EU AI Act: Was DACH-Unternehmen jetzt wissen und sofort umsetzen müssen

Der Einsatz von Künstlicher Intelligenz (KI) ist in Unternehmen des DACH-Raums längst keine Zukunftsfantasie mehr, sondern alltägliche Realität. Ob zur Automatisierung von Prozessen, zur Datenanalyse oder im Kundenservice, KI-Systeme sind integraler Bestandteil vieler Geschäftsabläufe. Doch während die Begeisterung für technologische Fortschritte oft überwiegt, rücken regulatorische Rahmenbedingungen zunehmend in den Vordergrund. Eine aktuelle Entwicklung, die für deutschsprachige Unternehmen von unmittelbarer Bedeutung ist, betrifft den EU AI Act, dessen wesentliche Teile seit dem 2. August 2026 in Kraft sind und damit weitreichende Konsequenzen für die Transparenz und die Governance von KI-Systemen nach sich ziehen.

Entgegen der weit verbreiteten Annahme, dass Unternehmen noch eine lange Schonfrist für die Umsetzung des EU AI Act hätten, trat der geänderte Gesetzestext bereits am 27. Juli 2026 in Kraft. Ab dem 2. August 2026 sind die Befugnisse zur Durchsetzung für allgemeine KI-Modelle, die Transparenzpflichten gemäß Artikel 50 und der gesamte Sanktionsrahmen vollständig durchsetzbar. Dies bedeutet, dass Unternehmen im DACH-Raum, die KI-Technologien nutzen oder entwickeln, jetzt handeln müssen. Während Fristen für die Einhaltung der Verpflichtungen für Hochrisiko-KI-Systeme teilweise um bis zu zwei Jahre verlängert wurden, sind andere fundamentale Bestandteile des Gesetzes bereits aktiv und verpflichtend. Dies ist keine Entwicklung, die aufgeschoben werden kann, sondern eine sofortige Notwendigkeit, die strategische, technische und rechtliche Anpassungen erfordert.

Unmittelbare Konsequenzen des EU AI Act ab 2. August 2026

Die nun in Kraft getretenen Bestimmungen des EU AI Act haben direkte Auswirkungen auf den Betrieb und die strategische Ausrichtung von Unternehmen, die KI einsetzen. Es geht dabei nicht mehr um abstrakte Zukunftsszenarien, sondern um konkrete, alltägliche Anwendungsfälle und deren rechtliche Absicherung.

Durchsetzung für Allzweck-KI-Modelle (General Purpose AI Models - GPAI)

Ein wesentlicher Punkt ist die volle Durchsetzbarkeit der Regeln für Allzweck-KI-Modelle, sogenannte GPAI-Modelle. Diese Kategorie umfasst eine breite Palette von KI-Anwendungen, die in Unternehmen zum Einsatz kommen, von Textgenerierung über Datenanalyse bis hin zu Assistenzsystemen in der Produktion oder Verwaltung. Dazu gehören beispielsweise grosse Sprachmodelle (LLMs), die in internen Kommunikationssystemen, für die Erstellung von Marketingtexten oder zur Zusammenfassung komplexer Dokumente genutzt werden. Auch Bildgenerierungsmodelle, die für Produktvisualisierungen oder Design-Entwürfe zum Einsatz kommen, fallen darunter. Die Aufsichtsbehörden haben nun die Befugnis, Anbieter solcher Systeme zu untersuchen und bei Verstößen empfindliche Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes zu verhängen. Das bedeutet: Auch wenn Ihr Unternehmen ein GPAI-System eines Drittanbieters nutzt und dieses nicht als „Hochrisiko“ eingestuft ist, müssen Sie sicherstellen, dass dessen Einsatz im Einklang mit den Anforderungen des AI Acts steht. Dies erfordert eine genaue Prüfung der Lizenzbedingungen und der Compliance-Zusicherungen der Anbieter sowie eine interne Dokumentation der Nutzung.

