EU AI Act: Was DACH-Unternehmen ab 2. August 2026 beachten müssen

Der EU AI Act ist seit dem 1. August 2024 offiziell in Kraft, doch seine konkreten Auswirkungen auf die Unternehmenspraxis im DACH-Raum werden ab dem 2. August 2026 spürbar. Ab diesem Datum treten zentrale Teile der Verordnung in die verbindliche Anwendung. Dies betrifft insbesondere die Transparenzpflichten nach Artikel 50 und die Klassifizierung von KI-Systemen im Personalbereich als Hochrisiko-Anwendungen. Während einige Fristen für bestimmte komplexe Hochrisiko-Systeme angepasst wurden, sind die genannten Anforderungen von sofortiger Relevanz. Viele Unternehmen im deutschsprachigen Raum sind sich der Dringlichkeit noch nicht bewusst. Diese Lücke birgt erhebliche Risiken, von hohen Bussgeldern bis zu Reputationsschäden. Kapitel H beleuchtet die Fakten und bietet konkrete Handlungsempfehlungen, damit Sie Ihr Unternehmen rechtzeitig auf die neuen Gegebenheiten einstellen können.

Der EU AI Act: Gestufter Anwendungsbeginn mit kritischen Fristen

Die EU hat mit dem AI Act eine weltweit einzigartige Rechtsgrundlage für Künstliche Intelligenz geschaffen. Obwohl das Gesetz bereits seit dem 1. August 2024 gilt, entfaltet es seine volle Wirkung schrittweise. Der 2. August 2026 ist ein wichtiger Stichtag, denn ab diesem Datum werden wesentliche Bestimmungen verbindlich und durchsetzbar. Dazu gehören die Verpflichtungen für Hochrisiko-KI-Systeme gemäss Anhang III und IV, die Transparenzpflichten nach Artikel 50, Konformitätsbewertungen und die CE-Kennzeichnung sowie die Durchsetzungsbefugnisse des KI-Amtes der Europäischen Kommission. Diese gestufte Einführung soll Unternehmen die nötige Zeit geben, um sich anzupassen und komplexe technische Standards zu implementieren.

In der jüngsten Vergangenheit kam es zu einer gewissen Verunsicherung aufgrund des sogenannten "Digital Omnibus"-Pakets. Dieses vom EU-Parlament und Rat verabschiedete Paket verschiebt die Anwendung der *vollständigen* Pflichten für bestimmte Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind, auf Dezember 2027 oder sogar August 2028. Diese Anpassung betrifft primär Systeme, die in sensiblen Bereichen wie kritischer Infrastruktur, Bildung oder eben dem Beschäftigungskontext eingesetzt werden. Die Begründung für diese Fristverschiebung liegt in der Komplexität der technischen Implementierung, die Unternehmen mehr Zeit für die Anpassung anspruchsvoller Standards geben soll.

Es ist jedoch von entscheidender Bedeutung zu verstehen, dass diese Verschiebung nicht für alle Teile des AI Acts gilt. Die Transparenzpflichten nach Artikel 50 des EU AI Act sind von dieser Anpassung nicht betroffen und treten wie ursprünglich geplant am 2. August 2026 in Kraft. Ebenso bleiben bereits geltende Verbote für besonders risikoreiche KI-Anwendungen, wie die Emotionserkennung am Arbeitsplatz, bestehen. Diese Verbote sind seit dem 2. Februar 2025 gültig. Unternehmen sollten daher nicht dem Irrglauben verfallen, die gesamte Regulierung sei verschoben. Die anstehenden Fristen erfordern konkrete Massnahmen.

Transparenzpflichten nach Artikel 50: Direkte Auswirkungen auf Kommunikation und Inhalte

Die Transparenzpflichten sind für eine Vielzahl von Unternehmen im DACH-Raum von unmittelbarer Relevanz, da sie den alltäglichen Einsatz von KI in der Kommunikation betreffen. Unternehmen, die mit Kunden, Mitarbeitenden oder der Öffentlichkeit interagieren, müssen sich auf diese neuen Regeln einstellen. Artikel 50 fordert eine klare Offenlegung, wenn KI-Systeme bestimmte Funktionen übernehmen oder Inhalte generieren. Dies dient dem Vertrauen der Nutzer und der Unterscheidbarkeit von menschlicher und maschineller Interaktion.

