EU AI Act: Transparenzpflichten und Schweizer DSG fordern DACH-Unternehmen

Der Einsatz von künstlicher Intelligenz (KI) in Unternehmen ist längst keine Zukunftsvision mehr, sondern alltägliche Realität. Von der Automatisierung im Kundenservice über die Personalauswahl bis hin zur Erstellung von Inhalten, KI transformiert Geschäftsprozesse in einem rasanten Tempo. Doch mit den Chancen wachsen auch die rechtlichen und ethischen Herausforderungen. Besonders im DACH-Raum stehen Unternehmen nun vor entscheidenden Änderungen. Ab dem 2. August 2026 treten wesentliche Transparenzpflichten des EU AI Act in Kraft. Diese Regulierung, ergänzt durch die kürzlich verabschiedete Digital-Omnibus-Verordnung, erfordert eine sorgfältige Prüfung der eigenen KI-Nutzung.\n\nGleichzeitig müssen Schweizer Unternehmen bereits seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG) auf ihre KI-Anwendungen anwenden. Dieses ist technologieneutral formuliert und stellt direkte Anforderungen an Transparenz und Datenschutz. Viele kleine und mittlere Unternehmen (KMU) im DACH-Raum gehen fälschlicherweise davon aus, dass solche Gesetze primär grosse Technologiekonzerne betreffen. Ein solcher Irrtum kann jedoch weitreichende finanzielle und reputationelle Konsequenzen nach sich ziehen. Es ist daher unerlässlich, die kommenden und bestehenden Vorschriften genau zu verstehen und die eigenen KI-Strategien entsprechend anzupassen.\n\n## Der EU AI Act: Transparenzpflichten werden Realität\n\nDie Europäische Union hat mit dem AI Act (Verordnung (EU) 2024/1689) das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz geschaffen. Ziel ist es, vertrauenswürdige und menschenzentrierte KI in Europa zu etablieren. Obwohl der AI Act schrittweise in Kraft tritt, ist der 2. August 2026 ein zentraler Stichtag. An diesem Datum beginnen die allgemeinen Anwendungsregeln sowie insbesondere die Transparenzpflichten nach Artikel 50 des AI Act zu gelten.\n\nDiese Transparenzpflichten richten sich nicht ausschliesslich an Entwickler oder Anbieter von KI-Systemen, sondern explizit auch an die Betreiber, also jene Unternehmen, die KI in ihren Geschäftsabläufen nutzen. Dies betrifft eine breite Palette von Anwendungen. Ein Unternehmen, das beispielsweise einen Chatbot für den Kundenservice einsetzt, KI zur automatisierten Angebotserstellung verwendet oder Algorithmen zur Vorsortierung von Bewerbungen nutzt, fällt unter die Definition eines Betreibers und muss die entsprechenden Pflichten erfüllen.\n\nKonkret müssen ab dem 2. August 2026 folgende Punkte beachtet werden:\n\n* Interaktion mit KI-Systemen: Wenn ein KI-System direkt mit natürlichen Personen kommuniziert, beispielsweise in Form von Chatbots oder Sprachassistenten, muss der Nutzer klar und eindeutig darüber informiert werden, dass er mit einer Maschine interagiert. Diese Kennzeichnung muss spätestens zum Zeitpunkt der ersten Interaktion erfolgen. Ein reiner Hinweis im Impressum ist nicht ausreichend, die Transparenz muss dort gegeben sein, wo die Interaktion stattfindet.\n\n* KI-generierte Inhalte: Synthetische Audio-, Bild-, Video- oder Textinhalte, die von KI erzeugt oder wesentlich bearbeitet wurden und zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen, unterliegen ebenfalls einer Kennzeichnungspflicht. Diese Inhalte müssen maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein. Dies gilt beispielsweise für KI-generierte Nachrichtenartikel oder politische Stellungnahmen, nicht jedoch für jeden internen Marketingtext oder einen Webseitentext, sofern ein Mensch die redaktionelle Verantwortung und Kontrolle über den Inhalt übernimmt. Die Kennzeichnung hat direkt im Inhalt zu erfolgen, etwa durch einen Hinweis am Ende eines Artikels oder bei Audioinhalten am Beginn des Gesprächs.\n\n* Deepfakes: Besonders sensible KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die reale Personen, Ereignisse oder Situationen täuschend echt darstellen, sogenannte Deepfakes, unterliegen ebenfalls spezifischen Kennzeichnungspflichten. Hier liegt ein besonderer Fokus auf dem Schutz vor Desinformation und Manipulation, da diese Inhalte erhebliche gesellschaftliche Risiken bergen können.