EU AI Act: Transparenzpflichten und Durchsetzung ab August 2026 für den Mittelstand

Der Einsatz von Künstlicher Intelligenz (KI) ist längst keine Zukunftsvision mehr, sondern fester Bestandteil des Geschäftsalltags vieler Unternehmen. Mit der Verabschiedung des EU AI Act, der weltweit ersten umfassenden KI-Verordnung, erreicht die Regulierung dieser Technologie eine neue Dimension. Obwohl das Gesetz bereits am 1. August 2024 in Kraft getreten ist, entfaltet es seine rechtlichen Wirkungen gestaffelt. Ein zentraler Stichtag für den Mittelstand im DACH-Raum war der 2. August 2026. Ab diesem Datum sind weitreichende Transparenzpflichten nach Artikel 50 der KI-Verordnung sowie die vollen Durchsetzungsbefugnisse der Marktüberwachungsbehörden in Kraft getreten. Dies bedeutet konkret, dass die Europäische Kommission und nationale Behörden, wie in Deutschland voraussichtlich die Bundesnetzagentur, nun aktiv mit der Überwachung und Ahndung von Verstößen beginnen können. Für Schweizer Unternehmen ist die Situation durch die Kombination aus revidiertem Datenschutzgesetz und dem EU AI Act, falls Personendaten in der EU bearbeitet werden, besonders komplex. Es ist unerlässlich, dass Unternehmen ihre KI-Strategie überprüfen und anpassen, um rechtliche Risiken zu minimieren und die Potenziale von KI verantwortungsvoll zu nutzen.

Der EU AI Act: Ein kritischer Meilenstein und seine gestaffelte Umsetzung

Der EU AI Act wurde geschaffen, um einen einheitlichen Rechtsrahmen für die Entwicklung, den Einsatz und das Inverkehrbringen von KI-Systemen in der Europäischen Union zu schaffen. Sein Ziel ist es, Innovation zu fördern und gleichzeitig Grundrechte und Sicherheit zu gewährleisten. Die Verordnung klassifiziert KI-Systeme nach ihrem Risikopotenzial, von minimal bis inakzeptabel. Die vollständige Rechtswirkung entfaltet sich jedoch schrittweise.

Der 2. August 2026 markierte den Beginn der ernsthaften Durchsetzungsphase. Seit diesem Datum sind die Transparenzpflichten für bestimmte KI-Anwendungen, die mit Menschen interagieren, sowie die grundlegenden Durchsetzungsbefugnisse der Behörden wirksam. Es ist wichtig zu verstehen, dass dies nicht alle Aspekte des AI Act betrifft. Ursprünglich sollten auch die umfassenden Pflichten für Hochrisiko-KI-Systeme bereits zu diesem Zeitpunkt greifen. Durch eine Anpassung im Frühjahr 2026, den sogenannten „Digital Omnibus on AI“, wurden die zentralen Hochrisiko-Anforderungen jedoch verschoben. Die vollständigen Anforderungen an eigenständige Hochrisiko-Systeme, gemäß Anhang III der Verordnung, treten nun erst ab dem 2. Dezember 2027 in Kraft. Anforderungen an Hochrisiko-KI, die als Sicherheitskomponente in regulierte Produkte eingebettet ist, gemäß Anhang I, sogar erst ab dem 2. August 2028. Diese Staffelung gibt Unternehmen zwar mehr Zeit, sich auf die komplexeren Hochrisiko-Anforderungen vorzubereiten, entbindet sie aber nicht von den bereits geltenden Pflichten.

Die Europäische Kommission wird als primäre Aufsichtsbehörde fungieren, unterstützt von nationalen Marktüberwachungsbehörden. In Deutschland wird die Bundesnetzagentur eine zentrale Rolle bei der Koordinierung und Durchsetzung spielen. Dies verdeutlicht, dass die Regulierung nicht nur auf dem Papier existiert, sondern aktiv kontrolliert und bei Verstößen geahndet wird. Für Unternehmen bedeutet dies, dass sie sich nicht erst Ende 2027 mit dem Thema auseinandersetzen können, sondern bereits jetzt konkrete Maßnahmen ergreifen müssen, um den Transparenzpflichten gerecht zu werden.

