EU AI Act: Herausforderungen bei KI-Sicherheit und Datenzugang für DACH-Unternehmen

Die Künstliche Intelligenz (KI) ist längst keine Zukunftsvision mehr, sondern ein fester Bestandteil vieler Unternehmensprozesse im DACH-Raum. Doch mit der rasanten Entwicklung dieser Technologie wachsen auch die Anforderungen an ihre sichere und rechtskonforme Anwendung. Eine der wohl wichtigsten Entwicklungen für die Arbeitswelt deutschsprachiger Unternehmen in den letzten Monaten ist die fortlaufende Implementierung des EU AI Act und die damit verbundenen Herausforderungen hinsichtlich KI-Sicherheit, Datenschutz und Datenzugang. Aktuelle Studien und Diskussionen vom Oktober 2026 beleuchten, wie sehr die Balance zwischen Regulierung, Innovation und praktischer Umsetzbarkeit die Unternehmen im DACH-Raum beschäftigt.

Der EU AI Act ist mehr als nur eine weitere Verordnung. Er ist die weltweit erste umfassende KI-Regulierung und setzt neue Maßstäbe für Entwicklung und Einsatz von KI-Systemen. Für den deutschen, österreichischen und schweizerischen Mittelstand bedeutet dies eine Notwendigkeit zur genauen Auseinandersetzung mit den neuen Pflichten. Es geht darum, nicht nur reaktiv, sondern proaktiv zu handeln, um die Chancen der KI verantwortungsvoll zu nutzen und gleichzeitig rechtliche sowie ethische Risiken zu minimieren. Wir betrachten die Kernpunkte dieser Entwicklung und zeigen auf, was jetzt für Unternehmen relevant ist.

Der EU AI Act: Ein komplexes Regelwerk im Fokus

Der EU AI Act ist seit August 2024 in Kraft getreten, wobei die Umsetzungsfristen gestaffelt sind und bis Ende 2028 reichen. Diese gestaffelte Einführung soll Unternehmen Zeit geben, sich anzupassen, birgt jedoch auch die Gefahr, die Dringlichkeit der umfassenden Vorbereitung zu unterschätzen. Bereits seit August 2026 sind Transparenzpflichten für bestimmte KI-Systeme wirksam, und die Verbote sowie Pflichten für General Purpose AI (GPAI)-Modelle sind ebenfalls schon in Kraft. Doch die zentralen und weitreichendsten Hochrisiko-Anforderungen, die ab Dezember 2027 für eigenständige Systeme und ab August 2028 für eingebettete Hochrisiko-KI greifen, rücken nun verstärkt in den Fokus der Unternehmen. Das sogenannte „Digitale-Omnibus-Verfahren“ im Frühjahr 2026 hat zwar einige dieser Fristen angepasst, jedoch keineswegs die inhaltlichen Anforderungen aufgeweicht. Der Druck auf Unternehmen, ihre KI-Governance frühzeitig aufzubauen und anzupassen, bleibt somit bestehen und nimmt sogar zu.

Ein entscheidender Aspekt ist die extraterritoriale Wirkung des AI Act. Das bedeutet, dass nicht nur Unternehmen innerhalb der EU betroffen sind. Auch Schweizer Unternehmen, die in der EU aktiv sind, oder deren KI-Systeme Auswirkungen auf EU-Bürger haben, müssen die Vorschriften des AI Act beachten. Dies ist eine zusätzliche Ebene der Komplexität, die über die Anforderungen des revidierten Schweizer Datenschutzgesetzes (DSG) hinausgeht, welches bereits seit September 2023 in Kraft ist. Das Schweizer DSG selbst enthält bereits wichtige Bestimmungen für KI-Anwendungen, darunter Informations- und Auskunftspflichten bei automatisierten Einzelentscheidungen, den Grundsatz „Privacy by Design“ und „Privacy by Default“ sowie spezifische Regelungen zu Profiling und biometrischen Daten. Für Schweizer Unternehmen bedeutet dies eine doppelte Verantwortung: Sie müssen sowohl die nationalen Datenschutzbestimmungen als auch die europäischen KI-Regulierungen umfassend verstehen und umsetzen. Die Annahme, von der EU-Regulierung unberührt zu bleiben, wäre fahrlässig und könnte erhebliche Konsequenzen nach sich ziehen.

