EU AI Act: Pragmatische Vorbereitung für DACH-Unternehmen bis August 2026

Der EU Artificial Intelligence Act, kurz EU AI Act, ist keine ferne regulatorische Vision mehr. Seit dem 1. August 2024 ist er in Kraft und seine Bestimmungen werden schrittweise anwendbar. Insbesondere rückt der 2. August 2026 als kritischer Stichtag für Unternehmen in den Fokus, da ab diesem Datum zentrale Pflichten für Hochrisiko-KI-Systeme verpflichtend werden. Für den Mittelstand im DACH-Raum bedeutet dies, dass die Entwicklung, der Einsatz und der Betrieb von KI-Systemen bereits heute strategisch neu bewertet werden müssen. Es geht nicht nur darum, Bußgelder zu vermeiden, sondern vielmehr darum, die Chancen einer verantwortungsvollen KI-Nutzung zu erkennen und umzusetzen. Kapitel H beleuchtet die konkreten Auswirkungen dieser Verordnung und liefert handfeste Empfehlungen für eine erfolgreiche Umsetzung.

Der EU AI Act: Was er ist und warum er DACH betrifft

Der EU AI Act etabliert einen risikobasierten Ansatz zur Regulierung von Künstlicher Intelligenz. Sein übergeordnetes Ziel ist es, vertrauenswürdige KI und verantwortungsvolle KI-Innovationen innerhalb Europas zu fördern. Für Unternehmen in Deutschland und Österreich bedeutet dies eine Ergänzung der bereits etablierten Datenschutz-Grundverordnung (DSGVO). Schweizer Unternehmen stehen vor einer zusätzlichen Komplexität: Der EU AI Act hat eine extraterritoriale Wirkung. Das heisst, er betrifft auch Schweizer Firmen, die KI-Systeme entwickeln oder nutzen, welche im EU-Binnenmarkt in Verkehr gebracht oder eingesetzt werden. Gleichzeitig müssen sie die Anforderungen des revidierten Schweizer Datenschutzgesetzes (revDSG), das seit dem 1. September 2023 in Kraft ist, einhalten. Es ist also kein Entweder-oder, sondern ein Sowohl-als-auch.

Die Verordnung klassifiziert KI-Systeme in vier Risikostufen: verbotene KI, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Systeme, die als „verboten“ eingestuft werden, sind beispielsweise solche, die Social Scoring oder Subliminaltechniken einsetzen. Die größte Relevanz für den Großteil der Unternehmen hat die Kategorie der Hochrisiko-KI-Systeme. Hierzu zählen beispielsweise KI-Anwendungen in der Personalgewinnung, in kritischen Infrastrukturbereichen, bei Kreditwürdigkeitsprüfungen oder in der Verwaltung und Justiz. Wenn Ihr Unternehmen in diesen Feldern KI einsetzt oder plant, dies zu tun, sind die umfassendsten Pflichten, die ab August 2026 in Kraft treten, direkt für Sie relevant. Es ist daher unerlässlich, jetzt zu prüfen, welche Ihrer KI-Anwendungen in diese Kategorie fallen.

Konkrete Anforderungen an Hochrisiko-KI-Systeme

Ab dem 2. August 2026 müssen Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder nutzen, eine Reihe strenger Anforderungen erfüllen. Diese betreffen den gesamten Lebenszyklus eines KI-Systems und erfordern eine umfassende Anpassung von Prozessen und Infrastruktur:

* Konformitätsbewertung und Risikomanagement: Jeder Anbieter und Betreiber muss vor dem Inverkehrbringen oder der Inbetriebnahme eine gründliche Konformitätsbewertung durchführen. Parallel dazu ist ein robustes Risikomanagement-System zu implementieren. Dies umfasst die kontinuierliche Identifizierung, Analyse und Bewertung potenzieller Risiken über den gesamten Lebenszyklus des KI-Systems. Das Management muss dabei nicht nur technische Risiken, sondern auch soziale und ethische Aspekte berücksichtigen, um Diskriminierung und Voreingenommenheit zu vermeiden.