Transparenzpflichten gemäß Artikel 50

Eine der strukturell wichtigsten und oft unterschätzten Verpflichtungen ist die Transparenz. Artikel 50 des EU AI Act schreibt vor, dass Unternehmen, die KI-Systeme bereitstellen, die mit natürlichen Personen interagieren, sicherstellen müssen, dass der künstliche Charakter des Systems erkennbar ist, sofern er nicht aus dem Inhalt ersichtlich wird. Dies ist ein entscheidender Schritt zur Förderung des Vertrauens und zur Minimierung von Missverständnissen. Für den DACH-Arbeitsmarkt und den Kundenservice hat dies weitreichende Folgen. Konkret bedeutet dies, dass ein Kunde, der mit einem Chatbot kommuniziert, darüber informiert werden muss, dass er nicht mit einem menschlichen Mitarbeitenden spricht. Ähnliches gilt für KI-gestützte HR-Tools, die bei der Vorauswahl von Bewerbern helfen, oder für interne Kommunikationssysteme, die KI-generierte Nachrichten oder Antworten liefern. Eine fehlende oder unzureichende Kennzeichnung kann nicht nur zu Reputationsschäden führen, sondern auch direkt Compliance-Probleme und entsprechende Sanktionen nach sich ziehen. Unternehmen müssen daher ihre Benutzeroberflächen, Kommunikationskanäle und internen Prozesse anpassen, um diese Transparenz sicherzustellen.

Der Sanktionsrahmen ist vollständig durchsetzbar

Die volle Durchsetzbarkeit des gesamten Sanktionsrahmens des EU AI Act seit dem 2. August 2026 unterstreicht die Ernsthaftigkeit, mit der die Europäische Union die Einhaltung dieser neuen Vorschriften betrachtet. Es handelt sich hierbei nicht um eine Empfehlung, sondern um ein Gesetz mit klaren Konsequenzen bei Nichteinhaltung. Dies erfordert von Unternehmen im DACH-Raum eine umfassende Überprüfung ihrer internen Prozesse und der Governance ihrer KI-Systeme. Es ist essenziell, potenzielle Risiken frühzeitig zu erkennen und präventive Maßnahmen zu ergreifen, um Bußgelder zu vermeiden. Die möglichen Strafen sind erheblich und können die finanzielle Stabilität eines Unternehmens ernsthaft gefährden, insbesondere für kleine und mittelständische Unternehmen, deren Jahresumsatz im Vergleich zu Grosskonzernen geringer ausfällt, die prozentuale Strafe jedoch gleich hoch ausfällt.

Verantwortlichkeiten in der KI-Lieferkette (Artikel 25)

Die überarbeitete Fassung des AI Acts legt detaillierte Schritte für die Zusammenarbeit zwischen Erstanbietern und neuen Anbietern entlang der KI-Wertschöpfungskette fest. Artikel 25 sieht vor, dass Erstanbieter, also die ursprünglichen Entwickler eines KI-Systems, neue Anbietern die notwendigen Informationen und gezielten technischen Zugang bereitstellen müssen, um deren Compliance mit dem AI Act zu ermöglichen. Ein Verstoß gegen diese Kooperationspflichten kann ebenfalls mit Bußgeldern von bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro geahndet werden. Dies ist besonders relevant für DACH-Unternehmen, die KI-Lösungen von Drittanbietern beziehen oder selbst als Anbieter auftreten. Die Verantwortlichkeiten sind klarer definiert, und die Kooperationspflichten sind erhöht. Unternehmen müssen daher ihre Verträge und Lieferantenbeziehungen sorgfältig prüfen und gegebenenfalls anpassen, um sicherzustellen, dass die Informationsflüsse und technischen Zugänge den gesetzlichen Anforderungen entsprechen. Dies betrifft sowohl die Beschaffung von Basismodellen als auch die Integration von spezialisierten KI-Lösungen in eigene Produkte und Dienstleistungen.

Das Zusammenspiel mit bestehenden Datenschutzgesetzen (DSGVO & Schweizer DSG)

Die neuen Bestimmungen des EU AI Act stehen nicht isoliert im Raum. Sie ergänzen und überlappen sich mit bestehenden, strengen Datenschutzgesetzen wie der EU-Datenschutz-Grundverordnung (DSGVO) und dem Schweizer Datenschutzgesetz (DSG). Für Unternehmen im DACH-Raum bedeutet dies eine doppelte Compliance-Herausforderung, da sie beide Rechtsbereiche gleichzeitig berücksichtigen müssen.

Das revidierte Schweizer Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist, ist technologieneutral formuliert und somit direkt auf KI-gestützte Datenbearbeitungen anwendbar. Es fordert umfassende Auskunfts- und Transparenzpflichten sowie das Recht auf menschliche Überprüfung bei automatisierten Einzelentscheidungen, die eine Rechtswirkung entfalten oder die betroffene Person erheblich beeinträchtigen. Bei voraussichtlich hohem Risiko für die Persönlichkeit oder Grundrechte ist zudem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich, wobei der Einsatz neuer Technologien wie KI in der Regel als Indikator für ein solches hohes Risiko gilt. Dies schafft einen klaren Rahmen für den Einsatz von KI, der dem des EU AI Act in vielen Grundzügen ähnelt.

