EU AI Act: Gestaffelte Umsetzung und Folgen für DACH-Unternehmen

Der EU AI Act, das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz, ist ein wegweisendes Regelwerk. Am 1. August 2024 trat es in Kraft. Sein Kernziel ist die Förderung vertrauenswürdiger KI in Europa, unter gleichzeitiger Gewährleistung von Sicherheit, Grundrechten und einer menschenzentrierten Entwicklung. Die Anwendung der Bestimmungen erfolgt schrittweise, wobei einige Schlüsseltermine bereits verstrichen sind oder unmittelbar bevorstehen. Dies erfordert von deutschsprachigen Unternehmen, die KI-Systeme entwickeln, bereitstellen oder nutzen, ein präzises Verständnis der geltenden Fristen und Anforderungen.

Ein wesentliches Update erfolgte durch den sogenannten "Digital Omnibus on AI", der am 27. Juli 2026 in Kraft trat und wesentliche Änderungen am AI Act mit sich brachte. Entgegen erster Erwartungen wurden die Anforderungen nicht pauschal verschärft, sondern in mehreren wichtigen Bereichen präzisiert und die Fristen für die Einhaltung verschoben. Dies gibt Unternehmen im DACH-Raum zwar mehr Zeit zur Anpassung, macht es aber umso wichtiger, die genauen Zeitpläne und die Konkretisierung der Anforderungen zu verstehen, um teure Fehlinterpretationen und Nachjustierungen zu vermeiden.

Der EU AI Act: Ein flexibler Rahmen für vertrauenswürdige KI

Die Einführung des EU AI Act markiert einen entscheidenden Schritt in der Regulierung einer Technologie, die das Potenzial hat, ganze Industrien umzugestalten. Statt einer starren, über Nacht wirksamen Regulierung, wurde ein gestaffeltes Vorgehen gewählt. Dies ist pragmatisch, berücksichtigt es doch die schnelle Entwicklung der KI und die Notwendigkeit, Unternehmen eine realistische Übergangszeit einzuräumen. Das primäre Ziel des AI Act ist nicht die Einschränkung von Innovation, sondern die Schaffung eines Rahmens, innerhalb dessen Innovation verantwortungsvoll und zum Wohle der Gesellschaft stattfinden kann. Der Gesetzgeber reagiert damit auf die Komplexität und die potenziellen Risiken von KI, insbesondere in sensiblen Bereichen.

Der Digital Omnibus, als nachträgliche Anpassung, ist ein Beispiel dafür, wie der Gesetzgeber versucht, auf die dynamische Entwicklung der Technologie und die Rückmeldungen aus der Wirtschaft zu reagieren. Die Anpassungen, die teils zu einer Entschärfung oder Verschiebung von Fristen führten, sind keine Lizenz zur Nachlässigkeit, sondern vielmehr eine Aufforderung an Unternehmen, die gewonnene Zeit strategisch für eine fundierte Vorbereitung zu nutzen. Es geht darum, nicht nur formale Compliance zu erreichen, sondern eine tiefgreifende Integration von KI-Governance in die Unternehmensprozesse zu ermöglichen.

Bereits in Kraft: Transparenz und GPAI-Modelle

Einige zentrale Bestimmungen des EU AI Act sind bereits wirksam und erfordern unmittelbare Aufmerksamkeit. Seit dem 2. August 2026 gelten die meisten Transparenzpflichten des EU AI Act. Das bedeutet, Anbieter von KI-Systemen, die direkt mit Menschen interagieren oder synthetische Audio-, Bild-, Video- oder Textinhalte generieren, sowie Nutzer von Emotionserkennungs- oder biometrischen Kategorisierungssystemen, unterliegen diesen Pflichten. Auch KI-Systeme zur Erzeugung von sogenannten Deepfakes fallen in diese Kategorie.

Für DACH-Unternehmen bedeutet dies konkret, dass bei der Nutzung von Chatbots im Kundenservice, virtuellen Assistenten in der Personalabteilung oder generativer KI im Marketing stets transparent gemacht werden muss, wenn Menschen mit einem KI-System interagieren. Dies stärkt das Vertrauen der Endnutzer und ist eine grundlegende Anforderung. Ab dem 2. Dezember 2026 müssen zudem KI-generierte oder manipulierte Inhalte als künstlich erstellt gekennzeichnet werden. Dies betrifft beispielsweise Marketingmaterialien oder interne Kommunikationen, die mittels generativer KI erstellt wurden. Die Pflichten für Anbieter von General Purpose AI (GPAI) Modellen traten bereits am 2. August 2025 in Kraft und erfordern eine umfassende Dokumentation und Risikobewertung dieser grundlegenden KI-Technologien.

