EU AI Act: Ihre Pflichten ab 2. August 2026 für DACH-Unternehmen

Der EU AI Act, die weltweit erste umfassende Gesetzgebung zur Regulierung kuenstlicher Intelligenz, ist beschlossen. Waehrend einige wenige Verbote bereits seit Februar 2025 gelten, markiert der 2. August 2026 einen entscheidenden Wendepunkt. Ab diesem Datum treten zahlreiche Bestimmungen in Kraft, die den Arbeitsalltag und die Geschaeftsprozesse in allen Unternehmen des DACH-Raums direkt beeinflussen. Dies betrifft nicht allein Technologieunternehmen, die KI-Systeme entwickeln, sondern jedes Unternehmen, das KI-Anwendungen in seinen internen Prozessen oder im Kundenkontakt einsetzt. Die Auseinandersetzung mit diesen Vorschriften ist keine optionale Uebung, sondern eine Notwendigkeit, um rechtliche Risiken zu minimieren und die Vorteile von KI verantwortungsvoll zu nutzen.

Die neue Regulierung ist von weitreichender Bedeutung fuer den Mittelstand in Deutschland, Oesterreich und der Schweiz. Es geht um mehr als reine Konformitaet. Es geht darum, eine zukunftsfaehige Basis fuer den Einsatz von KI zu schaffen, die Vertrauen foerdert und Wettbewerbsvorteile sichert. Unternehmen, die jetzt die Weichen stellen, agieren nicht reaktiv, sondern gestalten aktiv ihre digitale Zukunft. Kapitel H beleuchtet die Kernpunkte, die Sie als Entscheider kennen muessen, und gibt konkrete Handlungsempfehlungen.

Transparenzpflichten ab August 2026: Kennzeichnung von KI-Inhalten

Eine der unmittelbar wirksam werdenden Neuerungen sind die umfassenden Transparenzpflichten. Ab dem 2. August 2026 muessen Unternehmen in vielen Situationen klar kenntlich machen, wenn Menschen mit einem KI-System interagieren. Dies gilt ebenso, wenn Inhalte wie Texte, Bilder, Videos oder Audiodateien mithilfe von KI erstellt oder veraendert wurden. Die Notwendigkeit der Kennzeichnung betrifft insbesondere Inhalte, die fuer die Oeffentlichkeit bestimmt sind oder von Kunden genutzt werden. Hierbei ist nicht nur eine visuelle oder akustische Kennzeichnung moeglich, sondern auch eine maschinenlesbare Kennzeichnung, beispielsweise ueber Metadaten oder digitale Wasserzeichen, um die Herkunft der Inhalte transparent zu machen.

Besonders relevant sind diese Vorgaben fuer sogenannte 'Deepfakes'. Das sind KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die so echt wirken, dass sie mit realen Personen, Orten oder Ereignissen verwechselt werden koennten. Werden solche Inhalte im Marketing, in der Werbung oder in der oeffentlichen Kommunikation eingesetzt, greifen besondere Transparenzanforderungen. Unternehmen muessen sicherstellen, dass Konsumenten und Geschaeftspartner jederzeit erkennen koennen, ob sie mit einem menschlichen Gegenueber kommunizieren oder mit einem KI-System interagieren beziehungsweise ob die konsumierten Inhalte KI-generiert sind. Die Wirtschaftskammer Oesterreich (WKoe) hat bereits fruehzeitig auf diese Neuerungen hingewiesen und die Dringlichkeit der Anpassung betont. Eine klare Kennzeichnung schafft Vertrauen und schuetzt Unternehmen vor dem Vorwurf der Irrefuehrung. Das Fehlen einer solchen Kennzeichnung kann nicht nur zu Reputationsschaeden fuehren, sondern auch rechtliche Konsequenzen nach sich ziehen, insbesondere wenn Verbraucherschutzrechte beruehrt werden.

Die Pflicht zur KI-Kompetenz: Mehr als nur Tool-Nutzung

Der EU AI Act geht ueber die reine Produktregulierung hinaus und adressiert die interne Organisation von Unternehmen. Eine bereits in Kraft getretene, aber haeufig unterschaetzte Anforderung ist die Schulungspflicht zur Sicherstellung der KI-Kompetenz der Mitarbeitenden. Der AI Act verlangt ausdruecklich, dass Anbieter und Betreiber von KI-Systemen Massnahmen ergreifen, um nach besten Kraeften zu gewaehrleisten, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, ueber ein ausreichendes Mass an KI-Kompetenz verfuegen. Dieses ausreichende Mass ist dabei im Kontext der jeweiligen technischen Kenntnisse, Erfahrungen, Ausbildung und Schulung sowie des spezifischen Einsatzkontextes der KI-Systeme zu beurteilen.

