EU AI Act: Was DACH-Unternehmen ab 2. August 2026 wissen müssen

Der 2. August 2026 markiert einen entscheidenden Stichtag für Unternehmen im deutschsprachigen Raum, die Künstliche Intelligenz (KI) einsetzen. An diesem Datum treten zentrale Bestimmungen des EU AI Act in Kraft, welche die Spielregeln für den Umgang mit KI grundlegend verändern. Für den DACH-Mittelstand bedeutet dies eine neue Realität, die über reine Technologiefragen hinausgeht. Es geht um Transparenz, Rechenschaftspflicht und die Anpassung interner Prozesse, um rechtliche Risiken zu minimieren und gleichzeitig das Potenzial von KI verantwortungsvoll zu nutzen.

Die Einführung des EU AI Act ist mehr als nur eine weitere Regulierung. Sie ist ein klares Signal der Europäischen Union, Vertrauen in KI zu schaffen, indem klare Leitplanken für ihre Entwicklung und Anwendung gesetzt werden. Dies betrifft nicht nur europäische Unternehmen direkt. Aufgrund der extraterritorialen Wirkung sind auch Schweizer Firmen in ihren Aktivitäten auf dem EU-Markt unmittelbar betroffen. Die Notwendigkeit, sich proaktiv mit diesen Anforderungen auseinanderzusetzen, ist somit keine Option mehr, sondern eine strategische und operative Pflicht.

Der 2. August 2026: Was sich konkret ändert

Ab dem 2. August 2026 werden die Transparenzpflichten gemäss Artikel 50 des EU AI Act sowie die vollständigen Durchsetzungs- und Sanktionsbefugnisse der nationalen Aufsichtsbehörden wirksam. Für Unternehmen bedeutet dies eine sofortige Anpassung in mehreren Bereichen:

1. Transparenzpflichten bei menschlicher Interaktion: Unternehmen müssen Nutzer von Beginn der Interaktion an darüber informieren, dass sie mit einem KI-System sprechen. Dies gilt für Chatbots, automatische Telefonassistenten oder andere KI-Systeme, die direkt mit Menschen kommunizieren. Die Information muss klar, verständlich und leicht zugänglich sein. Dies soll sicherstellen, dass Nutzer sich ihrer Interaktionspartner bewusst sind und informierte Entscheidungen treffen können.

2. Kennzeichnungspflicht für KI-generierte Inhalte: KI-generierte Inhalte, seien es Texte, Bilder, Audio- oder Videodateien, müssen ab diesem Stichtag maschinenlesbar als solche gekennzeichnet werden. Diese Regelung soll der Verbreitung von Desinformation entgegenwirken und die Unterscheidbarkeit von echten und generierten Inhalten gewährleisten. Für Unternehmen, die KI-Tools zur Content-Erstellung nutzen, resultiert hieraus ein konkreter Handlungsbedarf.

3. Volle Durchsetzungs- und Sanktionsbefugnisse: Die nationalen Aufsichtsbehörden erhalten ab diesem Datum die vollständigen Befugnisse zur Überwachung der Einhaltung und zur Verhängung von Sanktionen. Bei Verstössen drohen empfindliche Geldbussen, die bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Wert höher ist. Dies unterstreicht die Ernsthaftigkeit der Regulierung und die Notwendigkeit für Unternehmen, die Compliance nicht auf die leichte Schulter zu nehmen.

4. Durchsetzung für General Purpose AI (GPAI): Obwohl die substanziellen Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), wie beispielsweise grosse Sprachmodelle, bereits seit dem 2. August 2025 gelten, erhalten die EU-Kommission und das KI-Büro ab dem 2. August 2026 die Befugnis, diese Anbieter zu untersuchen und bei Nichteinhaltung Bußgelder zu verhängen. Dies schliesst die Lücke zwischen Pflicht und Durchsetzbarkeit.

Eine wichtige Anpassung kurz vor dem Stichtag betrifft die Verschiebung umfassenderer Pflichten für eigenständige Hochrisiko-KI-Systeme. Diese müssen nun erst bis zum 2. Dezember 2027 und für in regulierte Produkte eingebettete Systeme bis zum 2. August 2028 vollständig konform sein. Diese Verschiebung bietet Unternehmen eine gewisse Atempause bei komplexen Governance-, Dokumentations- und Kontrollpflichten, entbindet sie jedoch nicht von den unmittelbar wirksamen Transparenzpflichten und der umfassenden Durchsetzbarkeit ab dem 2. August 2026.

Schweizer Unternehmen: Nicht ausgenommen von der EU-Regulierung

Für Schweizer Unternehmen ist es entscheidend zu verstehen, dass der EU AI Act eine sogenannte extraterritoriale Wirkung entfaltet. Dies bedeutet, dass die Verordnung auch für Unternehmen mit Sitz ausserhalb der EU gilt, sofern ihre KI-Systeme in der Europäischen Union in Verkehr gebracht, in Betrieb genommen oder die Ergebnisse solcher Systeme in der EU genutzt werden. Ein Schweizer Softwarehaus, das einen KI-gestützten Kundenservice-Chatbot für deutsche oder österreichische Kunden betreibt, muss beispielsweise die EU-Vorgaben einhalten.

Diese extraterritoriale Wirkung stellt Schweizer Unternehmen vor die Herausforderung, sich nicht nur mit den nationalen, sondern auch mit den europäischen Rechtsrahmen auseinanderzusetzen. Parallel dazu bleibt das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, eine zentrale Rechtsgrundlage. Obwohl das DSG keine spezifische