EU AI Act: Neue Pflichten und verschobene Fristen. Was bedeutet das für DACH-Unternehmen?

Die Landschaft der Künstlichen Intelligenz im DACH-Raum wird zunehmend durch regulatorische Rahmenbedingungen geprägt. Eine der weitreichendsten Entwicklungen ist der EU AI Act, der in den letzten Wochen neue Anwendungsphasen erreicht hat. Seit dem 2. August 2026 sind wesentliche Transparenzpflichten des EU AI Acts für Unternehmen verbindlich. Gleichzeitig wurden die ursprünglich ebenfalls für diesen Stichtag vorgesehenen Fristen für Hochrisiko-KI-Systeme durch den sogenannten „Digital Omnibus on AI“ auf Dezember 2027 und August 2028 verschoben. Diese gestaffelte Einführung und die damit verbundenen Anpassungen stellen Unternehmen, insbesondere den Mittelstand in Deutschland, Österreich und der Schweiz, vor eine komplexe Herausforderung. Es gilt, sowohl die sofortigen Anforderungen zu erfüllen als auch eine langfristige KI-Strategie zu entwickeln.

Unmittelbare Wirkung: Transparenzpflichten seit 2. August 2026

Für eine Vielzahl von Unternehmen, auch im DACH-Mittelstand, war der 2. August 2026 ein entscheidendes Datum. Seitdem gelten die Transparenzpflichten des Artikel 50 der EU AI Act verbindlich. Diese Verpflichtungen betreffen die Offenlegung des Einsatzes von KI in drei Kernbereichen. Ein präventiver Umgang ist hier nicht nur empfehlenswert, sondern verpflichtend, um rechtliche Konsequenzen zu vermeiden und das Vertrauen von Kunden und Mitarbeitern zu sichern.

1. Interaktion mit KI-Systemen: Nutzer müssen informiert werden, wenn sie direkt mit einem KI-System interagieren, es sei denn, dies ist offensichtlich. Dies betrifft beispielsweise Chatbots im Kundenservice, interne Support-Systeme oder auch HR-Chatbots, die Bewerberanfragen bearbeiten. Unternehmen müssen sicherstellen, dass diese Kennzeichnung klar und verständlich erfolgt. Dies beinhaltet auch die Überprüfung aller Schnittstellen, bei denen Endnutzer auf automatisierte Systeme treffen könnten, um sicherzustellen, dass die Transparenz gewährleistet ist. Eine fehlende oder unzureichende Kennzeichnung kann hier schnell zu Verstößen führen.

2. Kennzeichnung KI-generierter Inhalte: Texte, Bilder, Videos und Audioinhalte, die von KI generiert oder wesentlich manipuliert wurden, müssen als solche gekennzeichnet werden. Diese Pflicht ist besonders relevant für Inhalte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen, wie beispielsweise Nachrichtenartikel, politische Informationen oder auch Marketingmaterialien, die den Eindruck menschlicher Urheberschaft erwecken könnten. Ausnahmen gibt es für geringfügige Änderungen oder wenn menschliche Redakteure die volle Verantwortung für den Inhalt übernehmen. Eine spezifische Anforderung, maschinenlesbare Wasserzeichen für generierte Inhalte von bereits am Markt befindlichen Systemen zu verwenden, wurde bis zum 2. Dezember 2026 verschoben. Unternehmen sollten diese Übergangsfrist nutzen, um technische Lösungen zur Implementierung solcher Wasserzeichen zu prüfen und zu integrieren. Diese Anforderung zielt darauf ab, die Herkunft von Inhalten klar nachvollziehbar zu machen und Desinformation entgegenzuwirken.

