EU AI Act und nDSG: Compliance-Pflichten für KI im DACH-Mittelstand

Die Einführung Künstlicher Intelligenz, kurz KI, schreitet in der Unternehmenswelt rasant voran. Doch mit den Chancen der Innovation wachsen auch die regulatorischen Herausforderungen. Insbesondere Unternehmen im deutschsprachigen Raum, also in Deutschland, Österreich und der Schweiz, sehen sich ab Herbst 2026 einem erheblichen Compliance-Druck ausgesetzt. Das Inkrafttreten des EU AI Act und die bereits geltenden, strengen Regelungen des revidierten Schweizer Datenschutzgesetzes, kurz nDSG, fordern eine proaktive Auseinandersetzung mit den rechtlichen Rahmenbedingungen. Wer jetzt handelt, sichert nicht nur die eigene Rechtssicherheit, sondern auch die Wettbewerbsfähigkeit. Wer zögert, riskiert hohe Bussgelder und Reputationsschäden.

Diese Entwicklung ist keine abstrakte politische Diskussion, sondern betrifft den Kern der Geschäftstätigkeit. Sie erfordert konkrete strategische Entscheidungen und operative Anpassungen auf allen Ebenen eines Unternehmens, vom KMU bis zum Grosskonzern. Es geht nicht mehr darum, ob man KI einsetzt, sondern wie man sie rechtskonform, transparent und verantwortungsvoll integriert.

Der EU AI Act: Eine tickende Uhr für den Mittelstand

Der EU AI Act verfolgt das Ziel, einen harmonisierten Rechtsrahmen für KI innerhalb der Europäischen Union zu schaffen und gleichzeitig die Sicherheit und Grundrechte der Bürger zu schützen. Seine schrittweise Inkraftsetzung bedeutet, dass Unternehmen sich bereits jetzt mit den bevorstehenden Pflichten auseinandersetzen müssen. Erste Verbote und Anforderungen sind schon im Februar 2025 wirksam geworden. Die umfassenden Anforderungen für sogenannte Hochrisiko-KI-Systeme werden ab dem 2. August 2026 verbindlich, weitere zentrale Bestimmungen folgen ab Dezember 2027. Viele Unternehmen, insbesondere der Mittelstand, unterschätzen die weitreichenden Implikationen dieser Verordnung noch immer.

Der AI Act basiert auf einem risikobasierten Ansatz. Dies bedeutet, je höher das potenzielle Risiko einer KI-Anwendung für die Grundrechte, die Sicherheit oder die Gesundheit von Personen eingestuft wird, desto strenger sind die Anforderungen an deren Entwicklung, Bereitstellung und Nutzung. Diese Klassifizierung ist der erste entscheidende Schritt für jedes Unternehmen, das KI einsetzt oder plant, dies zu tun.

Konkrete Auswirkungen und Pflichten im Überblick:

Eine Vielzahl von KI-Systemen, die heute bereits im Unternehmensalltag eingesetzt werden, fallen unter die Hochrisiko-Kategorie. Dies umfasst beispielsweise Anwendungen in kritischen Bereichen wie:

* Personalwesen (HR): Systeme zum Bewerber-Screening, zur Eignungsanalyse, Leistungsbewertung oder zur Unterstützung von Entscheidungen bezüglich Beförderung oder Kündigung. Solche Systeme können direkte Auswirkungen auf die berufliche Zukunft und Chancengleichheit von Personen haben. * Finanzdienstleistungen: KI-gestützte Bonitätsprüfungen, Betrugserkennungssysteme oder komplexe Risikomodelle. Hier können Fehlentscheidungen schwerwiegende finanzielle Konsequenzen für Einzelpersonen oder ganze Unternehmen nach sich ziehen. * Lieferkettenmanagement (Supply Chain Management): Systeme, die beispielsweise Lieferanten auf Basis verschiedener Kriterien bewerten und scoren. Diese können indirekt weitreichende wirtschaftliche Effekte haben. * Legal Tech: Anwendungen zur automatisierten Vertragsanalyse oder zur Vorhersage von Rechtsausgängen. Auch hier sind die Auswirkungen auf die Rechtssicherheit betroffener Parteien erheblich.

Für diese Hochrisiko-Systeme gelten strenge Vorgaben, einschliesslich umfassendem Risikomanagement, robuster Daten-Governance, hoher technischer Zuverlässigkeit, detaillierter Dokumentationspflichten, der Notwendigkeit menschlicher Aufsicht und stringenten Cybersicherheitsmassnahmen. Unternehmen müssen zudem ein KI-Risikoregister führen, in dem alle eingesetzten Systeme, deren Klassifikation, Einsatzbereiche, identifizierte Risiken und Verantwortlichkeiten lückenlos dokumentiert sind. Diese Dokumentation dient nicht nur der internen Steuerung, sondern auch als essenzieller Nachweis gegenüber Aufsichtsbehörden im Falle einer Prüfung.

