EU AI Act: Was DACH-Unternehmen jetzt konkret wissen und tun müssen

Der EU Artificial Intelligence Act, kurz EU AI Act, ist ein Gesetz, das die Entwicklung und Nutzung kuenstlicher Intelligenz umfassend regelt. Seit dem 1. August 2024 ist diese Verordnung in Kraft und stellt weltweit das erste umfassende Regelwerk dieser Art dar. Viele Unternehmen im deutschsprachigen Raum, insbesondere im Mittelstand, beobachten die Entwicklungen mit gemischten Gefühlen. Die jüngste politische Einigung auf den sogenannten "Digital Omnibus on AI" am 7. Mai 2026, welche am 27. Juli 2026 rechtsverbindlich wurde, hat zwar einige Übergangsfristen für Hochrisiko-KI-Systeme verschoben. Dies führt bei einigen Akteuren zu dem Trugschluss, dass die Dringlichkeit abgenommen habe. Dies ist ein gefährliches Missverständnis.

Tatsächlich sind grundlegende Transparenzanforderungen bereits seit Februar 2025 gültig und weitere wesentliche Bestimmungen treten in Kürze in Kraft. Die Bundesregierung hat zudem mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) nationale Strukturen geschaffen, um die Einhaltung des EU AI Acts zu gewährleisten, wobei die Bundesnetzagentur eine zentrale Rolle einnimmt. Selbst Schweizer Unternehmen, die nicht Teil der Europäischen Union sind, sind betroffen, sobald sie KI-Systeme in der EU anbieten, nutzen oder in Verkehr bringen. Ein abwartendes Verhalten ist daher für keine Firma eine Option, die im europäischen Wirtschaftsraum aktiv ist. Es geht darum, jetzt proaktiv zu handeln, um Wettbewerbsnachteile zu vermeiden und die Chancen verantwortungsvoll zu nutzen.

Der EU AI Act: Aktueller Stand und Missverständnisse

Der EU Artificial Intelligence Act (Verordnung (EU) 2024/1689) markiert einen fundamentalen Wandel in der Regulierung von KI-Technologien. Er ist seit dem 1. August 2024 in Kraft. Die Verordnung klassifiziert KI-Systeme nach ihrem potenziellen Risiko, von minimalen über begrenzte bis hin zu Hochrisiko-Anwendungen. Für letztere sind die strengsten Anforderungen vorgesehen.

Ein wesentlicher Punkt, der oft zu Verwirrung führt, ist die Verschiebung bestimmter Übergangsfristen durch den "Digital Omnibus on AI". Für Hochrisiko-KI-Systeme gemäß Anhang III, also eigenständige Anwendungen in Bereichen wie Personalwesen oder Kreditprüfung, greifen die Compliance-Pflichten erst ab dem 2. Dezember 2027. KI-Systeme nach Anhang I, die in regulierte Produkte wie Medizingeräte oder Maschinen eingebettet sind, müssen die Anforderungen sogar erst ab dem 2. August 2028 erfüllen. Diese Anpassungen sollen Unternehmen mehr Zeit für die Umstellung geben, aber sie bedeuten keineswegs einen Stillstand der Verordnung. Einige Kernaspekte, beispielsweise die Transparenzanforderungen für bestimmte KI-Systeme, sind bereits seit Februar 2025 anzuwenden.

Darüber hinaus ist die nationale Umsetzung in den DACH-Ländern entscheidend. In Deutschland wurde hierfür das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) verabschiedet. Es definiert unter anderem die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, die für die Durchsetzung der Vorschriften zuständig sein wird. Dies zeigt, dass die Rahmenbedingungen für die KI-Nutzung in Deutschland konkretisiert werden und Unternehmen mit einer Überprüfung rechnen müssen.

