EU AI Act und Schweiz: Was DACH-Unternehmen jetzt zur KI-Regulierung wissen müssen

# EU AI Act und Schweiz: Was DACH-Unternehmen jetzt zur KI-Regulierung wissen müssen im Oktober 2026

Die Welt der Künstlichen Intelligenz (KI) entwickelt sich rasant, doch mit der Innovation steigt auch der Regulierungsbedarf. Insbesondere der EU AI Act, die weltweit erste umfassende KI-Verordnung, ist im Juli 2026 vollständig in Kraft getreten und beeinflusst direkt Unternehmen im DACH-Raum. Während einige der restriktivsten Regeln für sogenannte Hochrisiko-KI-Systeme in den Bereichen Beschäftigung, Bildung oder kritische Infrastruktur erst zu einem späteren Zeitpunkt verbindlich werden, sind andere zentrale Bestimmungen bereits aktiv oder werden in Kürze durchsetzbar. Ignorieren ist keine Option, denn die Nichteinhaltung kann erhebliche finanzielle und reputative Folgen haben.

Für deutsche, österreichische und Schweizer Unternehmen bedeutet dies: Es ist höchste Zeit, die eigenen KI-Strategien und -Anwendungen kritisch zu prüfen und anzupassen. Die Anforderungen an Transparenz, Datenschutz und eine verantwortungsvolle Nutzung von KI sind nicht nur Zukunftsmusik, sondern bereits gelebte Realität. Gerade im Kontext der sich überschneidenden Schweizer Datenschutzregulierung ist ein präzises Verständnis der aktuellen Lage entscheidend, um Wettbewerbsfähigkeit und Innovationskraft langfristig zu sichern.

Der EU AI Act: Was jetzt wirklich zählt im Oktober 2026

Der EU AI Act hat am 27. Juli 2026 seine volle Gültigkeit erreicht. Diese Verordnung markiert einen Meilenstein in der globalen Regulierung von Künstlicher Intelligenz. Es ist jedoch wichtig zu verstehen, dass nicht alle Bestimmungen gleichzeitig greifen. Die umfassendsten und restriktivsten Regeln, die sich auf Hochrisiko-KI-Systeme beziehen, sind in ihrer Durchsetzung zeitlich gestaffelt worden. Systeme, die in Anhang III des Gesetzes aufgeführt sind, beispielsweise in der Personalverwaltung oder im Bildungssektor, müssen erst ab dem 2. Dezember 2027 vollständig konform sein. Für Hochrisiko-KI-Systeme, die bereits in regulierten Produkten, wie etwa Medizinprodukten, gemäss Anhang I integriert sind, gilt eine noch längere Übergangsfrist bis zum 2. August 2028.

Diese Verschiebungen könnten fälschlicherweise den Eindruck erwecken, Unternehmen hätten noch ausreichend Zeit. Dies ist ein Trugschluss. Im Oktober 2026 sind bereits andere, unmittelbar relevante Teile des Gesetzes in Kraft. Die EU beabsichtigt damit, einen gestuften Übergang zu ermöglichen, fordert aber gleichzeitig eine sofortige Anpassung in kritischen Bereichen. Unternehmen, die diese frühen Phasen ignorieren, riskieren nicht nur hohe Strafen, sondern auch einen Vertrauensverlust bei Kunden und Partnern. Es geht darum, eine solide Grundlage für zukünftige KI-Anwendungen zu schaffen, die bereits heute den gesetzlichen Anforderungen entspricht.

Transparenzpflichten nach Artikel 50: Eine direkte Anforderung

Die Transparenzpflichten nach Artikel 50 des EU AI Acts sind ein zentraler Pfeiler der Verordnung und bereits jetzt von direkter Relevanz für alle DACH-Unternehmen, die KI einsetzen. Diese Bestimmungen verlangen, dass Anbieter und Betreiber bestimmter KI-Systeme klar offenlegen müssen, wann Menschen mit einem KI-System interagieren. Darüber hinaus müssen KI-generierte Inhalte als solche kenntlich gemacht werden. Dies betrifft eine breite Palette von Anwendungen, von Chatbots im Kundenservice bis hin zu generativen KI-Modellen, die Texte, Bilder, Videos oder Stimmen erzeugen.

