EU AI Act: Was DACH-Unternehmen bis 2027 wissen müssen

Der Einsatz Künstlicher Intelligenz (KI) ist längst keine Zukunftsvision mehr, sondern fester Bestandteil vieler Geschäftsabläufe im DACH-Raum. Von der Optimierung interner Prozesse bis hin zur Entwicklung neuer Produkte und Dienstleistungen bieten KI-Anwendungen enorme Potenziale. Doch mit dem Fortschreiten der Technologie wachsen auch die Herausforderungen, insbesondere im Bereich der Regulierung. Die wichtigste und unmittelbarste Entwicklung für Unternehmen im deutschsprachigen Raum ist die stufenweise Implementierung des EU AI Act, der als weltweit erstes umfassendes Gesetz zur Regulierung von KI neue Maßstäbe setzt.

Was zunächst als ferne Vision erschien, ist nun greifbare Realität. Der EU AI Act (Verordnung (EU) 2024/1689) zwingt Unternehmen zu einer strategischen Neuausrichtung. Es geht nicht mehr nur um die Frage, ob KI eingesetzt wird, sondern wie sie rechtskonform, ethisch vertretbar und wirtschaftlich tragfähig in den Geschäftsbetrieb integriert werden kann. Die Jahre 2025, 2026 und 2027 sind hierbei entscheidend, da in diesen Phasen die zentralen Bestimmungen anwendbar werden, die direkt in den operativen Geschäftsbetrieb eingreifen und das regulatorische Umfeld nachhaltig verändern. Dieser Artikel beleuchtet die konkreten Auswirkungen und gibt Handlungsempfehlungen für den Mittelstand im DACH-Raum.

Der EU AI Act: Stufenweise Implementierung, weitreichende Konsequenzen

Der EU AI Act, dessen Inkrafttreten bereits am 1. August 2024 erfolgte, entfaltet seine volle Wirkung nicht auf einmal, sondern in klar definierten Schritten. Dies gibt Unternehmen zwar eine Übergangsfrist, doch die strategische Planung muss bereits heute beginnen. Die ersten wichtigen Meilensteine haben DACH-Unternehmen bereits hinter sich oder stehen unmittelbar bevor:

* Seit dem 2. Februar 2025 sind das Verbot bestimmter KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) anwendbar. Dies bedeutet, dass bestimmte hochriskante Anwendungen, wie zum Beispiel Social Scoring durch private Akteure, bereits untersagt sind. Gleichzeitig sind Unternehmen dazu angehalten, ein grundlegendes Verständnis für KI-Systeme und ihre Risiken zu entwickeln.

* Seit dem 2. August 2025 gelten Governance-Regeln und Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Diese sogenannten General Purpose AI-Modelle, wie sie etwa bei Large Language Models (LLMs) zum Einsatz kommen, müssen spezifische Anforderungen hinsichtlich Datengovernance, Risikomanagement und Cybersicherheit erfüllen. Dies betrifft nicht nur die Entwickler dieser Modelle, sondern auch Unternehmen, die solche Systeme in ihre Anwendungen integrieren.

Der mit Abstand umfangreichste und für die meisten DACH-Unternehmen relevanteste Teil der Verordnung wird jedoch am 2. August 2026 anwendbar. Dies betrifft insbesondere die vollständigen Anforderungen an Hochrisiko-KI-Systeme gemäß Anhang III der Verordnung. Es ist wichtig zu beachten, dass eine Anpassung des Zeitplans durch den Digital Omnibus on AI zwar die Anwendbarkeit der Transparenzpflichten (Art. 50(1)) auf August 2026 setzte, die umfassenden Anforderungen für Hochrisiko-KI-Systeme jedoch auf Dezember 2027 verschoben wurden. Diese Verschiebung gibt Unternehmen etwas mehr Zeit für die Umsetzung der komplexesten Anforderungen, die strategische Vorbereitung ist jedoch weiterhin dringend geboten. Unternehmen dürfen diese Zeit nicht ungenutzt lassen.

Hochrisiko-KI-Systeme: Definition und Kernpflichten für den Mittelstand

Der Kern des EU AI Act ist der risikobasierte Ansatz. Systeme, die ein hohes Risiko für die Grundrechte oder die Sicherheit von Personen darstellen, unterliegen strengsten Regeln. Anhang III des EU AI Act listet acht Kategorien von Hochrisiko-KI-Systemen auf. Für DACH-Unternehmen sind hierbei besonders relevant:

* KI-Systeme in den Bereichen Beschäftigung und Personalverwaltung: Dazu gehören Anwendungen für Recruiting, die Bewertung von Bewerbern, die Leistungsbewertung von Mitarbeitern, die Zuweisung von Aufgaben oder die Überwachung am Arbeitsplatz. Stellen Sie sich ein KI-Tool vor, das automatisch Bewerbungen vorsortiert oder Mitarbeiterleistungen bewertet. Solche Systeme fallen unter diese Kategorie.

