EU AI Act: Diese Fristen 2026 erfordern Ihr sofortiges Handeln

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Während in den letzten Monaten Gerüchte über eine allgemeine Verschiebung der Fristen kursierten, verdeutlichen aktuelle Berichte: Für viele Unternehmen im DACH-Raum werden wesentliche Teile der Regulierung bereits in wenigen Wochen scharfgeschaltet. Spezifische Pflichten, insbesondere im Bereich der Transparenz und des Einsatzes von General Purpose AI (GPAI) Modellen, treten am 2. August 2026 in Kraft. Es ist ein Irrtum anzunehmen, Unternehmen hätten noch viel Zeit. Wer jetzt nicht handelt, riskiert nicht nur hohe Bußgelder, sondern auch den Verlust von Wettbewerbsfähigkeit und Vertrauen.

Der EU AI Act: Stufenweise Einführung, schnelle Konsequenzen

Der EU AI Act ist seit August 2024 in Kraft und wird schrittweise anwendbar. Diese stufenweise Implementierung hat bei vielen Unternehmen zu Verunsicherung oder gar einer falschen Einschätzung der Dringlichkeit geführt. Ein häufiges Missverständnis ist die Annahme, alle wesentlichen Pflichten lägen noch in ferner Zukunft. Dies liegt primär an der Diskussion um die Hochrisiko-KI-Systeme. Tatsächlich wurden die vollständigen Compliance-Fristen für die komplexesten Hochrisiko-KI-Systeme aus Anhang III des Gesetzes durch den sogenannten „Digital Omnibus on AI“ verschoben, und zwar auf Dezember 2027 für eigenständige Systeme und auf August 2028 für KI als Sicherheitskomponente in bereits regulierten Produkten. Diese Anpassung ist relevant und entlastet in diesen spezifischen, hochkomplexen Anwendungsfällen. Allerdings dürfen diese Verzögerungen nicht darüber hinwegtäuschen, dass andere, ebenso kritische und breit gefasste Verpflichtungen unmittelbar bevorstehen.

Der 2. August 2026 markiert einen wichtigen Stichtag, der zwei zentrale Verpflichtungen für nahezu jedes DACH-Unternehmen aktiviert, das KI einsetzt oder anbietet. Diese Frist betrifft nicht nur grosse Konzerne, sondern auch mittelständische Betriebe und KMU, die generative KI-Tools in ihren täglichen Prozessen nutzen. Es geht um die Art und Weise, wie KI-generierte Inhalte gekennzeichnet werden müssen, und um die Durchsetzbarkeit der Regeln für allgemeine KI-Modelle. Unternehmen müssen sich bewusst machen, dass die vermeintliche Entspannung bei Hochrisiko-Systemen nicht für alle Bereiche des AI Act gilt. Eine proaktive Auseinandersetzung mit den kommenden Anforderungen ist zwingend erforderlich, um Compliance-Lücken und die damit verbundenen finanziellen und reputativen Risiken zu vermeiden.

Transparenzpflichten für KI-generierte Inhalte (Artikel 50): Was wirklich zählt

Eine der wichtigsten und am häufigsten missverstandenen Bestimmungen des EU AI Act sind die Transparenzpflichten für KI-generierte Inhalte, festgelegt in Artikel 50. Diese treten ohne weitere Verzögerung am 2. August 2026 in Kraft. Für Unternehmen bedeutet dies, dass jeder Inhalt, der von einem generativen KI-System erstellt oder maßgeblich manipuliert wurde, eindeutig als KI-generiert oder -manipuliert gekennzeichnet sein muss. Dies betrifft eine breite Palette von Medienformaten: Bilder, Videos, Audiodateien und Texte. Der Gesetzgeber zielt darauf ab, irreführende Inhalte zu vermeiden, die fälschlicherweise als authentisch oder wahr erscheinen könnten. Ein prominentes Beispiel hierfür sind sogenannte „Deepfakes“, bei denen Personen in Videos oder Bildern dargestellt werden, wie sie Dinge tun oder sagen, die sie nie getan oder gesagt haben.

