EU AI Act und DSGVO: Herausforderungen für Unternehmen im DACH-Raum

Die Einführung des EU AI Acts und seine Schnittstelle zur Datenschutz-Grundverordnung, DSGVO, stellen Unternehmen im DACH-Raum vor erhebliche Herausforderungen. Dieses neue regulatorische Rahmenwerk beeinflusst maßgeblich, wie Künstliche Intelligenz entwickelt, eingeführt und angewendet werden darf. Es erfordert umfassende Anpassungen in den Bereichen Compliance, Change Management und IT-Sicherheit. Für Schweizer Unternehmen ergeben sich zusätzliche Fragen aufgrund der extraterritorialen Wirkung des EU-Rechts. Der Artikel beleuchtet die wichtigsten Aspekte und bietet konkrete Handlungsempfehlungen, um Rechtssicherheit zu gewährleisten und gleichzeitig innovationsfähig zu bleiben.

Der EU AI Act: Ein risikobasierter Rahmen für vertrauenswürdige KI

Die Europäische Union hat mit der „Verordnung über Künstliche Intelligenz“, kurz AI Act, das weltweit erste umfassende Gesetz zur Regulierung von KI verabschiedet. Obwohl die Verordnung bereits am 1. August 2024 in Kraft getreten ist, erfolgen die konkreten Pflichten gestaffelt zwischen Februar 2025 und August 2027. Das übergeordnete Ziel ist es, vertrauenswürdige KI-Anwendungen und verantwortungsvolle KI-Innovationen innerhalb Europas zu fördern. Dies geschieht durch einen risikobasierten Ansatz. Je höher das Risiko eines KI-Systems für die Grundrechte, die Gesundheit oder die Sicherheit von Personen ist, desto strenger sind die regulatorischen Anforderungen.

Für Unternehmen bedeutet dies in erster Linie eine detaillierte Klassifizierung ihrer eingesetzten oder entwickelten KI-Systeme in vier Risikoklassen: unannehmbares Risiko, welche verboten sind, hohes Risiko, begrenztes Risiko und minimales Risiko. Besonders relevant für die Arbeitswelt und den Mittelstand sind die sogenannten „Hochrisiko-KI-Systeme“. Diese finden beispielsweise in der Personalauswahl, bei der Bewertung der Kreditwürdigkeit von Privatpersonen, in kritischen Infrastrukturen oder im Bildungsbereich Anwendung. Anbieter und Betreiber solcher Systeme müssen umfassende Pflichten erfüllen. Dazu gehören die Einhaltung technischer, sicherheitsrelevanter und organisatorischer Vorgaben. Die Missachtung dieser Pflichten kann zu erheblichen Bußgeldern führen.

Ein weiteres wichtiges Detail für Unternehmen ist die Transparenzpflicht bezüglich KI-generierter Inhalte. Ab dem 2. August 2026 sind Unternehmen gesetzlich verpflichtet, klar kenntlich zu machen, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden. Diese Vorgabe betrifft Texte, Bilder, Audio und Video und soll Nutzerinnen und Nutzer vor Manipulation schützen. Sie erfordert eine genaue Dokumentation und Prozessanpassung im Umgang mit generativer KI. Für Unternehmen bedeutet dies, dass sie ihre internen Richtlinien für die Nutzung von KI-Tools überprüfen und gegebenenfalls anpassen müssen.

Nationale Umsetzung in Deutschland: KI-MIG und die Rolle der BNetzA

Deutschland hat bereits proaktiv auf den EU AI Act reagiert, um die nationale Durchführung zu gewährleisten. Am 11. Februar 2026 hat das Bundeskabinett das „KI-Marktüberwachungs- und Innovationsförderungsgesetz“, kurz KI-MIG, beschlossen. Dieses Gesetz soll die europäische KI-Verordnung auf nationaler Ebene umsetzen und dabei gleichzeitig innovationsfreundlich und bürokratiearm bleiben. Eine zentrale Rolle in diesem Prozess wird der Bundesnetzagentur, BNetzA, zukommen. Sie wird als Koordinierungs- und Kompetenzzentrum, KoKIVO, sowie als Innovationsförderer agieren.

