EU AI Act: Compliance-Pflichten für DACH-Unternehmen bis August 2026

Der Einsatz Künstlicher Intelligenz, kurz KI, ist für Unternehmen im DACH-Raum längst keine Zukunftsmusik mehr. Von der Optimierung interner Prozesse bis zur Entwicklung neuer Geschäftsmodelle bietet KI immense Potenziale. Doch mit der zunehmenden Verbreitung dieser Technologien wächst auch der Bedarf an einem klaren Rechtsrahmen. Diese Notwendigkeit adressiert der EU Artificial Intelligence Act, offiziell Verordnung (EU) 2024/1689, der am 1. August 2024 in Kraft getreten ist und nun stufenweise anwendbar wird. Dies stellt eine der bedeutendsten regulatorischen Entwicklungen für die Arbeitswelt in Deutschland, Österreich und der Schweiz dar.

Für den Mittelstand im DACH-Raum ist es entscheidend, die bevorstehenden Fristen und die damit verbundenen Pflichten nicht zu unterschätzen. Insbesondere der 2. August 2026 markiert einen Wendepunkt: Ab diesem Datum beginnt die behördliche Durchsetzung zentraler Bestimmungen des AI Acts. Unternehmen, die bis dahin keine Vorkehrungen getroffen haben, riskieren nicht nur rechtliche Konsequenzen, sondern auch einen Vertrauensverlust bei Kunden und Mitarbeitenden. Dieser Artikel beleuchtet die konkreten Anforderungen, die auf Sie zukommen, und gibt praxisnahe Empfehlungen für eine proaktive Umsetzung.

Der EU AI Act: Was Unternehmen jetzt wissen müssen

Der EU AI Act ist eine umfassende Regulierung, die den Einsatz von KI-Systemen nach ihrem potenziellen Risiko klassifiziert und entsprechende Anforderungen festlegt. Obwohl die vollständige Anwendbarkeit für Hochrisiko-KI-Systeme erst später erfolgt, sind wichtige Bestimmungen bereits aktiv oder treten in Kürze in Kraft. Es ist ein weit verbreiteter Irrtum zu glauben, man habe noch ausreichend Zeit. Die ersten wichtigen Pflöcke sind bereits eingeschlagen worden oder werden es sehr bald sein.

Einige Fristen für Hochrisiko-KI wurden zwar durch eine politische Einigung vom 7. Mai 2026 verschoben, doch andere Pflichten gelten schon jetzt oder werden ab August 2026 relevant. Beispielsweise sind die Transparenzpflichten gemäß Artikel 50(1) bereits seit August 2026 gültig. Das bedeutet, dass Unternehmen schon heute klar kennzeichnen müssen, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden. Diese Kennzeichnungspflicht betrifft beispielsweise Texte, Bilder oder Videos, die durch generative KI generiert werden und dazu dienen könnten, Personen zu täuschen oder ihren Kontext zu verändern.

Noch grundlegender ist die KI-Kompetenzpflicht nach Artikel 4, die bereits seit dem 2. Februar 2025 wirksam ist. Ihre behördliche Durchsetzung beginnt ebenfalls am 2. August 2026. Dies ist ein zentraler Punkt, denn er verlangt von Unternehmen, systematisch in die Ausbildung ihrer Mitarbeiter zu investieren. Es geht darum, ein ausreichendes Niveau an KI- und Datenkompetenz sicherzustellen, das rollenbasiert und nachweisbar ist. Dies schützt nicht nur vor Fehlern im Umgang mit KI, sondern befähigt die Belegschaft auch dazu, die Potenziale der Technologie sicher und effektiv zu nutzen. Kapitel H sieht dies als essenziellen Schritt zur Befähigung und zur Vermeidung von Abhängigkeiten von externen Anbietern oder einzelnen Experten.