KI-Sicherheit und Governance: Eine alarmierende Lücke

Die Einführung des EU AI Act erfolgt vor dem Hintergrund einer besorgniserregenden Realität bezüglich der KI-Sicherheit in Unternehmen. Eine aktuelle „KI-Sicherheitsstudie 2026“, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem TÜV-Verband am 12. Oktober 2026 veröffentlicht wurde, offenbart eine signifikante Diskrepanz zwischen der zunehmenden Nutzung von KI-Systemen und deren Absicherung in deutschen Unternehmen. Die Zahlen sind deutlich: 49 Prozent der befragten Unternehmen setzen bereits künstliche Intelligenz ein, und weitere neun Prozent planen den Einsatz in naher Zukunft. Demgegenüber steht eine erschreckend geringe Bereitschaft zur Implementierung spezifischer Sicherheitsmaßnahmen: Lediglich elf Prozent der Unternehmen, die KI nutzen oder planen, haben spezielle Abläufe für KI-bezogene Sicherheitsvorfälle etabliert. Dies ist eine alarmierende Lücke, die bei zunehmender Abhängigkeit von KI zu schwerwiegenden Schäden führen kann.

Die Auswirkungen dieser Sicherheitslücken sind bereits spürbar. 17 Prozent der Unternehmen berichten von bestätigten oder vermuteten Cyberangriffen und Betrugsversuchen, bei denen KI eine Rolle spielte oder spielen könnte. Dies unterstreicht die Dringlichkeit, robuste Sicherheitsstrategien und Notfallpläne zu entwickeln, die über allgemeine IT-Sicherheit hinausgehen und spezifisch auf die Besonderheiten von KI-Systemen zugeschnitten sind. Eine weitere Studie, der „DXC Digital Future Monitor 2026 (DE)“ von DXC Technology vom 6. August 2026, belegt, dass 66 Prozent der DACH-Unternehmen durch intransparente KI-Entscheidungen bereits mit neuen Compliance-Aufgaben konfrontiert sind. Dies verdeutlicht die Notwendigkeit einer klaren Governance, die nicht nur technische, sondern auch organisatorische und prozessuale Aspekte umfasst.

Der „Arctic Wolf AI & Cybersecurity Trends Report 2026“ zeigt zudem, dass DACH-Unternehmen ihre Anforderungen an KI- und Cybersecurity-Anbieter neu definieren. KI wird zwar zunehmend als fester Bestandteil der Sicherheitsstrategie eingesetzt, doch bei autonomen Entscheidungen bleibt eine gesunde Vorsicht bestehen. Kontrollierbare KI, menschliche Aufsicht, digitale Souveränität und europäische Sicherheitsstrukturen rücken in den Mittelpunkt der Anbieterbewertung. Vertrauen ist hier der entscheidende Engpass der KI-Transformation. Hohe Erwartungen an Geschwindigkeit und Erkennungsleistung stehen Datenschutzbedenken, Sorgen um Fehlalarme und fehlender Verantwortlichkeit gegenüber. Diese kritische Haltung ist angesichts der Komplexität und der potenziellen Risiken von KI-Systemen absolut gerechtfertigt und notwendig.

Datenzugang: Ein kritischer Engpass für Europas KI-Zukunft

Neben den regulatorischen und sicherheitstechnischen Aspekten gibt es eine intensive Debatte über die wirtschaftlichen Folgen von möglicherweise zu restriktiven Zugangsregeln für KI-Trainingsdaten. Das Ifo-Institut warnte am 13. Oktober 2026 davor, dass Deutschland bis zu 155 Milliarden Euro an jährlicher Wertschöpfung verlieren könnte, wenn der Zugang zu Trainingsdaten für KI-Modelle weiterhin eingeschränkt wird. Diese beeindruckende Summe setzt sich aus verschiedenen Faktoren zusammen: 45 Milliarden Euro durch eine langsamere Einführung von KI, 75 Milliarden Euro durch schwächere Modelle, 25 Milliarden Euro durch eine geringere Forschungsleistung und weitere 10 Milliarden Euro durch eine rückläufige KI-Entwicklung in Europa.

