EU AI Act: Das müssen DACH-Unternehmen ab August 2026 wissen

Der Einsatz Künstlicher Intelligenz (KI) ist in Unternehmen des DACH-Raums längst keine Zukunftsfrage mehr, sondern gelebte Realität. Mit dem EU AI Act, einer wegweisenden europäischen Verordnung, treten nun jedoch konkrete rechtliche Pflichten in Kraft, die den Umgang mit dieser Technologie maßgeblich beeinflussen werden. Insbesondere die Regelungen zu Transparenz und KI-Kompetenz sind ab dem 2. August 2026 wirksam und erfordern unmittelbaren Handlungsbedarf für deutsche, österreichische und Schweizer Unternehmen.

Obwohl die umfassendsten Vorschriften für Hochrisiko-KI-Systeme durch den sogenannten „Digital Omnibus on AI“ teilweise auf Dezember 2027 und August 2028 verschoben wurden, bedeutet dies keineswegs eine Entwarnung. Entscheidende Regelungen sind bereits jetzt gültig oder werden in Kürze bindend. Unternehmen, die KI-Systeme entwickeln oder nutzen, müssen sich auf diese Veränderungen einstellen, um rechtliche Risiken zu minimieren und ihre Wettbewerbsfähigkeit zu sichern.

Der EU AI Act: Ein Überblick über Zeitplan und Risikokategorien

Der EU AI Act, offiziell als Verordnung (EU) 2024/1689 bekannt, wurde im Mai 2024 verabschiedet und ist am 1. August 2024 in Kraft getreten. Er ist das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz. Das Regelwerk verfolgt einen risikobasierten Ansatz und teilt KI-Systeme in vier Kategorien ein, die unterschiedliche Pflichten mit sich bringen:

* Verbotene KI: Systeme, die ein inakzeptables Risiko darstellen, zum Beispiel Sozial-Scoring oder manipulative KI, die Verhaltensweisen beeinflusst und Schaden anrichtet. Diese sind grundsätzlich nicht erlaubt. * Hochrisiko-KI: Anwendungen, die potenziell erhebliche negative Auswirkungen auf die Sicherheit oder die Grundrechte von Personen haben können. Dazu gehören KI-Systeme in kritischen Infrastrukturen, bei der Personaleinstellung oder im Gesundheitswesen. Für diese Systeme gelten die strengsten Auflagen, deren umfassende Anwendung durch den „Digital Omnibus on AI“ verschoben wurde. * KI mit geringem Risiko: Systeme, die bestimmte Transparenzpflichten erfüllen müssen, um Nutzern eine informierte Entscheidung zu ermöglichen. Beispiele sind Chatbots oder Deepfakes. * Generative KI mit allgemeinen Verwendungszwecken (General Purpose AI, GPAI): Systeme wie große Sprachmodelle (LLMs), für die spezifische Transparenz- und Sicherheitsanforderungen gelten.

Die umfassenderen Pflichten für Hochrisiko-KI-Systeme werden erst im Dezember 2027 und August 2028 greifen. Diese Verschiebung soll Unternehmen, insbesondere dem Mittelstand, mehr Zeit zur Anpassung geben. Es ist jedoch ein Trugschluss zu glauben, dass Unternehmen bis dahin abwarten können. Die Kernbotschaft bleibt: Eine frühzeitige und belastbare KI-Governance ist entscheidend, um die Grundlagen für zukünftige Anforderungen zu legen, Wettbewerbsvorteile zu sichern und Risiken zu minimieren.

Unmittelbare Pflichten ab August 2026: Transparenz und KI-Kompetenz

Mit dem Stichtag 2. August 2026 sind zwei zentrale Pflichten für Unternehmen im DACH-Raum wirksam geworden, die den Einsatz von KI unmittelbar betreffen. Diese gelten für alle, die KI-Technologien entwickeln, anbieten oder in ihrem Geschäftsbetrieb nutzen. Dies betrifft somit nicht nur Anbieter von KI-Lösungen, sondern auch Betreiber, die zum Beispiel ChatGPT für interne Dokumentationen oder spezialisierte KI-Tools für die Recherche einsetzen.

