EU AI Act: Unerwartete Lockerungen und ihre Relevanz für den DACH-Mittelstand

Die Landschaft der Künstlichen Intelligenz (KI) im DACH-Raum ist dynamisch. Sie ist geprägt von rasanter technologischer Entwicklung, zunehmender Adaption in Unternehmen und einem gleichzeitig komplexer werdenden regulatorischen Rahmen. Eine der bedeutendsten und aktuellsten Entwicklungen, die weitreichende Konsequenzen für deutschsprachige Unternehmen hat, sind die jüngsten Änderungen des EU AI Act durch die "Digital Omnibus Regulation on AI".

Diese Überarbeitung, veröffentlicht am 24. Juli 2026 und in Kraft getreten am 27. Juli 2026, bringt unerwartete Lockerungen und verlängerte Fristen mit sich. Für Unternehmen im DACH-Raum bedeutet dies sowohl eine Erleichterung als auch die Notwendigkeit, ihre strategischen Überlegungen zum KI-Einsatz neu auszurichten. Es ist entscheidend, diese Anpassungen nicht als Freifahrtschein zu verstehen, sondern als Chance für eine pragmatische, aber verantwortungsbewusste Implementierung von KI-Technologien.

Der EU AI Act: Ein unerwarteter Kurswechsel und seine Details

Der EU AI Act wurde ursprünglich als wegweisendes Gesetz zur Regulierung von KI-Systemen konzipiert. Sein Ziel war es, einen risikobasierten Ansatz zu verfolgen, um Vertrauen in KI zu schaffen und gleichzeitig potenzielle Risiken für Sicherheit und Grundrechte zu minimieren. Die Erwartungshaltung vieler Unternehmen und Experten war eine weitere Verschärfung der Anforderungen. Die kürzlich in Kraft getretene "Digital Omnibus Regulation on AI" hat jedoch zu einem Kurswechsel geführt, der in mehreren wichtigen Bereichen erhebliche Lockerungen mit sich bringt. Gleichzeitig wurde die europäische Aufsicht über KI-Systeme deutlich gestärkt, was die Notwendigkeit einer klaren Governance unterstreicht.

Eine der zentralen Änderungen betrifft die Definition und Klassifizierung von "Hochrisiko-KI-Systemen". Zukünftig wird dieser Begriff enger gefasst. Systeme, die zuvor in diese Kategorie gefallen wären, werden in der Regel nicht mehr so eingestuft. Dies betrifft insbesondere KI-Komponenten, die zur Benutzerunterstützung, Effizienzsteigerung, Prozessautomatisierung oder Qualitätskontrolle eingesetzt werden. Diese fallen nur noch dann unter die Hochrisikokategorie, wenn ihr Ausfall oder ihre Fehlfunktion tatsächlich unmittelbare und ernsthafte Risiken für Gesundheit oder Sicherheit verursachen könnte. Für Unternehmen wird es daher noch wichtiger, eine präzise und fundierte Risikoeinschätzung für jede eingesetzte KI-Anwendung vorzunehmen. Dies erfordert internes Fachwissen oder die Zusammenarbeit mit externen Experten, um die korrekte Klassifizierung sicherzustellen und unnötige Compliance-Lasten zu vermeiden oder notwendige nicht zu unterschätzen.

Darüber hinaus wurden die Fristen zur Einhaltung der Vorschriften erheblich verschoben. Die ursprüngliche Frist für viele Hochrisiko-KI-Systeme, die im August 2026 ablaufen sollte, wurde bis mindestens zum 2. Dezember 2027 verlängert. Für Produkte, die unter Anhang I der Verordnung fallen und bereits bestehenden Produktsicherheitsvorschriften unterliegen, gilt sogar eine noch spätere Frist bis zum 2. August 2028. Diese Verlängerungen verschaffen DACH-Unternehmen, die bereits KI-Systeme im Einsatz haben oder deren Einführung planen, mehr Zeit zur Anpassung und Implementierung der erforderlichen Compliance-Maßnahmen. Diese Zeit sollte jedoch nicht untätig verstrichen werden, sondern aktiv für die Etablierung robuster Prozesse und Governance-Strukturen genutzt werden. Eine proaktive Haltung ermöglicht es, die neuen Freiheiten strategisch zu nutzen und gleichzeitig Risiken zu minimieren.

