EU AI Act: Neue Fristen, unmittelbare Pflichten für DACH-Unternehmen

Der Einsatz Künstlicher Intelligenz (KI) in Unternehmen des DACH-Raums schreitet voran, doch mit der Technologie entwickeln sich auch die regulatorischen Rahmenbedingungen. Während inkrementelle Fortschritte bei KI-Modellen oft das Medienecho dominieren, haben rechtliche Anpassungen direkte und verbindliche Auswirkungen auf die Geschäftspraxis. Eine solche entscheidende Entwicklung ist die Neujustierung der Fristen des EU AI Act durch den sogenannten "Digital Omnibus". Diese Aktualisierungen, die zwischen dem 6. und 8. Oktober 2026 veröffentlicht wurden, sind für alle Unternehmen, die KI entwickeln, anbieten oder nutzen, von unmittelbarer Bedeutung. Sie schaffen konkrete Anforderungen an Compliance, Strategie und operative Prozesse, ergänzt durch die bereits geltenden Anforderungen des Schweizer Datenschutzgesetzes (DSG).

Diese regulatorischen Klarstellungen sind keine ferne Zukunftsmusik. Sie erfordern bereits heute ein Umdenken und Handeln in deutschen, österreichischen und auch vielen Schweizer Unternehmen. Wer die neuen Fristen und Pflichten ignoriert, riskiert nicht nur empfindliche Bussgelder, sondern auch den Verlust von Kundenvertrauen und Wettbewerbsfähigkeit. Es geht darum, die Befähigung zum intelligenten und rechtskonformen KI-Einsatz sicherzustellen, anstatt in eine Abhängigkeit von unkontrollierten Technologien zu geraten.

Der "Digital Omnibus" und die gestaffelten Fristen des EU AI Act

Der EU AI Act, offiziell "Verordnung (EU) 2024/1689", ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Eine signifikante Überarbeitung der ursprünglichen Zeitpläne erfolgte durch die Änderungsverordnung (EU) 2026/1744, den sogenannten "Digital Omnibus", der am 27. Juli 2026 in Kraft trat. Diese Überarbeitung hat die Implementierungsfristen für zentrale Teile des Gesetzes neu festgelegt, ohne die grundsätzlichen Verpflichtungen zu verändern oder abzuschwächen. Die Änderungen bieten Unternehmen in bestimmten Bereichen mehr Zeit zur Vorbereitung, verschärfen jedoch die Notwendigkeit, bereits jetzt in anderen Bereichen aktiv zu werden.

Die wesentlichen Fristen, die DACH-Unternehmen aktuell beachten müssen, sind:

