EU AI Act: Transparenzpflichten ab 2. August 2026 sind Realität für DACH

Die europäische KI-Landschaft erlebt einen entscheidenden Wendepunkt. Seit dem 2. August 2026 sind wesentliche Teile des EU AI Act, der weltweit ersten umfassenden KI-Regulierung, in Kraft getreten. Insbesondere die Transparenzpflichten (Artikel 50) haben nun unmittelbare und weitreichende Konsequenzen für Unternehmen im DACH-Raum, die KI-Systeme entwickeln, anbieten oder nutzen. Parallel dazu hat Deutschland mit dem „KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)“ sein nationales Durchführungsgesetz verabschiedet, um die Vorgaben des AI Act im deutschen Recht zu verankern. Dies markiert den Beginn einer neuen Ära der KI-Governance. Die Zeit des Abwartens ist für viele Unternehmen vorbei, die Notwendigkeit zur aktiven Auseinandersetzung mit den regulatorischen Anforderungen hingegen präsenter denn je.

Die Einführung dieser Regeln ist kein bürokratischer Akt, sondern eine strategische Weichenstellung. Sie soll sicherstellen, dass KI-Systeme im europäischen Wirtschaftsraum nicht nur innovativ, sondern auch sicher, transparent und vertrauenswürdig sind. Für den Mittelstand im DACH-Raum bedeutet dies, Prozesse anzupassen, Verantwortlichkeiten neu zu definieren und vor allem ein tiefes Verständnis für die Funktionsweise der eingesetzten KI-Systeme zu entwickeln. Wer diese Anforderungen proaktiv angeht, kann sich einen Wettbewerbsvorteil sichern und das Vertrauen seiner Kunden und Partner stärken.

Gestaffelte Anwendung: Klare Fristen und eine wichtige Verschiebung

Der EU AI Act, offiziell Verordnung (EU) 2024/1689, trat zwar bereits am 1. August 2024 in Kraft. Die volle Anwendung erfolgt jedoch schrittweise, um Unternehmen die notwendige Übergangszeit zu ermöglichen. Eine der wichtigsten Fristen, die nun wirksam ist, betrifft die Transparenzpflichten gemäß Artikel 50 der Verordnung. Seit dem 2. August 2026 müssen Unternehmen, die bestimmte KI-Systeme bereitstellen, die Nutzer transparent über deren Funktionsweise und den Einsatz von KI informieren. Dies betrifft insbesondere generative KI-Modelle oder Systeme, die mit Menschen interagieren und synthetische Inhalte wie Deepfakes erzeugen können. Die Einhaltung dieser Vorgaben ist nicht optional, sondern obligatorisch und wird bei Nichteinhaltung sanktioniert.

Eine entscheidende Anpassung betrifft die Geltung für sogenannte Hochrisiko-KI-Systeme. Ursprünglich war der 2. August 2026 als Stichtag für diese Kategorie vorgesehen. Durch das „Digital Omnibus“ (Verordnung (EU) 2026/1744 vom 8. Juli 2026) wurde diese Frist jedoch um 16 Monate auf den 2. Dezember 2027 verschoben. Diese Verschiebung ist eine direkte Reaktion auf die Komplexität der Vorgaben und die geäusserte Kritik aus der Wirtschaft, die mehr Zeit für die Implementierung forderte. Sie verschafft Unternehmen dringend benötigte Planungs- und Umsetzungszeit, insbesondere für die umfassenden Anforderungen an Risikomanagement, Daten-Governance und technische Dokumentation, die Hochrisiko-KI-Systeme mit sich bringen. Für Hochrisiko-KI in regulierten Produkten, die nach Anhang I des AI Act klassifiziert sind, gilt sogar eine noch längere Frist bis zum 2. August 2028. Diese gestaffelte Herangehensweise unterstreicht den pragmatischen Ansatz der EU, die Regulierung schrittweise einzuführen, ohne die Wirtschaft zu überfordern. Sie ermöglicht es Unternehmen, ihre Ressourcen effizient zu planen und die Compliance-Strategien methodisch zu entwickeln. Es ist jedoch entscheidend, diese gewonnenen Monate nicht untätig verstreichen zu lassen, sondern sie aktiv für die Vorbereitung zu nutzen.

