EU AI Act: Was DACH-Unternehmen im Oktober 2026 wissen und tun müssen

Der EU AI Act ist seit dem 1. August 2024 in Kraft, doch seine schrittweise Implementierung prägt die Diskussionen und strategischen Planungen in der DACH-Unternehmenslandschaft im Oktober 2026 massiv. Insbesondere die seit August 2026 geltenden Transparenzpflichten und die, durch den "Digital Omnibus on AI" im Frühjahr 2026 angepassten, zentralen Anforderungen für Hochrisiko-Systeme, die ab Dezember 2027 greifen, bestimmen aktuell die Agenda vieler Betriebe in Deutschland, Österreich und der Schweiz. Obwohl die Schweiz formal nicht Teil der EU ist, beeinflussen die Vorgaben des EU AI Acts aufgrund der engen wirtschaftlichen Verflechtungen mit dem EU-Binnenmarkt die hier ansässigen Unternehmen erheblich. Die Zeit der unverbindlichen Auseinandersetzung mit Künstlicher Intelligenz ist definitiv vorbei, der Gesetzgeber hat einen klaren Rahmen geschaffen.

Der EU AI Act: Ein risikobasierter Ansatz mit klaren Stufen

Das Kernstück der europäischen KI-Regulierung verfolgt ein klares Ziel: Vertrauen in die Zuverlässigkeit, Transparenz und Fairness von KI-Systemen zu schaffen. Gleichzeitig sollen Innovationen gefördert und die Rechte der EU-Bürger geschützt werden. Die Verordnung klassifiziert KI-Systeme basierend auf ihrem Risikopotenzial in vier Kategorien, jede mit spezifischen Auflagen. Diese Kategorisierung ist fundamental für die Compliance-Strategie jedes Unternehmens.

Seit Februar 2025 sind bereits bestimmte verbotene KI-Praktiken untersagt. Dazu zählen beispielsweise Social Scoring, also die Bewertung von Personen anhand ihres Verhaltens in einem sozialen Kontext, oder manipulative Systeme, die das Verhalten von Menschen unzulässig beeinflussen. Ebenfalls seit Februar 2025 ist die Pflicht zur Förderung der KI-Kompetenz der Beschäftigten nach Artikel 4 bindend. Dies signalisiert, dass die Befähigung der Mitarbeitenden keine Option, sondern eine Notwendigkeit ist.

Der 2. August 2026 markierte einen weiteren wichtigen Meilenstein. Seit diesem Datum sind ein überwiegender Teil der Verordnung und insbesondere die Transparenzpflichten für eine breitere Palette von KI-Systemen in Kraft getreten. Dies betrifft beispielsweise Chatbots, die den Nutzern mitteilen müssen, dass sie mit einer KI interagieren. Für Unternehmen bedeutet dies eine sofortige Überprüfung und Anpassung ihrer Kommunikationsprozesse und der Kennzeichnung ihrer KI-Anwendungen.

Die komplexesten Anforderungen, jene für Hochrisiko-Systeme, wurden nach jüngsten Anpassungen auf Dezember 2027 und August 2028 verschoben, je nachdem, ob diese Systeme in bereits regulierte Produkte eingebettet sind. Ein Hochrisiko-System könnte beispielsweise eine KI im Gesundheitswesen sein, die Diagnosen unterstützt, oder ein System zur Bewertung von Kreditwürdigkeit. Die Fristverlängerung entbindet Unternehmen jedoch keineswegs von der dringenden Notwendigkeit der Vorbereitung. Im Gegenteil, die zusätzliche Zeit sollte genutzt werden, um interne Prozesse, technische Architekturen und Governance-Strukturen robust aufzustellen. Wer jetzt nicht handelt, wird Ende 2027 vor erheblichen Herausforderungen stehen.

Klassifizierung, Compliance und Kompetenz: Die Dreifach-Herausforderung

Für Unternehmen im DACH-Raum stellt die Umsetzung des EU AI Act eine vielschichtige Aufgabe dar. Sie müssen drei zentrale Herausforderungen meistern, die eng miteinander verknüpft sind und einen strategischen Ansatz erfordern.

1. Präzise Klassifizierung der KI-Systeme

Der erste und grundlegende Schritt für jedes Unternehmen ist die genaue Klassifizierung seiner eingesetzten oder entwickelten KI-Assets. Ohne diese initiale Einordnung ist es unmöglich, die relevanten Pflichten zu identifizieren und die notwendigen Massnahmen zu ergreifen. Ein Unternehmen muss klar definieren, ob ein System unter die Kategorien "verboten", "Hochrisiko", "Transparenzpflichten" oder "geringes Risiko" fällt. Diese Zuordnung ist nicht immer trivial und erfordert oft eine detaillierte Analyse der jeweiligen Anwendung, ihres Kontexts und ihres potenziellen Schadensrisikos.