* Ab 2. Februar 2025: Bestimmte verbotene KI-Praktiken und die Verpflichtung zur KI-Alphabetisierung ("AI literacy") traten bereits in Kraft. Unternehmen müssen sicherstellen, dass sie keine als verboten eingestuften KI-Systeme einsetzen. Dazu gehören beispielsweise diskriminierende Systeme im Rekrutierungsprozess oder soziale Scoring-Systeme. Gleichzeitig sind Massnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeitenden zu ergreifen. Die AI-Alphabetisierung wird nicht als Garantie eines bestimmten Niveaus verstanden, sondern als Verpflichtung zu nachweisbaren Massnahmen, beispielsweise durch interne Schulungen und Workshops. Dies ist eine Grundlage, um die Risiken und Chancen von KI überhaupt erst bewerten zu können. * Ab 2. August 2025: Die Regeln für allgemeine KI-Modelle ("General Purpose AI", GPAI), Governance-Vorschriften und der allgemeine Strafrahmen wurden anwendbar. Seitdem besitzt die EU-Kommission Befugnisse zur Verhängung von Bussgeldern gegen Anbieter von GPAI. Dies betrifft grundlegende Modelle wie grosse Sprachmodelle, die für eine Vielzahl von Aufgaben eingesetzt werden können und eine breite Anwendbarkeit über verschiedene Bereiche hinweg besitzen. Die Governance-Vorschriften verlangen eine strukturierte Herangehensweise an die Entwicklung und den Einsatz solcher Modelle, um Risiken zu minimieren und Transparenz zu gewährleisten. * Ab 2. August 2026 (also aktuell): Die generelle Anwendung des Gesetzes, einschliesslich der Transparenzpflichten für bestimmte KI-Systeme, ist in Kraft getreten. Dies betrifft insbesondere Anbieter von Systemen, die mit Menschen interagieren, welche kenntlich machen müssen, dass sie KI sind, sofern dies nicht offensichtlich ist. Wenn ein Unternehmen beispielsweise einen Chatbot im Kundenservice einsetzt, muss klar kommuniziert werden, dass die Kommunikation mit einer Maschine stattfindet. Anbieter generativer Systeme müssen synthetische Audio-, Bild-, Video- und Textausgaben maschinenlesbar kennzeichnen. Darüber hinaus müssen Deepfakes und KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen und nicht von Menschen redaktionell überprüft wurden, offenbart werden. Für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, endet eine kurze Übergangsfrist für die maschinenlesbare Kennzeichnung Anfang Dezember 2026. Dies bedeutet, dass Unternehmen ihre bestehenden generativen KI-Anwendungen umgehend überprüfen und anpassen müssen. * Ab 2. Dezember 2027: Die Pflichten für eigenständige Hochrisiko-KI-Systeme gemäss Anhang III treten in Kraft. Dazu gehören KI-Anwendungen in kritischen Bereichen wie Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle. Die Anforderungen an diese Systeme sind besonders streng, da sie ein hohes Potenzial für Schäden an Gesundheit, Sicherheit und Grundrechten von Personen bergen. Unternehmen, die solche Systeme entwickeln oder einsetzen, haben nun zusätzliche Zeit, um ihre Konformitätsbewertungsverfahren zu etablieren. * Ab 2. August 2028: Die Pflichten für Hochrisiko-KI, die in Produkte integriert sind, welche bereits EU-Produktgesetzen unterliegen (Anhang I), werden anwendbar. Dies betrifft beispielsweise KI-Komponenten in medizinischen Geräten oder autonomen Fahrzeugen, die bereits anderen EU-Richtlinien unterliegen. Die Integration von KI in diese Produkte erfordert eine zusätzliche Bewertung hinsichtlich der KI-spezifischen Risiken.

Die Verschiebung der Hochrisiko-Fristen erfolgte hauptsächlich, weil die Unternehmen auf harmonisierte Standards und Richtlinien angewiesen sind, die noch nicht rechtzeitig vorlagen. Dies verschafft insbesondere Anbietern von Hochrisiko-Anwendungen und kleineren und mittleren Unternehmen (KMU) wertvolle Zeit, sich organisatorisch vorzubereiten. Trotz dieser Erleichterungen bleiben die strengen Compliance-Verpflichtungen bestehen. Unternehmen, die diese Pufferzeit ungenutzt lassen, riskieren weiterhin erhebliche Bussgelder und einen möglichen Marktausschluss.

Direkte Relevanz für DACH-Unternehmen und die Schweizer Perspektive

Für Unternehmen in Deutschland und Österreich, die direkte Mitglieder der Europäischen Union sind, gelten die Bestimmungen des EU AI Act uneingeschränkt. Das bedeutet, sie müssen ihre KI-Strategien, Entwicklungsprozesse und Einsatzszenarien entsprechend anpassen. Die jetzt geltenden Transparenzpflichten sind von unmittelbarer Relevanz für alle Unternehmen, die etwa Chatbots im Kundenservice oder generative KI für die Erstellung von Inhalten nutzen, die nach aussen kommuniziert werden. Eine Nichtbeachtung kann zu Reputationsschäden und rechtlichen Konsequenzen führen.

Für Schweizer Unternehmen ist die Situation nuancierter, aber keineswegs irrelevant. Die Schweiz hat derzeit noch kein eigenes umfassendes KI-Gesetz. Eine Vernehmlassungsvorlage für neue KI-Regeln soll bis Ende 2026 vom Bundesamt für Justiz erarbeitet werden und Themen wie Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht abdecken. Es ist davon auszugehen, dass sich die Schweizer Regelungen stark an den europäischen Vorgaben orientieren werden, um die Interoperabilität und den grenzüberschreitenden Handel zu erleichtern.

