EU AI Act: Transparenzpflichten seit 2. August 2026 verbindlich im DACH-Raum

# EU AI Act: Transparenzpflichten seit 2. August 2026 verbindlich im DACH-Raum

Während die Nachrichten über Künstliche Intelligenz (KI) oft von neuen, leistungsfähigeren Modellen oder weitreichenden Visionen dominiert werden, gibt es eine Entwicklung, die weit direkter und unmittelbarer den Geschäftsalltag im DACH-Raum beeinflusst: Seit dem 2. August 2026 sind zentrale Transparenzpflichten des EU AI Act verbindlich in Kraft getreten. Dieser Stichtag markiert eine signifikante Zäsur für Unternehmen aller Größen und Branchen. Es geht nicht mehr um die Zukunft der KI, sondern um konkrete, bereits geltende Regeln für ihren Einsatz, die unmittelbar die rechtliche Verantwortung und den operativen Alltag von Unternehmen betreffen.

Die EU-Verordnung über künstliche Intelligenz ist nicht nur ein weiterer Gesetzestext. Sie ist der erste umfassende Rechtsrahmen weltweit, der den Einsatz von KI reguliert. Für den Mittelstand in Deutschland, Österreich und der Schweiz bedeutet dies, dass die Phase des informellen Experimentierens mit KI-Tools nun in eine Phase der strukturierten Compliance übergeht. Wer die neuen Pflichten ignoriert, riskiert nicht nur rechtliche Konsequenzen, sondern auch einen Vertrauensverlust bei Kunden und Mitarbeitenden. Wir beleuchten, welche Pflichten nun gelten und was Unternehmen konkret unternehmen müssen.

Hintergrund und Zeitplan des EU AI Act

Der EU AI Act, offiziell bekannt als Verordnung (EU) 2024/1689 über künstliche Intelligenz, ist am 1. August 2024 in Kraft getreten. Seine Anwendbarkeit erfolgt jedoch gestaffelt, um Unternehmen und Behörden ausreichend Zeit für die Anpassung zu geben. Ursprünglich war der 2. August 2026 als umfassender Geltungsbeginn für viele Bestimmungen vorgesehen, einschliesslich der Regeln für Hochrisiko-KI-Systeme.

Eine kürzlich verabschiedete Änderung, die sogenannte Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, die am 27. Juli 2026 in Kraft trat, hat jedoch einige dieser Fristen für Hochrisiko-KI-Systeme verschoben. So greifen die Pflichten für eigenständige Hochrisiko-KI-Systeme, die in Anhang III der Verordnung aufgeführt sind, nun erst ab dem 2. Dezember 2027. Für Hochrisiko-KI-Systeme, die in regulierte Produkte wie Medizinprodukte oder Spielzeug eingebettet sind, wie sie in Anhang I beschrieben werden, beginnt die Anwendbarkeit sogar erst ab dem 2. August 2028.

Diese Verschiebungen haben in vielen Medien zu der Annahme geführt, dass Unternehmen noch genügend Zeit hätten, sich auf die Regulierung einzustellen. Dies ist ein Trugschluss, der erhebliche Risiken birgt. Denn trotz dieser Anpassungen bleibt ein zentraler Teil des AI Acts unverändert und ist seit dem 2. August 2026 vollumfänglich in Kraft: die Transparenzpflichten nach Artikel 50 der KI-Verordnung. Diese sind für eine Vielzahl von Unternehmen im DACH-Raum von unmittelbarer Bedeutung und erfordern sofortiges Handeln.

Die unmittelbar geltenden Transparenzpflichten (Art. 50 KI-VO)

Artikel 50 der KI-Verordnung legt klare Anforderungen an die Transparenz im Umgang mit KI-Systemen fest. Diese Pflichten sollen sicherstellen, dass natürliche Personen wissen, wann sie mit KI interagieren oder wann Inhalte durch KI erzeugt oder manipuliert wurden. Es handelt sich um drei Kernbereiche, die seit dem 2. August 2026 bindend sind:

1. Interaktion mit KI-Systemen: Unternehmen, die KI-Systeme für die direkte Interaktion mit natürlichen Personen bereitstellen, müssen sicherstellen, dass die Nutzer über die Interaktion mit einer KI informiert werden. Dies betrifft beispielsweise Chatbots im Kundenservice, Sprachassistenten bei der telefonischen Bearbeitung von Anfragen oder auch KI-Tools im HR-Bereich, die Mitarbeitende bei Routineaufgaben unterstützen. Die Anforderung ist klar: Wenn ein Kunde oder Mitarbeiter mit einer Maschine kommuniziert, muss dies klar erkennbar sein. Ein einfacher, verständlicher Hinweis zu Beginn der Interaktion ist hierfür erforderlich. Das vermeidet Missverständnisse und schafft eine ehrliche Kommunikationsbasis.

