EU AI Act und Digital Omnibus: Neue Fristen fuer KI-Compliance im DACH-Mittelstand

Die digitale Transformation wird im deutschsprachigen Raum (DACH) massgeblich durch die Künstliche Intelligenz (KI) vorangetrieben. Diese Entwicklung ist nicht nur von technologischem Fortschritt geprägt, sondern zunehmend auch von regulatorischen Rahmenbedingungen. Der EU AI Act, die weltweit erste umfassende Gesetzgebung für Künstliche Intelligenz, ist hierbei der zentrale Bezugspunkt. Eine jüngste Anpassung, der sogenannte "Digital Omnibus on AI" vom 7. Mai 2026, hat nun provisorisch zu einer Verschiebung wichtiger Übergangsfristen geführt. Dies hat unmittelbare und konkrete Auswirkungen auf die Planungs- und Compliance-Anforderungen für kleine und mittlere Unternehmen (KMU) im DACH-Raum.

Die formelle Inkraftsetzung des EU AI Act erfolgte bereits im August 2024, jedoch mit gestaffelten Übergangsphasen für die einzelnen Bestimmungen. Der "Digital Omnibus on AI" ist eine politische Einigung, die bestimmte Fristen für Hochrisiko-KI-Systeme neu festlegt. Obwohl die rechtsverbindliche Veröffentlichung im EU-Amtsblatt noch aussteht und bis dahin die ursprünglichen Daten formal gelten, ist es für Unternehmen entscheidend, bereits jetzt mit Blick auf die neuen Zeitpläne zu agieren. Wer diese Entwicklungen ignoriert, riskiert nicht nur rechtliche Konsequenzen, sondern auch einen Wettbewerbsnachteil.

Der EU AI Act: Grundlegendes und die neuen Fristen

Der EU AI Act verfolgt einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt: minimales, begrenztes, hohes und verbotenes Risiko. Diese Differenzierung ist entscheidend, da die regulatorischen Auflagen mit dem Risikograd steigen. Während verbotene Praktiken, wie etwa Emotionserkennung in sensiblen Kontexten, bereits seit Februar 2025 untersagt sind, standen die Fristen für die umfangreichsten Pflichten, insbesondere für Hochrisiko-KI-Systeme, im Fokus der jüngsten Anpassungen.

Ursprünglich sahen die Fristen eine frühere Umsetzung vor. Die nun erfolgte Einigung im Rahmen des "Digital Omnibus on AI" hat jedoch zu einer Verschiebung geführt, die Unternehmen eine wichtige, wenn auch begrenzte, Atempause verschafft. Konkret verschiebt sich die Deadline für Systeme, die in Anhang III als Hochrisiko-KI-Systeme gelistet sind, auf den 2. Dezember 2027. Diese Systeme umfassen kritische Anwendungen etwa in den Bereichen HR, Biometrie oder kritische Infrastrukturen. Für KI-Systeme, die unter Anhang I fallen und grundlegende technische Anforderungen an KI-Produkte festlegen, tritt die Pflicht zur Konformität am 2. August 2028 in Kraft. Eine weitere wichtige Bestimmung betrifft die Pflicht zur Wasserzeichenkennzeichnung von KI-generierten Inhalten (Art. 50(2)), die nun am 2. Dezember 2026 verbindlich wird.

Diese Fristverschiebungen sind nicht als Signal zur Untätigkeit zu verstehen. Vielmehr bieten sie eine strategische Gelegenheit, die Implementierung der notwendigen Compliance-Massnahmen sorgfältiger und fundierter zu planen. Unternehmen im DACH-Mittelstand sind gut beraten, diese zusätzlichen Monate zu nutzen, um ihre KI-Strategien zu überdenken und anzupassen. Der AI Act ist eine Realität, und die Anforderungen an Transparenz, Risikobewertung und menschliche Aufsicht sind fundamental. Ein proaktiver Ansatz ist hierbei unerlässlich, um nicht erst kurz vor den verbindlichen Fristen unter Zeitdruck zu geraten.

Konkrete Auswirkungen auf den DACH-Mittelstand

Die regulatorischen Anpassungen des EU AI Act sind für den DACH-Mittelstand von existentieller Bedeutung. Anders als Großkonzerne verfügen KMU oft über begrenzte Ressourcen für Rechtsberatung und Compliance-Management. Dennoch sind sie von den Bestimmungen direkt betroffen, insbesondere wenn sie Hochrisiko-KI-Systeme entwickeln, importieren oder einsetzen. Zu den Hochrisiko-Bereichen gehören beispielsweise KI-Anwendungen im Personalmanagement, die zur Bewertung von Bewerbern oder Mitarbeitern eingesetzt werden, biometrische Identifikationssysteme oder Systeme, die in kritischen Infrastrukturen wie Energieversorgung oder Transport zum Einsatz kommen.