Für Systeme, die vor dem 2. August 2026 auf den Markt kamen und synthetische Inhalte generieren, galt eine Übergangsfrist bis zum 2. Dezember 2026 zur Implementierung maschinenlesbarer Wasserzeichen. Neue Systeme, die nach dem 2. August 2026 eingeführt wurden, müssen diese Kennzeichnungspflichten bereits von Anfang an erfüllen. Ein unkenntlich gemachter KI-Chatbot, der beispielsweise im Marketing oder Support eingesetzt wird, verstösst nicht nur gegen die kommenden EU-Auflagen, sondern bereits heute gegen geltendes Schweizer Recht, insbesondere die Anforderungen des revidierten Datenschutzgesetzes (revDSG) an die Transparenz bei der Datenbearbeitung. Die strikte Einhaltung dieser Vorgaben ist nicht nur eine gesetzliche Pflicht, sondern fördert auch das Vertrauen der Nutzer in KI-Anwendungen, was für deren erfolgreiche Implementierung unerlässlich ist.

General-Purpose AI (GPAI): Strenge Regeln für breite Anwendungen

Neben den spezifischen Transparenzpflichten sind auch die Regeln für allgemeine KI-Modelle, sogenannte General-Purpose AI (GPAI), ein sofortiger Handlungsbereich. GPAI-Modelle sind jene, die eine breite Palette von Aufgaben erfüllen können und in vielfältigen Anwendungen zum Einsatz kommen, oft als Basis für spezifischere KI-Systeme. Die diesbezüglichen Regelungen traten am 2. August 2025 in Kraft, und die Befugnisse zur Durchsetzung dieser Regeln, einschliesslich EU-weiter Geldbussen, gelten seit dem 2. August 2026. Das bedeutet, dass Unternehmen, die solche Modelle entwickeln, bereitstellen oder in ihre Produkte integrieren, bereits jetzt strengen Anforderungen unterliegen.

Die Konsequenzen einer Nichteinhaltung sind erheblich: Verwaltungsstrafen können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes betragen. Bei schwerwiegenden Verstössen, wie verbotenen Praktiken, steigen diese Strafen sogar auf bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Obwohl für GPAI-Modelle, die bereits auf dem Markt sind, ein zweijähriges Übergangsfenster bis zum 2. August 2027 besteht, um die vollständige Konformität nachzuweisen, ist es entscheidend, die Anstrengungen zur Anpassung umgehend zu beginnen. Die Komplexität dieser Modelle und die Tiefe der erforderlichen Prüfungen erfordern einen erheblichen Vorlauf und eine strategische Planung, um Risiken zu minimieren und die Vorteile der KI sicher zu nutzen.

Die Schweizer Perspektive: revDSG und der Blick nach Europa

Die Schweiz verfolgt in Bezug auf die KI-Regulierung einen eigenständigen, pragmatischen Ansatz. Anstatt ein umfassendes, spezifisches KI-Gesetz nach dem Vorbild des EU AI Acts zu verabschieden, setzt der Bundesrat auf eine Kombination aus bestehenden Rechtsnormen, gezielten Anpassungen und nicht verbindlichen Massnahmen. Ein wesentlicher Pfeiler dieser Strategie ist das revidierte Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist und direkt auf KI-gestützte Datenbearbeitungen anwendbar ist.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klar kommuniziert, dass für den Einsatz von KI im Sinne des revDSG umfassende Transparenz erforderlich ist. Dies umfasst die Offenlegung von Zweck, Funktion und den zugrundeliegenden Datenquellen einer KI-Anwendung. Darüber hinaus wird bei automatisierten Einzelentscheidungen, die erhebliche Auswirkungen auf Einzelpersonen haben können, eine menschliche Überprüfung gefordert. Diese Prinzipien sind eng mit den Transparenzforderungen des EU AI Acts verwandt und unterstreichen die Notwendigkeit einer klaren Governance bei KI-Einsatz.