2. Kennzeichnung von KI-generierten Inhalten: Eine weitere zentrale Pflicht betrifft die Kennzeichnung von Inhalten, die von KI-Systemen erzeugt oder wesentlich verändert wurden. Dies umfasst Audio-, Bild-, Video- oder Textinhalte, sogenannte «Deepfakes» oder «synthetische Medien». Wenn Ihr Unternehmen beispielsweise KI-generierte Bilder für Marketingkampagnen nutzt, KI-Stimmen in Werbespots einsetzt oder mit generativer KI Texte für Webseiten oder Social Media erstellt, müssen diese Inhalte so gekennzeichnet werden, dass ihr künstlicher Ursprung oder ihre Manipulation erkennbar ist. Die Kennzeichnung muss unmittelbar am Inhalt erfolgen. Ein versteckter Hinweis im Impressum oder auf einer allgemeinen Transparenzseite reicht hierfür nicht aus. Dies stellt sicher, dass Nutzer den Ursprung der Informationen und deren mögliche Beeinflussung durch KI nachvollziehen können. Bei Texten entfällt die Kennzeichnungspflicht, wenn ein Mensch den Inhalt überprüft und die redaktionelle Verantwortung dafür übernimmt, was die Unterscheidung zwischen unterstützender KI und autonomer KI-Schöpfung klarstellt.

3. Hinweis auf Emotionserkennung und biometrische Kategorisierung: KI-Systeme, die zur Emotionserkennung oder biometrischen Kategorisierung natürlicher Personen eingesetzt werden, müssen die betroffenen Personen darüber informieren. Obwohl der Einsatz solcher Systeme im DACH-Mittelstand seltener ist als die ersten beiden Punkte, müssen Unternehmen, die solche Technologien einführen oder betreiben, diese Informationspflicht gewissenhaft erfüllen. Dies betrifft beispielsweise Systeme, die versuchen, Stimmungen von Kunden in Call-Centern zu analysieren oder bestimmte Personengruppen anhand biometrischer Merkmale zu kategorisieren. Auch hier steht die Transparenz gegenüber den Betroffenen im Vordergrund.

Breite Betroffenheit im DACH-Mittelstand

Ein häufiger Irrtum im Zusammenhang mit dem EU AI Act ist die Annahme, dass er primär grosse Technologiekonzerne oder spezialisierte KI-Entwickler betrifft. Die Realität ist jedoch, dass nahezu jedes Unternehmen im DACH-Raum betroffen ist, das KI entwickelt, vertreibt oder, was am häufigsten zutrifft, einsetzt. Gerade im Mittelstand sind viele kleine und mittlere Unternehmen (KMU) bereits intensiv mit KI-Tools in Berührung gekommen, oft ohne sich der rechtlichen Implikationen bewusst zu sein.

Die Verbreitung von sogenannten «Schatten-KI» oder «Shadow IT» verschärft dieses Problem. Einzelne Abteilungen oder Mitarbeitende führen eigenständig KI-Tools ein, beispielsweise um Texte zu verfassen, Bilder zu generieren oder Daten zu analysieren, ohne dass eine zentrale Steuerung oder eine Prüfung der Compliance erfolgt. Dies birgt erhebliche Risiken, da die Verantwortung für die Einhaltung der Verordnung oft unklar bleibt und die Geschäftsleitung möglicherweise keine Kenntnis von allen im Einsatz befindlichen KI-Anwendungen hat.