Unmittelbare Pflichten: Was Unternehmen jetzt beachten müssen

Die seit dem 2. August 2026 geltenden Transparenzpflichten sind breit gefächert und betreffen eine Vielzahl von KI-Anwendungen, die im Arbeitsalltag des DACH-Mittelstands zum Einsatz kommen können. Sie zielen darauf ab, Nutzern ein höheres Maß an Klarheit und Kontrolle zu geben.

1. Kennzeichnungspflichten für Deepfakes und KI-generierte Inhalte: Unternehmen, die KI-generierte oder durch KI manipulierte Bild-, Audio- oder Videoinhalte, sogenannte Deepfakes, veröffentlichen, müssen diese als solche kennzeichnen. Dies gilt insbesondere dann, wenn die Inhalte den Eindruck erwecken können, echt oder unverändert zu sein und dadurch geeignet sind, andere über ihre Echtheit zu täuschen. Ein Beispiel hierfür wäre ein Werbespot, der mithilfe von KI eine nicht existierende Person generiert, um ein Produkt zu bewerben. Ohne Kennzeichnung könnte dies irreführend sein. Die Wirtschaftskammer Österreich (WKO) weist hierbei auf eine wichtige Nuance hin: Die Pflicht zur Offenlegung entfällt, wenn der Text vor der Veröffentlichung geprüft, gegebenenfalls überarbeitet und die Verantwortung für den veröffentlichten Inhalt von einer Person oder einem Unternehmen übernommen wird. Dies unterstreicht die Bedeutung menschlicher Kontrolle und redaktioneller Verantwortung.

2. Transparenz bei Interaktion mit KI-Systemen: Nutzer müssen erkennen können, wenn sie mit einem KI-System interagieren. Dies betrifft typischerweise Chatbots, Sprachassistenten oder andere dialogbasierte KI-Anwendungen. Ein Kunde, der mit einem Support-Chatbot kommuniziert, muss darüber informiert werden, dass er nicht mit einem menschlichen Mitarbeiter spricht. Diese Pflicht trifft nicht nur klassische KI-Anbieter, sondern auch Arbeitgeber, die interne Chatbots für HR-Anfragen nutzen, oder Plattformbetreiber, die KI-basierte Empfehlungssysteme einsetzen, die direkt mit Nutzern interagieren. Die Integration dieser Hinweise in bestehende datenschutzrechtliche Einwilligungsabläufe ist eine praktikable Lösung.

3. Spezifische Informationspflichten: Bei sensibleren KI-Anwendungen, wie Systemen zur Emotionserkennung oder biometrischen Kategorisierung, gehen die Anforderungen noch weiter. Betreiber solcher Systeme sind verpflichtet, betroffene Personen vorab und transparent über den Einsatz zu informieren. Dies ist besonders relevant in Kontexten, wo beispielsweise in Studien oder Tests Emotionen analysiert oder Personen biometrisch eingestuft werden, um deren Verhalten zu verstehen oder vorherzusagen.

4. KI-Kompetenzpflicht: Bereits seit dem 2. Februar 2025 gilt die Pflicht zur Sicherstellung eines angemessenen Maßes an KI-Kompetenz in Unternehmen. Dies ist eine präventive Maßnahme. Unternehmen müssen gewährleisten, dass Mitarbeitende, die KI-Systeme einsetzen, entsprechend geschult sind und mit klaren Leitlinien oder Nutzungshinweisen unterstützt werden. Diese Maßnahmen sind zu dokumentieren. Es geht darum, das Bewusstsein für die Funktionsweise, die Grenzen und die potenziellen Risiken von KI-Anwendungen zu schärfen und Fehlgebrauch zu vermeiden.

Auswirkungen auf zentrale Unternehmensbereiche im Mittelstand

Die neuen Pflichten des EU AI Act sind nicht auf einen einzelnen Sektor beschränkt, sondern wirken sich auf verschiedene Unternehmensbereiche aus. Der Mittelstand im DACH-Raum ist hier besonders gefordert, da die Ressourcen für Compliance-Management oft begrenzter sind als in Großkonzernen.

