EU AI Act: Dringender Handlungsbedarf für DACH-Unternehmen bis August 2026

Der EU AI Act, die erste umfassende KI-Verordnung weltweit, ist am 1. August 2024 in Kraft getreten und markiert einen entscheidenden Wendepunkt für Unternehmen, die Künstliche Intelligenz entwickeln oder einsetzen. Für den DACH-Raum bedeutet dies einen dringenden Handlungsbedarf. Viele Fristen für zentrale Pflichten rücken unaufhaltsam näher. Insbesondere der 2. August 2026 ist ein Stichtag, der für eine breite Masse von Unternehmen unmittelbare Relevanz besitzt, auch wenn einige Anwendungsfristen für Hochrisiko-KI-Systeme durch den sogenannten „Digital Omnibus“ verschoben wurden. Die Komplexität der gestaffelten Anwendbarkeit und die unterschiedlichen nationalen Umsetzungsgeschwindigkeiten machen eine proaktive Auseinandersetzung mit dem Thema unerlässlich. Unternehmen sollten sich jetzt strategisch positionieren, um rechtliche Risiken zu minimieren und die Vorteile der KI weiterhin verantwortungsvoll nutzen zu können.

Der EU AI Act im Überblick: Risikobasierter Ansatz und Anwendungszeitplan

Die EU-Verordnung legt einen risikobasierten Ansatz zugrunde. Das bedeutet: Je höher das potenzielle Risiko eines KI-Systems für die Gesundheit, die Sicherheit oder die Grundrechte von Personen, desto strenger sind die Anforderungen an Entwicklung, Einsatz und Überwachung. Diese Kategorisierung hilft Unternehmen, den Umfang ihrer Compliance-Anstrengungen einzuschätzen.

Die ersten Verbote bestimmter KI-Systeme, wie zum Beispiel Social Scoring oder manipulative KI-Systeme, traten bereits am 2. Februar 2025 in Kraft. Seit dem 2. August 2025 sind diese Verbote auch sanktionsbewehrt. Verstöße gegen die Bestimmungen des EU AI Act können empfindliche Bußgelder nach sich ziehen. Diese können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes eines Unternehmens betragen, wobei jeweils der höhere Betrag zur Anwendung kommt. Diese Summen verdeutlichen den Ernst, mit dem die EU die Einhaltung der Verordnung durchsetzen wird.

Die gestaffelte Anwendbarkeit des AI Act fordert von Unternehmen eine präzise Kenntnis der jeweiligen Fristen und eine sorgfältige Planung. Es reicht nicht aus, sich nur auf die prominentesten Kategorien, wie Hochrisiko-KI, zu konzentrieren. Die Verordnung erfasst eine Vielzahl von Anwendungen und fordert auch von Nutzern vergleichsweise einfacherer KI-Systeme spezifische Maßnahmen.

Was ab dem 2. August 2026 *unverändert* gilt: Transparenz und Kompetenz

Trotz der Diskussionen um Fristverschiebungen durch den „Digital Omnibus“, einem Änderungsvorschlag der Europäischen Kommission vom November 2025, gibt es zwei zentrale Bestimmungen, die ab dem 2. August 2026 wirksam und durchsetzbar werden. Diese betreffen eine breite Masse von Unternehmen im DACH-Raum, unabhängig davon, ob ihre KI-Systeme als „Hochrisiko-KI“ eingestuft werden.

1. Transparenzpflichten nach Artikel 50: Dieser Artikel schreibt vor, dass Unternehmen, die generative KI-Systeme wie Chatbots, Voice-Agents, Deepfakes oder andere synthetische Inhalte im Kundenkontakt einsetzen, ihre Nutzer transparent darüber informieren müssen, dass sie mit einer KI interagieren. Diese Offenlegungspflicht ist ab dem 2. August 2026 bindend. Die technische Kennzeichnung und Wasserzeichen für generative Ausgaben, also die konkrete technische Umsetzung dieser Transparenz, müssen bis zum 2. Dezember 2026 operativ sein. Die ursprünglich längere Gnadenfrist hierfür wurde auf drei Monate verkürzt, was den Druck auf Unternehmen erhöht, diese technischen Anpassungen zügig vorzunehmen.

Die Relevanz dieser Pflicht ist immens. Viele Unternehmen nutzen bereits generative KI zur Kundenkommunikation, im Support oder zur Content-Erstellung. Sie müssen sicherstellen, dass ihre Systeme bis zum Stichtag entsprechend konfiguriert sind. Eine einfache Implementierung einer Kennzeichnung wie „Dieses Gespräch wird von einer KI geführt“ oder die Integration von digitalen Wasserzeichen in generierte Bilder und Texte wird zur Pflicht. Dies dient dem Schutz der Nutzer und der Vermeidung von Täuschung.

