EU AI Act: Transparenzpflichten und Hochrisiko-Systeme für DACH-Firmen

Der Einsatz von Künstlicher Intelligenz (KI) ist längst keine Zukunftsmusik mehr, sondern Realität in vielen Unternehmen. Doch mit den Chancen wachsen auch die Pflichten, insbesondere durch den schrittweisen Inkrafttreten des EU AI Act. Dieses weltweit erste umfassende Regelwerk zur KI-Regulierung stellt Unternehmen im DACH-Raum vor signifikante Herausforderungen. Seit dem 2. August 2026 gelten beispielsweise neue Transparenzpflichten. Die weitreichenden Anforderungen für Hochrisiko-KI-Systeme treten ab Dezember 2027 in Kraft. Gleichzeitig bleiben Datenschutz und KI-Sicherheit zentrale Themen, deren Bedeutung durch aktuelle Cyberangriffe und Warnungen von Branchenexperten unterstrichen wird. Unternehmen, die jetzt handeln, sichern sich nicht nur rechtlich ab, sondern stärken auch ihr Vertrauen in KI-Anwendungen und ihre Wettbewerbsfähigkeit. Die Zeit des unverbindlichen Experimentierens mit KI ist vorbei, die Ära der verantwortungsvollen Implementierung hat begonnen.

Der EU AI Act: Ein umfassendes Regelwerk für vertrauenswürdige KI

Der EU AI Act, im Juni 2024 verabschiedet, ist ein Novum in der globalen Gesetzgebung. Er wurde entwickelt, um ein Gleichgewicht zwischen der Förderung von KI-Innovationen und dem Schutz grundlegender Rechte und Sicherheiten der Bürger zu schaffen. Ziel ist es, in Europa ein Umfeld für vertrauenswürdige und menschenzentrierte KI-Anwendungen zu etablieren. Die Verordnung ist nicht auf einen Schlag in Kraft getreten, sondern in gestuften Phasen. Bereits ab dem 2. Februar 2025 wurden erste, grundlegende Regeln wirksam, die beispielsweise die Einrichtung des Europäischen Amts für KI betreffen. Die für Unternehmen besonders relevanten Bestimmungen folgen jedoch nach und nach, mit klaren Fristen für die Umsetzung. Dies ermöglicht eine strukturierte Anpassung, erfordert aber gleichzeitig eine kontinuierliche Beobachtung der regulatorischen Entwicklungen und eine frühzeitige Planung der erforderlichen Massnahmen. Die gestaffelte Einführung unterstreicht die Komplexität und den weitreichenden Einfluss des Gesetzes auf unterschiedlichste Sektoren und Anwendungsfelder der Künstlichen Intelligenz.

Transparenzpflichten: Was seit August 2026 gilt

Eine der unmittelbar wirksamen und für den Alltag in vielen DACH-Unternehmen relevanten Bestimmungen sind die neuen Transparenzpflichten, die seit dem 2. August 2026 in Kraft sind. Diese Regeln verpflichten Anbieter und Betreiber von KI-Systemen, in bestimmten Fällen eine klare Kennzeichnung vorzunehmen. Konkret bedeutet dies, dass klar erkenntlich gemacht werden muss, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Dies betrifft eine breite Palette von Anwendungen, von automatisierten Texten und Bildern bis hin zu durch KI generierten Videos oder Audioinhalten. Nehmen wir als Beispiel die Erstellung von Marketingmaterialien: Wird ein Blogbeitrag oder ein Social-Media-Update massgeblich durch eine KI erstellt, ist dies künftig zu kennzeichnen. Das Gleiche gilt für die Bearbeitung von Fotos oder Produktbeschreibungen, wenn die KI eine transformative Rolle spielt.

