EU AI Act: Was DACH-Unternehmen jetzt wissen und tun müssen

Der EU AI Act ist keine theoretische Diskussion mehr, sondern eine unmittelbar relevante Gesetzgebung. Seit dem 2. August 2026 sind spezifische Transparenzpflichten wirksam, die Unternehmen im deutschsprachigen Raum, also im DACH-Gebiet, direkt betreffen. Diese wegweisende Regulierung der Europäischen Union soll einen Rahmen für vertrauenswürdige Künstliche Intelligenz schaffen. Während die umfassendsten Anforderungen für Hochrisiko-KI-Systeme erst in den kommenden Jahren greifen werden, ist die Dringlichkeit der Auseinandersetzung für Anbieter und Betreiber von KI-Systemen bereits jetzt erheblich. Eine proaktive Beschäftigung mit dem AI Act ist entscheidend, um rechtliche Risiken zu minimieren, die Wettbewerbsfähigkeit zu erhalten und ein stabiles Fundament für zukünftige KI-Anwendungen zu legen. Das Ignorieren dieser Entwicklungen kann nicht nur zu empfindlichen Sanktionen führen, sondern auch das Vertrauen von Kunden und Partnern untergraben.

Der EU AI Act: Was seit August 2026 gilt

Der EU AI Act basiert auf einem differenzierten, risikobasierten Ansatz. Das bedeutet, die Anforderungen an ein KI-System variieren je nach seinem potenziellen Risiko für die Gesundheit, die Sicherheit und die Grundrechte von Individuen. Seit dem 2. August 2026 sind erste konkrete Pflichten in Kraft getreten. Diese konzentrieren sich vor allem auf zusätzliche Transparenzpflichten. Unternehmen sind seit diesem Datum verpflichtet, in spezifischen Kontexten eindeutig kenntlich zu machen, wenn Inhalte mithilfe Künstlicher Intelligenz erstellt oder massgeblich verändert wurden. Beispiele hierfür sind interaktive KI-Systeme, die im Kundenservice mit Menschen kommunizieren, sowie sogenannte Deepfakes, also synthetisch erstellte oder manipulierte Medieninhalte, die realitätsnah erscheinen. Es ist wichtig zu betonen, dass dies keine pauschale Kennzeichnungspflicht für alle mittels KI generierten Texte darstellt, sondern sich auf Anwendungsfälle fokussiert, bei denen eine Täuschung des Nutzers möglich wäre. Als Beispiel hat OpenAI im Oktober 2026 damit begonnen, spezielle EU-Wasserzeichen für ChatGPT-Texte einzuführen, um diesen Anforderungen gerecht zu werden. Dies verdeutlicht die Notwendigkeit für andere Anbieter und Betreiber, ähnliche Mechanismen zu implementieren.

Bereits vor diesen Transparenzpflichten, konkret seit dem 2. Februar 2025, sind die meisten der im AI Act festgelegten Verbote in Kraft getreten. Diese richten sich gegen KI-Praktiken, die ein unannehmbares Risiko für die Sicherheit, die Grundrechte oder die europäischen Werte darstellen. Dazu gehören beispielsweise Systeme zur sozialen Bewertung von Personen (Social Scoring) oder KI-Systeme, die manipulative Techniken nutzen, um das Verhalten von Personen zu beeinflussen und dadurch physischen oder psychischen Schaden zu verursachen. Ebenfalls seit diesem Datum gilt die Pflicht zur Unterstützung der KI-Kompetenz im Unternehmen. Firmen sind demnach angehalten, das Wissen und Verständnis ihrer Mitarbeitenden im Umgang mit KI-Systemen zu fördern. Es geht darum, die Belegschaft zu befähigen, KI-Tools verantwortungsvoll und effektiv zu nutzen. Zwei später ergänzte Verbote werden ab dem 2. Dezember 2026 greifen und noch spezifischere, als besonders schädlich eingestufte Praktiken untersagen.

