EU AI Act: Transparenzpflichten ab August 2026 fordern DACH-Unternehmen

Der EU AI Act stellt den weltweit ersten umfassenden Rechtsrahmen für Künstliche Intelligenz dar. Seit seinem Inkrafttreten am 1. August 2024 markiert er einen Wendepunkt für Unternehmen, die KI-Systeme entwickeln oder nutzen. Während die vollständige Anwendbarkeit gestaffelt erfolgt, rückt der 2. August 2026 als nächster entscheidender Stichtag näher. An diesem Datum treten insbesondere die Transparenzpflichten in Kraft, die weitreichende Konsequenzen für den Mittelstand im DACH-Raum haben.

Die Einführung des EU AI Acts zielt darauf ab, das Vertrauen in KI zu stärken und gleichzeitig die Grundrechte sowie die Sicherheit der Bürger zu schützen. Die Verordnung verfolgt einen risikobasierten Ansatz, der KI-Systeme in Kategorien von verboten bis minimalem Risiko einteilt. Dieser differenzierte Blick soll eine zielgerichtete Regulierung ermöglichen, ohne Innovationen unnötig zu behindern. Für Unternehmen bedeutet dies eine genaue Analyse ihrer eingesetzten oder entwickelten KI-Systeme und eine proaktive Anpassung ihrer Prozesse.

Die gestuften Fristen des EU AI Acts: Ein Überblick

Die Komplexität des EU AI Acts liegt in seiner gestaffelten Implementierung. Bereits im Februar 2025 traten erste Verbote bestimmter KI-Praktiken in Kraft, wie beispielsweise Social Scoring oder manipulative Systeme. Diese Fristen zeigen, dass die EU ernsthaft daran interessiert ist, die negativen Auswirkungen von KI zu minimieren, noch bevor die Technologie flächendeckend Einzug in alle Lebensbereiche hält. Solche Verbote sind ein klares Signal an Entwickler und Anwender, ethische und grundrechtliche Aspekte von Anfang an zu berücksichtigen.

Der 2. August 2026 ist die nächste wichtige Marke. An diesem Tag werden die Transparenzpflichten des Artikels 50 des AI Acts verbindlich. Dies umfasst die Kennzeichnung von KI-Chatbots und KI-generierten Inhalten. Wenngleich die spezifischen Anforderungen für Wasserzeichen erst zum 2. Dezember 2026 greifen, sollten Unternehmen bereits jetzt die technischen und prozessualen Voraussetzungen für eine transparente Kommunikation schaffen. Dazu gehört auch die Pflicht zur KI-Kompetenz der Belegschaft gemäß Artikel 4, die bereits seit Februar 2025 gilt, aber nun stärker in den Fokus der nationalen Marktüberwachungsbehörden rücken wird.

Darüber hinaus gibt es durch den sogenannten „Digital Omnibus“ Verschiebungen für Hochrisiko-KI-Systeme. Ursprünglich sollten diese ebenfalls ab August 2026 den vollen Compliance-Anforderungen genügen. Nun gelten für Hochrisiko-KI-Systeme mit Anwendungsfall gemäß Anhang III, zum Beispiel in den Bereichen Beschäftigung oder Personalmanagement, längere Übergangsfristen bis zum 2. Dezember 2027. Für KI-Systeme, die als Sicherheitskomponenten in Produkten nach Anhang I eingesetzt werden, wie etwa in Medizinprodukten oder Maschinen, verlängert sich diese Frist sogar bis zum 2. August 2028. Diese Anpassungen bieten den Unternehmen zwar zusätzliche Zeit, sollten jedoch nicht als Freifahrtschein zur Untätigkeit missverstanden werden. Die grundlegende Klassifizierung eines Systems als Hochrisiko bleibt bestehen und die Notwendigkeit zur Vorbereitung ist unverändert hoch.