Betrachten wir einige konkrete Beispiele aus dem Unternehmensalltag, die unter die neuen Transparenzpflichten fallen können:

* Vertrieb und Marketing: Der Einsatz von generativer KI, wie beispielsweise ChatGPT, zur direkten Kundenkommunikation oder zur Erstellung von personalisierten Marketingtexten und Bildern für Kampagnen. Jeder generierte Inhalt, der veröffentlicht wird, muss gekennzeichnet sein, sofern keine menschliche redaktionelle Verantwortung übernommen wird. * Personalwesen (HR): Die Nutzung von KI-Tools zur automatisierten Vorsortierung von Bewerbungen oder zur Erstellung von Stellenbeschreibungen und Kommunikationsentwürfen für Kandidaten. Wenn dabei direkt mit Bewerbern interagiert wird oder KI-generierte Texte unverändert versendet werden, muss die KI-Interaktion oder der KI-Ursprung der Inhalte offengelegt werden. * Controlling und Finanzen: KI-gestützte Aufbereitung von Analysen, die Erstellung von komplexen Reports oder die Nutzung von generativer KI zur Konsolidierung und Präsentation von Finanzdaten. Wenn diese KI-generierten Berichte oder Analysen extern oder intern ohne menschliche Überarbeitung weitergegeben werden, kann eine Kennzeichnungspflicht bestehen. * Kundenservice: Der wohl offensichtlichste Anwendungsfall. Chatbots oder Telefonassistenten, die mit Kunden interagieren, müssen klar als KI erkennbar sein. Dies erfordert oft nur einen einfachen, aber prominent platzierten Hinweis zu Beginn der Interaktion. * Wissensmanagement: KI-gestützte Zusammenfassungen von umfangreichen Dokumenten oder die automatische Erstellung von internen Wissensartikeln für eine interne Wissensdatenbank. Hier muss geprüft werden, ob diese Inhalte als KI-generiert gekennzeichnet werden müssen, wenn sie Mitarbeitenden zur Verfügung gestellt werden, die möglicherweise keine redaktionelle Überprüfung vornehmen.

Diese Beispiele zeigen, dass die Transparenzpflichten des EU AI Act in fast jeden Geschäftsbereich hineinreichen können. Eine proaktive Bestandsaufnahme und Anpassung der Prozesse ist daher für Unternehmen im DACH-Raum unerlässlich.

Konkrete Schritte zur Compliance

Für Unternehmen im DACH-Raum ist es jetzt unerlässlich, proaktiv zu handeln und eine solide Grundlage für die KI-Compliance zu schaffen. Experten von Kapitel H empfehlen folgende Schritte, um die Transparenzpflichten des EU AI Act zu erfüllen und zukünftigen Anforderungen gerecht zu werden:

1. KI-Inventar erstellen: Der erste und grundlegendste Schritt ist eine umfassende Bestandsaufnahme aller im Unternehmen genutzten KI-Anwendungen. Dies umfasst nicht nur zentral beschaffte Systeme, sondern insbesondere auch von einzelnen Abteilungen oder Mitarbeitenden eigenständig eingeführte Tools, die sogenannte Schatten-KI. Ziel ist es, ein klares Bild darüber zu erhalten, wo und wie KI im Unternehmen zum Einsatz kommt. Dokumentieren Sie Art der KI, Anwendungsbereich und die Art der Interaktion oder Inhaltserzeugung.

2. Risikoklassifizierung der Anwendungen: Jede identifizierte KI-Anwendung muss nach dem Risikomodell des AI Act eingeordnet werden: minimales, begrenztes, hohes oder unannehmbares Risiko. Obwohl die Pflichten für Hochrisiko-KI-Systeme teilweise verschoben wurden, ist diese Kategorisierung entscheidend, um den vollständigen Umfang der zukünftigen Pflichten zu kennen und bereits jetzt eine strategische Vorbereitung zu ermöglichen. Die Transparenzpflichten fallen in den Bereich des begrenzten Risikos, sind aber eine Grundvoraussetzung für alle relevanten KI-Anwendungen.

3. Rollenklärung im Sinne der Verordnung: Unternehmen müssen ihre Rolle im Sinne der KI-Verordnung klären. Sind Sie Anbieter, Betreiber, Händler oder Nutzer? Von dieser Klassifizierung hängen unterschiedliche Pflichten ab. Die meisten Unternehmen, die KI-Systeme lediglich einsetzen, fallen unter die Definition des Betreibers oder Nutzers. Dies ist wichtig für die korrekte Zuordnung der Verantwortung und der einzuhaltenden Massnahmen.

