EU AI Act und Datenschutz: Neue Pflichten für DACH-Unternehmen ab 2026

Der Einsatz Künstlicher Intelligenz (KI) in Unternehmen ist seit geraumer Zeit ein zentrales Thema. Während viele Diskussionen sich auf technologische Möglichkeiten und Effizienzsteigerungen konzentrierten, rückt nun immer stärker die regulatorische Seite in den Vordergrund. Insbesondere der EU AI Act, das weltweit erste umfassende Gesetz zur Regulierung von KI, stellt DACH-Unternehmen vor unmittelbare und zukünftige Herausforderungen. Seit dem 1. August 2024 ist das Gesetz schrittweise in Kraft getreten, und einige der wichtigsten Pflichten werden bereits ab August 2026 spürbar. Gleichzeitig intensiviert sich die Debatte um die Nutzung personenbezogener Daten für das KI-Training, die weitreichende Implikationen für die Datenstrategie von Unternehmen hat.

Dieser Artikel beleuchtet die aktuellen Entwicklungen und zeigt auf, welche konkreten Schritte DACH-Unternehmen jetzt unternehmen müssen, um nicht nur rechtlich compliant zu sein, sondern auch Vertrauen bei Kunden und Mitarbeitenden zu schaffen. Es geht darum, KI verantwortungsvoll und strategisch einzusetzen, statt dem Hype blind zu folgen. KAPITEL H unterstützt Sie dabei, diese komplexen Anforderungen pragmatisch zu meistern und aus Compliance einen Wettbewerbsvorteil zu generieren.

Transparenzpflichten ab August 2026: Klare Regeln für KI-Inhalte

Eine der unmittelbar relevantesten Neuerungen für den Arbeitsalltag im DACH-Raum sind die Transparenzpflichten nach Artikel 50 des EU AI Act, welche am 2. August 2026 in Kraft treten. Diese Vorschriften sind weitreichend und betreffen alle KI-Systeme, die direkt mit Menschen interagieren oder Inhalte für sie generieren. Konkret bedeutet dies eine doppelte Anforderung an Unternehmen: Einerseits müssen Anwender von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen konzipiert sind, ihre Nutzer aktiv darüber informieren, dass sie mit einer KI interagieren. Dies betrifft beispielsweise Chatbots im Kundenservice, virtuelle Assistenten oder automatisierte Empfehlungssysteme. Die Offenlegung muss klar und verständlich erfolgen.

Noch entscheidender ist die Pflicht zur Kennzeichnung von KI-generierten Inhalten. Synthetische Audio-, Bild-, Video- oder Textinhalte, die von KI erzeugt oder wesentlich verändert wurden, müssen maschinenlesbar gekennzeichnet und als künstlich erstellt oder manipuliert erkennbar gemacht werden. Dies gilt für alle Inhalte, die in der Öffentlichkeit verbreitet werden oder relevant sind. Stellen Sie sich vor, Ihr Marketingteam nutzt generative KI wie ChatGPT, Microsoft Copilot oder Claude, um Blogartikel, Social-Media-Posts oder Produktbeschreibungen zu erstellen. Oder Ihre interne Kommunikation verwendet KI zur Zusammenfassung von Berichten. All diese Inhalte müssen künftig klar als KI-generiert erkennbar sein.

Die IHK München hat bereits darauf hingewiesen, dass diese neuen Transparenzpflichten eine sorgfältige Prüfung der eigenen KI-Nutzung erfordern. Unternehmen müssen sich frühzeitig mit den komplexen Anforderungen auseinandersetzen, um interne Richtlinien zu entwickeln und technische Lösungen zu implementieren. Die manuelle Kennzeichnung ist in vielen Fällen nicht skalierbar, weshalb automatisierte Prozesse und Tools notwendig werden. Andernfalls drohen nicht nur empfindliche Reputationsschäden, sondern auch erhebliche Bußgelder. Ein Unternehmen, das beispielsweise unkenntlich gemachte KI-Werbeinhalte verbreitet, riskiert nicht nur das Vertrauen seiner Kunden, sondern auch die Aufmerksamkeit der Aufsichtsbehörden. Pragmatische Umsetzung bedeutet hier, die eigenen Workflows und Tools zu analysieren und entsprechende Anpassungen vorzunehmen, bevor die Frist abläuft.

Hochrisiko-KI: Den Vorsprung nutzen statt warten

Auch wenn die umfassendsten Pflichten für Hochrisiko-KI-Systeme erst zu späteren Zeitpunkten, teilweise bis Dezember 2027 oder August 2028, greifen, ist es ein Trugschluss zu glauben, Unternehmen hätten noch ausreichend Zeit. Die Identifizierung und Vorbereitung auf die Regulierung von Hochrisiko-KI-Systemen sollte bereits jetzt höchste Priorität haben. KI-Systeme fallen in die Kategorie Hochrisiko, wenn sie ein hohes Potenzial für Schäden an Gesundheit, Sicherheit oder Grundrechten von Personen aufweisen. Dies betrifft eine überraschend grosse Anzahl von Anwendungsfällen im DACH-Raum.