Was die Transparenzpflichten ab August 2026 für Unternehmen bedeuten

Der bevorstehende Stichtag am 2. August 2026 markiert den Beginn einer neuen Ära der Rechenschaftspflicht im Umgang mit KI. Unternehmen, die KI-Chatbots oder generative KI-Systeme nutzen, müssen sicherstellen, dass die Endnutzer klar erkennen können, ob sie mit einem Menschen oder einer Maschine interagieren beziehungsweise ob ein Inhalt von einer KI generiert wurde. Dies ist keine geringfügige Anpassung, sondern erfordert oft grundlegende Änderungen in der Art und Weise, wie KI-Anwendungen in Kundeninteraktionen oder bei der Inhaltserstellung eingesetzt werden.

Nehmen wir das Beispiel eines Kundenservice-Chatbots. Ab August 2026 muss ein solcher Chatbot seine Natur klar kommunizieren. Das kann durch einen initialen Hinweis geschehen, wie „Sie sprechen hier mit einem automatisierten System“ oder durch eine permanente Kennzeichnung im Chatfenster. Ziel ist es, Irreführung zu vermeiden und das Vertrauen der Nutzer zu stärken. Ähnliches gilt für KI-generierte Texte, Bilder oder Videos. Eine von KI erstellte Marketingkampagne oder ein Produktbild müssen als solches kenntlich gemacht werden. Die Implementierung von technischen Wasserzeichen wird hier eine Rolle spielen, wobei die genauen Vorgaben dafür erst Ende 2026 erwartet werden. Unternehmen müssen jedoch bereits jetzt überlegen, wie sie diese Kennzeichnung in ihren kreativen Prozessen integrieren können.

Parallel dazu beginnt ab August 2026 auch die nationale Marktüberwachung. In Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Instanz fungieren, ergänzt durch branchenspezifische Behörden wie die BaFin für den Finanzsektor oder das BfArM für Medizinprodukte. Diese Behörden werden die Einhaltung der Vorschriften überwachen und bei Verstößen Sanktionen verhängen. Für österreichische Unternehmen koordiniert die RTR die Vorbereitungen. Die Existenz dieser Überwachungsstrukturen unterstreicht die Ernsthaftigkeit, mit der die Einhaltung des AI Acts durchgesetzt werden soll. Eine frühzeitige Auseinandersetzung mit den Anforderungen ist daher nicht optional, sondern eine Notwendigkeit zur Risikominimierung.

Die Schweizer Perspektive: nDSG und die Reichweite des EU AI Acts

Für Schweizer Unternehmen ist die Situation durch die Nicht-Mitgliedschaft in der EU komplexer. Das revidierte Schweizer Datenschutzgesetz (nDSG), in Kraft seit dem 1. September 2023, ist technologieneutral konzipiert und findet direkte Anwendung auf KI-gestützte Datenverarbeitungen, die Personendaten betreffen. Dies bedeutet, dass die blosse DSGVO-Konformität eines Tools nicht ausreicht, um nDSG-Anforderungen zu erfüllen. Schweizer Unternehmen müssen eine doppelte Compliance-Prüfung vornehmen.

Die nDSG legt ebenfalls Wert auf Transparenz, Privacy by Design und Privacy by Default sowie auf Regelungen zu automatisierten Einzelentscheidungen und Profiling. Diese Prinzipien ähneln denen der DSGVO, weichen aber in Details ab. Ein Anbieter, der ausschliesslich mit DSGVO-Konformität wirbt, mag für Schweizer Unternehmen unzureichend sein. Dies erfordert eine kritische Prüfung der Verträge und der technischen Umsetzung bei der Auswahl und Nutzung von KI-Diensten.

Darüber hinaus sind Schweizer Unternehmen nicht von den Auswirkungen des EU AI Acts ausgeschlossen. Wenn sie KI-Systeme in die EU anbieten, Produkte in die EU exportieren, die KI-Komponenten enthalten, oder wenn der Output ihrer KI-Systeme in der EU genutzt wird, fallen sie in den Anwendungsbereich des Gesetzes. Die potenziellen Bussgelder für Verstösse sind erheblich, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Dies erfordert von Schweizer Unternehmen eine genaue Analyse ihrer Geschäftstätigkeiten und eine Anpassung ihrer KI-Systeme an beide Regelwerke, das nDSG und den EU AI Act, um rechtliche und finanzielle Risiken zu minimieren.

