EU AI Act und Datenresidenz: Was DACH-Unternehmen jetzt wissen müssen

Die Einführung und schrittweise Umsetzung des EU AI Act markiert eine wegweisende Entwicklung für die Arbeitswelt von Unternehmen im deutschsprachigen Raum. Dieses weltweit erste umfassende Regelwerk für künstliche Intelligenz definiert neue Standards für den verantwortungsvollen Einsatz von KI und stellt Betriebe vor die Notwendigkeit, ihre Strategien und Prozesse anzupassen. Aktuelle Meldungen, insbesondere die Ausweitung der Datenresidenz für ChatGPT Business-Kunden auf Europa durch OpenAI, zeigen eine direkte Reaktion des Marktes auf die strengeren Datenschutz- und Souveränitätsanforderungen des AI Act. Diese Entwicklung ist eine erhebliche Erleichterung, besonders für kleine und mittlere Unternehmen (KMU) im DACH-Raum, da sie den produktiven Einsatz von KI-Lösungen ermöglicht, ohne interne Vorgaben zum Datenstandort oder Compliance-Anforderungen zu verletzen. Für eine erfolgreiche KI-Adoption ist es entscheidend, die regulatorischen Rahmenbedingungen nicht als Hürde, sondern als Leitplanke zu verstehen, die Vertrauen schafft und den Weg für nachhaltige Innovation ebnet.

Der EU AI Act: Ein risikobasiertes Regelwerk für den DACH-Raum

Der EU AI Act, dessen erste Bestimmungen bereits am 1. August 2024 in Kraft traten, etabliert ein regulatorisches Fundament, das darauf abzielt, Vertrauen in künstliche Intelligenz zu stärken und gleichzeitig Innovationen zu fördern. Sein Kernprinzip ist ein risikobasiertes Modell. Das bedeutet, die Anforderungen an ein KI-System variieren je nach dem potenziellen Risiko, das es für Sicherheit, Gesundheit oder Grundrechte darstellt. Systeme mit inakzeptablem Risiko sind verboten, Hochrisiko-Systeme unterliegen strengen Auflagen, und alle anderen Systeme müssen grundlegende Transparenzanforderungen erfüllen.

Für Unternehmen im DACH-Raum, insbesondere auch in der Schweiz, die kein EU-Mitglied ist, hat der AI Act eine weitreichende extraterritoriale Wirkung. Schweizer Unternehmen sind betroffen, sobald sie KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen. Dies gilt auch, wenn die Ergebnisse ihrer KI-Systeme in der EU verwendet werden. Praktisch jedes Schweizer Unternehmen, das digitale Produkte, Dienstleistungen oder Software-Lösungen in den EU-Raum exportiert oder dort Niederlassungen unterhält, muss sich mit den Bestimmungen des AI Act auseinandersetzen. Eine isolierte Betrachtung nationaler Regelwerke greift hier zu kurz. Die Komplexität steigt zudem, da der AI Act in einigen Bereichen auf bestehende Regelwerke wie die Datenschutz-Grundverordnung (DSGVO) aufbaut und diese ergänzt, anstatt sie zu ersetzen. Unternehmen müssen daher eine kohärente Compliance-Strategie entwickeln, die alle relevanten Vorschriften berücksichtigt.

Kritische Fristen und deren Implikationen für die Unternehmenspraxis

Der Zeitplan für die vollständige Anwendung des EU AI Act ist gestaffelt, was Unternehmen die Möglichkeit gibt, sich schrittweise anzupassen. Jedoch erfordern die bereits in Kraft getretenen oder unmittelbar bevorstehenden Fristen proaktives Handeln und eine genaue Kenntnis der jeweiligen Verpflichtungen:

* 2. Februar 2025: Bereits in Kraft getreten sind Verbote für inakzeptable KI-Risiken. Dazu gehören Systeme zur sozialen Bewertung, die sogenannten Social Scoring Systeme, oder biometrische Kategorisierungen basierend auf sensiblen Merkmalen. Diese direkten Verbote haben weitreichende Auswirkungen auf die Entwicklung und den Einsatz bestimmter KI-Anwendungen, die potenziell grundlegende Freiheiten und Menschenrechte verletzen könnten. Unternehmen müssen sicherstellen, dass sie keine solchen Systeme entwickeln, vertreiben oder nutzen.