Weitere wichtige Stichtage umfassen neue Verbote, zum Beispiel für sogenannte "Nudifier-Apps", und die Watermarking-Pflicht für generative KI. Diese treten ab dem 2. Dezember 2026 in Kraft. Die zentralen Anforderungen für Hochrisiko-KI, wie sie in Anhang III aufgeführt sind, beispielsweise im Personalwesen, in der Bildung oder bei Kreditprüfungen, werden ab dem 2. Dezember 2027 anwendbar. Für KI-Systeme, die in regulierte Produkte wie Medizinprodukte oder Maschinen integriert sind, wie in Anhang I beschrieben, verschiebt sich die Anwendbarkeit sogar bis zum 2. August 2028. Es ist also eine gestaffelte Implementierung, die jedoch eine vorausschauende Planung erfordert, um nicht von den ersten obligatorischen Schritten überrascht zu werden.

Vier Säulen der Compliance bis August 2026

Um die behördliche Durchsetzung ab August 2026 nachweisfähig zu erfüllen, müssen mittelständische Unternehmen im DACH-Raum vier zentrale Bausteine bis zum Sommer 2026 aufgebaut haben. Diese sind nicht nur bürokratische Hürden, sondern essenzielle Elemente einer verantwortungsvollen und nachhaltigen KI-Strategie.

Erstens, ein KI-Inventar: Eine strukturierte und vollständige Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme ist unerlässlich. Viele Unternehmen nutzen bereits KI, oft ohne es explizit zu wissen, da KI-Funktionalitäten in bestehende Softwarelösungen, wie CRM-Systeme, Office-Suiten oder HR-Tools, integriert sind. Diese "Schatten-KI" muss identifiziert, katalogisiert und hinsichtlich ihres Risikoprofils bewertet werden. Ein transparentes Inventar ermöglicht es, Überblick zu gewinnen und Risiken zu managen. Ohne diese Übersicht ist es unmöglich, die nachfolgenden Compliance-Anforderungen zu erfüllen.

Zweitens, eine klare Rollenklärung: Verantwortlichkeiten für den Einsatz und die Governance von KI müssen eindeutig definiert werden. Es reicht nicht aus, Entscheidungen über KI allein aufgrund der Budgethoheit zu treffen. Stattdessen sind spezifische Rollen und Zuständigkeiten zu etablieren, die Expertise im Bereich KI-Ethik, Datenschutz und IT-Sicherheit umfassen. Wer ist verantwortlich für die Risikobewertung? Wer für die Überwachung der Einhaltung interner Richtlinien? Wer für die Kommunikation mit den Aufsichtsbehörden? Eine klare Rollenverteilung schafft Sicherheit und Effizienz.

Drittens, der Kompetenznachweis: Die Einhaltung der bereits erwähnten KI-Kompetenzpflicht nach Artikel 4 erfordert einen nachweisbaren Beleg, dass Mitarbeiter entsprechend geschult und befähigt sind, mit KI-Systemen verantwortungsvoll umzugehen. Dies beinhaltet nicht nur technische Schulungen, sondern auch die Vermittlung ethischer Grundsätze und datenschutzrechtlicher Kenntnisse. Kapitel H empfiehlt hier rollenbasierte Trainingsprogramme, die auf die spezifischen Bedürfnisse und Aufgabenbereiche der Mitarbeiter zugeschnitten sind. Nur so kann sichergestellt werden, dass KI nicht nur technologisch verstanden, sondern auch ethisch und rechtlich korrekt angewendet wird.

Viertens, die Provider-Dokumentation: Unternehmen müssen sicherstellen, dass sie von ihren KI-Anbietern die notwendigen Informationen und Dokumentationen erhalten, um die Compliance als Betreiber der KI-Systeme zu gewährleisten. Dies schließt Details zur Funktionsweise der KI, zu ihren Trainingsdaten, zu potenziellen Bias-Risiken und zur Konformität mit dem AI Act ein. Ein Mangel an Transparenz seitens der Anbieter kann für den Anwender zu erheblichen Problemen führen. Es ist daher ratsam, entsprechende Anforderungen bereits in Vertragsverhandlungen zu integrieren.

