EU AI Act: Transparenzpflichten und Datenschutz fordern DACH-Unternehmen

Der EU AI Act: Konkrete Pflichten und die drängende Schnittstelle zum Datenschutz für DACH-Unternehmen

Die Künstliche Intelligenz, kurz KI, ist eine Schlüsseltechnologie der digitalen Transformation. Sie ist in zahlreichen Produkten und Prozessen der DACH-Wirtschaft bereits heute unverzichtbar. Mit dem EU AI Act hat die Europäische Union ein weltweit einzigartiges Regelwerk geschaffen. Dieses zielt darauf ab, Vertrauen in KI zu fördern, Innovationen zu unterstützen und gleichzeitig die Bürger zu schützen. Die Verordnung, die am 1. August 2024 in Kraft getreten ist, sieht eine gestufte Anwendung vor. Bestimmte Fristen sind für DACH-Unternehmen bereits kurzfristig relevant, andere konkretisieren sich in ihrer Umsetzung. Dieser Artikel beleuchtet die aktuellen Entwicklungen und leitet daraus konkrete Handlungsempfehlungen für den Mittelstand im deutschsprachigen Raum ab.

Neue Transparenzpflichten: Was seit August 2026 gilt

Eine der unmittelbar bevorstehenden Änderungen, die DACH-Unternehmen direkt betreffen, sind die neuen Transparenzpflichten. Diese sind seit dem 2. August 2026 in Kraft. Unternehmen müssen demnach in bestimmten Fällen klar kenntlich machen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Das bedeutet konkret: Nutzer müssen grundsätzlich immer informiert werden, wenn sie mit einer KI und nicht mit einem Menschen kommunizieren.

Beispiele hierfür sind KI-Chatbots im Kundenservice, automatisch generierte E-Mail-Antworten oder digitale Avatare. Solche Kennzeichnungspflichten greifen, sofern die redaktionelle Verantwortung nicht bei einer natürlichen oder juristischen Person liegt. Für den Kundenservice, das Marketing, die interne Kommunikation und viele weitere Bereiche sind diese Vorgaben von erheblicher Relevanz. Generative KI-Systeme kommen dort bereits zum Einsatz oder sind in Planung. DACH-Unternehmen müssen ihre internen Prozesse und die eingesetzten KI-Tools überprüfen und gegebenenfalls anpassen, um diese Kennzeichnungspflichten fristgerecht zu erfüllen.

Eine Nichteinhaltung kann erhebliche Bußgelder nach sich ziehen. Laut PwC können diese bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen. Bei Hochrisiko-Verstößen sind es bis zu 15 Millionen Euro oder 3 %. Damit übersteigt der AI Act sogar den Bußgeldrahmen der Datenschutz-Grundverordnung, kurz DSGVO. Diese Zahlen unterstreichen die Dringlichkeit und die Notwendigkeit, diese Pflichten ernst zu nehmen. Das reine Ausprobieren von KI-Tools ohne Berücksichtigung der rechtlichen Rahmenbedingungen ist nicht mehr ausreichend.

Hochrisiko-KI-Systeme: Mehr Zeit, gleiche Anforderungen

Während die Transparenzpflichten bereits greifen, wurden die zentralen Hochrisiko-Anforderungen angepasst. Ursprünglich sollten diese früher in Kraft treten. Im Rahmen des "Digital Omnibus on AI" im Frühjahr 2026 wurde die Frist auf Dezember 2027 verschoben. Diese Verschiebung ist teilweise auf Forderungen europäischer Unternehmen zurückzuführen, die um eine "vernünftige Umsetzung" baten. Sie bedeutet jedoch keine Abschwächung der inhaltlichen Anforderungen. Vielmehr verschafft sie Unternehmen etwas mehr Zeit, ihre KI-Governance-Systeme aufzubauen und die komplexen Vorgaben für Hochrisiko-KI-Systeme umzusetzen. Eine frühzeitige Ausrichtung und ein geeignetes Vorgehen sind entscheidend, um die Anforderungen innovationsfreundlich umzusetzen.

