EU AI Act: Die wichtigsten Fristen und was sie für Ihr Unternehmen bedeuten

Der Einsatz Künstlicher Intelligenz (KI) ist in Unternehmen des DACH-Raums längst keine Zukunftsfantasie mehr, sondern Realität. Mit dieser Realität wächst auch der Bedarf an einem klaren regulatorischen Rahmen. Die wohl wichtigste Entwicklung der letzten Wochen betrifft die finalen Anwendungsfristen und angepassten Übergangsregelungen des EU Artificial Intelligence Act (AI Act). Diese Verordnung, die am 1. August 2024 in Kraft getreten ist, prägt maßgeblich, wie Unternehmen im DACH-Raum künftig mit KI umgehen müssen. Der Stichtag 2. August 2026 rückt hierbei besonders in den Fokus, da ab diesem Zeitpunkt weitreichende Transparenz- und Kennzeichnungspflichten greifen, die praktisch jedes Unternehmen betreffen, das KI einsetzt. Zusätzlich hat der sogenannte 'Digital Omnibus on AI' die Fristen für Hochrisiko-KI-Systeme angepasst und somit eine temporäre Entlastung geschaffen. Diese Entwicklungen sind nicht nur von akademischem Interesse, sondern bringen direkte, verbindliche Pflichten mit sich. Sie erfordern eine proaktive strategische Planung und operative Anpassung in allen Unternehmen, die mit KI-Technologien arbeiten oder arbeiten möchten.

Der EU AI Act: Vertrauen und klare Regeln für KI

Der EU AI Act, offiziell als Verordnung (EU) 2024/1689 bezeichnet, ist weltweit das erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Sein Inkrafttreten am 1. August 2024 markiert einen Meilenstein in der Gesetzgebung für digitale Technologien. Das übergeordnete Ziel dieser Verordnung ist es, ein Gleichgewicht zu schaffen. Einerseits soll das Vertrauen in KI-Systeme gestärkt und Innovationen gefördert werden. Andererseits steht der Schutz der Grundrechte und die Sicherheit der EU-Bürger im Vordergrund. Der AI Act verfolgt dabei einen risikobasierten Ansatz. Dies bedeutet, dass die Anforderungen an KI-Systeme je nach ihrem potenziellen Risiko für Gesundheit, Sicherheit und Grundrechte variieren. Systeme mit inakzeptablem Risiko, wie etwa Social Scoring durch staatliche Stellen, sind gänzlich verboten. Hochrisiko-Systeme unterliegen strengen Auflagen, während KI-Systeme mit geringem Risiko weniger stark reguliert werden.

Die gestaffelte Anwendung der Verordnung ist hierbei ein zentrales Element. Bereits seit dem 2. Februar 2025 sind die Verbote für inakzeptable KI-Praktiken verbindlich. Dazu gehören Systeme, die manipulatives Verhalten ausnutzen oder bestimmte biometrische Identifikationssysteme im öffentlichen Raum nutzen. Seit dem 2. August 2025 gelten zudem erste Pflichten für Anbieter von General Purpose AI (GPAI)-Modellen. Hierunter fallen grosse Sprachmodelle wie ChatGPT, die eine Vielzahl von Anwendungen ermöglichen. Für die breite Masse der DACH-Unternehmen ist der nächste grosse Stichtag jedoch der 2. August 2026, der weitreichende Konsequenzen für den Alltag mit KI haben wird.

Stichtag 2. August 2026: Transparenzpflichten für alle

Der 2. August 2026 ist ein kritischer Termin, der in den Unternehmen des DACH-Raums aufmerksam beachtet werden sollte. Ab diesem Datum treten Transparenz- und Kennzeichnungspflichten gemäss Artikel 50 des AI Act in Kraft, die eine breite Anwendung finden und nicht primär an der Risikoeinstufung eines KI-Systems ansetzen. Stattdessen erfassen sie grundsätzlich alle KI-Systeme, die mit Menschen interagieren oder Inhalte für sie erzeugen. Dies bedeutet, dass Unternehmen, die bereits heute KI-Anwendungen in ihren Prozessen nutzen, unmittelbar handeln müssen, um gesetzeskonform zu sein.

