EU AI Act: Transparenzpflichten starten – Was DACH-Unternehmen jetzt wissen müssen

EU AI Act: Transparenzpflichten starten – Was DACH-Unternehmen jetzt wissen müssen

Für Unternehmen im deutschsprachigen Raum, die Künstliche Intelligenz (KI) entwickeln oder einsetzen, hat mit dem August 2026 eine neue Ära der Regulierung begonnen. Der EU AI Act, die weltweit erste umfassende KI-Verordnung, ist zwar bereits am 1. August 2024 in Kraft getreten, doch die Pflichten treten gestaffelt in Kraft. Seit August 2026 sind nun die wichtigen Transparenzpflichten EU-weit verbindlich. Parallel dazu bereitet sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) als nationale Aufsichtsbehörde auf die aktive Prüfung von KI-Anwendungen vor.

Diese Entwicklungen stellen für Unternehmen in Deutschland, Österreich und der Schweiz eine unmittelbare und konkrete Herausforderung dar. Die Anforderungen gehen weit über rein technische Implementierungen hinaus. Sie haben tiefgreifende Auswirkungen auf Arbeitsabläufe, Compliance und die strategische Nutzung von KI. Es geht nicht mehr nur um die Frage, *ob* man KI einsetzt, sondern *wie* man sie verantwortungsvoll und gesetzeskonform integriert. Kapitel H vertritt die Ansicht, dass diese Regulierung eine Chance darstellt, Vertrauen in KI zu schaffen und damit eine nachhaltige Innovation zu fördern, anstatt nur eine Hürde zu sein.

Der EU AI Act: Ein risikobasierter Rahmen und seine Stufen

Der EU AI Act verfolgt einen risikobasierten und menschenzentrierten Ansatz. Dies bedeutet, je höher das potenzielle Risiko einer KI-Anwendung für die Sicherheit und Grundrechte von Personen ist, desto strenger sind die regulatorischen Anforderungen. Die Verordnung unterscheidet dabei klar zwischen verschiedenen Kategorien von KI-Systemen:

* Verbotene KI-Praktiken: Diese sind aufgrund ihres Missbrauchspotenzials oder ihres inakzeptablen Risikos für die Grundrechte gänzlich untersagt. Erste Regeln hierzu traten bereits im Februar 2025 in Kraft. * Hochrisiko-KI-Systeme: Dies sind Systeme, die in kritischen Bereichen wie der Gesundheitsversorgung, der Strafverfolgung oder der Personalauswahl eingesetzt werden. Für diese gelten die strengsten Anforderungen, deren vollständige Umsetzung bis Dezember 2027 erwartet wird. * KI-Systeme mit begrenztem Risiko: Diese Systeme bergen geringere Risiken, erfordern aber dennoch bestimmte Transparenzpflichten, um Nutzerinnen und Nutzer zu informieren und potenzielle Irreführungen zu vermeiden. * Generative KI (GPAI, General Purpose AI): Für allgemeine KI-Modelle, wie sie beispielsweise Large Language Models (LLMs) darstellen, gelten spezifische Transparenzanforderungen, die seit August 2025 in Kraft sind.

Während die ersten Regeln für verbotene Praktiken und grundlegende GPAI-Anforderungen bereits etabliert sind, rücken nun die Transparenzpflichten für KI-Systeme mit begrenztem Risiko in den Fokus. Sie markieren einen entscheidenden Schritt in der umfassenden Implementierung des EU AI Act und erfordern sofortige Aufmerksamkeit von Unternehmen im DACH-Raum.

Konkrete Transparenzpflichten seit August 2026

Die seit August 2026 geltenden Transparenzpflichten nach Artikel 50 des EU AI Act sind direkt und haben weitreichende Konsequenzen für Unternehmen, die KI-Systeme in der Interaktion mit Menschen einsetzen oder Inhalte generieren. Konkret bedeutet dies, dass bestimmte Informationen für Endnutzer klar und verständlich offengelegt werden müssen:

1. Kennzeichnung von Chatbots und KI-Interaktionen: Unternehmen, die KI-gestützte Kundenservice-Bots, interne Assistenten oder ähnliche Tools einsetzen, müssen sicherstellen, dass Nutzer klar erkennen können, dass sie mit einer Maschine interagieren. Dies dient dem Schutz vor Irreführung und der Förderung eines transparenten Umgangs. Ein einfaches Pop-up oder ein Hinweis im Chatfenster kann hier bereits ausreichend sein, solange die Information unmissverständlich ist. 2. Kennzeichnung von KI-generierten Inhalten: Alle Inhalte, die durch KI erstellt wurden, sei es Text, Bild, Audio oder Video, müssen als solche gekennzeichnet werden. Diese Pflicht ist besonders relevant für Marketingabteilungen, Medienunternehmen und alle Branchen, die KI zur Erstellung von Inhalten nutzen, die auf Verbraucherinnen und Verbraucher echt wirken könnten. Beispiele hierfür sind: * KI-generierte Bilder von Produkten oder Menschen: Wenn diese nicht auf echten Gegenständen oder Personen basieren, aber so wirken könnten, müssen sie markiert werden. Das betrifft etwa Produktfotos, die rein virtuell erstellt wurden, oder KI-generierte Models in Werbekampagnen. * KI-generierte Fotos, die ein reales Ereignis suggerieren: Bilder, die den Eindruck erwecken, ein bestimmtes Ereignis habe tatsächlich stattgefunden, obwohl sie von KI erstellt wurden, müssen klar als synthetisch ausgewiesen werden. * KI-generierte Videos wie Interviews oder Reden: Solche Videos, die Personen sprechen oder agieren lassen, müssen als KI-generiert markiert werden. Dies schließt sogenannte Deepfakes ein, für die eine explizite Kennzeichnungspflicht besteht.

