EU AI Act: Was DACH-Unternehmen bis August 2026 wissen müssen

Die Arbeitswelt im deutschsprachigen Raum, der sogenannte DACH-Raum, steht vor einer entscheidenden Phase in der Nutzung und Regulierung Künstlicher Intelligenz. Der EU AI Act, als weltweit erstes umfassendes KI-Gesetz, wird ab dem 2. August 2026 einen Grossteil seiner Vorschriften anwendbar machen. Diese Entwicklung erfordert von Unternehmen, insbesondere kleinen und mittleren Unternehmen (KMU), erhebliche Anpassungen in den Bereichen Compliance, KI-Sicherheit und Change Management. Es ist wichtig zu verstehen, dass die Auswirkungen dieses Gesetzes weit über die EU-Grenzen hinausreichen und auch Schweizer Unternehmen betreffen, die KI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse dort genutzt werden.

Der EU AI Act ist keine abstrakte Richtlinie, sondern ein konkreter Fahrplan, der Unternehmen in die Pflicht nimmt. Proaktives Handeln ist unerlässlich, um nicht nur empfindliche Bussgelder zu vermeiden, sondern auch Wettbewerbsvorteile zu sichern und die Potenziale von KI verantwortungsvoll zu erschliessen. Bei Kapitel H sehen wir dies als Chance für den Mittelstand, seine Innovationsfähigkeit unter klaren Rahmenbedingungen zu stärken, anstatt in rechtliche Fallstricke zu geraten oder unnötige Abhängigkeiten zu schaffen.

Der EU AI Act: Ein risikobasierter Ansatz mit konkreten Fristen

Die Verordnung (EU) 2024/1689, bekannt als EU AI Act, ist am 1. August 2024 in Kraft getreten. Ihre Pflichten werden jedoch gestaffelt eingeführt. Seit Februar 2025 gelten bereits Verbote von unannehmbaren KI-Praktiken, wie beispielsweise Social Scoring oder manipulative Systeme. Zudem sind Unternehmen seit diesem Zeitpunkt verpflichtet, eine ausreichende KI-Kompetenz ihrer Mitarbeitenden sicherzustellen. Der 2. August 2026 ist jedoch ein kritischer Stichtag. Ab diesem Datum wird der Grossteil der Verordnung anwendbar, insbesondere die Transparenzpflichten gemäss Artikel 50 und die Pflichten für Hochrisiko-Systeme nach Anhang III. Lediglich Pflichten für Hochrisiko-KI, die Bestandteil regulierter Produkte, beispielsweise Medizinprodukte oder Maschinen, sind, wurden auf den 2. Dezember 2027 beziehungsweise August 2028 verschoben. Dies ist eine Ausnahme, nicht die Regel.

In Deutschland setzt das nationale KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), welches am 11. Februar 2026 verabschiedet wurde, den EU AI Act national um. Die Bundesnetzagentur (BNetzA) fungiert dabei als zuständige nationale KI-Aufsichtsbehörde. Ähnliche nationale Umsetzungsgesetze sind in Österreich in Vorbereitung.

Das Kernprinzip des AI Acts ist ein risikobasierter Ansatz. Je höher das potenzielle Schadensrisiko eines KI-Systems für die Sicherheit, Gesundheit oder Grundrechte von Personen, desto strenger sind die Anforderungen. Diese Klassifizierung ist entscheidend für Unternehmen, um den Umfang der Compliance-Anforderungen zu verstehen:

* Unannehmbares Risiko: Diese KI-Systeme sind grundsätzlich verboten. Dazu gehören Praktiken wie die Echtzeit-Biometrie-Überwachung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, ausser in eng definierten Ausnahmefällen, oder Systeme, die das Verhalten von Personen manipulieren, um deren freien Willen zu beeinträchtigen.

* Hohes Risiko: Diese Kategorie umfasst KI-Systeme, die in kritischen Bereichen eingesetzt werden. Beispiele sind Systeme zur Personalauswahl, zur Kreditwürdigkeitsprüfung, in kritischen Infrastrukturen wie Wasser- oder Energieversorgung, in der Medizin, im Bildungsbereich oder bei der Verwaltung öffentlicher Leistungen. Für diese Systeme gelten strenge Auflagen, darunter Konformitätsbewertungen vor dem Inverkehrbringen, ein umfassendes Risikomanagement über den gesamten Lebenszyklus des Systems, die Etablierung einer robusten Daten-Governance, detaillierte Dokumentationspflichten, Anforderungen an die Robustheit und Sicherheit des Systems sowie die Notwendigkeit einer menschlichen Aufsicht. Hier ist der grösste Handlungsbedarf für den Mittelstand zu erwarten.

* Begrenztes Risiko: Hierzu gehören KI-Systeme, die mit Menschen interagieren, wie Chatbots, oder solche, die Inhalte generieren, sogenannte Deepfakes oder KI-generierte Inhalte. Für diese Systeme bestehen primär Transparenzpflichten. Nutzer müssen klar und verständlich darüber informiert werden, dass sie mit einer KI interagieren oder dass Inhalte von einer KI generiert wurden. Dies ermöglicht es den Nutzern, informierte Entscheidungen zu treffen und die Glaubwürdigkeit der Inhalte besser einzuschätzen.