Dennoch erreicht der EU AI Act mehr Schweizer Firmen, als viele annehmen. Entscheidend ist nicht der Firmensitz, sondern ob ein KI-System oder dessen Ausgabe in der EU ankommt. Ein Schweizer KMU ist beispielsweise betroffen, wenn es ein KI-Tool oder eine Software mit KI-Funktion an Kunden in der EU verkauft, sein Website-Chatbot auch EU-Kunden bedient oder eine Tochtergesellschaft in Deutschland KI einsetzt. Für rein interne Nutzung ohne EU-Bezug gilt weiterhin primär das Schweizer Datenschutzgesetz (DSG).

Das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, ist technologieneutral und gemäss Eidgenössischem Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) direkt auf KI-gestützte Bearbeitungen anwendbar. Es enthält wichtige Anforderungen wie die Transparenzpflicht und das Recht, einen automatisierten Entscheid von einem Menschen überprüfen zu lassen. Dies wurde auch am 30. September 2026 bei einem Treffen des EDÖB mit seinem österreichischen Amtskollegen in Wien thematisiert, wo Aufgaben und Zuständigkeiten nationaler Aufsichtsbehörden im Zusammenhang mit KI erörtert wurden. Die Schweiz positioniert sich damit als Partner in der europäischen Diskussion um KI-Regulierung und betont die Relevanz des Datenschutzes als integralen Bestandteil der KI-Governance.

Compliance als Daueraufgabe: Was Unternehmen jetzt tun müssen

Die fortlaufende Anpassung an den EU AI Act und das Schweizer DSG erfordert eine dedizierte Compliance-Strategie. Unternehmen müssen nicht nur die aktuellen, sondern auch die kommenden Fristen genau im Blick behalten und rechtzeitig Massnahmen ergreifen. Eine einmalige Anpassung ist nicht ausreichend, vielmehr muss Compliance als dynamischer Prozess verstanden werden, der ständige Überprüfung und Anpassung erfordert.

Die jetzt geltenden Transparenzpflichten (ab 2. August 2026) für Interaktionen mit KI und die Kennzeichnung generierter Inhalte sind kritisch für das Kundenvertrauen und die Vermeidung rechtlicher Risiken. Unternehmen müssen ihre Kommunikation und ihre internen Prozesse zur Inhaltserstellung überprüfen und anpassen. Das bedeutet, dass zum Beispiel die Nutzung von generativer KI zur Erstellung von Marketingtexten, Blogartikeln oder Bildern klar als KI-generiert erkennbar sein muss, wenn dies nicht offensichtlich ist. Dies kann durch entsprechende Hinweise, Wasserzeichen oder Metadaten geschehen.

Eine aktuelle Studie von Box und dem Handelsblatt Research Institute (Juni 2026) zeigt, dass bei 44 Prozent der befragten Unternehmen die primäre Verantwortung für KI-Governance bei der IT liegt, während nur 10 Prozent den Vorstand nennen. Dies wirft die Frage auf, ob KI bereits ausreichend als Führungsaufgabe verstanden wird. Die Notwendigkeit einer klaren Governance-Struktur, die Datenschutz, regulatorische Anforderungen und Sicherheitsregeln unternehmensweit steuert, wird durch die aktuellen regulatorischen Entwicklungen noch dringlicher. KI-Governance ist eine strategische Aufgabe, die über die reine technische Implementierung hinausgeht und das gesamte Unternehmen betrifft, von der Produktentwicklung bis zum Kundenservice.

Datensicherheit, "AI Literacy" und Change Management

Trotz der Dringlichkeit sind viele DACH-Unternehmen noch nicht ausreichend auf KI-spezifische Sicherheitsvorfälle vorbereitet. Eine Forsa-Umfrage im Auftrag des BSI und TÜV-Verbands (Juli 2026) ergab, dass nur 11 Prozent der deutschen Unternehmen spezielle Prozesse für KI-bezogene Sicherheitsvorfälle etabliert haben, während 43 Prozent allgemeine IT-Sicherheitsprozesse ohne spezielle KI-Regeln nutzen. Fast die Hälfte der befragten Unternehmen (49 Prozent) setzte bereits im Juli KI ein, wobei 53 Prozent der KI-Skeptiker Datenschutz- oder Sicherheitsbedenken nannten. Dies verdeutlicht eine klare Diskrepanz zwischen dem praktischen Einsatz und der Absicherung der Technologie.

