EU AI Act und Omnibus-Regulierung: Was DACH-Unternehmen jetzt wissen müssen

# EU AI Act und Omnibus-Regulierung: Pragmatische Anpassungen für den DACH-Mittelstand

Der Einsatz von Künstlicher Intelligenz (KI) in Unternehmen des DACH-Raums wird zunehmend von rechtlichen Rahmenbedingungen geprägt. Eine der relevantesten Entwicklungen der jüngsten Zeit ist die sogenannte "Digital Omnibus Regulation on AI" (Verordnung (EU) 2026/1744). Diese Verordnung ist keine revolutionäre Neuschöpfung, sondern eine gezielte Anpassung des EU AI Act, der am 1. August 2024 in Kraft getreten ist. Obwohl die Verabschiedung bereits im Juli 2026 erfolgte, entfalten ihre gestaffelten Umsetzungsfristen und präzisierten Anforderungen weiterhin erhebliche Auswirkungen auf die strategische Planung und die operativen Prozesse von Unternehmen in Deutschland, Österreich und der Schweiz.

Der EU AI Act war als weltweit erste umfassende Regulierung für Künstliche Intelligenz konzipiert, um einen risikobasierten und menschenzentrierten Ansatz zu etablieren. Er klassifiziert KI-Systeme nach ihrem Risikopotenzial, von verbotenen Praktiken bis hin zu Hochrisiko- und geringem Risiko-Anwendungen. Die Digital Omnibus Regulation greift diese Struktur auf und modifiziert sie punktuell. Ziel dieser Änderungen war es, regulatorische Überschneidungen zu reduzieren, die Einhaltung zu vereinfachen und Unternehmen mehr Zeit für die notwendigen Anpassungen zu gewähren, ohne dabei die fundamentalen Schutzziele des AI Act zu gefährden. Dies ist ein entscheidender Punkt für den Mittelstand im DACH-Raum, der oft mit begrenzten Ressourcen auf komplexe regulatorische Anforderungen reagieren muss.

Die Anpassungen, wie die Verlängerung von Fristen oder die Flexibilisierung von Anforderungen, sind nicht als Entwarnung zu verstehen, sondern als eine strategische Atempause. Sie bieten eine wertvolle Gelegenheit, die Implementierung von KI-Systemen im Einklang mit den gesetzlichen Vorgaben sorgfältig und fundiert zu planen, anstatt unter Hochdruck Schnellschüsse tätigen zu müssen. Es ist daher unerlässlich, sich intensiv mit diesen Neuerungen auseinanderzusetzen, um sowohl Compliance-Risiken zu minimieren als auch die Potenziale von KI verantwortungsvoll zu erschließen. Rechts-, Compliance-, IT- und Management-Abteilungen sind hier gleichermaßen gefordert.

Verlängerte Fristen für Hochrisiko-KI-Systeme: Pragmatismus für den Mittelstand

Eine der wichtigsten Änderungen der Digital Omnibus Regulation sind die verlängerten Compliance-Fristen für Hochrisiko-KI-Systeme. Diese Anpassung stellt eine erhebliche Entlastung für zahlreiche DACH-Unternehmen dar, insbesondere für kleine und mittlere Unternehmen (KMU), die oft nicht über die personellen oder finanziellen Kapazitäten großer Konzerne verfügen, um schnell auf komplexe Regulierungen zu reagieren.

Ursprünglich sahen die Fristen eine schnellere Umsetzung vor. Nun gilt für Hochrisiko-KI-Systeme, die in Anhang III des AI Act gelistet sind, die Compliance-Frist bis zum 2. Dezember 2027. Dies betrifft Anwendungsbereiche wie die Personalrekrutierung, die Kreditwürdigkeitsprüfung, den Bildungssektor oder biometrische Anwendungen. Die Verschiebung um 16 Monate ist eine signifikante Erleichterung.

