EU AI Act und Schatten-KI: Handlungsdruck für DACH-Unternehmen

Die digitale Transformation im DACH-Raum erreicht im September 2026 eine entscheidende Phase. Unternehmen in Deutschland, Österreich und der Schweiz stehen vor einer doppelten Herausforderung: Einerseits werden die Bestimmungen des EU AI Act wirksamer und bringen neue Compliance-Anforderungen mit sich. Andererseits grassiert in vielen Organisationen das Phänomen der „Schatten-KI“, also die unkontrollierte Nutzung von KI-Tools durch Mitarbeitende. Diese Entwicklungen erfordern ein schnelles und strategisches Handeln, um nicht nur Risiken zu vermeiden, sondern auch die Wettbewerbsfähigkeit durch verantwortungsvolle KI-Nutzung zu sichern. Kapitel H beleuchtet die aktuellen Gegebenheiten und zeigt konkrete Lösungswege auf.

Der EU AI Act: Erste Pflichten und Sanktionen sind Realität

Seit dem 2. August 2026 sind wesentliche Teile des EU AI Act, offiziell als Verordnung (EU) 2024/1689 bekannt, in Kraft. Diese Regulierung hat weitreichende Konsequenzen für alle Unternehmen im DACH-Raum, die in irgendeiner Form mit dem EU-Markt oder EU-Bürgern interagieren. Insbesondere die Transparenzpflichten nach Artikel 50 der Verordnung sind ab sofort anwendbar. Das bedeutet konkret: KI-Systeme, die direkt mit Menschen interagieren, müssen sich als Künstliche Intelligenz zu erkennen geben. Ein Chatbot muss klar kommunizieren, dass er kein menschlicher Gesprächspartner ist. Zudem müssen mittels KI generierte Inhalte, wie Texte, Bilder oder Audio, entsprechend gekennzeichnet werden.

In Deutschland obliegt der Bundesnetzagentur seit dem 29. Juli 2026 die Aufgabe der Marktüberwachung und Durchsetzung dieser Bestimmungen. Unternehmen, die diese Transparenzpflichten ignorieren, müssen mit empfindlichen Bußgeldern rechnen. Diese können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des Vorjahres betragen, wobei für kleine und mittlere Unternehmen (KMU) der jeweils niedrigere Wert gilt. Die Möglichkeit zur Verhängung von Sanktionen besteht bereits seit dem 2. August 2025, greift jedoch erst, sobald die jeweilige Pflicht tatsächlich aktiv ist. Die jetzt greifenden Transparenzpflichten sind somit direkt sanktionierbar. Es ist eine Fehlannahme zu glauben, man habe noch ausreichend Zeit, da alle Pflichten erst in ferner Zukunft kämen. Bestimmte Kernpflichten sind bereits heute verbindlich.

Der sogenannte „Digital Omnibus“ (Verordnung (EU) 2026/1744) hat zwar die Anwendbarkeit der aufwendigsten Pflichten für Hochrisiko-KI-Systeme verschoben, und zwar auf den 2. Dezember 2027 für Systeme nach Anhang III und den 2. August 2028 für Systeme nach Anhang I. Dies entbindet Unternehmen jedoch nicht von den bereits geltenden Verpflichtungen. Auch für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten bereits seit dem 2. August 2025 erste Pflichten. Eine proaktive Auseinandersetzung mit den Anforderungen des EU AI Act ist daher unerlässlich, um Risiken zu minimieren und langfristig Rechtssicherheit zu gewährleisten.

Auch für Schweizer Unternehmen ist der EU AI Act von direkter Relevanz. Falls ihre KI-Systeme EU-Bürger betreffen oder in der EU betrieben werden, müssen sie die EU-Vorgaben einhalten. Während die Schweiz keinen umfassenden „AI Act“ nach EU-Vorbild plant, wird bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung erwartet. Diese soll Massnahmen zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht prüfen. Doch bereits heute ist das seit dem 1. September 2023 in Kraft getretene revidierte Datenschutzgesetz (revDSG) technologieneutral anwendbar und erfasst KI-gestützte Datenbearbeitungen, sobald Personendaten verarbeitet werden. Schweizer Unternehmen sollten daher nicht auf ein neues KI-Gesetz warten, da die bestehende Rechtslage bereits viele KI-Anwendungen abdeckt und Handlungsbedarf besteht.

