EU AI Act: Erste Pflichten aktiv. Was DACH-Unternehmen jetzt tun müssen.

Der 2. August 2026 markiert einen Wendepunkt für Unternehmen im deutschsprachigen Raum. Mit diesem Datum sind wesentliche Teile der EU-KI-Verordnung, besser bekannt als EU AI Act, in Kraft getreten. Diese Regulierung hat weitreichende Konsequenzen für den Einsatz von Künstlicher Intelligenz (KI) in der Arbeitswelt. Während die vollständige Anwendung für Hochrisiko-KI-Systeme erst in den kommenden Jahren erfolgen wird, gelten die Bestimmungen zu Transparenz, Kennzeichnung und dem Nachweis von KI-Kompetenz bereits jetzt. Der Mittelstand im DACH-Raum ist damit unmittelbar gefordert, proaktiv zu handeln und seine KI-Strategie zu überprüfen.

Dies ist keine abstrakte Zukunftsmusik mehr. Es geht um konkrete rechtliche Pflichten, die bei Nichteinhaltung empfindliche Bußgelder nach sich ziehen können. Es geht aber auch um die Chance, den verantwortungsvollen Umgang mit KI als Wettbewerbsvorteil zu etablieren und die Potenziale dieser Technologie sicher zu erschliessen. Kapitel H beleuchtet die aktuellen Entwicklungen, die unmittelbaren Auswirkungen und zeigt auf, welche Schritte Unternehmen jetzt ergreifen müssen, um compliance-fähig zu sein und die digitale Transformation erfolgreich zu gestalten.

Der EU AI Act: Welche Pflichten seit dem 2. August 2026 gelten

Die politischen Diskussionen um den EU AI Act sind umfassend und die Komplexität der Verordnung ist hoch. Eine zentrale Erkenntnis für den Mittelstand ist jedoch: Nicht alles wird sofort und in vollem Umfang umgesetzt. Dennoch sind einige kritische Bestimmungen bereits seit dem 2. August 2026 wirksam und deren behördliche Durchsetzung beginnt nun.

Die bedeutendsten Veränderungen betreffen folgende Bereiche:

* Transparenzpflichten (Artikel 50): Unternehmen sind seit dem 2. August 2026 verpflichtet, Transparenz zu schaffen, wenn Nutzer mit einem KI-System interagieren oder wenn Inhalte durch KI generiert oder massgeblich bearbeitet wurden. Dies gilt nicht nur für komplexe, sondern auch für vermeintlich risikoärmere KI-Anwendungen, wie zum Beispiel einfache Chatbots im Kundenservice oder Bildgenerierungsprogramme. Eine explizite Kennzeichnungspflicht besteht zudem für Deepfakes. Für Anwender bedeutet dies, dass sie jederzeit wissen müssen, ob sie mit einer KI kommunizieren oder ob Inhalte, die sie konsumieren, von einer KI stammen. Dies fördert Vertrauen und mündige Entscheidungen.

* Verbot von KI-Systemen mit unannehmbarem Risiko: Obwohl das Verbot solcher Systeme bereits seit dem 2. Februar 2025 in Kraft war, beginnt die behördliche Durchsetzung dieser Bestimmungen nun ebenfalls. Hierunter fallen zum Beispiel KI-Systeme, die soziale Scoring-Systeme etablieren oder bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung im öffentlichen Raum nutzen. Unternehmen, die derartige Systeme implementiert haben oder in Erwägung ziehen, müssen umgehend handeln, um rechtliche Konsequenzen zu vermeiden.

* KI-Kompetenzpflicht (Artikel 4): Diese Pflicht ist zwar ebenfalls schon seit dem 2. Februar 2025 existent, ihre behördliche Durchsetzung startet aber ebenfalls am 2. August 2026. Unternehmen müssen nachweisen können, dass sie über die notwendige KI-Kompetenz verfügen, um KI-Systeme sicher und verantwortungsvoll zu nutzen und zu überwachen. Die Mitgliedstaaten sind zudem angehalten, nationale Behörden für die Überwachung zu benennen und Gesetze zur Festlegung von Sanktionen zu erlassen. Dies unterstreicht die Notwendigkeit, interne Expertise aufzubauen und nicht nur auf externe Dienstleister zu vertrauen.

Es ist wichtig zu verstehen, dass die Fristen für die vollständige Anwendung von Hochrisiko-KI-Systemen, etwa in den Bereichen Personalwesen, Bildung oder Kreditprüfung (Annex III), auf den 2. Dezember 2027 verschoben wurden und für in regulierte Produkte eingebettete KI (Annex I) sogar auf den 2. August 2028. Diese Aufschübe bedeuten jedoch keine Entwarnung für die jetzt bereits geltenden Kernpflichten. Im Gegenteil, sie geben Unternehmen die nötige Zeit, um die grundlegenden Strukturen für eine umfassende KI-Compliance aufzubauen.