Eine weitere wichtige, bereits geltende Frist ist das Verbot von intimem Deepfake-Inhalt und Meldepflichten, wirksam seit dem 2. Dezember 2026. KI-Systeme, die darauf ausgelegt sind, nicht einvernehmliche sexuell explizite oder intime Inhalte oder Material zum sexuellen Missbrauch von Kindern zu generieren, sind verboten. Dies betrifft generative KI-Dienste, deren primärer Zweck solche Inhalte sind oder bei denen ein solch vernünftigerweise vorhersehbarer Missbrauch möglich ist und keine Schutzmassnahmen vorhanden sind. Obwohl es sich um extreme Anwendungsfälle handelt, unterstreicht dies die Notwendigkeit für Unternehmen, die ethische Nutzung von generativer KI sicherzustellen und deren Anwendung sorgfältig zu prüfen. Eine klare Policy und technische Schutzmechanismen sind hier unerlässlich.

Vorbereitung auf Hochrisiko-KI: HR und kritische Infrastruktur im Fokus

Die wohl bedeutendsten und komplexesten Anforderungen des EU AI Act betreffen sogenannte Hochrisiko-KI-Systeme. Die ursprünglich für August 2026 geplanten, umfassenden Compliance-Pflichten für diese Systeme wurden durch den Digital Omnibus auf den 2. Dezember 2027 verschoben. Diese Verlängerung der Frist ist keine Entspannung, sondern eine wertvolle Atempause, die Unternehmen im DACH-Raum für eine strategische Vorbereitung nutzen sollten.

Für den Arbeitsmarkt ist die Kategorie der Hochrisiko-KI von besonderer Relevanz, da sie KI-Tools umfasst, die für beschäftigungsbezogene Entscheidungen eingesetzt werden. Dazu gehören Systeme für die Rekrutierung, Kandidatenauswahl, Leistungsbewertung, Aufgabenverteilung, Mitarbeiterüberwachung und Entscheidungen über Beförderung oder Kündigung. Stellen Sie sich vor, ein KI-gestütztes Tool sortiert Bewerbungen vor. Dies ist ein klares Beispiel für eine Hochrisiko-Anwendung, da sie direkten Einfluss auf die berufliche Zukunft von Menschen nimmt.

Die Vorbereitung auf diese Frist beinhaltet die Durchführung umfassender Risikobewertungen, die Implementierung von Risikominderungsmaßnahmen, die Sicherstellung menschlicher Aufsicht und die Erstellung detaillierter technischer Dokumentation. Unternehmen müssen klären, welche ihrer KI-Anwendungen als hochriskant einzustufen sind, welche Daten sie verwenden, wie sie trainiert wurden und welche potenziellen Diskriminierungen oder Fehlentscheidungen auftreten könnten. Eine korrekte Einschätzung relevanter Risiken und die Entwicklung robuster Governance-Strukturen sind dabei entscheidend. Für DACH-Unternehmen, die HR-Tech-Lösungen mit KI-Unterstützung einsetzen oder entwickeln, ist dies eine kritische Phase der Vorbereitung. Ab dem 2. August 2028 gelten die Regeln für Hochrisiko-KI-Systeme, die in Produkte wie Aufzüge oder Spielzeug integriert sind.

Spezialfall Schweiz: DSG als Leitplanke für KI

Obwohl die Schweiz kein Mitglied der Europäischen Union ist, sind die Entwicklungen rund um den EU AI Act auch für Schweizer Unternehmen von Bedeutung. Viele Schweizer Firmen agieren im europäischen Binnenmarkt oder arbeiten mit EU-Partnern zusammen, wodurch indirekt eine Anpassung an EU-Standards erforderlich sein kann. Die direkteste regulatorische Anforderung für Schweizer Unternehmen kommt jedoch vom revidierten Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist.

Das Schweizer DSG ist technologieneutral formuliert und gilt direkt für KI-gestützte Datenbearbeitungen. Es verlangt Transparenz über Zweck, Funktionsweise und Datenquellen von KI-Bearbeitungen. Dies bedeutet, dass Unternehmen offenlegen müssen, welche Daten eine KI verarbeitet und zu welchem Zweck. Betroffene Personen haben zudem ein Recht zu erfahren, ob sie mit einer Maschine interagieren, und können automatisierten Einzelentscheidungen widersprechen oder deren Überprüfung durch einen Menschen verlangen. Dies ist besonders relevant im Kontext von personalisierten Angeboten, Kreditwürdigkeitsprüfungen oder automatisierten HR-Entscheidungen.