Die Kennzeichnungspflicht für Texte ist besonders weitreichend und betrifft viele alltägliche Geschäftsbereiche. Sie gilt, wenn Texte „zu dem Zweck veröffentlicht werden, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“. Diese Formulierung ist breit gefasst und kann diverse Anwendungen umfassen. Im Marketing kann dies bedeuten, dass Produktbeschreibungen, Blogbeiträge oder Social-Media-Texte, die mithilfe generativer KI erstellt wurden, entsprechend gekennzeichnet werden müssen. In der Kundenkommunikation könnten KI-generierte Antworten im Kundenservice oder in Chatbots unter diese Regelung fallen, wenn sie relevante Informationen von öffentlichem Interesse enthalten. Auch in redaktionellen Bereichen, sei es für Unternehmensblogs oder interne Kommunikationsmedien, ist eine genaue Prüfung des Inhalts und der Kennzeichnungspflicht unumgänglich. Selbst der bloße Einsatz eines generativen Textwerkzeugs kann eine Kennzeichnungspflicht auslösen, je nach dem Gegenstand des Textes und dem Grad der menschlichen Kontrolle, die bei der Erstellung ausgeübt wurde. Dies erfordert von Unternehmen eine präzise Prozessdefinition und klare interne Richtlinien, um sicherzustellen, dass keine unbeabsichtigten Verstöße entstehen.

Durchsetzung für General Purpose AI (GPAI) Modelle: Ihre Verantwortung als Nutzer

Die Regelungen für General Purpose AI (GPAI) Modelle, zu denen populäre Systeme wie ChatGPT, Claude oder Llama zählen, sind ein weiterer kritischer Punkt, der am 2. August 2026 scharfgeschaltet wird. Die grundlegenden Verpflichtungen für Anbieter dieser Modelle gelten zwar bereits seit August 2025, jedoch wird erst im August 2026 die EU-Kommission ihre vollen Durchsetzungsbefugnisse und damit auch die Möglichkeit zur Verhängung von Bußgeldern aktivieren. Dies bedeutet für die Anbieter von GPAI-Modellen, dass sie Transparenzanforderungen erfüllen und das EU-Urheberrecht beachten müssen. Sie müssen unter anderem offenlegen, welche Inhalte durch KI generiert wurden und wie das Modell konzipiert ist, um illegale Inhalte zu vermeiden.

Für Unternehmen im DACH-Raum, die diese GPAI-Modelle als Nutzer oder „Deployer“ einsetzen, ergeben sich daraus direkte Konsequenzen. Auch wenn die primäre Verantwortung zunächst beim Anbieter liegt, stehen Nutzer in der Pflicht, sicherzustellen, dass sie KI-Systeme gesetzeskonform und verantwortungsvoll einsetzen. Die aktivierte Durchsetzung bedeutet, dass Unternehmen sich auf eine erhöhte Compliance-Erwartung und potenzielle Haftung einstellen müssen, insbesondere wenn sie diese Modelle ohne eine entsprechende Governance in geschäftskritischen Prozessen verwenden. Das Risiko besteht nicht nur in der direkten Haftung, sondern auch in Reputationsschäden, falls durch den Einsatz von GPAI-Modellen ohne ausreichende Kontrolle Urheberrechtsverletzungen oder die Generierung illegaler Inhalte entstehen. Für leistungsfähigere GPAI-Systeme, die ein Systemrisiko darstellen könnten, wie beispielsweise neuere Versionen von GPT-4, gelten zusätzliche strengere Bewertungs- und Meldepflichten für die Anbieter. Als Nutzer dieser Systeme ist es für Unternehmen entscheidend, die Compliance-Zusicherungen ihrer Anbieter genau zu prüfen und eigene interne Kontrollmechanismen zu etablieren, um den sicheren und rechtskonformen Einsatz zu gewährleisten.

Konkrete Handlungsempfehlungen für Ihr Unternehmen im DACH-Raum

Die Brisanz dieser Fristen für den DACH-Arbeitsmarkt ist unbestreitbar. Laut einer Bitkom-Studie geben 69 Prozent der deutschen Unternehmen an, Unterstützung bei der Umsetzung des EU AI Act zu benötigen, während sich bisher nur 24 Prozent ernsthaft damit auseinandergesetzt haben. Dies verdeutlicht eine erhebliche Lücke zwischen den regulatorischen Anforderungen und der aktuellen Unternehmensrealität. Es ist jetzt an der Zeit, proaktiv zu werden und konkrete Schritte einzuleiten.