Vier Bausteine für Ihre KI-Compliance im Mittelstand

Um den neuen Anforderungen gerecht zu werden und potenzielle Bußgelder zu vermeiden, identifiziert die Unternehmensberatung Everblue Consulting vier essenzielle Bausteine, die DACH-Unternehmen bis zum Sommer 2026 aufgebaut haben sollten. Diese Massnahmen sind nicht nur regulatorisch notwendig, sondern legen auch das Fundament für eine erfolgreiche und sichere KI-Integration in Ihre Geschäftsprozesse.

1. KI-Inventar: Transparenz schaffen über den Status quo. Eine strukturierte und vollständige Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme ist der erste und grundlegendste Schritt. Dies umfasst nicht nur offensichtliche KI-Anwendungen, die explizit als solche beworben werden, sondern auch KI-Funktionen, die oft unbemerkt in bestehender Software wie CRM-Systemen, Office-Suiten oder HR-Tools eingebettet sind. Viele dieser Funktionen werden dezentral, oft durch einzelne Abteilungen oder Mitarbeiter, eingeführt. Dies erschwert die zentrale Erfassung erheblich. Studien zeigen, dass ein Grossteil aller KI-Projekte bereits in der Pilotphase scheitert, häufig aufgrund fehlender Klarheit über den tatsächlichen Einsatz und die damit verbundenen Risiken. Ein detailliertes Inventar ist daher entscheidend, um den Überblick zu behalten und gezielte Massnahmen ergreifen zu können.

2. Rollenklärung: Verantwortlichkeiten klar definieren. Für eine effektive KI-Compliance müssen klare Verantwortlichkeiten im Unternehmen definiert werden. In der Praxis beobachtet man oft, dass die KI-Governance implizit dem Datenschutzbeauftragten zugewiesen wird, was zu einer suboptimalen Besetzung und Überlastung führen kann. Eine weitere Herausforderung ist, dass Rollen und Zuständigkeiten eher aus Budgethoheit als aus formaler Zuweisung entstehen. Dies kann zu Fragmentierung und fehlender Koordination führen. Unternehmen müssen explizit benennen, wer für die Einhaltung des EU AI Act verantwortlich ist, wer die Nutzung von KI-Systemen genehmigt und wer für die Überwachung zuständig ist. Eine dezidierte KI-Governance-Struktur ist hierfür unerlässlich.

3. Kompetenznachweis: Mitarbeiter befähigen. Unternehmen müssen nicht nur Strukturen schaffen, sondern auch nachweisen können, dass sie über die notwendige KI-Kompetenz verfügen. Dies erfordert gezielte Investitionen in Schulungen und Weiterbildungen für die Mitarbeiter. Ziel ist es, das Verständnis und die Akzeptanz für KI zu fördern, aber auch die Mitarbeiter für den sicheren, verantwortungsvollen und gesetzeskonformen Umgang mit KI zu qualifizieren. Dies betrifft nicht nur IT-Spezialisten, sondern alle Mitarbeiter, die mit KI-Systemen in Berührung kommen. Nur mit einer breiten Basis an KI-Kompetenz kann das volle Potenzial der Technologie ausgeschöpft und gleichzeitig Compliance gewährleistet werden.

4. Provider-Dokumentation: Externe Anbieter prüfen. Viele Unternehmen setzen auf KI-Lösungen von Drittanbietern. Hier ist eine sorgfältige Prüfung und Dokumentation der KI-Anbieter erforderlich, um deren Konformität mit dem AI Act sicherzustellen. Unternehmen müssen von ihren Anbietern verlangen, dass diese die regulatorischen Anforderungen erfüllen und entsprechende Nachweise erbringen können. Dies schliesst die Prüfung von Vertragsbedingungen, Service Level Agreements und den verwendeten Daten ein. Die Verantwortung für die Einhaltung des EU AI Act bleibt letztlich beim Anwender, auch wenn die KI von einem externen Dienstleister stammt. Eine umfassende Due Diligence ist daher unerlässlich.

Die Nichteinhaltung dieser Pflichten kann existenzbedrohende Folgen haben, wie Experten wie Carsten Kraus betonen. Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes sind keine Kleinigkeit und können gerade den Mittelstand hart treffen. Eine frühzeitige und strategische Vorbereitung ist daher nicht nur eine Option, sondern eine Notwendigkeit.

Die Basis: Datenqualität und erfolgreiches Change Management

Abseits der rein regulatorischen Anforderungen sind zwei weitere Faktoren entscheidend für den nachhaltigen Erfolg von KI-Initiativen: eine robuste Datenstrategie und ein effektives Change Management. Diese Aspekte sind keine optionalen Zusatzleistungen, sondern fundamentale Voraussetzungen für die Wertschöpfung durch KI und die langfristige Compliance.