Ein oft unterschätzter Aspekt ist die extraterritoriale Wirkung des EU AI Acts. Dies betrifft insbesondere Schweizer Unternehmen. Sobald ein Unternehmen mit Sitz in der Schweiz KI-Systeme in der Europäischen Union in Verkehr bringt, anbietet oder auch nur für EU-Bürger nutzbar macht, unterliegt es den regulatorischen Vorgaben des EU AI Acts. Dies bedeutet, dass die geografische Lage außerhalb der EU keine vollständige Immunität vor den Vorschriften bietet. Ein umfassendes Verständnis der eigenen Berührungspunkte mit dem europäischen Markt ist daher unerlässlich.

Vier Handlungsfelder für Compliance im Mittelstand

Für den DACH-Mittelstand ergibt sich aus dem EU AI Act ein konkreter und unmittelbarer Handlungsbedarf, der weit über das blosse Abwarten der Fristen für Hochrisiko-Systeme hinausgeht. Kapitel H identifiziert vier zentrale Bausteine, die Unternehmen bis Sommer 2026 etablieren sollten, um ab August nachweisfähige Compliance zu gewährleisten und Risiken zu minimieren:

1. KI-Inventarisierung und Risikoklassifizierung: Der erste Schritt besteht darin, alle im Unternehmen eingesetzten KI-Anwendungen systematisch zu erfassen. Dies mag auf den ersten Blick einfach erscheinen, ist aber oft komplex, da KI-Funktionen häufig in Standardsoftware integriert sind und nicht als eigenständige Produkte erworben werden. Nach der Erfassung muss jedes System gemäß den Vorgaben des AI Acts einer Risikoklasse zugeordnet werden. Dies erfordert ein tiefes Verständnis der jeweiligen KI-Anwendung und ihrer potenziellen Auswirkungen. Ein detailliertes Inventar ist die Grundlage für alle weiteren Compliance-Maßnahmen.

2. Aufbau von Governance-Strukturen: Unternehmen müssen klare Prozesse für Dokumentation, Risikomanagement, Transparenz und kontinuierliche Überwachung etablieren. Dies beinhaltet die Definition von Verantwortlichkeiten, die Festlegung von Freigabeprozessen für neue KI-Systeme und die Schaffung von Mechanismen zur regelmäßigen Überprüfung der Systemleistung und -konformität. Eine Studie im Finanzbereich offenbart hier eine alarmierende Lücke: Über 50 Prozent der Finanzabteilungen arbeiten ohne ein umfassendes KI-Governance-Framework. Diese Lücke muss schnell geschlossen werden, um die Einhaltung der Vorschriften sicherzustellen und gleichzeitig das Vertrauen in KI-gestützte Prozesse zu stärken.

3. Mitarbeiterschulung und Kompetenznachweise: Obwohl der "Digital Omnibus" die ursprüngliche obligatorische Schulungspflicht für alle Mitarbeitenden abgeschwächt hat und nun ein "KI-Verständnis" fordert, bleibt der Nachweis ausreichender KI-Kompetenz für die mit KI-Systemen arbeitenden Personen entscheidend. Seit Februar 2025 besteht eine grundsätzliche Schulungspflicht für den Umgang mit KI-Systemen. Fachanwältin für Arbeitsrecht, Livia Merla, betont die Notwendigkeit, Schulungen bei jedem neuen KI-Tool zu wiederholen und den Nachweis auf Ebene der konkreten KI-Nutzung zu erbringen. Dies stellt sicher, dass Mitarbeitende die Funktionsweise, die Grenzen und die korrekte Anwendung der Tools verstehen, um Fehler und Fehlentscheidungen zu vermeiden.

4. Datenqualität und Datenschutz: Der Einsatz von KI-Systemen ist untrennbar mit dem Umgang von Daten verbunden. Insbesondere Systeme, die personenbezogene Daten verarbeiten, erfordern eine strikte Einhaltung der Datenschutz-Grundverordnung (DSGVO) und des revidierten Schweizer Datenschutzgesetzes (nDSG). Unternehmen müssen sicherstellen, dass Daten nicht unkontrolliert in externe KI-Systeme gelangen und dass die Qualität der verwendeten Daten hoch ist, um Ergebnisverzerrungen, den sogenannten "Bias", zu vermeiden. Minderwertige oder unzureichend geschützte Daten stellen nicht nur ein Compliance-Risiko dar, sondern können auch die Zuverlässigkeit und Fairness der KI-Anwendungen massiv beeinträchtigen.

