EU AI Act Fristen und KI-Souveränität: Was DACH-Unternehmen jetzt wissen müssen

Der Einsatz künstlicher Intelligenz prägt zunehmend die Arbeitswelt. Diese Transformation wird nicht nur von technologischen Fortschritten, sondern auch von einem immer dichteren regulatorischen Rahmen beeinflusst. Insbesondere der EU AI Act, das weltweit erste umfassende Gesetz zur Regulierung von KI, spielt hier eine zentrale Rolle. Die jüngsten Anpassungen an dessen Fristen und die gleichzeitig wachsende Diskussion um digitale Souveränität stellen für Unternehmen im deutschsprachigen Raum wichtige Entwicklungen dar, die eine strategische Auseinandersetzung erfordern.

Gerade für den Mittelstand im DACH-Raum ergeben sich aus diesen Verschiebungen einerseits ein wichtiger Aufschub, andererseits aber auch die Notwendigkeit, eine proaktive und informierte KI-Strategie zu entwickeln. Es geht darum, die Potenziale der KI zu nutzen und gleichzeitig rechtliche Anforderungen sowie geopolitische Realitäten zu berücksichtigen. Kapitel H beleuchtet die konkreten Auswirkungen dieser Entwicklungen und gibt praxisnahe Handlungsempfehlungen.

EU AI Act: Was die Fristverlängerung wirklich bedeutet

Der EU AI Act ist seit August 2024 formal in Kraft, doch die weitreichendsten Verpflichtungen für Unternehmen sollten schrittweise greifen. Ein zentraler Stichtag, der 2. August 2026, an dem zahlreiche Bestimmungen, insbesondere für Hochrisiko-KI-Systeme, wirksam werden sollten, wurde nun durch eine provisorische Einigung im Rahmen des sogenannten "Digital Omnibus" in der Europäischen Union verschoben.

Diese Verschiebung ist keine Aufhebung der Verpflichtungen, sondern eine Verlängerung der Übergangsfristen. Konkret verschieben sich die Hauptpflichten für nutzungsbasierte Hochrisiko-KI-Systeme, welche in Anhang III des AI Act definiert sind, vom 2. August 2026 auf den 2. Dezember 2027. Dies gewährt den betroffenen Unternehmen eine Verlängerung von 16 Monaten für die Compliance-Vorbereitungen. Beispiele hierfür sind KI-Systeme im Personalwesen, etwa zur Kandidatenauswahl, oder bei der Kreditvergabe.

Für Hochrisiko-KI-Systeme, die in regulierte Produkte eingebettet sind, die im Anhang I aufgeführt werden, wie beispielsweise in der Medizintechnik oder der Luftfahrt, verlängert sich die Übergangsfrist sogar bis zum 2. August 2028. Auch die Transparenzpflichten für KI-generierte Inhalte, wie Watermarking oder die Kennzeichnung von Deepfakes, die ursprünglich ebenfalls ab dem 2. August 2026 gelten sollten, wurden bis zum 2. Dezember 2026 verschoben.

Diese Verzögerungen sind eine direkte Reaktion auf Bedenken der Industrie und anderer Stakeholder. Die Operationalisierung vieler Bestimmungen des AI Act, insbesondere im Hinblick auf erforderliche Testverfahren, umfangreiche Dokumentationen und die Notwendigkeit von Zertifizierungen durch Dritte, hat sich als komplexer als ursprünglich angenommen erwiesen. Für Unternehmen im DACH-Raum bedeutet dies, dass sie nun mehr Zeit haben, ihre Compliance-Strategien anzupassen. Es ist jedoch entscheidend zu verstehen, dass es sich hierbei primär um eine Fristverlängerung und nicht um eine grundlegende Lockerung der zugrundeliegenden Verpflichtungen handelt. Die Kernprinzipien des risikobasierten Ansatzes des AI Act bleiben bestehen. Unternehmen sind weiterhin aufgefordert, ihre KI-Anwendungen frühzeitig auf eine potenzielle Hochrisiko-Einstufung zu prüfen und Risikomanagementsysteme sowie eine transparente Dokumentation zu etablieren. Wer diese Zeit nicht nutzt, um seine Hausaufgaben zu erledigen, wird bei Inkrafttreten der Fristen mit einem erheblichen Wettbewerbsnachteil konfrontiert sein.