Ein oft übersehener Aspekt ist die bereits seit Februar 2025 bestehende KI-Schulungspflicht, die sich aus Artikel 4 des AI Act ergibt. Diese betrifft alle Unternehmen, die KI-Systeme nutzen, einschliesslich der breiten Nutzung von generativen Tools wie ChatGPT oder Microsoft Copilot durch Mitarbeitende. Eine PwC-Umfrage aus dem Jahr 2026 zeigte, dass zwar 56 Prozent der deutschen Unternehmen ChatGPT oder ähnliche Tools verwenden, aber lediglich 27 Prozent entsprechende KI-Schulungen aufgesetzt haben. Diese Diskrepanz stellt eine erhebliche Compliance-Lücke dar, die umgehend geschlossen werden muss.

Verstösse gegen den EU AI Act können drastische Bussgelder nach sich ziehen. Diese können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist. Solche Sanktionen unterstreichen die Ernsthaftigkeit, mit der die Einhaltung der Verordnung von den europäischen Aufsichtsbehörden durchgesetzt wird.

Der Schweizer Sonderfall: Scharfes nDSG mit persönlicher Haftung

Für Schweizer Unternehmen kommt zu den Herausforderungen des EU AI Act eine zusätzliche Ebene der Komplexität hinzu: das bereits seit dem 1. September 2023 geltende, revidierte Schweizer Datenschutzgesetz, kurz nDSG. Obwohl technologie-neutral formuliert, gilt das nDSG explizit für jede automatisierte Datenverarbeitung und somit auch für KI-gestützte Anwendungen, die personenbezogene Daten verarbeiten. Das bedeutet, dass der Einsatz von KI-Systemen in der Schweiz von Beginn an unter den strengen Vorgaben des nDSG erfolgen muss.

Eine entscheidende Besonderheit des nDSG sind die persönlichen Bussgelder. Diese können bis zu CHF 250'000 betragen und richten sich nicht gegen das Unternehmen als juristische Person, sondern explizit gegen die verantwortliche natürliche Person. Dies kann die Geschäftsführung, ein Mitglied des Verwaltungsrates oder eine verantwortliche Fachperson im Unternehmen sein. Diese persönliche Haftung schafft einen signifikanten Anreiz für Führungskräfte, sich proaktiv und tiefgreifend mit den Datenschutzrisiken des KI-Einsatzes auseinanderzusetzen.

Extraterritoriale Wirkung und doppelte Compliance-Anforderungen:

Schweizer Unternehmen, die KI-Ergebnisse in den EU-Markt liefern oder eng mit EU-Kunden zusammenarbeiten, unterliegen nicht nur dem nDSG, sondern müssen gleichzeitig die Bestimmungen des EU AI Act und der Datenschutz-Grundverordnung, kurz DSGVO, beachten. Diese doppelte Compliance-Anforderung erfordert eine sorgfältige Abwägung der Datenarchitektur und der Jurisdiktion des sogenannten "Reasoning-Layers", also der Umgebung, in der die KI-Entscheidungen getroffen und Daten verarbeitet werden.

Beispielsweise unterliegen US-basierte Provider oft dem CLOUD Act, der US-Behörden Zugriff auf Daten ermöglicht, unabhängig vom Speicherort. Demgegenüber stehen europäische Rechenzentren, die dem EU-Rechtsrahmen unterliegen, und Schweizer Rechenzentren, die dem Schweizer Recht unterstellt sind. Die Wahl des Providers und des Speicherorts hat direkte Auswirkungen auf die Compliance und muss strategisch entschieden werden, um Rechtsunsicherheiten und potenzielle Konflikte zu vermeiden.

Herausforderungen und Handlungsfelder für den Mittelstand

Der Mittelstand im DACH-Raum steht bei der Implementierung von KI-Lösungen unter Einhaltung der neuen regulatorischen Vorgaben vor besonderen Herausforderungen. Studien zeigen, dass die grössten Hürden für kleine und mittlere Unternehmen oft in der rechtlichen Unsicherheit, fehlendem technischem Know-how und mangelnden Personalressourcen liegen. Konkret nannten 53 Prozent der befragten KMU rechtliche Unsicherheit als Hindernis, weitere 53 Prozent fehlendes technisches Know-how und 51 Prozent mangelnde Personalressourcen. Diese Zahlen verdeutlichen, dass der Mittelstand Unterstützung und klare Leitlinien benötigt.