Spezifische Auswirkungen auf Schlüsselbereiche

Der EU AI Act wird verschiedene Unternehmensbereiche im DACH-Raum unmittelbar beeinflussen, da KI-Anwendungen dort bereits weit verbreitet sind. Ein genauer Blick auf die spezifischen Implikationen hilft Unternehmen, gezielte Maßnahmen zu ergreifen.

Human Resources (HR): Im Personalmanagement sind KI-Tools in der DACH-Region weit verbreitet, beispielsweise für automatisiertes CV-Parsing, prädiktive Analysen zur Fluktuationsrisikobewertung, personalisierte Lernvorschläge oder HR-Chatbots. Der EU AI Act stuft jedoch KI-gestützte Bewerberauswahl als Hochrisiko ein. Dies bedeutet, dass solche Systeme eine menschliche Überwachung erfordern und umfangreiche Dokumentationspflichten bestehen. Darüber hinaus müssen Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte beachtet werden, beispielsweise wenn KI-generierte Stellenausschreibungen oder Kommunikationen verwendet werden. Obwohl generative KI in HR-Abteilungen angekommen ist, zeigen Studien, dass die erhofften Effizienzgewinne oft ausbleiben, weil die Skalierung der Anwendungen aufgrund fehlender Strategie und Governance gebremst wird.

Controlling und Finanzen: In den Bereichen Controlling und Finanzen sehen DACH-Unternehmen ein enormes Potenzial für die Automatisierung repetitiver Aufgaben, den Einsatz von Predictive Analytics zur Prognose von Geschäftsentwicklungen und die Bereitstellung von Echtzeit-Dashboards. Die DACH-Länder gelten hier als KI-Vorreiter in Europa, mit 90 Prozent der Finanzfunktionen, die bereits Kenntnisse in generativer KI besitzen. Trotz dieser hohen Affinität besteht eine erhebliche Governance-Lücke. Viele Unternehmen zögern, KI vollständig zu integrieren, oft aus Angst vor Veränderungen oder der irrigen Annahme, dass KI ein "Job-Killer" sei. Experten wie Florian Bliefert betonen, dass erfolgreiche KI-Projekte im Controlling eine solide, einheitliche Datenbasis und eine klare Problemdefinition erfordern, bevor überhaupt mit der Lösungssuche begonnen wird. Ohne diese Grundlagen bleiben die Potenziale ungenutzt.

KI-Sicherheit und Datenschutz: Der Einsatz von KI-Systemen bringt zwangsläufig neue Bedrohungen für die Datensicherheit mit sich. Eine Studie belegt, dass 77 Prozent der Unternehmen im vergangenen Jahr Sicherheitsvorfälle in ihren KI-Systemen erlebt haben. Diese Vorfälle reichen von unkontrolliertem Zugriff auf sensible Daten über die Manipulation von Algorithmen bis hin zu sogenanntem "Prompt Injection". Unternehmen müssen daher ganzheitliche Sicherheitsstrategien implementieren, die sowohl technologische Maßnahmen als auch organisatorische Prozesse und die Sensibilisierung der Mitarbeitenden umfassen. Ein robustes Sicherheitskonzept ist nicht nur eine Compliance-Anforderung, sondern ein fundamentaler Pfeiler für das Vertrauen in KI-Systeme und den Schutz unternehmenskritischer Daten.