Die Gefahr der „Schatten-KI“: Ein tickendes Compliance- und Sicherheitsrisiko

Parallel zu den regulatorischen Entwicklungen kämpfen viele DACH-Unternehmen mit der unkontrollierten Nutzung von KI-Tools durch ihre Mitarbeitenden. Dieses Phänomen, bekannt als „Schatten-KI“, entsteht, wenn Mitarbeitende eigenständig und ohne Genehmigung der IT-Abteilung oder der Führungsebene KI-Anwendungen einsetzen. Die Verbreitung ist alarmierend: Eine aktuelle Studie von Microsoft, der „Cyber Pulse“-Report, zeigt, dass fast 30 Prozent der Beschäftigten für ihre Arbeit auf nicht genehmigte KI-Werkzeuge zurückgreifen. Eine Bitkom-Umfrage in Deutschland ergab, dass knapp ein Fünftel der Unternehmen davon ausgeht, dass Mitarbeitende private KI-Lösungen verwenden. Die tatsächliche Verbreitung dürfte in vielen Fällen noch höher liegen, da Unternehmen oft keinen vollständigen Überblick haben.

Die „Schatten-KI“ birgt erhebliche Risiken, die über die reine Compliance hinausgehen und die Geschäftstätigkeit substanziell beeinträchtigen können:

* Regulatorische Verstösse: Die unkontrollierte Nutzung von KI-Tools kann zu direkten Verstössen gegen bestehende Datenschutzgesetze wie die DSGVO oder das Schweizer revDSG führen. Mit dem Inkrafttreten des EU AI Act kommen weitere Transparenz- und Kennzeichnungspflichten hinzu, deren Missachtung hohe Bußgelder nach sich ziehen kann. Sensible Unternehmensdaten könnten in externen KI-Tools landen, die keine ausreichenden Datenschutzstandards erfüllen. * Datenlecks und Sicherheitsrisiken: Der „Cost of a Data Breach Report 2025“ von IBM berichtet, dass knapp jedes fünfte Unternehmen bereits Sicherheitsvorfälle gemeldet hat, bei denen „Schatten-KI“ eine Rolle spielte. Dies ist besonders kritisch, da unkontrollierte KI-Anwendungen oft Schwachstellen aufweisen oder sensible Unternehmensinformationen an Dritte übermitteln. Darüber hinaus können hochentwickelte KI-Modelle auch von Angreifern genutzt werden, um Cyberattacken schneller und effektiver durchzuführen, was die Bedrohungslage weiter verschärft. * Mangelnde Datenqualität und -souveränität: Werden Unternehmensdaten, insbesondere solche mit hohem Wert, in externe und unkontrollierte KI-Tools eingespeist, verliert das Unternehmen die Kontrolle über diese Werte. Es besteht das Risiko, dass die Qualität der Daten manipuliert oder beeinträchtigt wird und die digitale Souveränität des Unternehmens untergraben wird. Die Möglichkeit, eigene Daten sicher und vertraulich zu verwalten, ist jedoch ein Kernaspekt digitaler Unabhängigkeit. * Inkonsistente Ergebnisse und Effizienzverluste: Ohne klare Richtlinien, standardisierte Prozesse und eine angemessene Schulung der Mitarbeitenden können die Ergebnisse von KI-Anwendungen stark variieren und in vielen Fällen sogar fehlerhaft sein. Eine BCG-Studie vom Juni 2026 zeigt, dass bis zu 40 Prozent der durch KI potenziell eingesparten Arbeitszeit wieder verloren gehen, weil fehlerhafte KI-Ergebnisse manuell überprüft und korrigiert werden müssen. Dies untergräbt nicht nur die Effizienzgewinne, sondern erzeugt auch zusätzlichen Aufwand und Frustration bei den Mitarbeitenden.

