EU AI Act im DACH-Raum: Fristen verschoben, Handlungsdruck bleibt

Die Einführung und konkrete Umsetzung des EU AI Acts im DACH-Raum stellt eine der relevantesten Entwicklungen der letzten Tage für die deutschsprachige Arbeitswelt dar. Jüngste Beschlüsse im Bundestag und im Europäischen Parlament konkretisieren die rechtlichen Rahmenbedingungen für Künstliche Intelligenz. Diese Regulierung hat weitreichende Auswirkungen auf die Entwicklung, den Einsatz und die Governance von KI-Systemen und zwingt Unternehmen zu einer aktiven Auseinandersetzung mit Compliance und Risikomanagement. Falsche Annahmen oder abwartendes Verhalten können dabei erhebliche Nachteile mit sich bringen.

Der Gesetzgeber reagiert mit diesen Schritten auf die zunehmende Verbreitung von KI-Systemen in allen Wirtschaftsbereichen. Ziel ist es, Vertrauen in KI zu schaffen, Innovation zu fördern und gleichzeitig potenzielle Risiken für Grundrechte und Sicherheit zu minimieren. Für den Mittelstand im DACH-Raum bedeutet dies, die eigenen Prozesse zu überprüfen, anzupassen und eine nachhaltige KI-Strategie zu entwickeln, die sowohl Innovationskraft als auch rechtliche Sicherheit gewährleistet. Nur wer die Spielregeln versteht, kann sie aktiv für sich nutzen und Wettbewerbsvorteile erzielen. Abwarten ist hier keine Option.

Deutschland konkretisiert den EU AI Act: Das KI-MIG

Am 11. Juni 2026 hat der Deutsche Bundestag das lange erwartete Durchführungsgesetz zum EU AI Act beschlossen. Dieses Gesetz, bekannt als „KI-Marktüberwachungs- und Innovationsförderungsgesetz“ (KI-MIG), konkretisiert die nationalen Regelungen für die Entwicklung und den Einsatz von Künstlicher Intelligenz in Deutschland. Der Beschluss erfolgte in einer geänderten Fassung, nachdem der Entwurf bereits am 11. Februar 2026 vom Kabinett verabschiedet worden war. Die Zustimmung des Bundesrates steht zum aktuellen Zeitpunkt noch aus, ist jedoch eine Formalie, die das Inkrafttreten des Gesetzes nicht grundlegend in Frage stellen wird.

Die Verabschiedung des KI-MIG wurde vom Bitkom e.V. bereits am 11. Juni 2026 als „gute Nachricht für alle Unternehmen, die KI entwickeln oder einsetzen“, bewertet, da sie nun mehr Rechtssicherheit erhalten. Dies ist in der Tat ein wichtiger Schritt, denn die Komplexität der europäischen Verordnung erfordert klare nationale Zuständigkeiten. Das KI-MIG definiert, welche Behörden in Deutschland künftig für die Umsetzung, Aufsicht und Unterstützung von Unternehmen zuständig sind. Diese Klärung ist für den Mittelstand essenziell, um Ansprechpartner zu finden und den Compliance-Prozess effizient zu gestalten.

Eine zentrale Rolle in diesem Gefüge kommt der Bundesnetzagentur (BNetzA) zu. Sie soll als Koordinierungs- und Kompetenzzentrum sowie als Innovationsförderer fungieren. Diese Bündelung von Aufgaben bei einer erfahrenen Regulierungsbehörde ist ein pragmatischer Ansatz, um die Fragmentierung deutscher Verwaltungsstrukturen zu überwinden und einen zentralen Anlaufpunkt zu schaffen. Unternehmen, die KI-Systeme auf den Markt bringen oder nutzen, profitieren von einer klar definierten Anlaufstelle, was den bürokratischen Aufwand reduzieren und die Orientierung erleichtern sollte. Die BNetzA wird somit zu einem wichtigen Partner für Unternehmen, der nicht nur überwacht, sondern auch beratend zur Seite steht.

Bitkom mahnte jedoch an, dass trotz der zentralen Rolle der BNetzA ein „Flickenteppich“ entstehen könnte. Dies ist insbesondere der Fall, wenn die Bundesländer nicht an einem Strang ziehen. Die Überwachung von KI in öffentlichen Stellen der Länder, die nicht zentral von der Bundesnetzagentur überwacht werden, birgt das Risiko unterschiedlicher Auslegungen und Verfahrensweisen. Dies könnte für Unternehmen, die bundesweit agieren, zusätzliche Komplexität schaffen. Eine harmonisierte Zusammenarbeit zwischen Bund und Ländern ist daher entscheidend, um eine konsistente Umsetzung des KI-MIG zu gewährleisten und den Bürokratieaufwand für Unternehmen nicht unnötig zu erhöhen. Hier ist politische Koordination gefragt, um die versprochene Rechtssicherheit auch in der Fläche zu gewährleisten.