Für Schweizer Unternehmen mit Kunden in der Europäischen Union ist die Situation jedoch komplexer. Hier gilt die Datenschutz-Grundverordnung (DSGVO) und damit indirekt auch die Prinzipien des EU AI Acts, um nicht mit zwei divergierenden Regelsystemen konfrontiert zu sein. Um Rechtssicherheit zu gewährleisten und den Innovationsstandort Schweiz zu stärken, plant das Bundesamt für Justiz, bis Ende 2026 eine Vernehmlassungsvorlage zur Schweizer KI-Regulierung zu erarbeiten. Diese soll gesetzliche Massnahmen in Bereichen wie Transparenz, Datenschutz und Nichtdiskriminierung umfassen und eine konsistente Linie zur europäischen Entwicklung finden. Das Ziel ist klar: Grundrechte schützen, Vertrauen in KI fördern und gleichzeitig Innovationen nicht unnötig hemmen.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Angesichts der aktuellen und bevorstehenden regulatorischen Änderungen sind proaktive Schritte für Unternehmen im DACH-Raum unerlässlich. Es geht nicht nur darum, Strafen zu vermeiden, sondern auch darum, Vertrauen aufzubauen und die Potenziale der KI verantwortungsvoll zu erschliessen.

1. KI-Inventur und Risikobewertung durchführen: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller in Ihrem Unternehmen genutzten KI-Systeme. Dies umfasst nicht nur selbst entwickelte Lösungen, sondern auch in Standardsoftware oder SaaS-Lösungen eingebettete KI-Funktionen. Bewerten Sie, welche dieser Systeme als Hochrisiko-KI gemäss EU AI Act eingestuft werden könnten und welche Arten von Daten, insbesondere personenbezogene Daten, sie verarbeiten. Eine solche Inventur ist die Grundlage für jede weitere Compliance-Massnahme.

2. Transparenz und Kennzeichnung implementieren: Setzen Sie die Anforderungen des Artikels 50 des EU AI Acts und der Schweizer Datenschutzvorschriften um. Kennzeichnen Sie klar, wenn Nutzer mit einem KI-System interagieren, beispielsweise bei Chatbots oder virtuellen Assistenten. Stellen Sie sicher, dass alle KI-generierten Inhalte, seien es Texte, Bilder oder Videos, maschinenlesbare Wasserzeichen tragen oder anderweitig eindeutig als synthetisch markiert sind. Diese Massnahme schafft Vertrauen und reduziert das Risiko von Missverständnissen.

3. Datenschutz-Compliance als Fundament etablieren: Jede KI-Anwendung, die personenbezogene Daten verarbeitet, muss die Grundsätze des revDSG beziehungsweise der DSGVO einhalten: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit. Investieren Sie in die Qualität Ihrer Daten, denn sie ist, wie die Natuvion IT-Transformationsstudie 2026 aufzeigt, ein entscheidender Erfolgsfaktor für Enterprise-KI. Unzureichende Datenqualität führt nicht nur zu schlechteren KI-Ergebnissen, sondern kann auch Compliance-Risiken bergen.

4. Digitale Souveränität bei der Tool-Auswahl beachten: Angesichts zunehmender geopolitischer Spannungen und der weiterhin hohen Bedeutung des Datenschutzes sollten DACH-Unternehmen ihre KI-Tool-Auswahl kritisch prüfen. Bevorzugen Sie Lösungen, die Datensouveränität gewährleisten, idealerweise durch Hosting in der EU oder lokale Implementierungen. Dies sichert die Kontrolle über den Datenfluss und vermeidet Abhängigkeiten von nicht-europäischen Anbietern und deren Rechtsordnungen. Tools wie Cline, ein KI-Coding-Agent, bieten beispielsweise die Flexibilität, EU-gehostete oder lokale Modelle zu wählen, im Gegensatz zu rein US-basierten Infrastrukturen von Anbietern wie Cursor und Copilot.

5. Change Management und Mitarbeiterakzeptanz fördern: Die beste KI-Lösung bleibt ineffektiv, wenn sie von den Mitarbeitenden nicht akzeptiert wird. Studien zeigen, dass über 70 Prozent der KI-Projekte nicht an technologischen Mängeln, sondern an mangelnder Akzeptanz scheitern. Entwickeln Sie eine umfassende Change-Management-Strategie, die Kommunikation, gezielte Schulungen und die aktive Einbindung der Belegschaft umfasst. Nehmen Sie Ängste vor Jobverlust ernst und verwandeln Sie Widerstände in Begeisterung, indem Sie die Vorteile der KI für die tägliche Arbeit aufzeigen. Führungskräfte spielen hierbei eine Schlüsselrolle, indem sie den Einsatz von KI aktiv vorleben und unterstützen.