Datenqualität als Rückgrat der KI-Anwendung: Künstliche Intelligenz ist nur so gut wie die Daten, auf denen sie trainiert wird und mit denen sie arbeitet. Eine Studie des Digital Business Magazins zur „KI-Readiness“ in der DACH-Industrie 2026 zeigt, dass 55 Prozent der befragten Unternehmen Herausforderungen bei der Datenqualität und dem Datenzugriff als grösstes Hindernis für ihre KI-Bereitschaft nennen. Dies verdeutlicht, dass viele Unternehmen noch immer mit fragmentierten, inkonsistenten oder unvollständigen Datenbeständen zu kämpfen haben. Der Gartner CIO Survey für DACH 2026 unterstreicht dieses Bewusstsein, indem 73 Prozent der DACH CIOs planen, ihre Budgets 2026 von UI/UX-Projekten auf die Dateninfrastruktur umzuverlagern. Dies ist ein klares Signal: Die Investition in saubere, strukturierte und zugängliche Daten ist keine optionale Massnahme, sondern eine zwingende Voraussetzung. Das Motto «schlechte Daten ruinieren jeden Algorithmus» ist eine einfache, aber präzise Beschreibung der Realität.

Change Management als Schlüssel zur Akzeptanz und Effizienz: Die beste KI-Lösung nützt nichts, wenn die Mitarbeiter sie nicht verstehen, ihr misstrauen oder nicht wissen, wie sie diese intelligent in ihren Arbeitsalltag integrieren können. Eine Studie der AKAD University und Büro-Kaizen® aus Mai 2026 zeigt, dass der Einsatz von KI in deutschen Büros die Arbeit noch nicht effizienter gemacht hat, obwohl 94 Prozent der Büroarbeitenden KI-Anwendungen nutzen. Das Problem liegt hier oft in fehlenden digitalen Strukturen und der Notwendigkeit, Mitarbeiter gezielt durch Schulungen und Workshops zu befähigen. Es geht darum, neue Arbeitsweisen zu erlernen und die Mensch-KI-Kollaboration optimal zu gestalten. Seminare zu «KI im Change Management» und «Zukunftskompetenzen für die Mensch-KI-Kollaboration» belegen den hohen Bedarf an Unterstützung in diesem Bereich. Ein erfolgreiches Change Management schafft Vertrauen, reduziert Ängste und fördert die aktive Mitgestaltung der digitalen Transformation durch die Belegschaft.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Der EU AI Act zwingt den DACH-Mittelstand, sich strategisch mit Künstlicher Intelligenz auseinanderzusetzen. Die folgenden Handlungsempfehlungen helfen Ihnen, die neuen Anforderungen nicht nur zu erfüllen, sondern auch einen echten Mehrwert für Ihr Unternehmen zu schaffen:

1. Starten Sie mit einem umfassenden KI-Scan: Erstellen Sie umgehend ein vollständiges Inventar aller in Ihrem Unternehmen genutzten KI-Systeme, einschliesslich eingebetteter Funktionen in Standardsoftware. Klären Sie, welche Daten diese Systeme verarbeiten, welchen Zweck sie erfüllen und wer dafür verantwortlich ist. Nutzen Sie diese Bestandsaufnahme als Basis für Ihre Risikobewertung.

2. Etablieren Sie eine klare KI-Governance: Definieren Sie Verantwortlichkeiten und Prozesse für den Einsatz, die Überwachung und die kontinuierliche Anpassung von KI-Systemen. Legen Sie fest, wer die Compliance verantwortet und wie interne Prüfungen durchgeführt werden. Eine dedizierte Rolle oder ein Team für KI-Governance kann hier sinnvoll sein, um eine zentrale Steuerung sicherzustellen.

3. Investieren Sie in interne KI-Kompetenz: Bieten Sie gezielte Schulungen und Weiterbildungen für Ihre Mitarbeiter an, von der Führungsebene bis zum Anwender. Dies sollte technische Grundlagen, ethische Aspekte und den sicheren, verantwortungsvollen Umgang mit KI umfassen. Fördern Sie ein internes Verständnis, um die Abhängigkeit von externen Beratern zu reduzieren und eine nachhaltige KI-Strategie zu entwickeln.

4. Prüfen Sie Ihre KI-Anbieter kritisch: Verlangen Sie von allen externen KI-Anbietern detaillierte Informationen zur Compliance mit dem EU AI Act. Integrieren Sie entsprechende Klauseln in Ihre Verträge und stellen Sie sicher, dass Sie bei Verstössen abgesichert sind. Die Verantwortung liegt letztlich bei Ihnen als Anwender.