Noch grosszügiger sind die Fristen für Hochrisiko-KI-Systeme, die in regulierte Produkte wie Medizinprodukte eingebettet sind und in Anhang I aufgeführt werden. Hier wurde die Frist sogar bis zum 2. August 2028 verlängert, was eine Verschiebung um ein ganzes Jahr bedeutet. Dies gibt den betroffenen Branchen, etwa Medizintechnik oder Maschinenbau, dringend benötigte Zeit zur Anpassung.

Was bedeutet dies konkret für DACH-Unternehmen? Die zusätzliche Zeit sollte strategisch genutzt werden. Es geht darum, interne Prozesse anzupassen, umfassende Tests der KI-Systeme durchzuführen, die notwendige technische Dokumentation zu erstellen und gegebenenfalls externe Drittanbieter-Bewertungen einzuholen. Für Finanzabteilungen bedeutet dies eine vorausschauende Budgetplanung für Compliance-Projekte. HR-Abteilungen müssen ihre KI-gestützten Bewerberauswahlprozesse prüfen und anpassen. Qualitätsmanagement-Abteilungen in produzierenden Unternehmen mit KI-Einsatz sind direkt gefordert, neue Prüfverfahren zu implementieren. Parallel dazu erhalten Standardisierungsorganisationen wie CEN-CENELEC mehr Zeit, die erforderlichen Normen und Richtlinien zu erarbeiten, welche als praktische Grundlage für viele AI Act Anforderungen dienen werden. Kapitel H empfiehlt, diese Zeit nicht als Aufschub zu missverstehen, sondern als Chance für eine fundierte und nachhaltige Implementierung zu begreifen. Wer jetzt vorausschauend agiert, sichert sich einen Wettbewerbsvorteil durch frühzeitige Rechtskonformität und stärkt das Vertrauen der Kunden und Mitarbeiter.

Neue verbotene KI-Praktiken: Grenzen für missbräuchliche Nutzung ab 2026

Ab Dezember 2026 treten neue Verbote in Kraft, die sich auf die Entwicklung und den Vertrieb von KI-Tools konzentrieren, die bestimmte, als besonders schädlich eingestufte Inhalte generieren oder manipulieren. Konkret geht es um KI-Systeme, die ohne Zustimmung der betroffenen Personen intime Deepfakes oder Material zum sexuellen Missbrauch von Kindern (CSAM) erzeugen. Solche Praktiken werden durch die neue Regulierung explizit untersagt.

Obwohl diese Verbote Anwendungsfälle betreffen, die hoffentlich nicht zum Kerngeschäft seriöser DACH-Unternehmen gehören, senden sie ein klares Signal. Sie unterstreichen die gestiegene Verantwortung von KI-Entwicklern und -Anbietern, auch im Hinblick auf potenzielle missbräuchliche Nutzungen ihrer Technologien. Unternehmen, die im Bereich generativer KI tätig sind oder solche Tools nutzen, müssen sicherstellen, dass ihre Anwendungen keine solchen missbräuchlichen Funktionalitäten ermöglichen oder fördern.

Dies gilt auch dann, wenn eine solche Nutzung nicht die primäre Absicht des Unternehmens ist, aber als "vernünftigerweise vorhersehbar" eingestuft werden könnte. Eine sorgfältige Risikobewertung bei der Entwicklung und Implementierung von generativen KI-Systemen ist daher unerlässlich. Es müssen technische und organisatorische Schutzmaßnahmen etabliert werden, um die Einhaltung dieser Verbote zu gewährleisten. Dies erfordert unter Umständen die Anpassung von Nutzungsbedingungen, Inhaltsfiltermechanismen oder Überwachungsprotokollen, um rechtliche Risiken zu vermeiden und die gesellschaftliche Verantwortung zu erfüllen.