6. Sicherheitsstrategien anpassen und Governance stärken: Mit dem zunehmenden Einsatz von KI steigen auch die Anforderungen an Cybersecurity, Governance und die Resilienz von IT-Systemen. Integrieren Sie KI-spezifische Risikobewertungen in Ihre bestehenden Sicherheitsstrategien. DACH-Unternehmen fordern zunehmend kontrollierbare KI und menschliche Aufsicht als Kernbestandteil ihrer Sicherheitskonzepte. Dies bedeutet, technische Schutzmassnahmen mit klaren Prozessvorgaben und menschlicher Supervision zu ergänzen, um die Zuverlässigkeit und Sicherheit von KI-Anwendungen zu gewährleisten.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuelle Diskussion um den EU AI Act und dessen Fristen lenkt oft den Blick auf die vermeintliche Atempause, die die Verschiebung der Hochrisiko-Kategorien bietet. Aus unserer Sicht ist dies eine gefährliche Verharmlosung der Realität. Der „KI-Hype“, von dem so oft die Rede ist, darf nicht dazu führen, die pragmatischen und bereits gültigen Anforderungen zu übersehen. Die Schweiz, mit ihrem revidierten Datenschutzgesetz, demonstriert einen nüchternen Ansatz, der zeigt: Die Grundlagen für eine verantwortungsvolle KI-Nutzung existieren bereits und müssen konsequent angewandt werden.

Wir sehen eine klare Notwendigkeit, jetzt zu handeln. Unternehmen, die sich auf die verschobenen Fristen verlassen, verspielen nicht nur Compliance-Vorteile, sondern auch die Chance, ihre Organisationen frühzeitig und strukturiert auf die Integration von KI vorzubereiten. Es geht nicht darum, sich abhängig von externen KI-Anbietern zu machen, sondern darum, die eigenen Fähigkeiten auszubauen und digitale Souveränität zu bewahren. Das bedeutet, KI-Lösungen kritisch zu hinterfragen, deren Datenflüsse zu kontrollieren und sicherzustellen, dass die Technologie den Menschen befähigt, anstatt ihn zu ersetzen oder gar zu gefährden. Konkrete Massnahmen in den Bereichen Datenqualität, Transparenz und ein durchdachtes Change Management sind keine optionalen Extras, sondern fundamentale Voraussetzungen für den nachhaltigen Erfolg mit KI im DACH-Raum.

Fazit und Ausblick

Die KI-Regulierung, insbesondere durch den EU AI Act, hat im Oktober 2026 eine kritische Phase erreicht, die für DACH-Unternehmen konkrete Handlungspflichten mit sich bringt. Die Verschiebung der Fristen für Hochrisiko-KI-Systeme mag eine vermeintliche Atempause verschaffen, entbindet jedoch keineswegs von der Pflicht, die bereits geltenden Transparenz- und GPAI-Regeln umgehend umzusetzen. Verstösse können zu erheblichen Geldbussen und einem schweren Reputationsverlust führen. Unternehmen sind gut beraten, diese Aspekte nicht zu unterschätzen und proaktiv zu agieren.

Der Schweizer Sonderweg, der das revDSG konsequent auf KI-Anwendungen anwendet, erfordert für Unternehmen mit EU-Geschäft eine enge Abstimmung mit den europäischen Vorgaben. Dies dient der Vermeidung von Komplexität und der Gewährleistung von Rechtssicherheit. Die Notwendigkeit einer hohen Datenqualität, die Sicherstellung digitaler Souveränität und ein effektives Change Management sind übergeordnete Erfolgsfaktoren für die Integration von KI in die Arbeitswelt. Nur so lässt sich der vielzitierte „KI-Hype“ in nachhaltigen geschäftlichen Nutzen überführen und ein Wettbewerbsvorteil in einem sich schnell entwickelnden Markt sichern. Unternehmen, die jetzt die Weichen stellen, schaffen eine solide Basis für eine zukunftssichere und verantwortungsvolle Nutzung von Künstlicher Intelligenz.