Es ist bezeichnend, dass nur ein kleiner Teil der deutschen KMU, nämlich 10 Prozent, aktuell KI-Lösungen einsetzt. Von diesen greift der Grossteil, 57 Prozent, auf sogenannte "Ready-to-use"-Lösungen zurück. Diese Out-of-the-Box-Lösungen sind zwar attraktiv, weil sie eine schnelle Implementierung versprechen, bergen aber erhebliche Risiken in Bezug auf Transparenz, Datenhoheit und Compliance. Ohne eine fundierte Vendor Due Diligence und entsprechende Verträge besteht die Gefahr, dass Unternehmen unbewusst gegen geltende Vorschriften verstossen.

Konkrete Handlungsempfehlungen für Ihr Unternehmen

Um den bevorstehenden regulatorischen Anforderungen gerecht zu werden und KI sicher sowie effizient im Unternehmen zu etablieren, sind konkrete Schritte erforderlich. Kapitel H empfiehlt folgende Massnahmen:

1. KI-Inventur und Risikobewertung durchführen: Beginnen Sie mit einer umfassenden Inventur aller in Ihrem Unternehmen genutzten KI-Tools. Dies schliesst nicht nur offiziell implementierte Systeme ein, sondern auch sogenannte Shadow IT, also informell von Mitarbeitenden genutzte Anwendungen wie ChatGPT. Klassifizieren Sie jedes System nach den Risikokategorien des EU AI Act, von minimal bis hoch. Bewerten Sie anschliessend die datenschutzrechtlichen Implikationen gemäss DSGVO und nDSG. Erfassen Sie dabei, welche Art von Daten verarbeitet wird, ob personenbezogene Daten betroffen sind und welche Schutzmassnahmen bereits existieren. Ein solches Register ist der erste Schritt zur Transparenz und zum Risikomanagement.

2. Eine robuste KI-Governance aufbauen: Eine ganzheitliche KI-Governance ist das Fundament für einen rechtskonformen und verantwortungsvollen KI-Einsatz. Definieren Sie klare Verantwortlichkeiten, implementieren Sie Richtlinien und Prozesse für den gesamten KI-Lebenszyklus, von der Entwicklung über den Einsatz bis zur Wartung und Stilllegung. Dies umfasst Regelungen zur Datenqualität, zum Bias-Management, zur menschlichen Aufsicht und zur regelmässigen Überprüfung der Systemleistung und -sicherheit. Eine solche Governance stellt sicher, dass Risiken proaktiv identifiziert und beherrscht werden.

3. Vendor Due Diligence und Auftragsverarbeitungsverträge systematisch prüfen: Wenn Sie externe KI-Dienste nutzen, ist eine systematische Prüfung der Anbieter unerlässlich. Überprüfen Sie die Herkunft und Qualität der Trainingsdaten, fordern Sie Nachweise für Bias- und Fairness-Tests an und stellen Sie sicher, dass die Dokumentation der Entscheidungslogik transparent ist. Ein kritischer Blick auf die Sicherheitsarchitektur und die Datenverarbeitungsprinzipien des Anbieters ist Pflicht. Gemäss Artikel 28 DSGVO sind zudem Auftragsverarbeitungsverträge, kurz AVV, mit den Anbietern verpflichtend, wenn personenbezogene Daten verarbeitet werden. Viele KMU nutzen KI-Tools, ohne die Existenz oder Angemessenheit solcher Verträge zu prüfen, was den Einsatz rechtswidrig machen kann. Klären Sie dies umgehend.

4. Mitarbeiterschulungen und Change Management umfassend gestalten: Angesichts der KI-Schulungspflicht und des notwendigen Kulturwandels ist es entscheidend, Ihre Mitarbeitenden nicht nur technisch zu schulen, sondern auch psychologische Sicherheit zu schaffen. Adressieren Sie Ängste vor Jobverlust oder Kontrollverlust proaktiv. Vermitteln Sie den Nutzen von KI im Arbeitsalltag greifbar und verständlich. Die Einführung von KI-Systemen ist zu etwa 70 Prozent ein organisatorischer und kultureller Wandel und nur zu 30 Prozent ein Technologieprojekt. Investieren Sie in diesen Wandel, um Akzeptanz und erfolgreiche Integration zu gewährleisten.