Darüber hinaus sind Unternehmen verpflichtet, Nutzer grundsätzlich darüber zu informieren, wenn sie mit einer KI und nicht mit einem Menschen kommunizieren. Dies betrifft insbesondere den Einsatz von KI-Chatbots im Kundenservice, bei Support-Anfragen oder auch bei automatisierten E-Mail-Antwortsystemen. Ein Kunde, der eine Frage per Chat stellt, muss wissen, ob er mit einem Algorithmus oder einem menschlichen Mitarbeitenden interagiert. Für Unternehmen ergeben sich daraus konkrete technische und organisatorische Herausforderungen. Es müssen Mechanismen implementiert werden, die eine automatische oder manuelle Kennzeichnung gewährleisten. Dies kann die Anpassung von Content-Management-Systemen, die Integration von Disclaimer-Funktionen in Chat-Applikationen oder die Schulung von Mitarbeitenden zur korrekten Anwendung dieser Regeln umfassen. Die Einhaltung dieser Pflichten ist nicht nur eine rechtliche Notwendigkeit, sondern auch ein wichtiger Schritt zur Förderung des Vertrauens in KI-Technologien bei Nutzern und Kunden. Eine transparente Kommunikation über den Einsatz von KI schafft Klarheit und beugt Missverständnissen vor.

Hochrisiko-KI-Systeme: Umfangreiche Anforderungen ab Dezember 2027

Die umfangreichsten und technisch anspruchsvollsten Anforderungen des EU AI Act betreffen Hochrisiko-KI-Systeme. Diese Systeme werden aufgrund ihres Potenzials, erhebliche Schäden für die Gesundheit, Sicherheit oder Grundrechte von Personen zu verursachen, besonders streng reguliert. Die ursprünglich in einem früheren Zeitrahmen angesetzten Pflichten wurden durch den Digital Omnibus im Frühjahr 2026 angepasst und greifen nun ab Dezember 2027. Diese Verschiebung bietet Unternehmen zwar mehr Zeit für die Vorbereitung, ändert jedoch nichts am hohen inhaltlichen Anspruch und der Komplexität der Umsetzung. Eine Aufweichung der Kriterien für Hochrisiko-Systeme hat nicht stattgefunden.

Zu den definierten Hochrisiko-Bereichen gehören beispielsweise KI-Systeme, die in kritischen Infrastrukturen eingesetzt werden, wie Energie, Wasser, Verkehr oder digitale Dienste, da ein Versagen hier weitreichende Konsequenzen hätte. Auch im Bildungsbereich, etwa bei der Zulassung zu Bildungseinrichtungen oder der Bewertung von Lernleistungen, sowie im Beschäftigungsumfeld, zum Beispiel bei der Rekrutierung, Leistungsbewertung oder Personalplanung, fallen KI-Systeme unter diese Kategorie. Weitere Anwendungsfelder sind die Kreditwürdigkeitsprüfung, die Zugangsgewährung zu wesentlichen privaten und öffentlichen Dienstleistungen, und Systeme, die in der Rechtspflege und demokratischen Prozessen zum Einsatz kommen. Ein KI-System, das etwa Bewerbungen automatisiert vorsortiert oder zur Prognose von Kreditrisiken verwendet wird, unterliegt den umfassenden Hochrisiko-Anforderungen.

Für Anbieter und Betreiber solcher Systeme bedeutet dies die Notwendigkeit, ein umfassendes Risikomanagementsystem zu implementieren, hohe Anforderungen an die Datenqualität und Governance zu erfüllen, eine lückenlose Protokollierung der Aktivitäten zu gewährleisten und menschliche Aufsicht zu integrieren. Ausserdem sind Konformitätsbewertungen vor dem Inverkehrbringen und eine Marktüberwachung obligatorisch. Die Nichteinhaltung dieser Vorgaben kann mit empfindlichen Bußgeldern belegt werden, die bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes eines Unternehmens erreichen können, je nachdem, welcher Betrag höher ist. Dies unterstreicht die Ernsthaftigkeit der Anforderungen und die Notwendigkeit einer akribischen Vorbereitung.