3. Einsatz von Emotionserkennungs- oder biometrischen Kategorisierungssystemen: Unternehmen, die solche Systeme einsetzen, müssen die betroffenen Personen darüber informieren. Dies ist ein hochsensibler Bereich, der weitreichende Implikationen für den Datenschutz und die Persönlichkeitsrechte hat. Beispiele hierfür sind Systeme zur Analyse von Gesichtsausdrücken in Bewerbungsgesprächen oder zur Kategorisierung von Personen basierend auf biometrischen Merkmalen. Die Anforderungen an Transparenz sind hier besonders streng, da der Eingriff in die Privatsphäre erheblich ist.

Die Europäische Kommission hat bereits am 20. Juli 2026 Leitlinien zu diesen Transparenzpflichten veröffentlicht, um Unternehmen bei der Umsetzung zu unterstützen. Bei Nichtbeachtung drohen empfindliche Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für DACH-Unternehmen bedeutet dies, dass sie ihre bestehenden KI-Anwendungen, die in diesen Bereichen zum Einsatz kommen, umgehend auf Konformität prüfen und gegebenenfalls anpassen mussten. Dies schließt auch den Einsatz gängiger KI-Tools wie ChatGPT oder Bildgeneratoren ein, selbst wenn sie als “geringes Risiko” eingestuft werden. Die Einhaltung dieser Vorgaben ist nicht verhandelbar und erfordert eine systematische Überprüfung der eingesetzten Technologien.

Atempause oder Weckruf? Die neuen Fristen für Hochrisiko-KI-Systeme

Eine der wichtigsten Änderungen der letzten Wochen ist die Verschiebung der Anwendungsfristen für Hochrisiko-KI-Systeme. Ursprünglich war der 2. August 2026 auch der Stichtag für die umfassenden Pflichten dieser Systeme. Der im Juli 2026 verabschiedete „EU Digital Omnibus on AI“ hat diese Deadlines jedoch angepasst, um Unternehmen, insbesondere kleine und mittelständische Unternehmen (KMU) und Small and Mid-Cap Companies (SMCs), die Implementierung zu erleichtern. Dies ist keine Freifahrt für Untätigkeit, sondern ein strategischer Aufschub, der klug genutzt werden muss.

Die neuen Fristen sind wie folgt gestaffelt:

* 2. Dezember 2027: Für eigenständige Hochrisiko-KI-Systeme. Hierzu zählen beispielsweise Systeme in den Bereichen Personalwesen, Kreditvergabe, Bildung oder entscheidende öffentliche Dienstleistungen, die ohne direkte Integration in ein bereits reguliertes Produkt betrieben werden. Dies umfasst zum Beispiel autonome Bewerberauswahlsysteme oder KI-gestützte Kreditscoring-Modelle. Unternehmen, die solche Systeme entwickeln oder nutzen, haben nun etwas mehr als ein Jahr Zeit, um die umfangreichen Anforderungen zu erfüllen. * 2. August 2028: Für Hochrisiko-KI-Systeme, die in bereits regulierte Produkte eingebettet sind. Dies betrifft beispielsweise KI in medizinischen Geräten, Industriemaschinen oder Fahrzeugen. Die komplexere Integration und die Notwendigkeit, bestehende Zertifizierungsprozesse anzupassen, begründen hier die längere Übergangsfrist. Dies gibt den Herstellern und Betreibern die Möglichkeit, die KI-Komponenten in ihre bestehenden Qualitätssicherungs- und Zulassungsverfahren zu integrieren.

Diese Verschiebung bietet DACH-Unternehmen eine gewisse Erleichterung und mehr Zeit, um die komplexen Anforderungen an Risikomanagement, technische Dokumentation, Daten-Governance, menschliche Aufsicht und Konformitätsbewertung für Hochrisiko-Systeme zu erfüllen. Es ist jedoch kein Grund zur Untätigkeit, sondern ein klarer Weckruf. Vielmehr sollten die Unternehmen die gewonnene Zeit nutzen, um ihre KI-Strategien zu präzisieren, interne Prozesse anzupassen und die notwendige KI-Kompetenz aufzubauen. Die Vorbereitung auf diese umfangreichen Pflichten erfordert detaillierte Planung und Investitionen in Know-how und Infrastruktur. Wer jetzt abwartet, riskiert nicht nur hohe Bußgelder, sondern auch einen Wettbewerbsnachteil, wenn die Fristen ungenutzt verstreichen.