* HR und Personalwesen: Obwohl die strengsten Anforderungen für Hochrisiko-KI-Systeme im Personalbereich, etwa für Einstellungs- oder Leistungsbeurteilungssysteme, auf Dezember 2027 verschoben wurden, sind HR-Abteilungen bereits von den Transparenzpflichten betroffen. KI-gestützte Bewerbermanagementsysteme, die Texte für die Kommunikation mit Bewerbern generieren, oder Chatbots im HR-Service fallen unter die Kennzeichnungs- und Transparenzpflichten. Eine Studie von Workday aus März 2026 zeigt, dass KI im Personalmanagement in der DACH-Region zwar alltäglich ist, 41% der deutschen Unternehmen geben an, dass mehr als 60% ihrer Belegschaft KI-Tools nutzen, der strategische Nutzen aber oft noch fehlt. Der EU AI Act wird diesen Bereich zwingen, Prozesse transparenter und nachvollziehbarer zu gestalten, was langfristig zu einer faireren und effizienteren Personalarbeit führen kann. Unternehmen wie Abacus Umantis bieten bereits Webinare zum Thema an, um Mittelständler über die sichere und rechtskonforme Nutzung aufzuklären.

* Controlling, Finance und Operations: Auch in diesen Bereichen werden KI-Anwendungen zunehmend eingesetzt, etwa für Datenanalysen, präzisere Forecasts oder Robotic Process Automation (RPA). Die Transparenzpflichten könnten hier relevant werden, wenn KI-Systeme direkt mit externen Stakeholdern interagieren oder Ergebnisse generieren, die extern kommuniziert werden. Zum Beispiel bei der Erstellung von Finanzberichten oder Risikoeinschätzungen, die auf KI-Modellen basieren und an Investoren oder Aufsichtsbehörden gehen. Die dhpg betont, dass bei Hochrisiko-KI-Systemen im Bereich kritischer Infrastrukturen, bei Bonitätsprüfungen oder im Personalwesen umfangreiche Governance-, Dokumentations- und Kontrollpflichten, einschließlich eines durchgängigen Risikomanagements und einer nachvollziehbaren Daten-Governance, notwendig werden. Auch wenn diese im vollen Umfang erst später greifen, ist die Vorbereitung auf diese Transparenz bereits jetzt sinnvoll.

* IT und Datenschutz: Die IT-Abteilung ist der zentrale Akteur für die technische Umsetzung der Compliance. Dazu gehören die vollständige technische Dokumentation der eingesetzten KI-Systeme, die Sicherstellung von Datenqualität, um Diskriminierungen durch verzerrte Daten zu vermeiden, und der Schutz vor Manipulation und Cyberangriffen. Die Integration in bestehende datenschutzrechtliche Abläufe, insbesondere die Einhaltung der DSGVO, ist entscheidend. Unternehmen müssen sicherstellen, dass KI-Plattformen DSGVO-konform sind, was Hosting in der EU, Zero-Data-Retention und Auftragsverarbeitungsverträge umfasst. Für Schweizer Unternehmen ist das revidierte Datenschutzgesetz (revDSG) primär, der EU AI Act kommt aber hinzu, wenn Personendaten in der EU bearbeitet werden. Eine genaue Prüfung der Datenflüsse ist hier unumgänglich.

* Mittelstand (allgemein): Der Mittelstand ist besonders gefordert, da viele Unternehmen noch in einem frühen Stadium des Verständnisses sind, was Compliance in der Praxis tatsächlich verlangt. Oft fehlen spezialisierte Rechtsexperten oder dedizierte Compliance-Teams. Experten wie PwC und Sage betonen, dass ein frühzeitiger Aufbau einer belastbaren KI-Governance, die Risiken von KI-Systemen während des gesamten Lebenszyklus beherrschbar macht, Wettbewerbsvorteile verschafft. Es geht darum, KI-Projekte nicht nur technisch umzusetzen, sondern auch ethisch und rechtlich zu verankern.

Herausforderungen und Risiken: Wo Fallstricke lauern

Die Einhaltung des EU AI Act stellt DACH-Unternehmen vor erhebliche Herausforderungen, die nicht unterschätzt werden sollten.