1. Transparenzpflichten: Unternehmen sind nun verpflichtet, in bestimmten Fällen klar kenntlich zu machen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Dies ist besonders relevant für: * Interaktionen mit Chatbots: Wenn Kunden oder Mitarbeiter mit einem KI-gesteuerten Chatbot kommunizieren, muss klar erkennbar sein, dass es sich nicht um eine menschliche Interaktion handelt. * Deepfakes und synthetische Medien: Inhalte, die mithilfe von KI generiert wurden und als reale Fotos, Videos oder Audioaufnahmen missverstanden werden könnten, müssen als solche gekennzeichnet werden. Dies dient dem Schutz vor Desinformation und der Sicherstellung der Authentizität von Inhalten. Diese Kennzeichnungspflicht soll sicherstellen, dass Nutzer eine informierte Entscheidung treffen können und sich der Art der Kommunikation oder des Inhalts bewusst sind. Sie ist ein fundamentaler Schritt, um Vertrauen in KI-Anwendungen aufzubauen und Missbrauch vorzubeugen.

2. KI-Kompetenzpflicht: Unternehmen müssen die KI-Kompetenz ihrer Mitarbeiter sicherstellen, wenn diese mit Künstlicher Intelligenz arbeiten. Ursprünglich war hier eine verpflichtende Schulung vorgesehen. Nach dem jüngsten Gesetzes-Update wird die Förderung des KI-Verständnisses verlangt. Dies bedeutet, dass Arbeitgeber Maßnahmen ergreifen müssen, um sicherzustellen, dass ihre Belegschaft die Funktionsweise, Risiken und Möglichkeiten von KI versteht. Dies ist ein entscheidender Punkt, da eine aktuelle PwC-Umfrage zeigt, dass 64 Prozent der Beschäftigten KI bei der Arbeit nutzen, aber nur 51 Prozent Zugang zu entsprechenden Weiterbildungsangeboten haben. Die Lücke zwischen Nutzung und Kompetenz ist somit beträchtlich. Es geht hierbei nicht nur um technische Kenntnisse, sondern auch um ein kritisches Verständnis für die Grenzen von KI, mögliche Fehlerquellen, Verzerrungen (Bias) und ethische Implikationen. Nur eine informierte Belegschaft kann KI verantwortungsvoll und produktiv einsetzen und damit die Vorteile der Technologie voll ausschöpfen.

Auswirkungen für den Mittelstand und die Rolle des "Digital Omnibus on AI"

Der im Mai 2026 politisch geeinigte „Digital Omnibus on AI“ ist für mittelständische Unternehmen im DACH-Raum von besonderer Relevanz. Er hat nicht nur die Anwendungsfristen für Hochrisiko-KI verschoben, sondern auch Erleichterungen für sogenannte „Small Mid-Caps“ eingeführt. Diese Kategorie umfasst Unternehmen mit bis zu 750 Mitarbeitenden oder 150 Millionen Euro Umsatz. Für diese mittelständischen Unternehmen gelten erweiterte Erleichterungen bei der Erfüllung der umfassenderen Pflichten für Hochrisiko-KI-Systeme. Dies ist eine wichtige Anerkennung der oft begrenzten Ressourcen im Mittelstand im Vergleich zu Großunternehmen.

Diese Erleichterungen betreffen jedoch *nicht* die Transparenz- und KI-Kompetenzpflichten, die ab August 2026 wirksam werden. Das bedeutet: Auch der Mittelstand muss die Grundlagen der KI-Governance jetzt etablieren, um ab dem Stichtag nachweisfähig zu sein. Wer diese grundlegenden Pflichten ignoriert, setzt sich unnötigen Risiken aus. Die Verschiebung der umfangreichsten Hochrisiko-Anforderungen darf nicht als Aufschub für sämtliche Maßnahmen missverstanden werden. Stattdessen bietet sie eine Gelegenheit, die Basisinfrastruktur für den verantwortungsvollen KI-Einsatz in Ruhe aufzubauen und so für die später greifenden, komplexeren Regeln vorbereitet zu sein. Kapitel H empfiehlt hier, proaktiv vorzugehen und die Grundlagen der KI-Kompetenz und Transparenz zu schaffen, um später nicht unter Zeitdruck zu geraten.