Konkrete Auswirkungen auf den DACH-Mittelstand

Die Entwicklungen haben weitreichende Konsequenzen für Unternehmen in Deutschland, Österreich und der Schweiz. Es handelt sich hierbei nicht um eine rein europäische Angelegenheit, sondern um eine globale Standardsetzung, die auch nicht-EU-Länder betrifft.

* Schweiz als Nicht-EU-Mitglied: Obwohl die Schweiz kein EU-Mitglied ist, wird der AI Act erhebliche Auswirkungen auf Schweizer Unternehmen haben. Das sogenannte “Marktortprinzip” bedeutet, dass alle KI-Systeme, die in der EU zum Einsatz kommen oder deren Ergebnisse in der EU genutzt werden, den Regeln des AI Acts unterliegen. Dies betrifft sowohl Anbieter als auch Betreiber von KI-Systemen. Schweizer Unternehmen müssen daher ihre KI-Anwendungen auf Konformität prüfen, eine Risikobewertung durchführen und gegebenenfalls Entwicklungs- und Implementierungsprozesse anpassen. Das revidierte Schweizer Datenschutzgesetz (revDSG), das technologieneutral formuliert ist, setzt ebenfalls klare Grenzen für KI-gestützte Datenbearbeitungen und fordert Transparenz und Widerspruchsrechte. Eine doppelte Compliance-Prüfung ist somit unerlässlich.

* Schatten-KI und Daten-Governance: Viele Unternehmen, insbesondere KMU, stehen vor der Herausforderung, dass Mitarbeiter KI-Tools wie ChatGPT oder Copilot ohne offizielle Richtlinien nutzen, der sogenannten Schatten-KI. Dies birgt erhebliche DSGVO-Risiken und kann zu unkontrolliertem Wissensabfluss führen. Die neuen Transparenzpflichten und die Vorbereitung auf die Hochrisiko-Anforderungen machen verbindliche KI-Guidelines und eine klare Daten-Governance unerlässlich. Unternehmen müssen definieren, welche Tools genutzt werden dürfen, welche Daten verarbeitet werden können und welche Trainings notwendig sind.

* KI im HR als Hochrisikobereich: KI-Systeme im Personalwesen, beispielsweise für Bewerbervorauswahl, Leistungsbeurteilung oder Schichtplanung, fallen schnell unter die Klassifizierung von Hochrisiko-KI-Systemen. Dies bedeutet strenge Anforderungen an Risikomanagement, Dokumentation und menschliche Aufsicht. Ein Webinar von Abacus Umantis vom 19. August 2026 hob hervor, wie der Mittelstand KI im HR sicher und rechtskonform nutzen kann. Die Warnung der Arbeiterkammer (AK) in Österreich vor „KI-Fallen im Job“ und falschen KI-Auskünften, beispielsweise von ChatGPT, unterstreicht die Notwendigkeit einer soliden rechtlichen und prozessualen Einbettung von KI im HR. Hier müssen Diskriminierungsrisiken und Fairness von Algorithmen genau beleuchtet werden.

* KI im Controlling und Finanzwesen: In der DACH-Region nimmt der Einsatz von KI in Finanzabteilungen zu, allerdings hinkt die Governance oft hinterher. Moderne KI-Tools automatisieren repetitive Aufgaben wie Rechnungsverarbeitung, bieten Predictive Analytics und Echtzeit-Dashboards, was auch für mittelständische Unternehmen konkrete Vorteile bringt. Seminare zur KI im Rechnungswesen und Controlling, wie sie etwa die Controller Akademie Zürich anbietet, zeigen den Bedarf an Weiterbildung in diesem Bereich. Auch hier müssen Unternehmen die Risiken und Pflichten genau kennen und managen, insbesondere wenn KI zur Entscheidungsfindung bei Finanztransaktionen eingesetzt wird.