4. Transparenzmechanismen implementieren: Dies ist der Kern der unmittelbaren Anforderungen. Konkrete Prozesse und technische Lösungen müssen geschaffen werden, um die Kennzeichnungspflichten umzusetzen. Dies kann die Integration von obligatorischen Hinweisen in Chatbot-Schnittstellen umfassen, die Implementierung von digitalen Wasserzeichen oder Metadaten in KI-generierten Bildern und Videos, oder klare Hinweise in E-Mails, die durch KI-Systeme erstellt wurden. Wichtig ist, dass diese Mechanismen benutzerfreundlich und unmissverständlich sind.

5. Mitarbeiterschulung und Awareness: Die Sensibilisierung der gesamten Belegschaft für die neuen Regeln und den verantwortungsvollen Umgang mit KI ist von entscheidender Bedeutung. Mitarbeitende müssen verstehen, wann und wie sie über KI-Interaktionen informieren oder KI-generierte Inhalte kennzeichnen müssen. Regelmässige Schulungen und klare interne Richtlinien sind hierfür unerlässlich, um das Risiko von Non-Compliance zu minimieren.

6. Governance und Dokumentation: Aufbau eines umfassenden KI-Governance-Frameworks. Dieses Framework sollte Risikomanagementprozesse, Daten-Governance-Strukturen und die technische Dokumentation über den gesamten Lebenszyklus der eingesetzten KI-Systeme umfassen. Eine lückenlose Dokumentation aller Schritte ist im Falle einer behördlichen Prüfung essenziell, um die Compliance nachweisen zu können.

Diese Schritte erfordern einen koordinierten Ansatz, der rechtliche, technische und organisatorische Aspekte berücksichtigt. Das Ziel ist nicht nur die Einhaltung der Gesetze, sondern auch die Schaffung eines vertrauenswürdigen und transparenten Umgangs mit KI im Unternehmen.

Rechtliche Konsequenzen und Aufsichtsbehörden

Das Ignorieren der Transparenzpflichten des EU AI Act ist keine Option. Verstösse können erhebliche Bußgelder nach sich ziehen, die für Unternehmen existenzbedrohend sein können. Gemäss der Verordnung können Verstösse gegen die Transparenzpflichten nach Artikel 50 mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Wert niedriger ist. Für kleine und mittlere Unternehmen (KMU) gelten dabei jeweils die niedrigeren Werte, jedoch sind auch diese Beträge in der Regel schmerzhaft.

Noch drastischer sind die Strafen für schwerwiegende Verstösse gegen die bereits seit Februar 2025 untersagten KI-Praktiken. Hier drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Diese Zahlen unterstreichen die Ernsthaftigkeit, mit der die Europäische Union den verantwortungsvollen Einsatz von KI durchsetzen will.

In Deutschland wurde mit dem Gesetz zur Durchführung der KI-Verordnung, das am 29. Juli 2026 in Kraft trat, die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde bestimmt. Sie fungiert zusätzlich als nationale Anlauf- und Beschwerdestelle. Dies bedeutet, dass die Überwachung und Durchsetzung der KI-Verordnung nun durch eine spezifische Behörde mit den notwendigen Befugnissen konkret anläuft. In grundrechtssensiblen Bereichen wird die Bundesnetzagentur von der Datenschutzaufsicht flankiert, was die Bedeutung des Datenschutzes im Kontext von KI weiter unterstreicht.

Für Schweizer Unternehmen, die im EU-Binnenmarkt tätig sind oder KI-Systeme einsetzen, die personenbezogene Daten von EU-Bürgern verarbeiten, kommt eine zusätzliche Komplexität hinzu: die Interoperabilität zwischen dem Schweizer Datenschutzgesetz (DSG) und dem EU AI Act. Die Einhaltung beider Regelwerke ist anspruchsvoll und erfordert eine sorgfältige Analyse der jeweiligen Anforderungen, insbesondere beim grenzüberschreitenden Datenverkehr und der Verarbeitung personenbezogener Daten durch KI. Ein proaktiver Abgleich beider Rechtsrahmen ist hier dringend anzuraten.

Kritische Einordnung aus Kapitel-H-Sicht

Die Relevanz des Inkrafttretens der Transparenzpflichten liegt darin, dass der EU AI Act nun von einer abstrakten Rechtsnorm zu einer konkreten und durchsetzbaren Realität wird. Die viel zitierten Diskussionen über eine vermeintliche