EU AI Act: Was DACH-Unternehmen bis August 2026 wissen müssen

# EU AI Act: Was DACH-Unternehmen bis August 2026 wissen müssen

Die Einführung künstlicher Intelligenz prägt zunehmend den Geschäftsalltag in Unternehmen. Doch mit den Chancen der KI wachsen auch die regulatorischen Herausforderungen. Eine der signifikantesten Entwicklungen ist der EU Artificial Intelligence Act, kurz EU AI Act, der als weltweit erstes umfassendes Gesetz zur Regulierung von KI in Kraft tritt. Während erste Bestimmungen bereits gelten, rückt der 2. August 2026 unaufhaltsam näher. Dieser Stichtag markiert den Beginn der zentralen Compliance-Anforderungen für Hochrisiko-KI-Systeme. Für Unternehmen im DACH-Raum, einschliesslich der Schweiz, bedeutet dies, dass proaktives Handeln und eine strategische Auseinandersetzung mit den neuen Pflichten unerlässlich sind. Die Zeit, sich vorzubereiten, ist knapp und jede Verzögerung birgt erhebliche Risiken.

Der EU AI Act: Ein Regelwerk mit globaler Reichweite

Der EU AI Act ist eine wegweisende Gesetzgebung, die darauf abzielt, Vertrauen in KI zu schaffen und gleichzeitig verantwortungsvolle Innovationen zu fördern. Er verfolgt einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien unterteilt: unannehmbares Risiko, hohes Risiko, begrenztes Risiko und minimales oder kein Risiko. Die Strenge der Regulierung nimmt mit dem potenziellen Risiko für Sicherheit, Gesundheit und Grundrechte von Personen zu. Systeme mit unannehmbarem Risiko sind beispielsweise generell verboten, da sie als manipulative oder diskriminierende Praktiken eingestuft werden, die den fundamentalen Werten der Europäischen Union widersprechen.

Ein zentraler Punkt, der oft übersehen wird, ist die extraterritoriale Wirkung des EU AI Act. Viele Schweizer Unternehmen gehen fälschlicherweise davon aus, dass sie als Nicht-EU-Mitglieder von diesen Regelungen ausgenommen sind. Diese Annahme ist jedoch trügerisch und kann zu schwerwiegenden Konsequenzen führen. Der AI Act gilt für alle Akteure, ob innerhalb oder ausserhalb der EU, die ein KI-System in der Union auf den Markt bringen, in Betrieb nehmen oder deren Verwendung Auswirkungen auf EU-Bürgerinnen und EU-Bürger hat. Dies bedeutet konkret, dass Schweizer Unternehmen den EU AI Act beachten müssen, sobald ihre KI-Systeme in der EU genutzt werden oder Ergebnisse erzeugen, die dort zum Einsatz kommen. Ein Schweizer Unternehmen, das beispielsweise eine KI-Lösung zur Beurteilung von Bewerbungen für eine Stelle in Deutschland einsetzt, unterliegt den Bestimmungen des AI Act. Ebenso betroffen wäre die Nutzung einer KI-gestützten Software für das Personalmanagement in der Schweiz, wenn dadurch Mitarbeitende im EU-Aussendienst beeinflusst werden. Auch eine KI-Komponente in einem Produkt, das in die EU exportiert wird, oder eine KI-gesteuerte Sales-Software, die Angebote an EU-Kunden generiert, fallen unter den Geltungsbereich. Die Reichweite dieses Gesetzes ist somit deutlich umfassender, als es auf den ersten Blick erscheinen mag, und erfordert eine genaue Prüfung der eigenen KI-Landschaft unabhängig vom Unternehmenssitz.

Die kritischen Fristen im Fokus: Was bis August 2026 zählt

Die Einführung des EU AI Act erfolgt gestaffelt, was eine vorausschauende Planung unerlässlich macht. Erste Verbote bestimmter KI-Praktiken, die als unannehmbares Risiko eingestuft wurden, und erste Transparenzpflichten, beispielsweise für KI-generierte Inhalte wie Texte, Bilder oder Videos, sind bereits seit Februar 2025 in Kraft. Dies betrifft Unternehmen, die generative KI im Marketing oder der Produktkommunikation einsetzen, da diese Inhalte klar als KI-generiert gekennzeichnet werden müssen, um Transparenz für die Nutzer zu gewährleisten.