Neue Fristen für Hochrisiko-KI: Der Digital Omnibus schafft Atempause, aber keine Entwarnung

Eine weitere signifikante Entwicklung, die in den letzten Tagen für Aufmerksamkeit sorgte, ist die Verabschiedung des sogenannten „Digital Omnibus“ durch das Europäische Parlament am 16. Juni 2026. Diese Entscheidung verschiebt zentrale Compliance-Fristen des EU AI Acts und gibt Unternehmen somit mehr Zeit für die umfassende Umsetzung der komplexen Anforderungen. Für eigenständige Hochrisiko-KI-Systeme gelten nun verlängerte Übergangsfristen bis zum 2. Dezember 2027. Systeme, die in regulierte Produkte wie etwa Medizingeräte oder Maschinen eingebettet sind, erhalten sogar eine noch längere Frist bis zum 2. August 2028. Ursprünglich war der August 2026 als Stichtag für viele dieser Systeme vorgesehen, was einen erheblichen Druck auf die Unternehmen ausgeübt hätte.

Diese Fristverschiebung ist für viele Unternehmen im DACH-Mittelstand, die in diesen Bereichen tätig sind, eine willkommene Entlastung. Sie ermöglicht eine sorgfältigere Planung und Implementierung der erforderlichen Maßnahmen, ohne unter extremen Zeitdruck agieren zu müssen. Gerade die Klassifizierung von KI-Systemen als „Hochrisiko“ zieht einen Katalog von Pflichten nach sich, der von der Datenqualität über technische Dokumentation bis hin zu Konformitätsbewertungsverfahren reicht. Die zusätzliche Zeit kann genutzt werden, um interne Prozesse anzupassen, Personal zu schulen und gegebenenfalls externe Expertise einzuholen. Eine überhastete Einführung birgt das Risiko von Fehlern und späteren Nachbesserungen, die teurer und aufwendiger sind als eine fundierte Vorbereitung.

Es ist jedoch entscheidend zu betonen, dass diese Fristverschiebung nicht für alle Teile des AI Acts gilt. Unternehmen dürfen sich durch diese Nachricht nicht in falscher Sicherheit wiegen lassen. Bestimmte Regelungen sind bereits in Kraft oder treten demnächst in Kraft: Verbotene Praktiken, wie etwa soziale Scoring-Systeme oder manipulative Techniken, sind bereits seit Anfang 2025 untersagt. Die Pflichten für Allzweck-KI-Modelle (GPAI), also sogenannte Foundation Models, gelten seit August 2025. Auch die Transparenzregeln für verschiedene KI-Anwendungen, wie die Kennzeichnung von KI-generierten Inhalten oder die Information über den Einsatz von Emotionserkennungssystemen, werden planmäßig ab dem 2. August 2026 durchgesetzt.

Für die Durchsetzung der GPAI-Regeln ist das neu geschaffene EU AI Office zuständig, welches die Einhaltung der Anforderungen an diese mächtigen Modelle überwachen wird. In Deutschland beginnt parallel zum 2. August 2026 auch das Sanktionsregime des KI-MIG, wobei das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Aufsichtsbehörde eine wichtige Rolle spielen wird. Dies bedeutet, dass Unternehmen, die diese KI-Systeme einsetzen, sich umgehend mit den entsprechenden Vorschriften auseinandersetzen müssen, um empfindliche Strafen zu vermeiden. Die Atempause ist somit selektiv und erfordert eine genaue Analyse der eigenen KI-Landschaft, um festzustellen, welche Fristen relevant sind und welche bereits aktiv beachtet werden müssen.

Auswirkungen auf den DACH-Mittelstand: Handlungsdruck bleibt hoch

Diese regulatorischen Anpassungen haben weitreichende Konsequenzen für deutschsprachige Unternehmen, insbesondere den Mittelstand. Während die verlängerten Fristen für Hochrisiko-KI-Systeme eine gewisse Entlastung bei der Implementierung komplexer Systeme darstellen, bleibt der grundlegende Handlungsdruck bestehen. Die Notwendigkeit, sich proaktiv mit dem EU AI Act auseinanderzusetzen, ist unumgänglich.