Nationale Umsetzung in Deutschland: Das KI-MIG und seine Rolle

Parallel zur EU-Ebene arbeitet Deutschland an der nationalen Umsetzung des EU AI Act. Das geplante KI-Marktüberwachungs- und Innovationsgesetz (KI-MIG) soll den institutionellen Rahmen für die KI-Aufsicht schaffen und die Anwendung des EU AI Act auf nationaler Ebene konkretisieren. Hierbei wird der Bundesnetzagentur eine zentrale Rolle zugewiesen. Sie ist als Anlauf- und Beschwerdestelle sowie für die Marktüberwachung bestimmter Hochrisiko-KI-Systeme vorgesehen.

Die Implementierung des KI-MIG ist von entscheidender Bedeutung, da sie die praktische Durchsetzung des EU AI Act im Alltag der Unternehmen regelt. Es geht nicht nur um die Benennung einer Aufsichtsbehörde, sondern auch um die Entwicklung klarer Leitlinien und Verfahren, die Unternehmen bei der Einhaltung der Vorschriften unterstützen sollen. Eine effektive Marktüberwachung ist notwendig, um faire Wettbewerbsbedingungen zu gewährleisten und das Vertrauen in KI-Systeme zu stärken. Gleichzeitig darf die Regulierung Innovation nicht ersticken, sondern sollte sie fördern.

Das KI-MIG soll daher auch Maßnahmen zur Innovationsförderung vorsehen. Insbesondere kleinen und mittleren Unternehmen (KMU) sowie Start-ups soll der Zugang zu KI-Innovationen erleichtert werden, beispielsweise durch die Einrichtung von sogenannten KI-Reallaboren. In diesen Reallaboren können neue KI-Anwendungen unter realen Bedingungen getestet werden, ohne sofort alle regulatorischen Hürden nehmen zu müssen. Dies ist von besonderer Bedeutung, da der Mittelstand in Deutschland, Österreich und der Schweiz einen erheblichen Teil der Wirtschaftsleistung ausmacht und spezielle Unterstützung bei der KI-Einführung benötigt. Ohne solche Förderinstrumente könnten KMU den Anschluss an die KI-Entwicklung verlieren, da sie oft nicht über die Ressourcen grosser Konzerne verfügen, um komplexe Compliance-Anforderungen eigenständig zu bewältigen und gleichzeitig innovative Lösungen zu entwickeln. Ziel ist es, eine Balance zwischen Schutzbedürfnissen und Innovationskraft zu finden, die den Wirtschaftsstandort stärkt.

Digitale Souveränität: Warum europäische KI-Lösungen unverzichtbar werden

Die Diskussion um die Anpassungen des EU AI Act fällt in eine Zeit, in der die Frage der digitalen Souveränität für DACH-Unternehmen immer drängender wird. Ein aktuelles Ereignis, das diese Thematik besonders beleuchtet, war die Sperrung des Zugangs zu Anthropic's KI-Modell "Fable 5" für Nutzer außerhalb der USA im Juni 2026. Diese Sperrung erfolgte angeblich aus Gründen der nationalen Sicherheit. Dieser sogenannte "Kill Switch"-Moment hat vielen europäischen Unternehmen die inhärenten Risiken einer zu starken Abhängigkeit von außereuropäischen KI-Anbietern, insbesondere aus den USA, drastisch vor Augen geführt. Der US Cloud Act ermöglicht es US-Behörden, auf Daten zuzugreifen, die von US-Unternehmen gespeichert werden, selbst wenn diese Daten physisch in Europa liegen. Dies stellt ein erhebliches Risiko für die Datensicherheit und -kontrolle europäischer Unternehmen dar.

Als direkte Reaktion auf diese geopolitischen Spannungen und die Notwendigkeit europäischer Alternativen wurde am 25. Juni 2026 die Plattform eustella in Österreich gelauncht. eustella positioniert sich als eine europäische Plattform für "souveräne KI-Agenten", die über klassische Chat-Funktionen hinausgehen und komplexe, mehrstufige Workflows eigenständig unterstützen sollen. Dies kann beispielsweise in Bereichen wie Recherche, Präsentationen oder Medienproduktion der Fall sein. Der Fokus liegt hierbei explizit auf der Verbindung von praktischer Nutzbarkeit mit europäischer Datensouveränität und einer auf europäische Anforderungen zugeschnittenen technologischen Infrastruktur. Auf dem Podium des Launch-Events waren unter anderem der CEO von eustella, Matteo Rosoli, sowie Vertreter von Mistral AI und IONOS Cloud, was die Zusammenarbeit europäischer Akteure unterstreicht. Solche Initiativen zeigen, dass Europa nicht nur regulieren, sondern auch eigene, wettbewerbsfähige KI-Lösungen entwickeln kann.

