EU AI Act und Schweizer DSG: Warum KI-Governance jetzt entscheidend ist

Der EU AI Act ist seit dem 1. August 2024 in Kraft, doch die eigentliche Arbeit für Unternehmen im DACH-Raum beginnt jetzt. Die gestaffelte Einführung wesentlicher Pflichten, ergänzt durch die „Digital-Omnibus-Verordnung (EU) 2026/1744“, und das Zusammenspiel mit nationalen Datenschutzgesetzen wie der DSGVO oder dem Schweizer Datenschutzgesetz (DSG) erfordern eine proaktive strategische Vorbereitung. Unternehmen können es sich nicht mehr leisten, abzuwarten. Es geht darum, die Potenziale der Künstlichen Intelligenz (KI) verantwortungsvoll zu nutzen und gleichzeitig rechtliche Risiken zu minimieren.

Die jüngsten Entwicklungen der letzten Wochen haben die Dringlichkeit für den Mittelstand im DACH-Raum noch einmal deutlich gemacht. Es reicht nicht, von KI zu sprechen. Vielmehr müssen konkrete Prozesse und Strukturen geschaffen werden, um den Einsatz von KI rechtskonform, ethisch vertretbar und wirtschaftlich erfolgreich zu gestalten. Kapitel H begleitet Sie dabei, eine robuste KI-Governance zu etablieren, die Befähigung statt Abhängigkeit fördert.

Der EU AI Act: Gestaffelte Pflichten und die Digital-Omnibus-Verordnung

Der Artificial Intelligence Act der Europäischen Union markiert einen weltweiten Meilenstein. Als erster umfassender Rechtsrahmen für KI ist er seit dem 1. August 2024 in Kraft. Die Anwendung der darin enthaltenen Pflichten erfolgt jedoch gestaffelt, was für viele Unternehmen eine komplexe Planung erfordert. Eine entscheidende und sehr aktuelle Neuerung ist die „Digital-Omnibus-Verordnung (EU) 2026/1744“, welche am 24. Juli 2026 veröffentlicht wurde und bereits am 27. Juli 2026 in Kraft trat. Diese Verordnung hat den ursprünglichen Zeitplan für zentrale Pflichten des AI Acts angepasst und bringt Klarheit, aber auch unmittelbare Handlungspflichten mit sich.

Konkrete Zeitrahmen und Pflichtenübersicht:

* Transparenzpflichten seit August 2026: Eine zentrale Änderung betrifft die Transparenz. Seit dem 2. August 2026 sind Unternehmen verpflichtet, in bestimmten Fällen klar kenntlich zu machen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Dies betrifft beispielsweise den Einsatz von Chatbots oder die Generierung von Texten, Bildern oder Videos durch KI. Nutzer müssen in die Lage versetzt werden, KI-generierte Inhalte als solche zu erkennen. Diese Pflichten sind somit bereits im Unternehmensalltag angekommen und erfordern eine sofortige Anpassung der internen Prozesse und der Kommunikation nach außen. * Verschiebung der Hochrisiko-Anforderungen: Die umfangreichsten und komplexesten Pflichten, die für Anbieter und Betreiber von Hochrisiko-KI-Systemen gelten, wurden vom ursprünglich geplanten August 2026 auf Dezember 2027 verschoben. Diese Systeme umfassen Anwendungen in kritischen Bereichen wie dem Personalwesen, beispielsweise für Recruiting oder Leistungsbewertung, der Kreditwürdigkeitsprüfung oder in der kritischen Infrastruktur. Obwohl diese Verschiebung Unternehmen mehr Zeit für die Implementierung gibt, wurden die inhaltlichen Anforderungen für Hochrisiko-Systeme nicht abgeschwächt. Sie bleiben umfassend und erfordern detaillierte Maßnahmen in Bezug auf Risikomanagement, Datenqualität, technische Robustheit, menschliche Aufsicht und Dokumentation. * Bereits geltende Verbote und GPAI-Regeln: Bereits in Kraft sind das Verbot bestimmter KI-Praktiken, wie beispielsweise das sogenannte Sozial-Scoring durch Behörden. Ebenso gelten bereits Pflichten zur Förderung der KI-Kompetenz und Regeln für KI-Systeme mit allgemeinem Verwendungszweck (General Purpose AI, GPAI). Die Digital-Omnibus-Verordnung hat zudem zusätzliche Verbote eingeführt, die ab dem 2. Dezember 2026 wirksam werden. Hierzu zählen insbesondere Verbote gegen KI-Systeme, die nicht-einvernehmliche sexuelle Deepfakes oder Darstellungen sexualisierter Gewalt gegen Kinder erzeugen.