Datenschutz als zentrale Hürde: In der Schweiz ist der Datenschutz einer der häufigsten Gründe, warum KMU Künstliche Intelligenz nicht offiziell einführen. Dies geschieht, obwohl viele Mitarbeiter KI-Tools bereits informell nutzen, was als „Schatten-KI“ bezeichnet wird und erhebliche Risiken birgt. Unsicherheiten rund um das revidierte Datenschutzgesetz (DSG) und den EU AI Act, sowie die extraterritorialen Auswirkungen des US Cloud Act, führen dazu, dass Geschäftsleitungen Entscheidungen aufschieben. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt, dass das technologieneutrale Schweizer DSG vollumfänglich für jede KI-gestützte Datenbearbeitung gilt. Dies erfordert von Schweizer Unternehmen eine fundierte Analyse und Anpassung ihrer KI-Strategien, um Rechtskonformität zu gewährleisten und Schatten-KI zu vermeiden. Pragmatische Lösungen und klare Handlungsanleitungen, wie sie beispielsweise von Schweizer Unternehmen wie KI Power und Binder Legal angeboten werden, sind hier Gold wert.

Compliance-Anforderungen umfassend erfüllen: Unternehmen müssen weiterhin eine Bestandsaufnahme ihrer genutzten KI-Systeme durchführen. Dies ist der erste Schritt, um zu identifizieren, welche Systeme unter die Hochrisikokategorie fallen. Anschliessend sind detaillierte Risikobewertungen vorzunehmen und die Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Transparenz und menschliche Kontrolle umzusetzen. Gerade im HR-Bereich können KI-Systeme, etwa für die Filterung von Bewerbungen oder die Bewertung von Kandidaten, als Hochrisiko eingestuft werden. Sie unterliegen dann strengeren Auflagen, um Diskriminierung oder unfaire Behandlung zu verhindern. Die Einhaltung dieser Vorgaben ist nicht nur eine rechtliche Pflicht, sondern auch eine Frage der Unternehmensreputation und des Vertrauens.

Change Management und Mitarbeiterkompetenzen fördern: Die Einführung von KI erfordert nicht nur technologische Anpassungen, sondern auch ein effektives Change Management. Unternehmen müssen ihre Mitarbeiter frühzeitig einbinden, umfassend schulen und Vorbehalte abbauen, um die Akzeptanz von KI zu fördern. PwC's „Global AI Jobs Barometer 2026“ zeigt, dass KI-exponierte Unternehmen ein höheres Produktivitäts-, Beschäftigungs- und Lohnwachstum verzeichnen. Dies deutet darauf hin, dass KI Jobs nicht nur vernichtet, sondern auch aufwertet und neue schafft. Dies erfordert jedoch eine schnelle Anpassung der Fähigkeiten, die sich in den am stärksten betroffenen Berufen mehr als doppelt so schnell verändern. Ältere, erfahrene Fachkräfte können KI als „Superkraft“ nutzen, um ihr Domänenwissen in höhere Wertschöpfung umzusetzen. Hier liegt eine grosse Chance für den Mittelstand, den Fachkräftemangel durch gezielte Weiterbildung zu adressieren.

Cybersicherheit und Datensouveränität gewährleisten: Die Zunahme KI-basierter Cyberangriffe ist eine ernste und wachsende Bedrohung. Laut DXC Digital Future Monitor 2026 waren 65 Prozent der mittelständischen Unternehmen in Deutschland, Österreich und der Schweiz bereits solchen Angriffen ausgesetzt. Dies führt zu vermehrten Investitionen in Cybersicherheit und Datenschutz. Die Wahl von KI-Tools erfordert daher auch eine sorgfältige Prüfung des Anbieterstandorts und der Datenübermittlung in Drittländer, um DSGVO-Konformität zu gewährleisten. Cloud-Lösungen, die Daten ausserhalb der EU verarbeiten, müssen besonders kritisch hinterfragt werden. Datensouveränität wird zu einem entscheidenden Kriterium für die Auswahl von KI-Lösungen.