Unternehmen, die ihren Mitarbeitenden keine offiziellen, datenschutzkonformen und sicheren KI-Angebote bereitstellen, riskieren nicht nur die genannten Gefahren der „Schatten-KI“. Sie können auch als Arbeitgeber unattraktiver werden, insbesondere für Fachkräfte, die mit zeitgemässen Werkzeugen arbeiten und ihre Produktivität mit KI-Unterstützung steigern möchten.

KI-Governance als Fundament: Strategie, Sicherheit und Kompetenzaufbau

Die erfolgreiche und sichere Integration von KI in DACH-Unternehmen erfordert einen ganzheitlichen Ansatz. Dieser muss regulatorische Anforderungen, IT-Sicherheit und die menschliche Komponente gleichermassen berücksichtigen. Eine robuste KI-Governance, kombiniert mit strategischem Change Management, bildet hierfür das notwendige Fundament.

1. Entwicklung einer klaren KI-Strategie und -Richtlinien: Jedes Unternehmen benötigt eine umfassende KI-Strategie, die über die reine Technologie hinausgeht. Diese Strategie muss den Einsatz von KI-Tools regeln, klare Verantwortlichkeiten definieren und einen Rahmen für den datenschutzkonformen sowie sicheren Betrieb schaffen. Eine Lünendonk-Studie vom 18. September 2026 verdeutlicht den Handlungsbedarf: 80 Prozent der Unternehmen befinden sich bei KI-Agenten noch in der Pilot- und Testphase. Nur 19 Prozent setzen sie im Regelbetrieb ein. Dies unterstreicht die Notwendigkeit, von der Experimentierphase zu einem strukturierten, produktiven Einsatz zu gelangen. Eine solche Strategie umfasst die Identifikation relevanter Anwendungsfälle, die Festlegung ethischer Grundsätze und die Zuweisung von Ressourcen.

2. Bereitstellung sicherer und konformer KI-Tools: Um das Phänomen der „Schatten-KI“ effektiv zu bekämpfen, müssen Unternehmen ihren Mitarbeitenden offizielle, datenschutzkonforme und sichere KI-Lösungen anbieten. Dies erfordert oft Investitionen in interne Infrastrukturen oder die Partnerschaft mit vertrauenswürdigen Anbietern. Ein Beispiel für einen strategischen Ansatz ist die Schwarz Digits Gruppe, zu der Unternehmen wie Lidl und Kaufland gehören. Durch die Integration von Celonis und Snowflake in ihre souveräne Cloud-Plattform Stackit bieten sie eine sichere und flexible KI-Infrastruktur für Unternehmenskunden und den öffentlichen Sektor an. Solche Lösungen ermöglichen es, die Kontrolle über Daten und Anwendungen zu behalten und gleichzeitig Innovation zu fördern.

3. Investition in Change Management und Kompetenzentwicklung: Die Implementierung von KI ist kein rein technisches Projekt. Studien zeigen, dass rund 70 Prozent aller KI-Projekte in deutschen Unternehmen nicht an der Technologie selbst, sondern am Widerstand der Belegschaft scheitern. Die bloße Bereitstellung von KI-Tools garantiert keine aussagekräftigen Ergebnisse. Stattdessen ist ein moderner Ansatz mit Empathie, Anpassungsfähigkeit und kontinuierlichem Lernen entscheidend, um Mitarbeitende auf diesem Wandel zu begleiten. Dazu gehören personalisierte Trainings, eine transparente Kommunikation über die Ziele und Vorteile der KI-Nutzung sowie die Förderung von „Quick Wins“, um Akzeptanz zu schaffen. Das Controller Institut betont zudem die Notwendigkeit von „AI FinOps“, um die Kosten und den Geschäftswert von KI-Anwendungen steuerbar und transparent zu machen. Obwohl 90 Prozent der Finanzexperten in DACH Kenntnisse in Generativer KI haben, arbeiten über 50 Prozent der Finanzabteilungen ohne umfassende KI-Governance, was die Compliance und die Effizienz erheblich beeinträchtigen kann.