Auch in der Schweiz wird die Rückverlagerung von IT-Wertschöpfung durch KI-Agenten diskutiert. Das Zuger IT-Beratungsunternehmen Inacta schätzt, dass durch sogenanntes "Agentic Coding" jährlich bis zu 1,5 Milliarden Schweizer Franken an Wertschöpfung in die Schweiz zurückfliessen könnten. Beim Agentic Coding erstellen und optimieren KI-Agenten Software-Code weitgehend autonom. Kleinere Teams könnten demnach mithilfe von KI-Agenten Leistungen erbringen, die zuvor grosse Offshoring-Teams im Ausland erbrachten. Dies würde nicht nur Kostenvorteile bieten, sondern auch die Vorteile des Standorts Schweiz, wie Rechtssicherheit, hohe Datenschutzstandards und Fachkräftesicherheit, wieder stärker zur Geltung bringen. Die Fokussierung auf digitale Souveränität ist somit nicht nur eine Frage der Risikominimierung, sondern bietet auch konkrete wirtschaftliche Chancen für den DACH-Raum.

Handlungsempfehlungen für DACH-Unternehmen: Jetzt proaktiv werden

Die verzögerten Fristen des EU AI Act geben DACH-Unternehmen einen wichtigen Aufschub, um ihre KI-Governance und -Compliance strukturiert anzugehen. Es ist jedoch entscheidend, diese Zeit proaktiv zu nutzen und nicht als Anlass zu verstehen, die Implementierung von Compliance-Massnahmen auf die lange Bank zu schieben. Die folgenden Handlungsempfehlungen helfen Unternehmen, die kommenden Herausforderungen und Chancen zu bewältigen:

1. Bestandsaufnahme und Audit der KI-Systeme: Unternehmen sollten umgehend eine detaillierte Bestandsaufnahme aller im Einsatz befindlichen oder geplanten KI-Systeme vornehmen. Dabei ist zu prüfen, welche dieser Systeme unter die Definition eines Hochrisiko-KI-Systems nach Anhang III oder Anhang I des EU AI Act fallen könnten. Eine solche Risikobewertung ist der erste Schritt zur Compliance.

2. Entwicklung eines Risikomanagementsystems: Für als Hochrisiko eingestufte Systeme muss ein robustes Risikomanagementsystem etabliert werden. Dies beinhaltet die Identifizierung, Bewertung und Minderung von Risiken während des gesamten Lebenszyklus des KI-Systems. Dokumentation und regelmäßige Überprüfung der Risikobewertung sind hierbei unerlässlich.

3. Etablierung transparenter Dokumentationsprozesse: Der EU AI Act fordert eine umfassende technische Dokumentation für Hochrisiko-KI-Systeme. Unternehmen müssen Prozesse schaffen, um die Entwicklung, den Einsatz, die Testphasen und die Leistungsmerkmale ihrer KI-Systeme lückenlos zu dokumentieren. Dies beinhaltet auch die Sicherstellung der Datenqualität und der Nachvollziehbarkeit von Entscheidungen.

4. Vorbereitung auf Transparenzpflichten: Ab dem 2. Dezember 2026 müssen KI-generierte Inhalte gekennzeichnet werden. Marketing- und Kommunikationsabteilungen sollten sich darauf einstellen und entsprechende technische Lösungen für Watermarking oder Kennzeichnung implementieren. Hierzu gehört auch die Sensibilisierung der Mitarbeiter für die korrekte Handhabung von KI-generierten Inhalten.

5. Prüfung europäischer KI-Alternativen: Angesichts der Diskussion um digitale Souveränität sollten Unternehmen ihre Abhängigkeit von außereuropäischen KI-Anbietern kritisch hinterfragen. Die Evaluierung von europäischen Lösungen wie eustella oder anderen Anbietern, die europäische Datenschutzstandards und Souveränität gewährleisten, ist ratsam. Dies kann langfristig die Resilienz der eigenen KI-Strategie erhöhen und rechtliche Unsicherheiten minimieren.

6. Aufbau von KI-Kompetenzen und Change Management: Die erfolgreiche Einführung und Nutzung von KI erfordert gut ausgebildetes Personal. Unternehmen sollten in die Weiterbildung ihrer Mitarbeiter investieren, um KI-Kompetenzen aufzubauen und ein effektives Change Management zu betreiben. Nur so kann die Akzeptanz und der produktive Einsatz von KI in der Belegschaft gefördert werden.

