EU AI Act: Praktische Vorbereitung für den Mittelstand im DACH-Raum

Der EU AI Act, Europas umfassendes Regulierungswerk für künstliche Intelligenz, gewinnt zunehmend an Relevanz für den Mittelstand im deutschsprachigen Raum. Während die Verordnung bereits seit einiger Zeit diskutiert wird, intensivieren sich nun die Debatten und konkreten Vorbereitungsphasen, da die schrittweise Inkraftsetzung ab Ende 2026 bevorsteht. Für deutsche und österreichische Unternehmen bedeutet dies, dass die Zeit für eine proaktive Auseinandersetzung mit den kommenden Pflichten drängt. Es geht nicht mehr um das „Ob“, sondern um das „Wie“ der Implementierung und der Erfüllung nationaler Umsetzungspflichten.

Jüngste Diskussionsrunden, Positionspapiere von Wirtschaftsverbänden und Stellungnahmen von zuständigen Ministerien signalisieren eine neue Phase der Präzisierung. Der Fokus liegt dabei besonders auf den sogenannten „Hochrisiko-KI-Systemen“, deren Nutzung erhebliche Anpassungen in Geschäftsprozessen, IT-Infrastruktur und im Risikomanagement erfordert. Der DACH-Raum ist stark vom Mittelstand geprägt, und genau für diese Unternehmen sind die praktischen Implikationen der Klassifizierung und die damit verbundenen Konformitätsbewertungsverfahren von höchster Dringlichkeit. Unsere Beobachtung zeigt, dass viele kleine und mittlere Unternehmen (KMU) noch nicht ausreichend auf diese weitreichenden Anforderungen vorbereitet sind, was einen dringenden Informations- und Handlungsbedarf zur Folge hat.

Der EU AI Act: Was kommt auf den Mittelstand zu?

Der EU AI Act schafft einen rechtlichen Rahmen für die Entwicklung und Nutzung von KI-Systemen innerhalb der Europäischen Union. Das Kernstück der Regulierung ist die Risikobasierung, die KI-Systeme in verschiedene Kategorien einteilt: von minimalem Risiko über begrenztes Risiko bis hin zu Hochrisiko-Systemen und verbotenen Praktiken. Für den Mittelstand sind primär die Hochrisiko-Systeme von Bedeutung, da sie die weitreichendsten Pflichten nach sich ziehen. Hierzu zählen beispielsweise KI-Systeme, die in kritischen Infrastrukturen eingesetzt werden, in der Personalauswahl oder Leistungsbeurteilung, im Bereich des Kreditscorings oder in der Rechtsdurchsetzung. Die genaue Definition und Abgrenzung dieser Systeme ist für Unternehmen essenziell, um den Umfang der notwendigen Massnahmen abschätzen zu können.

Die Einstufung als Hochrisiko-System bedeutet, dass strenge Anforderungen an Datenqualität, Robustheit, Genauigkeit, Cybersicherheit und menschliche Aufsicht erfüllt werden müssen. Weiterhin sind umfangreiche technische Dokumentationen und Protokollierungsmechanismen vorgeschrieben. Diese Anforderungen sind nicht trivial und erfordern in vielen Fällen Anpassungen an bestehenden KI-Systemen oder bei der Neuentwicklung. Für Unternehmen, die bereits KI-Technologien nutzen, ohne sich der potenziellen Risikoklassifizierung bewusst zu sein, ist eine detaillierte Bestandsaufnahme der eingesetzten Systeme und eine Risikobewertung der erste und entscheidende Schritt. Das Übersehen einer solchen Klassifizierung kann weitreichende Konsequenzen bis hin zu hohen Bussgeldern haben.

Herausforderung „Hochrisiko“: Identifikation und technische Konformität

Die Identifikation von Hochrisiko-Systemen stellt eine der grössten initialen Herausforderungen dar. Viele mittelständische Unternehmen setzen KI-Komponenten ein, oft integriert in Standardsoftware oder als Teil komplexerer IT-Lösungen, ohne deren genaue Risikoklassifizierung zu kennen. Ein KI-Tool zur Vorauswahl von Bewerbenden mag auf den ersten Blick effizient erscheinen, fällt jedoch unter den EU AI Act als Hochrisiko-System, da es Auswirkungen auf den Zugang zum Arbeitsmarkt hat. Ähnliche Beispiele finden sich in der Kreditwürdigkeitsprüfung oder in Systemen zur Betrugserkennung im Finanzsektor. Eine solche Klassifizierung verpflichtet Unternehmen, die verwendeten KI-Systeme auf Konformität zu prüfen und gegebenenfalls anzupassen. Dies erfordert ein tiefes Verständnis der eigenen technologischen Landschaft und der Anwendungsfälle der KI.

