EU AI Act und nDSG: Was DACH-Unternehmen 2026 jetzt wissen müssen

Die Integration von Künstlicher Intelligenz (KI) in Geschäftsprozesse ist für Unternehmen im deutschsprachigen Raum (DACH) längst keine ferne Zukunftsvision mehr. Vielmehr ist es eine operative Realität, die sich nun mit einer immer dichteren regulatorischen Landschaft überschneidet. Im Jahr 2026 werden die Bestimmungen des EU AI Act und des revidierten Schweizer Datenschutzgesetzes (nDSG) zu einer dringenden Notwendigkeit, deren Missachtung erhebliche Risiken für die Wettbewerbsfähigkeit und Reputation von Unternehmen birgt. Was bisher in Konferenzräumen als strategisches Thema diskutiert wurde, erfordert jetzt konkrete, umsetzbare Schritte.

Der EU AI Act: Vom Gesetz zur operativen Pflicht in Deutschland

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Seit dem 1. August 2024 ist er in Kraft und seine Bestimmungen treten schrittweise in Kraft. Das Jahr 2026 ist dabei ein entscheidender Zeitpunkt, da viele dieser Bestimmungen nun direkt anzuwenden sind. Bereits seit dem 2. Februar 2025 sind bestimmte verbotene KI-Praktiken und grundlegende Kompetenzanforderungen gültig. Die Governance-Regeln und die Pflichten für Modelle mit allgemeiner Zweckbestimmung (GPAI) wurden am 2. August 2025 wirksam.

Besonders relevant für deutsche Unternehmen sind die Fristen, die im Digital Omnibus on AI vom 29. Juni 2026 festgelegt wurden. Hochrisiko-KI-Systeme, die unter Anhang III fallen, erhalten eine Frist bis zum 2. Dezember 2027 zur vollständigen Compliance. Für Systeme, die bereits in regulierte Produkte, wie beispielsweise Medizinprodukte, integriert sind, gilt eine längere Übergangsfrist bis zum 2. August 2028.

Für Unternehmen in Deutschland bedeutet dies eine Verschiebung von strategischer Planung hin zur operativen Umsetzung. Nationale Durchsetzungsstrukturen werden aufgebaut, Marktüberwachungsaktivitäten intensiviert und koordinierte Datenschutzprüfungen nehmen im Laufe des Jahres 2026 konkrete Formen an. Deutsche Unternehmen, die KI-Systeme entwickeln, verkaufen oder einsetzen, müssen nun jede relevante KI-Anwendung inventarisieren. Eine präzise Klassifizierung der eigenen Rolle als Anbieter, Betreiber, Importeur oder Händler für jedes System ist unerlässlich, da jede Rolle spezifische Pflichten mit sich bringt. Zu den sofortigen Massnahmen zählen die Durchführung von Konformitätsbewertungen, die Erstellung umfassender technischer Dokumentationen und die Implementierung eines internen Untersuchungsplaybooks, speziell zugeschnitten auf deutsche Anforderungen.

Ein weiterer wichtiger Aspekt sind die Transparenzpflichten gemäss Artikel 50 des EU AI Act, die seit August 2026 in Kraft sind. Dies verpflichtet Anbieter von KI-Systemen, insbesondere jener generativer KI, maschinenlesbare Wasserzeichen in generierte Inhalte einzubetten. Für Systeme, die bis zum 2. August 2026 auf dem Markt waren, gibt es eine viermonatige Übergangsfrist. Neu eingeführte Systeme müssen ab ihrem Startdatum vollständig konform sein. Die Missachtung dieser Pflichten kann nicht nur zu Bussgeldern, sondern auch zu einem erheblichen Vertrauensverlust bei Kunden führen.

Die Schweizer Doppelbelastung: nDSG und extraterritoriale EU AI Act Wirkung

Schweizer Unternehmen sehen sich einer doppelten regulatorischen Herausforderung gegenüber. Einerseits müssen sie die Anforderungen des seit dem 1. September 2023 geltenden revidierten Schweizer Datenschutzgesetzes (nDSG) erfüllen. Dieses Gesetz ist technologieneutral formuliert und somit direkt auf KI-gestützte Datenbearbeitungen anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in einem aktualisierten Leitfaden vom 8. Mai 2025 ausdrücklich bestätigt und damit die Relevanz für KI-Anwendungen unterstrichen.