2. KI-Kompetenz (AI Literacy) nach Artikel 4: Ab dem 2. August 2026 wird auch die Pflicht zur KI-Kompetenz durchsetzbar. Unternehmen müssen sicherstellen, dass ihre Mitarbeiter, die mit KI-Systemen arbeiten oder deren Einsatz bewerten, über die notwendigen Kenntnisse für einen verantwortungsvollen, sicheren und ethischen Umgang verfügen. Dies betrifft nicht nur IT-Spezialisten, sondern alle Mitarbeiter, die in irgendeiner Form mit KI in Berührung kommen, sei es bei der Nutzung von KI-gestützten Tools im Arbeitsalltag oder bei der Bewertung von KI-generierten Inhalten.

Der Aufbau von KI-Kompetenz umfasst Schulungen zu den Grundlagen der KI, dem risikobasierten Ansatz des AI Act, den eigenen unternehmensinternen Richtlinien sowie den potenziellen Risiken und Chancen der eingesetzten Systeme. Ziel ist es, ein Bewusstsein für die Funktionsweise, die Grenzen und die Auswirkungen von KI zu schaffen. Ein gut geschultes Team kann nicht nur Compliance-Verstöße vermeiden, sondern auch das Potenzial der KI effektiver und sicherer nutzen. Unternehmen sollten daher bereits jetzt Programme zur Weiterbildung und Sensibilisierung ihrer Belegschaft initiieren.

Verschobene Fristen und ihre Bedeutung für Hochrisiko-KI-Systeme

Der „Digital Omnibus“ hat die Anwendungsfristen für Hochrisiko-KI-Systeme tatsächlich verschoben, was Unternehmen etwas mehr Zeit für die umfassende Umsetzung der Compliance-Anforderungen verschafft. Diese Fristverschiebung sollte jedoch nicht als Entwarnung missverstanden werden, sondern als eine strategische Chance, die Vorbereitungen noch gründlicher zu gestalten.

Für eigenständige Hochrisiko-KI-Systeme nach Anhang III des AI Act, wie sie beispielsweise im Personalmanagement (Bewerberauswahl, Leistungsbeurteilung), in der Kreditwürdigkeitsprüfung oder im Bildungsbereich eingesetzt werden, wurde die Anwendungsfrist vom 2. August 2026 auf den 2. Dezember 2027 verlegt. Für in Produkte eingebettete KI-Systeme (Anhang I), etwa in medizinischen Geräten oder autonomen Fahrzeugen, ist die Frist sogar auf den 2. August 2028 verschoben worden. Die politische Einigung des EU-Parlaments und des Rates erfolgte am 7. Mai 2026, die formale Annahme und Veröffentlichung im Amtsblatt stehen jedoch noch aus, was eine gewisse Unsicherheit für die endgültige Bestätigung bedeutet.

Diese Fristen erscheinen auf den ersten Blick großzügig, doch die Anforderungen an Hochrisiko-KI sind erheblich. Sie umfassen unter anderem die Etablierung eines robusten Risikomanagementsystems, detaillierte Dokumentationspflichten, eine hohe Datenqualität, menschliche Aufsicht, System-Robustheit und Cybersicherheit. Die Implementierung all dieser Maßnahmen erfordert nicht nur erhebliche personelle und finanzielle Ressourcen, sondern auch eine grundlegende Überprüfung und Anpassung interner Prozesse und IT-Infrastrukturen. Ein Aufschieben dieser Vorbereitungen birgt das Risiko, bis zum Stichtag nicht compliant zu sein, was erneut hohe Bußgelder nach sich ziehen kann. Unternehmen sollten die zusätzliche Zeit nutzen, um eine detaillierte Roadmap für die Compliance-Umsetzung zu erstellen und schrittweise vorzugehen.

Nationale Umsetzung im DACH-Raum: Deutschland und die Schweiz

Die EU-Mitgliedstaaten sind für die Einrichtung nationaler Aufsichtsstrukturen und die Integration der Verordnung in ihre Verwaltungspraxis verantwortlich. Dies führt zu unterschiedlichen nationalen Umsetzungsgeschwindigkeiten und -prioritäten.

In Deutschland wurde am 11. Februar 2026 ein Kabinettsentwurf für das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) beschlossen. Dieses Gesetz sieht vor, die Bundesnetzagentur als zentrale Marktüberwachungsbehörde zu etablieren. Dies ist ein wichtiger Schritt zur nationalen Konkretisierung der EU-Vorgaben. Zudem plant die deutsche Regierung, sichere Testfelder und Experimentierräume für neue KI-Anwendungen zu schaffen, um Innovationen zu fördern und gleichzeitig die Einhaltung der Vorschriften zu gewährleisten. Der Ausbau von KI-Kompetenzzentren soll die notwendige Wissensbasis in der Wirtschaft stärken. Das KI-MIG-Sanktionsregime, mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als Aufsichtsbehörde, wird parallel zum EU AI Act anwendbar sein. Unternehmen müssen also auch die nationalen Besonderheiten des deutschen Gesetzes im Blick behalten.