Obwohl das Schweizer DSG keine starre 72-Stunden-Frist für die Meldung von Datenschutzverletzungen kennt und eine höhere Meldeschwelle als die DSGVO ansetzt, müssen Unternehmen "so rasch als möglich" bei voraussichtlich hohem Risiko melden. Dies erfordert eine sorgfältige Abwägung und Dokumentation bei der Implementierung von KI-Systemen, die personenbezogene Daten verarbeiten. Schweizer Unternehmen sollten daher nicht nur die EU-Entwicklungen im Auge behalten, sondern vor allem das eigene Datenschutzgesetz als primären regulatorischen Rahmen für den Einsatz von KI verstehen und anwenden.

Praktische Handlungsempfehlungen für Unternehmen

Die gestaffelte Einführung des EU AI Act und die damit verbundenen Anpassungen durch den Digital Omnibus bieten eine klare Roadmap für Unternehmen im DACH-Raum. Um nicht nur regulatorisch konform zu sein, sondern auch die Vorteile von KI optimal zu nutzen, sollten Unternehmen folgende Schritte beherzigen:

1. KI-Governance als Wettbewerbsvorteil etablieren: Gehen Sie über die reine Compliance hinaus. Unternehmen, die frühzeitig eine robuste KI-Governance aufbauen und die Risiken von KI-Systemen über ihren gesamten Lebenszyklus hinweg managen, sichern sich einen entscheidenden Wettbewerbsvorteil. Dies beinhaltet die Entwicklung interner Richtlinien, die Zuweisung von Verantwortlichkeiten und die Einrichtung eines kontinuierlichen Überwachungsprozesses für KI-Anwendungen. Eine hohe KI-Qualität und die Demonstration sozialer Verantwortung sind dabei ausschlaggebend.

2. Fokus auf Hochrisiko-KI im HR und in der kritischen Infrastruktur: Angesichts der Einstufung von KI in beschäftigungsbezogenen Entscheidungen als "hochriskant" müssen Unternehmen im DACH-Raum ihre bestehenden und geplanten KI-Anwendungen in diesen Bereichen genau überprüfen. Führen Sie detaillierte Risikobewertungen durch, implementieren Sie Mechanismen zur menschlichen Aufsicht und Überprüfung und stellen Sie sicher, dass alle relevanten Dokumentationen vorliegen. Dies betrifft beispielsweise KI-gestützte Tools zur Bewerberauswahl oder zur Mitarbeiterleistungsanalyse. Die verschobene Frist bis Dezember 2027 ist eine Chance, hier proaktiv und gründlich vorzugehen.

3. Transparenz und Erklärbarkeit als Standard etablieren: Die bereits geltenden Transparenzpflichten erfordern, dass Unternehmen klar kommunizieren, wann KI im Einsatz ist, insbesondere bei direkter Interaktion mit Menschen. Implementieren Sie technische und organisatorische Maßnahmen, um Nutzer über die Interaktion mit KI-Systemen zu informieren und KI-generierte Inhalte entsprechend zu kennzeichnen. Ein Chatbot im Kundenservice sollte beispielsweise immer als solcher erkennbar sein.

4. Umgang mit Daten und Datenschutz proaktiv gestalten: Der EU AI Act ergänzt bestehende Datenschutzregelungen wie die DSGVO und in der Schweiz das DSG. Unternehmen müssen sicherstellen, dass KI-Modelle datenschutzkonform trainiert und eingesetzt werden. Dies beinhaltet die Prüfung der Herkunft von Trainingsdaten, die Einhaltung von Einwilligungen und die Sicherstellung der Datensicherheit. Ein aktueller Bericht weist darauf hin, dass KI-Anbieter wie OpenAI oder Google weiterhin Inhalte für das Training ihrer Modelle abgreifen. Dies unterstreicht die Notwendigkeit für DACH-Unternehmen, bei der Auswahl von KI-Tools und der Bereitstellung eigener Daten höchste Sorgfalt walten zu lassen. Gegebenenfalls sind eigene technische oder rechtliche Maßnahmen zum Schutz der eigenen Daten erforderlich.

5. Change Management und Mitarbeiterkompetenz stärken: Obwohl die ursprüngliche Pflicht zur obligatorischen KI-Schulung von Mitarbeitenden aufgeweicht wurde, bleibt Change Management ein entscheidender Faktor für den Erfolg der KI-Einführung. Unternehmen müssen ihre Teams auf den Wandel vorbereiten, Ängste nehmen und Führungskräfte befähigen, den Wandel proaktiv zu gestalten. Investieren Sie in Schulungen und Workshops, die praktisches Wissen zur KI-Integration in spezifischen Bereichen wie Finance, Controlling oder Personalwesen vermitteln. Ein tiefes Verständnis der Technologie und ihrer Einsatzmöglichkeiten fördert die Akzeptanz und Effizienz.