Handlungsempfehlungen für DACH-Unternehmen

Um den Anforderungen des EU AI Acts gerecht zu werden und die Chancen von KI verantwortungsvoll zu nutzen, sind proaktive Schritte unerlässlich. Die folgenden Empfehlungen bieten einen pragmatischen Fahrplan für Unternehmen im DACH-Raum:

1. KI-Inventar erstellen und Risiken bewerten: Beginnen Sie mit einer umfassenden Erfassung aller aktuell genutzten oder in Entwicklung befindlichen KI-Systeme. Kategorisieren Sie diese nach ihrem Risikopotenzial gemäss den Definitionen des EU AI Acts, insbesondere im Hinblick auf Hochrisiko-Anwendungen. Dieses Inventar bildet die Grundlage für alle weiteren Compliance-Massnahmen.

2. Rollen und Verantwortlichkeiten definieren: Etablieren Sie klare Zuständigkeiten für die KI-Governance und -Compliance innerhalb Ihres Unternehmens. Wer ist für die Umsetzung der Transparenzpflichten verantwortlich? Wer überwacht die Einhaltung der Datenschutzbestimmungen? Eine zentrale Koordination ist entscheidend, um Fragmentierung und Doppelarbeit zu vermeiden.

3. Mitarbeiterkompetenz aufbauen: Investieren Sie in die Schulung Ihrer Belegschaft. Mitarbeiter müssen die Grundlagen von KI verstehen, deren Funktionsweise, potenzielle Risiken und den verantwortungsvollen Umgang mit KI-Tools. Dies reicht von der Sensibilisierung für Datensicherheit bis zur Fähigkeit, KI-generierte Inhalte als solche zu erkennen und entsprechend zu kennzeichnen.

4. Provider-Dokumentation sorgfältig prüfen: Bei der Nutzung externer KI-Tools ist eine detaillierte Dokumentation der Anbieter, der eingesetzten Algorithmen und der Datenverarbeitungsprozesse unerlässlich. Verlangen Sie von Ihren Dienstleistern umfassende Auskünfte zur Konformität mit dem EU AI Act und dem nDSG. Stellen Sie sicher, dass Auftragsverarbeitungsverträge (AV-Verträge) den Anforderungen der DSGVO entsprechen, sofern personenbezogene Daten verarbeitet werden.

5. Transparenzpflichten umsetzen: Ab dem 2. August 2026 müssen KI-Chatbots und generierte Inhalte klar gekennzeichnet werden. Prüfen Sie frühzeitig, welche technischen Anpassungen in Ihren Systemen notwendig sind, um diese Kennzeichnung zu gewährleisten. Dies kann die Integration von Hinweisen in Benutzeroberflächen oder die Implementierung von Metadaten in digitalen Inhalten umfassen.

6. Datenschutz als integralen Bestandteil betrachten: Der EU AI Act ergänzt die bestehenden Datenschutzgesetze wie die DSGVO und das Schweizer nDSG. Eine ganzheitliche Betrachtung ist notwendig. Überprüfen Sie, wie Ihre KI-Systeme personenbezogene Daten verarbeiten und stellen Sie sicher, dass alle datenschutzrechtlichen Anforderungen, einschliesslich der Rechte der betroffenen Personen, erfüllt sind. Missachtung kann hohe Bussgelder und Reputationsschäden nach sich ziehen.

7. Datensouveränität gewährleisten: Gerade bei sensiblen Unternehmensdaten ist die Debatte um Datensouveränität von grosser Relevanz. Berichte deuten darauf hin, dass US-Anbieter aufgrund des CLOUD Acts die europäische Datensouveränität nicht uneingeschränkt garantieren können. Prüfen Sie alternative Lösungen, wie beispielsweise die lokale Ausführung von KI-Inferenzmodellen (Self-Hosted KI), um die Kontrolle über Ihre Daten zu behalten und die Anforderungen an Datenschutz und Vertraulichkeit zu erfüllen.

