EU AI Act und KI-Governance: Fristen, Pflichten und Praxishindernisse im DACH-Mittelstand

# EU AI Act und KI-Governance: Fristen, Pflichten und Praxishindernisse im DACH-Mittelstand

Die europäische und die Schweizer Unternehmenslandschaft stehen an einem entscheidenden Punkt bei der Einführung und Regulierung von Künstlicher Intelligenz (KI). In den letzten Wochen haben sich zwei zentrale Themen für den DACH-Arbeitsmarkt als besonders relevant erwiesen: die finalen Anpassungen und Übergangsfristen des EU AI Act und die damit verbundenen Herausforderungen bei der strategischen Orchestrierung und Governance von KI in DACH-Unternehmen. Diese beiden Aspekte sind eng miteinander verbunden. Die sich entwickelnde Regulierung setzt den Rahmen für die praktische Implementierung. Die aktuellen Schwierigkeiten vieler Unternehmen unterstreichen die Notwendigkeit einer klaren Governance-Strategie.

Für den Mittelstand im DACH-Raum ist es entscheidend, diese Entwicklungen nicht nur zu beobachten, sondern proaktiv zu handeln. Eine versäumte Auseinandersetzung mit diesen Themen birgt erhebliche Risiken, von hohen Bussgeldern bis hin zum Verlust von Wettbewerbsfähigkeit. Kapitel H beleuchtet die Fakten, trennt Hype von Realität und liefert pragmatische Ansätze, um Ihr Unternehmen zukunftsfähig zu machen.

EU AI Act: Neue Fristen, schärfere Verbote und die Auswirkungen auf DACH

Am 16. Juni 2026 hat das Europäische Parlament wichtige Änderungen am EU Artificial Intelligence Act, kurz AI Act, endgültig genehmigt. Diese Anpassungen sind von grosser Bedeutung für alle Unternehmen im DACH-Raum, da der AI Act eine weitreichende extraterritoriale Wirkung entfaltet. Dies bedeutet, dass auch Schweizer Unternehmen betroffen sind, die KI-Systeme in der EU anbieten oder nutzen. Die Schweiz, obwohl kein EU-Mitglied, ist über Handelsbeziehungen und die Einbettung in den europäischen Binnenmarkt indirekt an diese regulatorischen Vorgaben gekoppelt. Ein reines Abwarten ist keine Option.

Die wesentlichste Änderung betrifft die gestaffelte Verschiebung der Anwendbarkeitspflichten für sogenannte Hochrisiko-KI-Systeme (HRAIS). Systeme, die unter Anhang III des AI Act fallen, also nutzungsbasierte HRAIS, müssen nun erst ab dem 2. Dezember 2027 die vollständigen Auflagen erfüllen. Beispiele hierfür sind bestimmte KI-Anwendungen im Personalwesen, etwa für die Bewerberauswahl, oder in kritischen Infrastrukturen wie Wasser- und Stromversorgung. Dies entspricht einer Verlängerung von 17 Monaten gegenüber der ursprünglich vorgesehenen Frist vom 2. August 2026.

Für HRAIS, die als Sicherheitskomponente in Produkten gemäss Produktsicherheitsvorschriften eingesetzt werden, also unter Anhang I fallen, wurde die Frist sogar bis zum 2. August 2028 verschoben. Dies betrifft beispielsweise KI-Systeme in Medizingeräten, Robotern oder Maschinen. Hier beträgt die Verlängerung ein ganzes Jahr. Diese Verzögerungen sind eine direkte Reaktion auf den anhaltenden Druck der Industrie und die Bedenken hinsichtlich der Fähigkeit der Europäischen Union, rechtzeitig unterstützende Compliance-Frameworks und regulatorische Leitlinien bereitzustellen. Die praktische Umsetzung erwies sich als komplexer, als ursprünglich angenommen.

Sofortige Verschärfungen trotz Fristverlängerung

Trotz dieser Fristverlängerungen gibt es auch sofortige oder kurzfristige Verschärfungen. Ab dem 2. Dezember 2026 werden beispielsweise sogenannte "Nudifier"-Anwendungen verboten. Dies sind KI-Systeme, die nicht-einvernehmliche sexuell explizite oder intime Inhalte oder Material zum sexuellen Missbrauch von Kindern generieren oder manipulieren. Diese Massnahme zeigt, dass der Gesetzgeber bei ethisch hochsensiblen Anwendungen keinerlei Kompromisse eingeht.

Zudem treten die Transparenzpflichten für die Kennzeichnung von KI-generierten Inhalten, bekannt als Watermarking, ab dem 2. Dezember 2026 in Kraft. Dies gilt für Systeme, die vor dem 2. August 2026 auf den Markt gebracht wurden. Für Systeme, die nach dem 2. August 2026 in Verkehr gebracht werden, gelten diese Pflichten sofort. Unternehmen müssen sicherstellen, dass Nutzer klar erkennen können, wann Inhalte von einer KI generiert oder manipuliert wurden. Dies soll Desinformation entgegenwirken und das Vertrauen in digitale Inhalte stärken.

Für DACH-Unternehmen bedeutet dies, dass die Zeit bis zur vollständigen Compliance zwar etwas länger ist, die Anforderungen aber keineswegs abgeschwächt wurden. Im Gegenteil, die neuen Fristen sollten nicht als Gelegenheit zur Untätigkeit missverstanden werden. Eine Studie des Bitkom zeigt, dass 69 Prozent der deutschen Unternehmen Unterstützung bei der Umsetzung des EU AI Act benötigen und nur 24 Prozent sich ernsthaft damit auseinandergesetzt haben. Dies ist ein alarmierendes Signal. Bei Verstössen drohen empfindliche Bussgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Solche Strafen können insbesondere für mittelständische Unternehmen existenzbedrohend sein.

Das Schweizer Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft trat, ergänzt den EU AI Act, indem es einen technologieneutralen Rahmen für KI-Anwendungen bietet. Insbesondere sind das DSG und der AI Act in Bezug auf automatisierte Einzelentscheidungen, Privacy by Design und Default, Profiling und biometrische Daten relevant. Schweizer Unternehmen, die KI-Anwendungen entwickeln oder einsetzen, müssen daher sowohl die Anforderungen des EU AI Act als auch des revidierten DSG sorgfältig navigieren, um datenschutzkonform zu bleiben. Eine isolierte Betrachtung einer einzelnen Rechtsnorm wäre fahrlässig.

Die Realität der KI-Einführung: Governance-Defizite im DACH-Mittelstand

Parallel zu den regulatorischen Entwicklungen zeigen aktuelle Studien, dass viele DACH-Unternehmen weiterhin erhebliche Schwierigkeiten bei der effektiven Integration und Skalierung von KI haben. Die anfängliche