Die technischen Anforderungen an Hochrisiko-Systeme sind umfangreich. Sie umfassen unter anderem:

* Datenqualität und Governance: Die Trainingsdaten müssen von hoher Qualität, repräsentativ und frei von Diskriminierung sein. Prozesse zur Datenprüfung und -verwaltung sind einzurichten. * Robustheit und Genauigkeit: KI-Systeme müssen auch unter variierenden Bedingungen zuverlässig funktionieren und ein hohes Mass an Genauigkeit aufweisen. Dies erfordert robuste Entwicklungs- und Testverfahren. * Cybersicherheit: Der Schutz vor unbefugtem Zugriff, Manipulation oder Schädigung der KI-Systeme ist zwingend. Dies schliesst den Schutz der Daten und der Modelle selbst ein. * Menschliche Aufsicht: Hochrisiko-KI-Systeme müssen so konzipiert sein, dass eine effektive menschliche Aufsicht möglich ist. Dies bedeutet, dass Menschen die Fähigkeit haben müssen, die Entscheidungen der KI zu interpretieren, zu korrigieren oder zu überstimmen. * Transparenz und Erklärbarkeit: Die Funktionsweise und die Entscheidungsfindung von Hochrisiko-KI-Systemen müssen in einem nachvollziehbaren Mass erklärbar sein. Dies ist insbesondere wichtig bei Entscheidungen, die sich direkt auf Einzelpersonen auswirken. * Dokumentation und Protokollierung: Eine detaillierte technische Dokumentation der Entwicklung, des Betriebs und der Überwachung des KI-Systems ist Pflicht. Dies umfasst auch die Protokollierung von Ereignissen während des Betriebs.

Diese Punkte erfordern oft nicht nur technische Investitionen, sondern auch die Etablierung neuer interner Prozesse zur Qualitätssicherung und Risikobewertung. Unternehmen müssen bereit sein, ihre Entwicklungspraktiken zu überdenken und anzupassen.

Nationale Umsetzung und Verantwortlichkeiten im DACH-Raum

Während der EU AI Act den übergeordneten Rahmen vorgibt, obliegt es den Mitgliedstaaten, spezifische Behörden für die Marktüberwachung und Durchsetzung zu benennen. In Deutschland wird die Bundesnetzagentur als zentrale Marktüberwachungsbehörde gehandelt, mit zusätzlichen Kompetenzen bei anderen Behörden, beispielsweise im Bereich des Datenschutzes oder der Arbeitssicherheit. Die genaue Abgrenzung der Zuständigkeiten und die Koordination zwischen Bund und Ländern sind hierbei entscheidend. Eine fragmentierte Behördenlandschaft könnte zu Unsicherheiten und einem erhöhten Compliance-Aufwand für Unternehmen führen. Ziel muss es sein, Rechtssicherheit und klare Ansprechpartner zu schaffen.

Ähnliche Überlegungen prägen die Debatte in Österreich. Hier wird ebenfalls eine Bündelung von Kompetenzen bei bestehenden Behörden oder die Schaffung einer neuen Koordinationsstelle diskutiert. Für den Mittelstand ist es von grösster Bedeutung, dass diese nationalen Strukturen zeitnah und transparent definiert werden. Nur so können Unternehmen ihre internen Compliance-Prozesse effizient aufbauen und sicherstellen, dass sie alle Anforderungen erfüllen. Die Zusammenarbeit mit externen Prüfstellen wird hierbei eine wachsende Rolle spielen, insbesondere bei der Konformitätsbewertung von Hochrisiko-Systemen, die oft durch Dritte zertifiziert werden müssen.