Deutschlands nationales Durchführungsgesetz: Das KI-MIG als Fundament

Um die europäische KI-Verordnung in Deutschland effektiv umzusetzen, wurde das „KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)“ verabschiedet. Dieses Gesetz ist von zentraler Bedeutung, da der EU AI Act zwar unmittelbar anwendbar ist, aber die Mitgliedstaaten zur Benennung nationaler Behörden, zur Festlegung von Sanktionsvorschriften und zur Förderung von Innovationen verpflichtet. Das KI-MIG schafft hierfür die notwendigen nationalen Rahmenbedingungen und Verantwortlichkeiten.

Ein Kernstück des KI-MIG ist die geplante Einrichtung eines „Koordinierungs- und Kompetenzzentrums für die KI-Verordnung (KoKIVO)“ bei der Bundesnetzagentur (BNetzA). Dieses Zentrum soll andere zuständige Behörden bei ihren Aufgaben unterstützen und eine einheitliche Rechtsauslegung in horizontalen Rechtsfragen gewährleisten. Ziel ist es, die in Deutschland vorhandene KI-Expertise zentral zu bündeln und ressourcenschonend bereitzustellen. Dies ist ein pragmatischer Ansatz, um Fragmentierung zu vermeiden und eine kohärente Anwendung der Verordnung zu ermöglichen. Unternehmen profitieren von einer klareren Orientierungshilfe und einer zentralen Anlaufstelle für komplexe Rechtsfragen. Um Doppelstrukturen und unnötigen administrativen Aufwand zu vermeiden, setzt Deutschland auf einen „hybriden Ansatz“. Dies bedeutet, dass bereits bestehende Marktüberwachungsstrukturen, beispielsweise im Bereich der Produktsicherheit oder der Finanzdienstleistungen, sowie die etablierten Aufsichtsstrukturen genutzt werden. In allen anderen Bereichen, in denen keine vorhandenen Strukturen greifen, wird die BNetzA zur zuständigen Marktüberwachungsbehörde ernannt. Dieses Vorgehen unterstreicht den Fokus auf Effizienz und die Nutzung bestehender Kompetenzen, anstatt vollständig neue, parallele Apparate zu schaffen. Für Unternehmen bedeutet dies, dass sie sich mit den Zuständigkeiten je nach Anwendungsbereich ihrer KI-Systeme vertraut machen müssen, aber auch, dass sie auf etablierte Kontaktpunkte treffen werden.

Konkrete Auswirkungen und Handlungsempfehlungen für den Mittelstand

Die neuen Regelungen haben vielschichtige Auswirkungen auf Unternehmen, insbesondere in Deutschland und Österreich als EU-Mitgliedstaaten. Eine proaktive Auseinandersetzung mit den Vorgaben ist essenziell.

1. Transparenzpflichten sofort umsetzen: Seit dem 2. August 2026 müssen Unternehmen, die KI-Systeme einsetzen, welche mit Nutzern interagieren oder Inhalte generieren, diese transparent kennzeichnen. Dies umfasst beispielsweise Chatbots im Kundenservice, die Information, wenn Nutzer mit einer KI kommunizieren, oder die klare Kennzeichnung von KI-generierten Inhalten wie Texten, Bildern, Audio oder Video. Eine unzureichende Datenschutzerklärung, die KI-Nutzung nicht explizit erwähnt, ist dabei nicht automatisch mangelhaft. Entscheidend ist, dass der Verarbeitungszweck und die Interaktion mit der KI transparent kommuniziert werden. Unternehmen sollten jetzt ihre Websites, Apps und internen Prozesse überprüfen, um sicherzustellen, dass diese Informationspflichten erfüllt sind. Dies schafft Vertrauen und minimiert das Risiko von Beschwerden oder Sanktionen.