Die BNetzA soll als sogenannter „One-Stop-Shop“ für Unternehmen dienen. Sie wird bei der Umsetzung der neuen Anforderungen unterstützen und als zentrale Anlaufstelle fungieren. Um eine effiziente und einheitliche Überwachung sicherzustellen, sollen bestehende Aufsichtsbehörden aus spezifischen Produktbereichen, wie beispielsweise bei Maschinen oder Medizinprodukten, in die KI-Aufsicht integriert werden. Dieser Ansatz soll Doppelstrukturen vermeiden und die Expertise der Fachbehörden nutzen.

Trotz dieser nationalen Bemühungen besteht für deutsche Unternehmen bis zur vollständigen Verabschiedung des Durchführungsgesetzes noch ein gewisses Maß an Rechtsunsicherheit. Diese Unsicherheit sollte bei der langfristigen Planung berücksichtigt werden. Unternehmen sind gut beraten, nicht abzuwarten, sondern bereits jetzt aktiv zu werden. Dazu gehört die Definition einer unternehmensweiten KI-Strategie, die systematische Erfassung aller bestehenden KI-Anwendungen, um sogenanntes „Schatten-KI“ zu vermeiden, sowie die Implementierung rollenbasierter Trainingsprogramme. Diese Schulungen sollen die KI- und Datenkompetenz der Mitarbeitenden steigern. Eine solche proaktive Haltung hilft, Compliance-Lücken zu schließen und die Organisation auf die kommenden Anforderungen vorzubereiten.

Auswirkungen auf die Schweiz: Extraterritorialität und fragmentierte Rechtslage

Obwohl die Schweiz kein Mitglied der Europäischen Union ist und über kein eigenständiges, umfassendes KI-Gesetz verfügt, ist der EU AI Act auch für Schweizer Unternehmen von großer Relevanz. Dies liegt an der extraterritorialen Wirkung der EU-Verordnung. Sie betrifft insbesondere Unternehmen, deren KI-Systeme oder deren Ergebnisse in der EU genutzt oder bereitgestellt werden. Das bedeutet, dass ein Schweizer Anbieter, der ein Hochrisiko-KI-System in einem EU-Mitgliedsstaat vertreibt oder dessen Output dort verwendet wird, die Anforderungen des AI Acts erfüllen muss. Professorin Dr. Nadja Braun Binder von der Universität Basel weist darauf hin, dass die Schweiz zwar keine Notwendigkeit für ein solch umfassendes Gesetz sieht, jedoch punktuelle Anpassungen bestehender Regelwerke technologieneutral verfasst werden müssten.

Schweizer Unternehmen müssen daher die Bestimmungen des AI Acts genau verstehen und in ihre bestehende KI-Governance integrieren. Neben dem AI Act gelten bereits heute zahlreiche nationale Gesetze und Verordnungen. Dazu gehören das Datenschutz-, Arbeits-, Urheber- und Vertragsrecht sowie sektorspezifische Vorgaben, wie beispielsweise die Bestimmungen der FINMA für Banken und Versicherer. Das sogenannte „KI-Dilemma“ in der Schweiz liegt somit nicht im Fehlen von Recht, sondern in dessen Fragmentierung. Diese Zersplitterung erschwert die Skalierung von KI-Anwendungen und erhöht den Aufwand für Unternehmen, die Rechtssicherheit gewährleisten wollen. Die Universität Basel erforscht unter anderem die Bestimmungen zu Hochrisikosystemen und die Transparenz des KI-Einsatzes in der öffentlichen Verwaltung. Dies unterstreicht die Bedeutung dieser Themen für Schweizer Akteure und die Notwendigkeit, eine kohärente Strategie zu entwickeln.

Die komplexe Schnittstelle: AI Act und DSGVO im Kontext von KI

Ein zentrales Thema für alle Unternehmen im DACH-Raum ist das komplexe Zusammenspiel des AI Acts mit der bereits etablierten Datenschutz-Grundverordnung, DSGVO. Es ist wichtig zu verstehen, dass der AI Act die DSGVO nicht ersetzt. Vielmehr bleibt die DSGVO immer dann zusätzlich anwendbar, sobald ein KI-System personenbezogene Daten verarbeitet. Dies bedeutet, dass Unternehmen weiterhin eine Rechtsgrundlage für die Datenverarbeitung benötigen und die Grundsätze der Zweckbindung, Datenminimierung und Transparenz beachten müssen. Die Einhaltung der Betroffenenrechte, wie das Recht auf Auskunft oder Löschung, ist ebenfalls weiterhin Pflicht.