Ergänzend zu diesen vier Säulen empfiehlt KPMG die Definition einer unternehmensweiten KI-Strategie, die Ambitionen, Anwendungsfelder und Responsible-AI-Prinzipien klar beschreibt. Darauf aufbauend sollte ein "AI Target Operating Model" entwickelt werden, das Rollen, Verantwortlichkeiten, Entscheidungsstrukturen und End-to-End-Prozesse festlegt. Eine GAP-Analyse zur Klassifizierung von KI nach Nutzen, Risiko und regulatorischer Relevanz, unter Berücksichtigung von DSGVO und AI Act, ist ebenfalls entscheidend.

Auswirkungen auf Kernbereiche im DACH-Mittelstand

Der EU AI Act wird praktisch alle Unternehmensbereiche betreffen, die KI einsetzen. Die Relevanz und die spezifischen Anforderungen variieren je nach Einsatzgebiet.

Im Personalwesen, HR, fallen viele KI-Tools unter die Kategorie Hochrisiko-KI. Dies betrifft Anwendungen im Bewerbermanagement, beim CV-Screening, bei Leistungsbeurteilungen und personalbezogenen Entscheidungen. Hier ist eine genaue Prüfung und Anpassung unerlässlich, um Diskriminierung und fundamentale Rechtsverletzungen zu vermeiden. KI-Systeme, die Bewerbungen vorsortieren oder Leistungsprofile erstellen, müssen transparent, nachvollziehbar und vor allem fair sein, um den Anforderungen des AI Acts zu genügen. Der Fokus liegt darauf, voreingenommene Algorithmen zu identifizieren und zu korrigieren, um Chancengleichheit zu gewährleisten.

Im Controlling und Finance wird KI zunehmend als Assistenz- und Frühwarnsystem eingesetzt. Der Fokus liegt auf Effizienzgewinnen in dokumentenlastigen Phasen, wie der Beschleunigung von Analysen, dem Clustering von Abweichungen, Ausschreibungen, Angebotsvergleichen oder der Verwaltung von Vertragsständen. Eine CFO-kompatible KI im Controlling ist primär ein Assistenz- und Frühwarnsystem, kein Entscheidungssystem. Sie unterstützt bei der Vorbereitung von Analysen und der Erkennung von Mustern, trifft aber keine finalen Entscheidungen. Angesichts des demografischen Wandels in der DACH-Region ersetzt KI im Finanzbereich nicht primär Arbeitsplätze, sondern hilft, den Fachkräftemangel zu kompensieren und neue Rollen, wie den "Data Steward", entstehen zu lassen, die für die Qualität und Governance der Daten zuständig sind.

Im Bereich IT und Sicherheit haben Datensicherheit und Compliance beim Datenbankbetrieb in der DACH-Region höchste Priorität. Dies bestätigt die Redgate-Studie vom 20. August 2026. Unternehmen reagieren mit Standardisierung, Automatisierung und gezieltem KI-Einsatz, um diese Herausforderungen zu meistern. Die Integration von KI in die Cybersicherheit, wie die erweiterte Partnerschaft von Palo Alto Networks mit AnthropicAI zur Stärkung der Sicherheitsanalyse mit dem Claude Mythos 5-Modell zeigt, unterstreicht die Notwendigkeit sicherer KI-Anwendungen. Paradoxerweise ist die KI selbst für 65% der befragten Unternehmen zur größten Cybersecurity-Sorge geworden, noch vor Malware. Dies verdeutlicht, dass die Vorteile von KI in der Sicherheit nur genutzt werden können, wenn die KI-Systeme selbst robust und konform sind. Eine sorgfältige Implementierung und Überwachung ist hier unabdingbar.