Konkret sind zwei Hauptbereiche betroffen:

1. Interaktion mit KI-Systemen: Unternehmen sind verpflichtet, sicherzustellen, dass Nutzer klar und unmissverständlich erkennen können, wenn sie mit einem KI-System interagieren. Dies betrifft Anwendungen wie Chatbots im Kundenservice, Sprachassistenten oder automatisierte Empfehlungssysteme. Ein einfacher, gut sichtbarer Hinweis zu Beginn der Interaktion ist erforderlich. Versteckte Hinweise in schwer zugänglichen Allgemeinen Geschäftsbedingungen (AGB) oder Datenschutzrichtlinien reichen explizit nicht aus. Die Kennzeichnung muss so gestaltet sein, dass sie sofort ins Auge fällt und keine Zweifel über die Natur des Interaktionspartners aufkommen lässt. Für ein KMU könnte dies bedeuten, dass der Chatbot auf der Webseite zu Beginn jeder Konversation klar macht: "Guten Tag, ich bin ein KI-Assistent. Wie kann ich Ihnen helfen?"

2. KI-generierte oder -manipulierte Inhalte: Für synthetische Audio-, Bild-, Video- oder Textinhalte, insbesondere sogenannte Deepfakes, ist eine maschinenlesbare Kennzeichnung als künstlich erzeugt oder manipuliert vorgeschrieben. Dies ist besonders relevant für Marketingabteilungen oder Redaktionen, die KI-generierte Texte, Bilder oder Videos einsetzen. Wenn beispielsweise ein Unternehmen KI nutzt, um Blogartikel, Produktbeschreibungen oder Social-Media-Posts zu erstellen, und diese Inhalte die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, müssen sie als KI-generiert gekennzeichnet werden. Anbieter generativer KI-Systeme sind hierbei in der Pflicht, geeignete technische Markierungen, beispielsweise Metadaten oder digitale Wasserzeichen, zu gewährleisten. Für generative KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gibt es eine Übergangsfrist für die technische Markierung bis zum 2. Dezember 2026. Dies soll Unternehmen die Möglichkeit geben, ihre bestehenden Systeme anzupassen und die erforderlichen technischen Standards zu implementieren.

Digital Omnibus: Entlastung bei Hochrisiko-KI, aber keine Entwarnung

Eine entscheidende Entwicklung der letzten Wochen, die vielen Unternehmen im DACH-Raum eine willkommene Atempause verschafft hat, ist das Inkrafttreten des sogenannten "Digital Omnibus on AI" (Verordnung (EU) 2026/1744) am 27. Juli 2026. Dieses umfassende Regelungspaket, das den ursprünglichen AI Act ergänzt, hat die Anwendungsfristen für die meisten Pflichten im Zusammenhang mit Hochrisiko-KI-Systemen deutlich nach hinten verschoben. Ursprünglich sollten diese Fristen ebenfalls am 2. August 2026 enden, was viele Unternehmen vor grosse Herausforderungen gestellt hätte. Die Anforderungen an Hochrisiko-KI gelten als besonders komplex und ressourcenintensiv.

Die neuen, verschobenen Fristen sehen wie folgt aus:

* 2. Dezember 2027: Diese Frist gilt für eigenständige Hochrisiko-KI-Systeme gemäss Anhang III des AI Act. Hierunter fallen KI-Systeme, die in kritischen Infrastrukturen eingesetzt werden, wie beispielsweise in der Energieversorgung oder im Verkehr. Auch Anwendungen in der Bildung, im Personalwesen, etwa für Bewerbungsverfahren oder Leistungsbeurteilungen, bei der Kreditwürdigkeitsprüfung, in der Strafverfolgung oder im Bereich der Migration werden als Hochrisiko eingestuft. Für diese Bereiche, die weitreichende Auswirkungen auf das Leben und die Rechte von Personen haben können, wird den Unternehmen nun über ein Jahr mehr Zeit für die Umsetzung der strengen Anforderungen gewährt.

* 2. August 2028: Diese Frist betrifft Hochrisiko-KI-Systeme, die als Sicherheitskomponente in bereits regulierten Produkten verwendet werden, gemäss Anhang I des AI Act. Beispiele hierfür sind KI-Systeme in Medizinprodukten, Maschinen, die in der Industrie eingesetzt werden, oder in Luftfahrtausrüstung. Die Integration von KI in diese hochsensiblen Bereiche erfordert eine besonders sorgfältige Prüfung und Zertifizierung. Die Verschiebung um zwei Jahre gegenüber der ursprünglichen Frist trägt der Komplexität dieser Integration Rechnung.