* Change Management und Mitarbeiter-Akzeptanz: Die Einführung von KI-Systemen erfordert ein umfassendes Change Management. Studien zeigen, dass es erhebliche Mitarbeiterwiderstände geben kann; nur 47% erhalten formelles Training. 65% der Mitarbeiter sind jedoch begeistert, wenn sie richtig mitgenommen werden. Die „KI-Kompetenzpflicht“ aus Art. 4 des AI Acts, die bereits seit Februar 2025 gilt, unterstreicht die Notwendigkeit von Schulungsnachweisen für Mitarbeiter. Expertenforen wie das Handelsblatt Live Seminar zu KI-Tools im Change Management bieten praxisnahe Ansätze zur Integration von KI in Workflows. Der Mensch muss im Mittelpunkt bleiben, auch bei der Automatisierung.

* Enforcement und AI Office: Mit dem 2. August 2026 sind das EU AI Office, die nationalen zuständigen Behörden und der Europäische Datenschutzbeauftragte befugt, die Einhaltung der Vorschriften durchzusetzen und Verstöße zu ahnden. Dies gilt insbesondere für die Transparenzpflichten und für Prohibited AI Practices sowie bestimmte Regeln für General-Purpose AI (GPAI) Modelle. Für Anbieter von GPAI-Modellen galten die substanziellen Pflichten bereits seit dem 2. August 2025, aber nun sind auch die Durchsetzungs- und Sanktionsbefugnisse des AI Office aktiv. Dies bedeutet, dass Unternehmen jetzt mit Kontrollen und potenziellen Sanktionen rechnen müssen.

Handlungsempfehlungen für DACH-Unternehmen

Angesichts der aktuellen Entwicklungen ist proaktives Handeln für Unternehmen im DACH-Raum unerlässlich. Die folgenden Schritte bieten eine pragmatische Orientierung:

1. Inventarisierung der KI-Anwendungen: Erfassen Sie alle im Unternehmen genutzten KI-Systeme, von Kundenservice-Chatbots bis hin zu internen Analyse-Tools. Unterscheiden Sie dabei zwischen selbst entwickelten und extern bezogenen Systemen. Dies ist die Grundlage für jede Compliance-Prüfung. 2. Sofortige Prüfung der Transparenzpflichten: Überprüfen Sie alle KI-Systeme, die unter Artikel 50 fallen, auf die Einhaltung der Kennzeichnungs- und Informationspflichten. Passen Sie Prozesse und Benutzeroberflächen umgehend an, um Bußgelder zu vermeiden. Dies betrifft auch den Einsatz von gängigen KI-Tools wie ChatGPT durch Mitarbeiter. 3. Risikobewertung für Hochrisiko-KI: Identifizieren Sie Systeme, die als Hochrisiko-KI eingestuft werden könnten, insbesondere in den Bereichen HR, Finanzwesen und kritische Infrastruktur. Beginnen Sie frühzeitig mit der Implementierung eines robusten Risikomanagements und der Erstellung der notwendigen technischen Dokumentation. Nutzen Sie die verlängerte Frist strategisch. 4. Entwicklung einer KI-Governance und Guidelines: Erstellen Sie interne Richtlinien für den sicheren und rechtskonformen Einsatz von KI-Tools. Dies beinhaltet Vorgaben zur Daten-Governance, zum Datenschutz und zur Nutzung von Drittanbieter-KI-Diensten. Klären Sie Verantwortlichkeiten und Prozesse. 5. Mitarbeiterschulung und Change Management: Investieren Sie in die KI-Kompetenz Ihrer Mitarbeiter. Bieten Sie Schulungen zu den neuen Compliance-Anforderungen und zum verantwortungsvollen Umgang mit KI-Tools an. Fördern Sie eine positive Einstellung zur Technologie durch transparente Kommunikation und Beteiligungsprozesse. Die “KI-Kompetenzpflicht” muss ernst genommen werden. 6. Rechtliche Beratung und Auditierung: Ziehen Sie bei Bedarf spezialisierte Rechtsberatung hinzu, um die Konformität Ihrer KI-Systeme sicherzustellen. Erwägen Sie regelmäßige externe Audits Ihrer KI-Anwendungen, um Compliance-Risiken frühzeitig zu erkennen und zu beheben.