Flexiblere Anforderungen an die KI-Kompetenz: Fokus auf Befähigung statt Zertifizierung

Die Anforderungen an die KI-Kompetenz der Mitarbeiter haben sich durch die Digital Omnibus Regulation ebenfalls angepasst, was für DACH-Unternehmen, insbesondere in den Bereichen HR und Change Management, von grosser Bedeutung ist. Der ursprüngliche AI Act forderte von Organisationen, ein "ausreichendes Maß an KI-Kompetenz" bei den Mitarbeitern sicherzustellen, die mit KI-Systemen arbeiten. Dies rief oft Fragen nach starren Zertifizierungen oder universellen "AI Literacy"-Programmen hervor.

Die überarbeitete Verordnung verfolgt nun einen praxisorientierteren Ansatz. Von Unternehmen wird weiterhin erwartet, die KI-Kompetenz zu fördern, angemessene Unterstützung und Schulungen anzubieten sowie zumutbare Maßnahmen zu ergreifen, um ihren Mitarbeitern das Verständnis der genutzten KI-Systeme zu vermitteln. Der Druck, ein spezifisches, einheitliches Niveau der KI-Kompetenz für jeden einzelnen Mitarbeiter garantieren zu müssen, wurde jedoch deutlich reduziert. Dies ist ein realistischerer Ansatz, der die Vielfalt der Rollen und Aufgaben innerhalb eines Unternehmens besser berücksichtigt.

Aus Sicht von Kapitel H ist dies eine wichtige und positive Entwicklung. Der Fokus verschiebt sich von einer formalen "AI Literacy" hin zu einer praktischen "AI Enablement". Es geht nicht darum, jeden Mitarbeiter zu einem KI-Experten zu machen, sondern darum, ihn zu befähigen, die für seine spezifischen Aufgaben relevanten KI-Systeme sicher, effizient und verständnisvoll zu nutzen. Change Management spielt hier eine entscheidende Rolle. Der Einsatz von KI führt oft zu Ängsten und Unsicherheiten bei der Belegschaft. Eine effektive Kommunikation, transparente Pilotprojekte und die Einbindung der Mitarbeiter als "Co-Creators" können diese Ängste abbauen, Wissen gezielt aufbauen und neue Kompetenzen entwickeln.

Aktuelle Studien zeigen, dass in DACH-Unternehmen zwar viele Mitarbeiter zur KI-Nutzung ermutigt werden, aber nur ein geringer Anteil tatsächlich systematisch geschult wird, wie die Forschung von Dr. Maher Hamid und Schady Hamid, B.Eng. in der Schweizer Industrie aufzeigt. Während beispielsweise 60% der Mitarbeiter aktiv dazu angehalten werden, KI-Tools zu evaluieren, erhalten nur etwa 18% gezielte, auf ihre Rolle zugeschnittene Schulungen. Die flexibleren Anforderungen bieten die Möglichkeit, diesen Gap zu schließen, indem Unternehmen zielgerichteter und bedarfsorientierter Schulungen anbieten. Das Ziel ist die Steigerung der Produktivität und die Erhöhung der Akzeptanz, nicht die Erfüllung einer bloßen Formalie. Dies erfordert eine enge Zusammenarbeit zwischen HR, den Fachabteilungen und der IT, um maßgeschneiderte Programme zu entwickeln, die den tatsächlichen Nutzen in den Vordergrund stellen.

Transparenzanforderungen für generative KI: Kennzeichnungspflicht mit Übergangsfrist

Generative KI-Systeme, die in der Lage sind, Texte, Bilder, Audio oder Videos zu erzeugen, sind ein Bereich, der zunehmend an Bedeutung gewinnt und gleichzeitig neue Herausforderungen mit sich bringt, insbesondere im Hinblick auf Transparenz und Authentizität. Die Digital Omnibus Regulation hat hier eine wichtige Klarstellung und eine pragmatische Übergangsregelung für die Kennzeichnungspflicht eingeführt.

