EU AI Act: Fristverlängerung für Hochrisiko-KI und nationale Umsetzung

Der EU AI Act ist seit dem 1. August 2024 in Kraft und markiert einen Wendepunkt in der Regulierung von Künstlicher Intelligenz weltweit. Für Unternehmen im DACH-Raum, insbesondere für den Mittelstand, bedeutet dies eine neue Ära der Compliance und strategischen Anpassung. Eine der jüngsten und bedeutendsten Entwicklungen in diesem Kontext ist die Verlängerung bestimmter Umsetzungsfristen für sogenannte Hochrisiko-KI-Systeme durch den 'AI Omnibus', ein Änderungspaket zur ursprünglichen Verordnung.

Diese Fristverlängerung, die die zentralen Anforderungen für Hochrisiko-KI auf Dezember 2027 verschiebt, ist keine Aufforderung zum Stillstand. Sie ist vielmehr eine wertvolle Atempause. Unternehmen erhalten zusätzliche Zeit, um die komplexen Vorgaben des EU AI Acts zu verstehen, zu interpretieren und vor allem pragmatisch in ihre Geschäftsprozesse und IT-Infrastrukturen zu integrieren. Die Relevanz dieser Entwicklung für den deutschsprachigen Arbeitsmarkt kann nicht hoch genug eingeschätzt werden, denn sie beeinflusst die strategische Planung, die Investitionsentscheidungen und die Wettbewerbsfähigkeit von Betrieben maßgeblich.

Hintergrund: Der EU AI Act und seine gestaffelte Umsetzung

Der EU AI Act, offiziell als Verordnung 2024/1689 bekannt, ist der erste umfassende Rechtsrahmen, der speziell für Künstliche Intelligenz geschaffen wurde. Sein primäres Ziel ist es, in Europa ein Umfeld zu schaffen, in dem vertrauenswürdige und verantwortungsvolle KI-Innovationen gedeihen können. Gleichzeitig schützt er Grundrechte und stärkt das Vertrauen der Bürger in den Einsatz von KI. Dieses Gesetz ist nicht nur ein regulatorisches Instrument, sondern auch ein strategisches Signal der Europäischen Union, die sich als Vorreiter in der ethischen und sicheren KI-Entwicklung positionieren möchte.

Die Umsetzung der Verordnung erfolgt gestaffelt, um Unternehmen und Behörden eine schrittweise Anpassung zu ermöglichen. Bereits seit Februar 2025 sind bestimmte KI-Systeme, die ein 'unvertretbares Risiko' darstellen, EU-weit verboten. Beispiele hierfür sind der Einsatz von Emotionserkennung am Arbeitsplatz oder Praktiken des 'Social Scoring'. Diese Bestimmungen, die tief in ethische und grundrechtliche Fragen eingreifen, zeigen die Ernsthaftigkeit, mit der die EU das Potenzial von KI, aber auch ihre Risiken bewertet. Weitere Regelungen, wie etwa die Transparenzpflichten für bestimmte KI-Anwendungen, werden ab August 2026 wirksam. Diese gestaffelte Herangehensweise unterstreicht die Komplexität der Materie und den Wunsch des Gesetzgebers, einen überforderten Schnellschuss zu vermeiden. Dennoch sind die Fristen, auch wenn verlängert, keine Einladung zum Abwarten, sondern zum proaktiven Handeln.

Der 'AI Omnibus': Eine Atempause für Hochrisiko-KI-Systeme

Die zentrale Nachricht der letzten Zeit ist die durch den sogenannten 'AI Omnibus' erfolgte Fristverlängerung für die Umsetzung der Anforderungen an Hochrisiko-KI-Systeme. Ursprünglich war ein früherer Stichtag vorgesehen. Nun wurden die zentralen Hochrisiko-Anforderungen auf Dezember 2027 verschoben. Diese Verlängerung betrifft jene KI-Systeme, die in besonders sensiblen oder kritischen Bereichen zum Einsatz kommen. Dazu gehören beispielsweise Anwendungen in der Beschäftigung, im Bildungswesen, in der kritischen Infrastruktur oder beim Zugang zu wesentlichen öffentlichen und privaten Dienstleistungen, wie etwa Kreditwürdigkeitsprüfungen oder Bewerberauswahlprozesse.

