. Dies bedeutet, dass auch kleine und mittlere Unternehmen (KMU) die Pflichten für Hochrisiko-Systeme erfüllen müssen, falls sie solche entwickeln oder einsetzen. Die Bußgelder für Nicht-Compliance sind dabei unabhängig von der Unternehmensgröße und können existenzbedrohend sein. Das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) hat bereits im März 2026 FAQs zum EU AI Act für KMU veröffentlicht, um eine erste Orientierung zu bieten und die Komplexität des Themas zu reduzieren.

Für den Mittelstand ist es entscheidend, jetzt aktiv zu werden. Die verlängerte Frist für Hochrisiko-KI-Systeme ist keine Einladung zum Zögern, sondern eine kostbare Ressource. Unternehmen sollten diese Zeit nutzen, um eine umfassende Inventarisierung aller genutzten oder entwickelten KI-Systeme vorzunehmen. Darauf aufbauend muss eine präzise Risikoklassifizierung erfolgen. Systeme, die als Hochrisiko eingestuft werden, erfordern eine detaillierte Prüfung und Anpassung der internen Prozesse. Dies erfordert nicht nur juristische Expertise, sondern auch ein tiefes Verständnis der technischen Funktionsweise der eingesetzten KI-Systeme. Es ist eine Chance, die eigene Wettbewerbsfähigkeit zu stärken, indem man sich frühzeitig als vertrauenswürdiger und gesetzeskonformer Akteur positioniert.

Compliance als Kulturfrage: Transformation durch Change Management

Die erfolgreiche Implementierung des AI Act erfordert weit mehr als nur technische und juristische Expertise. Sie verlangt ein umfassendes Change Management, das tief in die Unternehmenskultur eingreift. Unternehmen müssen eine KI-Kultur etablieren, die Mitarbeitende befähigt, kontinuierlich zu lernen und neue Technologien zu adaptieren. Es geht darum, Mitarbeitende zu aktiven Treibern von KI zu machen, anstatt sie zu passiven Nutzern zu degradieren oder gar als Bremsklötze wahrzunehmen.

Die Einführung und Anpassung an KI-Regularien ist primär eine Aufgabe für Führungskräfte und erfordert einen Wandel in Haltungen und Entscheidungslogiken. Wie auf dem „Change & AI Summit“ am 2. Juli 2026 in Deutschland betont wurde, scheitert KI nicht am Code, sondern an der Kultur. Beispiele aus der Praxis, wie das KI-Ambassador-Programm von OTTO, das auf breite Akzeptanz und Enablement-Strukturen abzielt, zeigen, wie eine solche Transformation gelingen kann. Ein solches Programm fördert das Verständnis für KI, vermittelt die notwendigen Kompetenzen und schafft eine interne Community von Multiplikatoren, die den Wandel im Unternehmen vorantreiben. Dies stärkt nicht nur die Compliance, sondern auch die Innovationskraft des Unternehmens und die Motivation der Belegschaft.

Die Befähigung der Mitarbeitenden ist ein zentraler Pfeiler. Regelmäßige Schulungen, Workshops und der Zugang zu Lernressourcen sind unerlässlich, um das Wissen über KI-Systeme, deren Anwendung und die damit verbundenen Risiken kontinuierlich aufzubauen. Nur wenn die Belegschaft die Relevanz des AI Act versteht und aktiv in die Umsetzung eingebunden wird, können die komplexen Anforderungen nachhaltig erfüllt werden. Dieser kulturelle Wandel schafft eine Grundlage für eine verantwortungsvolle und zukunftsfähige Nutzung von KI.

Fundamentale Säulen: Datenschutz, KI-Sicherheit und die Schatten der „Shadow AI“

Unabhängig von den neuen Fristen des AI Act bleibt die Datenschutz-Grundverordnung (DSGVO) weiterhin in vollem Umfang relevant und bildet eine fundamentale Säule für den Einsatz von KI. Sobald KI-Systeme personenbezogene Daten verarbeiten, müssen die Grundsätze des Datenschutzes, wie Rechtsgrundlage, Zweckbindung, Datenminimierung, Transparenz und Betroffenenrechte, uneingeschränkt eingehalten werden. Eine gemeinsame Betrachtung von AI Act Compliance und Datenschutz ist daher unerlässlich. Es genügt nicht, nur eine Verordnung zu beachten, die Synergien beider Regelwerke müssen genutzt und integriert werden.