Diese gestaffelte Einführung des AI Acts, gepaart mit den bereits geltenden Transparenzpflichten, verdeutlicht, dass der Handlungsbedarf für Unternehmen im DACH-Raum unmittelbar ist. Ein Abwarten ist nicht länger eine praktikable Strategie.

Neue Herausforderungen für DACH-Unternehmen: Warum KI-Governance jetzt entscheidend ist

Der Einsatz von KI ist in Unternehmen der DACH-Region keine Zukunftsmusik mehr. Laut einer PwC-Studie vom September 2026 nutzen bereits 64 Prozent der befragten Unternehmen KI-Anwendungen. Dies entspricht einem Zuwachs von 10 Prozentpunkten gegenüber dem Vorjahr. Viele kleine und mittlere Unternehmen (KMU) arbeiten bereits intensiv mit KI-Tools, oft ohne sich der vollen regulatorischen Tragweite bewusst zu sein. Diese Realität erfordert einen strategischen Ansatz, der über die reine Nutzung hinausgeht.

Die zentralen Herausforderungen für Unternehmen sind vielfältig und erfordern eine umfassende Betrachtung:

1. Aufbau einer robusten KI-Governance: Experten wie PwC und KPMG betonen übereinstimmend, dass ein frühzeitiger Aufbau einer belastbaren KI-Governance entscheidend ist. Diese Governance muss klare Verantwortlichkeiten definieren, präzise Richtlinien festlegen und effiziente Prozesse etablieren. Ihr Ziel ist es, die Risiken, die mit KI-Systemen verbunden sind, über den gesamten Lebenszyklus hinweg transparent und beherrschbar zu machen. Eine Studie von DXC Technology zeigt, dass zwar 80 Prozent der DACH-Unternehmen KI kontrollieren wollen, aber 66 Prozent bereits neue Compliance-Aufgaben durch intransparente KI-Entscheidungen haben. Dies belegt den dringenden Bedarf an strukturierten Governance-Frameworks, die von der Strategie bis zur operativen Umsetzung reichen. 2. Transparenz und Nachvollziehbarkeit als Vertrauensfaktor: Die seit August 2026 geltenden Transparenzpflichten sind mehr als nur eine regulatorische Anforderung. Sie sind ein Fundament für das Vertrauen der Nutzer und Kunden. Unternehmen, die KI zur Erstellung oder Veränderung von Inhalten nutzen, müssen dies klar und verständlich offenlegen. Dies schafft nicht nur Rechtssicherheit, sondern fördert auch die Akzeptanz von KI-Anwendungen, indem es den Bedenken der Nutzer Rechnung trägt. 3. Risikobasierter Ansatz für gezielte Compliance: Der EU AI Act folgt einem risikobasierten Ansatz, der KI-Systeme in verschiedene Kategorien einteilt: von „minimalem Risiko“ über „eingeschränktes Risiko“ und „hohes Risiko“ bis hin zu „inakzeptablem Risiko“. Unternehmen müssen ihre eingesetzten KI-Systeme entsprechend klassifizieren, um die jeweils geltenden Pflichten präzise zu identifizieren und zu erfüllen. Für Hochrisiko-KI-Systeme sind, wie erwähnt, umfangreiche Anforderungen an Datenqualität, Monitoring, Dokumentation und ein lückenloses Risikomanagement vorgesehen. Eine genaue Risikoanalyse ist daher unerlässlich. 4. Kompetenzaufbau und Change Management: Die Einführung und der rechtskonforme Einsatz von KI erfordern neue Kompetenzen in den Unternehmen. Der TÜV Rheinland weist auf einen zunehmenden Qualifizierungsbedarf im Spannungsfeld zwischen KI und Datenschutz hin. Laut McKinsey betrachten 48 Prozent der Beschäftigten Schulungen als wichtigsten Erfolgsfaktor für die Einführung von KI. Doch viele fühlen sich noch unzureichend vorbereitet. Ein konsequentes Change Management ist erforderlich, um die Belegschaft aktiv in den Wandel einzubeziehen. Ziel ist es, die Produktivitätspotenziale der KI wirklich zu heben, anstatt sie durch unnötigen Nachbearbeitungsaufwand oder Widerstände zu schmälern. Dies schließt auch die Sensibilisierung für rechtliche und ethische Aspekte mit ein. 5. Audit-Logs und lückenlose Dokumentation: Die Klassifizierung von KI-Systemen, die Durchführung von Schulungen und die Erstellung von Audit-Logs sind keine Optionen, sondern gesetzliche Anforderungen, die Unternehmen umsetzen müssen. Eine lückenlose Dokumentation der Entscheidungswege und Prozesse von KI-Systemen ist für die Rechenschaftspflicht und die Einhaltung der Vorgaben des AI Acts unerlässlich.

