EU AI Act: Was DACH-Unternehmen seit dem 2. August 2026 wirklich betrifft

Der EU AI Act (Verordnung (EU) 2024/1689), das weltweit erste umfassende KI-Gesetz, ist ein zentrales Regelwerk, das die Nutzung kuenstlicher Intelligenz in Europa massgeblich beeinflusst. Obwohl das Gesetz bereits am 1. August 2024 in Kraft trat, erfolgte die volle Entfaltung seiner Rechtswirkungen schrittweise. Der 2. August 2026 markierte einen entscheidenden Punkt fuer eine Vielzahl von Unternehmen im DACH-Raum. An diesem Datum wurden wichtige Bestimmungen unmittelbar anwendbar. Dies betrifft insbesondere den Mittelstand, welcher nun proaktiv handeln muss, um rechtliche Risiken zu vermeiden und die Chancen der KI verantwortungsvoll zu nutzen.

Viele Unternehmen haben die aktuellen Entwicklungen mit Aufmerksamkeit verfolgt, aber oft auch mit Unsicherheit. Die Diskussionen um die konkrete Umsetzung und die damit verbundenen Herausforderungen praegen die aktuelle Berichterstattung und die strategische Planung. Ein verbreitetes Missverstaendnis bezueglich der Verschiebung von Fristen hat zu einer falschen Annahme gefuehrt, der AI Act sei noch weit entfernt. Dies ist jedoch nicht der Fall. Seit dem 2. August 2026 sind konkrete Pflichten in Kraft, die jedes Unternehmen betreffen, das KI-Systeme nutzt oder anbietet. Diese sofort wirksamen Vorgaben erfordern ein umgehendes Handeln und eine detaillierte Auseinandersetzung mit den eigenen KI-Anwendungen.

Die ersten Saeulen des EU AI Act sind in Kraft

Ab dem 2. August 2026 sind zentrale Bestimmungen des EU AI Act unmittelbar anwendbar. Verstoeße koennen mit erheblichen Bußgeldern geahndet werden, welche fuer Transparenzpflichten bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes und fuer Hochrisiko-Systeme bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen koennen. Diese Sanktionen unterstreichen die Notwendigkeit einer umgehenden Anpassung und sorgfaeltigen Implementierung der neuen Vorgaben.

Zu den seit dem 2. August 2026 geltenden Pflichten gehoeren insbesondere:

1. Transparenzpflichten fuer Interaktion mit KI-Systemen: Unternehmen muessen Nutzer informieren, wenn sie mit einem KI-System interagieren, es sei denn, dies ist offensichtlich. Dies betrifft eine breite Palette von Anwendungen im Kundenservice, im Personalwesen und in der internen Kommunikation. Beispielsweise muss ein Unternehmen, das einen Chatbot auf seiner Website einsetzt, klar kommunizieren, dass der Nutzer mit einer KI interagiert. Dies gilt auch fuer KI-gestuetzte Sprachassistenten oder automatisierte E-Mail-Systeme, die auf KI basieren und menschliche Kommunikation emulieren. 2. Kennzeichnungspflicht fuer KI-generierte oder -manipulierte Inhalte: Inhalte wie Texte, Bilder, Audio und Videos, die von KI generiert oder wesentlich manipuliert wurden und den Eindruck erwecken koennten, echt oder unveraendert zu sein, sogenannte Deepfakes, muessen klar als solche gekennzeichnet werden. Diese Regelung ist insbesondere relevant fuer Inhalte von oeffentlichem Interesse, wie Nachrichten oder politische Informationen. Fuer viele kleine und mittelstaendische Unternehmen bedeutet dies, dass ein einfacher, verstaendlicher Hinweis ausreicht, beispielsweise ein Textzusatz wie "KI-generierter Inhalt" oder ein Logo. Dies betrifft Marketingmaterialien, interne Kommunikationen und Produktbeschreibungen, wenn KI zur Erstellung oder Modifikation verwendet wurde. 3. Durchsetzung der nationalen Marktautorenschaft: Die nationalen Aufsichtsbehoerden, in Deutschland etwa die Bundesnetzagentur, sind seit dem 2. August 2026 arbeitsfaehig geworden. Ihre Aufgabe ist es, die Einhaltung der Vorschriften zu ueberwachen und Verstoeße zu sanktionieren. Dies signalisiert das Ende einer reinen Vorbereitungsphase und den Beginn einer aktiven Durchsetzung des Gesetzes. Unternehmen sollten sich bewusst sein, dass die Ueberwachung nun konkret erfolgt und Verstoeße Konsequenzen haben. 4. KI-Kompetenzpflicht: Bereits seit dem 2. Februar 2025 gilt die Pflicht fuer Anbieter und Betreiber von KI-Systemen, sicherzustellen, dass ihr Personal ueber ein ausreichendes Maß an KI-Kompetenz verfuegt. Die bevoelkerungsweite Durchsetzung dieser Pflicht begann ebenfalls mit dem 2. August 2026. Dies bedeutet, dass Unternehmen nicht nur technische Systeme anpassen, sondern auch in die Aus- und Weiterbildung ihrer Mitarbeiter investieren muessen, um die verantwortungsvolle Nutzung und Ueberwachung von KI-Systemen zu gewaehrleisten. Es geht darum, dass Mitarbeitende die Funktionsweise, Grenzen und Risiken der eingesetzten KI verstehen.