4. Regelmässige Schulungen und Sensibilisierung: Mitarbeitende müssen im sicheren, ethischen und verantwortungsvollen Umgang mit KI geschult werden. Dies umfasst nicht nur die technische Handhabung der Tools, sondern auch die Vermittlung von Best-Practice-Beispielen aus dem eigenen Betrieb und die Bereitstellung fester Ansprechpartner für Fragen und Probleme. Es geht auch darum, die Ängste der Mitarbeitenden zu adressieren, die sich fragen, ob ihr Job durch KI ersetzt wird, und den Wandel als Chance zur Arbeitserleichterung und Kompetenzerweiterung zu begreifen. Eine offene Kommunikationskultur fördert die Akzeptanz und den konstruktiven Umgang mit neuen Technologien.

5. Datenschutz-Folgenabschätzung (DSFA): Insbesondere bei Hochrisiko-KI-Systemen und solchen, die Profiling oder automatisierte Einzelentscheidungen treffen, ist eine sorgfältige Datenschutz-Folgenabschätzung unerlässlich. Dies gilt sowohl nach den Vorgaben der DSGVO als auch nach dem revidierten Datenschutzgesetz in der Schweiz. Eine DSFA hilft, potenzielle Risiken für die Rechte und Freiheiten natürlicher Personen frühzeitig zu identifizieren und geeignete Schutzmassnahmen zu entwickeln. Dies ist nicht nur eine gesetzliche Pflicht, sondern auch ein wichtiger Schritt zur Stärkung des Vertrauens in KI-Anwendungen.

Die jüngsten Entwicklungen zeigen klar: KI ist kein rein technisches Projekt mehr, das von der IT-Abteilung isoliert behandelt werden kann. Sie ist eine strategische Herausforderung, die eine enge Zusammenarbeit von Führungsebene, Rechtsabteilung, IT-Sicherheit und Personalwesen erfordert. Unternehmen, die diesen ganzheitlichen Ansatz verfolgen, können die Vorteile der Künstlichen Intelligenz nutzen, während sie gleichzeitig Risiken minimieren und die digitale Transformation erfolgreich und nachhaltig gestalten.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Angesichts der zunehmenden regulatorischen Anforderungen und der Risiken durch Schatten-KI sollten Unternehmen im DACH-Raum jetzt konkrete Schritte unternehmen, um ihre KI-Strategie zu festigen und ihre Prozesse anzupassen. Die Zeit des Zögerns ist vorbei, proaktives Handeln ist gefordert.

1. Bestandsaufnahme und Risikoanalyse: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller im Unternehmen eingesetzten KI-Tools, sowohl der offiziellen als auch der potenziellen Schatten-KI-Anwendungen. Führen Sie eine detaillierte Risikoanalyse für jeden Einsatzfall durch, insbesondere hinsichtlich Datenschutz, Datensicherheit und Compliance mit dem EU AI Act und relevanten nationalen Gesetzen. 2. Entwicklung einer verbindlichen KI-Richtlinie: Erstellen Sie eine klare, unternehmensweite KI-Richtlinie, die den Einsatz, die Entwicklung und den Betrieb von KI-Systemen regelt. Diese Richtlinie sollte Vorgaben zu Datenquellen, ethischen Grundsätzen, Verantwortlichkeiten und den Umgang mit KI-generierten Inhalten enthalten. Stellen Sie sicher, dass diese Richtlinie allen Mitarbeitenden transparent kommuniziert wird. 3. Bereitstellung sicherer und genehmigter KI-Tools: Arbeiten Sie eng mit Ihrer IT-Abteilung zusammen, um eine Palette von datenschutzkonformen und sicheren KI-Tools zu identifizieren und Ihren Mitarbeitenden zur Verfügung zu stellen. Investieren Sie in Schulungen, die den korrekten und effizienten Umgang mit diesen Tools vermitteln. Dies reduziert die Anreize für die Nutzung von „Schatten-KI“. 4. Umfassendes Change Management etablieren: Planen und implementieren Sie ein durchdachtes Change-Management-Programm. Dies sollte Kommunikationsstrategien umfassen, um Ängste abzubauen und die Vorteile der KI hervorzuheben. Bieten Sie personalisierte Schulungen an, die auf die spezifischen Bedürfnisse der jeweiligen Abteilungen zugeschnitten sind und den Mehrwert der KI für die tägliche Arbeit aufzeigen. Fördern Sie eine Kultur des kontinuierlichen Lernens. 5. Regelmässige Überprüfung und Anpassung: Die KI-Landschaft entwickelt sich rasch weiter. Implementieren Sie Mechanismen zur regelmässigen Überprüfung Ihrer KI-Strategie, Ihrer Richtlinien und der eingesetzten Tools. Bleiben Sie über regulatorische Änderungen auf dem Laufenden und passen Sie Ihre internen Prozesse bei Bedarf an. Eine flexible Governance ist hierbei entscheidend.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betrachten wir Künstliche Intelligenz nicht als magische Lösung, die alle Probleme von alleine löst. Wir sind kritisch gegenüber dem Hype und fokussieren uns auf reale Anwendungen und nachhaltigen Nutzen für den Mittelstand. Die aktuellen Entwicklungen rund um den EU AI Act und die „Schatten-KI“ bestätigen unsere pragmatische Haltung. Die Regulierung ist keine optionale Empfehlung, sondern eine verbindliche Tatsache. Wer sie ignoriert, spielt mit der Existenz seines Unternehmens.