Strategische Auswirkungen für DACH-Unternehmen und den Arbeitsmarkt

Die Anpassungen des EU AI Act haben direkte und indirekte Auswirkungen auf die Strategie und den Arbeitsmarkt im DACH-Raum:

1. Strategische Neubewertung des KI-Einsatzes: Die Lockerung der Hochrisiko-Klassifizierung könnte dazu führen, dass Unternehmen im DACH-Raum bestimmte KI-Anwendungen, die sie zuvor aufgrund der strengeren Auflagen zurückhaltend betrachteten, nun schneller und unkomplizierter einführen. Dies betrifft insbesondere Bereiche wie die Automatisierung von Verwaltungsprozessen, datengestützte Entscheidungsunterstützung im Controlling und HR, oder die Optimierung von Lieferketten. In diesen Anwendungsfeldern tragen KI-Systeme zur Effizienzsteigerung bei, ohne direkt hohe Risiken für Gesundheit oder Sicherheit zu bergen. Dies ermöglicht eine breitere Anwendung von KI zur Steigerung der Wettbewerbsfähigkeit.

2. Verlängerter Implementierungszeitraum für Compliance: Die aufgeschobenen Fristen sind eine willkommene Nachricht für viele Unternehmen, insbesondere für den Mittelstand, der oft mit begrenzten Ressourcen für die Implementierung komplexer Regularien kämpft. Sie ermöglichen eine gründlichere Planung, eine schrittweise Einführung von Governance-Strukturen und eine umfassendere Schulung der Mitarbeiter im Umgang mit KI-Systemen. Unternehmen können diese Zeit nutzen, um ihre internen Kompetenzen aufzubauen und eine nachhaltige KI-Strategie zu entwickeln, die über reine Compliance hinausgeht.

3. Fokus auf menschliche Aufsicht und digitale Souveränität: Trotz der Lockerungen betont der Arctic Wolf AI & Cybersecurity Trends Report 2026, dass DACH-Unternehmen weiterhin Wert auf kontrollierbare KI, menschliche Aufsicht und digitale Souveränität legen. Vertrauen, Governance und Resilienz sind entscheidend dafür, ob KI im Unternehmen wirklich Wirkung entfaltet. Dies bedeutet, dass Unternehmen zwar die neuen Freiheiten nutzen können, aber gleichzeitig robuste Sicherheitsprozesse und eine klare Verantwortlichkeit sicherstellen müssen. Der Mensch muss im Zentrum des KI-Einsatzes bleiben, um die Kontrolle zu behalten und die Akzeptanz zu fördern.

Die spezielle Situation in der Schweiz: DSG und zukünftige Entwicklungen

Für Schweizer Unternehmen bleibt die Situation weiterhin speziell. Da die Schweiz bislang kein eigenes KI-Gesetz hat, bleibt das revidierte Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, das massgebliche Instrument für den Umgang mit Personendaten im Kontext von KI-Anwendungen. Sobald Personendaten in einem KI-Tool verarbeitet werden, gelten die strikten Regeln des DSG, einschliesslich der Bearbeitungsgrundsätze wie Rechtmässigkeit, Treu und Glauben, Zweckbindung, Verhältnismässigkeit, Richtigkeit und Datensicherheit. Die Informationspflicht nach Art. 21 DSG bei rein automatisierten Entscheidungen mit rechtlichen Folgen ist hierbei besonders relevant.

Für Organisationen mit EU-Bezug, beispielsweise aufgrund von Geschäftsbeziehungen oder der Verarbeitung von Daten von EU-Bürgern, greift der EU AI Act jedoch unabhängig vom Schweizer DSG. Dies bedeutet eine doppelte Anforderung: Die Einhaltung des DSG ist für alle Unternehmen in der Schweiz obligatorisch, während der EU AI Act für grenzüberschreitende KI-Anwendungen oder solche, die auf den EU-Markt abzielen, beachtet werden muss. Diese Komplexität erfordert eine sorgfältige juristische und technische Prüfung.

Die Schweiz hat die Konvention des Europarats über KI und Menschenrechte im März 2025 unterzeichnet. Eine Vernehmlassungsvorlage für ein potenzielles nationales KI-Gesetz wird bis Ende 2026 erwartet. Dies unterstreicht die Notwendigkeit für Schweizer Unternehmen, sowohl das DSG als auch die Entwicklungen im EU AI Act genau im Blick zu behalten, um Compliance sicherzustellen und Haftungsrisiken zu minimieren. Es ist ratsam, sich proaktiv über diese Entwicklungen zu informieren und die eigene Strategie entsprechend anzupassen, um zukünftigen Anforderungen gerecht zu werden.