Ein häufiges Szenario betrifft den Einsatz externer KI-Tools wie Microsoft Copilot oder ChatGPT. Hier ist ein Unternehmen in der Regel als "Betreiber" eingestuft. Ein Betreiber ist dafür verantwortlich, dass das System gemäss den Anweisungen des Anbieters und den eigenen Nutzungsbedingungen sicher und compliant eingesetzt wird. Es ist jedoch Vorsicht geboten: Aus einem Betreiber kann schnell ein "Anbieter" werden, wenn ein System wesentlich verändert, weiterentwickelt oder unter eigenem Namen Dritten zur Verfügung gestellt wird. Die Rolle des Anbieters bringt deutlich weitreichendere Pflichten mit sich, einschliesslich umfassender Konformitätsbewertungen und technischer Dokumentationen. Eine genaue Kenntnis der eigenen Rolle ist daher essenziell, um nicht unwissentlich in die anspruchsvollere Anbieterrolle zu rutschen.

2. Integration von KI-Anforderungen mit bestehenden Compliance-Rahmenwerken

Ein zentraler Pfeiler der Compliance ist die harmonische Integration der neuen KI-Anforderungen mit bestehenden Vorgaben. Hierzu zählen insbesondere die Datenschutz-Grundverordnung (DSGVO), der Data Act und branchenspezifische Regulierungen. Ziel ist es, Doppelaufwände zu vermeiden und eine effiziente Compliance-Struktur zu schaffen. Der Datenschutz spielt beim Einsatz von KI-Tools eine besonders kritische Rolle, da mit hoher Wahrscheinlichkeit personenbezogene Daten verarbeitet werden. Die Bitkom-Befragung von Oktober 2026 unter 605 Unternehmen ab 20 Beschäftigten verdeutlicht die Brisanz: 50 Prozent der Unternehmen geben an, dass Datenschutzanforderungen den Einsatz von Künstlicher Intelligenz im eigenen Unternehmen behindern. 78 Prozent berichten, dass die Datenschutzprüfung von KI-Projekten immer aufwendiger wird, und 72 Prozent betrachten Datenschutz beim KI-Einsatz als grosses Thema. Die Unsicherheit ist dabei erheblich, 56 Prozent der Unternehmen sind bei Datenschutzfragen rund um KI häufig überfordert.

Insbesondere die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 Abs. 1 DSGVO ist beim Einsatz generativer KI in fast allen Fällen Pflicht, sobald personenbezogene Daten systematisch verarbeitet werden. Dies liegt daran, dass generative KI-Systeme in der Regel ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen können, etwa bei der Analyse von Kunden- oder Beschäftigtendaten oder der Verarbeitung sensibler Informationen. Unternehmen müssen unbedingt sicherstellen, dass personenbezogene Daten nicht unerlaubt in externe KI-Systeme fliessen und die DSGVO vollumfänglich eingehalten wird, auch wenn KI-Tools in der Cloud betrieben werden. Der jüngst vom LfDI Mecklenburg-Vorpommern veröffentlichte KI-Leitfaden, der kleineren Unternehmen und Behörden bei der datenschutzkonformen Nutzung von KI-Systemen mit beschränktem oder minimalem Risiko helfen soll, unterstreicht die Relevanz und den Handlungsbedarf für den Mittelstand.

3. Aufbau und Förderung von KI-Kompetenz der Beschäftigten

Ein weiterer entscheidender Punkt ist die KI-Kompetenz der Beschäftigten. Der Artikel 4 des KI-Acts, in der Neuformulierung durch den KI-Omnibus, stellt klar, dass Arbeitgeber angemessene Massnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen müssen. Dies bedeutet, dass Unternehmen die Verantwortung tragen, ihre Belegschaft auf den Umgang mit KI vorzubereiten, auch wenn kein bestimmtes individuelles Kompetenzlevel mehr gesetzlich vorgeschrieben ist. Diese Verpflichtung geht Hand in Hand mit der Erkenntnis, dass Führungskräfte eine zentrale Rolle dabei spielen, ob KI im Unternehmen tatsächlich genutzt wird. Studien zeigen, dass Betriebe, die ihre Mitarbeitenden zur Nutzung ermutigen, eine stark ansteigende Anwendung verzeichnen. Reine Schulungen ohne klare Nutzungserwartung und ohne die Verankerung im Arbeitsalltag bringen vergleichsweise wenig. Vielmehr müssen Power-User-Programme, Pilotprojekte und die Integration in bestehende Routinen etabliert werden. Es geht darum, eine Kultur zu schaffen, in der KI als nützliches Werkzeug verstanden und eingesetzt wird.