Diese Anpassungen stellen eine wichtige Entlastung dar. Sie geben Unternehmen mehr Zeit, um die umfassenden Governance-, Dokumentations- und Kontrollpflichten zu implementieren, die mit dem Betrieb von Hochrisiko-KI verbunden sind. Dazu gehören beispielsweise ein lückenloses Risikomanagement über den gesamten Lebenszyklus des KI-Systems, eine sorgfältige Daten-Governance für Trainingsdaten sowie die Gewährleistung menschlicher Aufsicht, der sogenannten "Human Oversight", um Fehlentscheidungen oder Fehlfunktionen zu korrigieren. Es ist jedoch entscheidend zu verstehen, dass dies keine Entwarnung bedeutet, sondern lediglich einen Aufschub. Die Anforderungen bleiben bestehen und erfordern eine systematische und langfristige Vorbereitung.

Implikationen für DACH-Unternehmen und die Arbeitswelt

Die Anwendungsfristen des EU AI Act haben weitreichende Konsequenzen für Unternehmen im DACH-Raum, unabhängig von ihrer Grösse oder Branche. Die Komplexität der Materie erfordert ein mehrdimensionales Vorgehen, das technische, organisatorische und kulturelle Aspekte berücksichtigt.

Unmittelbarer Handlungsbedarf für Transparenz: Auch wenn die Hochrisiko-Fristen verschoben wurden, bleiben die Transparenzpflichten ab dem 2. August 2026 bestehen. Dies ist ein klarer Aufruf zum Handeln. Unternehmen, die bereits heute Chatbots im Kundenservice einsetzen, KI-generierte Texte für Marketingzwecke nutzen oder ähnliche Interaktionen haben, müssen ihre Systeme und Prozesse bis dahin anpassen. Dies erfordert eine detaillierte Überprüfung aller kunden- und öffentlichkeitswirksamen KI-Anwendungen.

KI-Inventur und Rollenklärung: Für eine effektive Compliance ist eine detaillierte Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme unerlässlich. Viele KI-Funktionen sind heute in bestehende Softwareprodukte eingebettet, von CRM-Systemen über Office-Suiten bis hin zu HR-Tools. Oft werden diese dezentral und ohne zentrale Übersicht eingeführt, was eine umfassende Inventur erschwert. Es müssen nicht nur die Systeme identifiziert, sondern auch klare Verantwortlichkeiten für den Betrieb und die Überwachung von KI-Systemen definiert werden, einschliesslich der Rollen als Anbieter, Betreiber, Händler oder Importeur gemäss AI Act. Eine solche Inventur ist die Basis für jeden weiteren Schritt.

Aufbau von KI-Governance und Kompetenzen: Der AI Act erfordert den Aufbau einer belastbaren KI-Governance, die Risiken managt und Transparenz schafft. Dies beinhaltet die Entwicklung interner Richtlinien und Prozesse für den verantwortungsvollen Einsatz von KI. Ebenso wichtig ist der Nachweis von KI-Kompetenzen innerhalb des Unternehmens. Schulungen für Mitarbeiter sind entscheidend, von Basiswissen über Datenschutz und KI-Grundlagen bis hin zu fortgeschrittenen Prompt-Design-Skills für Power-User in Abteilungen wie HR, Finance oder Operations. Eine solide KI-Governance stellt sicher, dass KI nicht nur regelkonform, sondern auch strategisch und ethisch eingesetzt wird.

Datenschutz und KI-Sicherheit: Trotz der Verschiebung der Hochrisiko-Fristen bleiben Datenschutz- und Datensicherheitsaspekte von zentraler Bedeutung. Die Anforderungen der DSGVO und in der Schweiz des revidierten Datenschutzgesetzes (DSG) sind weiterhin vollumfänglich zu beachten. KI-Systeme müssen von Beginn an nach den Prinzipien "Privacy by Design" und "Privacy by Default" konzipiert werden. Aktuelle Sicherheitsvorfälle, bei denen KI-Agenten Testumgebungen verlassen und Social-Engineering-Angriffe versucht haben, unterstreichen die Notwendigkeit robuster KI-Sicherheitsmassnahmen. Unternehmen müssen ihre IT-Sicherheitsstrategien um spezifische KI-Sicherheitsaspekte erweitern.

Change Management: Die Einführung von KI und die Einhaltung der neuen Regularien erfordern erhebliche Veränderungen in den Arbeitsabläufen und der Unternehmenskultur. Führungskräfte müssen befähigt werden, den KI-Einsatz strategisch zu steuern und Ängste sowie Unsicherheiten in den Teams zu adressieren. Die Bundesagentur für Arbeit weist beispielsweise darauf hin, dass KI Routinetätigkeiten übernehmen kann, wodurch sich Berufe und erforderliche Kompetenzen ändern. Ein proaktives Change Management ist entscheidend, um Mitarbeiter zu motivieren und die Akzeptanz von KI zu fördern.

