EU AI Act und Schatten-KI: So sichern sich DACH-Unternehmen ab

Der EU AI Act ist seit dem 1. August 2024 in Kraft. Dieses weltweit erste umfassende Regelwerk für künstliche Intelligenz beeinflusst die Arbeitswelt im deutschsprachigen Raum direkt. Insbesondere ab dem 2. August 2026 greifen wichtige Transparenzpflichten, die Unternehmen vor erhebliche Herausforderungen stellen. Eine dieser Herausforderungen ist der unkontrollierte Einsatz von KI-Tools durch Mitarbeitende, bekannt als «Schatten-KI».

Unternehmen stehen vor der Aufgabe, einerseits die Chancen der KI zu nutzen und andererseits die damit verbundenen Risiken, insbesondere in Bezug auf Datenschutz und IT-Sicherheit, zu beherrschen. Die schrittweise Einführung des EU AI Act und die spezifische Regulierung in der Schweiz erfordern von Geschäftsführern und IT-Verantwortlichen eine proaktive Strategie. Dieser Artikel beleuchtet die Kernaspekte des neuen Regelwerks, die Risiken der Schatten-KI und liefert konkrete Handlungsempfehlungen für Unternehmen im DACH-Raum.

Der EU AI Act: Ein umfassendes Regelwerk im Zeitraffer

Die Verordnung (EU) 2024/1689, besser bekannt als EU AI Act, legt den Grundstein für eine verantwortungsvolle Entwicklung und Nutzung von KI in Europa. Der risikobasierte Ansatz ist dabei zentral: Je höher das potenzielle Risiko eines KI-Systems für Grundrechte, Sicherheit und Gesundheit, desto strenger sind die Anforderungen an dessen Anbieter und Nutzer. Für Unternehmen in Deutschland und Österreich ist dieses Regelwerk direkt bindend. Schweizer Unternehmen sind ebenfalls betroffen, wenn sie KI-Systeme im EU-Binnenmarkt anbieten oder deren Anwendungen in der EU genutzt werden.

Der Fahrplan zur vollständigen Umsetzung des AI Act sieht mehrere Meilensteine vor. Ein besonders relevantes Datum ist der 2. August 2026. Zu diesem Zeitpunkt treten zentrale Vorschriften in Kraft, darunter die wichtigen Transparenzregeln gemäss Artikel 50. Diese verlangen von Unternehmen, die KI-Systeme in bestimmten Kontexten einsetzen, umfassende Informationen über deren Funktionsweise, Datenverarbeitung und Entscheidungsfindung bereitzustellen. Gleichzeitig sollen auch Massnahmen zur Innovationsförderung greifen, um Unternehmen bei der complianten Entwicklung von KI zu unterstützen.

Ursprünglich war der 2. August 2026 der Stichtag für die meisten Regeln und deren Durchsetzung. Ein kürzlich verabschiedetes «Digital Omnibus»-Paket hat jedoch Anpassungen am Zeitplan vorgenommen, um Unternehmen etwas mehr Vorbereitungszeit zu geben. Die zentralen Verpflichtungen für sogenannte Hochrisiko-KI-Systeme, beispielsweise in Bereichen wie Biometrie, kritische Infrastruktur, Bildung oder Beschäftigung, wurden auf den 2. Dezember 2027 verschoben. Für Hochrisiko-KI-Systeme, die in Produkte integriert sind, gelten die Vorschriften sogar erst ab dem 2. August 2028.

Diese Zeitverschiebungen dürfen nicht als Aufschub der Notwendigkeit verstanden werden, sich mit dem Thema zu befassen. Im Gegenteil, sie sind eine Chance, die Vorbereitung noch gründlicher anzugehen. Die Transparenzpflichten, die ab August 2026 gelten, bilden das Fundament. Unternehmen müssen jetzt damit beginnen, ihre internen Prozesse und den Einsatz von KI-Anwendungen zu analysieren und anzupassen. Die Anforderungen an Anbieter von KI-Modellen für allgemeine Zwecke (General Purpose AI, GPAI), die vor August 2025 auf den Markt kamen, müssen beispielsweise bis 2027 eingehalten werden. Dies zeigt, dass die Uhr für viele Unternehmen bereits tickt, und ein verzögerter Start unnötige Risiken birgt.