Auch die EU-DSGVO greift bei der Verarbeitung personenbezogener Daten durch KI-Systeme umfassend. Grundsätze wie Rechtmäßigkeit, Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Integrität sind bei jedem KI-Einsatz, der personenbezogene Daten involviert, zwingend einzuhalten. Wenn beispielsweise ein KI-System zur Analyse von Kundendaten für personalisierte Produktempfehlungen eingesetzt wird, müssen die Unternehmen sowohl die Transparenzpflichten des AI Acts (hinsichtlich des KI-Einsatzes selbst) als auch die DSGVO-Anforderungen (hinsichtlich der rechtmäßigen Verarbeitung der personenbezogenen Daten, Informationspflichten, Betroffenenrechte) erfüllen. Das bedeutet, es muss klar sein, welche Daten zu welchem Zweck verarbeitet werden, wie lange sie gespeichert bleiben und welche Rechte die betroffenen Personen haben. Die Interaktion beider Regelwerke erfordert eine integrierte Betrachtung und eine kohärente Compliance-Strategie, die technische, organisatorische und rechtliche Aspekte miteinander verbindet. Es reicht nicht aus, nur eine der beiden Säulen zu beachten, da beide nebeneinander und oft ineinandergreifend wirken.

Das "Paradox der KI-Adoption" im DACH-Raum

Die unmittelbaren Anforderungen des EU AI Act treffen auf eine spezifische Ausgangslage in der DACH-Region, die eine aktuelle Studie von Komplyt Research vom Juli 2026, basierend auf globalen Daten von SPI Research aus 2025, treffend als "Paradox der KI-Adoption" beschreibt. Demnach nutzen zwar beeindruckende 98 Prozent der befragten DACH-Dienstleister KI mindestens wöchentlich, und 82 Prozent sogar täglich. Dies zeigt eine hohe Bereitschaft zur technologischen Aufnahme und zur Nutzung von KI-Systemen in der täglichen Arbeit.

Allerdings steht dieser hohen Nutzungsfrequenz eine geringere tiefe Integration gegenüber: Nur 57 Prozent der Unternehmen setzen KI in mehr als 40 Prozent ihrer Projekte ein, und lediglich 18 Prozent in mehr als 80 Prozent ihrer Projekte. Der primäre Nutzen wird zwar in der Zeitersparnis gesehen (69 Prozent), doch rechnen 74 Prozent der Unternehmen weiterhin nach Zeit ab, was dazu führt, dass Effizienzgewinne oft an den Kunden weitergegeben und nicht vollständig intern realisiert werden. Dies deutet auf eine tendenziell oberflächliche Integration hin, die vorrangig auf Ad-hoc-Nutzung abzielt, anstatt auf eine strategisch verankerte Transformation von Geschäftsmodellen.

Der bemerkenswerteste Unterschied zum globalen Vergleich ist, dass in der DACH-Region Datenschutz und Sicherheit (74 Prozent) als die größten Bremsklötze für die KI-Adoption genannt werden, noch vor der Datenqualität (54 Prozent). Dies unterstreicht die Sensibilität und den starken Fokus auf regulatorische und Vertrauensfragen in der DACH-Region. Trotz dieser hohen Sensibilität berichten 62 Prozent der Unternehmen von "Schatten-KI", also der Nutzung von KI-Tools durch Mitarbeitende ohne formale Genehmigung oder Kenntnis der Unternehmensleitung, und 31 Prozent sogar von sehr häufiger Nutzung. Dies geschieht, obwohl 66 Prozent der Unternehmen eine formale KI-Richtlinie besitzen. Diese Diskrepanz zwischen Richtlinie und Realität ist kritisch.

Dieses Paradox der KI-Adoption, geprägt durch hohe Nutzung bei gleichzeitigem Governance-Defizit und ausgeprägter Datenschutz-Sensibilität, macht die nun unmittelbar anwendbaren Teile des EU AI Act besonders relevant. Die bisher vielleicht tolerierte "Schatten-KI" wird mit den neuen Durchsetzungsmöglichkeiten zu einem erheblichen Compliance-Risiko. Unternehmen, die zwar formale Richtlinien haben, diese aber nicht leben oder nicht durchsetzen, sind nun direkter Gefahr von Sanktionen ausgesetzt. Es zeigt sich, dass der DACH-Raum zwar technologisch aufgeschlossen ist, jedoch noch deutlichen Nachholbedarf bei der strategischen und rechtlich abgesicherten Verankerung von KI im Kerngeschäft hat.