Die Schweiz verfolgt einen eigenständigen Ansatz zur KI-Regulierung und wird den EU AI Act nicht direkt übernehmen. Stattdessen setzt der Bundesrat prioritär auf die Ratifikation der Rahmenkonvention des Europarates zu KI und plant sektorielle Anpassungen im Schweizer Recht. Ein Vernehmlassungsentwurf für ein entsprechendes Umsetzungsgesetz wird bis Ende 2026 erwartet. Für Schweizer Unternehmen bedeutet dies, dass sie zwar nicht direkt an den EU AI Act gebunden sind, aber dennoch indirekt stark betroffen sein können, insbesondere wenn ihre KI-Ausgaben in der EU genutzt werden, was den Geltungsbereich nach Art. 2 Abs. 1 lit. c AI Act betrifft. Das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 gilt, ist zudem technologieneutral formuliert und direkt auf jede KI-gestützte Datenbearbeitung anwendbar. Dies beinhaltet wichtige Aspekte wie automatisierte Einzelentscheidungen, Privacy by Design und Default, Profiling sowie Datenschutz-Folgenabschätzungen (DSFA) bei risikoreichen KI-Systemen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat in seinem aktualisierten Leitfaden vom Mai 2025 die direkte Anwendbarkeit des DSG auf KI klar dargelegt. Schweizer Unternehmen müssen somit eine doppelte Perspektive einnehmen: die Einhaltung des heimischen DSG und die indirekten Auswirkungen des EU AI Act auf ihre Geschäftsbeziehungen mit der EU.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Die komplexe und vielschichtige Regulierung erfordert proaktives Handeln und eine strategische Auseinandersetzung mit der KI-Governance. Eine Umfrage von Bitkom aus März 2026 zeigt, dass 78 Prozent der DACH-Unternehmen mindestens ein KI-Tool produktiv einsetzen, aber nur 31 Prozent den Return on Investment (ROI) systematisch messen. Dies deutet auf einen fehlenden strategischen Überblick und ein Mangel an Governance hin, die für die Einhaltung des AI Act unerlässlich sind.

Konkrete Schritte, die Unternehmen jetzt einleiten sollten:

* KI-Inventur und Risikobewertung: Erfassen Sie systematisch alle im Unternehmen genutzten oder entwickelten KI-Systeme. Bewerten Sie diese hinsichtlich ihres Risikoprofils nach den Kategorien des AI Act: verboten, Hochrisiko oder geringes Risiko. Diese Inventur ist die Grundlage für alle weiteren Compliance-Maßnahmen. Ein präzises Register Ihrer KI-Systeme ermöglicht es Ihnen, Prioritäten zu setzen und Ressourcen effizient einzusetzen. * Compliance für Artikel 50 (Transparenzpflichten): Überprüfen Sie alle generativen KI-Systeme, die im Kundenkontakt stehen, wie Chatbots oder Tools zur Erstellung synthetischer Inhalte. Stellen Sie sicher, dass ab dem 2. August 2026 Nutzer transparent über den Einsatz von KI informiert werden. Implementieren Sie bis zum 2. Dezember 2026 die erforderlichen technischen Kennzeichnungen oder Wasserzeichen. Eine Nichtbeachtung dieser direkten Pflichten kann schnell zu ersten Sanktionen führen. * Aufbau von KI-Kompetenz (AI Literacy): Entwickeln und implementieren Sie Schulungs- und Befähigungsprogramme für alle Mitarbeiter, die mit KI-Systemen arbeiten. Dies erfüllt nicht nur die durchsetzbare Pflicht nach Artikel 4, sondern stärkt auch das Verständnis und den verantwortungsvollen Umgang mit KI im gesamten Unternehmen. Eine Investition in die KI-Kompetenz Ihrer Belegschaft ist eine Investition in die Zukunftsfähigkeit Ihres Unternehmens. * Vorbereitung auf Hochrisiko-KI-Pflichten: Auch wenn die Fristen für Hochrisiko-KI-Systeme verschoben wurden, sollte der Aufbau eines umfassenden Risikomanagementsystems, einer robusten Daten-Governance und detaillierter Dokumentationsprozesse nicht aufgeschoben werden. Beginnen Sie frühzeitig mit der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Anwendungen und etablieren Sie Mechanismen für menschliche Aufsicht und regelmäßige Systemprüfungen. Die Komplexität dieser Anforderungen erfordert eine lange Vorlaufzeit. * Einrichtung von Governance-Strukturen: Definieren Sie klare Zuständigkeiten und Verantwortlichkeiten für den gesamten Lebenszyklus von KI-Systemen im Unternehmen. Dies umfasst die Einführung, den Betrieb, die Wartung und die Ausmusterung von KI-Anwendungen. Eine solide Governance-Struktur ist entscheidend, um die Einhaltung der rechtlichen Rahmenbedingungen zu gewährleisten und gleichzeitig agile Innovationsprozesse zu ermöglichen. Weisen Sie Rollen wie einen KI-Beauftragten oder ein KI-Komitee zu, um die Einhaltung und strategische Ausrichtung zu steuern.

