EU AI Act: Unmittelbare Pflichten und Chancen für DACH-Unternehmen seit 2. August 2026

Die Arbeitswelt deutschsprachiger Unternehmen im DACH-Raum steht seit dem 2. August 2026 unter dem unmittelbaren Einfluss des EU AI Acts. Während einige weitreichendere Bestimmungen für Hochrisiko-KI-Systeme auf spätere Daten verschoben wurden, traten an diesem Stichtag entscheidende Transparenzpflichten sowie die Durchsetzungsbefugnisse für allgemeine KI-Modelle (GPAI) in Kraft. Dies stellt zahlreiche Unternehmen in Deutschland, Österreich und der Schweiz vor konkrete Compliance-Aufgaben. Sie sind nun gezwungen, ihre KI-Strategien und -Implementierungen kritisch zu überprüfen und anzupassen.

Die Schweiz, ohne eigenes KI-Gesetz, muss dabei zusätzlich das revidierte Datenschutzgesetz (revDSG) konsequent auf KI-Anwendungen anwenden. Dies fügt eine weitere Ebene der Komplexität hinzu. Unternehmen im DACH-Raum sollten die aktuellen Entwicklungen nicht als ferne Bedrohung, sondern als dringenden Aufruf zur Handlung verstehen. Es geht darum, nicht nur Risiken zu vermeiden, sondern auch Wettbewerbsvorteile durch den strategischen und rechtskonformen Einsatz von KI zu sichern.

Der 2. August 2026: Transparenzpflichten und GPAI-Durchsetzung im Fokus

Der EU AI Act, der bereits am 1. August 2024 in Kraft trat, sah gestaffelte Anwendbarkeitsfristen vor. Der 2. August 2026 markierte einen wesentlichen Meilenstein in dieser Gesetzgebung. Ab diesem Datum unterliegen Anbieter von KI-Systemen, die direkt mit Menschen interagieren oder synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, umfassenden Transparenzpflichten. Dies bedeutet konkret, dass Unternehmen Nutzer darüber informieren müssen, wenn sie mit einem KI-System interagieren. Beispiele hierfür sind Chatbots im Kundenservice, automatisierte Content-Generatoren oder generative KI-Modelle, die Bilder für Marketingzwecke erstellen. Die Kennzeichnung muss klar und verständlich erfolgen, um eine bewusste Interaktion der Nutzer mit der Technologie zu ermöglichen. Eine Nichtbeachtung dieser Pflichten kann nicht nur zu Reputationsschäden, sondern auch zu rechtlichen Konsequenzen führen.

Zusätzlich wurden ab dem 2. August 2026 die Durchsetzungsbefugnisse der Europäischen Kommission für allgemeine KI-Modelle (GPAI) wirksam. Obwohl die Pflichten für GPAI-Modelle, etwa die Einhaltung von EU-Urheberrechtsbestimmungen und die Veröffentlichung technischer Dokumentationen, bereits seit dem 2. August 2025 galten, können nun bei Verstößen hohe Bußgelder verhängt werden. Diese können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des Unternehmens betragen. Dieser erhebliche finanzielle Druck zwingt Unternehmen, die solche Modelle entwickeln oder nutzen, ihre internen Prozesse und Governance-Strukturen lückenlos zu gestalten. Sie müssen mögliche Bias in den Daten sowie Bedrohungen für Datensicherheit und Datenschutz proaktiv adressieren. Die Zeit der Unverbindlichkeit ist vorbei, die Konsequenzen sind real und messbar.

Aufgeschobene Fristen, aber keine Entwarnung für Hochrisiko-KI

Eine wichtige Entwicklung kurz vor dem Stichtag war die Verschiebung der Anwendbarkeitspflichten für Hochrisiko-KI-Systeme. Ursprünglich sollten die Hochrisiko-Verpflichtungen für eigenständige Systeme (Annex III des AI Acts), wie etwa Hiring-Tools für Bewerberauswahl oder Kredit-Scoring-Engines, am 2. August 2026 in Kraft treten. Diese Frist wurde jedoch auf den 2. Dezember 2027 verschoben. Für KI, die in bereits regulierte Produkte eingebettet ist (Annex I), wie beispielsweise in Medizinprodukten oder Spielzeug, gilt eine noch längere Übergangsfrist bis zum 2. August 2028. Diese Verzögerungen sind primär auf die sichtbaren Schwierigkeiten bei der Implementierung derart komplexer Regelwerke zurückzuführen. Sie bedeuten jedoch keinesfalls eine generelle Aufhebung der Anforderungen. Stattdessen bieten sie Unternehmen lediglich mehr Zeit zur Vorbereitung. Diese Zeit sollten Unternehmen nutzen, um ihre KI-Systeme zu identifizieren, zu kategorisieren und die entsprechenden Governance-Strukturen aufzubauen. Eine Verschiebung ist keine Entwarnung, sondern ein Aufruf, die gewonnene Zeit strategisch zu nutzen.