* Komplexität und Informationslücke: Obwohl der AI Act eine EU-Verordnung ist und unmittelbar in den Mitgliedstaaten gilt, erfordert die nationale Durchführung – insbesondere die Benennung von Aufsichtsbehörden und die Regelung der Marktüberwachung – nationale Umsetzungsgesetze. In Deutschland wurde der Entwurf des KI-Durchführungsgesetzes (KI-MIG) im Februar 2026 beschlossen und befindet sich derzeit im parlamentarischen Verfahren. Diese sich entwickelnde Rechtslandschaft kann für Unternehmen verwirrend sein. Es erfordert eine kontinuierliche Beobachtung der gesetzgeberischen Entwicklungen, um auf dem neuesten Stand zu bleiben.

* Hohe Bußgelder: Bei Verstößen drohen empfindliche Bußgelder von bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Strafen unterstreichen die Notwendigkeit, Compliance ernst zu nehmen. Für den Mittelstand können solche Bußgelder existenzbedrohend sein.

* Governance-Lücke: Eine aktuelle Studie von DXC Technology vom August 2026 zeigt, dass acht von zehn Unternehmen in der DACH-Region zwar darauf bestehen, dass bei neuen KI-Prozessen am Ende immer der Mensch entscheidet. Gleichzeitig hält aber mehr als die Hälfte es für wahrscheinlich, dass KI-Systeme künftig wichtige Geschäftsentscheidungen selbstständig treffen. 66 Prozent der Unternehmen berichten zudem, durch intransparente KI-Entscheidungen bereits neue Compliance-Aufgaben zu haben. Dies verdeutlicht eine bestehende Governance-Lücke, ein Widerspruch zwischen Anspruch und Realität, die dringend geschlossen werden muss. Es fehlt an klaren Richtlinien, Verantwortlichkeiten und Kontrollmechanismen für den Einsatz von KI.

* Datenschutz in der Schweiz: Für Schweizer Unternehmen ist das revidierte Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist, die primäre Rechtsgrundlage. Der EU AI Act kommt zusätzlich zur Anwendung, wenn Personendaten in der EU bearbeitet werden, zum Beispiel wenn ein Schweizer Unternehmen KI-Services für EU-Kunden anbietet oder Daten von EU-Bürgern verarbeitet. Dies erfordert eine sorgfältige Analyse und Anpassung der KI-Systeme, um beiden Regulierungen gerecht zu werden. Eine isolierte Betrachtung ist nicht zielführend.

Praktische Handlungsempfehlungen für Ihr Unternehmen

Um den neuen Anforderungen gerecht zu werden und die Chancen der KI sicher zu nutzen, sollten DACH-Unternehmen jetzt handeln:

1. Bestandsaufnahme und Risikobewertung: Erfassen Sie alle in Ihrem Unternehmen eingesetzten KI-Systeme und -Anwendungen. Prüfen Sie, welche davon unter die Transparenzpflichten fallen oder zukünftig als Hochrisiko-Systeme eingestuft werden könnten. Führen Sie eine detaillierte Risikobewertung durch.

2. Aufbau einer KI-Governance: Etablieren Sie klare Prozesse und Verantwortlichkeiten für den Einsatz von KI. Definieren Sie interne Richtlinien, wer KI-Systeme entwickeln, einsetzen und warten darf. Legen Sie fest, wie Entscheidungen getroffen und dokumentiert werden. Eine robuste Governance-Struktur ist der Schlüssel zur Compliance.

3. Mitarbeiterkompetenz und Schulungen: Investieren Sie in die Schulung Ihrer Mitarbeiter. Stellen Sie sicher, dass alle, die mit KI-Systemen arbeiten, die Funktionsweise, die Risiken und die rechtlichen Anforderungen verstehen. Erstellen Sie klare Nutzungshinweise und Dokumentationen für alle relevanten KI-Anwendungen. Die Schulung von Personal ist ein fortlaufender Prozess.

4. Technische Dokumentation und Compliance-Prüfung: Sorgen Sie für eine vollständige technische Dokumentation Ihrer KI-Systeme. Dies umfasst Datenquellen, Trainingsmethoden, Leistungsparameter und Sicherheitsmaßnahmen. Führen Sie regelmäßige Audits und Compliance-Prüfungen durch, um die Einhaltung der Vorschriften sicherzustellen und potenzielle Schwachstellen frühzeitig zu erkennen.