Robuste KI-Governance aufbauen: Praktische Handlungsempfehlungen

Um den Herausforderungen des EU AI Act und den damit verbundenen Anforderungen gerecht zu werden, sollten DACH-Unternehmen proaktiv eine robuste KI-Governance aufbauen. Diese muss die Risiken von KI-Systemen über den gesamten Lebenszyklus hinweg beherrschbar machen. Ein solches Framework verbindet technische Expertise, rechtliches Fachwissen und Product-Compliance-Erfahrung mit den spezifischen Anforderungen des AI Act.

Für den praktischen Einsatz bedeutet dies konkrete Schritte:

* KI-Inventur durchführen: Beginnen Sie mit einer umfassenden Erfassung aller im Unternehmen genutzten oder entwickelten KI-Tools. Diese Inventur ist mehr als eine reine Auflistung. Sie muss Transparenz über den tatsächlichen Einsatz schaffen, die jeweiligen Anwendungsfälle dokumentieren, die verarbeiteten Daten identifizieren und eine vorläufige Risikobewertung nach den Kriterien des AI Act vornehmen. Nur so kann die korrekte Klassifizierung der Systeme und die Ableitung der erforderlichen Massnahmen erfolgen. Dies beinhaltet sowohl interne Eigenentwicklungen als auch extern bezogene Standardsoftware, die KI-Funktionen integriert hat.

* Rechtssicherheit durch Business-Lizenzen sicherstellen: Unternehmen sollten zwingend auf Business- oder Enterprise-Lizenzen für KI-Tools umstellen, sofern noch nicht geschehen. Konsumer- oder Gratis-Versionen bieten in der Regel nicht die nötige Rechtssicherheit. Bei Business-Lizenzen garantieren Anbieter in der Regel über Auftragsverarbeitungsverträge (AVV), dass Daten verschlüsselt bleiben, nicht zum Training der externen KI-Modelle genutzt werden und oft auf europäischen Servern verbleiben. Dies ist entscheidend für die Einhaltung der DSGVO und des AI Act. Prüfen Sie die vertraglichen Vereinbarungen genau und stellen Sie sicher, dass die Datenverarbeitung den strengen europäischen Standards entspricht.

* Kommunikation und Change Management etablieren: Der erfolgreiche Einsatz von KI ist eng mit der Akzeptanz der Mitarbeitenden verbunden. Den Beschäftigten muss vermittelt werden, dass KI als Unterstützung und Entlastung dient, nicht als Ersatz für ihre Arbeitskraft. Eine offene Informationspolitik ist hierbei unerlässlich. Fördern Sie die Beteiligung der Beschäftigten an der Gestaltung von KI-Einsatzszenarien. Gezielte Qualifizierungsmaßnahmen, die praxisnah und auf die individuellen Bedürfnisse zugeschnitten sind, helfen dabei, Ängste abzubauen und Kompetenzen aufzubauen. Formate wie World Cafés oder Dialog-Workshops können Räume für den Austausch schaffen und das gemeinsame Verständnis für die Potenziale und Grenzen von KI fördern.

* Pilotprojekte und "Quick Wins" initiieren: Starten Sie mit überschaubaren Pilotprojekten in Abteilungen, die eine hohe Offenheit für neue Technologien zeigen. Konzentrieren Sie sich auf Anwendungsfälle, die schnell sichtbare Ergebnisse und einen klaren Mehrwert liefern, sogenannte "Quick Wins". Diese Erfolge sollten intern proaktiv kommuniziert werden, um die Akzeptanz zu erhöhen und weitere Abteilungen zur Nutzung von KI zu ermutigen. Die Identifikation von internen "KI-Champions" oder "Power Usern" kann diesen Prozess zusätzlich beschleunigen.

* Interdisziplinäre Zusammenarbeit fördern: Der Mehrwert von KI entsteht oft an den Schnittstellen verschiedener Fachbereiche und Generationen. Besonders im Controlling und Finanzbereich wird die Kombination aus digitaler Innovation und jahrelanger Expertise als erfolgsentscheidend angesehen. Jüngere Controller bringen technisches Know-how und ein Verständnis für digitale Tools ein, während erfahrene Kollegen den entscheidenden Kontext, das Prozesswissen und die strategische Perspektive liefern. Dies erfordert einen aktiven Dialog zwischen den Generationen und das gemeinsame Verständnis für die Potenziale und Grenzen von KI. Eine solche Zusammenarbeit schafft nicht nur innovative Lösungen, sondern auch eine robustere Risikobewertung.