KI in spezifischen Anwendungsfeldern: Praxisbeispiele und Herausforderungen

Der Einsatz von KI-Technologien gewinnt in verschiedenen Unternehmensbereichen an Bedeutung. Die Digital Omnibus Regulation on AI beeinflusst dabei die Geschwindigkeit und den Umfang der Implementierung:

* Finance und Controlling: Eine aktuelle Studie zeigt, dass die DACH-Region führend bei der Implementierung von KI in Finanzabteilungen ist, wobei 90 % der Finanzfunktionen Kenntnisse in generativer KI besitzen. Die Herausforderung liegt jedoch in der Governance: über 50 % der Finanzabteilungen arbeiten ohne umfassende KI-Governance, was zu Compliance-Problemen und Datenschutzverletzungen führen kann. KI soll Controller entlasten, indem sie Analysen vorbereitet und Reports strukturiert, damit sich die Mitarbeitenden auf Business-Verständnis und Entscheidungsunterstützung konzentrieren können. Die Lockerungen ermöglichen hier eine schnellere Pilotierung und Implementierung von unterstützenden Systemen, ohne sofort in die strengste Regulierung zu fallen. Dennoch bleibt die Notwendigkeit einer klaren Governance bestehen, um die Verlässlichkeit der Daten und Entscheidungen zu gewährleisten.

* HR: Auch im HR-Bereich nimmt der Einsatz von KI zu, etwa bei der automatisierten Prüfung von Bewerbungsunterlagen oder im Talentmanagement. Hier sind jedoch besondere datenschutzrechtliche Anforderungen zu beachten, insbesondere Art. 21 DSG, der eine Informationspflicht bei rein automatisierten Entscheidungen mit rechtlichen Folgen vorsieht. Die Möglichkeit, KI zur Effizienzsteigerung einzusetzen, darf die ethischen und rechtlichen Grenzen, insbesondere im Umgang mit hochsensiblen Personendaten, nicht überschreiten. Eine transparente Kommunikation und die Möglichkeit menschlicher Überprüfung sind hier essenziell.

* Mittelstand als Innovationstreiber: Der DACH-Mittelstand, der über 99 % aller Unternehmen ausmacht und einen Großteil der Arbeitsplätze schafft, hat oft strukturelle Vorteile wie flache Hierarchien, die eine schnellere KI-Adaption ermöglichen. Ein Logistikunternehmen aus der Schweiz konnte beispielsweise durch den Vorschlag eines Staplerfahrers eine KI-Anwendung zur automatischen Routenoptimierung implementieren und 20 % der Transportkosten einsparen. Solche pragmatischen Anwendungsfälle, die einen klaren Mehrwert schaffen und direkt aus der Praxis entstehen, sind beispielhaft für den erfolgreichen KI-Einsatz im Mittelstand. Die "Digital Omnibus Regulation on AI" mit ihren Lockerungen und verlängerten Fristen kann diesen Unternehmen nun zusätzliche Flexibilität bieten, um solche KI-Anwendungen verantwortungsvoll und strategisch in ihre Prozesse zu integrieren, ohne von überzogenen regulatorischen Hürden gebremst zu werden.

Kritische Einordnung: Hype versus realer Nutzen und Governance-Anforderungen

Während die Einführung von KI weiterhin mit hohen Erwartungen verbunden ist, zeigen Studien und Praxisbeispiele, dass der Erfolg nicht allein von der Technologie abhängt. Er ist massgeblich von der korrekten Anwendung, der Auswahl passender Use Cases und einem effektiven Change Management bestimmt. Die jüngsten regulatorischen Lockerungen dürfen nicht zu einer unkritischen Beschleunigung des KI-Einsatzes führen. Vielmehr sollten sie als Gelegenheit verstanden werden, mit mehr Spielraum, aber ebenso grosser Sorgfalt vorzugehen.

Die neuen Bestimmungen ermöglichen es, viele KI-Systeme, die im Mittelstand oft zur Effizienzsteigerung und Prozessoptimierung eingesetzt werden, aus der strengsten Hochrisikokategorie herauszunehmen. Dies reduziert den unmittelbaren bürokratischen Aufwand. Gleichzeitig dürfen die grundlegenden Prinzipien von Datenschutz und Sicherheit nicht vernachlässigt werden, insbesondere da die Implementierung von KI im Mittelstand oft noch ohne umfassende Governance-Strukturen erfolgt. Die Studie, die einen Mangel an KI-Governance in über 50 % der Finanzabteilungen aufzeigt, ist hier ein Warnsignal. Ein KI-System, das zwar nicht als Hochrisiko eingestuft wird, aber dennoch fehlerhafte oder voreingenommene Ergebnisse liefert, kann erhebliche operative, finanzielle und reputationelle Schäden verursachen.

Es geht darum, eine Balance zu finden. Die gewonnene Flexibilität sollte genutzt werden, um interne Kapazitäten für die Bewertung, Implementierung und Überwachung von KI aufzubauen. Dies schliesst die Schulung von Mitarbeitern, die Definition klarer Verantwortlichkeiten und die Etablierung robuster Prozesse für Datenqualität und -sicherheit ein. Ohne diese Grundlagen bleibt der Nutzen von KI begrenzt und die Risiken hoch. Die Kernbotschaft von Kapitel H, nämlich die Befähigung statt Abhängigkeit, wird hier besonders relevant. Unternehmen sollen nicht einfach KI-Tools einführen, sondern die Fähigkeit entwickeln, KI strategisch zu steuern und zu kontrollieren.