Kapitel-H-Einordnung: Pragmatismus statt Panik

Aus Sicht von Kapitel H betrachten wir die aktuellen Entwicklungen mit einer klaren, pragmatischen Haltung. Die Fristverlängerungen des EU AI Act sind weder ein Freifahrtschein noch ein Grund zur Panik. Sie sind eine realistische Anpassung an die Komplexität der Materie und bieten Unternehmen die notwendige Atempause, um sich strukturiert und fundiert auf die kommenden Anforderungen vorzubereiten. Wer diese Zeit nicht nutzt, wird einen Nachteil erleiden.

Wir beobachten die Diskussion um digitale Souveränität sehr genau. Der Vorfall mit Anthropic "Fable 5" ist ein weiteres Beispiel dafür, dass Technologie nicht isoliert, sondern immer im geopolitischen Kontext betrachtet werden muss. Eine zu starke Abhängigkeit von externen Anbietern birgt nicht nur Risiken für die Datensicherheit, sondern auch für die Geschäftskontinuität. Unternehmen im DACH-Raum sollten daher eine Strategie der Technologie-Diversifizierung verfolgen und verstärkt europäische Alternativen in Betracht ziehen, wo immer dies sinnvoll und wirtschaftlich ist. Das bedeutet nicht, US-Anbieter grundsätzlich auszuschließen, sondern eine bewusste Abwägung von Risiken und Vorteilen vorzunehmen. Hier ist eine kritische, datenbasierte Analyse jeder individuellen Anwendung gefragt.

Die PwC-Studie von Anfang Juni 2026 unterstreicht, dass viele Unternehmen in Deutschland und Europa eine Kluft zwischen dem Anspruch an die KI-Transformation und der tatsächlichen Umsetzung feststellen. Oft sind fehlende Datenfundamente und grundlegende Fähigkeiten die Ursache. Diese Beobachtung bestätigt unsere Erfahrung. Bevor man über komplexe Hochrisiko-KI-Systeme nachdenkt, müssen die Grundlagen stimmen: saubere Daten, klare Anwendungsfälle, qualifiziertes Personal. Eine Regulierung kann diese Lücken nicht schliessen, sie fordert sie aber umso mehr ein.

Insgesamt ist es unsere Überzeugung, dass Befähigung statt Abhängigkeit das Leitmotiv für Unternehmen im Umgang mit KI sein muss. Dies schliesst die kritische Auseinandersetzung mit regulatorischen Rahmenwerken und der Herkunft der eingesetzten Technologien ein. Der Mittelstand im DACH-Raum hat die Chance, durch einen durchdachten Ansatz sowohl Compliance zu gewährleisten als auch innovative und souveräne KI-Lösungen zu entwickeln.

Fazit: Die strategische Chance nutzen

Der DACH-Arbeitsmarkt steht im Juni 2026 an einem entscheidenden Punkt. Die Anpassungen des EU AI Act bieten Unternehmen mehr Zeit, ihre KI-Strategien zu schärfen und die notwendigen Compliance-Massnahmen umzusetzen. Dies ist keine Entspannung, sondern eine Aufforderung zu einem strategischen Vorgehen. Gleichzeitig unterstreichen geopolitische Entwicklungen und das Entstehen europäischer KI-Plattformen die wachsende Bedeutung digitaler Souveränität. Unternehmen, die jetzt eine pragmatische Bestandsaufnahme ihrer KI-Nutzung vornehmen und Compliance sowie Souveränität als integrale Bestandteile ihrer KI-Strategie verankern, werden von diesen Entwicklungen profitieren können.

Es geht nicht mehr primär um die Frage, *ob* KI die Arbeitswelt verändert, sondern *welche* Unternehmen und Volkswirtschaften daraus einen Produktivitätsschub erzielen und welche den Anschluss verlieren. Eine proaktive Haltung gegenüber dem EU AI Act, eine kritische Betrachtung der Abhängigkeiten von Technologieanbietern und eine konsequente Investition in die KI-Kompetenzen der eigenen Belegschaft sind die zentralen Erfolgsfaktoren für eine zukunftsfähige Positionierung im digitalen Zeitalter. Nutzen Sie die gewonnenen Monate, um sich nicht nur auf die Regulierung vorzubereiten, sondern auch Ihre digitale Souveränität zu stärken und somit langfristig Wettbewerbsvorteile zu sichern.