EU AI Act: Neue Transparenzpflichten und ihre Bedeutung für DACH-Unternehmen

Der EU Artificial Intelligence Act, kurz EU AI Act, ist ein komplexes Regelwerk, das die Nutzung von Künstlicher Intelligenz in Europa maßgeblich beeinflusst. Während der Akt selbst bereits seit dem 1. August 2024 in Kraft ist, markierte der 2. August 2026 einen entscheidenden Meilenstein: An diesem Datum traten die neuen Transparenzpflichten für bestimmte KI-Anwendungen verbindlich in Kraft. Diese Entwicklung ist keine Randnotiz für Software-Entwickler, sondern eine direkte Aufforderung an alle Unternehmen im DACH-Raum, ihre internen Prozesse und den Einsatz von KI kritisch zu überprüfen. Es geht um Compliance, um Vertrauen und letztlich um die Fähigkeit, KI verantwortungsvoll und rechtssicher in die eigene Wertschöpfung zu integrieren.

Was genau bedeuten diese neuen Pflichten, welche Unternehmen sind betroffen und welche konkreten Schritte sollten jetzt unternommen werden? Bei Kapitel H betrachten wir diese Fragen stets mit einem pragmatischen Blick, fernab von Hype, fokussiert auf den realen Nutzen für den Mittelstand.

Der EU AI Act: Was die neuen Transparenzpflichten bedeuten

Die nun geltenden Transparenzpflichten entspringen im Wesentlichen Artikel 50 des EU AI Act und den dazu veröffentlichten Leitlinien der Europäischen Kommission. Die zentrale Anforderung ist klar: Wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden, muss dies in bestimmten Fällen kenntlich gemacht werden. Dies betrifft insbesondere zwei Bereiche:

1. Interaktion mit KI-Systemen: Unternehmen, die KI-Systeme einsetzen, die mit Personen interagieren, sind verpflichtet, transparent zu machen, dass die Kommunikation mit einer KI stattfindet. Ein klassisches Beispiel hierfür sind Chatbots im Kundenservice. Nutzerinnen und Nutzer müssen explizit darüber informiert werden, dass sie es nicht mit einem menschlichen Gegenüber zu tun haben, sondern mit einem automatisierten System. Dies dient dazu, Missverständnisse zu vermeiden und ein grundlegendes Vertrauen in die digitale Interaktion zu gewährleisten.

2. KI-generierte oder -manipulierte Inhalte: Ein weiterer wichtiger Punkt sind sogenannte Deepfakes. Dies sind manipulierte oder irreführende Inhalte in Form von Bildern, Videos, Audio oder Text. Für solche Inhalte ist ab dem 2. August 2026 eine Kennzeichnungspflicht vorgesehen, die sowohl in den Metadaten als auch visuell erkennbar sein muss. Ziel ist es, die Verbreitung von Desinformation zu erschweren und die Authentizität digitaler Inhalte zu sichern. Diese Anforderungen richten sich nicht nur an die Anbieter, die solche KI-Systeme entwickeln, sondern explizit auch an die Betreiber, die diese Systeme in ihrem Geschäftsbetrieb nutzen. Dies erweitert den Kreis der Verantwortlichen erheblich und bindet den Mittelstand direkt in die Compliance-Anforderungen ein.

Die Intention des Gesetzgebers ist hier deutlich: eine Stärkung der Nutzerautonomie und der Schutz vor unbemerkter Manipulation durch KI. Dies erfordert von Unternehmen eine genaue Analyse ihrer derzeitigen KI-Anwendungen und der Art, wie sie mit Kunden oder der Öffentlichkeit kommunizieren.

Wer ist betroffen? Weitreichende Konsequenzen für DACH-Unternehmen

Ein verbreiteter Irrtum ist die Annahme, der EU AI Act betreffe primär Tech-Giganten oder KI-Entwickler. Die Realität ist eine andere: Die neuen Transparenzpflichten haben direkte Auswirkungen auf eine breite Palette von Unternehmen im gesamten DACH-Raum, unabhängig von ihrer Größe oder Branche. Jedes Unternehmen, das bestehende KI-Anwendungen in seine Arbeitsabläufe integriert, sei es für Marketingtexte, Kundenkommunikation, interne Analysen oder HR-Prozesse, ist nun in der Pflicht, die Einhaltung dieser Vorgaben zu überprüfen und gegebenenfalls anzupassen.