Praktische Handlungsempfehlungen für Ihr Unternehmen

Angesichts der sofortigen Anwendbarkeit wesentlicher Teile des EU AI Act und der spezifischen Herausforderungen im DACH-Raum ist schnelles und koordiniertes Handeln unerlässlich. Hier sind konkrete Schritte, die Unternehmen jetzt einleiten sollten:

1. Audit und Bestandsaufnahme aller KI-Systeme

Führen Sie eine umfassende Bestandsaufnahme aller in Ihrem Unternehmen genutzten KI-Systeme durch. Dies umfasst sowohl extern bezogene als auch intern entwickelte Lösungen. Identifizieren Sie, welche Systeme unter die Definition von Allzweck-KI-Modellen (GPAI) fallen, welche mit natürlichen Personen interagieren und welche personenbezogene Daten verarbeiten. Kategorisieren Sie die Systeme nach ihrem Risikopotenzial. Fragen Sie sich: Welche KI-Tools werden tatsächlich von unseren Mitarbeitenden genutzt, auch jenseits der offiziellen Beschaffungswege (Schatten-KI)? Eine offene Kommunikation mit den Teams ist hier entscheidend, um ein realistisches Bild zu erhalten.

2. Anpassung der Transparenzpflichten

Überprüfen und passen Sie Ihre Benutzerführung und interne Kommunikation an, um die Transparenzpflichten gemäß Artikel 50 des AI Act und den Anforderungen des Schweizer DSG zu erfüllen. Stellen Sie sicher, dass Nutzer klar und verständlich darüber informiert werden, wann sie mit einem KI-System interagieren. Dies kann durch visuelle Hinweise, Textbausteine oder akustische Signale erfolgen. Im Kundenservice sollte ein Chatbot beispielsweise klar kenntlich machen, dass er kein menschlicher Gesprächspartner ist. Bei KI-gestützten Entscheidungshilfen in HR-Prozessen muss transparent gemacht werden, dass und wie KI in die Bewertung einfließt. Die Gestaltung dieser Hinweise sollte einfach, aber unmissverständlich sein.

3. Durchführung von Datenschutz-Folgenabschätzungen (DSFA)

Für neue oder modifizierte KI-Anwendungen, die ein hohes Risiko für die Privatsphäre und Grundrechte darstellen könnten, sind Datenschutz-Folgenabschätzungen (DSFA) gemäß DSGVO und Schweizer DSG zwingend erforderlich. Der Einsatz von KI gilt aufgrund seiner Neuartigkeit und der oft komplexen Datenverarbeitung in der Regel als risikoreich. Eine DSFA hilft nicht nur, rechtliche Risiken zu minimieren, sondern auch, die Auswirkungen der KI auf die betroffenen Personen proaktiv zu managen und geeignete Schutzmaßnahmen zu implementieren. Dokumentieren Sie die Ergebnisse und getroffenen Maßnahmen sorgfältig.

4. Klare Verantwortlichkeitsklärung

Definieren Sie intern klar, wer die datenschutzrechtliche und AI-Act-bezogene Verantwortung für den Einsatz von KI-Anwendungen trägt. Dies kann je nach konkreter Einflussnahme auf die Datenverarbeitung und das KI-System variieren. Rollen wie Verantwortlicher, Auftragsverarbeiter oder die gemeinsame Verantwortlichkeit müssen eindeutig zugewiesen werden. Dies ist komplex, da die Verantwortlichkeiten in einer dynamischen KI-Lieferkette nicht statisch sind. Klären Sie, wie die Kooperationspflichten mit externen Anbietern von KI-Systemen (gemäß Artikel 25 AI Act) vertraglich und prozessual umgesetzt werden. Etablieren Sie Prozesse zur regelmäßigen Überprüfung dieser Verantwortlichkeiten.