* 2. August 2025: Ebenfalls bereits in Kraft getreten sind die Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI), also sogenannte Foundation Models wie GPT, Gemini oder Claude. Diese umfassen unter anderem Transparenzpflichten und Anforderungen an die technische Dokumentation. Unternehmen, die solche Modelle entwickeln oder als Basis für eigene Anwendungen nutzen, müssen diese Vorgaben einhalten. Dies sichert eine grundlegende Nachvollziehbarkeit und Verantwortlichkeit in der KI-Wertschöpfungskette.

* 2. August 2026: Ab diesem Datum wird der AI Act allgemein anwendbar. Dies beinhaltet auch die Transparenzpflichten nach Artikel 50. Konkret bedeutet dies, dass ab diesem Zeitpunkt die Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten verpflichtend wird. Unternehmen, die Chatbots im Kundenservice einsetzen, automatisierte E-Mails versenden oder KI-generierte Produktbeschreibungen oder Marketingtexte veröffentlichen, müssen dies eindeutig kenntlich machen. Dies dient der Schaffung von Transparenz und der Vermeidung von Täuschungen gegenüber Nutzern und Konsumenten.

* 2. Dezember 2027: Die Hauptfrist für Hochrisiko-KI-Systeme nach Anhang III, beispielsweise im Personalwesen (algorithmische Recruiting-Software, automatische Lebenslauf-Scans) oder in kritischen Infrastrukturen, wurde durch den Digital Omnibus von August 2026 auf dieses Datum verschoben. Für diese Systeme gelten zukünftig strenge Anforderungen an die technische Dokumentation, die Durchführung einer Konformitätsbewertung, die Registrierung in der EU-Datenbank, die Sicherstellung menschlicher Aufsicht und eine laufende Überwachung. Trotz dieses Aufschubs ist es wichtig zu beachten, dass die Regelungen der DSGVO zu automatisierten Einzelentscheidungen unverändert sofort gültig bleiben und somit weiterhin sofortiges Handeln erfordern, wenn KI-Systeme solche Entscheidungen treffen. Diese gestaffelten Fristen erfordern eine sorgfältige Planung und Ressourcenallokation, um die Compliance in allen relevanten Geschäftsbereichen sicherzustellen.

Datenhoheit und Compliance: Die Rolle der europäischen Datenresidenz

Eine der grössten Herausforderungen für DACH-Unternehmen beim Einsatz von KI, insbesondere bei cloudbasierten Lösungen, war und ist die Datensouveränität und Compliance. Viele interne Richtlinien, aber auch gesetzliche Vorgaben, fordern eine Speicherung von Unternehmensdaten innerhalb Europas oder sogar spezifisch in der Schweiz oder Deutschland. Dies war oft ein erhebliches Hindernis für die Nutzung leistungsfähiger KI-Lösungen von globalen Anbietern.

Die jüngste Ankündigung von OpenAI, die Datenresidenz für ChatGPT Business-Kunden auf Europa auszuweiten, ist eine direkte und willkommene Antwort auf diese Herausforderung. Diese Funktion ermöglicht es Unternehmen, sicherzustellen, dass ihre Daten, die im Rahmen der Nutzung von ChatGPT Business verarbeitet werden, ausschliesslich auf europäischen Servern gespeichert bleiben. Johannes Foertsch, Leiter Mittelstand bei OpenAI DACH, betont zu Recht, dass diese Funktion Unternehmen mehr Kontrolle und Wahlfreiheit bei der Datenspeicherung gibt. Dies erleichtert den produktiven KI-Einsatz erheblich, da Compliance-Bedenken hinsichtlich des Datenstandorts nun adressiert werden können. KMU, die bisher aufgrund von Datenschutzbedenken oder mangelnder Datenhoheit auf den Einsatz von fortschrittlichen Sprachmodellen verzichten mussten, erhalten damit eine entscheidende Türöffnung. Es ermöglicht ihnen, die Potenziale dieser Technologien zu nutzen, ohne dabei gegen interne oder externe Vorgaben zu verstossen. Solche Entwicklungen sind essenziell, um die Akzeptanz und breite Anwendung von KI-Technologien im Mittelstand voranzutreiben und das Vertrauen in diese Werkzeuge zu stärken. Eine solche Datenlokalisierung reduziert nicht nur rechtliche Risiken, sondern auch die Komplexität bei der Implementierung und Betrieb von KI-Systemen, was für KMU mit begrenzten Compliance-Ressourcen von grossem Vorteil ist.

