EU AI Act: Neue Pflichten ab 2026 – Ihr Weg zur KI-Compliance im Mittelstand

Der Umgang mit Künstlicher Intelligenz (KI) in Unternehmen erfährt eine signifikante Zäsur. Mit dem 2. August 2026 sind weitreichende Änderungen durch den EU AI Act in Kraft getreten. An diesem Stichtag beginnt nicht nur die behördliche Durchsetzung des Europäischen KI-Gesetzes durch das Europäische KI-Amt und nationale Behörden, sondern es gelten auch neue, verbindliche Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte. Dieses Datum ist kein ferner Termin mehr, sondern ein aktueller Status, der unmittelbares Handeln erfordert. Für den Mittelstand im deutschsprachigen Raum bedeutet dies, die eigene KI-Strategie und deren Implementierung kritisch zu prüfen und anzupassen. Die Einführung dieser Regularien zielt darauf ab, Vertrauen in KI zu schaffen und eine verantwortungsvolle Nutzung in der Arbeitswelt zu gewährleisten. Es geht darum, die Potenziale der KI sicher und nachvollziehbar zu erschliessen, ohne die Anwender oder die Gesellschaft unnötigen Risiken auszusetzen.

Neue Transparenzpflichten und der Start der behördlichen Durchsetzung

Die Europäische Kommission hat klargestellt, dass ihr KI-Amt, das European AI Office, seit dem 2. August 2026 gemeinsam mit den nationalen Behörden die Durchsetzung des KI-Gesetzes aktiv betreibt. Zeitgleich sind am selben Tag umfassende neue Transparenzvorschriften in Kraft getreten. Diese erfordern von Betreibern bestimmter KI-Systeme, die Nutzer unmissverständlich darüber zu informieren, wann sie mit einer KI interagieren oder wenn Inhalte von dieser generiert beziehungsweise wesentlich verändert wurden.

Konkret ist hierbei zu beachten, dass Chatbots und andere interaktive KI-Systeme, die im Kundenservice oder in der internen Kommunikation eingesetzt werden, Nutzer klar und deutlich darauf hinweisen müssen, dass sie mit einer KI und nicht mit einem menschlichen Gegenüber kommunizieren. Ein versteckter Hinweis im Impressum, in den Allgemeinen Geschäftsbedingungen oder in der Datenschutzerklärung ist hierfür nicht ausreichend. Die Information muss vielmehr direkt wahrnehmbar und barrierefrei sein. Nur wenn die KI-Interaktion in ihrer Natur „offensichtlich“ ist, kann auf diesen Hinweis verzichtet werden. Diese Ausnahme ist jedoch eng auszulegen und sollte nicht als pauschaler Freibrief verstanden werden. Unternehmen müssen hier eine klare Güterabwägung vornehmen und im Zweifel lieber proaktiv informieren.

Darüber hinaus sind sogenannte „Deepfakes“, also Bilder, Videos oder Audiodateien, die mithilfe von KI bearbeitet oder generiert wurden und täuschend echt wirken könnten, als solche zu kennzeichnen. Diese Kennzeichnungspflicht betrifft nicht nur die Ersteller solcher Inhalte, sondern auch deren Verbreiter. Anbieter generativer KI-Systeme sind zudem verpflichtet, Bild-, Audio-, Video- und Textinhalte grundsätzlich so zu markieren, dass ihre künstliche Herkunft maschinenlesbar erkannt werden kann. Dies kann durch die Integration von Metadaten oder digitalen Wasserzeichen geschehen. Eine spezielle Offenlegungspflicht für Texte gilt insbesondere für solche, die die Allgemeinheit über Themen von öffentlichem Interesse informieren sollen. Wenn solche Texte jedoch vor der Veröffentlichung menschlich geprüft oder redaktionell verantwortet werden, entfällt diese spezifische Pflicht. Für generative KI-Systeme, die bereits vor dem 2. August 2026 auf den Markt gebracht wurden, besteht eine Übergangsfrist für die technische Markierung bis zum 2. Dezember 2026. Dies gibt Unternehmen eine kurze Frist zur Nachrüstung, sollte aber nicht auf die lange Bank geschoben werden.

