EU AI Act: Was Unternehmen im DACH-Raum ab August 2026 wissen müssen

Der Einsatz von Künstlicher Intelligenz (KI) prägt zunehmend unsere Arbeitswelt. Doch mit den Chancen wachsen auch die Herausforderungen, insbesondere im Bereich der Regulierung. Eine der wichtigsten Entwicklungen der letzten Zeit ist das Inkrafttreten des EU Artificial Intelligence Act, kurz EU AI Act. Dieses Gesetz, das am 1. August 2024 wirksam wurde, entfaltet seine volle Wirkung für viele Unternehmen jedoch erst in den kommenden Monaten und Jahren. Besonders relevant für den DACH-Arbeitsmarkt sind die Stichtage ab dem 2. August 2026, wenn zentrale Bestimmungen zu Transparenzpflichten, Daten-Governance und Risikomanagement greifen.

Für den Mittelstand im deutschsprachigen Raum bedeutet dies nicht nur eine rechtliche Notwendigkeit, sondern auch eine strategische Chance, den verantwortungsvollen Einsatz von KI zu etablieren. Wer jetzt handelt, schafft Vertrauen und sichert seine Wettbewerbsfähigkeit. Wer zögert, riskiert empfindliche Bußgelder und einen Rückstand im technologischen Fortschritt. Kapitel H beleuchtet die konkreten Auswirkungen und zeigt auf, welche Schritte Unternehmen jetzt unternehmen sollten, um die Komplexität zu beherrschen und KI als Befähiger zu nutzen, statt in Abhängigkeit von unregulierten Systemen zu geraten.

Der EU AI Act: Ein risikobasierter Rahmen für Europa

Der EU AI Act ist mehr als nur ein weiteres Gesetz, er ist ein Signal für einen wertebasierten und sicheren Umgang mit Künstlicher Intelligenz in Europa. Als Produktsicherheitsgesetz konzipiert, verfolgt er das Ziel, das Vertrauen in KI-Systeme zu stärken und gleichzeitig Innovationen zu fördern. Das Kernprinzip ist ein risikobasierter Ansatz: Je höher das potenzielle Risiko eines KI-Systems für die Grundrechte und die Sicherheit der Menschen, desto strenger sind die Anforderungen.

Einige Verbote bestimmter KI-Praktiken, wie beispielsweise Systeme zur sozialen Bewertung oder zur Emotionserkennung am Arbeitsplatz, sind bereits seit dem 1. August 2024 wirksam. Auch die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, sogenannte General Purpose AI Models (GPAI), haben teils schon Gültigkeit. Doch die weitreichendsten Konsequenzen für viele Unternehmen im DACH-Raum ergeben sich aus den Bestimmungen, die ab dem 2. August 2026 in Kraft treten. Dann stehen Transparenzpflichten für Nutzer sowie umfassende Anforderungen an sogenannte Hochrisiko-KI-Systeme im Fokus. Es folgt eine weitere Frist im Dezember 2027 für alle übrigen Vorschriften. Diese gestaffelte Einführung gibt Unternehmen die Möglichkeit, sich schrittweise anzupassen, erfordert aber eine frühzeitige und strukturierte Vorbereitung.

Neue Transparenzpflichten ab August 2026: Klare Regeln für den Einsatz generativer KI

Die zunehmende Verbreitung generativer KI-Systeme, wie etwa Chatbots oder Bildgeneratoren, macht klare Regeln für die Nutzerinteraktion unerlässlich. Ab dem 2. August 2026 müssen Unternehmen, die KI-Systeme in der EU in Verkehr bringen oder betreiben, umfassende Transparenzpflichten erfüllen. Das bedeutet konkret:

* Interaktion mit KI-Systemen: Nutzer müssen informiert werden, wenn sie mit einem KI-System interagieren. Dies betrifft zum Beispiel Chatbots in Kundenservice-Anwendungen oder Sprachassistenten. Eine einfache und verständliche Kennzeichnung ist hier entscheidend, um die Interaktion transparent zu gestalten. * Kennzeichnung von KI-generierten Inhalten: Inhalte, die mittels KI generiert oder wesentlich verändert wurden, müssen klar als solche gekennzeichnet werden. Dies umfasst beispielsweise Deepfakes, also Bilder, Videos oder Audiodateien, die mithilfe von KI manipuliert wurden. Die Kennzeichnung muss nicht nur visuell erkennbar sein, sondern idealerweise auch maschinenlesbar, um die Authentizität digitaler Inhalte sicherzustellen. Dies ist ein wichtiger Schritt gegen die Verbreitung von Desinformation und zur Stärkung der Integrität digitaler Kommunikation.

Für Unternehmen, die generative KI einsetzen, bedeutet dies eine genaue Analyse ihrer bestehenden Anwendungen und Prozesse. Es müssen interne Leitlinien und Verantwortlichkeiten geschaffen werden, um eine zuverlässige Umsetzung der Transparenzpflichten zu gewährleisten. Dabei ist zu klären, wann eine KI als unterstützendes Werkzeug gilt und wann sie Inhalte in einem Maße generiert oder verändert, das eine Kennzeichnung erfordert. Rechtschreibkorrekturen oder einfache Übersetzungen fallen in der Regel nicht unter diese Pflichten, doch die Abgrenzung kann im Einzelfall komplex sein. Verstöße gegen diese Transparenzpflichten können mit empfindlichen Bußgeldern und wettbewerbsrechtlichen Konsequenzen geahndet werden, was die Dringlichkeit einer rechtzeitigen Anpassung unterstreicht.

