EU AI Act: Was DACH-Unternehmen ab 2026 wissen müssen

# EU AI Act: Was DACH-Unternehmen ab 2026 wissen müssen

Die deutschsprachige Arbeitswelt steht ab dem 2. August 2026 vor einer signifikanten Zäsur im Umgang mit Künstlicher Intelligenz. An diesem Datum treten wesentliche Teile des EU AI Acts, der weltweit ersten umfassenden KI-Verordnung, in Kraft. Insbesondere Transparenz- und Kennzeichnungspflichten für eine breite Palette von KI-Anwendungen werden für Unternehmen in Deutschland, Österreich und der Schweiz verbindlich. Dies erfordert von vielen Betrieben eine dringende Anpassung ihrer KI-Strategien, internen Prozesse und Governance-Strukturen, um Compliance-Risiken und potenziell hohe Bußgelder zu vermeiden.

Der EU AI Act verfolgt einen risikobasierten Ansatz, der unterschiedliche Pflichten für verschiedene Arten von KI-Systemen vorsieht. Die nun anwendbaren Regeln zielen vor allem auf KI-Systeme mit "begrenztem Risiko" sowie auf erste Aspekte von Hochrisiko-Anwendungen ab. Unternehmen, die diese Technologien nutzen, müssen sich intensiv mit den neuen Vorschriften auseinandersetzen. Kapitel H beobachtet die Entwicklung genau und stellt fest, dass Handlungsbedarf besteht. Abwarten ist keine Option, da die Konsequenzen bei Nichteinhaltung weitreichend sein können.

Die zentralen Pflichten ab August 2026: Ein detaillierter Blick

Die ab dem 2. August 2026 geltenden Vorschriften des EU AI Acts legen einen starken Fokus auf die Transparenz im Umgang mit Künstlicher Intelligenz. Diese neuen Pflichten betreffen eine Vielzahl von KI-Anwendungen, die im Geschäftsalltag bereits weit verbreitet sind.

Kennzeichnungspflicht für KI-Interaktionen

Eine der wichtigsten Neuerungen ist die Pflicht zur Kennzeichnung, wenn Menschen mit einem KI-System interagieren. Dies betrifft insbesondere alle KI-Anwendungen, die eine Kommunikation mit Nutzern simulieren oder Inhalte generieren. Beispiele hierfür sind Chatbots im Kundenservice, Voicebots in Telefonzentralen oder virtuelle Assistenten auf Unternehmenswebsites. Die Vorschrift besagt, dass Unternehmen transparent machen müssen, wann ein Gesprächspartner kein Mensch ist, sondern eine KI. Ein versteckter Hinweis im Impressum oder in den Allgemeinen Geschäftsbedingungen reicht nicht aus. Die Information muss klar und eindeutig zum Zeitpunkt der ersten Interaktion erfolgen, es sei denn, die Nutzung der KI ist für den Nutzer offensichtlich und selbstredend. Für Angebote, die sich speziell an Kinder richten, ist zudem ein altersgerechter Hinweis erforderlich. Dies stellt sicher, dass auch die jüngsten Nutzer die Natur ihrer Interaktion verstehen. Die Umsetzung dieser Pflicht erfordert eine Überprüfung aller kundennahen Schnittstellen, an denen KI zum Einsatz kommt. Unternehmen müssen sicherstellen, dass die Kennzeichnung prominent platziert und verständlich formuliert ist, um Missverständnisse zu vermeiden und das Vertrauen der Nutzer zu stärken.

Kennzeichnung von KI-generierten Inhalten

Des Weiteren müssen sämtliche von KI-Systemen erzeugte oder manipulierte Bild-, Audio-, Video- und Textinhalte als künstlich erstellt oder verändert erkennbar sein. Diese Regelung zielt darauf ab, die Verbreitung von sogenannten "Deepfakes" oder anderen manipulierten Inhalten einzudämmen. Die Pflicht trifft sowohl Anbieter generativer KI-Systeme als auch deren Betreiber. Anbieter müssen sicherstellen, dass ihre Systeme technische Markierungen, wie beispielsweise Metadaten oder digitale Wasserzeichen, in die generierten Inhalte einbetten. Für generative KI-Systeme, die bereits vor dem 2. August 2026 auf den Markt gebracht wurden, gilt eine Übergangsfrist für die technische Markierung bis zum 2. Dezember 2026. Betreiber, die solche Inhalte von öffentlichem Interesse verbreiten, müssen ebenfalls sicherstellen, dass diese als KI-generiert kenntlich gemacht werden. Dies hat besondere Relevanz für Marketing- und Kommunikationsabteilungen. Jedes Unternehmen, das generative KI für die Erstellung von Produktbeschreibungen, Werbetexten, Bildern oder Videos nutzt, ist von dieser Pflicht direkt betroffen. Hier ist die Etablierung klarer interner Richtlinien und eine sorgfältige Überprüfung vor der Veröffentlichung essentiell. Die Glaubwürdigkeit und Reputation des Unternehmens stehen auf dem Spiel, wenn KI-generierte Inhalte nicht korrekt gekennzeichnet werden.