5. Priorisieren Sie Datenqualität und -infrastruktur: Bauen Sie eine solide Datenstrategie auf. Investieren Sie in die Qualität, Strukturierung und Zugänglichkeit Ihrer Unternehmensdaten. Nur so kann KI ihr volles Potenzial entfalten. Betrachten Sie Daten als strategische Ressource und nicht als blosse Speicherobjekte.

6. Gestalten Sie den Wandel aktiv: Begleiten Sie die Einführung von KI-Systemen mit einem strukturierten Change Management. Kommunizieren Sie transparent die Vorteile und Herausforderungen, binden Sie Mitarbeiter aktiv ein und bieten Sie Unterstützung bei der Anpassung an neue Arbeitsweisen. Fördern Sie eine Kultur, die Offenheit für neue Technologien mit kritischer Reflexion verbindet.

Kritische Einordnung aus Kapitel-H-Sicht

Aus der Perspektive von Kapitel H sehen wir den EU AI Act nicht primär als Hürde, sondern als einen notwendigen Rahmen, der die Entwicklung und den Einsatz von Künstlicher Intelligenz auf eine solide, verantwortungsvolle Grundlage stellt. Es ist eine Fehlinterpretation, die Regulierung als Innovationsbremse zu betrachten. Vielmehr zwingt sie Unternehmen dazu, KI strategisch, transparent und menschenzentriert einzusetzen, was langfristig zu vertrauenswürdigeren und damit erfolgreicheren Anwendungen führen wird.

Unsere Kernbotschaft lautet: Befähigung statt Abhängigkeit. Der Mittelstand muss die Hoheit über seine KI-Strategie und -Umsetzung behalten. Sich blind auf externe Anbieter oder hochtrabende Marketingversprechen zu verlassen, ist ein riskantes Unterfangen. Die geforderte KI-Kompetenzpflicht ist hier ein klares Signal: Unternehmen müssen intern verstehen, was KI tut, wie sie funktioniert und welche Risiken sie birgt. Dies erfordert Investitionen in Wissen und Mitarbeiter, die sich langfristig auszahlen.

Wir sehen eine Tendenz, regulatorische Anforderungen als reine Kostenstelle zu betrachten. Der EU AI Act bietet jedoch die Chance, die eigene Datenbasis zu professionalisieren, interne Prozesse zu optimieren und die Akzeptanz von KI in der Belegschaft zu fördern. Wer diese Hausaufgaben macht, wird nicht nur compliant sein, sondern auch einen entscheidenden Wettbewerbsvorteil erzielen. Insbesondere die Skalierung von KI-Pilotprojekten zu produktiven Systemen bleibt eine Herausforderung. Der Act zwingt Unternehmen, diese Übergangsphase mit der nötigen Sorgfalt und Compliance zu gestalten, was letztlich die Qualität der Implementierungen verbessert.

Es ist entscheidend, den Hype um KI von der realen Anwendung zu trennen. Viele der aktuellen «KI-Lösungen» sind lediglich Automatisierungen bestehender Prozesse, oft ohne die Komplexität und die Transparenzpflichten des AI Acts vollumfänglich zu berücksichtigen. Ein pragmatischer Ansatz, der sich auf konkrete, wertschöpfende Anwendungsfälle konzentriert und diese von Anfang an compliant gestaltet, ist dem blinden Aktionismus vorzuziehen. Daten sind das neue Öl, aber nur, wenn sie sauber, zugänglich und gemäss den neuen Richtlinien verwaltet werden.

Fazit: Jetzt handeln, Zukunft sichern

Der 2. August 2026 ist kein Startschuss für eine ferne Zukunft, sondern der Beginn einer neuen Realität für den Einsatz von Künstlicher Intelligenz im DACH-Mittelstand. Die ersten Kernpflichten des EU AI Act sind aktiv und erfordern eine sofortige und strategische Auseinandersetzung mit den Themen KI-Governance, Transparenz und Kompetenz. Während die umfassende Regulierung von Hochrisiko-KI noch Zeit hat, müssen Unternehmen jetzt die Grundlagen legen, um künftigen Anforderungen gewachsen zu sein.

Wer diese Phase proaktiv gestaltet, sichert nicht nur die Compliance und vermeidet empfindliche Bußgelder, sondern positioniert sich auch als verantwortungsbewusster und zukunftsorientierter Akteur im Markt. Der Aufbau interner Kompetenz, die Klärung von Verantwortlichkeiten und eine solide Datenstrategie sind dabei nicht nur gesetzliche Pflichten, sondern Investitionen in die Wettbewerbsfähigkeit und Innovationskraft Ihres Unternehmens. Nutzen Sie diese Chance, um Ihre Organisation zukunftssicher aufzustellen und das volle, sichere Potenzial der Künstlichen Intelligenz zu erschliessen.