* Interaktion mit KI-Systemen (Chatbots): Unternehmen müssen Nutzer explizit darüber informieren, wenn sie mit einem KI-System und nicht mit einem Menschen interagieren. Dies betrifft alle KI-gestützten Chatbots im Kundenservice, Sprachassistenten oder andere automatisierte Kommunikationskanäle. Ob ein Anliegen vom Menschen bearbeitet wird oder eine Maschine nur assistiert, muss klar sein. Selbst in der Schweiz, die kein EU-Mitglied ist, hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) bereits klargestellt, dass die fehlende Offenlegung eines KI-Chatbots nach dem Schweizer Datenschutzgesetz problematisch ist. Dies unterstreicht die Notwendigkeit einer proaktiven Herangehensweise, auch ausserhalb der direkten EU-Jurisdiktion.

* KI-generierte oder -manipulierte Inhalte (Deepfakes): Inhalte wie Texte, Bilder, Videos oder Audio, die von KI erzeugt oder manipuliert wurden und den Eindruck erwecken könnten, echt oder unverändert zu sein, müssen als solche gekennzeichnet werden. Dies umfasst sogenannte Deepfakes, aber auch weniger offensichtliche Fälle. Beispiele hierfür sind KI-generierte Produktbilder in Onlineshops, automatisierte Marketingtexte oder auch manipulierte Audio-Dateien. Wenn beispielsweise KI-Bilder wie echte Mitarbeiterfotos oder reale Szenen wirken, ist eine eindeutige Kennzeichnung erforderlich. Das Ziel ist es, Irreführung zu vermeiden und die Authentizität von Inhalten zu gewährleisten.

* Texte von öffentlichem Interesse: Generiert eine KI Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, wie etwa auf Unternehmenswebsites, in Newslettern oder Pressemitteilungen, muss die KI-Herkunft offengelegt werden. Eine Ausnahme besteht, wenn der Text vor der Veröffentlichung menschlich geprüft, überarbeitet und die Verantwortung dafür von einer Person oder einem Unternehmen übernommen wurde. Dies stellt sicher, dass Unternehmen für die von ihnen verbreiteten Informationen einstehen, unabhängig davon, ob diese ursprünglich von einer KI erstellt wurden. Die Europäische Kommission hat einen "Code of Practice on transparency of AI-generated content" veröffentlicht, der Unternehmen bei der praktischen Umsetzung dieser Regeln unterstützen soll. Dieses Dokument kann als erste Orientierungshilfe dienen.

Hochrisiko-KI im Personalwesen: Spezielle Anforderungen und Fristen

KI-Systeme, die im Beschäftigungskontext eingesetzt werden, sind besonders kritisch zu betrachten. Der AI Act stuft diese als Hochrisiko-KI ein. Dies umfasst Systeme zur Vorauswahl von Bewerbern (z.B. CV-Screening, Matching-Algorithmen), zur Vergabe von Beförderungen, für Kündigungsentscheidungen, zur Aufgaben- oder Leistungsbewertung sowie zur Verhaltensanalyse. Obwohl die Fristen für die vollständige Einhaltung der Hochrisiko-Pflichten wie umfassendes Risikomanagement, Daten- und Datenverwaltung oder technische Dokumentation auf Dezember 2027 verschoben wurden, gelten bereits andere wesentliche Aspekte, die Unternehmen jetzt angehen müssen.

* KI-Schulungspflicht ("AI literacy"): Die Pflicht zur Vermittlung von grundlegenden KI-Kompetenzen für Mitarbeiter gilt bereits seit dem 2. Februar 2025 für *alle* Unternehmen, ohne Ausnahme. Diese "AI literacy" ist fundamental, damit Mitarbeiterinnen und Mitarbeiter die Funktionsweise, Potenziale und Grenzen von KI-Systemen verstehen und verantwortungsbewusst damit umgehen können. Es geht darum, die Befähigung der Mitarbeitenden zu stärken und keine blinde Abhängigkeit von der Technologie zu schaffen.