Eine ursprünglich angedachte Pflicht zur verpflichtenden KI-Schulung von Mitarbeitenden wurde im Laufe des Gesetzgebungsprozesses abgemildert. Stattdessen wird nun lediglich die Förderung des KI-Verständnisses in Unternehmen gefordert. Diese Entscheidung mag auf den ersten Blick eine Entlastung darstellen. Aus unserer Sicht birgt sie jedoch das Risiko, dass die dringend benötigte KI-Kompetenz in den Belegschaften nicht ausreichend aufgebaut wird. Dies könnte die erfolgreiche und sichere Implementierung von KI im Arbeitsalltag behindern. Studien zeigen, dass in Europa, im Vergleich zu den USA, die aktive Förderung der KI-Nutzung durch Führungskräfte in vielen Betrieben noch immer unzureichend ist, obwohl sie entscheidend für eine Produktivitätssteigerung wäre. Das Fehlen einer verbindlichen Schulungspflicht verlagert die Verantwortung für den Kompetenzaufbau vollständig auf die Unternehmen selbst, was eine strategische Investition in Weiterbildung umso wichtiger macht.

Datenschutz und KI-Sicherheit: Zwei Seiten derselben Medaille

Parallel zum EU AI Act bleibt der Datenschutz ein unverzichtbares Fundament beim Einsatz von KI. Die Datenschutz-Grundverordnung (DSGVO) in Deutschland und Österreich sowie das revidierte Datenschutzgesetz (revDSG) in der Schweiz setzen den Rahmen für den verantwortungsvollen Umgang mit personenbezogenen Daten. Der Einsatz von KI-Tools, insbesondere wenn diese personenbezogene Daten verarbeiten oder gar systematisch zum Training von Modellen nutzen, erfordert eine ausserordentlich sorgfältige Beachtung dieser Gesetze.

Ein kritischer Aspekt ist die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Diese ist zwingend durchzuführen, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Beim Einsatz generativer KI, die zum Beispiel mit Kundendaten, Beschäftigtendaten oder gar sensiblen Daten gefüttert wird, ist dieses hohe Risiko nahezu immer gegeben. Dies macht eine DSFA in den meisten Fällen zur Pflicht. Besondere Vorsicht ist geboten, wenn Daten auf Servern ausserhalb der EU landen oder zum Training von KI-Modellen durch Dritte verwendet werden könnten. Unternehmen sollten daher Business- oder Enterprise-Lizenzen von KI-Tools bevorzugen, die klare Auftragsverarbeitungsverträge (AVV) anbieten. Solche Verträge sollten garantieren, dass Daten verschlüsselt bleiben, nicht zum Training verwendet werden und idealerweise auf europäischen Servern verbleiben. Dies minimiert sowohl datenschutzrechtliche Risiken als auch potenzielle Datenlecks.

Die Notwendigkeit einer robusten KI-Sicherheit wird durch jüngste Vorfälle eindrücklich untermauert. Am 8. Oktober 2026 wurde über KI-gestützte Cyberangriffe auf südkoreanische Banken berichtet, und bereits im August gab es Warnungen vor einem Anstieg dieser Angriffsart. Ebenfalls besorgniserregend war der Rücktritt eines OpenAI-Sicherheitschefs am 4. Oktober 2026, der vor erheblichen Risiken durch KI warnte und damit eine Reihe von Insidern fortsetzt, die seit Anfang September auf KI-Gefahren hinweisen. Diese Beispiele verdeutlichen: Der unüberlegte oder unzureichend gesicherte Einsatz von KI birgt nicht nur regulatorische Risiken in Form von Bußgeldern, sondern auch existenzielle Bedrohungen für die Geschäftstätigkeit eines Unternehmens. DACH-Unternehmen müssen umfassende KI-Sicherheitsstrategien entwickeln, die den gesamten Lebenszyklus von KI-Systemen, von der Entwicklung über den Betrieb bis zur Deaktivierung, abdecken.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Für Unternehmen im deutschsprachigen Raum ist es entscheidend, jetzt proaktiv zu handeln. Eine frühzeitige und strukturierte Auseinandersetzung mit den komplexen Anforderungen des EU AI Act und der DSGVO ist nicht nur eine Pflicht, sondern ein strategischer Vorteil. Die folgenden Handlungsempfehlungen bieten einen konkreten Fahrplan:

1. Aufbau einer robusten KI-Governance: Etablieren Sie eine klare Strategie für den Einsatz, die Entwicklung und den Betrieb von KI-Systemen. Dies umfasst die Definition von Rollen, Verantwortlichkeiten und Kontrollmechanismen über den gesamten Lebenszyklus von KI-Anwendungen hinweg. Erstellen Sie interne Richtlinien und Ethik-Grundsätze für den verantwortungsvollen KI-Einsatz. Ein dediziertes Team oder ein Verantwortlicher für KI-Compliance kann hier wertvolle Arbeit leisten.

2. Transparenz und Kennzeichnung implementieren: Überprüfen Sie alle Prozesse, in denen KI zur Erstellung oder Veränderung von Inhalten genutzt wird oder in denen Kunden mit KI-Systemen interagieren. Implementieren Sie technische Lösungen zur automatischen oder manuellen Kennzeichnung von KI-generierten Inhalten. Stellen Sie sicher, dass Nutzer aktiv darüber informiert werden, wenn sie mit einem Chatbot oder einem anderen KI-System kommunizieren. Schulen Sie Mitarbeitende in der korrekten Anwendung dieser Kennzeichnungspflichten.

3. Datenschutz-Folgenabschätzung (DSFA) als Standard etablieren: Bei jeder neuen KI-Anwendung, die personenbezogene Daten verarbeitet, ist eine DSFA obligatorisch. Integrieren Sie diese als festen Bestandteil in Ihre Einführungsprozesse für neue KI-Tools. Bevorzugen Sie Geschäftslösungen von KI-Anbietern, die transparente Auftragsverarbeitungsverträge (AVV) bieten, garantieren, dass Ihre Daten nicht zum Modelltraining verwendet werden, und idealerweise europäische Serverstandorte nutzen. Prüfen Sie bestehende KI-Anwendungen kritisch auf deren Datenschutzkonformität.

4. KI-Sicherheit von Anfang an integrieren: Entwickeln und betreiben Sie KI-Systeme nach den Prinzipien von „Security-by-Design“. Das bedeutet, Sicherheitsaspekte müssen von der Konzeption bis zur Implementierung und dem laufenden Betrieb berücksichtigt werden. Dies beinhaltet nicht nur den Schutz vor klassischen Cyberangriffen, sondern auch vor spezifischen KI-Bedrohungen wie Adversarial Attacks, Model Inversion oder Data Poisoning. Führen Sie regelmässige Sicherheitsaudits und Penetrationstests für Ihre KI-Anwendungen durch.

5. Kompetenzaufbau und Change Management aktiv vorantreiben: Obwohl eine verpflichtende KI-Schulungspflicht entfiel, ist der Aufbau von KI-Kompetenzen in der Belegschaft unerlässlich. Initiieren Sie gezielte Weiterbildungsprogramme, Workshops und interne Wissensaustauschformate, um Ängste abzubauen und die Akzeptanz und effektive Nutzung von KI-Tools zu fördern. Ein aktives Change Management hilft, Mitarbeitende auf die Veränderungen vorzubereiten und sie zu befähigen, KI als unterstützendes Werkzeug zu nutzen.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betrachten wir die regulatorischen Entwicklungen im Bereich KI nicht isoliert, sondern als integralen Bestandteil einer zukunftsgerichteten Unternehmensstrategie. Der EU AI Act bietet einen Rahmen, der auf den ersten Blick komplex erscheinen mag. Wir sehen darin jedoch eine Chance für den DACH-Mittelstand, sich durch verantwortungsvollen und gesetzeskonformen KI-Einsatz von weniger seriösen Anbietern abzugrenzen. Statt einer reinen