\n\nDie praktische Umsetzung dieser Anforderungen erfordert eine detaillierte Analyse der bestehenden KI-Anwendungen und Kommunikationskanäle innerhalb des Unternehmens. Die reine Annahme, man sei nicht betroffen, kann zu einem Compliance-Risiko führen, das vermeidbar ist.\n\n## Der AI Omnibus: Fristverschiebungen, aber nicht für die Transparenz\n\nKurz vor dem Stichtag des 2. August 2026 ist eine weitere wichtige Entwicklung in Kraft getreten: die sogenannte Digital-Omnibus-Verordnung (Regulation (EU) 2026/1744), die am 27. Juli 2026 anwendbar wird. Diese Verordnung modifiziert den EU AI Act und verschiebt die Anwendungsfristen für einen Grossteil der Pflichten, die Hochrisiko-KI-Systeme betreffen. Ursprünglich hätten diese Pflichten ebenfalls am 2. August 2026 gelten sollen.\n\nDurch den AI Omnibus wurden die Fristen für Hochrisiko-KI-Systeme wie folgt angepasst:\n\n* Eigenständige Hochrisiko-KI-Systeme: Für KI-Systeme, die eigenständig als Hochrisiko-Systeme gemäss Anhang III des AI Act eingestuft werden, gelten die Pflichten nun erst ab dem 2. Dezember 2027.\n\n* Eingebettete Hochrisiko-KI-Systeme: Für Hochrisiko-KI-Systeme, die in bereits regulierte Produkte eingebettet sind, beispielsweise in medizinischen Geräten oder Fahrzeugen gemäss Anhang I des AI Act, wurde die Übergangsfrist sogar bis zum 2. August 2028 verlängert.\n\nEs ist jedoch von grösster Bedeutung zu verstehen, dass diese Fristverschiebungen die Substanz und den Geltungsbeginn der Transparenzpflichten nach Artikel 50 des EU AI Act nicht betreffen. Diese treten wie ursprünglich geplant am 2. August 2026 in Kraft. Die einzige Ausnahme betrifft Anbieter von generativen KI-Systemen, die ihre Systeme bereits vor diesem Stichtag in Verkehr gebracht haben. Für diese gibt es einen kurzen Übergangszeitraum bis zum 2. Dezember 2026, um die technischen Kennzeichnungsanforderungen umzusetzen. Alle anderen Transparenzpflichten gelten ab dem 2. August 2026 ohne Ausnahme. Unternehmen müssen daher ihre Compliance-Bemühungen gezielt auf diese bevorstehenden Transparenzregelungen ausrichten und dürfen sich nicht durch die verschobenen Fristen für Hochrisiko-Systeme in Sicherheit wiegen.\n\n## Konsequenzen bei Nichteinhaltung: Risiken für DACH-Unternehmen\n\nDie Nichteinhaltung der Transparenzpflichten des EU AI Act kann erhebliche Konsequenzen für DACH-Unternehmen haben. Die Verordnung sieht empfindliche finanzielle Strafen vor. Bei Verstössen drohen Bussgelder von bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen (KMU) wird jeweils der niedrigere Wert angewendet, was die finanzielle Belastung für sie jedoch nicht weniger spürbar macht. Eine Beschwerde kann von Dritten bei der zuständigen Aufsichtsbehörde, in Deutschland voraussichtlich der Bundesnetzagentur, eingereicht werden.\n\nÜber die reinen finanziellen Strafen hinaus reichen die Konsequenzen einer mangelnden Transparenz weitaus tiefer. Ein Vertrauensverlust bei Kunden und Geschäftspartnern kann zu erheblichen Reputationsschäden führen. In einer zunehmend sensiblen Öffentlichkeit kann eine negative Berichterstattung über intransparente KI-Nutzung langfristige Auswirkungen auf das Markenimage und die Kundenbindung haben. Intern können fehlende Kennzeichnungen zu Verunsicherung bei Mitarbeitenden führen, die mit KI-generierten Inhalten arbeiten oder mit KI-Systemen interagieren. Dies kann die Akzeptanz neuer Technologien beeinträchtigen und zu internen Reibungen führen, die die Produktivität mindern.\n\nAusserdem kann die Nichtbeachtung der Transparenzpflichten zu rechtlichen Auseinandersetzungen mit Wettbewerbern oder Verbraucherschutzorganisationen führen, die sich auf unlauteren Wettbewerb oder irreführende Geschäftspraktiken berufen. Die Kosten für solche Verfahren, selbst wenn sie erfolgreich abgewehrt werden, können beträchtlich sein. Ein proaktives Vorgehen ist daher nicht nur aus Compliance-Sicht, sondern auch aus strategischer Sicht von entscheidender Bedeutung.\n\n## Schweizer Datenschutzgesetz (DSG) und KI\n\nFür Schweizer Unternehmen ergibt sich eine zusätzliche Komplexität durch das revidierte Datenschutzgesetz (DSG), das bereits seit dem 1. September 2023 in Kraft ist. Das Schweizer DSG ist bewusst technologieneutral formuliert. Dies bedeutet, dass es direkt und ohne separate KI-Gesetzgebung für KI-gestützte Datenbearbeitungen gilt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in seinem aktualisierten Leitfaden vom 8. Mai 2025 klar bestätigt. Eine spezifische Schweizer KI-Gesetzgebung ist aus dieser Perspektive kurzfristig nicht zwingend notwendig, da das bestehende Recht bereits umfassende Anforderungen stellt.