* Grundrechte-Folgenabschätzung (FRIA): Ab dem 2. August 2026 ist eine Grundrechte-Folgenabschätzung nach Artikel 27 AI Act für alle Arbeitgeber Pflicht, die Hochrisiko-KI-Systeme im Bereich Beschäftigung und Personalmanagement einsetzen. Diese Analyse dient dazu, potenzielle Risiken für die Grundrechte von Arbeitnehmern, wie Diskriminierung, Verletzung der Privatsphäre oder unverhältnismässige Überwachung, zu identifizieren und zu minimieren. Dies betrifft insbesondere sensible personenbezogene Daten und Entscheidungen, die weitreichende Konsequenzen für das Berufsleben von Personen haben können.

* Verbote: Es ist wichtig zu beachten, dass bestimmte besonders invasive KI-Anwendungen im Personalbereich bereits seit dem 2. Februar 2025 verboten sind. Dazu gehören Systeme zur Emotionserkennung am Arbeitsplatz. Solche Technologien gelten als unverhältnismässig und potenziell diskriminierend und dürfen nicht eingesetzt werden.

Eine Studie des DXC Digital Future Monitor 2026 verdeutlicht einen bestehenden Widerspruch in den Unternehmen: 80 Prozent der DACH-Unternehmen wünschen sich menschliche Kontrolle über neue KI-Prozesse, gleichzeitig gehen aber 58 Prozent davon aus, dass KI-Systeme künftig wichtige Geschäftsentscheidungen selbstständig treffen werden. Dieser Befund unterstreicht den dringenden Bedarf an klarer Governance und Regulierung, um eine verantwortungsvolle und ethische Nutzung von KI sicherzustellen.

Reichweite und Herausforderungen für den DACH-Mittelstand

Die Auswirkungen des EU AI Act sind im gesamten DACH-Raum spürbar und stellen insbesondere den Mittelstand vor erhebliche Herausforderungen.

* Deutschland und Österreich: Als EU-Mitgliedstaaten sind Unternehmen hier direkt und umfassend vom EU AI Act betroffen. Die Rechtsakte der EU gelten unmittelbar oder müssen in nationales Recht umgesetzt werden. Viele Unternehmen sind jedoch noch nicht ausreichend vorbereitet. Laut Anwalt.de sind die meisten deutschen Unternehmen noch nicht compliant, obwohl bis zum 2. August 2026 wesentliche Teile des AI Acts bindend werden. Dies zeigt eine gefährliche Lücke zwischen den regulatorischen Anforderungen und der aktuellen Unternehmenspraxis.

* Schweiz: Obwohl die Schweiz kein EU-Mitglied ist, entfaltet der EU AI Act eine sogenannte extraterritoriale Wirkung. Schweizer Unternehmen fallen unter die Verordnung, sobald sie KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen oder deren Ergebnisse in der EU genutzt werden. Dies betrifft nahezu jedes Schweizer Unternehmen, das digitale Produkte oder Dienstleistungen in den EU-Raum exportiert oder dort Niederlassungen unterhält. Ein eigenes Schweizer KI-Gesetz ist zwar in Arbeit, erste Vorschläge werden jedoch erst Ende 2026 erwartet. Es wird ein Hybridansatz aus Konvention und sektorspezifischen Massnahmen verfolgt. Für Schweizer Unternehmen wird dringend empfohlen, den AI Act bereits heute als De-facto-Standard zu behandeln, um zukünftige Kompatibilität und Rechtssicherheit zu gewährleisten.

* Mittelstand: KMU sind besonders gefordert. Viele nutzen bereits KI-Tools wie ChatGPT oder Copilot, oft ohne sich der regulatorischen Tragweite bewusst zu sein. Der AI Act unterscheidet nicht nach Unternehmensgrösse, sondern nach Rolle und Risiko des KI-Systems. Das bedeutet, auch kleinere Unternehmen müssen die Anforderungen erfüllen, wenn sie Hochrisiko-KI einsetzen oder entsprechende Transparenzpflichten betreffen. Die Compliance-Kosten für grosse Unternehmen können zwischen 8 und 15 Millionen US-Dollar liegen, wobei Drittzertifizierungen über 50.000 US-Dollar pro KI-System kosten können. Auch wenn diese Zahlen den Mittelstand nicht direkt betreffen, verdeutlichen sie den Ressourcenaufwand, der für eine umfassende Compliance erforderlich ist. KMU müssen pragmatische, aber wirksame Lösungen finden.