Für Unternehmen im DACH-Raum, die derartige KI-Systeme entwickeln oder nutzen, ist dies eine signifikante Entwicklung. Sie verschafft ihnen mehr Zeit, um die noch zu konkretisierenden Vorgaben, beispielsweise bezüglich Risikomanagement-Systemen, Daten-Governance, technischer Dokumentation, menschlicher Aufsicht und Robustheit, in der Praxis umzusetzen. Es ist jedoch entscheidend zu verstehen, dass diese Atempause nicht als Freifahrtschein für Untätigkeit missverstanden werden sollte. Die Anforderungen an Hochrisiko-KI sind umfassend und erfordern tiefgreifende organisatorische und technische Anpassungen. Eine frühzeitige Auseinandersetzung mit diesen Themen ist unerlässlich, um bis Ende 2027 compliant zu sein und potenzielle Wettbewerbsvorteile zu sichern. Das Verschieben der Frist ermöglicht eine sorgfältigere Planung und Implementierung, was letztendlich der Qualität und Sicherheit der eingesetzten KI-Systeme zugutekommt.

Nationale Umsetzung in Deutschland: Das KI-MIG und die Rolle der BNetzA

Die europäische KI-Verordnung muss in den Mitgliedstaaten national umgesetzt und ergänzt werden. In Deutschland hat das Kabinett hierzu bereits am 11. Februar 2026 das „KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)“ verabschiedet. Das KI-MIG verfolgt das Ziel, die nationale Umsetzung innovationsfreundlich und die Aufsicht schlank und bürokratiearm zu gestalten. Dies ist ein entscheidender Punkt für den deutschen Mittelstand, der oft mit den Herausforderungen komplexer Regulierungen konfrontiert ist.

Eine zentrale Rolle in der geplanten Aufsichtsstruktur kommt der Bundesnetzagentur (BNetzA) zu. Sie soll als Koordinierungs- und Kompetenzzentrum fungieren und gleichzeitig die Innovationsförderung vorantreiben. Die BNetzA betreibt hierfür auch einen KI-Service-Desk, der Unternehmen konkrete Unterstützung bei der Umsetzung der gesetzlichen Anforderungen bieten und als Anlaufstelle für Fragen dienen soll. Dies ist ein pragmatischer Ansatz, der darauf abzielt, die Hürden für die Compliance zu senken und Unternehmen zu befähigen, KI sicher und regelkonform einzusetzen.

Darüber hinaus sind sogenannte 'KI-Reallabore' vorgesehen. Diese kontrollierten Testumgebungen sollen die Entwicklung und Validierung innovativer KI-Systeme beschleunigen. Sie bieten Unternehmen die Möglichkeit, neue Technologien unter realen Bedingungen zu erproben, ohne sofort den vollen regulatorischen Druck zu spüren. Für Hochrisiko-KI-Systeme, die von Strafverfolgungs-, Einwanderungs- oder Asylbehörden eingesetzt werden, soll eine spezielle Marktüberwachungskammer (UKIM) bei der Bundesnetzagentur eingerichtet werden. Diese wird unabhängig arbeiten, aber die Ressourcen der BNetzA nutzen, um eine spezialisierte und effektive Aufsicht zu gewährleisten.

Praktische Implikationen für DACH-Unternehmen: Handlungsfelder jetzt definieren

Die Fristverlängerung durch den 'AI Omnibus' bietet Zeit, sie ersetzt jedoch nicht die Notwendigkeit, bereits jetzt aktiv zu werden. Unternehmen im DACH-Raum müssen sich intensiv mit den praktischen Fragen des EU AI Acts auseinandersetzen. Die Anforderungen sind komplex und weitreichend. Hier sind die kritischen Handlungsfelder:

1. KI-Governance aufbauen und etablieren

Eine belastbare KI-Governance, die Risiken von KI-Systemen über den gesamten Lebenszyklus hinweg transparent und beherrschbar macht, ist unerlässlich. Dies erfordert mehr als nur eine Checkliste. Es geht um die Schaffung einer internen Struktur, die interdisziplinäre Kompetenzen bündelt. Fachleute aus IT, Recht, Compliance, Produktentwicklung und Risikomanagement müssen zusammenarbeiten, um technisch, rechtlich und organisatorisch fit für die Zukunft zu sein. Die Governance muss sicherstellen, dass KI-Systeme von der Konzeption über die Entwicklung und den Einsatz bis zur Außerbetriebnahme kontinuierlich bewertet und reguliert werden.