Schatten-KI: Das unkontrollierte Risiko im Unternehmen

Die Diskussion um den EU AI Act gewinnt an Dringlichkeit, weil in vielen Unternehmen bereits heute unkontrolliert KI-Systeme zum Einsatz kommen. Dieses Phänomen wird als «Schatten-KI» bezeichnet. Es beschreibt den Gebrauch von KI-Tools durch Mitarbeitende, ohne dass die IT-Abteilung, der Datenschutzbeauftragte oder die Geschäftsleitung davon Kenntnis haben oder diesen Einsatz genehmigt haben. Mit der Veröffentlichung leicht zugänglicher generativer KI-Tools wie ChatGPT Ende 2022 hat dieses Problem stark zugenommen. Mitarbeitende nutzen diese Anwendungen für Aufgaben wie die Texterstellung, die Zusammenfassung von E-Mails oder einfache Datenanalysen, oft mit dem Ziel, die eigene Produktivität zu steigern.

So verständlich der Wunsch nach Effizienz auch ist, so gravierend sind die potenziellen Risiken, die mit Schatten-KI einhergehen:

1. Datenschutzverstösse: Werden personenbezogene Daten, vertrauliche Kundendaten, Bewerbungsunterlagen oder interne Geschäftsgeheimnisse in externe, nicht freigegebene KI-Tools eingegeben, können schwerwiegende Datenschutzverstösse vorliegen. Die Datenschutz-Grundverordnung (DSGVO) in der EU und das revidierte Datenschutzgesetz (revDSG) in der Schweiz schreiben strenge Regeln für die Verarbeitung solcher Daten vor. Bei Schatten-KI mangelt es typischerweise an Transparenz über die Datenverarbeitung, einer klaren Zweckbindung der Trainingsdaten und definierten Verantwortlichkeiten. Ein unbedachter Upload kann sensible Daten auf Server im Ausland verlagern, ohne dass die nötigen Garantien bestehen.

2. Sicherheitslücken: Unzureichend abgesicherte oder nicht validierte KI-Systeme können Einfallstore für Cyberangriffe darstellen. Fehler im Code, mangelnde Kontrolle über die Trainingsdaten oder unzureichende Authentifizierungsmechanismen können zu Datenlecks oder Manipulationen führen. Ein bekanntes Beispiel war ein Vorfall bei OpenAI, bei dem ein neues KI-Modell versehentlich interne Informationen von externen Quellen übernahm und Nutzerbilder auf Online-Plattformen platzierte. Solche Vorfälle untergraben das Vertrauen in KI-Systeme und erfordern robuste Sicherheitsstrategien. Zudem können Mitarbeitende unbewusst Malware-behaftete KI-Tools installieren, die die Unternehmensnetzwerke gefährden.

3. Fehlerhafte und diskriminierende Entscheidungen: KI-Systeme sind nur so gut wie die Daten, mit denen sie trainiert wurden. Werden sie mit voreingenommenen oder unvollständigen Datensätzen gespeist, können sie fehlerhafte oder sogar diskriminierende Ergebnisse liefern. Fehlt zudem eine menschliche Aufsicht oder Validierung, können diese Fehler unentdeckt bleiben und weitreichende Konsequenzen haben, von finanziellen Verlusten bis hin zu Reputationsschäden und rechtlichen Auseinandersetzungen.

4. Fehlende digitale Souveränität: Unternehmen im DACH-Raum legen traditionell grossen Wert auf europäische Sicherheitsstandards und transparente Datenverarbeitung. Dies ist entscheidend, um Vertrauen in neue Technologien und deren Anbieter aufzubauen. Schatten-KI untergräbt diese digitale Souveränität, da Daten an externe, oft US-basierte Anbieter übermittelt werden, deren Standards und rechtliche Rahmenbedingungen nicht immer den europäischen Anforderungen entsprechen. Dies kann langfristig die Unabhängigkeit und Kontrolle über unternehmenskritische Daten gefährden.