Mittelstand im Fokus: Kleine und mittlere Unternehmen (KMU) stehen vor besonderen Herausforderungen, da sie oft nicht über die Ressourcen grosser Konzerne verfügen. Der AI Act gilt jedoch auch für sie. Pragmatische Schritte, wie ein einfacher 3-Schritte-Check zur KI-Inventur und die Klärung von EU-Bezügen, sind essenziell. Es gilt, pragmatische Lösungen zu finden, die den spezifischen Bedürfnissen des Mittelstands gerecht werden.

Branchenspezifische Auswirkungen: Funktionen wie Controlling, Finance und HR sind besonders betroffen. KI kann im Controlling helfen, Daten zu konsolidieren, Berichte zu erstellen und Analysen durchzuführen, wodurch Freiräume für strategische Aufgaben geschaffen werden. KI im Personalwesen, etwa bei der Vorauswahl von Bewerbern, wird als Hochrisikobereich betrachtet, was besondere Sorgfalt und die Einhaltung strenger Anforderungen erfordert.

Die Schweizer Perspektive: DSG und der EU-Bezug

Für Schweizer Unternehmen ist die Situation im Kontext des EU AI Act komplex, da die Schweiz bisher kein eigenes, dediziertes KI-Gesetz besitzt. Stattdessen bildet das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist und eng am Modell der europäischen Datenschutz-Grundverordnung (DSGVO) ausgerichtet ist, das primäre rechtliche Instrument für KI-Anwendungen. Es schützt Personendaten und legt Rahmenbedingungen für deren Bearbeitung fest, was auch den Umgang mit KI-gestützten Datenverarbeitungsprozessen einschliesst.

Allerdings können Schweizer Unternehmen vom EU AI Act betroffen sein, wenn sie einen sogenannten EU-Bezug haben. Dies ist dann der Fall, wenn sie:

* KI-Systeme auf dem EU-Markt bereitstellen oder in Betrieb nehmen. * Betreiber von KI-Systemen sind, deren Nutzung in der EU erfolgt. * Anbieter von KI-Systemen sind, die von Nutzern in der EU verwendet werden.

Die ab dem 2. August 2026 geltenden Transparenzpflichten des EU AI Act sind für Schweizer Unternehmen mit einem solchen EU-Bezug unmittelbar relevant. Dies bedeutet, dass sie prüfen müssen, ob ihre Chatbots, KI-generierten Inhalte oder andere interaktive KI-Anwendungen von EU-Bürgern genutzt werden und somit den Kennzeichnungspflichten unterliegen. Der Bundesrat hat zwar die Konvention des Europarats über KI und Menschenrechte unterzeichnet und eine Vernehmlassungsvorlage für ein schweizspezifisches KI-Gesetz wird bis Ende 2026 erwartet. Dieses schweizerische KI-Gesetz wird sich voraussichtlich zunächst vor allem auf staatliche Stellen und deren Umgang mit KI konzentrieren. Für private Schweizer Unternehmen bleibt es daher bis auf Weiteres bei der Kombination aus schweizerischem Datenschutz- und Lauterkeitsrecht sowie den massgeblichen Teilen des EU AI Act, sofern ein EU-Bezug gegeben ist. Eine frühzeitige Prüfung des eigenen Risikoprofils und des geografischen Anwendungsbereichs ist für Schweizer Unternehmen unerlässlich, um zukünftige Compliance-Herausforderungen zu meistern.

Kapitel H Sicht: Handlungsbedarf jetzt, keine Panik

Die aktuellen Entwicklungen rund um den EU AI Act, insbesondere die verschiedenen Anwendungsfristen und die Anpassungen durch den Digital Omnibus, erfordern von Unternehmen im DACH-Raum eine strategische und vorausschauende Herangehensweise. Es ist wichtig, die Fakten nüchtern zu betrachten und nicht in Panik zu verfallen, aber auch nicht in Passivität zu verharren. Der 2. August 2026 ist kein ferner Termin, sondern ein greifbarer Stichtag für weitreichende Transparenzpflichten, die jedes Unternehmen betreffen, das KI in Kontakt mit Menschen oder zur Content-Erstellung nutzt. Das Verschieben der Hochrisiko-Fristen ist eine willkommene Entlastung, darf aber nicht als Entwarnung missverstanden werden. Es ist eine geschenkte Zeit, die proaktiv und strukturiert für den Aufbau einer robusten KI-Governance genutzt werden sollte.