Die Schweizer Perspektive: EU AI Act und das Datenschutzgesetz (DSG)

Obwohl die Schweiz keinen eigenen, umfassenden AI Act wie die EU verabschiedet hat und stattdessen einen eher sektoriellen Ansatz verfolgt, sind Schweizer Unternehmen keineswegs von den europäischen KI-Regulierungen befreit. Der EU AI Act endet nicht an der Schweizer Grenze: Wenn Schweizer Unternehmen KI-Systeme in der EU anbieten, dort nutzen oder in Verkehr bringen, fallen sie in den Geltungsbereich der Verordnung. Das bedeutet, dass die genannten Transparenz- und Kompetenzpflichten auch für Schweizer Unternehmen relevant sind, sofern sie entsprechende grenzüberschreitende Aktivitäten aufweisen. Viele Schweizer Unternehmen, die in Deutschland oder Österreich aktiv sind, werden somit direkt betroffen sein.

Zusätzlich zum EU AI Act gilt in der Schweiz seit dem 1. September 2023 das totalrevidierte Datenschutzgesetz (DSG). Dieses Gesetz ist technologieneutral formuliert und somit unmittelbar auf KI-gestützte Datenbearbeitung anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt, dass das DSG für alle Arten von Technologie gilt und Hersteller, Anbieter sowie Anwender von KI-Anwendungen gesetzlich verpflichtet sind, ein hohes Maß an digitaler Selbstbestimmung zu gewährleisten. Dies beinhaltet insbesondere Transparenz bezüglich Zweck, Funktionsweise und Datenquellen von KI-Systemen. Für Schweizer Unternehmen bedeutet dies eine doppelte Herausforderung: Sie müssen ihre KI-Systeme nicht nur an die Anforderungen des DSG anpassen, sondern bei EU-Bezug auch an die Vorgaben des EU AI Act. Eine sorgfältige Analyse und Anpassung ihrer KI-Systeme an beide Regularien ist unerlässlich.

Konkreter Handlungsbedarf und drohende Sanktionen

Das Inkrafttreten der Transparenz- und Kompetenzpflichten des EU AI Act sowie die bestehenden datenschutzrechtlichen Vorgaben stellen für DACH-Unternehmen eine große Herausforderung dar. Viele Unternehmen sind laut eines Bitkom-Studienberichts noch nicht ausreichend vorbereitet. 69 Prozent geben an, Unterstützung bei der Umsetzung des EU AI Act zu benötigen. Dies unterstreicht den dringenden Handlungsbedarf.

Kapitel H empfiehlt folgende konkrete Schritte, um die Compliance sicherzustellen und die Vorteile von KI verantwortungsvoll zu nutzen:

* Bestandsaufnahme aller KI-Tools: Beginnen Sie mit einer strukturierten Inventarisierung aller Software-Tools, die in Ihrem Unternehmen KI-Funktionen enthalten oder nutzen. Dies ist der erste, grundlegende Schritt zu einer wirksamen KI-Governance. Erstellen Sie eine Übersicht über den Einsatzbereich, die Datenquellen und die Verantwortlichkeiten. * Risikobewertung und Datenschutz-Folgenabschätzung (DSFA): Besonders bei der Verarbeitung personenbezogener Daten durch KI-Systeme ist eine DSFA gemäß Art. 35 Abs. 1 DSGVO oft zwingend erforderlich. Hier besteht ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, da KI-Systeme intransparent arbeiten können und potenzielle Datenübertragungen außerhalb der EU dieses Risiko zusätzlich begründen. Analysieren Sie die Risiken von Diskriminierung, Fehlentscheidungen oder Datenlecks. * Governance-Strukturen und Rollenklärung: Definieren Sie interne Prozesse und Verantwortlichkeiten für den Einsatz, die Entwicklung und die Überwachung von KI. Benennen Sie klare Ansprechpartner und etablieren Sie Richtlinien für den Umgang mit KI-Systemen. Eine gute Governance hilft, den Überblick zu behalten und auf neue Anforderungen schnell reagieren zu können. * Schulung und Kompetenzaufbau: Erfüllen Sie die KI-Kompetenzpflicht durch gezielte Weiterbildungsangebote. Qualifizieren Sie Ihre Mitarbeiter für den verantwortungsvollen Umgang mit KI. Dies umfasst nicht nur technische Anwenderschulungen, sondern auch die Vermittlung eines Verständnisses für ethische Aspekte, Datenschutz und die Grenzen der Technologie. Dies ist auch essenziell für ein erfolgreiches Change Management im Kontext der KI-Einführung und fördert die Befähigung statt Abhängigkeit von externen Dienstleistern. * Anbieterprüfung und Vertragsgestaltung: Prüfen Sie, ob die genutzten KI-Anbieter bereits konforme Dokumentationen bereitstellen und Auftragsverarbeitungsverträge (AVV) anbieten, die den Datenschutz gemäß DSGVO und, falls zutreffend, DSG gewährleisten. Stellen Sie sicher, dass Ihre Verträge die Anforderungen des EU AI Act an Transparenz und Datensicherheit widerspiegeln.

Die potenziellen Bußgelder bei Verstößen gegen den EU AI Act sind erheblich und können sogar den Rahmen der DSGVO übersteigen. Bei verbotenen KI-Praktiken drohen Sanktionen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße im Bereich der Hochrisiko-KI können mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes geahndet werden. Diese Strafen unterstreichen die Notwendigkeit, Compliance ernst zu nehmen.

Kritische Einordnung aus Kapitel-H-Sicht

Aus Sicht von Kapitel H ist der EU AI Act ein notwendiger Schritt zur Regulierung einer Schlüsseltechnologie. Wir begrüßen den risikobasierten Ansatz, sehen aber auch die Komplexität der Umsetzung, insbesondere für den Mittelstand. Die Verschiebung der Hochrisiko-Pflichten ist pragmatisch, darf jedoch nicht zu einer falschen Sicherheit führen. Die ab August 2026 geltenden Pflichten zu Transparenz und Kompetenz sind grundlegend und erfordern keine aufwendigen technischen Implementierungen, sondern primär organisatorische und kulturelle Anpassungen. Hier liegt eine Chance für Unternehmen, ihre Belegschaft frühzeitig zu befähigen und nicht erst zu reagieren, wenn strengere Vorschriften drohen. Es geht nicht darum, KI blind zu adoptieren, sondern sie bewusst, sicher und ethisch korrekt in die Geschäftsprozesse zu integrieren. Eine klare Strategie und interne Kompetenz sind hier wichtiger als der blinde Glaube an den neuesten KI-Hype.

Fazit

Das Inkrafttreten der Transparenz- und KI-Kompetenzpflichten des EU AI Act ab August 2026 ist eine hochrelevante Entwicklung für alle DACH-Unternehmen, die KI nutzen oder entwickeln. Ergänzt durch die bestehenden Anforderungen der DSGVO und des Schweizer DSG, besteht ein dringender Bedarf, interne KI-Governance-Strukturen aufzubauen, Mitarbeiter zu schulen und den Einsatz von KI-Systemen datenschutzkonform und transparent zu gestalten. Abwarten ist keine tragfähige Strategie, da die Grundlagen für den verantwortungsvollen KI-Einsatz jetzt gelegt werden müssen. Proaktives Handeln sichert nicht nur die Compliance und minimiert hohe Bußgelder, sondern stärkt auch die Wettbewerbsfähigkeit, das Vertrauen der Kunden und die Innovationsfähigkeit in einer sich schnell entwickelnden KI-Landschaft. Nutzen Sie die verbleibende Zeit, um sich optimal vorzubereiten und KI als Chance zu begreifen, die Ihr Unternehmen nachhaltig voranbringt.