EU AI Act und KI-Adoption: Herausforderungen und Chancen für den DACH-Mittelstand

Der europäische DACH-Arbeitsmarkt steht an einem entscheidenden Punkt in Bezug auf die Einführung und Regulierung künstlicher Intelligenz. Während die Nutzung von KI in Unternehmen des deutschsprachigen Raums kontinuierlich zunimmt, zeigen aktuelle Entwicklungen, dass eine tiefgreifende Transformation der Geschäftsmodelle und Arbeitsprozesse noch aussteht. Dies wird maßgeblich durch die bevorstehenden Compliance-Fristen des EU AI Acts und tiefgreifende Bedenken hinsichtlich Datenschutz und KI-Sicherheit beeinflusst. Für Unternehmen im DACH-Raum ist es entscheidend, die kommenden Änderungen nicht als Belastung, sondern als Katalysator für eine strategisch fundierte KI-Integration zu verstehen. Die kommenden Monate bieten eine begrenzte, aber wertvolle Zeitspanne, um sich auf die neuen Rahmenbedingungen vorzubereiten und gleichzeitig das volle Potenzial der KI verantwortungsvoll zu erschliessen. Die Konsequenzen eines Zögerns können dabei sowohl finanzielle Risiken als auch verpasste Wettbewerbsvorteile umfassen.

Der EU AI Act: Umfassende Pflichten für DACH-Unternehmen

Der 2. August 2026 ist ein Stichtag, den Unternehmen im DACH-Raum und der gesamten EU markieren sollten. An diesem Datum treten die zentralen Bestimmungen des EU AI Acts verbindlich in Kraft, insbesondere die Transparenzpflichten für den Einsatz bestimmter KI-Systeme sowie die umfassenden Anforderungen an Hochrisiko-KI-Systeme. Entgegen einer weit verbreiteten Annahme betrifft diese Regulierung nicht nur die Entwickler von KI-Systemen. Auch Unternehmen, die Standardsoftware mit integrierten KI-Funktionen nutzen, können unter die strengen Vorschriften für Hochrisiko-Systeme fallen. Dies ist ein entscheidender Punkt, der oft übersehen wird und viele mittelständische Unternehmen unerwartet treffen könnte. Es bedeutet, dass jeder Anwender von KI-Systemen, der diese in einem Hochrisikobereich einsetzt, die Anforderungen des Gesetzes erfüllen muss, auch wenn er die Software lediglich von einem Drittanbieter bezieht. Die Verantwortung verschiebt sich damit auf den Betreiber.

Rechtsexpertin Erena Langley weist darauf hin, dass fehlende Standards, unklare Behördenzuständigkeiten und verschobene Fristen zu erheblicher Unsicherheit führen. Für Deutschland wird die Bundesnetzagentur als wahrscheinliche nationale Aufsichtsbehörde gehandelt, ein nationales Durchführungsgesetz zur Regelung von Zuständigkeiten und Verfahren steht jedoch noch aus. Diese Kombination aus unmittelbar geltendem EU-Recht und fehlender nationaler Konkretisierung stellt eine besondere Herausforderung dar. Unternehmen müssen sich daher proaktiv mit den EU-Vorgaben auseinandersetzen, ohne auf alle nationalen Details warten zu können.

Die Verordnung (EU) 2024/1689 folgt einem risikobasierten Ansatz. Das bedeutet, die Anforderungen variieren je nach Art des KI-Systems, Einsatzzweck und Rolle des Unternehmens. Für Hochrisiko-KI-Systeme, die unter anderem in den Bereichen biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung und Personalverwaltung eingesetzt werden, greifen ab August 2026 umfangreiche Pflichten. Dazu gehören die Einrichtung eines Risikomanagementsystems über den gesamten Lebenszyklus des KI-Systems, von der Konzeption bis zum Betrieb. Ausserdem werden Anforderungen an die Daten-Governance gestellt, die Trainings-, Validierungs- und Testdatensätze nach klar definierten Kriterien regeln. Unternehmen müssen detailliert nachweisen können, wie sie diese Daten handhaben und welche Qualität sie besitzen.