Konsequenzen bei Nichteinhaltung

Die Nichtbeachtung des EU AI Act kann für Unternehmen schwerwiegende finanzielle und rechtliche Folgen haben. Die Bussgelder, die bei Verstössen verhängt werden können, sind empfindlich und übertreffen in ihrer Höhe sogar die maximalen Bussgelder der Datenschutz-Grundverordnung (DSGVO).

Maximal drohen Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken. Bei Verstössen gegen Hochrisiko-Bestimmungen können Bussgelder von bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes fällig werden. Diese potenziellen Strafen unterstreichen die Notwendigkeit, die Anforderungen des AI Acts ernst zu nehmen und entsprechende Compliance-Massnahmen umgehend einzuleiten. Neben den direkten finanziellen Auswirkungen können Nichteinhaltungen auch zu erheblichen Reputationsschäden und dem Verlust des Kundenvertrauens führen.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Angesichts der bevorstehenden Frist vom 2. August 2026 sollten DACH-Unternehmen folgende Schritte dringend umsetzen, um Compliance sicherzustellen und Risiken zu minimieren:

1. KI-Inventar erstellen: Beginnen Sie mit einer vollständigen und detaillierten Bestandsaufnahme aller in Ihrem Unternehmen eingesetzten KI-Systeme und ihrer spezifischen Anwendungsfälle. Dies umfasst sowohl interne Entwicklungen als auch zugekaufte oder genutzte externe Tools wie Chatbots oder Analyse-Software. Dokumentieren Sie Art, Zweck und Funktionsweise jedes Systems. 2. Risikoklassifizierung vornehmen: Ordnen Sie die identifizierten KI-Systeme in die Risikoklassen des AI Act ein: verboten, hoch, begrenzt oder minimales Risiko. Diese Klassifizierung ist entscheidend für die Ableitung der jeweils anwendbaren Pflichten. Konsultieren Sie hierfür bei Bedarf Rechtsexperten. 3. Transparenzpflichten umsetzen: Stellen Sie sicher, dass bei jeder Interaktion mit einem KI-System (z.B. Chatbots im Kundenservice) ein klarer und unmissverständlicher Hinweis erfolgt, dass es sich um eine Maschine handelt. Kennzeichnen Sie alle KI-generierten oder -manipulierten Inhalte (Texte, Bilder, Videos) explizit als solche, insbesondere wenn sie den Eindruck erwecken könnten, authentisch zu sein. 4. KI-Schulungen implementieren: Erfüllen Sie die seit Februar 2025 bestehende Pflicht zur Vermittlung von KI-Kompetenzen ("AI literacy") an Ihre Mitarbeiter. Entwickeln Sie Schulungsprogramme, die das Verständnis für KI-Technologien, ihre Anwendungsgrenzen und die neuen regulatorischen Anforderungen fördern. Dokumentieren Sie die Durchführung dieser Schulungen umfassend. 5. Governance-Strukturen aufbauen: Definieren Sie klare Verantwortlichkeiten für den Einsatz und die Überwachung von KI im Unternehmen. Etablieren Sie Qualitätskontrollen und transparente Kommunikationswege zwischen Fachbereichen, IT und Compliance. Eine robuste Governance-Struktur ist die Basis für einen verantwortungsvollen KI-Einsatz. 6. Grundrechte-Folgenabschätzung durchführen: Für Hochrisiko-KI-Systeme, die im Personalbereich eingesetzt werden, ist die Durchführung einer Grundrechte-Folgenabschätzung (FRIA) ab dem 2. August 2026 verpflichtend. Identifizieren und bewerten Sie potenzielle Risiken für die Grundrechte der betroffenen Personen und entwickeln Sie Massnahmen zu deren Minderung.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuelle Debatte um Künstliche Intelligenz ist oft von überzogenen Erwartungen und einem starken Hype geprägt. Schlagworte wie "Generative KI" oder "Künstliche Allgemeine Intelligenz" dominieren die öffentliche Wahrnehmung und lenken gelegentlich von den konkreten, pragmatischen Herausforderungen ab. Der EU AI Act bringt hier eine dringend benötigte Dosis Realität und Verbindlichkeit in die Unternehmenswelt. Die Verschiebung einiger Hochrisiko-Fristen, verursacht durch das "Digital Omnibus"-Paket, mag auf den ersten Blick als Erleichterung erscheinen. Diese scheinbare Atempause darf jedoch nicht dazu führen, die anderen, *unmittelbar wirksamen* Pflichten zu unterschätzen.