Diese Pflichten sind breit gefaechert und betreffen Unternehmen aller Groessenordnungen und Branchen. Die fristgerechte Umsetzung ist daher von essenzieller Bedeutung, um rechtliche und finanzielle Nachteile zu vermeiden.

Trugschluss "AI Act kommt spaeter": Was Mittelstaendler jetzt verstehen muessen

Ein wiederkehrendes Thema in den letzten Wochen war die sogenannte "Digital Omnibus"-Einigung vom 7. Mai 2026, welche die Fristen fuer bestimmte Hochrisiko-KI-Systeme verschoben hat. Konkret wurden die Pflichten fuer eigenstaendige Hochrisiko-KI nach Anhang III, beispielsweise im Personalwesen oder bei der Kreditpruefung, auf den 2. Dezember 2027 verlegt. Fuer in regulierte Produkte eingebettete Hochrisiko-KI nach Anhang I wurde die Frist auf den 2. August 2028 verschoben.

Dieses "Aufatmen" vieler Unternehmen, der AI Act komme spaeter, ist jedoch ein weit verbreitetes Missverstaendnis. Die Verschiebung betrifft *nicht* die Transparenzpflichten nach Artikel 50, welche seit dem 2. August 2026 ohne Uebergangsfrist gelten und praktisch jedes Unternehmen betreffen, das Chatbots, generative KI oder andere interaktive KI-Systeme einsetzt. Diese Klarstellung ist entscheidend, da eine Fehleinschaetzung hier zu unmittelbaren Compliance-Problemen fuehren kann. Unternehmen, die sich auf die spaeteren Fristen fuer Hochrisiko-Systeme verlassen, uebersehen die bereits seit drei Wochen geltenden und durchsetzbaren Bestimmungen.

Auch die Verbote bestimmter KI-Praktiken, zum Beispiel Emotionserkennung am Arbeitsplatz unter bestimmten Umstaenden, sowie die Pflichten fuer KI-Modelle mit allgemeinem Verwendungszweck (GPAI) gelten weiterhin gemaess den urspruenglichen Fristen, welche im Februar 2025 beziehungsweise August 2025 anwendbar wurden. Es handelt sich hierbei also nicht um eine generelle Verschnaufpause, sondern um eine spezifische Anpassung fuer einen klar definierten Bereich der Hochrisiko-KI. Die weitreichendsten und den Mittelstand am haeufigsten betreffenden Pflichten sind bereits in Kraft und erfordern entsprechende Anpassungen in Prozessen und Technologien.

Es ist daher von groesster Bedeutung, diese Differenzierung genau zu verstehen und die notwendigen Massnahmen entsprechend zu priorisieren. Ein Blick auf die gesamte Gesetzgebung zeigt, dass der EU AI Act nicht nur in Teilbereichen, sondern in seinen fundamentalen und breit wirksamen Aspekten bereits vollumfaenglich greift. Die Ignoranz dieser Tatsachen kann zu unnoetigen Risiken und potenziellen Bußgeldern fuehren.