Für diese Systeme gelten die strengsten Auflagen. Dazu gehören eine umfassende Risikobewertung vor der Markteinführung und während des Betriebs, die Implementierung von Massnahmen zur menschlichen Aufsicht, hohe Anforderungen an Datengovernance, technische Robustheit und Cybersicherheit, sowie die Einhaltung von Transparenzpflichten. Dies bedeutet in der Praxis, dass Unternehmen ihre KI-Systeme dokumentieren, deren Funktionsweise transparent darlegen und regelmässig auf mögliche Diskriminierungen oder Fehler überprüfen müssen. Die Notwendigkeit, einen menschlichen Faktor in Entscheidungsprozesse zu integrieren, die von KI beeinflusst werden, ist ebenfalls ein Kernaspekt.

Laut einer Bitkom-KI-Studie von 2025 nutzen bereits über 36% der Unternehmen im DACH-Raum aktiv KI-Tools. Ein McKinsey State of AI 2025 Bericht zeigt zudem, dass rund zwei Drittel der Unternehmen im DACH-Raum generative KI pilotiert haben. Diese Zahlen unterstreichen, dass KI kein Nischenthema mehr ist. Die vorhandenen und zukünftigen Anwendungen müssen nun systematisch auf ihre Konformität mit dem EU AI Act geprüft und gegebenenfalls angepasst werden. Dies erfordert nicht nur eine technische Überprüfung, sondern auch eine juristische und ethische Bewertung der eingesetzten Systeme und ihrer Auswirkungen.

Datenschutz als Fundament der KI-Compliance

Der EU AI Act ist eng mit den bestehenden Datenschutzbestimmungen verknüpft. Die Datenschutz-Grundverordnung (DSGVO) in der EU und das revidierte Schweizer Datenschutzgesetz (revDSG) bilden weiterhin die unantastbare Basis für jeglichen Einsatz von KI, insbesondere wenn personenbezogene Daten verarbeitet werden. Eine Destatis-Erhebung von 2025 verdeutlicht die Relevanz: Für 60% der deutschen Unternehmen sind Datenschutzbedenken einer der grössten Hemmschuhe beim Einsatz von KI. Dies ist eine berechtigte Sorge, da der Umgang mit Daten in KI-Systemen oft komplex ist und hohe Anforderungen an die Compliance stellt.

Die Hauptrisiken beim KI-Einsatz im Kontext des Datenschutzes sind vielfältig. Dazu gehören der Datentransfer ausserhalb der EU beziehungsweise der Schweiz, insbesondere bei der Nutzung globaler Cloud-Anbieter. Ein weiteres Risiko ist die Verwendung von Nutzereingaben für das Training externer KI-Modelle durch die Anbieter, was zu ungewollter Offenlegung sensibler Unternehmensdaten führen kann. Auch der unkontrollierte Datenzugriff innerhalb des eigenen Unternehmens, ohne klare Rollen und Berechtigungen, sowie das Fehlen von adäquaten Datenschutzvereinbarungen (Auftragsverarbeitungsvereinbarungen, AVV oder Data Processing Agreements, DPA) mit KI-Anbietern stellen erhebliche Compliance-Lücken dar. Das neue revDSG in der Schweiz hat die Anforderungen an solche Vereinbarungen nochmals verschärft.

Unternehmen müssen bei der Auswahl und Implementierung von KI-Tools daher äusserst sorgfältig vorgehen. Aspekte wie Datenresidenz, also der Ort, an dem die Daten gespeichert und verarbeitet werden, sind von zentraler Bedeutung. Unternehmen wie Dinnova setzen bewusst auf Datenspeicherung in der Schweiz oder der EU, um rechtliche Sicherheit zu gewährleisten. Verschlüsselte Kommunikation und regelmässige Audits sind weitere notwendige technische und organisatorische Massnahmen. Die vertragliche Zusicherung der Nicht-Nutzung von Prompts für das KI-Training durch den Anbieter ist ein Kriterium, das bei der Tool-Auswahl stets geprüft werden sollte. Microsoft Copilot wird in diesem Zusammenhang oft als eine naheliegende Wahl für Microsoft 365-Nutzer im DACH-Raum genannt, da es eine EU Data Boundary und die Nicht-Nutzung von Prompts für KI-Training zusichert. Dies sind konkrete technische und vertragliche Garantien, die einen sichereren Einsatz ermöglichen.