Ursprünglich sollte die Kennzeichnungspflicht für KI-generierte Inhalte, beispielsweise durch Watermarking oder andere Metadaten, bereits ab dem 2. August 2026 gelten. Dies hätte viele Anbieter und Nutzer von generativer KI unter erheblichen Zeitdruck gesetzt. Die neue Verordnung gewährt nun eine Gnadenfrist für Anbieter, die ihre Systeme bereits vor dem 2. August 2026 auf den Markt gebracht hatten. Diese Unternehmen haben nun bis zum 2. Dezember 2026 Zeit, ihre Kennzeichnungspflicht zu erfüllen. Für alle Systeme, die nach dem 2. August 2026 auf den Markt kommen, müssen die Anforderungen hingegen sofort erfüllt werden.

Diese Regelung betrifft insbesondere Marketing- und Kommunikationsabteilungen sowie alle Unternehmen, die generative KI intensiv für die Erstellung von Inhalten nutzen. Die Notwendigkeit, Inhalte als KI-generiert zu kennzeichnen, ist eine fundamentale Maßnahme zur Gewährleistung von Transparenz und zum Schutz vor Desinformation. Es hilft den Nutzern, zwischen menschlich erstellten und maschinell generierten Inhalten zu unterscheiden, was das Vertrauen in digitale Informationen stärkt. Die verlängerte Frist für bestehende Systeme ist eine kleine Erleichterung, die Unternehmen die Möglichkeit gibt, ihre bestehenden Workflows anzupassen und technische Lösungen für die Kennzeichnung zu implementieren. Die grundlegende Pflicht zur Transparenz bleibt jedoch bestehen und erfordert proaktives Handeln und klare interne Richtlinien für den Umgang mit KI-generierten Inhalten.

Datenschutz bleibt eine Kernforderung: DSGVO und Schweizer DSG im KI-Kontext

Unabhängig von den spezifischen Änderungen und Fristen des EU AI Act und der Digital Omnibus Regulation bleibt der Datenschutz ein absolut fundamentales Thema im Kontext des KI-Einsatzes. Sobald KI-Systeme personenbezogene Daten verarbeiten, sind die Bestimmungen der Datenschutz-Grundverordnung (DSGVO) in der EU und des revidierten Schweizer Datenschutzgesetzes (DSG) vollumfänglich und direkt anwendbar. Dies ist ein Aspekt, der in der Hektik der KI-Einführung oft übersehen wird oder nicht die notwendige Priorität erhält.

Für Unternehmen im DACH-Raum bedeutet dies, dass jede KI-gestützte Datenverarbeitung einer strengen datenschutzrechtlichen Prüfung unterzogen werden muss. Dies umfasst die Überprüfung der genutzten KI-Tarife, der Verarbeitungszwecke der Daten, der Rechtsgrundlagen für die Datenverarbeitung sowie der Abschluss und die Prüfung von Auftragsverarbeitungsverträgen mit KI-Anbietern. Besondere Vorsicht ist bei der Nutzung von Cloud-basierten KI-Diensten geboten, deren Server und Datenverarbeitungsprozesse möglicherweise außerhalb des eigenen Rechtsraums liegen. Hier sind die spezifischen Anforderungen an den internationalen Datentransfer genau zu beachten.

Für Schweizer Unternehmen ist das revidierte Datenschutzgesetz (DSG), das seit September 2023 in Kraft ist, von besonderer Relevanz. Es wurde an die technologischen Entwicklungen angepasst und soll die Kompatibilität mit der EU-Datenschutzregulierung sicherstellen. Dies ist entscheidend für Unternehmen, die sowohl in der Schweiz als auch im EU-Raum tätig sind. Schweizer Unternehmen müssen besonders vorsichtig sein, sensible oder vertrauliche Daten nicht in frei zugängliche oder unzureichend gesicherte KI-Systeme einzugeben, da diese potenziell als Trainingsdaten verwendet werden könnten, was zu unkontrollierbaren Datenlecks und Compliance-Verstössen führen kann.