\n\nDie wichtigsten Anforderungen des Schweizer DSG für KI-Anwendungen sind:\n\n* Transparenzpflicht: Unternehmen, die KI-gestützte Datenbearbeitungen durchführen, müssen umfassend über den Zweck, die Funktionsweise und die verwendeten Datenquellen informieren. Nutzer haben das Recht zu wissen, ob sie mit einer Maschine kommunizieren und ob ihre Eingaben für das Modelltraining verwendet werden. Ein unkenntlich gemachter KI-Chatbot verstösst beispielsweise bereits heute gegen Schweizer Datenschutzrecht und auch gegen das Lauterkeitsrecht, wenn er Kunden täuscht.\n\n* Privacy by Design und Privacy by Default: Der Datenschutz muss bereits in der Entwicklungs- und Planungsphase von KI-Systemen berücksichtigt werden (Art. 7 DSG). Dies bedeutet, dass KI-Systeme von Grund auf datenschutzfreundlich konzipiert und standardmässig so eingestellt werden müssen, dass sie möglichst wenig Daten verarbeiten und die Privatsphäre der Betroffenen maximal schützen.\n\n* Datenschutz-Folgenabschätzung (DSFA): Bei KI-Systemen, die hohe Risiken für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringen, ist eine DSFA zwingend erforderlich. Dies ist insbesondere der Fall, wenn sensible oder grosse Mengen personenbezogener Daten durch KI verarbeitet werden. Die Durchführung einer DSFA hilft, Risiken frühzeitig zu identifizieren und geeignete Massnahmen zu deren Minimierung zu ergreifen.\n\n* Lauterkeitsrecht: Neben dem Datenschutzrecht können ungekennzeichnete KI-Inhalte, die Kunden täuschen, auch gegen das Lauterkeitsrecht verstossen. Dies eröffnet weitere rechtliche Angriffsflächen und unterstreicht die Notwendigkeit klarer Kommunikationsstrategien.\n\nObwohl die Schweiz kein Mitglied der Europäischen Union ist, sind Schweizer Unternehmen vom EU AI Act betroffen, sofern sie einen sogenannten «EU-Bezug» aufweisen. Dies ist der Fall, wenn sie KI-Systeme auf dem EU-Markt in Verkehr bringen, in Betrieb nehmen oder deren Outputs innerhalb der EU verwendet werden. Daher müssen Schweizer Unternehmen die neuen EU-Regelungen im Kontext ihrer grenzüberschreitenden Aktivitäten ebenfalls sehr ernst nehmen und prüfen, ob und in welchem Umfang sie unter die Bestimmungen des AI Act fallen. Eine isolierte Betrachtung des Schweizer Rechts reicht für viele international agierende Unternehmen nicht aus.\n\n## Praktische Handlungsempfehlungen für DACH-Unternehmen\n\nAngesichts der bevorstehenden und bereits geltenden Regelungen ist proaktives Handeln für DACH-Unternehmen unerlässlich. Die Untätigkeit bis zum letzten Moment kann zu unnötigen Risiken und Kosten führen. Wir empfehlen folgende konkrete Schritte:\n\n1. Inventur der KI-Nutzung: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller im Unternehmen eingesetzten KI-Anwendungen. Dies schliesst sowohl zentral beschaffte Systeme als auch jene ein, die von einzelnen Abteilungen oder Mitarbeitenden eigenständig eingeführt wurden, sogenannte «Schatten-KI». Dokumentieren Sie, welche Daten verarbeitet werden, welche Zwecke verfolgt werden und welche Outputs generiert werden.\n\n2. Rollenklärung und Risikoeinstufung: Klären Sie für jede identifizierte KI-Anwendung, ob Ihr Unternehmen als Anbieter oder Betreiber im Sinne des AI Act agiert. Nehmen Sie eine vorläufige Risikoeinstufung des Systems vor, um potenzielle Hochrisiko-Systeme frühzeitig zu identifizieren. Beachten Sie, dass auch wenn die Fristen für Hochrisiko-Systeme verschoben wurden, die Planung und Vorbereitung dafür bereits jetzt beginnen sollten.\n\n3. Implementierung von Transparenzmechanismen: Stellen Sie sicher, dass alle KI-Systeme, die direkt mit Menschen interagieren, entsprechend den Anforderungen des AI Act und des DSG gekennzeichnet sind. Überprüfen Sie interne und externe Kommunikationskanäle wie Websites, Chatbots, soziale Medien und Marketingmaterialien auf KI-generierte Inhalte, die kennzeichnungspflichtig sein könnten. Entwickeln Sie klare Richtlinien für die Nutzung von generativer KI durch Mitarbeitende.\n\n4. **Prozesse für