Diese Formulierung bedeutet fuer DACH-Unternehmen eine erhebliche Anforderung an das Change Management und die Personalentwicklung. Es reicht nicht aus, einfach KI-Tools einzufuehren und zu hoffen, dass die Mitarbeitenden sie intuitiv richtig anwenden. Es geht vielmehr darum, ein grundlegendes Verstaendnis fuer die Funktionsweise, die Grenzen und die potenziellen Risiken von KI-Anwendungen zu vermitteln. Fehlendes Know-how wird von 53 Prozent der Unternehmen als groesstes Hindernis bei der KI-Einfuehrung genannt. Dies ist eine besorgniserregende Zahl, die den Handlungsbedarf klar aufzeigt. Schulungen und Workshops sind essenziell, um das Bewusstsein fuer datenschutzrechtliche Implikationen, Bias in KI-Modellen und potenzielle Fehlerquellen zu schaerfen. Nur so kann die unkontrollierte Nutzung von KI-Tools durch Mitarbeitende, die sogenannte 'Schatten-KI', vermieden werden. Eine umfassende Befaehigung der Belegschaft ist der Schluessel zu einem verantwortungsvollen und effektiven Einsatz von KI, der nicht nur Compliance gewaehrleistet, sondern auch die Produktivitaet nachhaltig steigert.

Herausforderungen fuer den Mittelstand und Compliance-Anforderungen

Der DACH-Mittelstand bildet das Rueckgrat der europaeischen Wirtschaft. Fuer ihn stellen die neuen KI-Regelungen eine besondere Herausforderung dar. Grosse Konzerne verfuegen oft ueber eigene Rechtsabteilungen, umfassende IT-Ressourcen und Budgets fuer Compliance-Projekte. Kleine und mittlere Unternehmen (KMU) hingegen muessen ihre Systeme oft mit begrenzten Mitteln an internationale Standards anpassen, um global wettbewerbsfaehig und vertrauenswuerdig zu bleiben. Eine Studie von we-make.ai aus Mai 2025 offenbarte, dass lediglich rund 12 Prozent der gewerblichen Unternehmen in Deutschland KI aktiv fuer ihre Geschaeftstaetigkeit nutzen. Dies deutet auf einen erheblichen Nachholbedarf und eine verbreitete Zurueckhaltung hin.

Die Haupthuerden fuer den Mittelstand sind vielfaeltig: Unsicherheiten bezueglich der tatsaechlichen Potenziale und Kosten von KI-Loesungen, ein Mangel an internem Fachwissen und Ressourcen sowie Bedenken hinsichtlich Datenschutz und rechtlicher Rahmenbedingungen. Ein kritischer Punkt ist die Wahl der richtigen KI-Tools. Kostenlose Consumer-Versionen bekannter KI-Anwendungen verwenden haeufig die eingegebenen Daten fuer das Training ihrer Modelle. Dies kann bei der Verarbeitung sensibler Informationen wie Kundendaten, internen Strategiepapieren oder Personaldaten zu erheblichen Datenschutzproblemen fuehren und gegen die Datenschutz-Grundverordnung (DSGVO) verstossen. Unternehmen sind daher gut beraten, auf Enterprise-Lizenzen zu setzen, klare interne Datenklassifizierungen vorzunehmen oder europaeische Alternativen zu pruefen, die eine explizite DSGVO-Konformitaet garantieren. Die italienische Datenschutzbehoerde Garante verhaengte bereits im Dezember 2024 eine Geldstrafe von 15 Millionen Euro gegen OpenAI wegen mutmasslicher DSGVO-Verstoesse. Dies zeigt, dass europaeische Aufsichtsbehoerden die Einhaltung der Datenschutzbestimmungen im Kontext von KI-Anwendungen sehr ernst nehmen und auch durchsetzen. Die Investition in datenschutzkonforme Loesungen ist somit keine rein juristische Notwendigkeit, sondern eine grundlegende Voraussetzung fuer nachhaltigen Geschaeftserfolg und den Schutz der Kundenbeziehungen.

Gestaffelte Fristen und Hochrisiko-Systeme: Was kommt noch?