Die Leistungsfähigkeit von modernen KI-Sprachmodellen hängt maßgeblich von der Verfügbarkeit riesiger und vielfältiger Datenmengen ab. Ein Vergleich verdeutlicht die europäische Herausforderung: Der größte urheberrechtsfreie Datensatz in Europa umfasst lediglich zwei bis drei Billionen Tokens, während international führende Modelle bereits 15 bis 36 Billionen Tokens für ihr Training nutzen. Diese Diskrepanz ist erheblich und kann Europa im globalen KI-Wettbewerb entscheidend zurückwerfen. Experten wie Ilhan Scheer, CEO des deutschen KI-Labors Aleph Alpha, betonen, dass der Zugang zu vielfältigen, hochwertigen Trainingsdaten absolut entscheidend für die Entwicklung wettbewerbsfähiger KI ist. Unnötige Beschränkungen erschweren diese Entwicklung massiv. Es geht hier nicht nur um technologische Feinheiten, sondern um die wirtschaftliche Zukunftsfähigkeit des gesamten Kontinents.

Spezifische Auswirkungen auf HR und Finanzwesen

Der EU AI Act hat spezifische und weitreichende Auswirkungen auf kritische Unternehmensbereiche wie das Personalwesen (HR) und den Finanzsektor. Für Personalverantwortliche stellt sich die Frage, wie sie KI rechtssicher einsetzen können, da viele KI-Systeme im HR-Bereich, beispielsweise für das Recruiting oder die Leistungsbewertung, als Hochrisiko-KI eingestuft werden. Damit unterliegen sie nicht nur dem AI Act, sondern auch der Datenschutz-Grundverordnung (DSGVO) und den betrieblichen Mitbestimmungsrechten.

Der Einsatz von KI im HR reicht von automatisiertem CV-Parsing und Matching im Recruiting über prädiktive Analysen für Fluktuationsrisiken bis hin zu personalisierten Lernvorschlägen und Chatbots im HR-Service. Bei all diesen Anwendungen müssen das Allgemeine Gleichbehandlungsgesetz (AGG) und die betrieblichen Mitbestimmungsrechte weiterhin uneingeschränkt beachtet werden. Ein „DACH-Leitfaden für arbeitnehmerfreundliche KI“ vom Dezember 2025 hebt hervor, dass Unternehmen eng mit Betriebsräten zusammenarbeiten müssen, um Regeln zu definieren, die dem EU AI Act entsprechen. Dies erfordert Transparenz, Dialog und die Bereitschaft, Prozesse im Sinne aller Beteiligten anzupassen.

Auch im Finanzsektor sind die Anforderungen komplex. Deutsche CFOs und HR-Verantwortliche sehen sich einem Spannungsfeld zwischen den strengen deutschen Vorschriften wie der DSGVO und den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD) und den neuen Pflichten des EU AI Act gegenüber. Dies gilt insbesondere ab 2027, wenn der Einsatz von KI bei sensiblen Entscheidungen wie Gehaltsfestlegungen oder Leistungsüberwachung betroffen ist. Die klare Empfehlung lautet hier, KI „compliant by Design“ zu implementieren. Das bedeutet, dass der Mensch stets im Kontroll-Loop bleiben muss. Jede KI-Empfehlung sollte vor der Ausführung menschlich geprüft und bis zur Quelldatenquelle vollständig nachvollziehbar sein. Nur so lässt sich sicherstellen, dass KI-Systeme die Compliance-Anforderungen erfüllen und das Vertrauen in ihre Ergebnisse gewahrt bleibt.