Besonders betroffen ist der Bereich Human Resources (HR). KI-Systeme, die für das Kandidatenscreening, die Leistungsbewertung von Mitarbeitenden, Beförderungsentscheidungen oder sogar im Rahmen von Kündigungsverfahren eingesetzt werden, gelten als Hochrisiko-KI. Stellen Sie sich vor, ein KI-gestütztes Tool sortiert automatisch Bewerbungen nach bestimmten Kriterien oder schlägt Mitarbeitenden Weiterbildungspfade vor. Diese Systeme haben direkten Einfluss auf Karrierechancen und Lebensperspektiven. Weitere Beispiele finden sich in der Kreditwürdigkeitsprüfung, der Verwaltung kritischer Infrastrukturen oder in der biometrischen Identifikation. Für Unternehmen, die solche Tools nutzen oder entwickeln, bedeutet dies, sich auf strengere technische, sicherheitsrelevante und organisatorische Pflichten einzustellen.

Die Verschiebung der Fristen sollte nicht als Einladung zum Abwarten verstanden werden, sondern als verlängerte Vorbereitungszeit. Unternehmen müssen diese Zeit nutzen, um Compliance-Strukturen, Risikomanagementprozesse und die notwendige technische Dokumentation entsprechend den Anforderungen des EU AI Act aufzubauen. Dazu gehören detaillierte Risikobewertungen, die Implementierung von Qualitätsmanagementsystemen, die Gewährleistung von Datensicherheit und -genauigkeit, die Schaffung von menschlicher Aufsicht sowie die Einhaltung strenger Transparenzpflichten gegenüber den betroffenen Personen. Wer jetzt proaktiv handelt, kann nicht nur künftigen Problemen vorbeugen, sondern sich auch einen strategischen Vorteil sichern. Abwarten führt in diesem Fall unweigerlich zu operativem Druck und potenziellen Sanktionen, wenn die Fristen dann endgültig erreicht sind.

Die Schweizer Sonderrolle: DSG als KI-Leitplanke, EU AI Act als Realitaet

Für Schweizer Unternehmen gestaltet sich die Situation durch das Zusammenspiel des eidgenössischen Datenschutzgesetzes (DSG) und der extraterritorialen Wirkung des EU AI Act besonders komplex. Seit September 2023 ist das revidierte DSG in Kraft, welches zwar technologieneutral formuliert ist, aber dennoch umfassende Anforderungen an die Bearbeitung personenbezogener Daten stellt, unabhängig davon, ob KI zum Einsatz kommt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt, dass die Bearbeitungsgrundsätze wie Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit stets eingehalten werden müssen. Für Schweizer Unternehmen, die KI-Anwendungen mit personenbezogenen Daten entwickeln oder nutzen, bedeutet dies eine sofortige Compliance-Pflicht unter dem DSG.

Gleichzeitig kann der EU AI Act auch Schweizer Unternehmen erfassen. Dies geschieht, wenn sie KI-Systeme in der Europäischen Union anbieten, betreiben oder wenn die Ergebnisse ihrer KI-Systeme Auswirkungen auf Personen innerhalb der EU haben. Ein Schweizer Softwareunternehmen, das beispielsweise eine Hochrisiko-KI-Lösung für einen Kunden in Deutschland entwickelt, unterliegt den Bestimmungen des EU AI Act. Diese extraterritoriale Wirkung erfordert von Schweizer Firmen eine genaue Prüfung ihrer Geschäftstätigkeiten und Kundenbeziehungen. Es ist keine Option, den EU AI Act zu ignorieren, wenn EU-Bezugspunkte bestehen.

Die Schweiz hat sich gegen ein umfassendes, eigenständiges KI-Gesetz entschieden und verfolgt stattdessen einen sektoriellen Ansatz. Allerdings plant die Schweiz die Umsetzung der KI-Konvention des Europarats, deren Vernehmlassungsvorlage bis Ende 2026 erwartet wird. Dies könnte zukünftig weitere spezifische Anforderungen an den Einsatz von KI in der Schweiz mit sich bringen. Für Schweizer Unternehmen, insbesondere jene mit internationaler Ausrichtung, bedeutet dies eine doppelte Compliance-Herausforderung: Sie müssen das revidierte DSG lückenlos einhalten und gleichzeitig die relevanten Teile des EU AI Act für ihre EU-bezogenen Aktivitäten berücksichtigen. Eine abgestimmte Rechtsberatung und eine klare strategische Positionierung sind hier unerlässlich, um sicherzustellen, dass man nicht zwischen den Stühlen sitzt.

KI-Training und Datenschutz: Eine grundlegende Debatte um Datenhoheit

Ein brandaktueller Aspekt, der die Grundlage vieler KI-Anwendungen betrifft, ist die Diskussion um die Nutzung personenbezogener Daten für das Training von KI-Systemen. Daten sind der Treibstoff für KI, und die Qualität sowie die rechtmässige Beschaffung dieser Daten sind entscheidend für die Leistungsfähigkeit und Akzeptanz von KI-Modellen. Die Datenschutzorganisation noyb und ihr Gründer Max Schrems haben am 21. September 2026 eine gravierende Warnung ausgesprochen. Im Rahmen der Debatte um eine Vereinfachung und Deregulierung im EU-Digitalrecht, konkret beim sogenannten