Waehrend die Transparenzpflichten und die Notwendigkeit zur Sicherstellung der KI-Kompetenz bereits ab dem 2. August 2026 greifen, sind die komplexeren Verpflichtungen fuer sogenannte Hochrisiko-KI-Systeme, die im Annex III des AI Act aufgelistet sind, gestaffelt. Das im Mai 2026 verabschiedete Digital Omnibus Paket hat hier fuer Klarheit gesorgt. Die Hochrisiko-Fristen fuer Systeme, die in Annex III aufgefuehrt sind, verschieben sich auf den 2. Dezember 2027. Fuer Systeme aus Annex I, die im Wesentlichen grundlegende Verbote betreffen, ist der 2. August 2028 als Stichtag festgelegt. Eine Ausnahme bildet jedoch die Watermarking-Pflicht gemaess Artikel 50 Absatz 2, die bereits am 2. Dezember 2026 in Kraft tritt. Diese verlangt die Kennzeichnung von bestimmten KI-generierten Inhalten mit digitalen Wasserzeichen.

Diese gestaffelte Einfuehrung gibt Unternehmen zwar etwas mehr Zeit, sich auf die komplexeren Anforderungen fuer risikoreiche Anwendungen einzustellen, entbindet sie jedoch nicht von der Notwendigkeit, sich bereits jetzt mit den potenziellen Auswirkungen auf ihre spezifischen Geschaeftsbereiche auseinanderzusetzen. Die Identifizierung, ob und welche der eigenen KI-Anwendungen als Hochrisiko-Systeme eingestuft werden koennten, ist eine Aufgabe, die nicht aufgeschoben werden sollte. Dazu gehoeren beispielsweise KI-Systeme in kritischen Infrastrukturen, bei der Personalauswahl oder der Kreditvergabe. Die fruehzeitige Analyse und Anpassung minimiert nicht nur zukuenftige Compliance-Risiken, sondern ermoeglicht auch eine strategische Planung des KI-Einsatzes. Es ist ein Irrglaube anzunehmen, die verschobenen Fristen wuerden eine Entspannung der Lage bedeuten. Im Gegenteil, sie erfordern eine noch fokussiertere und strategischere Vorbereitung, um die Komplexitaet der Anforderungen rechtzeitig beherrschen zu koennen.

KI-Governance im Unternehmen etablieren

Der EU AI Act erzwingt eine neue, praezise Ebene der Governance fuer den Einsatz von KI. Ein belastbarer KI-Einsatz beginnt nicht erst mit der technischen Implementierung eines Systems, sondern bereits mit der klaren Zuweisung von Verantwortlichkeiten und der Definition von Prozessen. Unternehmen benoetigen eine fachliche Verantwortung fuer jeden spezifischen Use Case, die sicherstellt, dass die KI im beabsichtigten Kontext korrekt und ethisch eingesetzt wird. Parallel dazu ist eine technische Verantwortung fuer die Integration, den sicheren Betrieb und die Wartung der KI-Systeme unerlaesslich. Nicht zuletzt muss eine juristisch-datenschutzrechtliche Bewertung der KI-Anwendungen erfolgen, um die Einhaltung aller relevanten Vorschriften, insbesondere der DSGVO und des AI Act, zu gewaehrleisten.

Fuer Hochrisiko-Systeme verlangt der AI Act zusaetzlich spezifische Massnahmen, darunter eine menschliche Aufsicht, die technische Dokumentation der Systeme und eine detaillierte Protokollierung der Betriebsdaten. Diese Anforderungen sind nicht als zusaetzliche Buerokratie zu verstehen, sondern als ein notwendiges Ordnungsprinzip. Sie dienen dazu, die Kontrolle ueber KI-Anwendungen zu behalten, Transparenz zu schaffen und das Vertrauen von Mitarbeitenden, Kunden und Aufsichtsbehoerden aufzubauen. Eine klare Governance-Struktur ermoeglicht es Unternehmen, die Komplexitaet von KI zu managen, Risiken systematisch zu identifizieren und zu mindern sowie die Chancen von KI voll auszuschoepfen. Dies umfasst die Etablierung von Richtlinien fuer den internen KI-Gebrauch, die regelmaessige Ueberpruefung von KI-Systemen und die Schaffung interner Expertengruppen, die den gesamten Lebenszyklus von KI-Anwendungen begleiten. Letztlich geht es darum, eine Kultur der verantwortungsvollen KI-Nutzung zu etablieren, die sowohl Innovation als auch Sicherheit foerdert.