6. Spezifische Anforderungen für Schweizer Unternehmen beachten: Für Schweizer Unternehmen ist die konsequente Anwendung des revidierten Datenschutzgesetzes (DSG) auf KI-Systeme ein zentrales Thema. Stellen Sie sicher, dass Ihre KI-Anwendungen die Transparenzanforderungen des DSG erfüllen, insbesondere im Hinblick auf das Recht von Personen, automatisierten Einzelentscheidungen zu widersprechen. Eine detaillierte Dokumentation der KI-Prozesse und Datenflüsse ist hier unerlässlich.

Kritische Einordnung aus Kapitel-H-Sicht

Die jüngsten Entwicklungen rund um den EU AI Act sind ein klares Beispiel dafür, wie schnell sich Regulierungen in einem so dynamischen Feld wie der Künstlichen Intelligenz anpassen müssen. Aus unserer Sicht bei Kapitel H ist es entscheidend, diese Entwicklungen nicht als reine Last zu verstehen, sondern als Chance zur Etablierung robuster und vertrauenswürdiger KI-Systeme.

Wir beobachten oft einen initialen Hype um neue Technologien, gefolgt von einer Phase der Ernüchterung, wenn die realen Herausforderungen der Implementierung und Regulierung sichtbar werden. Der Digital Omnibus zeigt einen pragmatischen Ansatz der EU, der auf die Realitäten der Wirtschaft reagiert und Unternehmen Zeit für eine fundierte Vorbereitung gibt. Dies ist zu begrüssen, denn überhastete Umsetzungen führen selten zu nachhaltigen Ergebnissen.

Für den Mittelstand im DACH-Raum bedeutet dies, dass es jetzt nicht darum geht, panisch auf jede neue Meldung zu reagieren, sondern eine langfristige Strategie zu entwickeln. Es geht um Befähigung statt Abhängigkeit. Anstatt sich von externen Anbietern reine Black-Box-Lösungen aufdrängen zu lassen, sollten Unternehmen ein eigenes Verständnis für die Funktionsweise und Risiken von KI-Systemen aufbauen. Das schliesst die Fähigkeit ein, die eigenen Daten datenschutzkonform für das Training von Modellen zu nutzen und die Ergebnisse kritisch zu hinterfragen.

Die Diskussion um die wirtschaftliche Rentabilität von KI im Mittelstand ist dabei stets präsent. Compliance darf nicht zum Selbstzweck werden, sondern muss in einen Kontext des messbaren Nutzens und der Risikominimierung gestellt werden. Ein menschenzentriertes Change Management, welches die Mitarbeitenden nicht nur informiert, sondern aktiv in den Transformationsprozess einbezieht, ist dabei ebenso wichtig wie die technische Umsetzung der regulatorischen Anforderungen. Nur so kann KI ihr volles Potenzial entfalten und zu einem echten Wertschöpfungsfaktor werden.

Fazit: Jetzt handeln für eine sichere KI-Zukunft

Der EU AI Act und seine gestaffelte Anwendung, insbesondere nach den Anpassungen durch den Digital Omnibus, bieten eine klarere Roadmap für Unternehmen im DACH-Raum. Die Verschiebung einiger Fristen, insbesondere für Hochrisiko-KI-Systeme, ist eine Chance zur strategischen Vorbereitung. Die bereits geltenden Transparenzpflichten und die Notwendigkeit, sich auf kommende strengere Regeln vorzubereiten, erfordern jedoch jetzt strategische Entscheidungen und Investitionen in Compliance, Technologie und Change Management.

Für Schweizer Unternehmen bleibt die konsequente Anwendung des revidierten Datenschutzgesetzes (DSG) auf KI-Systeme ein zentrales Thema, das parallel zu den EU-Entwicklungen beachtet werden muss. Wer jetzt eine fundierte KI-Strategie entwickelt, die sowohl regulatorische Anforderungen als auch ethische Grundsätze und den konkreten Unternehmensnutzen berücksichtigt, wird nicht nur rechtssicher agieren, sondern sich auch einen entscheidenden Wettbewerbsvorteil sichern. Es ist an der Zeit, von Hype-Szenarien Abstand zu nehmen und sich auf die praktische, verantwortungsvolle Implementierung von KI zu konzentrieren.