Qualifikation, Change Management und Haftung: Mehr als nur Technik

Die Einhaltung des EU AI Acts erfordert nicht nur technische Expertise, sondern auch ein umfassendes Umdenken in der Unternehmenskultur und bei den Qualifikationen der Mitarbeitenden. Es ist nicht ausreichend, lediglich die IT-Systeme anzupassen. Vielmehr müssen Mitarbeitende, die mit KI-Systemen arbeiten, entsprechend geschult werden, um die Anforderungen zu verstehen und umzusetzen. Dies betrifft nicht nur IT- und Rechtsabteilungen, sondern auch Bereiche wie Compliance, Risikomanagement und sogar die Fachabteilungen, die KI direkt nutzen. Ein effektives Change Management ist notwendig, um die neuen Prozesse und Verantwortlichkeiten in der Organisation zu verankern.

Die Verordnung sieht klare Verantwortlichkeiten für Anbieter und Betreiber von KI-Systemen vor. Unternehmen müssen interne Strukturen schaffen, um diesen Rechenschaftspflichten nachzukommen. Im Falle von Fehlfunktionen oder Schäden, die durch KI-Systeme verursacht werden, müssen die Ursachen transparent dargelegt werden können. Dies erfordert eine sorgfältige Dokumentation aller relevanten Schritte von der Entwicklung über den Einsatz bis zur Überwachung. Die Einrichtung eines internen Kontrollsystems für KI, vergleichbar mit bestehenden Qualitätsmanagementsystemen, wird unumgänglich sein. Zudem sind die Aspekte der Produkthaftung und die allgemeine Haftungsverteilung bei der Nutzung von KI-Systemen genau zu prüfen und gegebenenfalls vertraglich zu regeln.

Schweiz: Indirekte Auswirkungen und strategische Weitsicht

Als Nicht-EU-Mitglied ist die Schweiz vom EU AI Act nicht direkt betroffen. Dies bedeutet jedoch nicht, dass Schweizer Unternehmen die Entwicklungen ignorieren können. Im Gegenteil, Schweizer Unternehmen, die KI-Systeme in den EU-Markt liefern oder dort betreiben, müssen die Bestimmungen des Acts vollumfänglich einhalten. Dies betrifft Softwareanbieter, Technologieunternehmen und alle Dienstleister, die mit KI-basierten Lösungen im EU-Binnenmarkt aktiv sind. Eine Nichtbeachtung kann zu erheblichen Marktzugangsbarrieren und Wettbewerbsnachteilen führen.

Darüber hinaus wird erwartet, dass der EU AI Act als internationaler Referenzrahmen dienen und auch die Schweizer Gesetzgebung im Bereich der KI beeinflussen könnte. Ähnlich wie bei der Datenschutz-Grundverordnung (DSGVO) ist eine Angleichung oder zumindest eine Kompatibilität der Schweizer Regulierung zu erwarten. Dies könnte im Rahmen einer Revision bestehender Gesetze, wie des Datenschutzgesetzes, oder durch die Schaffung spezifischer KI-Regulierungen geschehen. Der Austausch zwischen Schweizer und EU-Behörden zur Harmonisierung von Standards ist daher von wachsender Bedeutung, um die internationale Wettbewerbsfähigkeit der Schweizer Wirtschaft zu sichern. Schweizer Unternehmen sollten die Entwicklungen aufmerksam verfolgen und eine frühzeitige strategische Anpassung ihrer KI-Governance in Betracht ziehen.

Praktische Handlungsempfehlungen für Unternehmen

Um den Anforderungen des EU AI Acts gerecht zu werden und sich proaktiv auf die Implementierung vorzubereiten, empfehlen wir folgende konkrete Schritte:

1. Bestandsaufnahme und Risikobewertung: Identifizieren Sie alle in Ihrem Unternehmen eingesetzten KI-Systeme. Bewerten Sie diese hinsichtlich ihrer potenziellen Risikoklassifizierung gemäss EU AI Act, insbesondere im Hinblick auf Hochrisiko-Anwendungen. Ziehen Sie externe Expertise hinzu, falls die internen Kapazitäten begrenzt sind. 2. Lückenanalyse und Massnahmenplanung: Führen Sie eine detaillierte Lückenanalyse durch, um festzustellen, inwieweit Ihre aktuellen KI-Systeme und -Prozesse den Anforderungen des Acts entsprechen. Erstellen Sie auf dieser Grundlage einen konkreten Massnahmenplan für die notwendigen Anpassungen, sowohl technisch als auch prozessual. 3. Ressourcen und Verantwortlichkeiten definieren: Bilden Sie ein interdisziplinäres Team, das sich der Implementierung des AI Acts widmet. Definieren Sie klare Verantwortlichkeiten innerhalb des Unternehmens für Compliance, Risikomanagement und technische Umsetzung. Die Geschäftsleitung muss diese Initiative aktiv unterstützen. 4. Schulung und Sensibilisierung: Schulen Sie Ihre Mitarbeitenden, insbesondere in den Abteilungen IT, Recht, Compliance, Risikomanagement und Fachabteilungen, die KI nutzen. Sensibilisieren Sie für die Bedeutung des Acts und die neuen Anforderungen. 5. Dokumentation und Governance-Struktur: Beginnen Sie frühzeitig mit dem Aufbau einer umfassenden Dokumentation für Ihre KI-Systeme. Etablieren Sie eine robuste Governance-Struktur für den Lebenszyklus von KI-Systemen, die alle Phasen von der Konzeption bis zur Ausserbetriebnahme abdeckt. 6. Austausch und Netzwerken: Tauschen Sie sich mit Branchenverbänden, anderen Unternehmen und Experten aus. Die Wirtschaftsverbände wie BDI oder WKÖ spielen eine wichtige Rolle bei der Bündelung von Informationen und der Interessenvertretung.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betrachten wir die Entwicklungen rund um den EU AI Act mit einer pragmatischen und datenbasierten Haltung. Es ist unbestreitbar, dass der Act für den Mittelstand im DACH-Raum eine erhebliche Herausforderung darstellt. Es besteht die Gefahr, dass die Komplexität der Regulierung und der damit verbundene bürokratische Aufwand Innovationskraft hemmt, insbesondere bei KMU, die bereits jetzt knappe Ressourcen haben. Der Hype um KI wird oft von der Realität der Implementierung und der Regulatorik eingeholt. Es ist unsere Aufgabe, Unternehmen dabei zu unterstützen, diesen Spagat zu meistern und echte Wertschöpfung zu generieren, statt in blinden Aktivismus zu verfallen.

Wir sehen aber auch die Notwendigkeit und die Chance, die der EU AI Act bietet. Eine klare Regulierung schafft Vertrauen in KI-Systeme, was langfristig die Akzeptanz und damit die Implementierung fördern kann. Die Anforderungen an Datenqualität, Robustheit und Transparenz sind keine reinen Compliance-Übungen, sondern fundamentale Qualitätsmerkmale guter KI-Systeme. Unternehmen, die diese Standards proaktiv umsetzen, werden nicht nur rechtskonform sein, sondern auch robustere, zuverlässigere und vertrauenswürdigere KI-Lösungen entwickeln oder einsetzen. Dies befähigt Unternehmen, anstatt sie in Abhängigkeit von externen Prüfstellen zu treiben. Es geht darum, die Kontrolle über die eigenen KI-Anwendungen zu behalten und die Regulierung als Anstoss für interne Qualitätsverbesserungen zu nutzen.

Fazit

Die vor uns liegenden Monate sind entscheidend für den Mittelstand im DACH-Raum. Die sich zuspitzende Notwendigkeit, sich proaktiv und detailliert mit den Anforderungen des EU AI Acts auseinanderzusetzen, kann nicht länger aufgeschoben werden. Eine frühzeitige Bestandsaufnahme, die Definition klarer Verantwortlichkeiten und der Aufbau notwendiger Kompetenzen sind keine Kür, sondern Pflicht. Wer jetzt handelt, schafft nicht nur Rechtssicherheit, sondern stärkt auch die eigene Innovations- und Wettbewerbsfähigkeit. Die erfolgreiche Integration dieser regulatorischen Vorgaben wird ein kritischer Faktor für den nachhaltigen Erfolg von Unternehmen in Deutschland, Österreich und jenen in der Schweiz sein, die im EU-Markt agieren. Nutzen Sie die verbleibende Zeit, um Ihr Unternehmen auf die Zukunft der KI-Regulierung vorzubereiten und die Potenziale von verantwortungsvoller KI voll auszuschöpfen.