2. Bestandsaufnahme und Risikobewertung durchführen

Viele Unternehmen wissen nicht präzise, wo und wie KI in ihren Prozessen eingesetzt wird, insbesondere bei integrierten Funktionen externer Softwareanbieter. Eine umfassende Bestandsaufnahme ist der erste Schritt. Identifizieren Sie alle KI-Anwendungen, intern und extern. Anschließend ist eine detaillierte Risikobewertung unerlässlich. Diese muss klar definieren, welche Systeme als Hochrisiko-KI eingestuft werden, da für diese strengere Anforderungen an Technik und Organisation gelten. Dies ist keine triviale Aufgabe, da die Definition von Hochrisiko-KI im AI Act detailliert, aber auch auslegungsbedürftig ist. Eine fundierte Bewertung schützt vor späteren Fehlinterpretationen und kostspieligen Nachbesserungen.

3. Transparenz und Nachvollziehbarkeit sicherstellen

Ab August 2026 sind Unternehmen verpflichtet, in bestimmten Fällen klar kenntlich zu machen, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden. Dies betrifft beispielsweise Texte, Bilder oder Audioinhalte, die in der Kundenkommunikation oder in Produkten zum Einsatz kommen. Darüber hinaus ist die Nachvollziehbarkeit einzelner KI-Entscheidungen ein zentraler Aspekt. Unternehmen müssen in der Lage sein, auf Anfrage zu erklären, wie eine KI zu einem bestimmten Ergebnis gekommen ist. Dies erfordert eine detaillierte Dokumentation und eine laufende Überwachung eingesetzter Systeme. Die IHK-Organisation fordert hier zu Recht verständliche, eindeutig abgrenzbare und anwendungsfreundliche Vorgaben, damit Unternehmen diese ohne großen Aufwand umsetzen können. Dies ist ein Appell, den Kapitel H teilt.

4. Datenschutz und KI-Sicherheit proaktiv angehen

Die Datenschutz-Grundverordnung (DSGVO) bleibt uneingeschränkt gültig und wird durch die neue KI-Verordnung ergänzt. Unternehmen müssen sicherstellen, dass ihre Datenverarbeitung DSGVO-konform ist, sobald personenbezogene Daten verarbeitet werden, was bei vielen KI-Tools, wie ChatGPT, der Fall ist. Dies erfordert eine sorgfältige Prüfung von Tarifen, Verarbeitungszwecken und Rechtsgrundlagen. Viele Standard-KI-Dienste sind nicht per se DSGVO-konform, und ein genaues Verständnis der Datenflüsse ist entscheidend. Darüber hinaus erhöht KI den Cyberdruck auf KMU. Angreifer nutzen KI, um Angriffe zu beschleunigen und neue Zugangswege zu Unternehmenssystemen zu schaffen, beispielsweise durch KI-gestützte Phishing-Attacken. Viele KMU sind auf KI-basierte Angriffe nicht ausreichend vorbereitet und verfügen oft nicht einmal über eine dezidierte KI-Richtlinie oder einen klaren Notfallplan für KI-Sicherheitsvorfälle. Dies stellt eine erhebliche Lücke dar, die umgehend geschlossen werden muss.

5. Change Management und Kompetenzentwicklung forcieren

Die Einführung von KI führt zu zentralen Veränderungen in Geschäftsprozessen und Arbeitsmodellen. Während KI Routineaufgaben übernehmen kann, wachsen Mitarbeitende in strategische und kreative Rollen hinein. Ein professionelles Change Management ist hier ein entscheidender Erfolgsfaktor, um Mitarbeitende frühzeitig einzubinden, Ängste abzubauen und die Akzeptanz für neue Technologien zu stärken. Es geht darum, die Belegschaft nicht nur zu informieren, sondern aktiv in den Transformationsprozess einzubeziehen. Die Vermittlung von 'AI-Literacy', der Fähigkeit, KI zu verstehen und sicher anzuwenden, ist eine zentrale Forderung des AI Acts (Artikel 4) und für die Anpassung der Belegschaft unerlässlich. Investitionen in Schulungen und Weiterbildungen sind Investitionen in die Zukunftsfähigkeit des Unternehmens.