Die weitreichendsten Pflichten des AI Acts, insbesondere die zentralen Anforderungen an Hochrisiko-KI-Systeme gemäss Anhang III der Verordnung, treten grundsätzlich erst ab dem 2. Dezember 2027 in Kraft. Für KI-Systeme, die in bereits regulierten Produkten wie Medizingeräten oder Maschinen eingesetzt werden und unter Anhang I fallen, greifen die Bestimmungen sogar erst ab dem 2. August 2028. Diese gestaffelten Übergangsfristen sind dazu gedacht, Unternehmen ausreichend Zeit für die Anpassung zu geben. Sie dürfen jedoch keinesfalls als Einladung zur Untätigkeit missverstanden werden. Vielmehr ist eine vorausschauende Planung und die schrittweise Anpassung interner Prozesse unerlässlich, um die Compliance bis zum jeweiligen Stichtag sicherzustellen. Wer jetzt abwartet, riskiert nicht nur rechtliche Probleme, sondern auch erhebliche Wettbewerbsnachteile.

Wer ist betroffen: Anbieter und Betreiber im Fokus

Der EU AI Act unterscheidet klar zwischen zwei primären Akteuren: "Anbietern" und "Betreibern" von KI-Systemen. Das genaue Verständnis dieser Rollen ist grundlegend, um die eigenen Pflichten korrekt einzuordnen und zu erfüllen.

Anbieter sind definiert als natürliche oder juristische Personen, öffentliche Stellen, Agenturen oder sonstige Einrichtungen, die ein KI-System entwickeln oder entwickeln lassen und es unter ihrem Namen oder ihrer Marke auf dem EU-Markt in Verkehr bringen oder in Betrieb nehmen. Für Anbieter gelten die umfangreichsten Pflichten. Dies umfasst beispielsweise die Einhaltung strenger Qualitätsmanagementsysteme, die Erstellung umfassender technischer Dokumentationen, die Durchführung von Konformitätsbewertungsverfahren und die Sicherstellung einer menschenzentrierten Aufsicht über Hochrisiko-KI-Systeme. Ein DACH-Unternehmen, das beispielsweise eine eigene KI-gestützte Software zur Optimierung von Produktionsabläufen entwickelt und diese auch extern anbietet, fällt in die Kategorie des Anbieters. Gleiches gilt für Start-ups, die innovative KI-Lösungen entwickeln und kommerzialisieren.

Betreiber hingegen sind natürliche oder juristische Personen, öffentliche Stellen, Agenturen oder sonstige Einrichtungen, die ein KI-System unter eigener Verantwortung im beruflichen Kontext nutzen. Dies bedeutet, sie setzen ein bereits auf dem Markt befindliches KI-System ein, um bestimmte Aufgaben oder Prozesse innerhalb ihres Unternehmens zu unterstützen. Die Pflichten für Betreiber sind weniger umfassend als für Anbieter, aber dennoch signifikant. Sie umfassen beispielsweise die Einhaltung der Nutzungsanweisungen des Anbieters, die Überwachung der menschlichen Aufsicht, die Sicherstellung der Datensicherheit und die Einhaltung der Transparenzpflichten. Ein typisches DACH-Mittelstandsunternehmen, das einen extern entwickelten KI-Chatbot für den Kundenservice einsetzt, eine Standardsoftware mit integrierter KI zur Finanzanalyse nutzt oder eine cloudbasierte KI-Lösung zur Prozessautomatisierung implementiert, agiert in der Rolle des Betreibers.

Eine besondere Herausforderung besteht darin, dass ein und dasselbe Unternehmen je nach Kontext sowohl als Anbieter als auch als Betreiber agieren kann. Entwickelt ein Unternehmen beispielsweise intern eine KI-Lösung für die interne Personalverwaltung und setzt diese selbst ein, ist es in dieser Konstellation sowohl Anbieter als auch Betreiber des Systems. Eine genaue Analyse der eigenen Wertschöpfungskette und der eingesetzten sowie entwickelten KI-Systeme ist daher unerlässlich, um die zutreffende Rolle und die damit verbundenen Pflichten zu identifizieren. Fehlinterpretationen können erhebliche rechtliche Konsequenzen nach sich ziehen, da die Bussgelder für Verstösse gegen den AI Act beträchtlich sein können.