Praktische Handlungsempfehlungen für Unternehmen

Um die neuen Rahmenbedingungen optimal zu nutzen und gleichzeitig Risiken zu minimieren, empfehlen wir DACH-Unternehmen folgende Schritte:

1. Risikobewertung neu justieren: Nutzen Sie die engere Definition von Hochrisiko-KI, um Ihre bestehenden oder geplanten KI-Anwendungen neu zu bewerten. Führen Sie eine präzise Risikoanalyse durch, die sich auf tatsächliche Gefahren für Gesundheit und Sicherheit konzentriert, ohne andere Risiken wie Datenschutzverletzungen oder betriebliche Fehlfunktionen zu ignorieren. Dokumentieren Sie diese Bewertungen transparent.

2. Compliance-Roadmap anpassen: Die verlängerten Fristen bieten eine wertvolle Gelegenheit. Nutzen Sie diese Zeit nicht, um die Einführung von Compliance-Massnahmen aufzuschieben, sondern um diese gründlicher und integrierter zu planen. Entwickeln Sie eine schrittweise Roadmap, die die Implementierung von Governance-Strukturen, Schulungen und technischen Anpassungen berücksichtigt.

3. Menschliche Kontrolle und Governance stärken: Etablieren Sie klare Prozesse für die menschliche Aufsicht über KI-Systeme. Definieren Sie Verantwortlichkeiten für die Überwachung, Wartung und Intervention bei Fehlfunktionen. Auch bei geringerem regulatorischem Risiko ist eine starke Governance unerlässlich, um Vertrauen zu schaffen und die Zuverlässigkeit der Systeme zu gewährleisten. Dies ist ein entscheidender Schritt zur digitalen Souveränität.

4. Datenschutz als Fundament: Unabhängig von der Klassifizierung nach dem EU AI Act bleiben Datenschutzgesetze wie das Schweizer DSG und die DSGVO in der EU zentral. Stellen Sie sicher, dass Ihre KI-Anwendungen stets den Anforderungen des jeweiligen Datenschutzrechts entsprechen, insbesondere im Umgang mit Personendaten. Führen Sie Datenschutz-Folgenabschätzungen durch und beachten Sie die Informationspflichten.

5. Mitarbeiter befähigen: Investieren Sie in die Schulung Ihrer Mitarbeiter im Umgang mit KI-Systemen. Dies betrifft nicht nur die technische Bedienung, sondern auch das Verständnis für die Funktionsweise, potenzielle Bias und die Bedeutung menschlicher Kontrolle. Ein effektives Change Management ist entscheidend für die Akzeptanz und den erfolgreichen Einsatz von KI im Unternehmen.

6. Usecase-Priorisierung: Konzentrieren Sie sich auf pragmatische Anwendungsfälle, die einen klaren Mehrwert für Ihr Unternehmen bieten und sich nahtlos in bestehende Prozesse integrieren lassen. Beginnen Sie mit kleineren Projekten, um Erfahrungen zu sammeln und den Nutzen schrittweise zu validieren, bevor Sie umfassendere Implementierungen angehen.

Fazit

Die Änderungen am EU AI Act durch die "Digital Omnibus Regulation on AI" stellen eine wichtige Entwicklung für den DACH-Arbeitsmarkt dar. Sie bieten Unternehmen mehr Spielraum und Zeit bei der Implementierung von KI, indem sie die regulatorische Hürde für viele Systeme absenken, die zur Effizienzsteigerung dienen. Dies ist eine Chance, den digitalen Wandel in der Region zu beschleunigen und die Wettbewerbsfähigkeit des Mittelstands zu stärken.

Diese Freiheiten kommen jedoch mit einer klaren Erwartungshaltung: Die Notwendigkeit einer durchdachten Strategie, menschlicher Kontrolle und der Einhaltung bestehender Datenschutzbestimmungen, insbesondere des Schweizer DSG, bleibt bestehen. Unternehmen, die diese Balance finden, werden nicht nur Compliance sicherstellen, sondern auch den maximalen Nutzen aus ihren KI-Investitionen ziehen. Der Wandel wird nicht allein von Technologie, sondern massgeblich von der Fähigkeit der Unternehmen bestimmt, ihre Mitarbeiter auf diesem Weg mitzunehmen und eine Kultur der Innovation und Anpassung zu schaffen. So wird KI zu einem Werkzeug der Befähigung, anstatt zu einer Quelle der Abhängigkeit.