Strategische KI-Einführung: Chancen jenseits der Regulierung

Trotz der regulatorischen Komplexität und der Notwendigkeit einer umfassenden Compliance-Strategie bleibt die strategische Einführung von KI im Mittelstand entscheidend für die zukünftige Wettbewerbsfähigkeit. KI-Tools sind keine reine Last, sondern bieten enorme Potenziale zur Effizienzsteigerung, Innovation und Verbesserung der Entscheidungsfindung. Sie finden bereits heute breite Anwendung in branchenübergreifenden Aufgaben wie der Textgenerierung, Datenanalyse, Prozessautomatisierung und Kundeninteraktion.

Besonders in den Bereichen Finance & Controlling sowie HR-Management eröffnen sich durch KI neue Möglichkeiten. Im Finanzbereich kann KI bei der Verbesserung von Prognosen (Forecasting), der Optimierung der Budgetplanung, der Cashflow-Steuerung und der präzisen Risikoanalyse unterstützen. Intelligente Systeme können komplexe Datensätze in Echtzeit analysieren, Muster erkennen und so fundiertere Entscheidungen ermöglichen. Auch im Reporting lassen sich durch KI-gestützte Tools erhebliche Effizienzgewinne erzielen. Die Vision von KI-Agenten, die nicht nur analysieren, sondern auch selbstständig handeln und Finanzprozesse automatisieren können, ist bereits in greifbarer Nähe.

Im HR-Management bietet KI Potenziale zur Automatisierung administrativer Workflows, zur Verbesserung der Talentakquise durch intelligente Matching-Systeme, zur personalisierten Mitarbeiterentwicklung und zur datenbasierten Entscheidungsfindung in Bereichen wie Mitarbeiterbindung und -zufriedenheit. Durch den Einsatz von KI können HR-Abteilungen von repetitiven Aufgaben entlastet werden und sich stärker auf strategische Personalentwicklung konzentrieren.

Die Herausforderung für den Mittelstand besteht jedoch darin, die richtigen Anwendungsfälle zu identifizieren, die tatsächlichen Mehrwert stiften und gleichzeitig mit den regulatorischen Anforderungen in Einklang stehen. Ein pragmatischer Ansatz sieht vor, mit kleinen, überschaubaren Pilotprojekten zu starten, um Erfahrungen zu sammeln und die Akzeptanz bei den Mitarbeitern zu fördern. Eine solide Datenbasis, deren Qualität und Verfügbarkeit gewährleistet ist, ist dabei eine Grundvoraussetzung. Die aktive Einbindung und Schulung der Mitarbeiter ist ebenfalls entscheidend, um Ängste abzubauen und das volle Potenzial der KI zu nutzen. Professor Dr. Ralf Otte betont, dass der Mittelstand jetzt investieren muss, auch wenn sich Gewinne aus KI-Investitionen oft erst mittel- bis langfristig einstellen. Wer wartet, bis die Personalstatistiken kippen, hat den strukturellen Sprung verpasst, da Aufgaben bereits an KI wandern. Dieses sogenannte "Hollowing Out" wird in Europa, auch wenn es aufgrund unserer Arbeitsmarktregulierungen noch weniger sichtbar ist als in den USA, langfristig Arbeitsstrukturen verändern.

Praktische Handlungsempfehlungen für Unternehmen

Die Anpassungen im EU AI Act und der "Digital Omnibus on AI" sind ein klares Signal: Unternehmen müssen handeln. Eine proaktive und gut durchdachte Strategie ist jetzt unerlässlich. Hier sind konkrete Handlungsempfehlungen für den DACH-Mittelstand:

1. Frühzeitige Compliance-Prüfung und Risikomanagement: Integrieren Sie Datenschutz und Risikomanagement von Beginn an in jede KI-Initiative. Bewerten Sie potenzielle Risiken im Kontext des EU AI Act und der DSGVO/revDSG, insbesondere für Anwendungen in Hochrisikobereichen wie HR oder Finance. Dokumentieren Sie Ihre Bewertungen umfassend. 2. Transparenz und Menschliche Kontrolle sichern: Stellen Sie sicher, dass KI-gestützte Entscheidungen nachvollziehbar und erklärbar sind. Implementieren Sie Mechanismen für eine effektive menschliche Aufsicht, insbesondere bei kritischen Prozessen. Der Mensch muss stets die letzte Entscheidungsinstanz bleiben. 3. Mitarbeiter schulen und sensibilisieren: Führen Sie regelmässige Schulungen zu KI-Ethik, Datenschutz und den spezifischen Anforderungen des EU AI Act durch. Sensibilisieren Sie Ihre Mitarbeiter für die Chancen und Risiken von KI und befähigen Sie sie, verantwortungsvoll mit KI-Tools umzugehen. 4. Regelmässige Audits und Anpassungen: Etablieren Sie Prozesse für kontinuierliche Überprüfung und Audits Ihrer KI-Systeme. Technologie und Regulierung entwickeln sich schnell, daher müssen Ihre Systeme und Prozesse flexibel angepasst werden können. Dies ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. 5. Auswahl DACH-konformer Tools: Legen Sie bei der Beschaffung und Implementierung von KI-Lösungen grossen Wert auf die Datenresidenz in der EU oder der Schweiz. Achten Sie auf vertragliche Garantien der Anbieter, dass Ihre Nutzereingaben nicht für das Training ihrer KI-Modelle verwendet werden. Fordern Sie klare Datenschutzvereinbarungen (AVV/DPA) ein und prüfen Sie deren Inhalte sorgfältig. 6. Interne Expertise aufbauen: Investieren Sie in den Aufbau von internem Wissen und Kompetenzen im Bereich KI und KI-Recht. Dies reduziert die Abhängigkeit von externen Beratern und ermöglicht eine schnellere und fundiertere Entscheidungsfindung.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H sehen wir die jüngsten Entwicklungen, insbesondere die Fristverschiebungen durch den "Digital Omnibus on AI", als ein zweischneidiges Schwert. Einerseits bieten sie dem DACH-Mittelstand eine wertvolle, wenn auch nur kurze, zusätzliche Planungszeit. Diese Zeit sollte nicht für ein Zuwarten genutzt werden, sondern für eine substanzielle Vorbereitung. Andererseits verdeutlicht die Dynamik der Regulierung, wie komplex und schwerfällig Gesetzgebung in einem schnelllebigen technologischen Umfeld sein kann. Die ständigen Anpassungen können für Unternehmen, die ohnehin mit knappen Ressourcen planen, eine zusätzliche Belastung darstellen.

Wir warnen davor, den EU AI Act als reine bürokratische Hürde abzutun. Vielmehr schafft er, trotz seiner Komplexität, einen Rahmen für Vertrauen in KI-Technologien. Dieser Vertrauensrahmen ist entscheidend für die breite Akzeptanz und erfolgreiche Integration von KI in Unternehmensprozesse. Für den Mittelstand bedeutet dies eine Chance, sich durch eine frühzeitige und verantwortungsvolle Implementierung von KI-Systemen als Vorreiter zu positionieren. Wer jetzt die Hausaufgaben macht, kann von einem klaren Wettbewerbsvorteil profitieren, indem er nicht nur innovative Lösungen anbietet, sondern diese auch rechtskonform und ethisch einwandfrei betreibt.

Unsere Haltung bleibt klar: Befähigung statt Abhängigkeit. Der Mittelstand sollte nicht warten, bis externe Berater oder Softwareanbieter die Lösung präsentieren, sondern aktiv interne Kompetenzen aufbauen. Verlassen Sie sich nicht blind auf Buzzwords oder Versprechen von All-in-One-Lösungen. Konzentrieren Sie sich auf konkrete Anwendungsfälle, die einen echten Mehrwert bieten, und prüfen Sie diese sorgfältig auf ihre Risiken und Compliance-Anforderungen. Die regulierten Fristen sind nicht das Ende der Fahnenstange, sondern der Beginn einer kontinuierlichen Auseinandersetzung mit verantwortungsvoller KI. Es geht darum, KI intelligent und sicher zu nutzen, um die eigene Zukunft aktiv zu gestalten.

Fazit

Der "Digital Omnibus on AI" ist eine aktuelle Entwicklung, die den bereits in Kraft getretenen EU AI Act mit neuen Übergangsfristen für Hochrisiko-KI-Systeme versieht. Diese Fristverschiebungen, insbesondere auf den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Anhang I, sowie die Pflicht zur Wasserzeichenkennzeichnung ab dem 2. Dezember 2026, bieten dem DACH-Mittelstand eine strategische Gelegenheit, die eigene KI-Compliance umfassend zu planen.

Es ist entscheidend, diese Zeit proaktiv zu nutzen, um Datenschutzbestimmungen zu integrieren, Risikobewertungen durchzuführen und interne Kompetenzen aufzubauen. Die strategische und verantwortungsvolle Einführung von KI ist kein optionales Vorhaben, sondern eine Notwendigkeit, um die Wettbewerbsfähigkeit zu sichern und innovative Potenziale zu erschliessen. Unternehmen, die jetzt handeln und eine klare, datenbasierte KI-Strategie verfolgen, werden von den Chancen der Künstlichen Intelligenz profitieren und gleichzeitig die regulatorischen Herausforderungen meistern. Das Ziel ist eine gestärkte Position im Markt, die auf Innovation und Vertrauen basiert.