Konkrete Auswirkungen auf DACH-Unternehmen und den Mittelstand

Die neuen Regelungen des EU AI Act sind nicht auf grosse, spezialisierte KI-Anwendungen beschränkt, sondern betreffen auch alltägliche Einsatzfälle in Betrieben. Das Gesetz verfolgt einen risikobasierten Ansatz, was bedeutet, dass die Anforderungen an ein KI-System je nach seinem potenziellen Risiko für betroffene Personen variieren. Ein System, das beispielsweise Bewerbungen vorsortiert, wird anders behandelt als eine einfache Übersetzungssoftware.

Für den deutschen Mittelstand ist der EU AI Act keine ferne Zukunftsmusik mehr, sondern ein unmittelbares Handlungsfeld. Eine aktuelle Studie von IONOS und YouGov zeigt, dass zwei Drittel der kleinen und mittleren Unternehmen (KMU) in Deutschland KI positiv gegenüberstehen. Gleichzeitig befürchtet jedoch mehr als die Hälfte dieser Unternehmen, dass ihre Daten in den USA oder China landen könnten. Dies unterstreicht die Relevanz von datensouveränen KI-Lösungen und Anbietern aus Deutschland oder Europa, die von 36 Prozent der KMU als Voraussetzung für die Nutzung von KI-Lösungen betrachtet werden. Diese Sorge um Datenhoheit ist berechtigt und der EU AI Act leistet einen Beitrag, diese Bedenken durch klare Regeln zu adressieren.

Insbesondere im Personalwesen (HR) sind viele KI-Anwendungen als Hochrisiko-Systeme eingestuft. Dies betrifft Systeme zur Erstellung von Stellenangeboten, zur Kommunikation mit Bewerbern oder zur Unterstützung bei der Vorauswahl von Kandidaten. Unternehmen, die KI im Recruiting einsetzen oder dies planen, müssen klare Prozesse, Zuständigkeiten und nachvollziehbare Entscheidungen etablieren. Dies bedeutet beispielsweise, dass die Kriterien der KI nachvollziehbar sein müssen und menschliche Kontrollmechanismen implementiert werden. Bereits seit dem 2. Februar 2025 gilt zudem die Pflicht, für ausreichende KI-Kompetenz im Unternehmen zu sorgen. Diese Anforderung unterstreicht, dass die erfolgreiche KI-Integration eine ganzheitliche Strategie erfordert, die über die reine Technologie hinausgeht.

Die Einhaltung des EU AI Act erfordert von Unternehmen, vier grundlegende Bausteine etabliert zu haben, um die Compliance ab August nachweisfähig zu machen. Erstens: Ein KI-Inventar, eine strukturierte Bestandsaufnahme aller im Unternehmen eingesetzten Systeme mit KI-Funktion. Dies beinhaltet auch eingebettete KI-Funktionen in Standardsoftware wie CRM-Systemen, Office-Suiten oder HR-Tools. Zweitens: Eine klare Rollenklärung für alle Beteiligten im KI-Einsatz. Wer ist verantwortlich für die Auswahl, Implementierung und Überwachung? Drittens: Nachweise über die vorhandene KI-Kompetenz der Mitarbeiter. Schulungen und Zertifizierungen sind hier entscheidend. Viertens: Eine umfassende Provider-Dokumentation. Unternehmen müssen nachweisen können, dass sie ihre KI-Anbieter sorgfältig ausgewählt und deren Einhaltung der Vorschriften überprüft haben. Diese vier Punkte bilden das Fundament einer verantwortungsvollen KI-Governance.

Besondere Herausforderungen für Schweizer Unternehmen

Obwohl die Schweiz kein EU-Mitgliedstaat ist, müssen sich auch Schweizer Unternehmen auf die extraterritoriale Wirkung des EU AI Act einstellen. Dies betrifft insbesondere jene Firmen, die in der Europäischen Union aktiv sind oder deren KI-Systeme Produkte und Dienstleistungen in der EU bereitstellen. Der geografische Ursprung eines Anbieters ist dabei nicht primär entscheidend, sondern der Ort, an dem die KI-Systeme verwendet werden oder an dem ihre Ergebnisse Auswirkungen entfalten. Ein Schweizer Softwareunternehmen, das eine KI-basierte HR-Lösung an deutsche Kunden verkauft, muss beispielsweise die EU-Vorschriften einhalten.