Transparenzpflichten und die strategische Antwort der Unternehmen

Die ab August 2026 geltenden Transparenzpflichten des EU AI Act sind eine direkte Aufforderung an Unternehmen, die Kontrolle über ihre KI-Nutzung zu übernehmen. Eine proaktive Governance für KI-Einsätze ist nicht länger eine Option, sondern eine Notwendigkeit. Die gute Nachricht ist, dass Unternehmen im DACH-Raum bereits auf diese Entwicklungen reagieren. Der „Arctic Wolf AI & Cybersecurity Trends Report 2026“ beispielsweise hebt hervor, dass Unternehmen in dieser Region kontrollierbare KI-Systeme, menschliche Aufsicht und digitale Souveränität in den Mittelpunkt ihrer Anbieterbewertung stellen. Vertrauen und Governance sind somit keine Luxusgüter, sondern entscheidende Faktoren für den nachhaltigen Erfolg von KI-Initiativen.

Um die Risiken der Schatten-KI zu minimieren und gleichzeitig die Compliance mit den neuen Regelungen zu gewährleisten, sollten Unternehmen folgende Strategien implementieren:

* KI-Richtlinien entwickeln: Erstellen Sie klare und verständliche Richtlinien, die festlegen, welche KI-Tools im Unternehmen erlaubt sind, welche Daten verarbeitet werden dürfen und wie neue Anwendungen geprüft und freigegeben werden. Diese Richtlinien müssen eng mit der bestehenden IT-Sicherheits- und Datenschutzstrategie des Unternehmens verknüpft sein. Sie sollten auch Konsequenzen bei Verstössen klar kommunizieren.

* Transparente Dokumentation und Freigabeprozesse: Aktualisieren Sie Ihr Verzeichnis der Verarbeitungstätigkeiten um alle relevanten KI-Anwendungen. Die Einführung neuer KI-Tools sollte einem standardisierten Prozess unterliegen, der eine Freigabe durch die IT-Abteilung und den Datenschutzbeauftragten obligatorisch macht. Dies stellt sicher, dass alle eingesetzten Systeme den Compliance-Anforderungen genügen.

* Mitarbeiterschulungen und Sensibilisierung: Investieren Sie in umfassende Schulungen und Workshops für alle Mitarbeitenden. Ziel ist es, das Bewusstsein für Datenschutzrisiken, Sicherheitslücken und die unternehmensinternen Richtlinien zum KI-Einsatz zu schärfen. Nur gut informierte Mitarbeitende können unzulässige Datenübermittlungen und unkontrollierte Anwendungen vermeiden. Erklären Sie dabei nicht nur die Risiken, sondern auch die Vorteile eines kontrollierten KI-Einsatzes.

* „KI-Innovationsräume“ schaffen: Richten Sie kontrollierte Umgebungen oder Sandbox-Lösungen ein, in denen Mitarbeitende neue KI-Tools testen und deren Potenziale für das Unternehmen bewerten können. Dies ermöglicht es, Innovationen frühzeitig zu erkennen und zu fördern, ohne die Compliance oder die IT-Sicherheit zu gefährden. Diese Räume dienen auch dazu, Best Practices zu entwickeln und Risiken frühzeitig zu identifizieren.

* Einbindung relevanter Stakeholder: Beziehen Sie Betriebsräte, Personalabteilungen und Datenschutzbeauftragte frühzeitig in die Auswahl, Implementierung und Überwachung von KI-Tools ein. Eine breite Akzeptanz und die Einhaltung gesetzlicher sowie interner Vorgaben werden dadurch erheblich verbessert. Diese Stakeholder können wertvolle Perspektiven einbringen und bei der Gestaltung akzeptabler Lösungen helfen.