Besonders relevant für Unternehmen, die bereits KI-generierte Inhalte produzieren, ist die Gnadenfrist für die Wasserzeichenpflicht gemäss Artikel 50 Absatz 2 des AI Acts. Für KI-Systeme, die vor dem 2. August 2026 auf den Markt gebracht wurden, müssen maschinenlesbare Marker in KI-generierte Inhalte erst bis zum 2. Dezember 2026 eingebettet werden. Dies gibt Anbietern eine viermonatige Übergangszeit, um ihre bestehenden Systeme entsprechend anzupassen. Die Kennzeichnungspflicht ist hierbei nicht als technische Hürde zu verstehen, sondern als essenzieller Schritt zur Sicherstellung von Transparenz und Vertrauen in die digitale Kommunikation. Unternehmen müssen sicherstellen, dass sie bis zum 2. Dezember 2026 konform sind, um rechtliche Risiken zu vermeiden und das Vertrauen ihrer Kunden zu bewahren. Das konsequente Handeln in dieser Übergangsphase ist entscheidend für die zukünftige Positionierung im Markt.

Extraterritoriale Wirkung und die spezielle Situation der Schweiz

Für Unternehmen im gesamten DACH-Raum ist die sogenannte extraterritoriale Wirkung des EU AI Acts von entscheidender Bedeutung. Selbst Schweizer und österreichische Unternehmen, die keine direkte Niederlassung in der EU unterhalten, unterliegen den Vorschriften des AI Acts. Dies ist der Fall, sobald sie KI-Systeme in der EU in Verkehr bringen, in Betrieb nehmen oder deren Ergebnisse in der Europäischen Union verwendet werden. Diese breite Definition betrifft praktisch jedes Schweizer Unternehmen, das digitale Produkte oder Dienstleistungen in den EU-Raum exportiert oder dort Niederlassungen unterhält. Ein reiner Fokus auf nationale Regelwerke ist daher nicht ausreichend. Eine globale Perspektive ist zwingend erforderlich, um Compliance-Risiken effektiv zu managen und Zugang zum europäischen Binnenmarkt zu erhalten.

In der Schweiz kommt hinzu, dass es kein eigenständiges, umfassendes KI-Gesetz gibt und der Bundesrat auch keine unmittelbaren Pläne für dessen Einführung verfolgt. Stattdessen gilt das revidierte Datenschutzgesetz (revDSG), welches seit dem 1. September 2023 in Kraft ist und technologieneutral formuliert wurde, direkt für KI-gestützte Datenbearbeitungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat diese direkte Anwendbarkeit in einem aktualisierten Leitfaden vom 8. Mai 2025 ausdrücklich bestätigt. Für Schweizer Unternehmen bedeutet dies eine doppelte Herausforderung: Sie müssen einerseits die relevanten Bestimmungen des EU AI Acts beachten und andererseits sicherstellen, dass ihre KI-Anwendungen vollständig dem revDSG entsprechen.

Dies beinhaltet unter anderem die Auskunftspflichten bei automatisierten Einzelentscheidungen (Artikel 25 revDSG), die Einhaltung von Prinzipien wie Privacy by Design und Privacy by Default sowie spezielle Regelungen zum Profiling und zur Bearbeitung biometrischer Daten. Unternehmen müssen detaillierte Datenschutz-Folgenabschätzungen (DSFA) durchführen, wenn die Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen könnte, was bei vielen KI-Anwendungen der Fall ist. Die Anforderungen des revDSG sind nicht trivial und erfordern eine fundierte juristische und technische Expertise. Die Kombination aus EU AI Act und revDSG schafft einen komplexen regulatorischen Rahmen, der eine sorgfältige Analyse und Anpassung der internen Prozesse erfordert, um potenzielle Bußgelder und Reputationsschäden zu vermeiden. Es ist eine Fehlannahme zu glauben, die Schweiz sei eine regulatorische Insel. Die Realität des internationalen Geschäfts erfordert eine integrale Compliance-Strategie.