Kritische Einordnung aus Kapitel-H-Sicht

Die Einführung des EU AI Acts, insbesondere die bevorstehenden Transparenzpflichten, sind keine bürokratische Last, sondern eine Chance für Unternehmen, Vertrauen aufzubauen und sich zukunftsfähig aufzustellen. Es ist bemerkenswert, dass viele Mittelständler noch immer zögern, nennenswerte Investitionen in KI zu tätigen oder eine klare Strategie zu entwickeln. Dies basiert oft auf der falschen Annahme, der konkrete wirtschaftliche Nutzen sei noch nicht ersichtlich oder die Technologie noch zu unreif. Eine solche Haltung kann jedoch einen erheblichen Wettbewerbsnachteil bedeuten.

KI ist nicht nur ein Technologieprojekt, sondern primär ein Projekt der Organisationsentwicklung. Der wahre Wert von KI entfaltet sich erst, wenn sie strategisch in Geschäftsprozesse integriert wird, unterstützt durch eine solide Datenbasis und die aktive Einbindung der Mitarbeiter. Wenn Unternehmen diese Governance-Aspekte vernachlässigen, laufen sie Gefahr, Millioneninvestitionen in KI zu tätigen, die dann nicht den gewünschten Mehrwert liefern. Es geht nicht darum, blind jedem Hype zu folgen, sondern darum, pragmatisch und zielgerichtet jene KI-Anwendungen zu identifizieren und zu implementieren, die einen realen Nutzen stiften und die Arbeitsproduktivität steigern können.

Die Verschiebungen für Hochrisiko-KI-Systeme dürfen nicht als Entwarnung missverstanden werden. Sie bieten lediglich mehr Zeit für die Vorbereitung. Die grundlegende Pflicht zur Risikoanalyse, zur Definition von Verantwortlichkeiten und zum Aufbau von KI-Kompetenz bleibt bestehen und ist für jede Art von KI-Einsatz von Bedeutung. Eine frühzeitige Auseinandersetzung mit diesen Themen ermöglicht es Unternehmen, nicht nur die regulatorischen Anforderungen zu erfüllen, sondern auch ihre internen Prozesse zu optimieren und die Akzeptanz von KI in der Belegschaft zu fördern. Letztendlich geht es darum, KI als Werkzeug zu verstehen, das bei richtiger Anwendung die Effizienz und Innovationskraft eines Unternehmens erheblich steigern kann, ohne dabei die Kontrolle zu verlieren oder unnötige Risiken einzugehen.

Fazit: Verantwortungsvolle KI als Wettbewerbsfaktor

Der EU AI Act und seine schrittweise Implementierung, insbesondere die Transparenzpflichten ab August 2026, stellen eine unmittelbare Herausforderung für Unternehmen im DACH-Raum dar. Doch diese Herausforderung birgt auch eine erhebliche Chance. Wer jetzt proaktiv handelt, die eigenen KI-Systeme inventarisiert, Risiken bewertet, Mitarbeiter schult und die nötigen Transparenzmechanismen implementiert, sichert sich nicht nur rechtlich ab, sondern schafft auch Vertrauen bei Kunden und Mitarbeitern.

Ein strategisches Vorgehen, das Compliance und datenschutzrechtliche Aspekte von Anfang an berücksichtigt, ist entscheidend. Es geht darum, KI verantwortungsvoll zu nutzen und das volle Potenzial dieser Technologie im Arbeitsalltag zu entfalten, ohne sich von Hype leiten zu lassen oder unnötige Abhängigkeiten zu schaffen. Schweizer Unternehmen müssen dabei zusätzlich die Anforderungen des nDSG berücksichtigen. Durch eine fundierte Auseinandersetzung mit den Vorgaben des EU AI Acts können Unternehmen im DACH-Raum eine Vorreiterrolle einnehmen und KI als echten Wettbewerbsfaktor etablieren.