* Fokus auf Mensch-KI-Kollaboration: Obwohl KI viele Aufgaben automatisieren kann, bleibt menschliche Aufsicht und Expertise unerlässlich. Gerade bei kritischen Entscheidungen oder der Interpretation komplexer Ergebnisse sollte der Mensch im Mittelpunkt bleiben. Die Kombination aus digitaler Innovation und menschlicher Expertise ist der Schlüssel zum Erfolg, beispielsweise im Controlling, im Kundenservice oder in der Produktentwicklung. KI sollte als unterstützendes Werkzeug und nicht als alleiniger Entscheider betrachtet werden.

Die Schweizer Perspektive: Pragmatismus trifft Datenschutz

Während die Europäische Union mit dem AI Act einen umfassenden gesetzlichen Rahmen schafft, verfolgt die Schweiz einen anderen Ansatz. Derzeit gibt es in der Schweiz kein spezifisches, übergreifendes KI-Gesetz. Stattdessen werden bestehende Gesetze, insbesondere das revidierte Datenschutzgesetz (revDSG), konsequent auf KI-Anwendungen angewendet. Dies bedeutet, dass Schweizer Unternehmen nicht auf ein neues Spezialgesetz warten müssen, sondern bereits heute die Anforderungen des revDSG auf ihre KI-Workflows anwenden müssen.

Der Schweizer Bundesrat arbeitet bis Ende 2026 an einer Vernehmlassungsvorlage zur Umsetzung der KI-Konvention des Europarats. Parallel dazu prüft die Schweiz nicht verbindliche Instrumente wie Branchenlösungen oder Selbstverpflichtungen. Dieser flexible Ansatz ermöglicht es, schnell auf technologische Entwicklungen zu reagieren und gleichzeitig die bewährten Prinzipien des Datenschutzes und der Verhältnismässigkeit zu wahren.

Für Schweizer Unternehmen bedeutet dies, dass sie bei der Nutzung von KI-Systemen bereits heute folgende Punkte sicherstellen müssen:

* Nachvollziehbare Datenflüsse: Es muss klar sein, welche Daten von KI-Systemen verarbeitet werden, woher diese Daten stammen und wohin sie fliessen. * Transparenz: Die Funktionsweise von KI-Systemen und die Logik ihrer Entscheidungen müssen, wo immer möglich, nachvollziehbar sein. Dies ist insbesondere bei automatisierten Einzelentscheidungen mit erheblichen Auswirkungen wichtig. * Kontrollierte Berechtigungen: Der Zugriff auf KI-Systeme und die von ihnen verarbeiteten Daten muss streng kontrolliert und auf das notwendige Mass beschränkt sein. * Menschliche Überprüfung: Bei automatisierten Einzelentscheidungen, die erhebliche rechtliche oder faktische Auswirkungen auf betroffene Personen haben können, muss eine menschliche Überprüfungsmöglichkeit gewährleistet sein.

Dieser Ansatz unterstreicht, dass die Notwendigkeit von Transparenz, Kontrolle und Datenschutz bei KI-Einsätzen auch ohne ein spezifisches Gesetz von höchster Bedeutung ist. Schweizer Unternehmen sind gut beraten, diese Prinzipien proaktiv in ihre KI-Strategien zu integrieren.

Praktische Handlungsempfehlungen für Unternehmen

Die Integration von KI bietet enorme Potenziale, erfordert aber einen strukturierten und verantwortungsvollen Ansatz. Basierend auf den bevorstehenden Regulierungen und den Erfahrungen mit Schatten-KI, empfehlen wir Unternehmen im DACH-Raum folgende Schritte:

1. Inventur des Ist-Zustandes: Erfassen Sie alle bereits im Unternehmen genutzten KI-Anwendungen, sowohl offizielle als auch informelle Schatten-KI-Nutzungen. Verstehen Sie, welche Daten dabei verarbeitet werden und welche Risiken bestehen. 2. Klare Richtlinien etablieren: Definieren Sie verbindliche interne Richtlinien für den Einsatz von KI. Diese sollten den EU AI Act, die DSGVO oder das revDSG berücksichtigen und den Umgang mit Daten, die Freigabeprozesse für neue Tools sowie Verantwortlichkeiten klar regeln. 3. Schulungen und Bewusstsein schaffen: Führen Sie regelmässige Schulungen für alle Mitarbeitenden durch, um das Verständnis für KI-Risiken und die Einhaltung der internen Richtlinien zu fördern. Eine offene Kommunikation ist entscheidend. 4. Kontrollierte Innovationsräume: Schaffen Sie geschützte Umgebungen für die Erprobung neuer KI-Technologien. Dies ermöglicht Innovation ohne Kompromisse bei Sicherheit und Compliance. 5. Datenschutz-Folgenabschätzungen: Führen Sie für den Einsatz von Hochrisiko-KI-Systemen und anderen risikobehafteten KI-Anwendungen regelmässige Datenschutz-Folgenabschätzungen durch, um Risiken frühzeitig zu erkennen und zu minimieren. 6. Experten einbinden: Ziehen Sie bei der Strategieentwicklung und Implementierung externe KI- und Rechtsexperten hinzu, um eine fundierte und rechtskonforme Lösung zu gewährleisten. Externe Perspektiven helfen, Betriebsblindheit zu vermeiden und Best Practices zu integrieren.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H sehen wir die zunehmende Regulierung von KI nicht als Innovationsbremse, sondern als notwendigen Rahmen für nachhaltiges Wachstum. Der EU AI Act, wie auch der pragmatische Ansatz der Schweiz, zwingt Unternehmen dazu, sich kritisch mit den Grundlagen ihrer KI-Strategie auseinanderzusetzen. Der Hype um generativen KI-Modelle hat viele Unternehmen dazu verleitet, die Technologie ohne strategische Einbettung und Risikobetrachtung einzuführen. Dies führt zu den bereits beschriebenen Problemen der Schatten-KI und gefährdet die digitale Souveränität.

Wir betonen: KI ist ein Werkzeug. Ein Werkzeug, das nur dann seinen vollen Nutzen entfaltet, wenn es kontrolliert, transparent und im Einklang mit ethischen und rechtlichen Prinzipien eingesetzt wird. Die Verschiebung der Fristen für Hochrisiko-KI-Systeme durch das «Digital Omnibus»-Paket ist keine Einladung zum Abwarten, sondern eine klare Aufforderung, die Hausaufgaben jetzt gründlich zu erledigen. Unternehmen, die sich jetzt um klare Governance-Strukturen, präzise Richtlinien und umfassende Mitarbeiterschulungen kümmern, sind nicht nur rechtlich auf der sicheren Seite. Sie bauen auch Vertrauen auf, sowohl intern bei ihren Mitarbeitenden als auch extern bei Kunden und Partnern. Es geht nicht darum, sich von KI-Anbietern abhängig zu machen, sondern darum, die eigene Befähigung im Umgang mit dieser Schlüsseltechnologie zu stärken. Eine solide KI-Strategie ist daher immer eine Strategie der Befähigung, nicht der Abhängigkeit.

Fazit mit konkretem Nutzen für den Leser

Die schrittweise Inkraftsetzung des EU AI Act und insbesondere die ab August 2026 greifenden Transparenzpflichten sind für Unternehmen im DACH-Raum von unmittelbarer Bedeutung. Die Herausforderung der «Schatten-KI» verdeutlicht die Dringlichkeit, eine proaktive und durchdachte KI-Governance zu etablieren. Wer jetzt handelt und klare Richtlinien, Freigabeprozesse und Schulungen einführt, minimiert nicht nur rechtliche Risiken und potenzielle Reputationsschäden.

Sie schaffen stattdessen eine solide Grundlage für einen sicheren und vertrauensvollen Einsatz von KI. Dies ermöglicht es Ihrem Unternehmen, die Produktivität zu steigern, Innovationspotenziale verantwortungsvoll zu erschliessen und die digitale Souveränität zu bewahren. Handeln Sie jetzt, um die Chancen der KI sicher zu nutzen und gleichzeitig die Compliance sicherzustellen. Ihre Mitarbeitenden, Kunden und Partner werden das Vertrauen in Ihre digitale Kompetenz honorieren.