* Datenqualität: Eine der kritischsten Säulen für die Konformität ist die Sicherstellung hoher Datenqualität. KI-Systeme, insbesondere solche mit hohem Risiko, müssen mit Trainings-, Validierungs- und Testdaten entwickelt werden, die relevant, repräsentativ, fehlerfrei und vollständig sind. Mangelhafte Daten können zu voreingenommenen Ergebnissen, sogenanntem KI-Bias, führen. Studien zeigen, dass schlechte Datenqualität Unternehmen im Durchschnitt 12,9 Millionen US-Dollar pro Jahr kosten kann. Dies unterstreicht, dass Datenqualität nicht nur eine regulatorische, sondern auch eine direkte wirtschaftliche Notwendigkeit ist.

* Transparenz und Erklärbarkeit: Hochrisiko-KI-Systeme müssen so konzipiert sein, dass ihre Funktionsweise, die zugrunde liegenden Daten und die getroffenen Entscheidungen für Nutzer transparent und nachvollziehbar sind. Dies beinhaltet umfassende Informations- und Auskunftspflichten gegenüber den Betroffenen. Ferner muss die Möglichkeit bestehen, automatisierte Einzelentscheidungen anzufechten und eine menschliche Überprüfung einzufordern. Für komplexe Machine-Learning-Modelle stellt dies eine erhebliche technische und konzeptionelle Herausforderung dar, die frühzeitig angegangen werden muss.

* Menschliche Aufsicht: Der AI Act schreibt vor, dass Hochrisiko-KI-Systeme einer effektiven menschlichen Aufsicht unterliegen müssen. Ziel ist es, sicherzustellen, dass Menschen die Fähigkeit haben, die Ausgaben der Systeme zu interpretieren, in den Entscheidungsprozess einzugreifen und Fehlfunktionen oder unerwünschte Ergebnisse zu korrigieren. Dies erfordert klare Protokolle für Intervention und menschliche Entscheidungsfindung, selbst wenn ein KI-System Empfehlungen abgibt.

* Cybersicherheit: KI-Systeme müssen robust gegen böswillige Angriffe sein und die Vertraulichkeit, Integrität und Verfügbarkeit von Daten gewährleisten. Die zunehmende Nutzung von KI-Technologien erhöht generell die Angriffsflächen und damit die Sicherheitsrisiken. Unternehmen müssen daher ihre Data Governance und ihre Cybersicherheitsstrategien entsprechend anpassen, um KI-spezifische Bedrohungen adäquat abwehren zu können.

* Dokumentation und Aufzeichnung: Eine umfassende technische Dokumentation und die Führung von Logfiles sind obligatorisch. Diese müssen die Konformität mit allen Anforderungen des AI Act belegen und für Audits sowie im Falle von Regelverstößen bereitgestellt werden können. Eine lückenlose Dokumentation ist entscheidend, um die Nachweisbarkeit der Compliance sicherzustellen und im Falle einer Prüfung nicht in Beweisnot zu geraten.

Das Zusammenspiel von EU AI Act und nationalen Datenschutzgesetzen

Für DACH-Unternehmen ist die rechtliche Gemengelage komplex. In Deutschland und Österreich ergänzt der EU AI Act die bestehenden Vorgaben der DSGVO. Viele der im AI Act geforderten Prinzipien, wie Datenminimierung, Zweckbindung und Transparenz, finden sich bereits in der DSGVO. Die Herausforderung besteht hier in der präzisen Verknüpfung beider Regelwerke, um keine Redundanzen zu schaffen und alle Pflichten vollumfänglich zu erfüllen.

Die Situation für Schweizer Unternehmen ist noch differenzierter. Obwohl die Schweiz kein Mitglied der EU ist, hat der AI Act wie erwähnt eine extraterritoriale Wirkung. Das bedeutet, dass Schweizer Unternehmen, die ihre KI-Produkte oder -Dienstleistungen in der EU anbieten oder KI-Systeme nutzen, die Daten von EU-Bürgern verarbeiten, sich den Vorgaben des AI Act unterwerfen müssen. Gleichzeitig ist das revidierte Schweizer Datenschutzgesetz (revDSG) seit dem 1. September 2023 in Kraft. Das revDSG ist technologieneutral formuliert und gilt direkt für jede KI-gestützte Datenbearbeitung. Es gibt in der Schweiz (noch) kein spezifisches KI-Gesetz, aber das bestehende Datenschutzgesetz ist vollumfänglich anwendbar. Instrumente des revDSG wie die Regelungen zu automatisierten Einzelentscheidungen, Privacy by Design und Privacy by Default sowie die Regeln für Profiling und biometrische Daten sind somit auch auf KI-Anwendungen zu übertragen. Die Schweiz hat zudem im März 2025 die Konvention des Europarats über Künstliche Intelligenz unterzeichnet und plant Anpassungen im Schweizer Recht bis Ende 2026. Dies deutet auf eine weitere Angleichung der Regularien hin. Die Kernaufgabe für Unternehmen besteht darin, die unterschiedlichen, oft überlappenden, aber nicht identischen Anforderungen von AI Act und nationalen Datenschutzgesetzen zu identifizieren und in einer kohärenten Compliance-Strategie zu bündeln.