5. Rechtliche Beratung: Ziehen Sie bei Bedarf externe Rechtsexperten hinzu, die sich auf KI-Recht spezialisiert haben. Die Gesetzgebung ist komplex und dynamisch. Eine professionelle Beratung kann helfen, Interpretationsspielräume zu klären und individuelle Compliance-Strategien zu entwickeln.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist kein Luxusproblem, sondern eine Notwendigkeit. Wir bei Kapitel H vertreten die Überzeugung, dass Regulierung, wenn sie pragmatisch und zielgerichtet ist, Innovation nicht behindert, sondern kanalisiert und auf eine nachhaltige Basis stellt. Die nun in Kraft getretenen Transparenzpflichten zwingen Unternehmen zu einer kritischen Bestandsaufnahme ihrer eingesetzten KI-Systeme. Es geht nicht mehr nur um die Frage, *ob* KI eingesetzt wird, sondern *wie* sie eingesetzt wird, transparent, nachvollziehbar und rechtskonform.

Wir sehen oft, dass der Mittelstand in eine Experimentierphase mit KI verharrt, ohne eine klare Governance oder Strategie zu entwickeln. Dies ist ein riskantes Vorgehen. Die Bußgelder sind real und die Durchsetzungsbefugnisse der Behörden sind nicht zu unterschätzen. Eine Governance-Lücke, wie sie die DXC Technology Studie aufzeigt, ist inakzeptabel. Ein „Mensch-im-Kreis“-Ansatz, bei dem am Ende immer eine menschliche Entscheidung steht, ist nur dann wirksam, wenn die menschliche Person auch die nötige Transparenz und Kompetenz besitzt, um die KI-Entscheidung zu verstehen und gegebenenfalls zu korrigieren.

Der EU AI Act kann ein Katalysator sein, um Unternehmen zu befähigen, KI nicht nur oberflächlich zu integrieren, sondern sie tief in ihre Betriebsmodelle einzubetten, mit klaren Verantwortlichkeiten und ethischen Grundsätzen. Dies fördert Vertrauen, sowohl intern bei Mitarbeitern als auch extern bei Kunden und Partnern. Es geht darum, Abhängigkeiten von undurchsichtigen KI-Systemen zu vermeiden und stattdessen eine souveräne und verantwortungsbewusste Nutzung zu etablieren. Eine solide KI-Governance sollte daher nicht als Bürde, sondern als strategischer Wettbewerbsvorteil verstanden werden. Sie ermöglicht es, Risiken zu managen und gleichzeitig das volle Innovationspotenzial der KI auszuschöpfen.

Fazit: Jetzt handeln für nachhaltigen KI-Erfolg

Die mit dem 2. August 2026 wirksam gewordenen Teile des EU AI Act sind ein klares Signal an den DACH-Mittelstand: Die Ära der unregulierten KI-Experimente neigt sich dem Ende zu. Unternehmen, die jetzt eine robuste KI-Governance aufbauen, Prozesse und Verantwortlichkeiten klar definieren und ihre Mitarbeiter entsprechend schulen, können nicht nur hohe Strafen vermeiden. Sie sichern sich auch einen entscheidenden Wettbewerbsvorteil im immer stärker regulierten europäischen KI-Markt. Der Fokus verschiebt sich von der reinen KI-Experimentierphase hin zur Integration in nachhaltige Betriebsmodelle, bei denen Governance eine beschleunigende Rolle spielen muss, um Innovationen zu ermöglichen.

Handeln Sie proaktiv. Beginnen Sie mit einer Bestandsaufnahme Ihrer KI-Systeme und etablieren Sie eine klare Strategie für den verantwortungsvollen Einsatz. Nur so stellen Sie sicher, dass Ihre KI-Investitionen langfristig Früchte tragen und Ihr Unternehmen in der digitalen Transformation erfolgreich ist. Der EU AI Act ist keine Barriere, sondern ein Wegweiser zu einer vertrauenswürdigen und zukunftsfähigen KI-Nutzung. Veranstaltungen wie der Handelsblatt KI-Summit 2026 widmen sich bereits diesen strategischen Fragen zur Skalierung und Integration von KI im Unternehmen. Nutzen Sie diese Gelegenheiten, um Ihr Wissen zu vertiefen und sich mit anderen Unternehmen auszutauschen.