Konkrete Auswirkungen auf den DACH-Mittelstand und spezifische Branchen

Der EU AI Act hat weitreichende Konsequenzen fuer den gesamten DACH-Wirtschaftsraum. Der Mittelstand ist hierbei besonders gefordert, da er oft mit begrenzten Ressourcen und einer dezentralen Nutzung von KI-Funktionen konfrontiert ist. Viele mittelstaendische Unternehmen nutzen KI-Funktionen dezentral, oft unbemerkt in bestehender Software. Dies betrifft CRM-Systeme, Office-Suiten oder HR-Tools, ohne eine zentrale Registrierung oder klare Verantwortlichkeiten. Fuer diese Unternehmen ist eine Bestandsaufnahme ihrer eingesetzten KI-Systeme, ein sogenanntes KI-Inventar, ein erster und entscheidender Schritt zur Compliance. Nur wer weiss, welche KI wo eingesetzt wird, kann die neuen Pflichten umsetzen.

Im HR-Bereich zeigt sich die Komplexitaet besonders deutlich. Obwohl die Hochrisiko-Frist fuer KI im Personalwesen, zum Beispiel fuer Bewerbervorauswahl oder Leistungsbeurteilung, auf Dezember 2027 verschoben wurde, muessen HR-Abteilungen bereits jetzt die KI-Kompetenz ihrer Mitarbeiter sicherstellen. Zudem sind Vorbereitungen fuer die dann greifenden strengen Governance-, Dokumentations- und Kontrollpflichten notwendig. Eine Inventur der genutzten HR-KI-Tools, die Pruefung von Auftragsverarbeitungsvertraegen und die Durchfuehrung von Datenschutz-Folgenabschaetzungen sind hier wichtige Schritte. Dies schliesst auch die Schulung von Personal ein, das mit KI-gestuetzten Rekrutierungstools arbeitet, damit es die Funktionsweise und potenziellen Bias dieser Systeme versteht.

Der Finanzsektor steht vor einem tiefgreifenden Wandel. Eine Studie von BornCity vom 12. August 2026 zeigt, dass bereits 52 Prozent der Finanzunternehmen Agentic AI, also autonome KI-Systeme, nutzen. Der EU AI Act und die DSGVO bremsen jedoch das Einfuehrungstempo. Finanzinstitute muessen ihre KI-Governance-Strukturen ueberarbeiten, um Transparenz, Risikomanagement und menschliche Aufsicht zu gewaehrleisten. Die Kennzeichnungspflichten fuer KI-generierte Inhalte betreffen auch den Finanzsektor, etwa bei automatisierten Kundeninteraktionen, Chatbots oder Marketingmaterialien, die KI-gestuetzt erstellt wurden. Die Praezision und Nachvollziehbarkeit von KI-Entscheidungen ist in diesem Sektor von besonderer Relevanz.

Auch im Controlling und in der Planung sehen Experten wie Bjoern Stauss, Country Manager DACH bei Board, noch viel "Luft nach oben" beim Einsatz von KI. Waehrend technologisch die Moeglichkeit einer weitgehend automatisierten Planung besteht, wird die menschliche Komponente und das "Bauchgefuehl" der Controller als unverzichtbar betrachtet. Hier zeigt sich, dass KI als Werkzeug zur Unterstuetzung, nicht als vollstaendiger Ersatz menschlicher Expertise, gesehen werden sollte. Die neuen Transparenzpflichten bedeuten auch, dass Entscheidungen, die auf KI-gestuetzten Analysen basieren, nachvollziehbar gemacht werden muessen, falls sie entscheidenden Einfluss auf Unternehmensprozesse haben.

Die Bereiche KI-Sicherheit und Governance gewinnen exponentiell an Bedeutung. Eine aktuelle Studie des DXC Digital Future Monitor 2026, veroeffentlicht am 18. August 2026, zeigt einen Widerspruch in DACH-Unternehmen auf: 80 Prozent bestehen darauf, dass am Ende immer der Mensch entscheidet, doch 58 Prozent halten es fuer wahrscheinlich, dass KI-Systeme kuenftig selbststaendig wichtige Geschaeftsentscheidungen treffen werden. Zudem erwarten 71 Prozent einen sprunghaften Anstieg virtueller KI-Agenten in den naechsten drei Jahren. Dies erhoeht den Druck auf eine klare Regelung von Zustaendigkeiten, Kontrolle und Governance. Bereits 66 Prozent der Unternehmen haben neue Compliance-Aufgaben durch intransparente KI-Entscheidungen. Ramses Gallego, Chief Technologist Cybersecurity bei DXC Technology, warnt: "Die gefaehrlichste Annahme ist zu glauben, man habe es unter Kontrolle." Governance muss vor dem ersten autonomen Schritt stehen, nicht danach. Dies verdeutlicht, dass eine reaktive Anpassung unzureichend ist. Eine proaktive und durchdachte Strategie ist unerlaesslich, um die Kontrolle ueber KI-Systeme zu behalten und deren Nutzen sicherzustellen.