Eine markante Besonderheit des nDSG sind die persönlichen Bussen von bis zu CHF 250'000. Diese Bussen richten sich im Falle der Missachtung direkt an die verantwortliche natürliche Person, sei es die Geschäftsführung oder eine Fachperson. Dies ist ein entscheidender Unterschied zur DSGVO, bei der primär das Unternehmen zur Rechenschaft gezogen wird. Das nDSG verlangt von Organisationen, die KI auf Personendaten anwenden, vier wesentliche Pflichten. Dazu gehört insbesondere die Auskunft über automatisierte Einzelentscheidungen gemäss Art. 25 revDSG. Unternehmen müssen die Logik solcher Entscheidungen, die ohne menschliche Zwischenprüfung getroffen werden, transparent erklären und auf Verlangen offenlegen können.

Andererseits entfaltet der EU AI Act auch für Schweizer Unternehmen seine Wirkung, und zwar extraterritorial. Sobald ein Schweizer Unternehmen KI-Ergebnisse oder Dienstleistungen in den EU-Markt liefert oder eng mit EU-Kunden zusammenarbeitet, unterliegt es ebenfalls den Anforderungen des EU AI Act. Dies ist keine hypothetische Situation, sondern betrifft beispielsweise Schweizer E-Commerce-Anbieter, die Kunden in Deutschland, Österreich oder Frankreich bedienen und dabei KI-Systeme einsetzen. Solche Unternehmen stehen somit gleichzeitig unter zwei Regulierungsregimen. Die Herausforderung besteht darin, beide Regelwerke zu verstehen und die Compliance entsprechend sicherzustellen.

Eine zentrale Frage für Schweizer Shop-Betreiber ist die Architektur ihrer KI-Systeme: Wo werden Daten verarbeitet, in welcher Region und unter welcher Jurisdiktion? Was speichert die KI dauerhaft und was wird verworfen? Die Abgrenzung zwischen «Vertragserfüllung» und dem «Training am Kundendatensatz», welches in der Regel eine separate Einwilligung erfordert, ist dabei entscheidend für die Compliance. Eine klare Strategie bezüglich Datenhoheit und -verarbeitung ist hier unerlässlich.

Praktische Auswirkungen auf Unternehmen: Mehr als nur Compliance

Die verschärfte Regulierung hat direkte und weitreichende Auswirkungen auf die Arbeitswelt in DACH-Unternehmen. Die Einhaltung der Vorschriften erfordert nicht nur technische Anpassungen, sondern auch tiefgreifende organisatorische und prozessuale Veränderungen.

1. Compliance-Teams und Governance: Unternehmen müssen dedizierte Compliance-Teams aufbauen oder bestehende Teams umfassend schulen. Nur so lässt sich die Komplexität des EU AI Act und des nDSG effektiv bewältigen. Die Rolle von C-Suite-Risikoverantwortlichen, Compliance Officers und Produktmanagern gewinnt dabei exponentiell an Bedeutung. Sie sind die zentralen Ansprechpartner für die Umsetzung der neuen Regeln.

2. Datenschutz- und Sicherheitsarchitektur: Die strikten Anforderungen an Datenschutz und KI-Sicherheit erfordern von Unternehmen eine genaue Prüfung ihrer Datenverarbeitungsprozesse und KI-Architekturen. Die Wahl des Hosting-Standorts ist hierbei kritisch: Die Nutzung von US-Providern unterliegt potenziell dem CLOUD Act, während EU- oder Schweizer Rechenzentren oft eine höhere Datensicherheit und Rechtskonformität bieten. Eine detaillierte Analyse der Datenspeicherung und -verarbeitung ist unumgänglich.