Wir sehen es als unsere Verantwortung, Unternehmen nicht in Abhängigkeit von externen KI-Anbietern zu bringen, sondern sie zu befähigen, eigene Kompetenzen aufzubauen und KI strategisch und selbstbestimmt zu integrieren. „Schatten-KI“ ist ein klares Symptom mangelnder Strategie und unzureichender interner Angebote. Statt Mitarbeitende für ihre Initiative zu bestrafen, müssen Unternehmen ihnen sichere und produktive Alternativen bieten. Die Kosten für fehlende Governance, in Form von Bußgeldern, Datenlecks und Effizienzverlusten, werden die Investitionen in eine robuste KI-Strategie und -Infrastruktur bei Weitem übersteigen. Es geht nicht darum, ob man KI nutzt, sondern wie man sie verantwortungsvoll und zum eigenen Vorteil einsetzt. Die Herausforderung besteht darin, das Potenzial der Technologie zu heben, ohne die Kontrolle über die eigenen Daten und Prozesse zu verlieren. Dies erfordert eine Führung, die technologische Innovation mit ethischer Verantwortung und pragmatischem Umsetzungsdenken verbindet. Eine solche Herangehensweise schafft nicht nur Compliance, sondern auch einen nachhaltigen Wettbewerbsvorteil.

Fazit: Jetzt handeln für eine sichere und effektive KI-Zukunft

Die Kombination aus schärfer werdender KI-Regulierung und den Risiken der „Schatten-KI“ stellt DACH-Unternehmen vor erhebliche Herausforderungen. Gleichzeitig bietet die verantwortungsvolle und strategische Integration von Künstlicher Intelligenz enorme Chancen für Effizienzsteigerung und Innovation. Ignorieren ist keine Option, denn die Kosten der Untätigkeit, sei es durch hohe Bußgelder oder Sicherheitsvorfälle, übersteigen die Investitionen in eine zukunftsfähige KI-Strategie bei Weitem.

Unternehmen, die jetzt proaktiv eine umfassende KI-Governance etablieren, sichere Tools bereitstellen und in die Kompetenzentwicklung ihrer Mitarbeitenden investieren, sichern sich nicht nur Compliance. Sie schaffen auch eine Grundlage für nachhaltigen Erfolg in einer immer stärker datengesteuerten Welt. Nutzen Sie die verbleibende Zeit bis zur vollen Wirksamkeit aller AI Act-Pflichten, um sich strategisch aufzustellen und KI als echten Werttreiber für Ihr Unternehmen zu etablieren. Eine kluge und vorausschauende Herangehensweise ist der Schlüssel zur Befähigung und zum langfristigen Erfolg in der digitalen Transformation.