Risiken der Nichteinhaltung und der Vorteil der Compliance

Die Nichteinhaltung des EU AI Act kann weitreichende und drastische Folgen haben. Unternehmen riskieren Bußgelder, die im Falle von Verstößen gegen die verbotenen KI-Praktiken oder mangelhafte Daten-Governance bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist. Diese Strafen sind vergleichbar mit denen der DSGVO und können die Existenz eines mittelständischen Unternehmens bedrohen. Darüber hinaus droht der Ausschluss aus öffentlichen Ausschreibungen in der EU, was für viele Unternehmen einen erheblichen Marktverlust bedeuten kann. Auch ein Reputationsschaden bei Kunden und Geschäftspartnern ist zu erwarten, wenn ein Unternehmen als nicht konform wahrgenommen wird.

Umgekehrt bietet eine frühzeitige und nachweisbare Compliance einen entscheidenden Wettbewerbsvorteil. Unternehmen, die konforme KI-Systeme aufbauen und deren Einhaltung der Vorschriften transparent dokumentieren können, werden bei öffentlichen Ausschreibungen in der EU bevorzugt behandelt. Die EU stellt hierfür sogar Musterdokumente und Vertragsklauseln auf dem EU AI-Portal der Kommission bereit. Über die rein rechtliche Absicherung hinaus stärkt die Einhaltung des AI Acts das Vertrauen von Kunden, Partnern und der Öffentlichkeit in die genutzten KI-Lösungen. Dieses Vertrauen wird zunehmend zu einem Differenzierungsmerkmal in einem Markt, der von rapidem technologischen Fortschritt und gleichzeitig wachsenden ethischen Bedenken geprägt ist. Unternehmen, die jetzt handeln, positionieren sich als verantwortungsvolle und zukunftsorientierte Akteure.

Pragmatische Handlungsempfehlungen für DACH-Unternehmen

Angesichts der bevorstehenden Fristen ist es für DACH-Unternehmen unerlässlich, proaktiv und mit einer klaren Strategie zu handeln. Kapitel H empfiehlt die folgenden konkreten Schritte, um die Herausforderungen des EU AI Acts pragmatisch zu meistern und gleichzeitig die Chancen zu nutzen:

1. KI-Systeme klassifizieren und bewerten: Beginnen Sie mit einer gründlichen Bestandsaufnahme. Identifizieren Sie alle aktuell genutzten und geplanten KI-Anwendungen. Klassifizieren Sie diese gemäß den Risikostufen des AI Acts, insbesondere im Hinblick auf Hochrisiko-KI. Prüfen Sie dabei nicht nur neu entwickelte Systeme, sondern auch ältere oder eingekaufte Lösungen. Die Klassifizierung ist die Grundlage für alle weiteren Maßnahmen und sollte von internen Experten oder externen Beratern mit technischem und rechtlichem Know-how durchgeführt werden.

2. Robuste interne Governance etablieren: Setzen Sie klare Richtlinien und Prozesse für den sicheren, ethischen und datenschutzkonformen Einsatz von KI innerhalb Ihres Unternehmens auf. Dies beinhaltet die Definition von Verantwortlichkeiten für die Compliance, die Implementierung von Risikomanagement-Frameworks und die Kontrolle der unregulierten Nutzung von KI-Tools durch Mitarbeiter, der sogenannten „Shadow AI“. Shadow AI birgt erhebliche Risiken für die Datensicherheit und die Einhaltung gesetzlicher Vorgaben. Eine zentrale Steuerung und Überwachung sind hier entscheidend.

3. Kompetenzen aufbauen und Mitarbeiter schulen: Die