Hochrisiko-KI: Frühzeitige Anforderungen und ihre Tragweite

Auch wenn einige der strengsten Anforderungen an Hochrisiko-KI-Systeme erst zu späteren Zeitpunkten im Jahr 2027 oder 2028 vollständig greifen, treten bereits ab dem 2. August 2026 wichtige Pflichten in diesem Bereich in Kraft. Die Kategorisierung als Hochrisiko-KI ergibt sich aus dem potenziellen Schaden, den das System für Gesundheit, Sicherheit oder Grundrechte von Personen verursachen kann. Diese frühen Anforderungen sind von großer Bedeutung, da sie die Grundlage für eine verantwortungsvolle Entwicklung und den Betrieb dieser kritischen Anwendungen legen.

Anforderungen an Risikomanagement und Daten-Governance

Für Hochrisiko-KI-Systeme ist ab August 2026 ein durchgängiges Risikomanagement über den gesamten Lebenszyklus des Systems hinweg vorgeschrieben. Dies bedeutet, dass Unternehmen von der Konzeption bis zur Ausserbetriebnahme Risiken identifizieren, bewerten und mindern müssen. Dazu gehört auch eine nachvollziehbare Daten-Governance für Trainings-, Validierungs- und Testdaten. Die Qualität, Repräsentativität und Robustheit der Daten sind entscheidend für die Leistungsfähigkeit und Fairness von KI-Systemen. Eine schlechte Datenbasis kann zu verzerrten Ergebnissen führen, die diskriminierende oder gefährliche Entscheidungen zur Folge haben. Unternehmen müssen daher klare Prozesse für die Datenerfassung, -bereinigung, -speicherung und -dokumentation etablieren. Dies schliesst auch die regelmäßige Überprüfung der Datenqualität und die Behebung von Bias ein, um eine ethisch vertretbare und rechtlich konforme Funktionsweise zu gewährleisten.

Menschliche Aufsicht und Konformitätsbewertung

Ein weiterer zentraler Pfeiler ist die Sicherstellung einer wirksamen menschlichen Aufsicht, die sogenannte "Human Oversight", und die Möglichkeit eines menschlichen Eingriffs in die Entscheidungen des KI-Systems. Die KI soll den Menschen nicht vollständig ersetzen, sondern ihn unterstützen. Dies erfordert, dass Unternehmen Schnittstellen und Mechanismen implementieren, die es menschlichen Operatoren ermöglichen, die KI zu überwachen, fehlerhafte Entscheidungen zu erkennen und gegebenenfalls manuelle Korrekturen vorzunehmen oder das System abzuschalten. Darüber hinaus sind Unternehmen, die solche Hochrisiko-Systeme entwickeln oder betreiben, verpflichtet, eine Konformitätsbewertung durchzuführen. Diese Bewertung dient dem Nachweis, dass das System alle relevanten Anforderungen des AI Acts erfüllt. Nach erfolgreicher Bewertung muss das System gegebenenfalls in der EU-Datenbank für Hochrisiko-KI-Systeme registriert werden. Betroffene Bereiche sind beispielsweise das Personalwesen, wo KI für Bewerber-Screening oder Leistungsbeurteilungen eingesetzt wird, die Kreditwürdigkeitsprüfung von Kunden oder Anwendungen in kritischen Infrastrukturen wie der Energieversorgung oder dem Gesundheitswesen. Die frühzeitige Auseinandersetzung mit diesen strengen Auflagen ist unerlässlich, um langwierige und kostspielige Nachbesserungen zu vermeiden.

Spezifische Herausforderungen für DACH-Unternehmen: Transparenz und Governance

Die Umsetzung des EU AI Acts stellt Unternehmen im DACH-Raum vor vielfältige Herausforderungen, die über die bloße Kenntnis der neuen Regeln hinausgehen. Insbesondere die Schaffung interner Transparenz und der Aufbau robuster Governance-Strukturen sind kritische Erfolgsfaktoren.