Verstösse gegen diese Pflichten können mit erheblichen Bußgeldern geahndet werden, die bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes erreichen können. Anbieter von General-Purpose-AI-Modellen (GPAI) können mit Strafen von bis zu 15 Millionen Euro oder drei Prozent des Umsatzes belegt werden. Diese Größenordnungen erinnern stark an die Einführung der Datenschutz-Grundverordnung (DSGVO) und unterstreichen die Notwendigkeit, den EU AI Act mit vergleichbarer Ernsthaftigkeit zu behandeln. Es ist nicht nur eine Frage der Compliance, sondern auch des Reputationsschutzes und der finanziellen Stabilität eines Unternehmens.

Das Paradox der KI-Adoption: Nutzung ohne Transformation

Eine neue Studie von Komplyt Research vom 5./6. August 2026, die 61 Beratungs- und Dienstleistungsunternehmen aus der DACH-Region befragte, offenbart ein sogenanntes „Paradox der KI-Adoption“. Während 98 Prozent der Unternehmen KI mindestens wöchentlich nutzen und 82 Prozent sogar täglich, hat sich ihr Kerngeschäft, das heisst Preise, Governance und Angebot, kaum verändert. Dies ist ein bemerkenswertes Ergebnis. Es zeigt, dass KI zwar breitflächig eingesetzt wird, die strategische Verankerung und damit die transformative Wirkung jedoch oft ausbleiben. Nur 57 Prozent setzen KI in mehr als 40 Prozent ihrer Projekte ein, und lediglich 18 Prozent in über 80 Prozent. Dies deutet darauf hin, dass KI oft noch als punktuelles Werkzeug und nicht als integraler Bestandteil der Wertschöpfungskette verstanden wird.

Der primäre Nutzen bleibt die Zeitersparnis, die von 69 Prozent der Befragten als einziger realisierter Vorteil genannt wird. Dies ist deutlich mehr als im globalen Vergleich, wo dieser Wert bei 58 Prozent liegt. Diese Fokussierung auf Effizienzgewinne bei gleichzeitig ausbleibender strategischer Anpassung hat eine direkte Konsequenz: Erstaunlicherweise rechnen 74 Prozent der Unternehmen weiterhin faktisch unverändert ab. Das bedeutet, dass die durch KI erzielten Effizienzgewinne an den Kunden verschenkt werden, anstatt sie in neue Geschäftsmodelle, Preisstrukturen oder verbesserte Angebote zu überführen. Dies ist eine verpasste Chance, die sich langfristig auf die Wettbewerbsfähigkeit auswirken kann.

Das zentrale Hemmnis für eine tiefere KI-Integration im DACH-Raum sind nicht primär technische Aspekte oder Datenqualität, sondern Datenschutz und Sicherheit, die von 74 Prozent der Unternehmen als größte Bremse genannt werden. Dies unterscheidet sich signifikant vom globalen Durchschnitt, wo Datenqualität an erster Stelle steht. Diese Zurückhaltung ist vor dem Hintergrund der DSGVO und des bevorstehenden EU AI Acts verständlich. Unternehmen sind zu Recht vorsichtig, wenn es um den Umgang mit sensiblen Daten und die Einhaltung komplexer Regulierungen geht.

Obwohl 66 Prozent der befragten Unternehmen eine formale KI-Richtlinie besitzen, berichten 62 Prozent von verbreiteter „Schatten-KI“, und 31 Prozent sogar von sehr häufiger Nutzung. Dies deutet auf eine Diskrepanz zwischen offizieller Governance und tatsächlicher Praxis hin und birgt erhebliche Compliance-Risiken. Die Existenz von Schatten-KI bedeutet, dass Mitarbeiter KI-Tools eigenständig nutzen, ohne dass das Unternehmen Kontrolle oder Übersicht über die eingesetzten Daten und Prozesse hat. Dies kann zu unbeabsichtigten Datenschutzverletzungen, Sicherheitsproblemen und einem Verstoss gegen zukünftige KI-Regulierungen führen. Eine solche Situation untergräbt die Bemühungen um eine verantwortungsvolle KI-Einführung und birgt erhebliche rechtliche und finanzielle Risiken.