Spezialfall Schweiz: KI-Regulierung zwischen DSG und EU-Anforderungen

Während die Europäische Union mit dem AI Act einen neuen, umfassenden Rechtsrahmen für KI schafft, verfolgt die Schweiz einen anderen Ansatz. Der Bundesrat hat sich bewusst gegen ein eigenes, umfassendes KI-Gesetz entschieden. Stattdessen setzt die Schweiz auf die bestehenden, technologieneutralen Rechtsnormen, insbesondere das revidierte Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist.

Was bedeutet dieser Ansatz für Schweizer Unternehmen?

* Das DSG als massgebendes Regelwerk: Das Schweizer Datenschutzgesetz ist das zentrale Regelwerk für den Einsatz von KI, sobald personenbezogene Daten verarbeitet werden. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) fordert Transparenz über den Zweck, die Funktion und die Datenquellen von KI-Anwendungen sowie eine menschliche Überprüfung bei erheblichen automatisierten Einzelentscheidungen. Dies bedeutet, dass Schweizer Unternehmen die Prinzipien des Datenschutzes, wie etwa Datensparsamkeit, Zweckbindung und die Möglichkeit zur Information und Korrektur, konsequent auf ihre KI-Systeme anwenden müssen. * Kein Abwarten trotz fehlendem KI-Gesetz: Obwohl die Schweiz kein separates KI-Gesetz besitzt, bedeutet dies keineswegs, dass Schweizer Unternehmen keine Pflichten im Kontext von KI haben. Die bestehenden Datenschutzpflichten müssen konsequent auf KI-Anwendungen übertragen und angewendet werden. Darüber hinaus hat die Schweiz angekündigt, die KI-Konvention des Europarats in nationales Recht zu überführen. Auch diese Konvention rückt Transparenz, Verantwortlichkeit und Datenschutz in den Vordergrund. Eine Vernehmlassungsvorlage wird bis Ende 2026 erwartet, was weitere Anpassungen erforderlich machen könnte. * EU AI Act bei EU-Bezug: Schweizer Unternehmen, die Geschäftsbeziehungen mit der EU unterhalten, Kunden in der EU haben oder personenbezogene Daten aus der EU verarbeiten, müssen zusätzlich die Bestimmungen der DSGVO und, je nach Anwendungsfall und Art des eingesetzten KI-Systems, auch die des EU AI Act beachten. Dies schafft eine komplexe, multi-jurisdiktionelle Rechtslandschaft, die eine genaue Prüfung jedes einzelnen KI-Anwendungsfalls erfordert. Eine einfache Abgrenzung zwischen EU und Schweiz ist oft nicht möglich, da die digitale Vernetzung grenzüberschreitende Compliance-Anforderungen mit sich bringt.

Schweizer Unternehmen müssen daher eine differenzierte Strategie verfolgen, die sowohl die nationalen Gegebenheiten des DSG als auch die potenziellen Auswirkungen des EU AI Acts berücksichtigt.