Die IBM-Studie vom 15. Oktober 2026 unterstreicht dies, indem sie zeigt, dass KI-bezogene Vorfälle zunehmend die Vorstandsetagen in EMEA erreichen, die Governance-Fähigkeiten aber nicht mit der Einführung der Technologie Schritt halten. Insbesondere KI-Agenten werden als neue Insider-Bedrohung identifiziert, da sie oft eigenständig operieren und weitreichende Zugriffsrechte besitzen können, ohne dass Cybersicherheitsteams über ihre Existenz oder deren Risiken ausreichend informiert sind. Erschreckende 61 Prozent der Sicherheitsvorfälle mit KI-Agenten führten zu Datenlecks. Diese Zahlen machen deutlich, dass eine reine Fokussierung auf traditionelle IT-Sicherheit nicht ausreicht. Unternehmen müssen spezifische Sicherheitsstrategien und -protokolle für KI-Systeme entwickeln, die deren Besonderheiten, wie Autonomie und Datenverarbeitung, berücksichtigen.

Die Anforderungen des EU AI Act an die "AI literacy" sowie die generelle Notwendigkeit zur Anpassung an KI erfordern massive Investitionen in die Weiterbildung der Belegschaft. Unternehmen müssen ihre Mitarbeiter befähigen, nicht nur KI-Tools zu nutzen, Stichwort "Prompt Engineering", sondern auch deren Risiken und die regulatorischen Rahmenbedingungen zu verstehen. Ein fundiertes Verständnis für die Funktionsweise, die Grenzen und die ethischen Implikationen von KI ist essenziell, um die Technologie verantwortungsvoll einzusetzen.

Erfolgreiches Change Management ist entscheidend, um Ängste abzubauen, ein "KI-Mindset" zu entwickeln und die Akzeptanz von KI im Arbeitsalltag zu fördern. Ohne konsequentes Change Management gehen Produktivitätsgewinne durch KI schnell in der Nachbearbeitung oder durch Widerstand verloren. Es geht darum, eine Kultur zu schaffen, in der KI als Werkzeug zur Unterstützung und Verbesserung, nicht als Bedrohung, verstanden wird. Dies erfordert offene Kommunikation, die Einbindung der Mitarbeiter und die Bereitstellung von Ressourcen für kontinuierliches Lernen.

Spezifische Herausforderungen für Hochrisiko-Anwendungen

Bereiche, die als Hochrisiko-Bereiche eingestuft sind, wie in Anhang III des EU AI Act aufgeführt, müssen sich auf detaillierte Konformitätsbewertungen vorbereiten. Dazu gehören beispielsweise HR-Systeme für die Rekrutierung oder Bewertung von Mitarbeitenden, KI-Anwendungen in kritischen Infrastrukturen wie Wasserversorgung oder Energie, sowie Systeme im Bildungsbereich oder bei der Rechtsdurchsetzung. Dies hat direkte Auswirkungen auf die Entwicklung und Beschaffung von HR-Software, aber auch auf alle anderen Bereiche, in denen KI-gestützte Entscheidungen erhebliche Auswirkungen auf Personen haben können. Unternehmen müssen sicherstellen, dass diese Systeme nicht nur technisch einwandfrei funktionieren, sondern auch ethische Grundsätze wahren, Transparenz bieten und von Menschen überprüfbar sind. Die zusätzlichen Fristen hierfür sollten als Chance verstanden werden, die notwendigen Prozesse sorgfältig aufzusetzen und zu testen.