Produktivitätsparadox und Implementierungsherausforderungen überwinden: Obwohl KI Effizienzgewinne verspricht, verpuffen laut einer Studie rund 40 Prozent der Produktivitätsgewinne in der Nachbearbeitung von KI-Ergebnissen, auch bekannt als „AI Slop“. Die Verwaltung komplexer KI-Systeme erhöht zudem oft die Arbeitsbelastung der IT-Teams, anstatt sie zu reduzieren. Für den deutschen Mittelstand sind fehlende Implementierungsexpertise und organisatorische Bereitschaft die Hauptbarrieren für eine erfolgreiche KI-Einführung. Es reicht nicht, eine KI-Lösung zu kaufen. Es braucht eine durchdachte Integrationsstrategie, klare Prozesse und geschultes Personal, um den tatsächlichen Mehrwert zu realisieren und das Produktivitätsparadox zu überwinden.

Praktische Handlungsempfehlungen für Unternehmen im DACH-Raum

Angesichts der aktuellen Entwicklungen ist es für Unternehmen im DACH-Raum unerlässlich, proaktiv zu handeln und eine klare Strategie für den Umgang mit dem EU AI Act zu entwickeln. Hier sind konkrete Schritte, die Sie umsetzen sollten:

1. Bestandsaufnahme und Klassifizierung Ihrer KI-Systeme: Erstellen Sie eine detaillierte Liste aller in Ihrem Unternehmen eingesetzten KI-Systeme, sowohl offizieller als auch inoffizieller (Schatten-KI) Natur. Klassifizieren Sie diese Systeme gemäss den Vorgaben des EU AI Acts in Kategorien wie „geringes Risiko“, „eingeschränktes Risiko“ oder „Hochrisiko“. Dies ist die Grundlage für alle weiteren Compliance-Massnahmen.

2. Risikobewertung und -management etablieren: Für als Hochrisiko eingestufte Systeme müssen Sie eine umfassende Risikobewertung durchführen. Identifizieren Sie potenzielle Gefahren für Sicherheit, Grundrechte und Datenschutz. Implementieren Sie ein System für das Risikomanagement, das regelmässige Überprüfungen und Anpassungen vorsieht, um identifizierte Risiken zu mindern.

3. Verantwortlichkeiten klar definieren: Benennen Sie einen internen Verantwortlichen oder ein Team, das sich federführend um die Einhaltung des EU AI Acts kümmert. Eine enge Zusammenarbeit mit dem Datenschutzbeauftragten und der Rechtsabteilung ist hierbei unerlässlich. Klare Rollen und Zuständigkeiten minimieren Unsicherheiten und beschleunigen Entscheidungsprozesse.

4. Technische Dokumentation und Transparenz gewährleisten: Stellen Sie sicher, dass alle relevanten technischen Informationen zu Ihren KI-Systemen, einschliesslich Datenquellen, Trainingsmethoden und Leistungsbewertungen, sorgfältig dokumentiert werden. Die Transparenzpflichten des AI Acts, insbesondere die Kennzeichnung von KI-generierten Inhalten, müssen ab dem 2. August 2026 beachtet werden. Dies schafft Vertrauen und ermöglicht die Nachvollziehbarkeit von KI-Entscheidungen.

5. Mitarbeiterschulungen und Change Management: Sensibilisieren und schulen Sie Ihre Mitarbeiter umfassend im Umgang mit KI-Systemen und den neuen rechtlichen Anforderungen. Ein proaktives Change Management ist entscheidend, um Ängste abzubauen, die Akzeptanz zu fördern und das Potenzial von KI voll auszuschöpfen. Befähigen Sie Ihre Teams, KI als Werkzeug zu nutzen, um ihre Aufgaben effizienter und qualitativ hochwertiger zu erledigen.

6. Anbieter von KI-Lösungen kritisch prüfen: Achten Sie bei der Auswahl externer KI-Tools und -Dienstleister auf deren Compliance-Bereitschaft und den Umgang mit Datensouveränität. Hinterfragen Sie den Anbieterstandort und die Datenflüsse, insbesondere bei Übermittlungen in Drittländer. Bevorzugen Sie Lösungen, die Ihnen volle Kontrolle über Ihre Daten ermöglichen und den europäischen Datenschutzstandards entsprechen.

7. Austausch mit Behörden und Branchenverbänden suchen: Bleiben Sie informiert über weitere Entwicklungen und suchen Sie den Dialog mit den zuständigen Aufsichtsbehörden, wie der Bundesnetzagentur in Deutschland, und relevanten Branchenverbänden. Diese können wertvolle Orientierungshilfen und Best Practices bereitstellen.