Praktische Handlungsempfehlungen fuer Unternehmen

Um den Anforderungen des EU AI Act gerecht zu werden und die Chancen von KI optimal zu nutzen, empfehlen wir DACH-Unternehmen die folgenden konkreten Schritte:

1. Bestandsaufnahme und Risikobewertung: Identifizieren Sie alle in Ihrem Unternehmen bereits eingesetzten oder geplanten KI-Systeme. Bewerten Sie, ob diese als Hochrisiko-Systeme eingestuft werden koennten und welche neuen Transparenzpflichten sie betreffen. 2. Mitarbeiterbefaehigung und Schulungen: Investieren Sie proaktiv in die KI-Kompetenz Ihrer Belegschaft. Entwickeln Sie massgeschneiderte Schulungsprogramme, die das Verstaendnis fuer KI-Funktionsweisen, rechtliche Rahmenbedingungen und ethische Aspekte foerdern. Sensibilisieren Sie fuer Datenschutzrisiken und die Vermeidung von 'Schatten-KI'. 3. Transparenzstrategie entwickeln: Legen Sie fest, wie KI-generierte Inhalte und Interaktionen ab August 2026 gekennzeichnet werden sollen. Pruefen Sie technische Moeglichkeiten wie Metadaten oder digitale Wasserzeichen und integrieren Sie diese in Ihre Kommunikations- und Marketingprozesse. 4. KI-Governance etablieren: Definieren Sie klare Verantwortlichkeiten fuer den Einsatz von KI in Ihrem Unternehmen. Benennen Sie fachliche, technische und juristische Ansprechpartner und etablieren Sie Prozesse fuer die Dokumentation, Ueberwachung und Bewertung von KI-Systemen. 5. Rechtliche Pruefung der KI-Tools: Ueberpruefen Sie die Lizenzmodelle und Nutzungsbedingungen Ihrer KI-Tools. Priorisieren Sie Enterprise-Loesungen mit klaren Datenschutzgarantien und DSGVO-Konformitaet, insbesondere bei der Verarbeitung sensibler Daten. Ziehen Sie gegebenenfalls europaeische Anbieter in Betracht. 6. Kontinuierliche Anpassung: Der EU AI Act ist ein lebendiges Gesetz. Bleiben Sie ueber weitere Entwicklungen und Konkretisierungen informiert und passen Sie Ihre internen Prozesse kontinuierlich an. Eine agile Herangehensweise ist hier von Vorteil.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist keine Innovationsbremse, sondern ein Rahmenwerk fuer verantwortungsvolle Innovation. Aus unserer Sicht bei Kapitel H ist es entscheidend, die Regulierung als Chance zu begreifen, nicht als blosse Buerde. Der Hype um KI verstellt oft den Blick auf die realen Herausforderungen und Risiken. Der Gesetzgeber zwingt Unternehmen nun, sich pragmatisch und konkret mit den Implikationen des KI-Einsatzes auseinanderzusetzen. Das ist gut und notwendig.

Viele Unternehmen im DACH-Raum zaegern noch bei der umfassenden Einfuehrung von KI. Eine verbreitete Angst ist die Abhaengigkeit von grossen Technologieanbietern. Der AI Act foerdert durch seine Transparenz- und Governance-Anforderungen jedoch die Befaehigung der Unternehmen, die Kontrolle ueber ihre KI-Systeme zu behalten. Es geht darum, eigene Kompetenzen aufzubauen und nicht blind Loesungen von der Stange zu uebernehmen, deren Funktionsweise oder Datenverarbeitung intransparent ist. Die Konzentration auf die Befaehigung der eigenen Mitarbeiter und die Schaffung klarer interner Strukturen ist der beste Weg, um von den Potenzialen der KI zu profitieren, ohne dabei ethische oder rechtliche Standards zu kompromittieren. Eine datenbasierte und kritische Herangehensweise ist hier der Schluessel zum Erfolg.

Fazit: Jetzt handeln, um die Zukunft zu gestalten

Das Inkrafttreten zentraler Bestimmungen des EU AI Act ab dem 2. August 2026 ist eine Entwicklung, die alle DACH-Unternehmen unmittelbar betrifft. Die neuen Transparenzpflichten und die Verpflichtung zur Sicherstellung der KI-Kompetenz der Mitarbeitenden sind keine optionalen Empfehlungen, sondern verbindliche Vorgaben. Unternehmen, die jetzt proaktiv handeln, eine klare KI-Strategie entwickeln und einen Fokus auf Compliance, Datenschutz sowie Mitarbeiterbefaehigung legen, koennen die Potenziale von KI verantwortungsvoll nutzen und langfristige Wettbewerbsvorteile sichern. Die gestaffelte Einfuehrung fuer Hochrisiko-KI-Systeme bietet eine gewisse Atempause, entbindet jedoch nicht von der Notwendigkeit einer umfassenden Auseinandersetzung mit den Regelungen. Die Transformation, die der EU AI Act anstoesst, betrifft nicht nur die Technologieentwicklung, sondern vor allem die Organisation und Prozesse in der gesamten Arbeitswelt. Es ist Zeit, diese Veraenderung aktiv mitzugestalten und sich nicht von ihr ueberrollen zu lassen.