Datenschutz in der Schweiz: Eigener Weg, globale Relevanz

In der Schweiz nimmt die Regulierung von KI einen anderen Weg als in der EU. Zwar gibt es kein dediziertes KI-Gesetz wie den EU AI Act, doch das seit dem 1. September 2023 geltende revidierte Schweizer Datenschutzgesetz (DSG) enthält bereits erste Regelungen, die KI betreffen, insbesondere Artikel 21 zur Informationspflicht bei automatisierten Einzelentscheidungen. Das DSG schützt Personendaten natürlicher Personen und regelt deren Bearbeitung, unabhängig davon, ob Mensch, klassische Software oder KI-System beteiligt sind. Auch die Prinzipien „Privacy by Design“ und „Privacy by Default“ sind neu verankert. Dies zeigt, dass die Schweiz zwar nicht explizit ein KI-Gesetz verabschiedet hat, aber durch ihr Datenschutzrecht bereits wichtige Grundlagen für einen verantwortungsvollen KI-Einsatz geschaffen hat.

Für Schweizer Unternehmen, die KI-Output in der EU verwenden oder Dienstleistungen für EU-Kunden erbringen, gilt der EU AI Act ebenfalls. Dies erfordert von Schweizer Firmen, sicherzustellen, dass ihr Personal über ausreichendes Wissen bezüglich der Rechte und Pflichten des EU AI Acts verfügt. Eine reine Beschränkung auf das nationale Recht ist in einer global vernetzten Wirtschaft nicht ausreichend. Schweizer Unternehmen müssen die extraterritoriale Wirkung des EU AI Acts verstehen und ihre internen Prozesse entsprechend anpassen, um die Einhaltung der Vorschriften zu gewährleisten. Andernfalls drohen auch ihnen die hohen Bußgelder, die für EU-Unternehmen gelten.

Die Schweiz hat im März 2025 die Europaratskonvention zu KI unterzeichnet und bereitet derzeit einen eigenen Regulierungsansatz vor, der internationale Entwicklungen berücksichtigt. Dies deutet darauf hin, dass die Schweiz ihre KI-Regulierung nicht isoliert, sondern im Einklang mit internationalen Standards und Best Practices entwickeln wird. Für Unternehmen bedeutet dies, dass sie auch zukünftig mit einer dynamischen Rechtslandschaft rechnen müssen und eine kontinuierliche Anpassung ihrer KI-Strategie erforderlich ist.

Praktische Handlungsempfehlungen für Unternehmen

Angesichts der bevorstehenden Compliance-Fristen und der aktuellen Herausforderungen bei der KI-Adoption ist proaktives Handeln unerlässlich. Hier sind konkrete Handlungsempfehlungen für Unternehmen im DACH-Raum:

1. Bestandsaufnahme und Klassifizierung: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme. Identifizieren Sie, welche davon als Hochrisiko-KI-Systeme gemäss EU AI Act einzustufen sind. Klären Sie zudem die Rolle Ihres Unternehmens: Sind Sie Anbieter, Importeur, Händler oder Betreiber? Diese Klassifizierung ist die Grundlage für alle weiteren Massnahmen.

2. Risikomanagement-System etablieren: Für Hochrisiko-KI-Systeme müssen Sie ein umfassendes Risikomanagementsystem über den gesamten Lebenszyklus etablieren. Dies umfasst die Identifikation, Analyse, Bewertung und Minderung von Risiken. Dokumentieren Sie alle Schritte transparent und nachvollziehbar. Denken Sie dabei auch an die Daten-Governance, einschliesslich der Qualität, Herkunft und Nutzung von Trainings-, Validierungs- und Testdatensätzen.