* Minimales Risiko: Die meisten betrieblichen Anwendungen von KI, beispielsweise für interne Prozessoptimierungen ohne direkten Einfluss auf Personen, fallen in diese Kategorie. Sie unterliegen keinen zusätzlichen Pflichten durch den EU AI Act, doch allgemeine Rechtsvorschriften wie Datenschutzgesetze bleiben selbstverständlich anwendbar. Unternehmen sind dennoch gut beraten, auch hier ethische Grundsätze und interne Leitlinien zu beachten.

Die extraterritoriale Wirkung: Herausforderungen für Schweizer Unternehmen

Eine weit verbreitete, aber gefährliche Fehleinschätzung im DACH-Raum ist, dass der EU AI Act ausschliesslich EU-Mitglieder betrifft. Dies ist nicht korrekt. Das Gesetz entfaltet eine sogenannte extraterritoriale Wirkung. Das bedeutet, dass seine Vorschriften nicht an den geografischen Standort eines Unternehmens gebunden sind, sondern an den Markt, auf dem die KI-Systeme oder deren Ergebnisse genutzt werden. Dies ist ein entscheidender Punkt, der oft übersehen wird.

Für Schweizer Unternehmen bedeutet dies konkret, dass sie unter den EU AI Act fallen, sobald sie KI-Systeme in der EU in Verkehr bringen, in Betrieb nehmen oder als Anbieter oder Betreiber von KI-Systemen agieren und die erzeugten Ergebnisse in der EU verwendet werden. Ein klares Beispiel hierfür ist ein KI-gestützter Chatbot auf einer Schweizer Unternehmenswebsite, der sich an Kunden in Deutschland oder Österreich richtet. Auch wenn das Unternehmen in der Schweiz sitzt, unterliegt dieser Chatbot den Transparenzpflichten des AI Acts, da seine Ergebnisse in der EU genutzt werden.

Die Schweiz hat im Gegensatz zur EU bisher kein dediziertes KI-Gesetz. Sie verfolgt einen Ansatz minimaler Regeln und setzt sich für eine internationale Regulierung in einem minimalen Rahmen ein. Bis ein spezifisches Schweizer KI-Gesetz in Kraft tritt, eine Vernehmlassungsvorlage wird bis Ende 2026 erwartet, bleibt das totalrevidierte Schweizer Datenschutzgesetz (DSG) das primäre rechtliche Instrument für KI-Anwendungen. Das DSG bietet einen technologieneutralen Rahmen, der unter anderem automatisierte Einzelentscheidungen, Privacy by Design und Default, Profiling und biometrische Daten abdeckt. Unternehmen müssen daher eine sorgfältige Analyse vornehmen und ihre KI-Systeme an die neuen Anforderungen sowohl des DSG als auch des EU AI Act anpassen, um datenschutzkonform zu bleiben und nicht in eine unerwartete regulatorische Grauzone zu geraten.

KI-Sicherheit und Datenschutz: Zentrale Hürden für den Mittelstand

Die rasante Einführung von KI-Systemen in Unternehmen, insbesondere auch im DACH-Mittelstand, bringt nicht nur Chancen für Effizienz und Innovation, sondern auch komplexe rechtliche Pflichten und erhebliche Sicherheitsrisiken mit sich. Die Realität zeigt, dass KI-bezogene Risiken keine Theorie sind, sondern konkrete Auswirkungen haben.

Eine aktuelle Studie von DigiCert vom 7. Juli 2026 verdeutlicht dies: 78% der befragten Organisationen gaben an, bereits KI-bezogene Vorfälle erlebt oder Schwachstellen identifiziert zu haben. Dies liegt häufig an Lücken in der KI-Governance. Fast die Hälfte der Unternehmen verfügt demnach über keine zentrale Sichtbarkeit ihrer KI-Systeme und deren Aktivitäten. Ohne diese Übersicht wird es unmöglich, Risiken systematisch zu managen oder die Einhaltung von Vorschriften zu gewährleisten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland warnt, dass KI Unternehmen zu einer fundamentalen Neubewertung ihrer Cybersicherheitsstrategien zwingt. Eine weitere Studie von FPT Corporation vom 8. Juli 2026 unterstreicht diese Einschätzung: Obwohl Unternehmen erhebliche Investitionen tätigen, wobei 51% mindestens 5% ihres IT-Budgets für KI bereitstellen, fühlen sich nur 26% der Unternehmen in der Lage, KI operativ zu steuern. Dies weist auf gravierende Mängel in der Governance und den Sicherheitsprozessen hin. Besonders KMU sind hier anfällig, da formale Governance-Prozesse oft fehlen. Dies erhöht das Risiko von Datenlecks, Fehlentscheidungen und Compliance-Risiken durch unkontrollierte KI-Anwendungen, die als sogenannte