8. Externe Beratung bei Bedarf: Scheuen Sie sich nicht, externe Experten hinzuzuziehen, insbesondere wenn Ihr Unternehmen Hochrisiko-KI-Systeme entwickelt oder einsetzt. Spezialisierte Beratungsfirmen, wie Kapitel H, können Ihnen helfen, die komplexen Anforderungen zu interpretieren und massgeschneiderte Lösungen für Ihr Unternehmen zu entwickeln, die sowohl rechtlich sicher als auch wirtschaftlich sinnvoll sind.

Kritische Einordnung aus Kapitel H Sicht: Realität statt Hype

Die jüngsten Entwicklungen rund um den EU AI Act sind ein klares Signal: Die Zeit des unverbindlichen Experimentierens mit Künstlicher Intelligenz ist vorbei. Die vermeintliche Entlastung durch verschobene Fristen sollte nicht als Einladung zum Abwarten missverstanden werden. Vielmehr ist es eine strategische Atempause, die Unternehmen nutzen sollten, um ihre Hausaufgaben gewissenhaft zu erledigen. Aus Sicht von Kapitel H bedeutet dies, den Fokus von der reinen Technologiebegeisterung auf die pragmatische, datenbasierte und rechtskonforme Anwendung zu verschieben.

Wir beobachten oft eine Tendenz, regulatorische Anforderungen als Bürde zu sehen, die Innovationen bremst. Das ist eine verkürzte Sichtweise. Eine klare Regulierung schafft Vertrauen, setzt Standards und ermöglicht einen fairen Wettbewerb. Unternehmen, die jetzt proaktiv handeln und eine robuste KI-Governance aufbauen, werden sich im Markt differenzieren können. Sie signalisieren ihren Kunden, Partnern und Mitarbeitern Verantwortungsbewusstsein und Zukunftsfähigkeit. Wer hingegen die Augen verschliesst und auf den letzten Drücker reagiert, riskiert nicht nur hohe Strafen, sondern auch den Verlust von Vertrauen und Wettbewerbsfähigkeit.

Gerade der Mittelstand im DACH-Raum hat hier eine besondere Chance. Mit seiner traditionellen Stärke in Qualität, Präzision und Verlässlichkeit kann er diese Werte auch auf den Einsatz von KI übertragen. Es geht darum, KI als Werkzeug zur Befähigung der eigenen Mitarbeiter und zur Stärkung der Geschäftsmodelle zu verstehen, nicht als eine Blackbox, die man anderen überlässt. Die Herausforderung liegt nicht nur in der technischen Implementierung, sondern massgeblich im Aufbau einer Unternehmenskultur, die datengetrieben, risikobewusst und innovationsfreudig ist.

Das sogenannte „Produktivitätsparadox“ und die „AI Slop“ sind deutliche Indikatoren dafür, dass KI-Einführungen ohne klare Strategie und fundierte Expertise scheitern können. Einfach ein Tool zu integrieren, ohne die Prozesse, die Mitarbeiter und die Compliance-Anforderungen zu berücksichtigen, führt zu Frustration und Kosten, aber nicht zu Mehrwert. Kapitel H vertritt die klare Haltung, dass nur eine ganzheitliche Betrachtung, die technische Machbarkeit mit organisatorischer Bereitschaft und rechtlicher Absicherung verbindet, zum Erfolg führen kann. Setzen Sie auf reale Anwendungen und messbare Ergebnisse, statt sich von Buzzwords blenden zu lassen. Die Zeit für eine fundierte Auseinandersetzung ist jetzt.

Fazit: Jetzt handeln für eine sichere KI-Zukunft

Die Implementierung des EU AI Acts in Deutschland und die teils verschobenen Fristen für Hochrisiko-KI-Systeme sind keine Entwarnung, sondern ein klarer Auftrag. DACH-Unternehmen erhalten einerseits mehr Planungssicherheit und Zeit, müssen andererseits aber die regulatorischen Anforderungen ernst nehmen und ihre KI-Strategien entsprechend anpassen. Die Herausforderungen liegen nicht nur in der technischen Integration von KI, sondern vor allem im datenschutzkonformen Einsatz, einem proaktiven Change Management und der Sicherstellung der Cybersicherheit. Das Spannungsfeld zwischen Innovationsdruck und Compliance-Pflichten wird in den kommenden Monaten und Jahren die Arbeitswelt im DACH-Raum massgeblich prägen. Wer jetzt agiert, schafft die Basis für langfristigen Erfolg und vermeidet kostspielige Nachbesserungen. Nutzen Sie die verlängerte Frist für eine fundierte Vorbereitung und stellen Sie die Weichen für einen verantwortungsvollen und zukunftsfähigen KI-Einsatz in Ihrem Unternehmen.