Praktische Handlungsempfehlungen für Unternehmen

Angesichts der komplexen Lage sind proaktive Schritte unerlässlich, um die Vorteile der KI zu nutzen und gleichzeitig regulatorische Risiken zu minimieren. Wir empfehlen folgende konkrete Maßnahmen:

1. Proaktive Compliance-Strategie entwickeln: Warten Sie nicht auf die letzten Fristen. Beginnen Sie jetzt damit, eine umfassende Strategie zur Einhaltung des EU AI Act und der relevanten Datenschutzgesetze zu erarbeiten. Identifizieren Sie alle KI-Anwendungen in Ihrem Unternehmen und klassifizieren Sie diese gemäß der Risikostufen des AI Act. 2. KI-Governance-Strukturen etablieren: Definieren Sie klare Rollen und Verantwortlichkeiten für den sicheren und rechtskonformen Einsatz von KI. Dies umfasst die Ernennung von KI-Beauftragten, die Festlegung von internen Richtlinien und die Integration von KI-Compliance in bestehende Management-Systeme. 3. Risikobewertung und Sicherheitskonzepte für KI-Systeme: Führen Sie regelmäßige Risikobewertungen für alle eingesetzten KI-Systeme durch. Entwickeln Sie spezifische Sicherheitskonzepte, die über allgemeine IT-Sicherheit hinausgehen und die besonderen Angriffsvektoren von KI-Modellen berücksichtigen. Etablieren Sie Notfallpläne für KI-bezogene Sicherheitsvorfälle. 4. Mitarbeiter schulen und sensibilisieren: Investieren Sie in die Schulung Ihrer Mitarbeiter. Es ist entscheidend, dass alle relevanten Abteilungen, von der Entwicklung über den Betrieb bis hin zu HR und Recht, die rechtlichen Aspekte und die Bedeutung des sicheren KI-Einsatzes verstehen. Eine informierte Belegschaft ist der beste Schutz gegen Fehlentwicklungen. 5. Datenstrategie definieren und umsetzen: Entwickeln Sie eine klare Strategie für den Zugang, die Qualität und das Management von Trainingsdaten. Stellen Sie sicher, dass Ihre Datenquellen transparent, rechtskonform und ausreichend divers sind, um leistungsfähige und unvoreingenommene KI-Modelle zu entwickeln. Prüfen Sie Lizenzmodelle und mögliche Kooperationen für Datenzugang. 6. Mensch-in-der-Schleife-Prinzip implementieren: Sorgen Sie dafür, dass bei hochsensiblen oder kritischen Entscheidungen, die durch KI gestützt werden, stets ein Mensch die letzte Kontrolle und Entscheidungsgewalt behält. Implementieren Sie technische und organisatorische Maßnahmen, um dies zu gewährleisten und die Nachvollziehbarkeit von KI-Entscheidungen sicherzustellen. 7. Eng mit Betriebsräten zusammenarbeiten: Wenn Sie KI-Systeme einführen, die Mitarbeiter betreffen, suchen Sie frühzeitig den Dialog mit dem Betriebsrat. Gemeinsame Richtlinien und Betriebsvereinbarungen schaffen Vertrauen und Rechtssicherheit für alle Beteiligten. 8. Anbieter sorgfältig evaluieren: Bei der Auswahl von KI-Lösungen oder -Dienstleistern achten Sie nicht nur auf Funktionalität und Preis, sondern auch auf deren Compliance mit dem EU AI Act, deren Sicherheitsstandards und deren Bereitschaft zur Transparenz. Europäische Sicherheitsstrukturen und digitale Souveränität sollten dabei wichtige Kriterien sein.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuellen Entwicklungen rund um den EU AI Act sind ein klares Zeichen dafür, dass die Phase der unregulierten KI-Experimente im DACH-Raum vorbei ist. Aus unserer Sicht ist die Notwendigkeit einer Regulierung unbestreitbar, um Vertrauen zu schaffen, Risiken zu minimieren und ethische Leitplanken zu setzen. Eine vollständige Freiheit in der KI-Entwicklung würde mittelfristig zu unkontrollierbaren Auswüchsen führen, die dem Mittelstand mehr schaden als nützen.