Hochrisiko-KI-Systeme sind solche, die ein erhebliches Potenzial haben, die Gesundheit, Sicherheit oder Grundrechte von Personen zu gefährden. Dazu zählen beispielsweise KI-Anwendungen in der Personalauswahl, im Kreditscoring, in der medizinischen Diagnostik oder in der kritischen Infrastruktur. Für solche Systeme gelten besonders strenge Pflichten in Bezug auf Risikomanagement, Daten- und Governance-Qualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit, Genauigkeit und Cybersicherheit. Die Einhaltung dieser Vorgaben erfordert eine systematische Herangehensweise und eine tiefgreifende Integration in die Unternehmensprozesse. Es geht nicht nur darum, technische Anforderungen zu erfüllen, sondern eine Kultur der verantwortungsvollen KI-Nutzung zu etablieren. Dies ist ein erheblicher strategischer Vorteil gegenüber Wettbewerbern, die diese Herausforderung unterschätzen.

Datenschutz (DSGVO) und KI: Eine untrennbare Verbindung

Parallel zur Umsetzung des AI Act bleibt der Datenschutz ein zentrales und oft belastendes Thema für DACH-Unternehmen beim Einsatz von KI. Mehrere aktuelle Berichte und Studien betonen die Notwendigkeit, bereits jetzt sicherzustellen, dass die Datenverarbeitung beim Einsatz von KI-Tools wie ChatGPT der Datenschutzgrundverordnung und anderen Datenschutzgesetzen entspricht. Der Einsatz von KI ohne eine sorgfältige datenschutzrechtliche Prüfung birgt erhebliche Risiken.

Eine aktuelle Bitkom-Umfrage, die am 2. Oktober 2026 veröffentlicht wurde, zeigt deutlich die Herausforderungen. 89 % der Unternehmen wünschen sich weniger Dokumentationspflichten für risikoarme Verarbeitungsvorgänge. 76 % fordern eine einheitliche Auslegung durch die Datenschutzbehörden. Die Studie enthüllt zudem, dass 42 % der Unternehmen bereits auf Produkte oder Lösungen aus Staaten außerhalb der EU, insbesondere China und den USA, verzichtet haben, um Datenschutzbedenken zu vermeiden. Dies macht Datenschutz zunehmend zu einem entscheidenden Faktor bei der Auswahl digitaler Technologien und Architekturentscheidungen. Unternehmen müssen verstehen, dass Datenschutz nicht nur eine regulatorische Hürde ist, sondern eine grundlegende Randbedingung für die erfolgreiche Implementierung von KI. Er ist ein Qualitätsmerkmal und ein Vertrauensfaktor im Markt.

Die IHK München hebt hervor, dass Unternehmen beim Einsatz von KI sicherstellen müssen, dass personenbezogene Daten nicht unerlaubt in externe KI-Systeme gelangen. Es müssen Maßnahmen ergriffen werden, um die Einhaltung von Datenschutzgesetzen wie der DSGVO und dem Telekommunikation-Telemedien-Datenschutz-Gesetz, kurz TDDDG, zu gewährleisten. Auch die Qualität der Daten ist von Bedeutung, um Ergebnisverzerrungen, den sogenannten "Bias", zu vermeiden. Ein sauberer Datenfluss und eine transparente Datenverarbeitung sind somit nicht nur eine rechtliche Pflicht, sondern eine technische Notwendigkeit für faire und zuverlässige KI-Ergebnisse. Das bedeutet auch, dass interne Datenstrategien entwickelt werden müssen, die von Anfang an Datenschutz und Datenqualität berücksichtigen.

Handlungsbedarf im Mittelstand: Von Ausprobieren zur Strategie

Die Komplexität der neuen KI-Regulierungen und die damit verbundenen Datenschutzanforderungen stellen insbesondere den deutschen Mittelstand vor große Herausforderungen. Studien des ifo Instituts vom Januar 2026 und Erkenntnisse des Handelsblatts vom Mai 2026 zeigen, dass KI in vielen mittelständischen Unternehmen zwar ausprobiert, aber selten systematisch in die wichtigen Arbeitsprozesse eingebunden wird. Die Nutzung ist oft oberflächlich, es mangelt an strategischer Integration und an Schulung der Mitarbeitenden. Das reine Experimentieren reicht in der aktuellen regulatorischen Landschaft nicht mehr aus. Eine systematische und strategische Herangehensweise ist unerlässlich, um die Vorteile der KI zu nutzen und gleichzeitig Risiken zu minimieren.