6. Branchenspezifische Anwendungen und Produktivitätspotenziale heben

KI bietet ein enormes Potenzial zur Steigerung der Produktivität im DACH-Raum, das bisher jedoch nur unzureichend genutzt wird. Studien zeigen, dass das jährliche gesamtwirtschaftliche Produktivitätswachstum allein durch KI von aktuell 0,4 % auf durchschnittlich 0,9 % (2025-2030) und 1,2 % (2030-2040) steigen könnte, vorausgesetzt, die richtigen Rahmenbedingungen werden geschaffen und Unternehmen investieren strategisch. Insbesondere wissensintensive Dienstleistungen sind stark exponiert und können von KI profitieren, während physisch geprägte Sektoren bisher geringere Automatisierungsrisiken aufweisen. Im Mittelstand eröffnen sich durch die breite Verfügbarkeit von Large Language Models und spezialisierten KI-Tools Chancen, die vor wenigen Jahren undenkbar waren. Dennoch nutzen derzeit erst rund 15 Prozent der österreichischen KMU aktiv KI-Technologien. Dies zeigt einen erheblichen Nachholbedarf, aber auch ein ungenutztes Potenzial.

Kritische Einordnung aus Kapitel-H-Sicht: Zwischen Produktivität und Belastung

Die Begeisterung für KI ist verständlich, doch es ist entscheidend, eine nüchterne Perspektive zu wahren. Kapitel H steht einer reinen Hype-Kommunikation kritisch gegenüber. Während das Potenzial für Produktivitätssteigerung und Jobtransformation unbestreitbar ist, gibt es auch Risiken, die adressiert werden müssen. Eine Studie aus den USA (März 2026) deutet beispielsweise darauf hin, dass der Einsatz von KI am Arbeitsplatz den Stress erhöhen und zu längeren Arbeitszeiten führen kann, anstatt Arbeit zu sparen. Mitarbeitende arbeiten zwar schneller und übernehmen ein breiteres Spektrum an Aufgaben, schieben aber oft Arbeit in Pausen oder Freizeit. Dies ist ein Indikator dafür, dass Technologie allein keine Lösung ist. Sie muss intelligent in menschliche Arbeitsabläufe integriert werden.

Diese Beobachtung unterstreicht die Notwendigkeit, bei der Einführung von KI nicht nur die technologischen Möglichkeiten, sondern vor allem die menschlichen Faktoren und das Change Management sorgfältig zu berücksichtigen. Ein 'positives Mindset' gegenüber KI ist sowohl bei Arbeitgebern als auch bei Beschäftigten von Vorteil, aber es muss auf einer realistischen Basis fußen. Unternehmen müssen investieren, um im internationalen Wettbewerb nicht den Anschluss zu verlieren. Diese Investitionen müssen jedoch über reine Technologiebeschaffung hinausgehen und sich auf die Befähigung der Mitarbeitenden, die Anpassung der Prozesse und die Schaffung einer ethischen KI-Kultur konzentrieren. Ohne diese ganzheitliche Betrachtung besteht die Gefahr, dass KI nicht nur die Produktivität nicht wie erhofft steigert, sondern sogar zu unerwünschten Nebenwirkungen führt.

Fazit: Jetzt handeln, um die Zukunft zu gestalten

Die Verlängerung der Umsetzungsfristen für Hochrisiko-KI durch den 'AI Omnibus' bietet DACH-Unternehmen eine wertvolle, aber begrenzte Gelegenheit. Sie gibt Ihnen Zeit, Ihre Strategien und Prozesse zur KI-Integration umsichtig anzupassen und die regulatorischen Anforderungen des EU AI Acts umfassend zu erfüllen. Diese Zeit muss genutzt werden, um eine fundierte KI-Governance aufzubauen, Transparenz und Nachvollziehbarkeit zu gewährleisten und die Belegschaft durch gezielte Kompetenzentwicklung auf die veränderten Arbeitsbedingungen vorzubereiten. Die Auseinandersetzung mit Datenschutz, Cybersicherheit und Change Management ist dabei von zentraler Bedeutung.

Kapitel H rät dringend davon ab, die verlängerten Fristen als Anlass zum Abwarten zu nehmen. Vielmehr sollten Unternehmen diese Phase proaktiv nutzen, um nicht nur compliant zu werden, sondern auch die enormen Chancen der KI für Wettbewerbsfähigkeit, Innovation und eine nachhaltige Produktivitätssteigerung voll auszuschöpfen. Eine kluge und vorausschauende Strategie jetzt zu entwickeln, ist der Schlüssel, um die Zukunft der Arbeit in einer von KI geprägten Welt aktiv zu gestalten und eine Rolle als Pionier, nicht als Nachzügler, einzunehmen.