Praktische Handlungsempfehlungen für DACH-Unternehmen

1. Bestandsaufnahme und Risikobewertung: Identifizieren Sie alle im Unternehmen genutzten oder geplanten KI-Systeme. Bewerten Sie diese hinsichtlich ihrer Risikoklassifizierung (verboten, Hochrisiko, Standard) und ihrer Relevanz für den EU-Markt. Das gilt auch für Schweizer Unternehmen. 2. Transparenzpflichten umsetzen: Stellen Sie sicher, dass ab sofort alle Interaktionen mit KI, die nicht offensichtlich sind, kenntlich gemacht werden. Kennzeichnen Sie KI-generierte Inhalte (Text, Bild, Video, Audio) maschinenlesbar, insbesondere wenn diese zur öffentlichen Information dienen. 3. KI-Governance etablieren: Verankern Sie die Verantwortung für KI-Governance im Vorstand oder in der Geschäftsleitung. Definieren Sie klare Prozesse und Verantwortlichkeiten für den gesamten Lebenszyklus von KI-Systemen, von der Beschaffung über die Entwicklung bis zum Einsatz und zur Überwachung. 4. Sicherheitsstrategie anpassen: Ergänzen Sie Ihre IT-Sicherheitsstrategie um spezifische Protokolle und Massnahmen für KI-Systeme und KI-Agenten. Schulen Sie Ihre Cybersicherheitsteams in Bezug auf KI-spezifische Bedrohungen. 5. Mitarbeiter befähigen ("AI Literacy"): Initiieren Sie umgehend Schulungsprogramme, die Ihren Mitarbeitenden nicht nur die Bedienung von KI-Tools vermitteln, sondern auch ein grundlegendes Verständnis für deren Funktionsweise, Risiken und rechtliche Rahmenbedingungen. Fördern Sie ein "KI-Mindset". 6. Schweizer DSG beachten: Für Schweizer Unternehmen ist das DSG weiterhin die Basis. Berücksichtigen Sie die darin enthaltenen Transparenz- und Überprüfbarkeitspflichten für automatisierte Entscheidungen, auch wenn der EU AI Act nicht direkt greift. 7. Proaktive Hochrisiko-Vorbereitung: Auch wenn die Fristen für Hochrisiko-Systeme noch etwas entfernt sind, nutzen Sie die Zeit, um die komplexen Konformitätsbewertungen und internen Prozesse vorzubereiten. Warten Sie nicht bis zur letzten Minute.

Kritische Einordnung aus Kapitel H Sicht

Die jüngsten Anpassungen des EU AI Act und die damit verbundenen Diskussionen spiegeln die Herausforderung wider, innovative Technologien mit einem stabilen rechtlichen Rahmen zu versehen. Bei Kapitel H sehen wir diese Entwicklung als eine notwendige Konkretisierung, die jedoch nicht als Entschuldigung für Passivität dienen sollte. Der Hype um KI verdeckt oft die pragmatischen Notwendigkeiten der Implementierung und vor allem der Compliance. Daten wie die geringe Vorbereitung auf KI-spezifische Sicherheitsvorfälle oder die unzureichende Verankerung der KI-Governance in der Unternehmensführung belegen, dass viele Unternehmen noch im Reaktiv-Modus operieren.

Wir betonen stets, dass die Befähigung der Mitarbeiter und die Etablierung klarer, überprüfbarer Prozesse der Schlüssel zur erfolgreichen und rechtskonformen Nutzung von KI sind. Es genügt nicht, ein Chatbot zu implementieren. Man muss verstehen, wie er trainiert wurde, welche Daten er verarbeitet und wie seine Outputs zu kennzeichnen sind. Die regulatorischen Vorgaben sind nicht nur eine Bürde, sondern eine Chance, Vertrauen bei Kunden und Mitarbeitern aufzubauen. Ein Unternehmen, das transparent und sicher mit KI umgeht, wird einen klaren Wettbewerbsvorteil haben. Wer sich jetzt nicht ernsthaft mit den detaillierten Anforderungen auseinandersetzt, wird in Zukunft nicht nur mit Bussgeldern rechnen müssen, sondern auch mit einem Verlust an Glaubwürdigkeit und Innovationskraft.

Fazit

Die Klarstellungen zum EU AI Act durch den "Digital Omnibus" sind keine rein juristische Randnotiz. Sie sind ein Weckruf an alle DACH-Unternehmen, ihren Umgang mit Künstlicher Intelligenz kritisch zu prüfen und proaktiv anzupassen. Die Fristen für Transparenzpflichten und die Regeln für allgemeine KI-Modelle sind bereits aktiv. Spätestens jetzt müssen Prozesse etabliert, Mitarbeiter geschult und eine fundierte KI-Governance verankert werden. Für Schweizer Unternehmen bedeutet dies, die Synergien mit dem bestehenden Datenschutzgesetz zu nutzen und die potenziellen Auswirkungen des EU AI Act auf grenzüberschreitende Aktivitäten nicht zu unterschätzen.

Ein proaktives und fundiertes Vorgehen sichert nicht nur die Compliance, sondern stärkt das Vertrauen in die Technologie, minimiert Risiken und legt den Grundstein für eine nachhaltig erfolgreiche KI-Integration. Wer jetzt handelt, schafft die Basis für einen verantwortungsvollen und wettbewerbsfähigen Einsatz von KI im eigenen Unternehmen.