Um diese Herausforderungen zu meistern und die Compliance mit dem EU AI Act und der DSGVO sicherzustellen, sollten DACH-Unternehmen folgende Schritte beachten:

1. Aufbau einer robusten KI-Governance: Unternehmen müssen frühzeitig eine belastbare KI-Governance aufbauen. Diese macht Risiken von KI-Systemen während des gesamten Lebenszyklus beherrschbar. Eine solide Governance verschafft Wettbewerbsvorteile, verbessert die KI-Qualität und demonstriert soziale Verantwortung. Es geht darum, klare Verantwortlichkeiten, Prozesse und Richtlinien für den Einsatz von KI zu definieren.

2. Transparenzpflichten umsetzen: Angesichts der seit August 2026 geltenden Pflichten müssen alle KI-Anwendungen, die mit Nutzern interagieren oder Inhalte generieren, auf ihre Kennzeichnungspflicht überprüft und entsprechend angepasst werden. Dies erfordert eine detaillierte Bestandsaufnahme aller relevanten Systeme und eine Anpassung der Benutzeroberflächen oder Kommunikationsprozesse.

3. Datenschutz als Kernbestandteil der KI-Strategie: Datenschutz ist nicht nur ein Compliance-Thema, sondern eine grundlegende Randbedingung für Digitalisierung und KI-Einsatz. Unternehmen sollten datenschutzfreundliche KI-Systeme präferieren und die Datenflüsse sowie regulatorischen Rahmenbedingungen bereits bei der Planung neuer Systeme berücksichtigen. Eine Privacy-by-Design- und Security-by-Design-Mentalität ist hier entscheidend.

4. Bestandsaufnahme und Risikobewertung: Eine zentrale Übersicht aller KI-Use-Cases ist der erste Schritt zu wirksamer Governance. Sie hilft, Risiken und Wertbeiträge transparent zu machen und Ressourcen gezielt auf wertschöpfende Anwendungen zu lenken. Eine solche Inventur schafft Klarheit über den aktuellen Reifegrad der KI-Nutzung im Unternehmen.

5. Schulung und Sensibilisierung: Auch wenn die ursprüngliche Pflicht zur obligatorischen Mitarbeiterschulung im AI Act abgeschwächt wurde, bleibt die interne Kompetenzentwicklung entscheidend. Mitarbeiter müssen für den verantwortungsvollen und datenschutzkonformen Umgang mit KI sensibilisiert und geschult werden. Ein tiefes Verständnis der Mitarbeitenden für die Funktionsweise, die Potenziale und die Grenzen von KI ist für eine erfolgreiche und sichere Implementierung unerlässlich. Dies fördert auch das Vertrauen in die Technologie und reduziert Ängste.

Die Kapitel H vertritt die Ansicht, dass der deutsche Mittelstand nun die Chance hat, von einem eher zögerlichen Umgang mit KI zu einer proaktiven und strategisch fundierten Implementierung überzugehen. Der Fokus sollte dabei stets auf dem realen Wertbeitrag und der Befähigung der Mitarbeitenden liegen, anstatt sich von Hype-Zyklen leiten zu lassen oder in Abhängigkeit von externen Anbietern zu geraten. Eine kritische Distanz zu Versprechungen und eine datenbasierte Entscheidungsfindung sind hierfür grundlegend.

Fazit

Die jüngsten Entwicklungen rund um den EU AI Act, insbesondere die seit August 2026 geltenden Transparenzpflichten und die konkreten Herausforderungen im Bereich Datenschutz, stellen die wichtigste aktuelle KI-Nachricht für die DACH-Arbeitswelt dar. Unternehmen müssen proaktiv handeln, um die komplexen regulatorischen Anforderungen zu erfüllen und gleichzeitig die Chancen der KI verantwortungsvoll zu nutzen. Das reine "Ausprobieren" von KI-Tools reicht nicht mehr aus. Eine strategische und compliance-konforme Integration ist unerlässlich, um nicht nur Strafen zu vermeiden, sondern auch das Vertrauen von Kunden und Mitarbeitern zu gewinnen und nachhaltige Wettbewerbsvorteile zu sichern. Wer jetzt handelt, positioniert sich als zukunftsorientierter und verantwortungsbewusster Akteur im Markt.