Die Relevanz dieser Entwicklung wird durch aktuelle Zahlen untermauert: Eine DXC-Studie vom August 2026 zeigt, dass acht von zehn Unternehmen in der DACH-Region zwar darauf bestehen, dass bei neuen KI-Prozessen immer der Mensch die finale Entscheidung trifft. Gleichzeitig jedoch rechnet mehr als die Hälfte dieser Unternehmen damit, dass KI-Systeme künftig wichtige Geschäftsentscheidungen selbstständig treffen werden. Dieser interne Widerspruch verdeutlicht den dringenden Handlungsbedarf in Bezug auf Governance und Compliance. 66 Prozent der befragten Unternehmen geben zudem an, durch intransparente KI-Entscheidungen bereits mit neuen Compliance-Aufgaben konfrontiert zu sein. Dies ist ein klares Indiz dafür, dass die internen Governance-Strukturen oft nicht mit der rasanten Entwicklung und Einführung von KI Schritt halten.

Der EU AI Act verfolgt einen risikobasierten Ansatz. Während die seit August 2026 geltenden Transparenzpflichten Systeme mit geringem und begrenztem Risiko betreffen, wurden die Anforderungen für Hochrisiko-KI-Anwendungen, die beispielsweise im Gesundheitswesen, in kritischen Infrastrukturen oder im Personalwesen eingesetzt werden, nach dem sogenannten Digital Omnibus on AI im Frühjahr 2026 auf Dezember 2027 verschoben. Dies bedeutet jedoch keine Entwarnung. Unternehmen, die solche Systeme nutzen oder planen, sie einzusetzen, sollten sich bereits jetzt intensiv auf diese strengeren Anforderungen vorbereiten. Dazu gehören unter anderem die Implementierung von Risikomanagementsystemen, eine detaillierte Daten-Governance, technische Dokumentation, umfassende Protokollierung von Systemaktivitäten und die Sicherstellung menschlicher Aufsicht über die KI-Entscheidungen. Wer hier proaktiv agiert, schafft nicht nur Compliance-Sicherheit, sondern auch Vertrauen bei Kunden und Mitarbeitern.

Rechtsunsicherheit und Sanktionen: Was Unternehmen im DACH-Raum erwartet

Die Nichtbeachtung der Pflichten des EU AI Act kann schwerwiegende Konsequenzen haben. Bei Verstößen drohen empfindliche Bußgelder, die je nach Art und Schwere des Vergehens bis zu 15 Millionen Euro oder im Falle von Unternehmen bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes betragen können. Dies unterstreicht die Notwendigkeit, die neuen Bestimmungen ernst zu nehmen und proaktiv in die Unternehmensstrategie zu integrieren.

In Deutschland ist die nationale Umsetzung des EU AI Act noch nicht vollständig abgeschlossen. Gemäß einem Entwurf des KI-Marktüberwachungs- und Innovationsförderungsgesetzes, kurz KI-MIG, soll die Bundesnetzagentur, BNetzA, als zentrale Marktüberwachungsbehörde fungieren und ein Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, KoKIVO, einrichten. Bis zur endgültigen Verabschiedung dieses nationalen Durchführungsgesetzes bleibt ein gewisses Maß an Rechtsunsicherheit bestehen, was Unternehmen bei ihrer strategischen Planung berücksichtigen sollten. Parallel dazu hat das Deutsche KI-Sicherheitsinstitut, AISI Deutschland, seine Arbeit am 5. September 2026 aufgenommen und bereits zum 11. September 2026 verschärfte Meldepflichten aus dem Cyber Resilience Act eingeführt. Diese betreffen insbesondere Unternehmen, die fortschrittliche KI-Modelle produktiv nutzen, und bringen spürbare Änderungen für deren interne Prozesse mit sich.

Diese fragmentierte und sich entwickelnde Rechtslandschaft erfordert von Unternehmen eine kontinuierliche Beobachtung der gesetzgeberischen Aktivitäten und eine flexible Anpassungsfähigkeit ihrer Compliance-Strategien. Sich auf bereits bestehende Gesetze und etablierte Praktiken zu verlassen, ist in diesem dynamischen Umfeld nicht ausreichend.

Der Schweizer Weg: Sektoriell, aber nicht isoliert

Die Schweiz verfolgt in der Regulierung von Künstlicher Intelligenz einen eigenen Ansatz, der sich vom umfassenden horizontalen EU AI Act unterscheidet. Anstatt ein einziges, alles umfassendes KI-Gesetz zu erlassen, setzt der Bundesrat auf eine sektorielle Regulierung, die bestehendes Recht nutzt und gezielt anpasst. Ergänzt wird dies durch nicht verbindliche Maßnahmen, wie beispielsweise Branchenlösungen oder Empfehlungen. Dies bedeutet jedoch keineswegs, dass der Einsatz von KI in der Schweiz rechtsfreier Raum wäre. Bestehende Gesetze, wie das revidierte Datenschutzgesetz, greifen bereits und stellen Anforderungen an den Umgang mit KI-Systemen, insbesondere wenn persönliche Daten verarbeitet werden.