Akzeptanz und Sicherheit: Erfolgsfaktoren für KI-Projekte

Neben den regulatorischen und technischen Aspekten sind zwei weitere Faktoren entscheidend für den Erfolg von KI-Implementierungen: die Akzeptanz durch die Mitarbeiter und die Sicherheit der KI-Systeme. Studien zeigen, dass der Übergang von der Experimentierphase zum produktiven Echtbetrieb von KI in vielen Betrieben stagniert. Lediglich 27 Prozent der Firmen haben den produktiven Echtbetrieb in einzelnen Geschäftsbereichen etabliert, während eine unternehmensweite Vollausrollung bei nur vier Prozent Realität ist. Ein Hauptgrund hierfür ist oft nicht die Technologie selbst, sondern menschliche Faktoren.

Das sogenannte Change Management und die Akzeptanz von KI am Arbeitsplatz stellen ein grosses Feld dar. Rund 45 Prozent der CEOs berichten von Mitarbeiterwiderständen gegen KI, und alarmierende 31 Prozent der Mitarbeiter sabotieren aktiv die KI-Strategie ihres Unternehmens. Die Gründe hierfür sind vielfältig. Sie reichen von der Angst vor Jobverlust und Überforderung bis hin zu fehlender Kommunikation und mangelnden Schulungen. Erfolgreiches Change Management bei der KI-Einführung ist daher kein „weiches Zusatzthema“, sondern ein entscheidender Erfolgsfaktor. Es geht darum, Widerstände in Begeisterung zu verwandeln und das volle Potenzial von KI auszuschöpfen. Dies beinhaltet eine klare und transparente Kommunikation über die Ziele und Auswirkungen der KI, umfassende Schulungen und Weiterbildungsmöglichkeiten für die Mitarbeiter sowie die frühzeitige Einbindung der Belegschaft in den Einführungsprozess, um deren Perspektiven und Bedenken aufzugreifen und zu adressieren.

Auch die KI-Sicherheit und die Notwendigkeit einer robusten Cyberabwehr rücken durch den verstärkten Einsatz von KI in den Fokus. Die Gründung des AI Safety and Security Institute (AISI) Deutschland am 31. August 2026 zeigt die wachsende Bedeutung dieses Themas auf nationaler Ebene. Fortschrittliche KI-Modelle können Schwachstellen im Code erstaunlich zuverlässig erkennen und Angriffspfade ableiten, was Unternehmen nur noch wenige Monate Zeit lässt, sich darauf vorzubereiten. Eine wirksame Cyberabwehr erfordert ein Zusammenspiel mehrerer ineinandergreifender Massnahmen, von technischer Absicherung bis hin zu Awareness-Schulungen für Mitarbeiter. Unternehmen müssen proaktiv Risikobewertungen durchführen, Sicherheitskonzepte entwickeln und implementieren, und eine kontinuierliche Überwachung ihrer KI-Systeme gewährleisten, um potenzielle Bedrohungen frühzeitig zu erkennen und abzuwehren. Die Integration von KI in kritische Geschäftsprozesse erfordert eine Sicherheitsarchitektur, die den neuesten Bedrohungsszenarien standhält und das Vertrauen in die Zuverlässigkeit der Systeme gewährleistet.

Praktische Handlungsempfehlungen für Unternehmen

Um den Herausforderungen des EU AI Act und der effektiven KI-Einführung zu begegnen, sollten DACH-Unternehmen eine klare und pragmatische Strategie verfolgen. Dies erfordert mehr als nur punktuelle Anpassungen, es bedarf einer ganzheitlichen Betrachtung der Unternehmensstruktur und -kultur.

1. Evaluieren Sie Ihre bestehenden und geplanten KI-Systeme: Erstellen Sie ein Inventar aller KI-Anwendungen in Ihrem Unternehmen. Klassifizieren Sie diese nach dem Risikomodell des EU AI Act (inakzeptabel, hochriskant, begrenzt riskant, minimal riskant). Priorisieren Sie die Systeme mit den höchsten Risikoklassen, da diese die dringendsten Anpassungen erfordern. Überprüfen Sie auch die Herkunft der Daten und der Modelle, um die Compliance bezüglich Datenresidenz sicherzustellen.