Gerade die Transparenzanforderungen nach Artikel 50 sind grundlegend für das Vertrauen der Nutzer und können bei Nichteinhaltung nicht nur zu hohen Bussgeldern, sondern auch zu erheblichen Reputationsschäden führen. Ein Unternehmen, das bei der Nutzung von KI-Chatbots nicht transparent agiert oder KI-generierte Inhalte nicht kennzeichnet, riskiert schnell den Vorwurf der Irreführung. Solche Vorwürfe untergraben das Vertrauen, das mühsam aufgebaut wurde.

Die Zahlen zur aktuellen Unternehmensbereitschaft sind alarmierend: Studien zeigen, dass bis April 2026 78 % der Organisationen keine bedeutsamen Compliance-Schritte unternommen haben. Über 50 % verfügen nicht einmal über ein grundlegendes KI-Inventar. Dies unterstreicht die Dringlichkeit, den Fokus von der reinen Technologiebegeisterung auf die verantwortungsvolle und rechtskonforme Implementierung zu lenken. Der 2. August 2026 ist kein weiterer Hype-Termin, der unverbindlich bleibt. Es ist ein harter Stichtag mit konkreten und durchsetzbaren Regeln, die die Arbeitswelt in Deutschland, Österreich und der Schweiz direkt betreffen. Es geht nicht darum, KI zu verteufeln, sondern darum, sie zu befähigen, den Menschen verantwortungsbewusst zu dienen, anstatt Abhängigkeiten zu schaffen. Unternehmen, die jetzt handeln, sichern sich nicht nur rechtlich ab, sondern stärken auch das Vertrauen ihrer Kunden und Mitarbeiter in ihre digitale Transformation. Die Zeit zum Handeln ist jetzt.

Fazit: Jetzt handeln für eine rechtskonforme und vertrauenswürdige KI-Zukunft

Der EU AI Act ist mehr als nur ein Gesetz, er ist ein Leitplanken für die Zukunft der KI-Nutzung in Unternehmen. Insbesondere der 2. August 2026 markiert einen kritischen Zeitpunkt, an dem wichtige Transparenzpflichten und spezielle Anforderungen für Hochrisiko-KI im Personalwesen verbindlich werden. Für DACH-Unternehmen, ob in der EU oder in der Schweiz, bedeutet dies, die eigene KI-Strategie und -Nutzung kritisch zu hinterfragen und anzupassen. Die Verschiebung einiger Fristen sollte nicht zu Passivität verleiten, sondern als wertvolle Zeit genutzt werden, um die Grundlagen für eine rechtskonforme KI-Nutzung zu legen.

Unternehmen, die jetzt proaktiv ein KI-Inventar erstellen, Risiken bewerten, Transparenzpflichten umsetzen, Mitarbeiter schulen und klare Governance-Strukturen schaffen, sichern sich nicht nur gegen hohe Bussgelder ab. Sie stärken auch das Vertrauen ihrer Kunden und Mitarbeiter, fördern eine ethische Unternehmenskultur und positionieren sich als verantwortungsbewusste Akteure im digitalen Wandel. Nutzen Sie die verbleibende Zeit, um Befähigung statt Abhängigkeit zu schaffen und Ihr Unternehmen auf eine vertrauenswürdige KI-Zukunft vorzubereiten. Zögern Sie nicht, denn der 2. August 2026 ist näher, als viele glauben.