Kritische Einordnung aus Kapitel-H-Sicht

Aus unserer Perspektive bei Kapitel H ist der EU AI Act ein notwendiger Schritt zur Schaffung eines verantwortungsvollen Rahmens für Künstliche Intelligenz. Die gestaffelte Einführung und die Verschiebung der Fristen für Hochrisiko-KI-Systeme sind ein pragmatisches Zugeständnis an die Realitäten im Mittelstand. Es ist jedoch entscheidend, diese Atempause nicht als Gelegenheit zur Verzögerung zu missverstehen. Vielmehr muss sie als Chance begriffen werden, die eigenen KI-Strategien zu schärfen und die notwendigen Kompetenzen aufzubauen.

Wir beobachten oft, dass Unternehmen den Fokus primär auf die Technologie selbst legen, anstatt die organisatorischen und prozessualen Anpassungen, die mit KI einhergehen, ausreichend zu berücksichtigen. Der AI Act zwingt hier zu einem umfassenderen Blick. Es geht nicht nur darum, welche KI man einsetzt, sondern wie man sie einsetzt und welche Auswirkungen das auf Menschen, Daten und Geschäftsprozesse hat. Die Betonung der Transparenz und der menschlichen Aufsicht ist ein zentraler Pfeiler für eine vertrauenswürdige KI. Unsere Kernbotschaft bleibt: Unternehmen sollten sich befähigen, KI selbstbestimmt und verantwortungsvoll zu nutzen, anstatt sich von neuen Technologien oder Regulierungen abhängig zu machen. Dies erfordert Investitionen in Wissen, Prozesse und die interne Governance. Der AI Act ist hier ein wichtiger Katalysator für diese notwendige Entwicklung.

Fazit: Verantwortungsvolle KI ist kein Hype, sondern Pflicht und Chance

Die jüngsten Entwicklungen rund um den EU AI Act signalisieren eine neue Ära der KI-Regulierung in Europa, die den DACH-Arbeitsmarkt tiefgreifend prägt. Die sofortige Geltung der Transparenzpflichten fordert eine rasche Anpassung und Sensibilisierung in Unternehmen. Wer diese Pflichten missachtet, riskiert nicht nur erhebliche Bußgelder, sondern auch einen Vertrauensverlust bei Kunden und Mitarbeitern. Die Verschiebung der Fristen für Hochrisiko-KI bietet zwar eine Atempause, sollte aber als Chance für eine gründliche und strategische Vorbereitung genutzt werden, anstatt zu einer weiteren Verzögerung zu führen. Es ist keine Lizenz zur Untätigkeit, sondern eine erweiterte Vorlaufzeit, die es klug zu nutzen gilt.

DACH-Unternehmen müssen jetzt proaktiv handeln, um nicht nur Bußgelder zu vermeiden, sondern auch das Vertrauen ihrer Kunden und Mitarbeiter in den verantwortungsvollen Einsatz von KI zu stärken. Eine integrierte Strategie, die rechtliche Compliance, technische Sicherheit, ethische Richtlinien und umfassendes Change Management berücksichtigt, ist entscheidend für den zukünftigen Erfolg in einer zunehmend KI-gesteuerten Arbeitswelt. Nur wer jetzt die Weichen stellt, kann die Potenziale der KI voll ausschöpfen und gleichzeitig die Risiken minimieren. Wir unterstützen Sie gerne dabei, diesen Weg strategisch und pragmatisch zu gestalten, damit Sie die Kontrolle über Ihre KI-Zukunft behalten.