5. Interne Richtlinien und Schulungen

Angesichts der verbreiteten "Schatten-KI" ist es entscheidend, nicht nur formale Richtlinien für den verantwortungsvollen und gesetzeskonformen Einsatz von KI zu erstellen, sondern diese auch aktiv zu kommunizieren und durchzusetzen. Schulen Sie Ihre Mitarbeitenden umfassend zum EU AI Act, zu internen Richtlinien und zum verantwortungsvollen Umgang mit KI-Systemen. Die "AI Literacy" der Belegschaft ist ein entscheidender Faktor für den gesetzeskonformen Einsatz von KI und hilft, Risiken durch unautorisierte oder unsachgemäße Nutzung zu minimieren. Schaffen Sie klare Anlaufstellen für Fragen und Bedenken bezüglich des KI-Einsatzes.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betrachten wir technologische Entwicklungen stets mit einer pragmatischen und datenbasierten Haltung, fernab von Hype oder blinder Technikbegeisterung. Der EU AI Act ist hierfür ein Paradebeispiel. Er ist keine innovationsfeindliche Bremse, sondern ein notwendiger Rahmen, der den Einsatz von KI auf eine ethisch und rechtlich tragfähige Grundlage stellt. Für den Mittelstand im DACH-Raum bedeutet dies: Die Zeit der unverbindlichen Experimente ist vorbei. Was bisher als "Nice-to-have" galt, nämlich der verantwortungsvolle Umgang mit KI, wird nun zum "Must-have" mit direkten Konsequenzen bei Nichteinhaltung.

Die hohen Zahlen zur "Schatten-KI" und der Diskrepanz zwischen Richtlinien und tatsächlicher Nutzung sind alarmierend. Sie zeigen, dass viele Unternehmen ihre internen KI-Aktivitäten nicht ausreichend kontrollieren. Der EU AI Act zwingt nun dazu, diese Lücke zu schliessen. Dies ist keine Bürde, sondern eine Chance, die KI-Strategie zu professionalisieren, Vertrauen bei Kunden und Mitarbeitenden aufzubauen und sich vor erheblichen finanziellen und reputativen Schäden zu schützen. Unsere Kernbotschaft "Befähigung statt Abhängigkeit" ist hier von zentraler Bedeutung. Unternehmen müssen verstehen, welche KI-Systeme sie nutzen, wie diese funktionieren und welche Risiken sie bergen, anstatt sich blind auf Drittanbieter zu verlassen oder unkontrollierte interne Nutzungen zu dulden. Die Stärke des DACH-Raums in puncto Datenschutz kann hier sogar ein Wettbewerbsvorteil sein, wenn sie proaktiv in eine transparente und verantwortungsvolle KI-Strategie übersetzt wird. Wer jetzt handelt, kann nicht nur Strafen vermeiden, sondern auch das Vertrauen seiner Stakeholder stärken und langfristig von einer robusten KI-Governance profitieren.

Fazit: Jetzt handeln für eine sichere KI-Zukunft

Der 2. August 2026 markiert einen Wendepunkt für den Einsatz von Künstlicher Intelligenz in Unternehmen des DACH-Raums. Die nun vollständig durchsetzbaren Bestimmungen des EU AI Act, insbesondere hinsichtlich der Transparenzpflichten und der Governance von Allzweck-KI-Modellen, erfordern unmittelbares Handeln. Gepaart mit den bereits strengen Datenschutzgesetzen in der EU und der Schweiz, wird die Einhaltung rechtlicher Rahmenbedingungen zu einer zentralen Herausforderung, die weit über rein technische Implementierungen hinausgeht. Es bedarf tiefgreifender organisatorischer und prozessualer Anpassungen.

Das "Paradox der KI-Adoption" zeigt, dass viele DACH-Unternehmen zwar schnell in der Nutzung von KI sind, jedoch noch Nachholbedarf bei der strategischen und rechtlich abgesicherten Verankerung dieser Technologien im Kerngeschäft haben. Die aktuellen Entwicklungen zwingen sie nun, diese Lücke schnell zu schließen. Durch eine proaktive Bestandsaufnahme, die Anpassung von Transparenzmechanismen, die Durchführung von Datenschutz-Folgenabschätzungen, eine klare Verantwortlichkeitsklärung und umfassende Mitarbeiterschulungen können Unternehmen nicht nur hohe Bußgelder vermeiden. Sie stärken gleichzeitig das Vertrauen ihrer Kunden und Mitarbeitenden und legen den Grundstein für eine nachhaltige und verantwortungsvolle Nutzung von KI, die langfristig echten Mehrwert schafft und die Wettbewerbsfähigkeit sichert. Zögern Sie nicht, diese Massnahmen umgehend einzuleiten.