Realität statt Hype: Die Rolle des Mittelstands

Während der Hype um generative KI weiterhin präsent ist, nimmt im DACH-Raum eine nüchternere, pragmatischere Betrachtung zu. Gerade mittelständische Unternehmen stehen vor spezifischen Herausforderungen, die eine rein oberflächliche Implementierung von KI erschweren. Ein signifikanter Fachkräftemangel im Bereich KI ist spürbar, da 66 Prozent der Mitarbeiter nicht verstehen, wie KI-Systeme funktionieren. Dies führt zu Investitionsunsicherheit, Datenproblemen, da Daten oft in Silos liegen oder von unzureichender Qualität sind, und den bereits genannten rechtlichen Unsicherheiten. Diese Hürden sind real und müssen adressiert werden.

Trotz dieser Herausforderungen sind sich Experten einig, dass KI gerade für den Mittelstand enorme Chancen zur Steigerung der Wettbewerbsfähigkeit und zur Erschließung neuer Geschäftspotenziale bietet. Die Fähigkeit, Geschäftsprozesse zu optimieren, personalisierte Kundenerlebnisse zu schaffen und datenbasierte Entscheidungen zu treffen, kann für kleine und mittlere Unternehmen einen entscheidenden Vorteil bedeuten. Unternehmen, die jetzt strukturiert vorgehen und KI nicht nur rechtskonform, sondern auch strategisch gewinnbringend einsetzen, können einen nachhaltigen Wettbewerbsvorteil aufbauen. Dies erfordert eine Abkehr von der reinen Technologiebegeisterung hin zu einer fokussierten, problemorientierten Implementierung.

Der Umbruch der Arbeitswelt durch KI ist tiefgreifend. Prognosen reichen von massiven Jobveränderungen, so geht der IWF davon aus, dass bis zu 60 Prozent der Arbeitsplätze in fortgeschrittenen Volkswirtschaften betroffen sein könnten, bis hin zur Schaffung neuer Stellen als Antwort auf demografische Krisen. Der Fokus verschiebt sich nicht mehr auf die Frage, ob KI eingesetzt wird, sondern vielmehr darauf, wie sie verantwortungsvoll, sicher und strategisch klug implementiert werden kann. Dies beinhaltet nicht nur die Erzielung von Effizienzgewinnen, sondern auch die Gewährleistung regulatorischer Anforderungen und die Vorbereitung der Mitarbeiter auf die "neue Arbeitswelt". Die kommenden Monate sind entscheidend für DACH-Unternehmen, um sich auf diese Transformation einzustellen und die Weichen für eine zukunftsfähige KI-Integration zu stellen.

Praktische Handlungsempfehlungen für Unternehmen

Um den Herausforderungen des EU AI Acts erfolgreich zu begegnen und die Chancen der KI zu nutzen, empfehlen wir Unternehmen im DACH-Raum folgende konkrete Schritte:

* Etablieren Sie ein interdisziplinäres Team: Bilden Sie ein Team aus Vertretern der Rechtsabteilung, IT, Personalwesen und relevanten Fachbereichen. Dieses Team sollte für die Bewertung und Implementierung der AI Act Compliance verantwortlich sein. * Führen Sie eine detaillierte KI-Inventur durch: Identifizieren Sie alle aktuell und geplant eingesetzten KI-Systeme in Ihrem Unternehmen. Klassifizieren Sie diese nach dem Risikograd gemäß EU AI Act und dokumentieren Sie die Ergebnisse umfassend. Berücksichtigen Sie auch eingebettete KI-Funktionen in Standardsoftware. * Implementieren Sie ein robustes KI-Governance-Framework: Entwickeln und implementieren Sie interne Richtlinien und Prozesse für den sicheren, ethischen und gesetzeskonformen Einsatz von KI. Dies umfasst Risikomanagement, Datenqualitätsmanagement und Überwachungsmechanismen. Definieren Sie klare Verantwortlichkeiten und Berichtswege. * Investieren Sie in gezielte Mitarbeiterschulungen: Bieten Sie maßgeschneiderte Schulungen für Mitarbeiter an, die mit KI-Systemen arbeiten. Ziel ist es, ein ausreichendes "KI-Verständnis" zu schaffen und die korrekte, verantwortungsvolle Nutzung der Tools sicherzustellen. Dokumentieren Sie die Teilnahme und die erworbenen Kompetenzen. * Prüfen Sie Verträge mit KI-Anbietern: Überprüfen Sie bestehende und zukünftige Verträge mit Drittanbietern von KI-Systemen. Stellen Sie sicher, dass diese die Compliance-Anforderungen des EU AI Acts berücksichtigen und die notwendigen Garantien für Datenqualität, Sicherheit und Transparenz bieten. * Sichern Sie Datenqualität und Datenschutz: Implementieren Sie strenge Richtlinien für die Datenerhebung, -verarbeitung und -speicherung. Stellen Sie die Einhaltung der DSGVO und des nDSG sicher und ergreifen Sie Maßnahmen zur Vermeidung von Datenbias, um faire und diskriminierungsfreie KI-Ergebnisse zu gewährleisten.