Diese Überschneidung führt zu einer erhöhten Komplexität und einem erhöhten Dokumentationsaufwand. Eine aktuelle Umfrage belegt diesen Bedarf deutlich. Neun von zehn Unternehmen in Deutschland halten eine Reform der DSGVO für notwendig, da der Datenschutz den Einsatz von KI im eigenen Unternehmen behindere. 89 Prozent der Befragten wünschen sich weniger Dokumentationspflichten bei risikoarmen Verarbeitungen. 76 Prozent fordern eine einheitliche Auslegung durch die Datenschutzbehörden und 69 Prozent eine bessere Abstimmung mit anderen Regulierungen wie dem AI Act. Diese Zahlen unterstreichen den akuten Bedarf an mehr Rechtssicherheit und praktikableren Vorgaben an der Schnittstelle von KI und Datenschutz.

Besonders problematisch ist in diesem Zusammenhang auch das Phänomen der „Schatten-KI“, auch bekannt als „Shadow AI“. Dabei nutzen Mitarbeitende öffentlich zugängliche KI-Tools, wie beispielsweise Large Language Models, ohne die Freigabe der IT- oder Datenschutzabteilung. Werden dabei sensible Daten, wie Kundendaten, Bewerbungsunterlagen oder interne Unternehmensinformationen, in solche Tools eingegeben, können datenschutzrechtliche und organisatorische Pflichten schwerwiegend verletzt werden. Dies birgt erhebliche Risiken für Unternehmen, von Bußgeldern bis zum Verlust von Wettbewerbsvorteilen. Unternehmen müssen dem durch klare Nutzungsregeln, gezielte Schulungen und technische Schutzmaßnahmen entgegenwirken. Eine transparente Kommunikation über die Risiken und die Festlegung von sicheren KI-Anwendungen sind hierbei unerlässlich.

Praktische Handlungsempfehlungen für Unternehmen im DACH-Raum

Die neue Rechtslage erfordert proaktives Handeln und eine strategische Integration von KI-Compliance in die Unternehmensprozesse. Für Mittelständler im DACH-Raum empfehlen wir die folgenden Schritte:

1. Entwicklung einer unternehmensweiten KI-Strategie: Definieren Sie klare Ziele für den Einsatz von KI und legen Sie fest, welche Rolle KI in Ihrem Geschäftsmodell spielen soll. Integrieren Sie dabei ethische und rechtliche Aspekte von Anfang an. 2. Systematische Erfassung und Risikobewertung: Erstellen Sie ein vollständiges Inventar aller bereits genutzten und geplanten KI-Systeme. Klassifizieren Sie diese nach den Risikokategorien des AI Acts und identifizieren Sie Hochrisiko-Systeme. Dies hilft auch, „Schatten-KI“ aufzudecken und zu regulieren. 3. Anpassung interner Prozesse und Governance: Überprüfen und adaptieren Sie interne Prozesse in Abteilungen wie HR, Finance, Operations und Controlling. Etablieren Sie eine robuste KI-Governance, die Verantwortlichkeiten für Compliance, Risikomanagement und technische Umsetzung klar definiert. Dies umfasst auch die Einrichtung interner Audit-Prozesse. 4. Technische und organisatorische Maßnahmen: Implementieren Sie die notwendigen technischen Sicherheitsvorkehrungen, wie Datensicherheit, Robustheit und Genauigkeit der KI-Systeme. Stellen Sie sicher, dass die Modelle erklärbar und nachvollziehbar sind. Dokumentieren Sie die Entwicklung, Tests und Überwachung der KI-Systeme umfassend. 5. Rollenbasierte Schulungen und Sensibilisierung: Führen Sie regelmäßige, rollenbasierte Schulungen für Ihre Mitarbeitenden durch. Sensibilisieren Sie für die Risiken und Chancen von KI, insbesondere im Hinblick auf den Schutz personenbezogener Daten und die Einhaltung rechtlicher Vorgaben. Schaffen Sie ein Bewusstsein für den verantwortungsvollen Umgang mit generativer KI. 6. Anpassung von Vertragsdokumenten: Überprüfen Sie Verträge mit KI-Anbietern und -Dienstleistern. Stellen Sie sicher, dass diese die Anforderungen des AI Acts und der DSGVO berücksichtigen und klare Vereinbarungen über Haftung und Datenverarbeitung enthalten. 7. Transparenz bei KI-generierten Inhalten: Bereiten Sie sich auf die Kennzeichnungspflicht von KI-generierten Inhalten ab August 2026 vor. Etablieren Sie Prozesse, die eine eindeutige Kennzeichnung und Dokumentation ermöglichen.