1. Inventarisierung und Risikobewertung Ihrer KI-Systeme: Erfassen Sie systematisch alle im Unternehmen eingesetzten KI-Systeme. Dies umfasst nicht nur selbst entwickelte oder maßgeschneiderte Anwendungen, sondern auch Standard-Tools wie Microsoft Copilot, ChatGPT, DeepL und ähnliche Dienste. Jedes dieser Systeme muss einer Risikobewertung unterzogen werden, da das Unternehmen als „Deployer“, also als Nutzer, ebenfalls in der Verantwortung steht. Klären Sie, welche Daten verarbeitet werden, welche Entscheidungen getroffen und welche Ergebnisse generiert werden. Dokumentieren Sie diesen Prozess gründlich.

2. Etablierung eines Transparenzmanagements: Entwickeln Sie klare interne Richtlinien und Prozesse, die sicherstellen, dass alle KI-generierten oder -manipulierten Inhalte korrekt gekennzeichnet werden. Dies erfordert nicht nur technische Lösungen zur automatischen Kennzeichnung, wo immer möglich, sondern auch umfassende Schulungen für Ihre Mitarbeiter. Insbesondere in Branchen wie dem Gastgewerbe, wo Bilder und Texte für die Außendarstellung verwendet werden, oder in Medienunternehmen, sind die Definitionen für kennzeichnungspflichtige Inhalte weitreichend. Eine präzise Umsetzung vermeidet rechtliche Konsequenzen und stärkt das Vertrauen Ihrer Kunden.

3. Sicherstellung der Datenschutzkonformität (EU AI Act und DSGVO/nDSG): Der EU AI Act ist eng mit den bestehenden Datenschutzvorschriften verknüpft. Auch wenn der AI Act den Schutz der Grundrechte und die Sicherheit von KI-Systemen in den Vordergrund stellt, müssen Unternehmen gleichzeitig die Bestimmungen der DSGVO für EU-Länder und des Schweizer Datenschutzgesetzes (nDSG) beachten. Beide Gesetze sind technologie-neutral formuliert und gelten daher uneingeschränkt für KI-Anwendungen. Für Schweizer KMU ist dabei besonders wichtig zu beachten, dass DSGVO-Konformität nicht automatisch nDSG-Konformität bedeutet und dass Datenbearbeitungen mit KI-Tools im Ausland den strengen Schweizer Anforderungen genügen müssen. Eine sorgfältige Abstimmung beider Regulierungsrahmen ist unabdingbar.

4. Aufbau von KI-Kompetenz und Change Management: Der AI Act schreibt bereits seit Februar 2025 eine „KI-Kompetenzpflicht“ für Unternehmen vor. Dies bedeutet, dass Sie sicherstellen müssen, dass Ihre Mitarbeiter, die mit KI arbeiten, über die notwendigen Fähigkeiten und Kenntnisse verfügen. Gezielte Schulungs- und Trainingsprogramme sind hier entscheidend. Diese sollten nicht nur die technische Handhabung der Tools umfassen, sondern auch die ethischen, rechtlichen und prozessualen Aspekte des KI-Einsatzes abdecken. Studien zeigen, dass der Produktivitätseffekt von KI oft hinter den Erwartungen zurückbleibt, weil Tools nicht ausreichend in Kernsysteme integriert und Mitarbeiter nicht ausreichend geschult werden, um ihr volles Potenzial zu nutzen. Unternehmen wie OpenAI investieren massiv in den Aufbau von Partnernetzwerken im DACH-Raum, um Unternehmen bei der Implementierung und dem Change Management zu unterstützen, was die Notwendigkeit dieser Begleitung unterstreicht.

5. Entwicklung robuster KI-Governance-Strukturen: Unabhängig von den verschobenen Fristen für Hochrisiko-KI-Systeme sollten Sie robuste KI-Governance-Strukturen aufbauen. Dies ist essenziell, um den verantwortungsvollen Einsatz von KI zu steuern, Risiken proaktiv zu managen und Compliance nachhaltig zu gewährleisten. Eine solche Governance umfasst die klare Zuweisung von Verantwortlichkeiten, die Festlegung von Kontrollmechanismen für den gesamten Lebenszyklus von KI-Systemen und die Einrichtung von Audit-Trails, um Entscheidungen und Prozesse transparent nachvollziehbar zu machen. Eine solide Governance ist die Basis für einen sicheren und vertrauenswürdigen KI-Einsatz.