5. Datenschutz-Folgenabschätzung (DSFA) bei Bedarf durchführen: Beim Einsatz von KI zur Verarbeitung personenbezogener Daten, insbesondere wenn es um die Bewertung persönlicher Aspekte oder die Steuerung der Interaktion mit Betroffenen geht, ist eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO zwingend. Dies betrifft beispielsweise Anwendungen im HR-Bereich oder bei der Kreditwürdigkeitsprüfung. Eine DSFA hilft, potenzielle Risiken für die Rechte und Freiheiten natürlicher Personen frühzeitig zu erkennen und geeignete Massnahmen zur Risikominderung zu definieren.

Kapitel H Perspektive: Pragmatismus statt Panik

Die regulatorische Dichte, die sich durch den EU AI Act und das nDSG ergibt, mag auf den ersten Blick entmutigend wirken. Es besteht die Gefahr, dass Unternehmen aus Sorge vor Komplexität und Bussgeldern den Kopf in den Sand stecken oder den Einsatz von KI pauschal ablehnen. Eine solche Reaktion wäre jedoch ein strategischer Fehler. Bei Kapitel H vertreten wir die Ansicht, dass Datenschutz und Regulierung kein Grund sein sollten, KI grundsätzlich zu meiden. Vielmehr bieten sie die Chance, den Einsatz von KI im Unternehmen strukturiert, rechtskonform und damit nachhaltig zu gestalten.

Unsere Erfahrung zeigt, dass die grössten Hürden oft nicht in der Technologie selbst liegen, sondern im Mangel an klaren Strategien und Prozessen. Der Mittelstand im DACH-Raum ist bekannt für seine Innovationskraft und Anpassungsfähigkeit. Diese Eigenschaften sind jetzt gefragt. Es ist entscheidend, sich von überzogenen Hype-Versprechen zu distanzieren und sich auf reale, pragmatische Anwendungen von KI zu konzentrieren, die einen echten Mehrwert stiften, ohne dabei die regulatorischen Rahmenbedingungen aus den Augen zu verlieren.

Das Ziel darf nicht sein, Abhängigkeiten von externen KI-Anbietern zu schaffen, sondern die eigenen Mitarbeiter und das Unternehmen durch fundiertes Wissen und robuste interne Prozesse zu befähigen. Eine solide KI-Governance und Compliance-Strategie ist daher kein reiner Kostenfaktor, sondern eine Investition in die zukünftige Resilienz und Wettbewerbsfähigkeit. Sie ermöglicht es Unternehmen, die Vorteile von KI zu nutzen, ohne dabei essenzielle Werte wie Datenschutz und Verantwortlichkeit zu kompromittieren. Wer jetzt proaktiv handelt, kann die Weichen stellen, um nicht nur Risiken zu minimieren, sondern auch Vertrauen bei Kunden und Mitarbeitern aufzubauen, was in der digitalen Transformation ein unschätzbarer Vorteil ist.

Fazit: Jetzt die Weichen stellen für eine zukunftssichere KI-Nutzung

Die schrittweise Inkraftsetzung des EU AI Act und die bereits geltenden Bestimmungen des nDSG sind keine fernen Zukunftsszenarien, sondern eine unmittelbare Realität für Unternehmen im DACH-Raum. Der Herbst 2026 stellt einen kritischen Wendepunkt dar, an dem viele der umfassendsten Anforderungen für Hochrisiko-KI-Systeme verbindlich werden. Für Schweizer Unternehmen kommt die zusätzliche Komplexität der persönlichen Haftung und der extraterritorialen Wirkung des nDSG hinzu.

Diese regulatorische Landschaft mag anspruchsvoll sein, sie ist jedoch auch eine Chance. Unternehmen, die jetzt in den Aufbau einer robusten KI-Governance, eine detaillierte Inventur und Risikobewertung ihrer KI-Systeme, eine sorgfältige Vendor Due Diligence und umfassende Mitarbeiterschulungen investieren, schaffen eine solide Basis. Sie verschaffen sich nicht nur rechtliche Sicherheit und vermeiden hohe Bussgelder, sondern auch einen entscheidenden Wettbewerbsvorteil in der durch KI transformierten Arbeitswelt.

Handeln Sie jetzt. Analysieren Sie Ihren aktuellen KI-Einsatz, identifizieren Sie potenzielle Risiken und entwickeln Sie eine Strategie zur systematischen Einhaltung der neuen Vorschriften. Setzen Sie auf Pragmatismus und befähigen Sie Ihre Organisation, KI verantwortungsvoll und zum eigenen Vorteil einzusetzen. So positionieren Sie sich nicht nur als rechtskonformes, sondern auch als zukunftsfähiges und vertrauenswürdiges Unternehmen im digitalen Zeitalter. Der Wettbewerb um die verantwortungsvollsten KI-Anwendungen hat begonnen.