2. Auseinandersetzung mit der Hochrisiko-KI-Definition: Die Verschiebung der Fristen für Hochrisiko-KI-Systeme bis zum 2. Dezember 2027 bietet eine wichtige Atempause. Unternehmen sollten diese Zeit nutzen, um sich intensiv mit der Klassifizierung ihrer KI-Systeme auseinanderzusetzen. Hochrisiko-Systeme umfassen beispielsweise KI im Personalwesen (Recruiting, Leistungsbeurteilungen, Personaleinsatzplanung), in der Kreditvergabe, in der biometrischen Identifikation oder in kritischen Infrastrukturen. Die genaue Definition ist komplex und erfordert eine sorgfältige Analyse. Für diese Systeme gelten zukünftig besonders strenge Anforderungen an Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Robustheit. Eine frühzeitige Identifizierung und Bewertung ist entscheidend, um die notwendigen Anpassungen systematisch vornehmen zu können. Dies beinhaltet die Erstellung eines AI Impact Assessment und die Implementierung entsprechender Kontrollmechanismen.

3. Aufbau eines robusten Risikomanagements und Compliance-Strukturen: Die gestaffelte Anwendung erfordert von Unternehmen eine proaktive Herangehensweise. Sie müssen ihre internen Prozesse anpassen, um die Einhaltung der Vorschriften zu gewährleisten. Dies beinhaltet die Einrichtung eines dedizierten Risikomanagementsystems für KI, die Erstellung umfassender technischer Dokumentationen, die Sicherstellung der Datenqualität und die Implementierung von Prozessen zur menschlichen Aufsicht. Verstösse können hohe Bußgelder nach sich ziehen, die bis zu 7 Prozent des weltweiten Jahresumsatzes oder 35 Millionen Euro betragen können. Ein gut dokumentiertes Compliance-System ist daher nicht nur eine gesetzliche Pflicht, sondern eine Investition in die Rechtssicherheit und den Schutz des Unternehmens.

4. KI-Kompetenz und Change Management fördern: Der AI Act verlangt auch, dass Anbieter und Betreiber von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Dies unterstreicht die Notwendigkeit eines robusten Change Managements bei der Einführung und Nutzung von KI. Zahlreiche Studien und Experten betonen, dass erfolgreiche KI-Integration nicht primär an der Technologie scheitert, sondern an mangelnder Akzeptanz und fehlender menschlicher Befähigung. Unternehmen müssen ihre Mitarbeiter aktiv einbinden und befähigen, mit KI-Tools umzugehen, um Produktivitätsgewinne zu realisieren und die Compliance-Anforderungen zu erfüllen. Schulungen, Weiterbildungen und die Schaffung einer internen KI-Kultur sind hierfür entscheidend. Dies ist eine Investition in die Zukunftsfähigkeit des Unternehmens.

5. Digitale Souveränität und Vertrauen stärken: Im DACH-Raum wird zunehmend Wert auf „kontrollierbare KI, menschliche Aufsicht, digitale Souveränität und europäische Sicherheitsstrukturen“ gelegt. Dies beeinflusst die Auswahl von KI- und Cybersecurity-Anbietern. Die Regulierungen des AI Act können hier als Vertrauensanker dienen und europäische Lösungen stärken. Unternehmen, die den AI Act nicht nur als Last, sondern als Chance verstehen, um vertrauenswürdige KI-Produkte und -Dienstleistungen anzubieten, können sich einen strategischen Vorteil erarbeiten. Die Einhaltung der strengen europäischen Standards signalisiert Kunden und Partnern, dass das Unternehmen Wert auf Sicherheit, Ethik und Datenschutz legt.

Die Schweizer Perspektive: Eigenständigkeit mit EU-Bezug

Die Schweiz, die nicht Teil der Europäischen Union ist, verfolgt einen anderen Ansatz in der Regulierung von Künstlicher Intelligenz. Hier ist das revidierte Datenschutzgesetz (revDSG) direkt auf KI-gestützte Datenbearbeitungen anwendbar, ohne dass ein separates KI-Gesetz geschaffen wurde. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat mehrfach betont, dass das technologieneutral formulierte DSG ausreichend Schutz bietet. Dies beinhaltet Transparenzpflichten hinsichtlich des Zwecks, der Funktionsweise und der Datenquellen von KI-Systemen sowie das Recht auf menschliche Überprüfung bei automatisierten Einzelentscheidungen.