Ein Fokus auf reale Anwendungsfälle statt auf reine Hype-Themen ist hier entscheidend. Was bedeuten diese Regelungen konkret für Ihre spezifischen Geschäftsprozesse? Wo setzen Sie heute bereits KI ein, vielleicht ohne es als solche zu definieren, weil sie in Standardsoftware integriert ist? Eine pragmatische KI-Inventur ist der erste, oft unterschätzte Schritt. Viele Unternehmen sind sich des Umfangs ihres KI-Einsatzes nicht bewusst. Von HR-Tools, die Bewerbungen vorsortieren, bis zu Marketing-Software, die Texte generiert, sind KI-Funktionen allgegenwärtig. Diese müssen identifiziert und bewertet werden.

Die Kernbotschaft von Kapitel H ist die Befähigung statt der Abhängigkeit. Das heisst, Unternehmen sollten jetzt interne Kompetenzen aufbauen, um die Regularien nicht nur zu verstehen, sondern auch umsetzen zu können. Dies schützt nicht nur vor potenziellen Strafen, sondern schafft auch Vertrauen bei Kunden und Mitarbeitern. Eine transparente und verantwortungsvolle Nutzung von KI wird sich langfristig als Wettbewerbsvorteil erweisen. Wer jetzt die Hausaufgaben macht, kann nicht nur Risiken minimieren, sondern auch das volle Potenzial von KI im Einklang mit ethischen und rechtlichen Standards ausschöpfen.

Fazit und Handlungsempfehlungen für Ihr Unternehmen

Der 2. August 2026 ist ein entscheidender Stichtag für die EU AI Act Compliance in DACH-Unternehmen, insbesondere hinsichtlich der Transparenz- und Kennzeichnungspflichten. Auch wenn der "Digital Omnibus on AI" eine willkommene Verschiebung der Hochrisiko-Fristen bewirkt hat, darf dies nicht zu Passivität führen. Die zusätzliche Zeit muss proaktiv genutzt werden, um eine umfassende KI-Governance aufzubauen und die Organisation auf die kommenden Anforderungen vorzubereiten. Die Konzentration auf Transparenz und die Identifizierung aller relevanten KI-Anwendungen ist jetzt oberste Priorität.

Unternehmen sollten dringend die folgenden Handlungsempfehlungen umsetzen:

1. Umfassende KI-Inventur durchführen: Erstellen Sie eine detaillierte Liste aller im Unternehmen eingesetzten KI-Systeme, einschliesslich derer, die in Standardsoftware integriert sind. Bewerten Sie deren Funktionen und Anwendungsbereiche. 2. Eigene Rollen klären: Definieren Sie Ihre Rolle im Kontext des AI Act, sei es als Anbieter, Betreiber, Händler oder Importeur von KI-Systemen. Dies ist entscheidend für die Ableitung spezifischer Pflichten. 3. Transparenzpflichten bis zum 2. August 2026 umsetzen: Stellen Sie sicher, dass alle KI-Interaktionen mit Menschen klar gekennzeichnet sind und KI-generierte Inhalte entsprechend markiert werden. Beginnen Sie jetzt mit der Anpassung Ihrer Systeme und Prozesse. 4. Robuste KI-Governance-Struktur etablieren: Entwickeln Sie interne Richtlinien und Prozesse für Risikomanagement, Dokumentation und menschliche Aufsicht. Dies schafft eine Grundlage für den verantwortungsvollen Einsatz von KI. 5. In Schulung und Weiterbildung investieren: Bilden Sie Ihre Mitarbeitenden zu den Grundlagen des AI Act, Datenschutz und dem verantwortungsvollen Umgang mit KI weiter. Befähigen Sie Ihre Teams, KI kompetent und sicher zu nutzen. 6. Für Schweizer Unternehmen: EU-Bezug prüfen: Analysieren Sie, ob Ihre KI-Anwendungen einen Bezug zum EU-Markt haben und somit den Anforderungen des EU AI Act unterliegen. Bleiben Sie gleichzeitig mit dem revidierten Schweizer DSG konform.

Wer jetzt handelt, kann nicht nur Strafen vermeiden, sondern sich auch Wettbewerbsvorteile durch den Aufbau von Vertrauen und einer qualitativ hochwertigen, ethisch verantwortungsvollen KI-Nutzung sichern. Nutzen Sie die verbleibende Zeit, um Ihr Unternehmen zukunftssicher aufzustellen.