Die Notwendigkeit einer KI-Inventur

Für Unternehmen in Deutschland und Österreich gelten die Bestimmungen des EU AI Acts unmittelbar. Auch Schweizer Unternehmen sind häufig betroffen, sobald sie KI-Systeme in der EU auf den Markt bringen oder deren Nutzung Auswirkungen im EU-Binnenmarkt hat, dies ist das sogenannte Marktortprinzip. Dies trifft weitaus öfter zu, als viele annehmen, und erfordert eine sorgfältige Prüfung der eigenen KI-Nutzung und möglicher EU-Bezüge. Eine der größten Herausforderungen für Unternehmen ist die Schaffung von Transparenz über den tatsächlichen KI-Einsatz im eigenen Betrieb. Viele Organisationen nutzen bereits diverse KI-Tools. Dies reicht von frei verfügbaren generativen KI-Anwendungen, die von Mitarbeitern individuell eingesetzt werden, bis hin zu integrierten Softwaremodulen in ERP- oder CRM-Systemen. Oftmals existiert keine zentrale Dokumentation oder Übersicht über diese Systeme. Ein erster, entscheidender Schritt ist daher die Erstellung eines internen KI-Inventars. Dieses Inventar muss alle eingesetzten KI-Systeme identifizieren und einer vorläufigen Risikoklassifizierung unterziehen, um den Handlungsbedarf einschätzen zu können. Ohne diese grundlegende Bestandsaufnahme ist es nahezu unmöglich, die Compliance-Anforderungen des AI Acts zu erfüllen.

Aufbau einer tragfähigen KI-Governance

Darüber hinaus müssen Unternehmen eine tragfähige KI-Governance etablieren. Dies bedeutet, klare Verantwortlichkeiten, Richtlinien und Prozesse für den sicheren und transparenten Einsatz von KI festzulegen. Eine solche Governance umfasst mehrere Ebenen. Es beginnt bei der strategischen Entscheidung über den Einsatz von KI, reicht über die Entwicklung und Implementierung bis hin zum Betrieb und zur regelmäßigen Überprüfung. Die Governance sollte interdisziplinär angelegt sein und Vertreter aus Rechtsabteilung, Compliance, Datenschutz, IT-Sicherheit und den jeweiligen Fachbereichen einbinden. Nur so kann gewährleistet werden, dass alle relevanten Perspektiven berücksichtigt werden. Ein weiterer wichtiger Aspekt ist die Förderung der KI-Kompetenz der Mitarbeiter, bekannt als KI-Literacy. Bereits seit Februar 2025 sind die Anforderungen an die KI-Literacy für Mitarbeiter relevant. Schulungen und Sensibilisierungen sind unerlässlich, um sicherzustellen, dass Mitarbeiter die neuen Regeln verstehen und anwenden können. Dies gilt insbesondere im Hinblick auf den korrekten Umgang mit personenbezogenen Daten, Urheberrechten bei generativen KI-Modellen und den Kennzeichnungspflichten. Eine gut funktionierende KI-Governance befähigt Unternehmen, die Potenziale von KI zu nutzen, ohne dabei unnötige Risiken einzugehen oder gegen Vorschriften zu verstoßen.

Die Rolle der Schweiz

Für Schweizer Unternehmen ist die Situation durch die direkte Anwendbarkeit des Marktortprinzips komplex. Obwohl die Schweiz kein EU-Mitgliedstaat ist, können die Bestimmungen des EU AI Acts weitreichende Auswirkungen auf Schweizer Firmen haben, die Produkte oder Dienstleistungen im EU-Binnenmarkt anbieten oder deren KI-Systeme dort genutzt werden. Eine sorgfältige Analyse der EU-Bezüge ist daher für jedes Schweizer Unternehmen unabdingbar. Zudem muss in der Schweiz das Zusammenspiel mit dem revidierten Datenschutzgesetz (DSG) beachtet werden. Das DSG reguliert bereits heute den Einsatz von KI bei der Bearbeitung von Personendaten und verlangt beispielsweise die Offenlegung von Chatbots, wenn diese personenbezogene Daten verarbeiten. Hier gilt es, Überschneidungen und ergänzende Anforderungen zu identifizieren und einen kohärenten Compliance-Ansatz zu entwickeln.