Für Schweizer Unternehmen mit EU-Bezug, beispielsweise durch den Betrieb von Niederlassungen in der EU oder das Anbieten von KI-Systemen auf dem EU-Markt, gilt der EU AI Act jedoch unabhängig vom Schweizer DSG. Die extraterritoriale Wirkung der EU-Verordnung bedeutet, dass diese Unternehmen eine duale Compliance-Strategie entwickeln müssen. Sie müssen sowohl die Anforderungen des revDSG als auch die des EU AI Act erfüllen. Dies erfordert eine sorgfältige Analyse der Geschäftsmodelle und Lieferketten, um alle relevanten Regularien zu identifizieren und die notwendigen Anpassungen vorzunehmen. Ein reines Verlassen auf die Schweizer Gesetzgebung ist in solchen Fällen unzureichend und kann zu erheblichen Haftungsrisiken führen.

Kritische Einordnung aus Kapitel H Sicht

Der EU AI Act und die nationalen Durchführungsgesetze, wie das deutsche KI-MIG, sind mehr als nur ein weiteres Regelwerk. Sie sind ein klares Signal, dass die KI-Entwicklung und -Anwendung in Europa nicht im rechtsfreien Raum stattfinden wird. Aus unserer Sicht bei Kapitel H ist dies eine notwendige und überfällige Entwicklung. Die weit verbreitete Euphorie um KI, oft getrieben von Hype und wenig Substanz, muss durch eine pragmatische und faktenbasierte Herangehensweise ergänzt werden. Die Regulierung zwingt Unternehmen dazu, sich kritisch mit den realen Anwendungen und den damit verbundenen Risiken ihrer KI-Systeme auseinanderzusetzen. Dies fördert eine nachhaltigere und verantwortungsvollere Nutzung von KI.

Wir sehen im AI Act keine Innovationsbremse, sondern einen Rahmen für vertrauenswürdige Innovation. Indem klare Regeln für Sicherheit, Transparenz und Rechenschaftspflicht geschaffen werden, wird das Vertrauen der Nutzer in KI-Technologien gestärkt. Dies ist gerade für den Mittelstand im DACH-Raum, der oft auf langfristige Kundenbeziehungen und Qualität setzt, ein entscheidender Faktor. Unternehmen, die sich frühzeitig und gründlich mit den Anforderungen auseinandersetzen, können sich als vertrauenswürdige Anbieter positionieren und damit einen echten Wettbewerbsvorteil erzielen. Es geht darum, KI nicht blind zu adaptieren, sondern sie bewusst, kontrolliert und im Einklang mit ethischen sowie rechtlichen Grundsätzen einzusetzen. Eine „Einerseits-andererseits“-Haltung ist hier nicht zielführend. Es braucht eine klare Strategie und konkrete Massnahmen zur Umsetzung.

Fazit: Jetzt handeln für eine vertrauenswürdige KI-Zukunft

Die breitere Anwendbarkeit des EU AI Act und das deutsche Durchführungsgesetz signalisieren, dass die Zeit des abwartenden Verhaltens für viele Unternehmen im DACH-Raum vorbei ist. Insbesondere die sofort geltenden Transparenzpflichten erfordern schnelles und entschlossenes Handeln. Unternehmen müssen ihre Prozesse überprüfen und gegebenenfalls anpassen, um die Nutzer transparent über den Einsatz von KI zu informieren. Die gewährte Verlängerung für Hochrisiko-KI-Systeme ist keine Einladung zur Untätigkeit, sondern eine Chance. Sie ermöglicht es, die strategische Einführung von KI sorgfältig zu planen und die notwendigen Governance-, Risiko- und Change-Management-Prozesse methodisch aufzubauen. Nutzen Sie diese Zeit, um Ihre internen Strukturen zu stärken und Ihre Mitarbeiter zu befähigen.

Die Regulierung zielt darauf ab, ein Gleichgewicht zwischen der Förderung von Innovation und dem Schutz von Grundrechten sowie Sicherheit zu finden. Dies wird Unternehmen vor Herausforderungen stellen, birgt aber auch die immense Chance, durch vertrauenswürdige und ethisch verantwortungsvolle KI-Lösungen Wettbewerbsvorteile zu erzielen. Unternehmen, die KI nicht nur technologisch, sondern auch organisatorisch und rechtlich sauber implementieren, werden langfristig erfolgreicher sein. Handeln Sie jetzt, um die Weichen für eine sichere und zukunftsfähige KI-Nutzung in Ihrem Unternehmen zu stellen und somit digitale Souveränität zu bewahren.