Konkrete Schritte: Ihre To-Do-Liste für den AI Act

Für Unternehmen im DACH-Raum ist die Umsetzung des EU AI Acts keine rein juristische oder technische Aufgabe, sondern erfordert eine umfassende strategische und organisatorische Neuausrichtung. Die folgenden Schritte sind entscheidend, um die Weichen für eine rechtskonforme und zukunftsfähige KI-Nutzung zu stellen:

1. Risikoklassifizierung der KI-Systeme durchführen: Der erste und wichtigste Schritt ist die systematische Erfassung und Einordnung aller im Unternehmen eingesetzten oder geplanten KI-Systeme. Der AI Act unterscheidet vier Risikokategorien: * Unannehmbares Risiko: Diese Systeme sind grundsätzlich verboten, beispielsweise Social Scoring. Unternehmen müssen sicherstellen, dass sie solche Systeme weder entwickeln noch einsetzen. * Hohes Risiko: Hierunter fallen KI-Systeme, die in kritischen Bereichen wie Gesundheit, Bildung, Personalwesen, Rechtsdurchsetzung oder Migrationsmanagement eingesetzt werden und erhebliche Risiken für Grundrechte und Sicherheit bergen können. Beispiele sind KI-Systeme zur Bewerberauswahl oder Kreditwürdigkeitsprüfung. Für diese Systeme gelten die strengsten Auflagen, die ab Dezember 2027 schrittweise in Kraft treten. Eine frühzeitige Identifikation ist entscheidend für die Planbarkeit. * Begrenztes Risiko: Systeme in dieser Kategorie erfordern primär Transparenzpflichten, wie die Kennzeichnung von KI-generierten Inhalten. * Minimales Risiko: Die meisten KI-Systeme fallen in diese Kategorie, etwa Spamfilter oder einfache Empfehlungssysteme. Hier gibt es keine spezifischen Pflichten, jedoch sind Best Practices für Ethik und Sicherheit ratsam. Die Klassifizierung bildet die Grundlage für alle weiteren Massnahmen und hilft, Ressourcen gezielt einzusetzen.

2. Transparenzpflichten unmittelbar umsetzen: Seit dem 2. August 2026 sind Unternehmen verpflichtet, Transparenz bei KI-generierten Inhalten zu schaffen. Dies erfordert die Implementierung von Mechanismen zur klaren Kennzeichnung, wenn ein KI-System mit Menschen interagiert, zum Beispiel Chatbots im Kundenservice, oder wenn Inhalte wie Bilder, Videos oder Audio mittels KI generiert oder tiefgreifend verändert wurden, sogenannte Deepfakes. Unternehmen müssen interne Richtlinien erstellen, welche festlegen, wann und wie solche Inhalte zu kennzeichnen sind. Schulungen der Mitarbeitenden, die KI-Tools nutzen, sind hierbei unerlässlich, um eine einheitliche und rechtskonforme Praxis zu gewährleisten. Werden externe KI-Dienste genutzt, muss geprüft werden, ob diese bereits eigene Kennzeichnungsmechanismen implementiert haben, wie es OpenAI mit seinen Wasserzeichen für ChatGPT getan hat.

3. Datenschutz und Datensicherheit priorisieren: Unabhängig von den Übergangsfristen des AI Acts müssen Datenschutz, Geheimnisschutz und Arbeitsrecht schon heute umfassend beachtet werden. Die Datenschutz-Grundverordnung (DSGVO) bleibt die zentrale Rechtsgrundlage beim Einsatz von KI, insbesondere wenn personenbezogene Daten verarbeitet werden. Für viele KI-Anwendungen, die systematisch mit personenbezogenen Daten von Kunden, Mitarbeitenden oder anderen Personen gefüttert werden, ist eine Datenschutz-Folgenabschätzung (DSFA) fast immer zwingend. Diese Analyse hilft, Risiken für die Rechte und Freiheiten natürlicher Personen zu identifizieren und geeignete Schutzmassnahmen zu definieren. Besondere Vorsicht ist bei der Nutzung kostenloser KI-Dienste geboten, da deren Anbieter oft die Eingaben der Nutzer für das Modelltraining verwenden, was zu unerwünschten Datenabflüssen und dem Verlust von Geschäftsgeheimnissen führen kann. Kapitel H rät dringend davon ab, geschäftskritische oder personenbezogene Daten in solchen ungesicherten Umgebungen zu verarbeiten.