Darüber hinaus ist für Schweizer Unternehmen das totalrevidierte Schweizer Datenschutzgesetz (DSG) von grosser Relevanz, das seit dem 1. September 2023 in Kraft ist. Das DSG bietet einen technologieneutralen Rahmen, der auch für KI-Anwendungen gilt und wichtige Instrumente wie die Regulierung automatisierter Einzelentscheidungen, Privacy by Design und Privacy by Default sowie Pflichten beim Profiling umfasst. Gerade die Nutzung von KI im Online Marketing wirft neue rechtliche Fragen bezüglich der rechtskonformen Datenverarbeitung auf. Hier müssen Schweizer Unternehmen doppelt genau hinschauen und sicherstellen, dass sowohl die EU-Vorschriften, falls anwendbar, als auch das Schweizer DSG eingehalten werden. Die Kapitel-H-Erfahrung zeigt, dass eine vorausschauende Rechtsberatung und eine klare Strategie unerlässlich sind, um hier Fallstricke zu vermeiden.

Cybersicherheit und Vertrauen: Eine untrennbare Verbindung

Der zunehmende Einsatz von KI im Geschäftsalltag bringt unweigerlich neue und komplexe Herausforderungen für die Cybersicherheit mit sich. Laut dem "Arctic Wolf 2026 AI & Cybersecurity Trends Report" nennen 38 Prozent der Führungskräfte in der DACH-Region Risiken rund um KI als ihre grösste Cybersecurity-Sorge. Damit hat KI die traditionelle Sorge vor Malware in der Prioritätenliste überholt. Diese Verschiebung zeigt, wie zentral die Sicherheitsaspekte von KI-Systemen geworden sind.

Die Studie verdeutlicht jedoch auch, dass Unternehmen den Einsatz von KI nicht einschränken wollen. Vielmehr legen sie Wert auf kontrollierbare KI, ausdrücklich zugelassene Large Language Models (LLMs) und eine menschliche Einbindung bei sicherheitsrelevanten Entscheidungen. Für 82 Prozent der Befragten stärkt ein Security Operations Center (SOC) innerhalb Europas das Vertrauen in einen Cybersecurity-Anbieter. Dies ist ein klares Signal für die Bedeutung lokaler, vertrauenswürdiger Infrastruktur und Dienstleister im KI-Zeitalter. Eine der grössten Herausforderungen dabei ist die sogenannte "Schatten-KI" oder "Shadow AI". Eine Bitdefender-Studie aus Juli 2026 belegt, dass viele Unternehmen Schwierigkeiten haben, den Überblick über genehmigte und nicht genehmigte KI-Tools zu behalten, die von Mitarbeitern genutzt werden. Nur 51,8 Prozent aller Befragten gaben an, vollständig darüber informiert zu sein. Dies unterstreicht die dringende Notwendigkeit robuster KI-Governance-Strukturen, klarer Richtlinien und eines Bewusstseins für diese unkontrollierte Nutzung, die erhebliche Sicherheits- und Compliance-Risiken birgt.

Change Management und Kompetenzaufbau als Fundament für KI-Erfolg

Die erfolgreiche Einführung von KI im Unternehmen ist nicht nur eine technische Frage, sondern hängt massgeblich von der Akzeptanz und Befähigung der Mitarbeiter ab. Studien zeigen konsistent, dass über 70 Prozent aller KI-Projekte nicht an der Technologie selbst scheitern, sondern an der fehlenden Akzeptanz der Mitarbeiter. Ein effektives Change Management ist daher entscheidend, um Widerstände abzubauen und die Belegschaft für die neuen Technologien zu begeistern. Es ist ein zentraler Hebel, um aus regulatorischen Anforderungen wie denen des EU AI Act eine Chance für unternehmerische Entwicklung zu machen.