Die Schweizer Perspektive: Kein Sonderweg für den Mittelstand

Obwohl die Schweiz kein EU-Mitgliedstaat ist, hat der EU AI Act auch fuer Schweizer Unternehmen erhebliche Relevanz. Dies geschieht insbesondere durch das sogenannte Marktortprinzip. Unternehmen mit Sitz in der Schweiz, die Produkte oder Dienstleistungen fuer den EU-Markt anbieten, fallen unter die Bestimmungen des AI Act. Dies gilt analog zur Datenschutz-Grundverordnung (DSGVO), die ebenfalls extraterritorial wirkt. Schweizer Unternehmen, die beispielsweise KI-gestuetzte Chatbots oder Analyse-Tools fuer Kunden in Deutschland oder Oesterreich bereitstellen, muessen die seit dem 2. August 2026 geltenden Transparenz- und Kennzeichnungspflichten einhalten.

Der Eidgenoessische Datenschutz- und Oeffentlichkeitsbeauftragte (EDOEB) hat klargestellt, dass das revidierte Schweizer Datenschutzgesetz (revDSG) direkt fuer KI gilt. Dies bedeutet, dass bereits heute Chatbots offengelegt werden muessen und bei der Verarbeitung von Personendaten mit hohem Risiko eine Datenschutz-Folgenabschaetzung erforderlich ist. Die Schweizer Gesetzgebung bietet somit bereits einen Rahmen fuer den verantwortungsvollen Umgang mit KI, der in Teilen den Anforderungen des EU AI Act aehnlich ist. Das Lauterkeitsrecht verbietet zudem Taeschungen durch nicht gekennzeichnete KI-Inhalte, was die Notwendigkeit einer klaren Offenlegung von KI-generierten Inhalten unterstreicht.

Der Bundesrat verfolgt einen eigenen Schweizer Regulierungsansatz, der bis Ende 2026 eine Vernehmlassungsvorlage erarbeiten soll. Es ist jedoch unwahrscheinlich, dass dies die unmittelbaren Verpflichtungen fuer Schweizer Unternehmen, die im EU-Markt taetig sind, aufhebt. Vielmehr ist zu erwarten, dass eine künftige Schweizer Regulierung zumindest teilweise auf den Erfahrungen und Bestimmungen des EU AI Act aufbauen wird, um eine Harmonisierung zu ermoeglichen und Wettbewerbsnachteile zu vermeiden. Schweizer Unternehmen muessen daher eine Doppelstrategie verfolgen: Die Einhaltung der EU-Vorgaben fuer den EU-Markt und die Anpassung an die sich entwickelnde nationale Gesetzgebung.

Handlungsempfehlungen für Unternehmen

Um den neuen Anforderungen des EU AI Act gerecht zu werden und potenzielle Risiken zu minimieren, sollten DACH-Unternehmen die folgenden Schritte umgehend umsetzen:

1. KI-Inventar erstellen: Fuehren Sie eine umfassende Bestandsaufnahme aller in Ihrem Unternehmen eingesetzten KI-Systeme durch. Identifizieren Sie, welche Anwendungen KI-gestuetzt sind, auch wenn sie in bestehenden Softwareloesungen integriert sind. Dokumentieren Sie deren Funktionsweise und Einsatzbereiche. 2. Verantwortlichkeiten definieren: Legen Sie klare Verantwortlichkeiten fuer die Implementierung und Ueberwachung der KI-Compliance fest. Bestimmen Sie, wer fuer die Einhaltung der Transparenz- und Kennzeichnungspflichten zustaendig ist und wer die Gesamtverantwortung fuer die KI-Governance traegt. 3. Mitarbeiterkompetenz aufbauen: Stellen Sie sicher, dass Ihr Personal ueber ein ausreichendes Mass an KI-Kompetenz verfuegt. Investieren Sie in Schulungen und Weiterbildungen, um ein grundlegendes Verstaendnis fuer die Funktionsweise, Risiken und ethischen Aspekte von KI zu schaffen. Dies ist eine seit Februar 2025 geltende Pflicht. 4. Transparenz- und Kennzeichnungsprozesse implementieren: Entwickeln Sie konkrete Prozesse zur Einhaltung der Transparenzpflichten bei Interaktionen mit KI-Systemen und zur Kennzeichnung von KI-generierten Inhalten. Dies umfasst klare Hinweise fuer Nutzer und eindeutige Markierungen fuer Deepfakes oder wesentliche Manipulationen. 5. KI-Governance-Struktur etablieren: Etablieren Sie eine belastbare Governance-Struktur fuer den Einsatz von KI. Dies beinhaltet Richtlinien fuer den Erwerb, die Entwicklung, den Einsatz und die Ueberwachung von KI-Systemen, um rechtliche Risiken zu minimieren und die Vorteile der KI verantwortungsvoll zu nutzen. Eine solche Struktur sollte auch Mechanismen fuer die Risikobewertung und fuer menschliche Ueberpruefung umfassen.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist mehr als eine reine Belastung. Er bietet die Moeglichkeit, Vertrauen in KI-Technologien aufzubauen und deren verantwortungsvollen Einsatz zu foerdern. Als Kapitel H sehen wir die Notwendigkeit, ueber eine reine Compliance-Checkliste hinauszugehen. Es geht nicht darum, den AI Act lediglich als Buerde zu betrachten, die abgearbeitet werden muss. Vielmehr sollte er als Katalysator dienen, um die KI-Strategie im Unternehmen grundlegend zu ueberdenken und zukunftssicher aufzustellen.

Wir beobachten oft, dass sich Unternehmen in der Komplexitaet von Regulierungen verlieren. Statt einer pragmatischen Herangehensweise, die auf den tatsaechlichen Einsatz von KI im Unternehmen fokussiert, wird versucht, generische Loesungen zu implementieren. Das ist nicht zielfuehrend. Der Mittelstand im DACH-Raum benoetigt konkrete, umsetzbare Schritte, keine hochtrabenden theoretischen Debatten. Die Befaehigung der eigenen Organisation und nicht die Abhaengigkeit von externen Beratern sollte im Vordergrund stehen. Dies erfordert eine ehrliche Bestandsaufnahme und die Bereitschaft, interne Kompetenzen aufzubauen.

Die derzeitige Lage zeigt einen deutlichen Handlungsbedarf. Die Erkenntnis, dass der AI Act bereits aktiv wirkt, muss sich in konkreten Massnahmen niederschlagen. Nur so kann verhindert werden, dass Unternehmen in die Falle der Nachlaessigkeit tappen und spaeter mit hohen Bußgeldern oder Reputationsschaeden konfrontiert werden. Es ist entscheidend, die Potenziale der KI zu nutzen und gleichzeitig die Risiken durch eine fundierte Governance und klare Prozesse zu beherrschen. Dies erfordert eine strategische Vorgehensweise, die nicht nur auf die Einhaltung der Vorschriften abzielt, sondern auch darauf, eine Kultur des verantwortungsvollen KI-Einsatzes zu etablieren.

Fazit mit konkretem Nutzen für den Leser

Der 2. August 2026 war kein "Soft Launch" des EU AI Act, sondern der Beginn einer Phase, in der konkrete Pflichten fuer eine breite Masse von Unternehmen im DACH-Raum durchsetzbar werden. Insbesondere die Transparenz- und Kennzeichnungspflichten sind sofort relevant und erfordern proaktives Handeln. Die verbreitete Annahme, die Fristen seien generisch verschoben worden, ist ein Missverstaendnis, das zu erheblichen rechtlichen und finanziellen Risiken fuehren kann. Unternehmen muessen dringend eine Bestandsaufnahme ihrer KI-Nutzung durchfuehren, Verantwortlichkeiten klar definieren und die KI-Kompetenz ihrer Mitarbeiter sicherstellen. Eine belastbare Governance-Struktur fuer den Einsatz von KI ist der Schluessel, um nicht nur rechtliche Risiken zu minimieren, sondern auch das Vertrauen in die eigenen KI-Anwendungen zu staerken und deren Nutzen verantwortungsvoll zu realisieren. Wer jetzt handelt, schafft die Grundlage fuer einen sicheren und erfolgreichen KI-Einsatz in der Zukunft und vermeidet kostspielige Fehltritte.