Der EU AI Act in der Kritik: Praktische Umsetzung und Rechtsunsicherheit

Obwohl die Intention des EU AI Acts, Vertrauen in KI zu schaffen und Bürger zu schützen, weithin befürwortet wird, gibt es auch berechtigte kritische Stimmen zur praktischen Umsetzung und den damit verbundenen Herausforderungen für Unternehmen.

Fehlende Leitlinien und knappe Fristen

Der Digitalverband Bitkom monierte, dass zentrale Leitlinien und Auslegungshilfen erst vor Kurzem veröffentlicht wurden. Dies hat Unternehmen faktisch nur wenig Zeit für die rechtssichere Umsetzung gelassen. Diese späte Bereitstellung von Detailinformationen führt zu anhaltender Rechtsunsicherheit bei der genauen Ausgestaltung der Compliance-Maßnahmen. Unternehmen sind gezwungen, komplexe rechtliche Texte zu interpretieren und interne Prozesse anzupassen, ohne auf umfassende, praxiserprobte Hilfestellungen zurückgreifen zu können. Diese Unsicherheit kann die Innovationsgeschwindigkeit bremsen, da Unternehmen zögern könnten, neue KI-Anwendungen einzuführen, solange die rechtlichen Rahmenbedingungen nicht vollständig klar sind. Für den Mittelstand, der oft nicht über große Rechtsabteilungen verfügt, ist dies eine besondere Belastung, die eine externe Beratung oder den Aufbau spezialisierten Wissens erfordert.

Belastung für kleine und mittlere Unternehmen (KMU) und hohe Bußgelder

Insbesondere für kleinere und mittlere Unternehmen (KMU) kann die Einhaltung der komplexen Vorgaben eine erhebliche Belastung darstellen. Der AI Act sieht zwar keine Größenausnahme für KMU vor, da entscheidend das Risiko des Systems und nicht die Unternehmensgröße ist. Es sind jedoch zumindest erleichterte Dokumentations- und Berichtspflichten für KMU vorgesehen, sofern die allgemeine Sicherheit nicht bedroht ist. Trotz dieser Erleichterungen können die Anforderungen an Risikomanagement, Daten-Governance und Konformitätsbewertung für Hochrisiko-KI-Systeme ressourcenintensiv sein. Die potenziellen Strafen bei Verstößen sind zudem existenzbedrohend. Der AI Act sieht Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Diese Zahlen unterstreichen die Notwendigkeit für jedes Unternehmen, die Compliance mit dem AI Act ernst zu nehmen. Selbst geringfügige Verstöße können hohe finanzielle Konsequenzen nach sich ziehen, die für viele KMU nur schwer zu verkraften wären. Es ist daher nicht nur eine Frage der Rechtskonformität, sondern eine der unternehmerischen Existenzsicherung.

Herausforderungen bei der nationalen Umsetzung

In Österreich hinkt die nationale Umsetzung dem EU-Fahrplan noch hinterher. Ein nationales Durchführungsgesetz und die Benennung der Marktüberwachungsbehörden stehen noch aus. Dies entbindet Unternehmen in Österreich jedoch nicht von der direkten Geltung der EU-Verordnung. Das bedeutet, dass die Pflichten des AI Acts ab dem 2. August 2026 unmittelbar anzuwenden sind, auch wenn die nationalen Aufsichtsstrukturen noch nicht vollständig etabliert sind. Diese Situation schafft zusätzliche Unsicherheit, da unklar ist, welche nationalen Behörden in welcher Form die Überwachung und Durchsetzung vornehmen werden. Unternehmen müssen daher proaktiv handeln und dürfen nicht auf nationale Spezifika warten, die möglicherweise erst kurz vor oder nach dem Stichtag geklärt werden. Es ist ratsam, sich an den bereits bestehenden EU-Richtlinien und Empfehlungen zu orientieren und eine solide interne Compliance-Struktur aufzubauen.

Konkrete Handlungsempfehlungen für Ihr Unternehmen

Der 2. August 2026 markiert einen entscheidenden Meilenstein für den Einsatz von KI in DACH-Unternehmen. Es ist keine Zeit mehr für Abwarten. Unternehmen müssen proaktiv handeln, um ihren KI-Einsatz gesetzeskonform zu gestalten und gleichzeitig die Wettbewerbsfähigkeit zu sichern. Kapitel H empfiehlt folgende konkrete Schritte:

1. KI-Inventur durchführen: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme. Dies umfasst sowohl extern bezogene Softwarelösungen mit integrierter KI als auch interne Entwicklungen und von Mitarbeitern genutzte generative KI-Tools. Dokumentieren Sie Art, Zweck, Datenquellen und den genauen Anwendungsbereich jedes Systems. Dies ist die Grundlage für jede weitere Compliance-Massnahme.