Zu einem erfolgreichen Change Management gehören mehrere Bausteine: Erstens, eine transparente Kommunikation über geplante Veränderungen und die potenziellen Auswirkungen auf die Arbeitsplätze. Mitarbeiter müssen verstehen, wie KI ihre Arbeit unterstützen und nicht ersetzen wird. Zweitens, ausreichende Schulungen für neue Tools und Prozesse. Hierbei geht es nicht nur um die Bedienung der Software, sondern auch um das Verständnis der KI-Prinzipien und -Risiken. Drittens, die frühzeitige Einbindung der Mitarbeitenden in Entscheidungsprozesse. Ihre Expertise und Perspektiven sind wertvoll für die Gestaltung praxistauglicher KI-Lösungen. Viertens, das Fördern einer Innovationskultur, die Experimente erlaubt und aus Fehlern lernt. KI kann das Change Management durch datengestützte Erkenntnisse über Akzeptanzbarrieren, eine schnellere Transformation durch automatisierte Kommunikationskanäle und personalisierte Trainings unterstützen, die auf individuelle Lernbedürfnisse zugeschnitten sind.

Im Finanzbereich beispielsweise verändert KI die Rollen der Mitarbeiter fundamental. Während Routineaufgaben wie die Dateneingabe oder einfache Auswertungen zunehmend automatisiert werden, verschiebt sich der Bedarf hin zu Mitarbeitern, die Daten interpretieren, komplexe KI-Ergebnisse validieren und auf Basis dieser Erkenntnisse strategische Entscheidungen treffen können. Die Kombination aus digitaler Innovation und der jahrelangen Expertise erfahrener Mitarbeiter wird hier als Schlüssel zum Erfolg angesehen. Diese Entwicklung zeigt, dass KI die menschliche Arbeitskraft nicht überflüssig macht, sondern vielmehr neue Anforderungen an Fähigkeiten und Kompetenzen stellt. Unternehmen, die in diesen Kompetenzaufbau investieren, befaehigen ihre Mitarbeiter und sichern ihre Zukunftsfähigkeit.

Praktische Handlungsempfehlungen für Unternehmen

Um den Anforderungen des EU AI Act und den sich wandelnden Marktbedingungen gerecht zu werden, sollten Unternehmen im DACH-Raum folgende konkrete Schritte umsetzen:

1. KI-Inventar erstellen: Führen Sie eine umfassende Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme durch. Identifizieren Sie, welche Systeme unter die Hochrisikokategorie fallen und welche neuen Transparenzpflichten sie erfüllen müssen. Dokumentieren Sie dabei auch eingebettete KI-Funktionen in bestehender Software. 2. Rollen und Zuständigkeiten klären: Legen Sie eindeutig fest, wer für die Auswahl, Implementierung, Überwachung und Einhaltung der Vorschriften für jedes KI-System verantwortlich ist. Etablieren Sie eine klare Governance-Struktur für den gesamten KI-Lebenszyklus. 3. KI-Kompetenzen aufbauen: Investieren Sie in die Schulung Ihrer Mitarbeiter, insbesondere jener, die direkt mit KI-Systemen arbeiten oder deren Ergebnisse überprüfen müssen. Sorgen Sie für ein grundlegendes Verständnis von KI, ihren Möglichkeiten und Grenzen sowie den rechtlichen Rahmenbedingungen. 4. Provider-Dokumentation pflegen: Überprüfen Sie Ihre Verträge und Vereinbarungen mit KI-Anbietern. Stellen Sie sicher, dass diese die Compliance-Anforderungen des EU AI Act erfüllen und dass Sie die notwendigen Nachweise und Dokumentationen von ihnen erhalten können. 5. Transparenzmechanismen implementieren: Prüfen Sie Ihre interaktiven KI-Systeme (z.B. Chatbots) und generativen KI-Tools. Implementieren Sie sichtbare und barrierefreie Hinweise für Nutzer, wenn sie mit einer KI interagieren oder KI-generierte Inhalte sehen. Etablieren Sie maschinenlesbare Kennzeichnungen für Deepfakes und generierte Medieninhalte. 6. Datenschutz überprüfen: Abgleich der KI-Nutzung mit dem Schweizer DSG oder der DSGVO. Prüfen Sie insbesondere die Rechtmässigkeit der Datenverarbeitung bei automatisierten Einzelentscheidungen und Profiling. 7. Cybersicherheit stärken: Bewerten Sie die Sicherheitsrisiken Ihrer KI-Systeme. Etablieren Sie Richtlinien zur genehmigten KI-Nutzung und zur Eindämmung von „Schatten-KI“. Priorisieren Sie, wo möglich, europäische oder datensouveräne KI-Lösungen und Sicherheitsanbieter. 8. Change Management planen: Beziehen Sie Ihre Mitarbeiter frühzeitig in den KI-Transformationsprozess ein. Kommunizieren Sie transparent, bieten Sie Unterstützung und Schulungen an, um Akzeptanz zu fördern und Ängste abzubauen.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act stellt zweifellos eine regulatorische Herausforderung dar. Doch aus unserer Sicht bei Kapitel H ist es entscheidend, diese nicht isoliert als reine Bürde zu betrachten. Vielmehr sehen wir hier eine pragmatische Notwendigkeit und eine Chance. Der Mittelstand im DACH-Raum ist bekannt für seine Qualität, Zuverlässigkeit und Vertrauenswürdigkeit. Diese Werte lassen sich durch eine proaktive Compliance mit dem EU AI Act stärken und als Wettbewerbsvorteil nutzen. Unternehmen, die jetzt die Weichen stellen und eine transparente, sichere und nachvollziehbare KI-Nutzung etablieren, werden das Vertrauen ihrer Kunden, Partner und Mitarbeiter gewinnen.

Wir sehen oft, dass der Hype um KI dazu verleitet, schnelle, unüberlegte Entscheidungen zu treffen. Der EU AI Act zwingt Unternehmen zu einer strategischen, datenbasierten Herangehensweise. Es geht darum, KI dort einzusetzen, wo sie realen Mehrwert schafft und gleichzeitig die Risiken transparent zu managen. Die geforderte Kompetenzentwicklung und das Change Management sind keine bürokratischen Hürden, sondern essenzielle Bausteine, um die Befähigung der eigenen Organisation im Umgang mit dieser Schlüsseltechnologie sicherzustellen. Wer jetzt handelt, schafft nicht nur Compliance, sondern legt das Fundament für eine zukunftsfähige und vertrauenswürdige digitale Transformation. Es geht darum, KI zu beherrschen, statt von ihr abhängig zu werden.

Fazit: Vertrauen schaffen, Wettbewerbsfähigkeit sichern

Der 2. August 2026 markiert einen Wendepunkt in der KI-Regulierung und -Anwendung im DACH-Raum. Die startende behördliche Durchsetzung des EU AI Act und die neuen Transparenzpflichten schaffen einen konkreten Handlungsdruck für Unternehmen. Compliance wird zu einem zentralen Thema, das weit über die reine Technologieeinführung hinausgeht und Aspekte wie Datenschutz, Cybersicherheit, Mitarbeiterkompetenz und Change Management umfasst. Die Anforderungen an Transparenz, Nachvollziehbarkeit und Vertrauen steigen, und damit auch die Notwendigkeit für eine strategische und ganzheitliche KI-Governance.

Für den Mittelstand bedeutet dies eine Investition in die Zukunft. Unternehmen, die ihre KI-Nutzung kritisch überprüfen, entsprechende Governance-Strukturen aufbauen und ihre Mitarbeiter aktiv in den Wandel einbeziehen, werden die Chancen der KI sicher und vertrauensvoll nutzen können. Sie schaffen nicht nur rechtliche Sicherheit, sondern stärken auch das Vertrauen ihrer Kunden und Partner. Dies ist die Grundlage für langfristigen Erfolg und Wettbewerbsfähigkeit in einer zunehmend KI-getriebenen Wirtschaft. Wer jetzt agiert, verwandelt regulatorische Notwendigkeit in strategischen Vorteil.