Dennoch sehen wir mit Sorge, dass der Spagat zwischen Regulierung und Innovationsförderung eine gewaltige Herausforderung darstellt. Die Warnung des Ifo-Instituts bezüglich des potenziellen Wertschöpfungsverlustes durch zu restriktiven Datenzugang muss ernst genommen werden. Wenn Europa nicht in der Lage ist, ausreichend diverse und umfangreiche Trainingsdaten für seine KI-Modelle zu generieren, riskieren wir, technologisch ins Hintertreffen zu geraten. Eine zu restriktive Interpretation des Urheberrechts oder ein mangelnder Konsens über Datenpools könnten sich als Innovationsbremse erweisen, die uns in eine Abhängigkeit von außereuropäischen KI-Entwicklungen treibt. Dies widerspricht dem Ziel digitaler Souveränität, das der AI Act eigentlich fördern soll.

Die von Studien aufgezeigte Lücke zwischen KI-Einsatz und -Sicherheit ist ein klarer Handlungsauftrag. Es genügt nicht, KI einzuführen und die Vorteile zu ernten, wenn die grundlegenden Sicherheitsmechanismen fehlen. Wir müssen den Hype um schnelle KI-Erfolge kritisch hinterfragen und stattdessen einen pragmatischen, datenbasierten Ansatz verfolgen. Das bedeutet, in robuste Prozesse, klare Verantwortlichkeiten und kontinuierliche Schulung zu investieren. Es geht darum, KI zu beherrschen und zu kontrollieren, nicht sich von ihr beherrschen zu lassen. Der Fokus muss auf der Befähigung der Unternehmen liegen, diese neuen Technologien selbstbestimmt und sicher zu integrieren, anstatt eine passive Rolle einzunehmen und sich von externen Anbietern oder regulatorischen Vorgaben überrollen zu lassen.

Fazit mit konkretem Nutzen für den Leser

Die aktuelle Nachrichtenlage verdeutlicht, dass die anfängliche Euphorie um KI im DACH-Raum einer nüchternen und pragmatischen Herangehensweise weichen muss. Die Dringlichkeit, den EU AI Act zu verstehen und umzusetzen, ist für Unternehmen nicht nur eine Frage der Compliance, sondern auch ein entscheidender Wettbewerbsfaktor. Wer jetzt die Weichen für eine sichere und rechtskonforme KI-Strategie stellt, verschafft sich einen klaren Vorsprung. Das Vermeiden von Strafen durch Nichteinhaltung ist nur ein Aspekt, der Aufbau von Vertrauen bei Kunden und Mitarbeitern ein wesentlich nachhaltigerer Nutzen. Zudem können Unternehmen durch eine klare Datenstrategie und einen intelligenten Umgang mit Datenressourcen die Qualität und Leistungsfähigkeit ihrer KI-Modelle signifikant verbessern.

Die Sicherheit und der datenschutzkonforme Einsatz von KI-Systemen sind dabei ebenso kritisch wie der Zugang zu hochwertigen Trainingsdaten, um das volle Potenzial der Technologie ausschöpfen zu können. Unternehmen, die jetzt in robuste KI-Governance-Strukturen, transparente Prozesse und die Schulung ihrer Mitarbeiter investieren, positionieren sich erfolgreich für die Zukunft der KI-gestützten Arbeitswelt. Die Diskussionen und Studien der letzten 24-48 Stunden zeigen, dass dies keine abstrakten Zukunftsszenarien sind, sondern konkrete Herausforderungen, die unmittelbar angegangen werden müssen. Nutzen Sie die verbleibende Zeit aktiv, um Ihr Unternehmen zukunftssicher aufzustellen und die digitale Transformation erfolgreich zu gestalten. Der Weg ist komplex, aber mit einem strukturierten Vorgehen beherrschbar und eröffnet neue Wachstumschancen.