2. Risikoklassifizierung vornehmen: Jedes identifizierte KI-System muss gemäß den Vorgaben des AI Acts klassifiziert werden, also als Hochrisiko, begrenztes Risiko oder minimales Risiko. Diese Klassifizierung bestimmt den Umfang der einzuhaltenden Pflichten. Eine korrekte Einordnung ist entscheidend, um den Aufwand zu steuern und die Ressourcen dort einzusetzen, wo das größte Risiko besteht. Ziehen Sie hierfür juristischen Rat und technische Expertise hinzu.

3. Transparenzpflichten umsetzen: Stellen Sie sicher, dass alle KI-Interaktionen, beispielsweise durch Chatbots oder virtuelle Assistenten, klar und unmissverständlich gekennzeichnet sind. Passen Sie Ihre Websites, Apps und Kommunikationskanäle entsprechend an. Für KI-generierte Inhalte, seien es Texte, Bilder oder Videos, müssen technische Markierungen und Hinweise auf die künstliche Erstellung erfolgen. Dies gilt insbesondere für Inhalte, die öffentlich verbreitet oder für Marketingzwecke genutzt werden. Legen Sie hierfür klare interne Freigabeprozesse fest.

4. Governance-Strukturen aufbauen: Definieren Sie klare Verantwortlichkeiten, Richtlinien und Prozesse für den gesamten Lebenszyklus des KI-Einsatzes. Dies sollte idealerweise in einem interdisziplinären Team geschehen, das Expertise aus Rechtsabteilung, Compliance, Datenschutz, IT-Sicherheit und den jeweiligen Fachbereichen vereint. Eine solche KI-Governance-Struktur ermöglicht eine konsistente und regelkonforme Anwendung von KI im gesamten Unternehmen.

5. Mitarbeiter schulen und sensibilisieren: Fördern Sie die KI-Kompetenz und das Bewusstsein für die neuen rechtlichen Anforderungen bei allen relevanten Mitarbeitern. Schulen Sie Teams, die generative KI nutzen, im Umgang mit Kennzeichnungspflichten und Urheberrechten. Sensibilisieren Sie Mitarbeiter im Kundenservice für die Transparenzpflichten bei KI-Interaktionen. Regelmäßige Schulungen sind unerlässlich, um das Wissen aktuell zu halten und eine Kultur der Compliance zu etablieren.

6. Schweizer Unternehmen: EU-Bezug prüfen: Führen Sie eine sorgfältige Analyse durch, ob und inwiefern der EU AI Act auf Ihre Geschäftstätigkeiten Anwendung findet. Dies beinhaltet die Prüfung, ob Ihre KI-Systeme im EU-Binnenmarkt angeboten oder genutzt werden oder dort Auswirkungen haben. Klären Sie zudem das Zusammenspiel mit dem revidierten Schweizer Datenschutzgesetz (DSG), um einen umfassenden und widerspruchsfreien Compliance-Ansatz zu gewährleisten.

Fazit: Verantwortung als Chance für den Mittelstand

Der EU AI Act stellt eine regulatorische Herausforderung dar, die den Umgang mit Künstlicher Intelligenz im DACH-Raum grundlegend verändern wird. Der 2. August 2026 ist kein fernes Datum mehr, sondern erfordert eine umgehende und proaktive Auseinandersetzung mit den neuen Pflichten. Für Unternehmen im Mittelstand ist dies nicht nur eine rechtliche Notwendigkeit, sondern auch eine strategische Chance. Wer frühzeitig eine belastbare KI-Governance aufbaut, die Transparenz schafft und Verantwortlichkeiten klar definiert, kann Vertrauen bei Kunden und Partnern stärken. Dieser verantwortungsvolle und transparente Einsatz von KI ist ein entscheidender Wettbewerbsvorteil in einem zunehmend regulierten Markt. Unternehmen, die jetzt handeln, können die Risiken beherrschbar machen, ihre Reputation schützen und gleichzeitig die Innovationspotenziale der Künstlichen Intelligenz voll ausschöpfen. Ignorieren der neuen Regeln birgt hingegen erhebliche rechtliche und finanzielle Risiken, die die Existenz des Unternehmens gefährden können. Kapitel H empfiehlt daher, die Umsetzungsstrategie für den EU AI Act ohne Verzögerung in Angriff zu nehmen.