3. Governance und Richtlinien anpassen: Überprüfen Sie Ihre bestehenden internen KI-Richtlinien und passen Sie diese an die Anforderungen des EU AI Acts an. Etablieren Sie klare Verantwortlichkeiten für den KI-Einsatz und schaffen Sie Prozesse, um die Einhaltung der Vorschriften kontinuierlich zu überwachen. Die Bekämpfung von „Schatten-KI“ ist hierbei eine zentrale Aufgabe, indem interne, compliant Lösungen und Schulungen angeboten werden, die den Bedarf der Mitarbeiter decken.

4. Schulung und Bewusstsein schaffen: Schulen Sie Ihre Mitarbeiter umfassend zu den neuen Anforderungen des EU AI Acts und den internen KI-Richtlinien. Sensibilisieren Sie für die Bedeutung von Datenschutz und KI-Sicherheit. Dies ist entscheidend, um Akzeptanz zu fördern und Compliance-Risiken zu minimieren. Ein gut informierter Mitarbeiterstamm ist der beste Schutz vor unbeabsichtigten Verstössen.

5. Change Management als Priorität: Die Einführung von KI ist kein reines IT-Thema, sondern ein tiefgreifender Veränderungsprozess. Über 70 Prozent aller KI-Projekte scheitern nicht an der Technologie, sondern an der fehlenden Akzeptanz der Mitarbeiter. Nehmen Sie Ängste vor Jobverlust ernst und kommunizieren Sie transparent über die Vorteile und die neuen Anforderungen der KI-Integration. Befähigen Sie Ihre Mitarbeiter durch gezielte Weiterbildung, statt sie nur zu informieren.

6. Rechtliche Beratung einholen: Angesichts der komplexen Rechtslage und der noch ausstehenden nationalen Umsetzungsgesetze ist es ratsam, frühzeitig rechtliche Expertise einzuholen. Ein spezialisierter Anwalt kann Ihnen helfen, die spezifischen Anforderungen für Ihr Unternehmen zu interpretieren und eine massgeschneiderte Compliance-Strategie zu entwickeln.

Die zusätzlichen Monate bis zum vollständigen Inkrafttreten der Hochrisiko-Pflichten des EU AI Acts sollten nicht als Aufschub, sondern als Chance genutzt werden. Es gilt, ein belastbares Fundament zu schaffen, das anschliessend iterativ verbessert werden kann. Wer jetzt handelt, minimiert Risiken und legt den Grundstein für eine erfolgreiche und verantwortungsvolle KI-Integration.

Kritische Einordnung aus Kapitel-H-Sicht: Pragmatismus statt Panik

Bei Kapitel H betrachten wir die aktuellen Entwicklungen mit einer pragmatischen, datenbasierten Perspektive. Der EU AI Act ist ein bedeutender regulatorischer Schritt, aber er ist kein Grund für Panik. Vielmehr ist er eine notwendige Klarstellung in einem sich schnell entwickelnden Feld. Unsere Zielgruppe, der Mittelstand im DACH-Raum, sollte die Herausforderungen als Chance begreifen, die KI-Nutzung im Unternehmen auf ein solides, zukunftsfähiges Fundament zu stellen. Es geht nicht darum, KI zu vermeiden, sondern sie richtig und sicher einzusetzen.

Das „Paradox der KI-Adoption“ unterstreicht, was wir seit langem betonen: Die reine Implementierung von KI-Tools führt selten zu transformativen Ergebnissen. Wenn 74 Prozent der Unternehmen ihre Effizienzgewinne an den Kunden verschenken, deutet dies auf ein grundlegendes Missverständnis im Umgang mit KI hin. KI sollte kein Add-on sein, das isoliert im Hintergrund läuft, sondern strategisch in Geschäftsmodelle und Wertschöpfungsprozesse integriert werden. Es geht darum, neue Angebote zu schaffen, neue Märkte zu erschliessen oder bestehende Prozesse so fundamental zu verbessern, dass sich daraus ein Wettbewerbsvorteil ergibt, der sich auch in der Preisgestaltung widerspiegeln kann. Die Fokussierung auf reine Zeitersparnis ist zu kurzsichtig. Es braucht eine strategische Verankerung, die über die reine Effizienzsteigerung hinausgeht.