4. KI-Governance etablieren: Eine robuste KI-Governance ist das Fundament für einen verantwortungsvollen und rechtskonformen Einsatz von KI. Sie sollte die Definition von Rollen und Verantwortlichkeiten für den gesamten Lebenszyklus eines KI-Systems umfassen, von der Entwicklung über den Einsatz bis zur Ausserbetriebnahme. Dies beinhaltet die Benennung eines KI-Verantwortlichen oder eines Governance-Boards, die Festlegung interner Richtlinien für den KI-Einsatz, die Implementierung von Risikobewertungsverfahren und die Etablierung von Kontrollmechanismen. Eine gut durchdachte Governance-Struktur ermöglicht es Unternehmen, Risiken proaktiv zu managen, die Rechenschaftspflicht zu gewährleisten und die Akzeptanz von KI-Lösungen innerhalb des Unternehmens zu fördern. Es geht darum, Transparenz und Nachvollziehbarkeit sicherzustellen.

5. Technische Dokumentation vorbereiten: Für alle als Hochrisiko eingestuften KI-Systeme müssen Anbieter vor dem Inverkehrbringen oder der Inbetriebnahme eine detaillierte technische Dokumentation erstellen. Diese Dokumentation muss die Erfüllung aller Anforderungen des AI Acts belegen und den zuständigen Behörden eine Überprüfung der Konformität ermöglichen. Sie umfasst Informationen über den Aufbau des Systems, die Trainingsdaten, die Leistungsmerkmale, die Risikobewertung und die menschliche Aufsicht. Obwohl diese Pflicht erst ab Dezember 2027 greift, ist es ratsam, bereits jetzt mit der systematischen Erfassung und Dokumentation relevanter Informationen zu beginnen. Dies vermeidet einen erheblichen Aufwand kurz vor der Deadline und ermöglicht einen iterativen Verbesserungsprozess.

6. KI-Kompetenz und Change Management fördern: Der Erfolg des KI-Einsatzes hängt massgeblich vom Verständnis und der Akzeptanz der Mitarbeitenden ab. Der AI Act fordert explizit die Förderung des KI-Verständnisses. Unternehmen sollten daher interne Schulungen und Workshops anbieten, um ihre Belegschaft für die Chancen und Risiken der KI zu sensibilisieren und den verantwortungsvollen Umgang mit KI-Tools zu schulen. Die Erstellung klarer Richtlinien für den KI-Einsatz ist dabei ebenso wichtig wie die Schaffung einer Kultur, die offene Diskussionen über die Auswirkungen von KI ermöglicht. Studien zeigen, dass der Erfolg von KI-Einführungen im Mittelstand oft an fehlendem Verständnis für die internen Prozesse und an einer oberflächlichen Nutzung scheitert. Eine gezielte Befähigung der Mitarbeitenden ist daher nicht nur eine Compliance-Aufgabe, sondern ein entscheidender Faktor für den Return on Investment.

7. Sektorspezifische Anwendungen prüfen: Auch wenn die strengsten Auflagen für Hochrisiko-KI-Systeme erst 2027 greifen, sollten KI-Anwendungen in besonders sensiblen Sektoren wie dem Personalwesen, beispielsweise KI-gestützte Bewerberauswahl oder Leistungsbeurteilung, oder im Finanzsektor, zum Beispiel KI im Controlling oder für Risikobewertungen, schon heute unter strenger Berücksichtigung von Datenschutz, Diskriminierungsschutz und ethischen Grundsätzen betrachtet werden. Diese Bereiche bergen bereits jetzt erhebliche rechtliche und reputationelle Risiken, die über die reinen AI Act-Pflichten hinausgehen. Unternehmen sollten hier proaktiv Seminare und Workshops zur sicheren Implementierung nutzen, um strategische Vorteile zu erzielen und gleichzeitig Compliance zu gewährleisten.

Kritische Einordnung: Zwischen Anspruch und Realität

Der EU AI Act ist zweifellos ein Meilenstein in der Regulierung von Künstlicher Intelligenz. Die Europäische Union hat den Anspruch, mit diesem weltweit einzigartigen Regelwerk einen Standard für vertrauenswürdige und menschenzentrierte KI zu setzen. Das Ziel ist es, Innovation zu fördern und gleichzeitig Grundrechte zu schützen. Diese Ambition ist lobenswert und für den DACH-Raum, der stark vom Mittelstand und einer hohen Innovationskraft geprägt ist, von grosser Bedeutung.