Hochrisiko-KI-Systeme: Umfassende Anforderungen an Governance und Daten

Besondere Aufmerksamkeit erfordert der Einsatz von Hochrisiko-KI-Systemen. Diese finden sich in sensiblen Bereichen, in denen Fehlfunktionen oder Voreingenommenheiten erhebliche Schäden verursachen können. Beispiele sind KI-Systeme im Personalwesen (z.B. für Rekrutierung oder Leistungsbewertung), in der Bonitätsprüfung, im Bildungsbereich oder in kritischen Infrastrukturen wie dem Gesundheitswesen. Für diese Systeme treten ab dem 2. August 2026 umfangreiche Governance-, Dokumentations- und Kontrollpflichten in Kraft:

* Durchgängiges Risikomanagement: Unternehmen müssen über den gesamten Lebenszyklus eines Hochrisiko-KI-Systems hinweg ein robustes Risikomanagement etablieren. Dies umfasst die Identifizierung, Bewertung und Minderung von Risiken von der Entwicklung bis zum Betrieb. * Daten-Governance: Eine transparente und nachvollziehbare Daten-Governance ist zwingend erforderlich. Dies betrifft Trainings-, Validierungs- und Testdaten. Unternehmen müssen die Qualität ihrer Daten sicherstellen und systematisch Maßnahmen ergreifen, um Verzerrungen, sogenannte Bias, zu vermeiden oder zu minimieren. Ungenügende Datenqualität oder unerkannter Bias können zu diskriminierenden Ergebnissen führen, wie etwa bei der Vorauswahl von Bewerbern durch KI-Tools. * Technische Dokumentation: Die technische Dokumentation muss umfassend sein und es den Aufsichtsbehörden ermöglichen, die Konformität des Systems mit den gesetzlichen Anforderungen zu überprüfen. Dies erfordert eine detaillierte Beschreibung der Systemarchitektur, der Trainingsdaten, der Algorithmen und der Leistungsmerkmale. * Automatische Protokollierung: Alle relevanten Vorgänge während des Betriebs des KI-Systems müssen automatisch protokolliert werden. Dies dient der Nachvollziehbarkeit und der Fehleranalyse. * Menschliche Aufsicht (Human Oversight): Hochrisiko-KI-Systeme dürfen niemals vollständig autonom agieren. Eine wirksame menschliche Überwachung und die Möglichkeit zum manuellen Eingreifen müssen jederzeit gewährleistet sein. Im Kontext von Recruiting bedeutet dies beispielsweise, dass automatisierte Vorauswahlen oder Entscheidungen durch einen Menschen überprüft und gegebenenfalls korrigiert werden müssen, um Diskriminierungsrisiken entgegenzuwirken und ethische Prinzipien zu wahren. * Qualitätsmanagementsystem und Konformitätsbewertung: Anbieter von Hochrisiko-KI-Systemen sind verpflichtet, ein Qualitätsmanagementsystem einzurichten und regelmäßige Konformitätsbewertungen durchzuführen. Gegebenenfalls muss das System auch in der EU-Datenbank für Hochrisiko-KI-Systeme registriert werden.

Diese Anforderungen stellen eine erhebliche organisatorische und technische Herausforderung dar. Sie erfordern eine Neuausrichtung vieler interner Prozesse und eine tiefgreifende Auseinandersetzung mit der Funktionsweise und den potenziellen Risiken der eingesetzten KI-Systeme.

Die Lage im DACH-Raum: Deutschland, Schweiz und die Herausforderungen der Umsetzung

Die Umsetzung des EU AI Acts im DACH-Raum ist ein vielschichtiges Unterfangen. In Deutschland steht die nationale Gesetzgebung zur Durchführung des EU AI Acts noch aus. Es wird erwartet, dass die Bundesnetzagentur (BNetzA) eine zentrale Rolle als Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) übernehmen wird, wobei bestehende Aufsichtsstrukturen, etwa im Bereich des Datenschutzes, weiterhin genutzt werden sollen. Diese verbleibende Rechtsunsicherheit bis zur Verabschiedung des nationalen Durchführungsgesetzes sollte Unternehmen bei ihrer Planung nicht von präventiven Maßnahmen abhalten.

In der Schweiz, die kein EU-Mitgliedstaat ist, gelten die Bestimmungen des EU AI Acts nicht direkt. Seit dem 1. September 2023 ist jedoch das revidierte Datenschutzgesetz (DSG) in Kraft, welches technologieneutral formuliert ist und direkte Anwendung auf KI-gestützte Datenbearbeitungen findet. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in einem Leitfaden explizit bestätigt. Wichtige Instrumente des DSG, wie die Möglichkeit zur automatisierten Einzelentscheidung, die Prinzipien von Privacy by Design und Privacy by Default, das Profiling und die Datenschutz-Folgenabschätzung (DSFA), sind auch für KI-Anwendungen von hoher Relevanz. Schweizer Unternehmen müssen daher bereits heute die Vorgaben des DSG einhalten und zusätzlich die Auswirkungen des EU AI Act auf ihre grenzüberschreitenden Geschäftsaktivitäten und Kundenbeziehungen berücksichtigen. Eine sorgfältige Analyse der Systeme ist notwendig, um sowohl dem DSG als auch den relevanten Teilen des EU AI Acts gerecht zu werden.

Praxis-Check: Wo Unternehmen stehen und was das für die Arbeitswelt bedeutet

Aktuelle Studien zeigen, dass viele Unternehmen im DACH-Raum noch nicht ausreichend auf die umfassenden Anforderungen des EU AI Acts und die datenschutzrechtlichen Vorgaben vorbereitet sind. Eine KPMG-Studie verdeutlicht, dass 63 Prozent der Unternehmen sich nicht gut auf die Auswirkungen des EU AI Acts vorbereitet sehen und lediglich 8 Prozent ein vollständiges Governance-Modell implementiert haben. Eine aktuelle Kiteworks-Studie vom August 2026 unterstreicht diese Lücke: Der