Die Dominanz von Datenschutz- und Sicherheitsbedenken im DACH-Raum ist vor dem Hintergrund der DSGVO und des neuen AI Acts nachvollziehbar. Diese Bedenken sind aber nicht unüberwindbar. Sie erfordern eine systematische Herangehensweise, klare Governance und die Bereitschaft, in Prozesse und Schulungen zu investieren. „Schatten-KI“ ist ein Symptom fehlender interner Lösungen und mangelnder Kommunikation. Unternehmen müssen ihren Mitarbeitern sichere und konforme Wege zur Nutzung von KI aufzeigen, anstatt die Nutzung implizit oder explizit zu verbieten. Befähigung statt Abhängigkeit ist unser Credo: Befähigen Sie Ihre Mitarbeiter, KI verantwortungsvoll zu nutzen, anstatt eine Abhängigkeit von externen, unkontrollierten Tools zu riskieren.

Im Finanzbereich beispielsweise investieren viele Unternehmen massiv in KI, doch der tatsächliche Nutzen bleibt oft aus, da Datenlücken, fehlende Governance und strategische Denkfehler ambitionierte Programme bremsen. Nur jedes fünfte Finanzteam erreicht die angestrebte Zielmarke für den ROI von KI-Initiativen. Fabian Eigelt von SET Management Consulting sieht die Ursache in einem „Transformationsproblem“: KI werde zu oft als IT-Projekt missverstanden, Reporting mit Steuerung verwechselt und das fachliche Fundament vernachlässigt. Diese Analyse deckt sich mit unseren Erfahrungen. KI ist ein Business-Transformationstool, das eine enge Verzahnung von Fachabteilungen, IT und Management erfordert. Ohne eine klare Vision und eine strategische Führung, die über reine Tool-Implementierung hinausgeht, bleiben die Investitionen in KI Stückwerk.

Fazit: Jetzt handeln, Vorteile sichern

Die nächsten Wochen und Monate werden für DACH-Unternehmen entscheidend sein. Der EU AI Act tritt mit seinen weitreichenden Pflichten in Kraft und verlangt eine proaktive Auseinandersetzung mit der Klassifizierung, Dokumentation und Governance von KI-Systemen. Gleichzeitig zeigt die aktuelle „Paradox der KI-Adoption“-Studie, dass die Bedenken bezüglich Datenschutz und Sicherheit eine tiefere Integration und transformative Nutzung von KI im DACH-Mittelstand behindern.

Unternehmen, die jetzt eine transparente Strategie entwickeln, klare Verantwortlichkeiten definieren und ein effektives Change Management implementieren, werden nicht nur rechtliche Risiken minimieren. Sie werden auch die Wettbewerbsvorteile von KI nachhaltig erschliessen können. Die reine Implementierung von Tools ist nicht ausreichend. Es bedarf einer strategischen Verankerung, organisatorischen Steuerung und kulturellen Akzeptanz von KI in der Arbeitswelt. Nutzen Sie die verbleibende Zeit, um Ihr Unternehmen zukunftssicher aufzustellen. Die Investition in eine fundierte KI-Strategie ist eine Investition in die Wettbewerbsfähigkeit und Resilienz Ihres Unternehmens im digitalen Zeitalter. Wer jetzt die Weichen stellt, kann die Potenziale der KI voll ausschöpfen und gleichzeitig die regulatorischen Klippen umschiffen.

Die Zukunft gehört den Unternehmen, die nicht nur technologisch versiert sind, sondern auch die Fähigkeit besitzen, Mensch und Maschine in einem rechtlich sicheren und ethisch verantwortungsvollen Rahmen zusammenzuführen.