Laut Studien von Kapitel H fehlt bei über 50% der Finanzabteilungen im DACH-Raum eine umfassende KI-Governance, die diese Datenschutzaspekte systematisch berücksichtigt. Dies stellt ein erhebliches Compliance-Risiko dar. Eine durchdachte KI-Governance ist daher unerlässlich. Sie muss nicht nur die technischen und ethischen Aspekte des KI-Einsatzes abdecken, sondern auch eine lückenlose Integration der Datenschutzanforderungen gewährleisten. Ohne eine solche Governance sind Unternehmen einem hohen Risiko von Bussgeldern und Reputationsschäden ausgesetzt.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Die Änderungen durch die Digital Omnibus Regulation und die fortbestehenden Anforderungen des Datenschutzes erfordern eine proaktive und strukturierte Herangehensweise. Unternehmen im DACH-Raum sollten die gewonnenen Fristen nutzen, um ihre KI-Strategie und -Implementierung robust und rechtskonform aufzustellen. Hier sind konkrete Handlungsempfehlungen:

1. Inventarisierung und Risikobewertung aller KI-Systeme: Erstellen Sie ein vollständiges Verzeichnis aller aktuell eingesetzten und geplanten KI-Systeme. Klassifizieren Sie diese gemäß den Risiko-Kategorien des EU AI Act (Hochrisiko, geringes Risiko etc.) und bewerten Sie die potenziellen Risiken für Personen und das Unternehmen.

2. Erstellung einer Roadmap für die Compliance-Umsetzung: Nutzen Sie die verlängerten Fristen für Hochrisiko-KI-Systeme strategisch. Erarbeiten Sie einen detaillierten Zeitplan, wer wann welche Compliance-Anforderungen umsetzt, inklusive notwendiger Prozessanpassungen, technischer Integrationen und Dokumentationen. Priorisieren Sie dabei die Systeme mit dem höchsten Risiko.

3. Gezielter Kompetenzaufbau für Mitarbeiter: Entwickeln Sie bedarfsgerechte Schulungsprogramme, die auf die spezifischen Rollen und den tatsächlichen Umgang der Mitarbeiter mit KI-Systemen zugeschnitten sind. Fördern Sie das Verständnis für die Funktionsweise und die Limitationen der eingesetzten KI-Anwendungen, um Ängste abzubauen und die Akzeptanz zu erhöhen. Ziel ist die Befähigung, nicht die universelle Zertifizierung.

4. Etablierung transparenter Prozesse für generative KI: Passen Sie Ihre internen Workflows und Richtlinien an, um die Kennzeichnungspflicht für KI-generierte Inhalte sicherzustellen. Dies betrifft insbesondere Marketing- und Kommunikationsabteilungen, die Inhalte mit KI erstellen. Implementieren Sie technische Lösungen für Watermarking oder Metadaten.

5. Auditierung und Integration des Datenschutzes: Überprüfen Sie regelmäßig, wie personenbezogene Daten in KI-Systemen verarbeitet werden. Stellen Sie sicher, dass alle Datenverarbeitungen datenschutzkonform sind, inklusive der Rechtsgrundlagen, Verarbeitungszwecke und Auftragsverarbeitungsverträge. Sensible Daten sollten niemals ungesichert in externen KI-Systemen verarbeitet werden.

6. Bildung interdisziplinärer KI-Governance-Teams: KI-Compliance ist keine Aufgabe für eine einzelne Abteilung. Bilden Sie Teams aus Recht, IT, Compliance, HR und den jeweiligen Fachabteilungen, um eine ganzheitliche KI-Governance-Struktur zu etablieren, die alle relevanten Aspekte abdeckt und eine kontinuierliche Überwachung gewährleistet.