Der entscheidende Stichtag, der für die meisten Unternehmen im DACH-Raum die grösste Dringlichkeit birgt, ist der 2. August 2026. Ab diesem Datum treten die zentralen Compliance-Anforderungen für Hochrisiko-KI-Systeme in Kraft. Dies bedeutet, dass alle Unternehmen, die solche Systeme entwickeln, in Verkehr bringen oder betreiben, umfassende Massnahmen zur Einhaltung der gesetzlichen Vorgaben ergriffen haben müssen. Bis zum 2. August 2027 müssen dann alle weiteren Bestimmungen des Gesetzes umgesetzt sein, was die verbleibende Zeit zusätzlich unterstreicht. Die gestaffelte Einführung darf nicht zu dem Trugschluss verleiten, dass noch viel Zeit bliebe. Im Gegenteil, die Komplexität der Anforderungen an Hochrisiko-KI-Systeme erfordert eine erhebliche Vorlaufzeit für Analyse, Anpassung und Implementierung. Unternehmen, die erst im Frühjahr 2026 mit der Planung beginnen, werden erhebliche Schwierigkeiten haben, die Frist einzuhalten und riskieren hohe Strafen und Reputationsschäden.

Hochrisiko-KI: Identifikation und Anforderungen für Ihr Unternehmen

Der EU AI Act unterscheidet klar zwischen verschiedenen Risikokategorien von KI-Systemen. Systeme mit inakzeptablem Risiko, die beispielsweise Social-Scoring durch staatliche Behörden ermöglichen oder manipulativ auf Menschen einwirken, sind generell verboten. Die weitaus grösste Relevanz für den DACH-Arbeitsmarkt und die industrielle Anwendung haben jedoch die sogenannten Hochrisiko-KI-Systeme. Hierzu zählen alle KI-Systeme, die in sensiblen Bereichen eingesetzt werden und erhebliche Auswirkungen auf die Sicherheit, Gesundheit oder Grundrechte von Menschen haben können. Die Definition ist weit gefasst und umfasst eine breite Palette von Anwendungen, die bereits heute in vielen Unternehmen zum Einsatz kommen oder geplant sind.

Typische Beispiele für Hochrisiko-KI-Systeme sind:

* Personalentscheidungen: KI-Systeme, die im Recruiting zur Vorauswahl von Bewerbern, zur Leistungsbewertung von Mitarbeitenden, bei Beförderungsentscheidungen oder gar bei Kündigungen eingesetzt werden, fallen in diese Kategorie. Solche Systeme haben direkten Einfluss auf die berufliche Laufbahn und die Lebensgrundlage von Personen und müssen daher besonders sorgfältig geprüft werden, um Diskriminierung oder unfaire Behandlung zu vermeiden. * Kreditvergabe und Bonitätsbewertung: KI-gestützte Systeme zur Beurteilung der Kreditwürdigkeit von Privatpersonen oder Unternehmen haben weitreichende finanzielle Konsequenzen für die Betroffenen und sind somit ebenfalls als Hochrisiko-KI einzustufen. * Medizinische Diagnose- und Behandlungs-KI: Systeme, die in der medizinischen Diagnostik oder zur Unterstützung von Behandlungsentscheidungen eingesetzt werden, sind aufgrund ihrer direkten Auswirkung auf die menschliche Gesundheit von höchster Relevanz. * KI in der kritischen Infrastruktur: Anwendungen in Bereichen wie Energieversorgung, Wasserwirtschaft, Verkehr oder digitaler Infrastruktur, deren Ausfall oder Fehlfunktion schwerwiegende Störungen hervorrufen könnte, werden ebenfalls als Hochrisiko-KI behandelt.

Für diese Hochrisiko-KI-Systeme gelten strenge Anforderungen bezüglich Dokumentation, Überwachung und Qualität. Unternehmen müssen umfassende technische Dokumentationen erstellen, die die gesamte Lebensdauer des KI-Systems abdecken, von der Entwicklung über den Betrieb bis zur Deaktivierung. Dazu gehört eine detaillierte Risikoanalyse, die Beschreibung der Funktionsweise der KI-Systeme, einschliesslich der verwendeten Algorithmen und Datenquellen, sowie die Sicherstellung einer kontinuierlichen Überwachung der Systemleistung und -genauigkeit. Die Datenqualität, mit denen die KI trainiert wird, spielt eine entscheidende Rolle, um Verzerrungen und Diskriminierungen zu vermeiden. Auch für KI-Systeme, die nicht als Hochrisiko eingestuft sind, sowie für Allzweck-KI-Modelle (General Purpose AI, GPAI), wie grosse Sprachmodelle (z.B. ChatGPT, Gemini, Claude), gibt es Transparenz- und Dokumentationspflichten, insbesondere bezüglich der Trainingsdaten und der Fähigkeiten der Modelle. Dies bedeutet, dass selbst die Nutzung verbreiteter Tools eine strategische Auseinandersetzung erfordert.