Praktische Herausforderungen: Governance, Compliance und der Mensch im Mittelpunkt

Die Einführung des EU AI Acts und die Anwendung bestehender Datenschutzgesetze auf KI stellen Unternehmen vor erhebliche Herausforderungen in den Bereichen Governance, Compliance und Change Management. Diese reichen weit über rein technische Aspekte hinaus und erfordern einen ganzheitlichen Ansatz:

1. Risikobewertung und Klassifizierung: Unternehmen müssen ihre eingesetzten KI-Systeme sorgfältig bewerten und nach den Risikokategorien des AI Acts einteilen. Dies umfasst minimales, begrenztes, hohes oder unannehmbares Risiko. Die Grenzen zwischen diesen Kategorien können schmal sein, was eine genaue Prüfung durch interdisziplinäre Teams erfordert. Eine falsch eingeschätzte Risikokategorie kann weitreichende Konsequenzen haben, von erhöhten Compliance-Anforderungen bis hin zu Verboten im schlimmsten Fall. Eine fundierte Klassifizierung ist der erste Schritt zu einer risikobasierten Steuerung.

2. Implementierung von Transparenzpflichten: Die ab dem 2. August 2026 geltenden Transparenzpflichten erfordern die Entwicklung klarer Prozesse zur Kennzeichnung von KI-generierten Inhalten und zur Information der Nutzer über die Interaktion mit KI-Systemen. Dies muss technisch umsetzbar und für den Endnutzer verständlich sein. Reine Marketingtexte fallen in der Regel nicht unter diese Pflicht, bei Claims zu Nachhaltigkeit oder Gesundheit, die durch KI generiert oder untermauert werden, ist jedoch Vorsicht geboten. Hier besteht das Risiko einer Irreführung, die regulatorisch geahndet werden kann.

3. Etablierung robuster Governance-Strukturen: Eine Studie von DXC Technology vom 18. August 2026 zeigt einen deutlichen Widerspruch: Acht von zehn DACH-Unternehmen bestehen darauf, dass am Ende immer der Mensch entscheidet, gleichzeitig hält mehr als die Hälfte autonome KI-Entscheidungen für wahrscheinlich. Dieser Widerspruch verdeutlicht den dringenden Bedarf an klaren Governance-Strukturen, die Zuständigkeiten, Kontrolle und Verantwortung regeln. 66 Prozent der Unternehmen berichten bereits von neuen Compliance-Aufgaben durch intransparente KI-Entscheidungen. Ramses Gallego, Chief Technologist Cybersecurity bei DXC Technology, warnt, dass Governance vor dem ersten autonomen Schritt stehen muss. Unternehmen müssen Rollen wie einen KI-Beauftragten oder ein interdisziplinäres KI-Ethik-Komitee definieren und klare Richtlinien für den gesamten Lebenszyklus von KI-Systemen etablieren.

4. Anpassung von Datenschutz- und Sicherheitskonzepten: Die Einhaltung des Datenschutzes bei KI ist nicht nur ein Compliance-Häkchen, sondern ein Überlebensfaktor für Unternehmen im Jahr 2026. Neue Risiken wie Data Poisoning, bei dem bösartige Daten die Trainingsdaten korrumpieren, Model Inversion, das Rückschlüsse auf sensible Trainingsdaten erlaubt, und adversariale Angriffe, die KI-Modelle gezielt in die Irre führen, erfordern spezielle Schutzmaßnahmen. Diese gehen über klassische Sicherheitskonzepte hinaus. Das revDSG in der Schweiz unterstreicht die Notwendigkeit, KI-Systeme von Anfang an mit Blick auf den Datenschutz zu entwickeln, das Prinzip von „Privacy by Design“ konsequent anzuwenden. Dies bedeutet, Datenschutz nicht nachträglich zu integrieren, sondern als integralen Bestandteil der Systemarchitektur zu planen.

5. Anpassung der Arbeitsrollen und Skill-Entwicklung: Die KI-Revolution führt zu einem tiefgreifenden Strukturwandel in der Arbeitswelt. Insbesondere in Bereichen wie Controlling, Finance und HR entstehen neue Rollenprofile wie der