Datenschutz und KI-Sicherheit als Grundpfeiler

Unabhängig von der spezifischen Regulierung, sei es der EU AI Act oder das Schweizer DSG, sind Datenschutz und KI-Sicherheit für alle DACH-Unternehmen von höchster Relevanz. Die sorgfältige Handhabung von Daten ist keine Option, sondern eine Notwendigkeit und ein Wettbewerbsfaktor. Fragen wie „Darf ich Kundendaten in ChatGPT eingeben?“ dürfen nicht pauschal beantwortet werden, sondern hängen vom genutzten Tarif, dem spezifischen Verwendungszweck und der erforderlichen Rechtsgrundlage ab.

Wichtige Aspekte für den datenschutzkonformen Einsatz von KI-Plattformen sind:

* Hosting in der EU: Um die Einhaltung europäischer Datenschutzstandards zu gewährleisten, ist es oft ratsam, KI-Plattformen zu wählen, deren Datenhosting in der Europäischen Union erfolgt. * Zero-Data-Retention: Achten Sie auf Anbieter, die eine „Zero-Data-Retention“-Politik verfolgen, das heißt, Ihre Eingaben nicht zum Training des KI-Modells nutzen. Dies ist entscheidend, um die Vertraulichkeit und den Schutz Ihrer Daten zu gewährleisten. * Auftragsverarbeitungsverträge (AVV): Der Abschluss von Auftragsverarbeitungsverträgen (AVV) gemäß Artikel 28 DSGVO ist obligatorisch, wenn Sie als Unternehmen personenbezogene Daten durch Dritte, wie KI-Anbieter, verarbeiten lassen. Diese Verträge regeln die Verantwortlichkeiten und Pflichten im Umgang mit den Daten.

Zudem gewinnen Cyber-Resilienz und die Sicherheit der KI-Systeme selbst zunehmend an Bedeutung. Unternehmen setzen KI zunehmend als festen Bestandteil ihrer Sicherheitsstrategie ein, bleiben jedoch bei autonomen Entscheidungen vorsichtig. Sie fordern menschliche Aufsicht und digitale Souveränität von Anbietern. Der Cyber Resilience Act (CRA) der EU, dessen Anforderungen ab September 2026 für die Meldung von Schwachstellen und ab Dezember 2027 für weitere Anforderungen greifen, wird ebenfalls die Sicherheitsstandards für digitale Produkte, die KI enthalten, erhöhen. Dies betrifft nicht nur die Betreiber, sondern auch die Entwickler und Anbieter von KI-Software.

Praktische Handlungsempfehlungen für Unternehmen

Der Handlungsdruck ist real und erfordert konkrete Schritte. Um die Herausforderungen des EU AI Acts und des Schweizer DSG zu meistern und die Potenziale der KI zu nutzen, empfehlen wir Ihnen folgende Maßnahmen:

1. Risikobewertung und Inventarisierung der KI-Systeme: Führen Sie eine umfassende Inventarisierung aller in Ihrem Unternehmen genutzten KI-Systeme durch. Klassifizieren Sie diese Systeme gemäß dem risikobasierten Ansatz des EU AI Acts. Eine genaue Einschätzung des Risikos ist die Grundlage für alle weiteren Compliance-Maßnahmen. 2. Entwicklung einer KI-Governance-Strategie: Etablieren Sie eine klare KI-Governance. Dazu gehören die Festlegung von Verantwortlichkeiten, die Erstellung interner Richtlinien für den KI-Einsatz, die Definition von Prozessen für das Risikomanagement und die Überwachung von KI-Systemen. Integrieren Sie Datenschutz und Datensicherheit von Beginn an. 3. Transparenzpflichten umsetzen: Überprüfen und passen Sie Ihre Kommunikationsprozesse an, um die seit August 2026 geltenden Transparenzpflichten zu erfüllen. Machen Sie klar kenntlich, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden. Dies schafft Vertrauen und vermeidet rechtliche Risiken. 4. Kompetenzaufbau und Schulungen: Investieren Sie in die Weiterbildung Ihrer Mitarbeiter. Schulungen zu den Grundlagen von KI, zu den rechtlichen Anforderungen des AI Acts und des DSG sowie zu ethischen Aspekten sind unerlässlich. Fördern Sie eine Kultur, die den verantwortungsvollen Umgang mit KI unterstützt. 5. Dokumentation und Audit-Fähigkeit: Sorgen Sie für eine lückenlose Dokumentation des gesamten Lebenszyklus Ihrer KI-Systeme. Dies umfasst die Klassifizierung, die Risikobewertung, die implementierten Sicherheitsmaßnahmen und die Ergebnisse von Überwachungsaktivitäten. Audit-Logs sind dabei ein wichtiges Werkzeug, um die Nachvollziehbarkeit von KI-Entscheidungen sicherzustellen. 6. Prüfung von Drittanbieter-Lösungen: Wenn Sie KI-Dienste von Drittanbietern nutzen, prüfen Sie deren Compliance mit dem EU AI Act, der DSGVO und, falls relevant, dem Schweizer DSG. Achten Sie auf Serverstandorte, Zero-Data-Retention-Politiken und schließen Sie notwendige Auftragsverarbeitungsverträge ab.