Ein wichtiger Schritt in der Schweizer KI-Regulierung ist die Vorbereitung einer Vernehmlassungsvorlage zur Regulierung von KI durch das Bundesamt für Justiz, die bis Ende 2026 vorgelegt werden soll. Diese Vorlage wird notwendige gesetzliche Maßnahmen in Schlüsselbereichen wie Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht festlegen. Der Hintergrund hierfür ist die Unterzeichnung der KI-Konvention des Europarats durch die Schweiz im März 2025, deren Umsetzung in das nationale Recht vorbereitet wird. Obwohl die Schweiz den EU AI Act nicht direkt übernehmen wird, betonen Experten, dass die neuen Bestimmungen ab August 2026 auch für einzelne Schweizer Unternehmen relevant sein können. Dies gilt insbesondere für Firmen, die im EU-Binnenmarkt tätig sind, EU-Daten verarbeiten oder mit europäischen Partnern zusammenarbeiten. Schweizer Fachmedien diskutieren bereits die fehlende, vergleichbare Prüfstelle in der Schweiz, im Vergleich zum neuen Deutschen KI-Sicherheitsinstitut, als potenziellen Standortnachteil für Schweizer Unternehmen im internationalen Wettbewerb. Für Schweizer Unternehmen ist es daher entscheidend, die Entwicklungen in der EU genau zu beobachten und gleichzeitig die eigenen nationalen Rahmenbedingungen proaktiv zu gestalten.

Konkrete Handlungsempfehlungen für DACH-Unternehmen

Die Einführung dieser Regularien, ob direkt durch den EU AI Act oder indirekt durch Anpassungen im Schweizer Recht, erfordert von Unternehmen im DACH-Raum eine strategische Neuausrichtung im Umgang mit KI. Es geht nicht nur darum, Bußgelder zu vermeiden, sondern darum, die Potenziale von KI sicher, ethisch und effizient zu heben.

1. KI-Governance als Fundament etablieren

Eine belastbare KI-Governance ist das A und O, um die Risiken von KI-Systemen über ihren gesamten Lebenszyklus hinweg beherrschbar zu machen. Dies beinhaltet die klare Definition einer unternehmensweiten KI-Strategie, die Festlegung von Rollen und Verantwortlichkeiten, ein sogenanntes AI Target Operating Model, sowie die systematische Erfassung aller bestehenden KI-Anwendungen im Unternehmen. Nur so lässt sich unkontrollierter Einsatz, die sogenannte „Schatten-KI“, vermeiden. Jede Anwendung sollte zudem nach ihrem Nutzen, ihrem Risiko und ihrer regulatorischen Relevanz klassifiziert werden. Experten wie die von PwC betonen zurecht, dass ein frühes Handeln in diesem Bereich nicht nur Compliance sichert, sondern auch Wettbewerbsvorteile schafft und die Qualität der KI-Anwendungen verbessert. Es ist an der Zeit, KI nicht als Projekt, sondern als strategische Unternehmenskomponente zu begreifen.

2. Change Management und Mitarbeiterkompetenz fördern

Die Transformation ins KI-Zeitalter ist keine IT-Aufgabe, die delegiert werden kann. Sie muss von Führungskräften geleitet und im gesamten Unternehmen getragen werden. Dies bedeutet, dass in rollenbasierte Trainingsprogramme investiert werden muss, um ein ausreichendes Maß an KI- und Datenkompetenz auf allen Ebenen zu gewährleisten. Veranstaltungen wie der „AI Leadership Day 2026“ in Wien oder das Handelsblatt Seminar „KI-Tools im Change Management“ verdeutlichen diesen Bedarf. Die reine Bereitstellung von Tools reicht nicht aus. Die Anpassung der Unternehmenskultur sowie die Umschulung und Weiterqualifizierung von Mitarbeitern sind entscheidende Erfolgsfaktoren. Nur wenn die Belegschaft die Potenziale und Risiken von KI versteht, kann sie aktiv an der Gestaltung einer KI-gestützten Zukunft mitwirken und die neuen Technologien als Enabler statt als Bedrohung wahrnehmen.

3. Datenschutz und Datensouveränität neu denken

AI-Act-Compliance und Datenschutz sind zwei Seiten derselben Medaille und sollten nicht getrennt voneinander betrachtet werden. Souveräne Dateninfrastrukturen entwickeln sich zu einem Hygienefaktor, gerade angesichts der verschärften Anforderungen an die Transparenz und Nachvollziehbarkeit von KI-Entscheidungen. Die Präferenz für Anbieter, die Datensouveränität, Arbeitsrecht und Mitbestimmung ernst nehmen, nimmt in der Geschäftswelt stetig zu. Unternehmen sind gefordert, ihr Datenmanagement neu zu strukturieren, um den komplexen Anforderungen von generativer KI und den gesetzlichen Rahmenbedingungen gerecht zu werden. Hier gibt es erheblichen Aufholbedarf: Lediglich 2 Prozent der Unternehmen haben derzeit Systeme implementiert, um Voreingenommenheit, den sogenannten Bias, in Daten zu messen oder potenzielle Bedrohungen für Datensicherheit und Datenschutz proaktiv zu erkennen. Diese Lücke muss schnell geschlossen werden, um rechtliche Risiken zu minimieren und die Vertrauenswürdigkeit der eigenen KI-Anwendungen zu gewährleisten.