Kritische Einordnung aus Kapitel H-Sicht

Aus der Perspektive von Kapitel H betrachten wir den EU AI Act als einen notwendigen, wenngleich komplexen Schritt. Die Regulierung ist kein Selbstzweck. Sie dient dem Ziel, Vertrauen in KI-Technologien aufzubauen und deren verantwortungsvollen Einsatz zu fördern. Gleichzeitig stellen wir fest, dass die detaillierten Anforderungen, insbesondere für Hochrisiko-KI, einen erheblichen Aufwand für mittelständische Unternehmen im DACH-Raum bedeuten. Es besteht die Gefahr, dass die bürokratischen Hürden Innovationsprozesse verlangsamen, wenn Unternehmen nicht proaktiv und strukturiert vorgehen.

Die Fristverschiebungen für Hochrisiko-KI sind keine Lizenz zum Abwarten, sondern eine klare Aufforderung, die zusätzliche Zeit für eine fundierte Vorbereitung zu nutzen. Die Erfahrung zeigt, dass die Implementierung komplexer Compliance-Strukturen, die Datenqualitätssicherung und die Anpassung von Prozessen Monate, wenn nicht Jahre in Anspruch nehmen können. Wer erst kurz vor dem Stichtag mit den Maßnahmen beginnt, wird sich einem immensen Druck ausgesetzt sehen, der die Qualität der Umsetzung beeinträchtigen und das Risiko von Fehlern erhöhen kann.

Die Schweizer Situation ist ein Beispiel für die Herausforderung, sich im Spannungsfeld internationaler und nationaler Regelwerke zu bewegen. Das revidierte DSG bietet bereits einen guten Rahmen für den datenschutzkonformen Einsatz von KI. Schweizer Unternehmen, die in der EU tätig sind oder Daten europäischer Bürger verarbeiten, müssen jedoch die Bestimmungen des EU AI Act indirekt berücksichtigen. Dies erfordert eine umfassende Analyse der eigenen Geschäftstätigkeiten und Partnerlandschaften.

Der wahre Wert des AI Act liegt in seiner Fähigkeit, Unternehmen zu zwingen, sich systematisch mit den ethischen, rechtlichen und operativen Implikationen von KI auseinanderzusetzen. Wer diese Herausforderung annimmt und eine robuste KI-Governance etabliert, wird nicht nur Bußgelder vermeiden, sondern auch das Vertrauen seiner Kunden und Mitarbeiter stärken. Es geht um Befähigung statt Abhängigkeit. Unternehmen sollten ihre KI-Strategie nicht als reine Compliance-Übung sehen, sondern als Chance zur Optimierung und Absicherung ihrer digitalen Transformation.

Fazit: Jetzt handeln für eine verantwortungsvolle KI-Zukunft

Der EU AI Act verändert die Rahmenbedingungen für den Einsatz von Künstlicher Intelligenz nachhaltig. Für Unternehmen im DACH-Raum bedeutet dies, dass ein proaktives Handeln und eine klare Strategie unumgänglich sind. Die Transparenzpflichten und die Notwendigkeit der KI-Kompetenz ab August 2026 sind keine optionalen Zusatzaufgaben, sondern verbindliche Anforderungen mit direkten Auswirkungen auf den Geschäftsbetrieb. Ungeachtet der gestaffelten Fristen für Hochrisiko-KI ist es entscheidend, die Vorbereitungen für diese Systeme frühzeitig anzugehen.

Nehmen Sie die regulatorischen Vorgaben ernst. Beginnen Sie mit einer umfassenden KI-Inventur, schulen Sie Ihre Mitarbeiter und implementieren Sie die erforderlichen Transparenzmechanismen. Nutzen Sie die verbleibende Zeit, um eine solide KI-Governance aufzubauen, die Ihr Unternehmen nicht nur compliant macht, sondern auch resilient und zukunftsfähig. Nur so können Sie die immensen Chancen der Künstlichen Intelligenz verantwortungsvoll nutzen und gleichzeitig hohe Bußgelder und Reputationsschäden vermeiden. Kapitel H steht Ihnen als Partner zur Seite, um diese komplexen Anforderungen pragmatisch und zielorientiert zu meistern.