Kritische Einordnung aus Kapitel-H-Sicht

Die Einführung des EU AI Act ist ein entscheidender Schritt, um den verantwortungsvollen Einsatz von Künstlicher Intelligenz zu gewährleisten. Aus der Perspektive von Kapitel H betrachten wir diese Regulierung jedoch nicht primär als Hürde, sondern als notwendige Grundlage für strategische Wettbewerbsfähigkeit. Es ist entscheidend zu verstehen, dass Compliance nicht das Endziel sein darf. Die Einhaltung der Vorschriften ist eine hygienische Notwendigkeit, eine Basis, ohne die keine nachhaltige KI-Strategie aufgebaut werden kann. Wer sich ausschliesslich auf "Checkbox-Compliance" konzentriert, verpasst die eigentliche Chance.

Die wahre Wertschöpfung entsteht erst, wenn Unternehmen die Regulierung als Rahmen begreifen, innerhalb dessen sie Innovationen vorantreiben und ihre Prozesse optimieren können. Eine rein reaktive Haltung, die lediglich die Mindestanforderungen erfüllt, wird keinen langfristigen Wettbewerbsvorteil sichern. Stattdessen müssen Unternehmen eine proaktive Strategie entwickeln, die den AI Act als festen Bestandteil ihrer KI-Governance integriert und darauf aufbauend eine verantwortungsvolle, ethische und effiziente Nutzung von KI ermöglicht.

Die geforderte KI-Kompetenz ist hierbei ein zentraler Hebel. Es reicht nicht aus, Mitarbeitende in grundlegenden Schulungen mit der Funktionsweise von KI vertraut zu machen. Vielmehr geht es darum, eine Lernkultur zu etablieren, die kontinuierliche Weiterentwicklung fördert und es den Beschäftigten ermöglicht, KI-Tools selbstständig zu bewerten, sicher anzuwenden und ihr Potenzial für die eigene Arbeit zu erkennen. Dies erfordert Investitionen in interne Ressourcen und die Bereitschaft, Prozesse neu zu denken. Die Abhängigkeit von externen Beratern sollte dabei schrittweise reduziert und internes Wissen aufgebaut werden, um langfristig eigenständig handlungsfähig zu bleiben.

Wir sehen oft, dass der Hype um KI dazu führt, dass Technologien unreflektiert eingesetzt werden. Der AI Act zwingt Unternehmen nun zu einer kritischeren Auseinandersetzung. Dies ist eine Chance, nicht nur Risiken zu minimieren, sondern auch die tatsächlichen Mehrwerte von KI zu identifizieren und umzusetzen. Der Fokus sollte immer auf der realen Anwendung und dem nachweisbaren Nutzen liegen, nicht auf vagen Versprechungen oder Schlagworten. Mittelständische Unternehmen im DACH-Raum haben hier die Möglichkeit, durch eine besonnene und strategische Implementierung einen Vorsprung zu erzielen.

Fazit: Proaktive Vorbereitung sichert den Erfolg

Der EU AI Act ist eine Realität, die den DACH-Arbeitsmarkt und die Unternehmen im Oktober 2026 nachhaltig prägt. Die gestaffelte Implementierung erfordert eine kontinuierliche und proaktive Auseinandersetzung mit den neuen Pflichten. Von der präzisen Klassifizierung der KI-Systeme über die Einhaltung datenschutzrechtlicher Vorgaben bis hin zum Aufbau umfassender KI-Kompetenzen bei den Beschäftigten, die Aufgaben sind vielfältig und komplex.

Unternehmen, die jetzt handeln und eine robuste KI-Governance aufbauen, die sowohl die rechtlichen Anforderungen erfüllt als auch strategische Vorteile sichert, werden davon profitieren. Es geht darum, KI nicht nur regelkonform, sondern auch verantwortungsvoll und wertschöpfend einzusetzen. Die Integration von Business-Lizenzen, eine offene Kommunikationsstrategie, der Start mit überschaubaren Pilotprojekten und die Förderung interdisziplinärer Zusammenarbeit sind konkrete Schritte, die Sie heute einleiten können. Nur so lassen sich Wettbewerbsvorteile sichern und gleichzeitig rechtliche Risiken minimieren. Eine strategische und vorausschauende Anpassung an den EU AI Act ist keine Option, sondern eine Notwendigkeit für den langfristigen Erfolg im digitalen Zeitalter.