3. Prozessanpassung und Change Management: Die Einführung von KI-Systemen, insbesondere solcher mit hohem Risiko, ist weit mehr als ein reines Software-Update. Sie erfordert ein umfassendes Change Management, um Arbeitsabläufe, Verantwortlichkeiten und die gesamte Unternehmenskultur anzupassen. Der Erfolg von KI-Projekten hängt oft nicht primär von der Technologie selbst ab, sondern von der Akzeptanz und dem Management der Veränderungen bei den Mitarbeitern. Seminare, wie sie Venture AI Germany oder Handelsblatt Live anbieten, konzentrieren sich explizit darauf, wie KI-bezogene Veränderungsprozesse erfolgreich gestaltet werden können, von der transparenten Kommunikation bis zur Integration von KI in Change-Management-Artefakte.

4. Kompetenzaufbau und Schulung: Die neuen Anforderungen und die rasante Entwicklung der KI-Technologien verlangen von Mitarbeitern und Führungskräften eine kontinuierliche Weiterbildung. Veranstaltungen wie der „AI Leadership and Change Manager“ von Venture AI Germany oder Webinare zu „KI im Controlling 2026“ der ARS Akademie zeigen den enormen Bedarf an spezifischen Kompetenzen im Umgang mit KI, von generativer KI bis hin zu KI-Agenten und Automatisierung. Investitionen in Schulungen sind Investitionen in die Zukunftsfähigkeit des Unternehmens.

5. Branchenspezifische Anwendungen: In Bereichen wie Finance und Controlling verspricht KI erhebliche Effizienzgewinne. Unternehmen müssen hier die Amortisation von KI-Investitionen genau berechnen und Governance sowie Compliance von Anfang an in die Planung einbeziehen. Der Accounting Summit 2026 beispielsweise widmet sich der Frage, wie KI Finanzabteilungen verändert und wie die Zusammenarbeit mit der „Kollegin“ KI aktiv gestaltet werden kann, um echten Mehrwert zu liefern und gleichzeitig regulatorische Anforderungen zu erfüllen.

Handlungsempfehlungen für DACH-Unternehmen

Um den neuen regulatorischen Anforderungen gerecht zu werden und die Chancen der KI zu nutzen, sollten Unternehmen im DACH-Raum folgende konkrete Schritte umsetzen:

1. Inventarisierung und Klassifizierung von KI-Systemen: Erstellen Sie eine vollständige Übersicht aller im Unternehmen genutzten oder entwickelten KI-Systeme. Klassifizieren Sie jedes System gemäss EU AI Act, insbesondere im Hinblick auf das Risiko (minimal, begrenzt, hoch). Definieren Sie Ihre Rolle (Anbieter, Betreiber, Händler, Importeur) für jedes System klar.

2. Risikobewertung und Konformitätsbewertung: Führen Sie für Hochrisiko-KI-Systeme umgehend eine umfassende Risikobewertung und eine Konformitätsbewertung durch. Dies beinhaltet die Überprüfung der Datenqualität, des Datensatzmanagements, der Transparenz und der Robustheit des Systems. Dokumentieren Sie alle Schritte präzise.

3. Technische und Organisatorische Massnahmen (TOMs): Implementieren Sie geeignete technische und organisatorische Massnahmen, um die Compliance zu gewährleisten. Dazu gehören maschinenlesbare Wasserzeichen für generative KI, Mechanismen zur Erklärung automatisierter Entscheidungen (Art. 25 nDSG), sichere Datenarchitekturen, klare Richtlinien für Datenverarbeitung und -speicherung sowie der Schutz vor Cyberangriffen.

4. Schulung und Sensibilisierung: Schulen Sie Ihre Mitarbeiter und Führungskräfte auf allen Ebenen bezüglich der neuen regulatorischen Anforderungen und der internen Richtlinien zum Umgang mit KI. Fördern Sie ein Bewusstsein für Datenschutz, KI-Ethik und die Bedeutung von Compliance. Der Mensch ist weiterhin ein entscheidender Faktor im verantwortungsvollen Einsatz von KI.

5. Interne Governance und Verantwortlichkeiten: Etablieren Sie klare Verantwortlichkeiten für KI-Compliance, idealerweise durch ein dediziertes Team oder die Erweiterung bestehender Compliance-Strukturen. Implementieren Sie interne Richtlinien, Prozesse und ein Untersuchungsplaybook für den Fall von Non-Compliance oder Sicherheitsvorfällen. Stellen Sie sicher, dass bei Schweizer Unternehmen die persönlichen Verantwortlichkeiten gemäss nDSG klar zugewiesen sind.