* KI-Systeme für den Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen: Beispiele hierfür sind KI-gestützte Kreditvergabesysteme, Systeme zur Risikobewertung bei Versicherungen oder auch KI in kritischen Infrastrukturen wie im Gesundheitswesen. Jede Anwendung, die den Zugang zu grundlegenden Dienstleistungen beeinflusst, muss hier genau geprüft werden.

* KI-Systeme im Bereich Bildung und Berufsausbildung: Dies umfasst KI zur Bewertung von Lernergebnissen, zur Erstellung von Lernprofilen oder zur Zugangsgewährung zu Bildungseinrichtungen. Die Auswirkungen auf Einzelpersonen können hier erheblich sein.

Für Anbieter und Betreiber solcher Hochrisiko-KI-Systeme bedeutet die vollständige Anwendbarkeit der Regeln ab Dezember 2027 die Pflicht zur Einrichtung eines Risikomanagementsystems. Dieses muss den gesamten Lebenszyklus des KI-Systems abdecken, von der Konzeption über die Entwicklung bis zum Betrieb (Art. 9). Es geht darum, potenzielle Risiken systematisch zu identifizieren, zu bewerten und zu mindern. Hinzu kommen umfassende Anforderungen an die Daten-Governance (Art. 10). Trainings-, Validierungs- und Testdatensätze müssen nach klar definierten Kriterien aufbereitet und verwaltet werden. Dies ist entscheidend, um Diskriminierung oder Verzerrungen (Bias) in den KI-Modellen zu vermeiden und somit die Fairness der Systeme zu gewährleisten. Der Nachweis der Datenqualität wird zur Pflicht.

Weitere zentrale Pflichten umfassen die menschliche Aufsicht, die sicherstellt, dass Menschen die Kontrolle über autonome KI-Systeme behalten, robuste technische Lösungen für Sicherheit und Zuverlässigkeit, detaillierte Dokumentations- und Protokollierungspflichten zur Nachvollziehbarkeit aller Schritte, hohe Standards für Genauigkeit, Robustheit und Cybersicherheit, sowie die Durchführung von Konformitätsbewertungen. Letzteres ist vergleichbar mit einer Zertifizierung, die belegt, dass das KI-System den Anforderungen des EU AI Act entspricht. Dies alles erfordert einen erheblichen Aufwand und eine grundlegende Anpassung der internen Prozesse.

KI-Governance und Ethik: Von der Theorie zur Compliance-Pflicht

Die stufenweise Anwendbarkeit des EU AI Act macht eine proaktive und belastbare KI-Governance unerlässlich. Für Unternehmen im DACH-Raum geht es im Jahr 2026 nicht mehr nur darum, ob KI eingesetzt wird, sondern wie der Kompetenzaufbau systematisch gesteuert und der Einsatz von KI rechtssicher und ethisch vertretbar gestaltet werden kann. Eine PwC-Studie von Juni 2026 zeigt, dass der Anteil KI-bezogener Stellenanzeigen in Deutschland seit 2023 kontinuierlich gestiegen ist, der Zusammenhang zwischen KI-Exponierung und tatsächlichem Skill-Wandel jedoch mit einer Korrelation von 0,02 nahezu inexistent ist. Dies steht in deutlichem Kontrast zum globalen Bild und unterstreicht die Notwendigkeit für DACH-Unternehmen, den Kompetenzaufbau in puncto KI-Governance und -Compliance zu priorisieren. Es genügt nicht, KI zu nutzen, man muss sie auch verstehen und steuern können.

Viele DACH-Unternehmen, darunter 41 Prozent der deutschen Unternehmen mit mehr als 20 Mitarbeitern, setzen KI bereits aktiv ein. Eine Umfrage unter 300 deutschen Unternehmen im DACH KI-Governance-Benchmark 2026 zeigt jedoch, dass zwar 80 Prozent der Unternehmen KI nutzen, aber nur die Hälfte über funktionierende Governance-Strukturen verfügt. Gleichzeitig nutzen 34 Prozent der Beschäftigten regelmäßig KI-Tools, die vom Unternehmen nicht freigegeben sind, die sogenannte **