Kritische Einordnung aus Kapitel-H-Sicht

Die Einführung des EU AI Acts und seine nationale Umsetzung sind ein notwendiger Schritt, um Vertrauen in Künstliche Intelligenz zu schaffen und Innovationen zu lenken. Dennoch dürfen wir die damit verbundenen Herausforderungen für den Mittelstand im DACH-Raum nicht unterschätzen. Die Komplexität der neuen Regulierung, insbesondere an der Schnittstelle zur DSGVO, birgt das Potenzial für erhebliche bürokratische Hürden und Rechtsunsicherheit. Wir sehen hier die Gefahr, dass Unternehmen, die sich überfordert fühlen, innovative KI-Anwendungen aus Angst vor Compliance-Verstößen gar nicht erst implementieren.

Unsere Position bei Kapitel H ist klar: Es braucht einen pragmatischen, faktenbasierten Ansatz. Der Hype um KI darf nicht dazu führen, dass Unternehmen unüberlegt handeln oder, im Gegenteil, aus Angst vor Regulierung in Schockstarre verfallen. Stattdessen sollten sich Unternehmen auf konkrete, wertschöpfende Anwendungsfälle konzentrieren und diese systematisch auf ihre Compliance-Anforderungen prüfen. Die regulatorischen Vorgaben sollten als Chance verstanden werden, die Qualität, Transparenz und Vertrauenswürdigkeit von KI-Lösungen zu erhöhen. Dies kann langfristig einen Wettbewerbsvorteil darstellen, wenn es gelingt, diese Anforderungen effizient und innovationsfördernd umzusetzen.

Die aktuelle Umfrage, die den Wunsch nach einer Reform der DSGVO und einer besseren Abstimmung mit dem AI Act ausdrückt, zeigt deutlich, wo der Gesetzgeber nachbessern muss. Eine Vereinfachung der Dokumentationspflichten für risikoarme Anwendungen und eine einheitlichere Auslegung durch die Aufsichtsbehörden würden die Akzeptanz und Umsetzbarkeit erheblich steigern. Wir plädieren für eine Regulierung, die Befähigung statt Abhängigkeit schafft, und Unternehmen dabei unterstützt, die Potenziale von KI verantwortungsvoll zu heben, anstatt sie mit unnötigen Hürden zu konfrontieren.

Fazit: Jetzt handeln für eine verantwortungsvolle KI-Zukunft

Die Regulierungslandschaft für Künstliche Intelligenz im DACH-Raum wird zunehmend dichter und komplexer. Der EU AI Act, in Verbindung mit der DSGVO und den jeweiligen nationalen Umsetzungsgesetzen, schafft einen neuen Rahmen, der von Unternehmen proaktiv adressiert werden muss. Dies erfordert nicht nur die Anpassung technischer Systeme, sondern auch eine strategische Neuausrichtung der Unternehmens-Governance, des Risikomanagements, der internen Prozesse und der Mitarbeiterschulungen.

Der Erfolg bei der Implementierung von KI wird maßgeblich davon abhängen, wie Unternehmen es schaffen, diese komplexen regulatorischen Anforderungen in ihre Geschäftsmodelle zu integrieren. Vertrauen in KI-Systeme entsteht durch deren Erklärbarkeit, Nachvollziehbarkeit und die Einhaltung ethischer sowie rechtlicher Standards. Wer jetzt die Weichen stellt, kann nicht nur hohe Bußgelder und Reputationsschäden vermeiden, sondern auch das Vertrauen von Kunden und Mitarbeitern stärken. Dies schafft die Grundlage für eine nachhaltige und erfolgreiche Nutzung von Künstlicher Intelligenz. Beginnen Sie frühzeitig mit der Analyse Ihrer KI-Systeme und der Anpassung Ihrer Prozesse, um die Chancen der Digitalisierung verantwortungsvoll zu nutzen.