Kritische Einordnung aus Kapitel-H-Sicht

Die jüngsten Entwicklungen unterstreichen, was wir bei Kapitel H seit langem betonen: KI ist kein Buzzword, sondern ein Werkzeug, das mit Bedacht und Struktur eingesetzt werden muss. Der Hype um neue KI-Modelle darf nicht den Blick auf die fundamentalen Aspekte der Governance und Compliance verstellen. Die Verschiebung der Hochrisiko-Anforderungen im EU AI Act auf Dezember 2027 ist keine Lizenz zum Abwarten, sondern eine wertvolle Atempause. Unternehmen sollten diese nutzen, um ihre Hausaufgaben zu machen und eine solide Basis zu schaffen.

Wir sehen oft, dass Unternehmen schnell KI-Tools einführen, ohne die internen Prozesse, Verantwortlichkeiten und rechtlichen Rahmenbedingungen ausreichend zu klären. Das führt zu erhöhten Risiken, potenziellen Reputationsschäden und ineffizientem Einsatz der Technologie. Eine KI-Strategie, die auf Befähigung statt Abhängigkeit setzt, muss von Grund auf solide sein. Sie muss rechtliche, ethische und technische Aspekte von Anfang an integrieren. Nur so können Unternehmen die echten Potenziale der KI heben und gleichzeitig das Vertrauen ihrer Kunden und Partner stärken.

Es geht nicht darum, den Einsatz von KI zu verteufeln oder zu verbieten, sondern darum, ihn kontrolliert, transparent und verantwortungsvoll zu gestalten. Dies erfordert pragmatische Lösungen, die auf den konkreten Anwendungsfällen der DACH-Mittelstandsunternehmen basieren und nicht auf abstrakten Idealvorstellungen. Kapitel H setzt sich dafür ein, dass Unternehmen die Kontrolle über ihre KI-Systeme behalten und nicht von externen Anbietern oder undurchsichtigen Prozessen abhängig werden.

Fazit: Jetzt handeln für eine verantwortungsvolle KI-Zukunft

Die letzten Wochen haben die regulatorische Dynamik rund um Künstliche Intelligenz für den DACH-Arbeitsmarkt noch einmal deutlich verdeutlicht. Mit den gestaffelten Inkrafttreten des EU AI Act, insbesondere der bereits geltenden Transparenzpflichten, und der konsequenten Anwendung des revidierten Schweizer Datenschutzgesetzes auf KI-Anwendungen, stehen Unternehmen vor erheblichen Herausforderungen. Der Fokus verschiebt sich unwiderruflich von der reinen Experimentierphase hin zur Etablierung einer umfassenden KI-Governance, die rechtliche, ethische, technische und organisatorische Aspekte integriert.

Dies erfordert nicht nur die Anpassung von Prozessen und die Sicherstellung der Compliance, sondern auch einen strategischen Aufbau von KI-Kompetenzen innerhalb der Belegschaft. Abwarten ist keine Option mehr, sondern ein Risiko. Proaktives Handeln und der Aufbau von Vertrauen durch Transparenz und kontrollierbaren KI-Einsatz sind entscheidend, um die Potenziale der KI im DACH-Raum verantwortungsvoll und wettbewerbsfähig zu nutzen. Unternehmen, die jetzt die Weichen stellen, werden langfristig profitieren und sich als vertrauenswürdige Akteure in der digitalen Wirtschaft positionieren. Beginnen Sie heute damit, Ihre KI-Governance zu überprüfen und zukunftssicher zu gestalten. Die Zeit dafür ist jetzt.