Kapitel H Perspektive: Pragmatisch statt Panisch

Die Reaktion auf den EU AI Act im DACH-Raum ist oft von Unsicherheit geprägt. Die erwähnte Bitkom-Studie belegt, dass eine große Mehrheit der Unternehmen Unterstützung benötigt, aber nur ein kleiner Teil aktiv geworden ist. Diese Diskrepanz birgt erhebliche Risiken, die über die reinen Bußgelder hinausgehen. Aus unserer Sicht bei Kapitel H ist es entscheidend, eine pragmatische statt einer panischen Herangehensweise zu wählen. Es geht nicht darum, den Kopf in den Sand zu stecken oder in Aktionismus zu verfallen, sondern darum, konkrete, datenbasierte Schritte zu planen und umzusetzen.

Viele Unternehmen lassen sich von der Komplexität der gesamten Regulierung und den verzögerten Fristen für Hochrisiko-Systeme zu dem Trugschluss verleiten, dass noch ausreichend Zeit für die Auseinandersetzung mit dem AI Act bestehe. Diese Denkweise ist gefährlich, da sie die unmittelbar bevorstehenden und weitreichenden Pflichten für Transparenz und GPAI-Nutzung ignoriert. Unsere Kernbotschaft lautet: Befähigung statt Abhängigkeit. Unternehmen müssen verstehen, welche KI sie einsetzen, welche Risiken damit verbunden sind und wie sie diese Risiken proaktiv managen können. Das bedeutet, interne Kompetenzen aufzubauen und nicht einfach externe Dienstleister blind zu beauftragen. Es geht darum, eine informierte Entscheidungsgrundlage zu schaffen und die Kontrolle über den eigenen KI-Einsatz zu behalten.

Es ist wichtig, kritisch gegenüber dem Hype um KI zu bleiben und sich auf reale Anwendungsszenarien zu konzentrieren. Der EU AI Act ist keine abstrakte Zukunftsmusik, sondern eine konkrete gesetzliche Anforderung, die direkte Auswirkungen auf Geschäftsprozesse und die tägliche Arbeit hat. Wer jetzt die notwendigen Governance-Strukturen aufbaut, Mitarbeiter schult und Transparenzprozesse etabliert, vermeidet nicht nur rechtliche Fallstricke, sondern schafft auch die Grundlage für einen verantwortungsvollen und vertrauenswürdigen Einsatz von KI, der langfristig einen echten Mehrwert generiert.

Fazit: Jetzt handeln, Risiken minimieren, Vertrauen schaffen

Der 2. August 2026 ist keine ferne Zukunft, sondern eine unmittelbar bevorstehende Frist für den EU AI Act, die weitreichende Konsequenzen für Unternehmen im DACH-Raum mit sich bringt. Die Verpflichtungen zur Transparenz bei KI-generierten Inhalten und die Durchsetzungsbefugnisse für General Purpose AI Modelle sind real und erfordern umgehendes Handeln. Die gängige Annahme, es gäbe noch viel Zeit aufgrund verschobener Fristen für Hochrisiko-KI-Systeme, ist ein gefährlicher Irrtum.

Unternehmen, die jetzt proaktiv ihre KI-Systeme inventarisieren, Prozesse für die Kennzeichnung von KI-Inhalten etablieren, Datenschutzkonformität sicherstellen, KI-Kompetenzen aufbauen und robuste Governance-Strukturen implementieren, minimieren nicht nur das Risiko hoher Bußgelder, die bis zu 7 Prozent des weltweiten Jahresumsatzes betragen können. Sie stärken auch das Vertrauen ihrer Kunden und Partner in den verantwortungsvollen Einsatz von Künstlicher Intelligenz. Nutzen Sie diese Zeit, um sich auf die kommenden Anforderungen vorzubereiten und KI als Werkzeug zur nachhaltigen Wertschöpfung zu etablieren, statt als unkalkulierbares Risiko zu betrachten. Der Schlüssel liegt in der Befähigung Ihrer Organisation, diese neuen Anforderungen souverän zu meistern und die Chancen der KI verantwortungsvoll zu nutzen.