6. Regelmässige Überprüfung und Anpassung: Die regulatorische Landschaft und die KI-Technologien entwickeln sich ständig weiter. Etablieren Sie Prozesse zur regelmässigen Überprüfung und Anpassung Ihrer KI-Strategie, Ihrer Compliance-Massnahmen und Ihrer internen Governance, um stets aktuell und konform zu bleiben.

Kritische Einordnung aus Kapitel-H-Sicht

Als Kapitel H verfolgen wir die Entwicklungen im Bereich der Künstlichen Intelligenz mit einem pragmatischen und auf die reale Anwendung fokussierten Blick. Die Inkraftsetzung des EU AI Act und die Auswirkungen des nDSG sind keine Marketing-Schlagworte mehr, sondern eine handfeste operative Realität, die Unternehmen im DACH-Raum unmittelbar betrifft. Der Hype um generative KI darf nicht darüber hinwegtäuschen, dass der verantwortungsvolle und rechtssichere Einsatz dieser Technologien eine grundlegende Voraussetzung für ihren nachhaltigen Erfolg ist.

Wir sehen in dieser Regulierung nicht primär eine Bürde, sondern eine Chance. Unternehmen, die frühzeitig und strategisch in Compliance investieren, bauen nicht nur Vertrauen bei ihren Kunden auf, sondern sichern sich auch einen entscheidenden Wettbewerbsvorteil. Eine transparente und ethisch fundierte KI-Nutzung wird zunehmend zu einem Differenzierungsmerkmal im Markt. Die gesetzlichen Vorgaben zwingen Unternehmen dazu, ihre KI-Systeme gründlicher zu analysieren, ihre Datenqualität zu verbessern und ihre internen Prozesse zu optimieren. Dies führt mittel- bis langfristig zu robusteren, erklärbareren und damit vertrauenswürdigeren KI-Anwendungen.

Die Komplexität der neuen Vorschriften erfordert jedoch einen strukturierten Ansatz. Blindes Vertrauen in externe Anbieter ohne eigene Expertise kann zur Abhängigkeit führen und die Gefahr von Non-Compliance erhöhen. Unserer Überzeugung nach ist die Befähigung der eigenen Organisation der Schlüssel. Investieren Sie in das interne Wissen und die Kompetenzen Ihrer Mitarbeiter, um KI nicht nur zu nutzen, sondern auch zu verstehen und verantwortungsvoll zu gestalten. Nur so können Sie sicherstellen, dass KI Ihre Geschäftsziele unterstützt, ohne unnötige Risiken einzugehen. Es geht darum, KI souverän zu meistern, nicht ihr ausgeliefert zu sein.

Fazit

Das Jahr 2026 markiert einen Wendepunkt für den Einsatz von KI in DACH-Unternehmen. Die Zeiten, in denen KI-Regulierung ein abstraktes Konzept war, sind vorbei. Mit der schrittweisen Anwendbarkeit des EU AI Act und den spezifischen Anforderungen des Schweizer nDSG ist sofortiges Handeln gefragt. Unternehmen, die jetzt eine proaktive Rolle einnehmen, ihre KI-Systeme inventarisieren, Risiken bewerten und entsprechende Massnahmen umsetzen, können nicht nur hohe Bussgelder vermeiden, sondern auch das Vertrauen ihrer Kunden und Partner stärken. Ein strategischer Ansatz zur KI-Compliance ist der Weg zu nachhaltigem Erfolg und einem entscheidenden Wettbewerbsvorteil in einem sich ständig wandelnden digitalen Umfeld. Der Fokus verschiebt sich weg vom „Ob“ der KI-Einführung hin zum „Wie“ – insbesondere in Bezug auf rechtliche Rahmenbedingungen, sichere Architekturen und ein effektives Change Management. Handeln Sie jetzt, um die Chancen der KI verantwortungsvoll zu nutzen und Ihr Unternehmen zukunftssicher aufzustellen.