Kritische Einordnung aus Kapitel-H-Sicht

Die jüngsten Fristverschiebungen für Hochrisiko-KI-Systeme im EU AI Act sind ein vorübergehendes Aufatmen, jedoch keine Einladung zur Untätigkeit. Es wäre ein Fehler, dies als Signal zu interpretieren, dass der AI Act auf die lange Bank geschoben werden kann. Die Realität ist, dass viele Bestimmungen bereits gelten oder in Kürze in Kraft treten und die nationalen Umsetzungsgesetze die rechtliche Landschaft im DACH-Raum prägen. Der AI Act ist komplex, ja, aber ihn zu ignorieren, schafft absehbare rechtliche und finanzielle Risiken.

Wir von Kapitel H betonen stets, dass es für den Mittelstand darum geht, durch ein tiefes Verständnis der Technologie und ihrer regulatorischen Rahmenbedingungen zu Befähigung zu gelangen, statt in eine Abhängigkeit von externen Dienstleistern oder in die Passivität zu geraten. Die Datenlage zeigt, dass in vielen Bereichen noch erhebliche Lücken in der KI-Governance und im Verständnis bestehen. Dies birgt jedoch nicht nur Risiken, sondern auch enorme Chancen für jene Unternehmen, die jetzt strukturiert und pragmatisch vorgehen. Es geht nicht darum, den Hype um KI mitzumachen, sondern darum, den konkreten Nutzen zu identifizieren, realistische Projekte zu initiieren und diese rechtskonform sowie ethisch vertretbar umzusetzen. Der DACH-Mittelstand hat das Potenzial, hier eine Vorreiterrolle einzunehmen und durch fundierte Implementierung einen echten Wettbewerbsvorteil zu schaffen.

Fazit: Proaktives Handeln sichert Wettbewerbsfähigkeit

Der EU AI Act ist eine Realität, die kein Unternehmen im DACH-Raum ignorieren kann. Die teilweisen Fristverschiebungen für Hochrisiko-Systeme bieten eine Gnadenfrist, aber sie entbinden nicht von der Pflicht, die grundlegenden Anforderungen bereits jetzt zu erfüllen und sich auf die kommenden Phasen vorzubereiten. Ein proaktives Vorgehen bei der KI-Inventarisierung, dem Aufbau von Governance-Strukturen, der Mitarbeiterschulung und der Sicherstellung von Datenqualität ist unerlässlich. Dies ist keine bürokratische Last, sondern eine Investition in die Zukunftsfähigkeit und Wettbewerbsfähigkeit Ihres Unternehmens.

Indem Sie die regulatorischen Anforderungen des EU AI Acts als Chance begreifen, Ihre KI-Strategie zu schärfen und verantwortungsvolle Implementierungspraktiken zu etablieren, sichern Sie nicht nur Ihre Compliance, sondern stärken auch das Vertrauen in Ihre KI-gestützten Prozesse. Dies schafft eine solide Grundlage für innovative Anwendungen, effizientere Abläufe und letztendlich einen nachhaltigen Geschäftserfolg. Die Zeit zum Handeln ist jetzt.