4. Hype von Substanz trennen und realistische Erwartungen setzen

Die Diskussion um Künstliche Intelligenz ist oft von überzogenen Erwartungen und einem starken Hype geprägt. Während Veranstaltungen wie der „Accounting Summit 2026“ in Düsseldorf sich mit der erfolgreichen Optimierung von Finanzprozessen durch KI beschäftigen, warnt die Konferenz „Agentic AI | Generative AI DACH 2026“ davor, dass 95 Prozent der Proof-of-Concepts im Bereich generativer KI scheitern, weil es an einer umfassenden Strategie und Infrastruktur mangelt. Diese Diskrepanz zwischen Potenzial und Realität ist entscheidend. Unternehmen müssen lernen, den Hype von der Substanz zu trennen und realistische Erwartungen an den Einsatz von KI zu knüpfen. Es geht darum, konkrete, messbare Probleme zu lösen und schrittweise vorzugehen, anstatt sich von jedem neuen Buzzword blenden zu lassen. Eine fundierte Kosten-Nutzen-Analyse und eine klare Definition der Anwendungsfälle sind hier unerlässlich.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betonen wir stets die Notwendigkeit eines pragmatischen und lösungsorientierten Ansatzes im Umgang mit KI. Die neuen Transparenzpflichten des EU AI Act sind ein klares Beispiel dafür, wie Regulierung den Rahmen für eine verantwortungsvolle Nutzung von Technologie setzen kann und muss. Die Erkenntnisse aus der DXC-Studie, die einen deutlichen Widerspruch zwischen dem Wunsch nach menschlicher Kontrolle und der Erwartung autonomer KI-Entscheidungen aufzeigt, sind alarmierend. Sie offenbaren eine gefährliche Lücke in der strategischen Planung vieler Unternehmen. Es reicht nicht aus, sich nur reaktiv an neue Gesetze anzupassen. Vielmehr geht es darum, proaktiv eine robuste KI-Strategie zu entwickeln, die auf soliden Governance-Strukturen, umfassender Mitarbeiterkompetenz und einem klaren Verständnis für die Grenzen und Möglichkeiten der Technologie basiert. Der aktuelle Mangel an Systemen zur Erkennung von Bias oder Sicherheitsrisiken in Daten, wie er in der Recherche angeführt wird, zeigt, dass viele Unternehmen noch ganz am Anfang stehen. Diese Lücke ist nicht nur ein Compliance-Risiko, sondern eine verpasste Chance, Vertrauen aufzubauen und die Qualität der eigenen KI-Anwendungen zu sichern. Wir lehnen einen unreflektierten Einsatz von KI ab, der lediglich auf kurzfristige Hype-Phänomene setzt. Stattdessen plädieren wir für eine fundierte Auseinandersetzung mit den realen Anforderungen und eine schrittweise Implementierung, die den Menschen in den Mittelpunkt stellt und auf Befähigung statt auf Abhängigkeit abzielt.

Fazit

Die neuen Transparenzpflichten des EU AI Act, die seit dem 2. August 2026 gelten, sind mehr als nur eine weitere regulatorische Anforderung. Sie sind ein Wendepunkt für den Einsatz von Künstlicher Intelligenz im DACH-Raum. Unternehmen müssen nun handeln, um die Einhaltung der Vorschriften zu gewährleisten und das Vertrauen ihrer Kunden und Mitarbeiter zu sichern. Dies erfordert eine ganzheitliche Betrachtung, die über die reine technische Implementierung hinausgeht und Aspekte wie Governance, Change Management, Datenschutz und eine kritische Auseinandersetzung mit dem tatsächlichen Nutzen von KI umfasst. Wer jetzt proaktiv handelt, Risikomanagement betreibt und in die Kompetenzen seiner Mitarbeiter investiert, schafft nicht nur Rechtssicherheit, sondern positioniert sich als vertrauenswürdiger und zukunftsfähiger Akteur in der digitalen Transformation. Der Übergang von experimentellen KI-Einsätzen zu einer regulierungskonformen, strategisch verankerten Nutzung ist die zentrale Aufgabe für die DACH-Arbeitswelt in den kommenden Monaten und Jahren. Nutzen Sie die Gelegenheit, Ihre KI-Strategie zu schärfen und Ihr Unternehmen resilient für die Zukunft zu machen.