Die Schweizer Perspektive: EU AI Act und DSG im Zusammenspiel

Für Schweizer Unternehmen, die in der EU aktiv sind oder KI-Systeme anbieten, die in der EU verwendet werden, hat der EU AI Act aufgrund seiner extraterritorialen Wirkung direkte Relevanz. Auch wenn die Schweiz kein EU-Mitglied ist, müssen exportorientierte Unternehmen oder solche mit Kunden in der EU die Bestimmungen des AI Acts einhalten, sobald ihre KI-Systeme in der EU zum Einsatz kommen.

Zusätzlich zum EU AI Act müssen Schweizer Unternehmen das totalrevidierte Schweizer Datenschutzgesetz, nDSG, berücksichtigen, das seit dem 1. September 2023 in Kraft ist. Das nDSG legt einen starken Fokus auf Datensouveränität und die Verarbeitung von Schweizer Personendaten, idealerweise innerhalb der Schweiz. Bei Verstößen drohen hohe Bußgelder von bis zu CHF 100.000 für Privatpersonen und über CHF 250.000 für Unternehmen. Eine wesentliche Anforderung des nDSG im Kontext von KI ist die Durchführung einer Datenschutz-Folgenabschätzung, kurz DPIA, wenn ein KI-System als Hochrisiko eingestuft wird. Dies ist der Fall, wenn es Diskriminierung verursachen, fundamentale Rechte verletzen oder große wirtschaftliche Auswirkungen haben könnte, zum Beispiel bei Hiring-Modellen oder Credit-Scoring-Systemen. Hier überschneiden sich die Anforderungen des EU AI Acts und des nDSG, was eine kohärente Strategie für Schweizer Unternehmen unerlässlich macht.

Praktische Handlungsempfehlungen für Unternehmen

Angesichts der bevorstehenden Fristen und komplexen Anforderungen sollten Unternehmen im DACH-Raum jetzt handeln. Kapitel H empfiehlt folgende konkrete Schritte:

1. Starten Sie mit einer Bestandsaufnahme: Erstellen Sie umgehend ein umfassendes KI-Inventar. Identifizieren Sie alle im Unternehmen genutzten KI-Systeme, auch jene, die in bestehender Software integriert sind. Bewerten Sie deren Risikoprofil gemäß den Kriterien des EU AI Acts. 2. Etablieren Sie eine KI-Governance: Definieren Sie klare Rollen und Verantwortlichkeiten für den Einsatz, die Überwachung und die Compliance von KI-Systemen. Implementieren Sie ein "AI Target Operating Model", das Entscheidungsprozesse und End-to-End-Abläufe festlegt. 3. Investieren Sie in Kompetenzaufbau: Setzen Sie rollenbasierte Schulungsprogramme auf, um die KI-Kompetenz Ihrer Mitarbeiter systematisch zu stärken. Dokumentieren Sie diese Schulungen, um die Einhaltung der Artikel 4 Pflicht nachweisen zu können. Dies befähigt Ihre Mitarbeiter zum sicheren und verantwortungsvollen Umgang mit KI und reduziert Abhängigkeiten. 4. Prüfen Sie Ihre Anbieterbeziehungen: Verhandeln Sie mit Ihren KI-Anbietern über die Bereitstellung notwendiger Dokumentationen und Informationen zur AI Act Compliance. Stellen Sie sicher, dass Ihre Verträge entsprechende Klauseln enthalten, die Sie als Betreiber absichern. 5. Führen Sie eine GAP-Analyse durch: Analysieren Sie die Lücke zwischen Ihrem aktuellen Stand und den Anforderungen des EU AI Acts sowie, für Schweizer Unternehmen, des nDSG. Priorisieren Sie Maßnahmen basierend auf dem Risiko und dem potenziellen Nutzen. 6. Planen Sie Budgets ein: Die Umsetzung dieser Anforderungen ist mit Kosten verbunden. Ein produktiver KI-Pilot im DACH-Mittelstand kann 2026 typischerweise 30.000 bis 90.000 Euro kosten, während ein Rollout über mehrere Bereiche zwischen 100.000 und 350.000 Euro liegen kann. Die Total Cost of Ownership, TCO, über drei Jahre kann das 1,5- bis 3-fache der Initialkosten betragen. Berücksichtigen Sie diese Kosten für Integration, Prozessdesign, Datenarbeit, Governance und Betrieb in Ihrer Planung. Eine mangelhafte Integration und niedrige Compliance-Anforderungen zu Beginn führen oft zu teuren Nacharbeiten.