Kritische Einordnung aus Kapitel-H-Sicht

Die "Digital Omnibus Regulation on AI" verdeutlicht, dass der Gesetzgeber im Bereich KI eine pragmatische Haltung einnimmt. Die vorgenommenen Anpassungen und Fristverlängerungen sind ein Zugeständnis an die Realität der Unternehmen und eine Reaktion auf die Komplexität der Implementierung. Es handelt sich jedoch nicht um eine Abkehr von der grundlegenden Regulierungsabsicht des EU AI Act. Ganz im Gegenteil: Die Richtung ist klar und unumkehrbar, die rechtliche Landschaft für KI wird dichter und fordernder.

Für den DACH-Mittelstand bedeutet dies, die gewährte Zeit nicht ungenutzt verstreichen zu lassen. Ein reines Abwarten ist eine riskante Strategie. Stattdessen sollten Unternehmen diese Phase als strategische Chance begreifen. Wer jetzt in eine fundierte und vorausschauende KI-Governance investiert, kann Compliance-Anforderungen nicht nur erfüllen, sondern auch einen klaren Wettbewerbsvorteil erzielen. Frühzeitige Konformität schafft Vertrauen bei Kunden, Partnern und Mitarbeitern, was in einem zunehmend von KI geprägten Umfeld ein entscheidender Faktor ist.

Kapitel H betont stets, dass die Befähigung der Mitarbeiter der Schlüssel zum erfolgreichen und verantwortungsvollen KI-Einsatz ist, nicht die reine technische Implementierung. Eine hohe KI-Kompetenz in der Belegschaft reduziert nicht nur Compliance-Risiken, sondern steigert auch die Akzeptanz und die Produktivität. Es geht darum, KI als Werkzeug zu verstehen, dessen Potenzial erst durch den Menschen voll ausgeschöpft wird. Die Forderung nach digitaler Souveränität bleibt für DACH-Unternehmen zentral: Kontrollierbare KI, menschliche Aufsicht und transparente Datenverarbeitung sind nicht verhandelbar.

Fazit: Proaktives Handeln sichert Zukunft und Vertrauen

Die "Digital Omnibus Regulation on AI" ist ein weiterer Beleg dafür, dass die rechtliche Landschaft für den Einsatz von Künstlicher Intelligenz im DACH-Raum weiterhin dynamisch ist und sich kontinuierlich weiterentwickelt. Die jüngsten Anpassungen bieten einerseits pragmatische Erleichterungen durch Fristverlängerungen, verschärfen aber andererseits die Anforderungen in Bezug auf verbotene Praktiken und die Transparenz generierter Inhalte. Gleichzeitig bleibt der Datenschutz nach DSGVO und Schweizer DSG eine unverrückbare Konstante, die bei jedem KI-Einsatz sorgfältig beachtet werden muss.

Für den Leser bedeutet dies eine klare Aufforderung zum proaktiven Handeln. Die gewährten Fristen sind eine strategische Ressource. Nutzen Sie diese Zeit, um Ihre KI-Strategie sorgfältig zu planen, Ihre Prozesse anzupassen und Ihre Mitarbeiter gezielt zu befähigen. Eine gut durchdachte und kontinuierlich gepflegte KI-Governance, die technische, ethische und rechtliche Aspekte integriert, ist unerlässlich, um Compliance zu gewährleisten und gleichzeitig die Innovationskraft Ihres Unternehmens zu stärken. Wer jetzt die Weichen stellt, sichert sich nicht nur rechtlich ab, sondern schafft auch die Basis für Vertrauen, Akzeptanz und langfristigen Erfolg im Zeitalter der Künstlichen Intelligenz.

Investieren Sie in eine nachhaltige KI-Strategie, die Befähigung statt Abhängigkeit fördert. Dies wird sich in einer erhöhten Produktivität, einer gestärkten Marktposition und einem widerstandsfähigen Unternehmen auszahlen. Kapitel H steht Ihnen dabei als Partner zur Seite, um diese komplexen Herausforderungen in konkrete Chancen zu verwandeln.