Praktische Auswirkungen auf zentrale Unternehmensfunktionen

Der EU AI Act ist kein Nischengesetz für KI-Spezialisten, sondern wird die Arbeitsweise in nahezu allen Unternehmensbereichen grundlegend verändern. Jede Funktion, die KI einsetzt oder davon betroffen ist, muss die neuen Vorgaben berücksichtigen und entsprechende Anpassungen vornehmen. Die Auswirkungen sind vielfältig und erfordern eine interdisziplinäre Herangehensweise.

Im Bereich Finance und Controlling können KI-Agenten bereits heute Finanzprozesse automatisieren, die Lohn- und Gehaltsabrechnung unterstützen und operative Abläufe optimieren. Die neue Regulierung erzwingt hier eine stringentere Herangehensweise. Studien zeigen, dass viele KI-Initiativen im Finanzbereich derzeit ineffizient sind, oft aufgrund fehlender Governance und Datenlücken. Der AI Act schafft den Rahmen, diese Lücken zu schliessen und die Effizienz nachhaltig zu steigern. Bis 2030 werden sich die Rollen im Finanzbereich stark wandeln, wobei KI nicht primär Berufe ersetzt, sondern repetitive Aufgaben eliminiert und den Fokus auf Dateninterpretation, strategische Planung und die Sicherstellung der Compliance verschiebt.

Für Human Resources (HR) ist der EU AI Act von besonderer Relevanz. Da der Einsatz von KI in Recruiting, Leistungsbewertung, Talentmanagement und Personalentwicklung in vielen Fällen unter die Kategorie Hochrisiko-KI fällt, erfordert dies eine genaue Prüfung und Anpassung der eingesetzten Tools. Es muss sichergestellt werden, dass die KI-Systeme diskriminierungsfrei arbeiten, transparent sind und die Grundrechte der Mitarbeitenden wahren. Dies beinhaltet beispielsweise die regelmässige Auditierung von Algorithmen, um potenzielle Bias zu identifizieren und zu korrigieren. Eine enge Zusammenarbeit mit der Rechtsabteilung und dem Datenschutzbeauftragten ist hier unabdingbar.

Im Bereich Operations und Produktion, insbesondere im produzierenden Gewerbe, sind Unternehmen gefordert, bis August 2026 KI-konforme Systeme aufzubauen. Dies gilt insbesondere für den Einsatz von KI in der Fertigungssteuerung, Qualitätskontrolle oder vorausschauenden Wartung. Die Notwendigkeit einer privaten KI-Infrastruktur und souveräner Cloud-Deployments wird betont, um Datenhoheit und Compliance mit den strengen Anforderungen des AI Act sowie der DSGVO zu gewährleisten. Die Integration von KI muss von Anfang an unter dem Gesichtspunkt der Compliance erfolgen, um nachträgliche, teure Anpassungen zu vermeiden.

Das Marketing und die Kommunikation sind ebenfalls betroffen, vor allem durch die Kennzeichnungspflichten für KI-generierte Inhalte. Wenn generative KI-Systeme beispielsweise Produktbeschreibungen, Blogartikel, Marketingtexte oder Bildmaterial erstellen, müssen diese Inhalte klar als durch KI erstellt erkennbar sein. Dies erfordert die Implementierung klarer Prozesse und technischer Lösungen zur Kennzeichnung, um Transparenz gegenüber den Kunden zu gewährleisten und die Richtlinien einzuhalten.

Die Rollen der Datenschutzbeauftragten und Compliance-Manager werden durch die neuen Anforderungen massiv aufgewertet. Sie sind für die Implementierung und Überwachung der AI-Act-Compliance verantwortlich und müssen ein tiefes Verständnis für die technologischen Aspekte von KI und die rechtlichen Implikationen entwickeln. Ihre Expertise wird entscheidend sein, um das Unternehmen sicher durch die neue Regulierungslandschaft zu navigieren.

Herausforderungen für den DACH-Mittelstand meistern

Die Umsetzung des EU AI Act bringt für Unternehmen im DACH-Raum, insbesondere für den Mittelstand, erhebliche Herausforderungen mit sich. Diese sind nicht rein technischer Natur, sondern betreffen die gesamte Organisation, von der Strategie bis zur Unternehmenskultur.

Ein grosses Problem stellt die sogenannte **