Kritische Einordnung aus Kapitel-H-Sicht

Der aktuelle Diskurs um Künstliche Intelligenz ist oft von Hype und überzogenen Erwartungen geprägt. Neue Tools und vermeintlich bahnbrechende Innovationen, wie die Ausweitung des Werbegeschäfts von OpenAI für ChatGPT auf Europa, dominieren die Schlagzeilen. Doch die eigentliche und für den Mittelstand relevante Nachricht liegt nicht in der neuesten technischen Spielerei, sondern in der regulatorischen Realität und den strukturellen Anpassungen, die Unternehmen nun vornehmen müssen.

Aus Sicht von Kapitel H geht es nicht darum, *irgendeine* KI einzuführen. Es geht um den *konformen und verantwortungsvollen Einsatz* von KI-Systemen. Der EU AI Act ist keine optionale Empfehlung, sondern eine gesetzlich verankerte Pflicht, die eine klare KI-Governance, Transparenz über genutzte KI-Anwendungen und die systematische Schulung der Belegschaft zwingend vorschreibt. Die Kosten für die Umsetzung sind real und dürfen nicht ignoriert werden. Wer jetzt nicht investiert, riskiert in Zukunft deutlich höhere Kosten durch Nachbesserungen oder, im schlimmsten Fall, durch Bußgelder und Reputationsschäden.

Der AI Act zwingt Unternehmen dazu, sich kritisch mit den Risiken und der Ethik von KI auseinanderzusetzen. Dies geht über den reinen Effizienzgedanken hinaus. Es ist eine Chance, Vertrauen in KI zu stärken und negative Auswirkungen zu verhindern. Dies ist besonders wichtig angesichts der oft intransparenten Entscheidungen von KI in kritischen Bereichen wie Einstellungsprozessen oder der Gewährung öffentlicher Leistungen. Kapitel H vertritt die Auffassung, dass eine vorausschauende Compliance und eine solide KI-Strategie die Grundlage für einen erfolgreichen und nachhaltigen Einsatz von KI bilden. Nur so können Unternehmen die Potenziale der Technologie wirklich ausschöpfen und gleichzeitig die Risiken minimieren. Das Prinzip der Befähigung, statt der Abhängigkeit, ist hierbei leitend.

Fazit

Die stufenweise Umsetzung des EU AI Acts und die damit verbundenen umfassenden Compliance-Anforderungen stellen eine zentrale Herausforderung, aber auch eine Chance für Unternehmen im DACH-Raum dar. Insbesondere die Fristen bis August 2026 erfordern ein sofortiges und strukturiertes Vorgehen. Wer jetzt die vier Säulen der Compliance, KI-Inventar, Rollenklärung, Kompetenznachweis und Provider-Dokumentation, proaktiv aufbaut, sichert sich nicht nur rechtlich ab, sondern schafft auch die Grundlage für einen vertrauenswürdigen und effizienten KI-Einsatz.

Dieser regulatorische Rahmen zwingt den Mittelstand, sich ernsthaft mit den Implikationen von KI auseinanderzusetzen, statt nur dem Hype zu folgen. Eine klare Strategie, die Investition in Mitarbeiterkompetenz und die Etablierung einer soliden KI-Governance sind keine Kür, sondern eine Pflicht, die langfristig Wettbewerbsvorteile sichert. Kapitel H empfiehlt, diese Entwicklung als Chance zu begreifen, die eigene KI-Reife zu erhöhen und die Technologie verantwortungsvoll in die Unternehmensprozesse zu integrieren. Nur so kann der volle Nutzen von KI ausgeschöpft und gleichzeitig das Vertrauen der Stakeholder gewonnen werden.