Allerdings gibt es auch berechtigte Kritikpunkte und Herausforderungen, die nicht ignoriert werden dürfen. Die längeren Übergangsfristen, insbesondere für Hochrisiko-KI-Systeme, können als eine Aufweichung der ursprünglichen Absichten interpretiert werden. Während sie Unternehmen mehr Zeit zur Anpassung geben sollen, besteht das Risiko, dass die Dringlichkeit der Umsetzung unterschätzt wird oder dass sich der technologische Fortschritt schneller entwickelt als die regulatorische Anpassung. Aus Sicht von Kapitel H ist dies eine zweischneidige Entwicklung. Einerseits erlaubt es eine sorgfältigere Planung, andererseits kann es dazu führen, dass Unternehmen die Thematik auf die lange Bank schieben und dann unter grossem Zeitdruck agieren müssen.

Ein weiterer Punkt ist die teils noch unklare Ausgestaltung von Richtlinien, wie etwa die genaue Umsetzung der Transparenzpflichten. Obwohl das Gesetz in Kraft ist, benötigen Unternehmen verständliche, eindeutig abgrenzbare und anwendungsfreundliche Vorgaben, um die neuen Pflichten praxistauglich umsetzen zu können. Derzeit müssen viele Details noch durch nationale Behörden oder Auslegungshilfen geklärt werden, was eine gewisse Rechtsunsicherheit mit sich bringt. Kapitel H rät Unternehmen, sich nicht auf das Abwarten klarer Präzedenzfälle zu verlassen, sondern im Rahmen der vorhandenen Informationen die bestmögliche Compliance anzustreben. Eine proaktive Haltung und die Etablierung interner Expertise sind hier vorteilhafter als eine reaktive Anpassung unter Zeitdruck.

Trotz dieser Punkte bleibt der AI Act eine Chance für den DACH-Mittelstand. Wer die Anforderungen frühzeitig und systematisch angeht, kann sich einen klaren Wettbewerbsvorteil sichern. Das Vertrauen in KI-Systeme wird durch Transparenz und Sicherheit gestärkt, was wiederum die Akzeptanz bei Kunden und Mitarbeitenden fördert. Unternehmen, die eine robuste KI-Governance etablieren und ihre Prozesse anpassen, positionieren sich als Vorreiter in einer sich rasant entwickelnden Technologielandschaft. Die Kosten der Compliance sollten dabei nicht als reine Belastung, sondern als Investition in die Zukunftsfähigkeit des Unternehmens verstanden werden.

Fazit: Frühzeitige Anpassung sichert Ihren Wettbewerbsvorteil

Der EU AI Act ist mehr als eine weitere Regulierung. Er ist ein strategischer Rahmen für den verantwortungsvollen Umgang mit Künstlicher Intelligenz in Europa. Für Unternehmen im DACH-Raum bedeutet dies, die aktuellen Pflichten, insbesondere die Transparenzforderungen seit August 2026, ernst zu nehmen und die kommenden Anforderungen strategisch zu antizipieren. Wer jetzt handelt, profitiert mehrfach:

Erstens minimieren Sie rechtliche und finanzielle Risiken. Die Nichteinhaltung des AI Acts kann zu erheblichen Bussgeldern führen, die den finanziellen Rahmen eines Unternehmens schnell sprengen können.

Zweitens stärken Sie das Vertrauen Ihrer Kunden, Geschäftspartner und Mitarbeitenden. Eine transparente und ethische Nutzung von KI-Systemen schafft Glaubwürdigkeit und fördert die Akzeptanz innovativer Technologien. In einer Zeit, in der das Vertrauen in digitale Technologien immer wichtiger wird, ist dies ein unschätzbarer Vorteil.

Drittens sichern Sie sich einen Wettbewerbsvorteil. Unternehmen, die frühzeitig eine effektive KI-Governance etablieren und ihre Mitarbeiter schulen, sind besser positioniert, um die Potenziale von KI voll auszuschöpfen. Sie können Innovationen schneller und sicherer implementieren und sich damit von Mitbewerbern abheben.

Kapitel H empfiehlt dem Mittelstand, den EU AI Act nicht als Bürde, sondern als strategische Chance zu begreifen. Beginnen Sie mit der Risikoklassifizierung Ihrer KI-Systeme, implementieren Sie die notwendigen Transparenzmassnahmen und investieren Sie in die KI-Kompetenz Ihrer Belegschaft. Eine durchdachte und proaktive Anpassung wird sich langfristig auszahlen und Ihr Unternehmen zukunftssicher machen.