2. Entwickeln Sie eine umfassende Compliance-Strategie: Erarbeiten Sie Richtlinien und Prozesse, um die Anforderungen des AI Act und der DSGVO zu erfüllen. Dies umfasst technische Dokumentation, Konformitätsbewertungsverfahren, Mechanismen zur menschlichen Aufsicht bei Hochrisiko-Systemen und die Implementierung von Transparenzpflichten, wie die Kennzeichnung von KI-generierten Inhalten. Eine solche Strategie sollte alle relevanten Abteilungen, von der IT über die Rechtsabteilung bis zum Personalwesen, einbinden.

3. Priorisieren Sie Change Management und Mitarbeiterschulungen: Planen Sie umfassende Informationskampagnen und Schulungen zur Sensibilisierung und Befähigung Ihrer Mitarbeiter im Umgang mit KI. Kommunizieren Sie die Vorteile der KI transparent und adressieren Sie Ängste proaktiv. Bieten Sie praktische Workshops an, in denen Mitarbeiter den sicheren und effektiven Einsatz von KI-Tools erlernen. Eine frühzeitige Einbindung und das Schaffen von Expertise im eigenen Haus minimiert Widerstände und fördert die Akzeptanz.

4. Stärken Sie Ihre KI-Sicherheit und Cyberabwehr: Integrieren Sie KI-spezifische Sicherheitsmassnahmen in Ihre bestehende Cyberabwehrstrategie. Führen Sie regelmässige Sicherheitsaudits und Penetrationstests für Ihre KI-Systeme durch. Schulen Sie Ihre Mitarbeiter bezüglich potenzieller KI-spezifischer Bedrohungen wie Prompt Injections oder Datenlecks. Der Schutz von KI-Systemen muss ein integraler Bestandteil Ihrer IT-Sicherheit sein, nicht nur ein nachträglicher Zusatz.

5. Bauen Sie interne „KI-Literacy“ auf: Investieren Sie in die Weiterbildung Ihrer Mitarbeiter, um ein grundlegendes Verständnis für KI-Technologien und deren Funktionsweise im gesamten Unternehmen zu schaffen. Dies befähigt Ihre Teams nicht nur, KI-Tools effektiver zu nutzen, sondern auch potenzielle Risiken besser einzuschätzen und innovative Anwendungsmöglichkeiten zu identifizieren. Ziel ist es, Abhängigkeiten von externen Beratern zu reduzieren und die interne Innovationskraft zu stärken.

Kritische Einordnung aus Kapitel-H-Sicht

Die fortschreitende Konkretisierung der EU AI Act-Anforderungen und die damit verbundenen Anpassungen der Anbieterseite, wie OpenAIs europäische Datenresidenz, sind keine isolierten technischen Entwicklungen. Sie sind vielmehr ein klares Signal für die Notwendigkeit, dass Unternehmen im DACH-Raum ihre KI-Strategien proaktiv und umfassend gestalten müssen. Bei Kapitel H sehen wir den EU AI Act nicht als bremsenden Faktor, sondern als einen notwendigen und sinnvollen Rahmen, der die Grundlagen für vertrauenswürdige und sichere KI-Anwendungen schafft. Der Hype um künstliche Intelligenz ist gross, doch der tatsächliche Wert entsteht erst in der realen, verantwortungsvollen Anwendung. Pragmatismus und Datengrundlage sind hier entscheidender als blinder Enthusiasmus.

Die Fähigkeit, Daten souverän in Europa zu halten, beseitigt eine zentrale Hürde für KMU, die bisher oft zwischen Innovationspotenzial und Compliance-Risiken abwägen mussten. Dies ist ein konkreter Schritt in Richtung Befähigung statt Abhängigkeit. Unternehmen werden dazu ermutigt, ihre eigenen KI-Kompetenzen aufzubauen und nicht einfach externe Lösungen unreflektiert zu übernehmen. Dies umfasst den Aufbau einer internen „KI-Literacy“, die Dokumentation von KI-Einsatzbereichen und Schulungsmassnahmen sowie die Etablierung von Governance-Strukturen.

Es ist eine realistische Einschätzung, dass die Umsetzung des AI Act Ressourcen bindet. Doch die Investition in Compliance, Mitarbeiterakzeptanz und Sicherheit ist eine Investition in die zukünftigkeit und Wettbewerbsfähigkeit. Die Vision, dass KI