Ein weiterer kritischer Aspekt ist die KI-Sicherheit und die Abwehr von Cyberangriffen. Eine Sonderauswertung des DXC Digital Future Monitor 2026 zeigt, dass alarmierende 65 Prozent der mittelständischen Unternehmen in Deutschland, Österreich und der Schweiz bereits KI-basierten Cyberangriffen ausgesetzt waren. Dies unterstreicht die dringende Notwendigkeit erhöhter Investitionen in Cybersicherheit und Datenschutz. Dennoch bestehen oft noch erhebliche Lücken bei Mitarbeiterschulungen und Notfallplänen, die umgehend geschlossen werden müssen.

Ein wachsendes Problem ist zudem das Risiko von „Shadow AI“. Hierbei handelt es sich um die unkontrollierte Nutzung von KI-Tools durch Mitarbeiter, die sensible Unternehmensdaten gefährden kann. Mitarbeitende verwenden eigenständig Cloud-basierte KI-Dienste, ohne dass das Unternehmen Kenntnis davon hat oder entsprechende Sicherheitsvorkehrungen getroffen werden können. Dies erfordert moderne Data Loss Prevention (DLP)-Strategien und eine konsequente Aufklärung und Sensibilisierung der Belegschaft für die Risiken solcher Praktiken. Die Integration von KI-Sicherheit in die allgemeine IT-Sicherheitsstrategie ist somit nicht länger optional, sondern eine Notwendigkeit zum Schutz kritischer Unternehmenswerte und zur Sicherstellung der Compliance.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Die Verschiebung der Frist für Hochrisiko-KI-Systeme ist kein Grund zur Untätigkeit, sondern ein Aufruf zum strategischen Handeln. Kapitel H empfiehlt folgende konkrete Schritte für den DACH-Mittelstand:

1. Umfassende Inventarisierung der KI-Systeme: Erstellen Sie eine vollständige Liste aller intern entwickelten und extern bezogenen KI-Anwendungen, die in Ihrem Unternehmen genutzt werden. Klären Sie deren Zweck und die Art der verarbeiteten Daten. 2. Risikobewertung und Klassifizierung: Klassifizieren Sie jede KI-Anwendung gemäß dem risikobasierten Ansatz des AI Act, insbesondere im Hinblick auf die Kategorisierung als Hochrisiko-System. Nutzen Sie dabei die offiziellen Leitlinien des BMWK. 3. Implementierung eines Risikomanagementsystems: Für Hochrisiko-KI-Systeme ist die Einführung eines robusten Risikomanagementsystems unerlässlich. Dies umfasst die Identifizierung, Bewertung, Steuerung und Überwachung von Risiken über den gesamten Lebenszyklus der KI. 4. Schulung und Befähigung der Mitarbeitenden: Investieren Sie in die KI-Kompetenz Ihrer Belegschaft. Schulungen zu den Grundlagen der KI, den Anforderungen des AI Act und den unternehmensinternen Richtlinien zur verantwortungsvollen KI-Nutzung sind entscheidend. Sensibilisieren Sie für die Risiken von „Shadow AI“. 5. Aufbau von Governance-Strukturen: Etablieren Sie klare Verantwortlichkeiten und Prozesse für die Beschaffung, Entwicklung, den Einsatz und die Überwachung von KI-Systemen. Eine interne KI-Ethik-Kommission oder ein KI-Beauftragter können hier wertvolle Unterstützung leisten. 6. Integration von Datenschutz und Cybersicherheit: Behandeln Sie AI Act Compliance nicht isoliert. Integrieren Sie die Anforderungen des KI-Gesetzes nahtlos in Ihre bestehenden Datenschutz- und Cybersicherheitsstrategien. Aktualisieren Sie Ihre Data Loss Prevention (DLP)-Maßnahmen. 7. Strategische Nutzung der verlängerten Frist: Nutzen Sie die Zeit bis zum 2. Dezember 2027 aktiv. Planen Sie die notwendigen Anpassungen frühzeitig, um Engpässe bei der Konformitätsbewertung durch benannte Stellen zu vermeiden.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist ein wegweisendes Gesetz, das das Potenzial hat, ein neues Zeitalter der verantwortungsvollen KI-Nutzung einzuleiten. Aus Sicht von Kapitel H ist die Gesetzgebung grundsätzlich zu begrüßen, da sie Vertrauen schafft und Innovation auf eine solide Basis stellt. Die risikobasierte Herangehensweise ist pragmatisch, auch wenn sie für den Mittelstand erhebliche Komplexität mit sich bringt. Eine kritische Betrachtung ist jedoch angebracht:

Die Verlängerung der Frist für Hochrisiko-KI-Systeme darf nicht zu einer fatalistischen Haltung führen. Es ist keine Entlastung im Sinne einer geringeren Anforderung, sondern eine Möglichkeit zur besseren Vorbereitung. Unternehmen, die diese zusätzliche Zeit nicht nutzen, laufen Gefahr, den Anschluss zu verlieren oder mit hohen Bußgeldern konfrontiert zu werden. Der Hype um KI verstellt oft den Blick auf die Notwendigkeit einer soliden Governance. Es geht nicht darum, jede KI-Innovation zu umarmen, sondern darum, die richtigen KI-Systeme verantwortungsvoll und sicher einzusetzen, die einen echten Mehrwert stiften.

Unsere Kernbotschaft bleibt: Befähigung statt Abhängigkeit. Der Mittelstand muss die eigenen Kapazitäten im Bereich KI-Kompetenz und Compliance aufbauen. Sich auf externe Dienstleister zu verlassen, ohne internes Wissen zu entwickeln, schafft neue Abhängigkeiten. Eine proaktive Auseinandersetzung mit dem AI Act sichert nicht nur die Compliance, sondern auch einen nachhaltigen Wettbewerbsvorteil. Unternehmen, die jetzt die Weichen stellen, werden als vertrauenswürdige Partner und Innovatoren wahrgenommen. Wer jedoch zögert, riskiert nicht nur hohe Bußgelder, sondern auch einen Reputationsverlust und eine Stagnation im digitalen Wandel.

Fazit: Jetzt handeln für eine verantwortungsvolle KI-Zukunft

Die jüngsten Entwicklungen rund um den EU AI Act, insbesondere die Verschiebung der Frist für Hochrisiko-KI-Systeme auf den 2. Dezember 2027, sind die wichtigste KI-Nachricht für den DACH-Arbeitsmarkt. Sie unterstreicht die dringende Notwendigkeit für Unternehmen, ihre KI-Strategien und -Implementierungen dringend an die bevorstehenden Compliance-Anforderungen anzupassen. Diese Fristverlängerung ist keine Einladung zur Verzögerung, sondern eine strategische Chance, die verbleibende Zeit effektiv zu nutzen.

Unternehmen müssen ihre KI-Systeme inventarisieren, Risiken klassifizieren, robuste Governance-Strukturen aufbauen und ihre Mitarbeitenden umfassend schulen. Die Integration von KI, Datenschutz und Cybersicherheit muss dabei Hand in Hand gehen, um nicht nur rechtliche Risiken zu minimieren, sondern auch das volle Potenzial der KI verantwortungsvoll und ethisch zu entfalten. Insbesondere der Mittelstand muss hier aktiv werden. Wer jetzt die Weichen stellt, sichert sich nicht nur die Compliance und minimiert das Risiko hoher Bußgelder, sondern stärkt auch seine Innovationskraft, seine Wettbewerbsfähigkeit und das Vertrauen seiner Kunden und Mitarbeitenden in eine KI-gestützte Zukunft. Handeln Sie jetzt, um die Chancen der KI sicher und erfolgreich zu nutzen.