Die Industrie- und Handelskammer (IHK) München weist hierbei darauf hin, dass bei der Kennzeichnung stets die Zielgruppe und deren durchschnittliche Medienkompetenz zu berücksichtigen sind. Eine für Fachleute verständliche Kennzeichnung ist möglicherweise nicht ausreichend für die breite Öffentlichkeit. Unternehmen müssen also in die Lage versetzt werden, ihre internen Prozesse zur Inhaltserstellung und Kundenkommunikation kritisch zu überprüfen und gegebenenfalls anzupassen. Die Missachtung dieser Pflichten kann nicht nur zu erheblichen Reputationsschäden führen, sondern auch hohe Bußgelder nach sich ziehen, wie im folgenden Abschnitt näher beleuchtet wird.

BSI als nationale Aufsichtsbehörde: Sanktionen und Dringlichkeit

In Deutschland übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Durchsetzung des EU AI Act. Die Rolle des BSI ist dabei klar definiert: Es wird als nationale Aufsichtsbehörde für die Einhaltung der Verordnung sorgen und ist ab August 2026 mit aktiven Prüfungen zu rechnen. Dies ist ein wichtiger Punkt, da es zeigt, dass die Regulierung nicht nur auf dem Papier existiert, sondern aktiv kontrolliert und durchgesetzt wird. Auch wenn die vollständige Hochrisiko-Aufsicht erst ab Dezember 2027 greift, sind die Transparenzpflichten ab sofort bindend und prüfbar.

Die Bußgelder bei Verstößen gegen den EU AI Act sind gestaffelt und potenziell erheblich. Sie übersteigen in ihrer Höhe sogar die bekannten Bußgeldrahmen der Datenschutz-Grundverordnung (DSGVO). Konkret können Unternehmen mit folgenden Sanktionen rechnen:

* Bei verbotenen KI-Praktiken können Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen, je nachdem welcher Betrag höher ist. * Bei Verstößen gegen die Anforderungen an Hochrisiko-KI-Systeme können Strafen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängt werden. * Auch bei Missachtung der Transparenzpflichten für KI-Systeme mit begrenztem Risiko sind empfindliche Bußgelder vorgesehen, die die Wettbewerbsfähigkeit eines Unternehmens stark beeinträchtigen können.

Diese Zahlen unterstreichen die Dringlichkeit für DACH-Unternehmen, sich umgehend und umfassend mit den Anforderungen des EU AI Act auseinanderzusetzen. Eine abwartende Haltung ist riskant und kann teuer werden. Kapitel H empfiehlt eine proaktive Strategie, um nicht nur Compliance zu gewährleisten, sondern auch das Vertrauen der Kunden und Mitarbeiter zu stärken.

Datenschutz als Fundament der KI-Compliance: DSGVO und DSFA

Die Regulierung des EU AI Act ist eng mit den bereits bestehenden Anforderungen des Datenschutzes, insbesondere der Datenschutz-Grundverordnung (DSGVO), verbunden. Unternehmen müssen sicherstellen, dass ihre Datenverarbeitung beim Einsatz von KI-Tools wie ChatGPT nicht nur innovativ, sondern vor allem auch datenschutzkonform ist. Die Frage, ob Kundendaten in externe KI-Systeme eingegeben werden dürfen, ist komplex. Eine pauschale Antwort ist in den meisten Fällen nicht möglich. Die Zulässigkeit hängt stark vom gewählten Tarif, dem Verarbeitungszweck und der spezifischen Rechtsgrundlage ab. Die Verantwortung für die Einhaltung der DSGVO liegt immer beim Unternehmen als Verantwortlichem, nicht beim Anbieter des KI-Tools.

Gerade kleine und mittlere Unternehmen (KMU) sehen sich hier mit großen Herausforderungen konfrontiert. Eine Studie des TÜV-Verbands aus dem Jahr 2026 zeigt, dass mehr als jedes zweite KI nutzende Unternehmen (54 Prozent) eine starke Steigerung von Produktivität und Effizienz durch KI angibt. Bei Unternehmen ohne generative KI-Tools ist dies lediglich bei 14 Prozent der Fall. Dennoch verzichten viele Unternehmen auf den Einsatz von KI, oft aus Bedenken hinsichtlich des Datenschutzes (77 Prozent) und des Mangels an Fachkräften (70 Prozent), wie der Digital-Verband Bitkom berichtet. Diese Zahlen belegen das Dilemma: Potenziale werden nicht gehoben, weil die Unsicherheit über rechtliche Rahmenbedingungen und fehlende Expertise zu groß ist.

Ein entscheidendes Instrument zur Sicherstellung der Datenschutz-Compliance beim KI-Einsatz ist die Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 Absatz 1 DSGVO. Diese ist immer dann Pflicht, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Beim Einsatz generativer KI ist dieses Risiko fast immer gegeben, da KI-Systeme oft als