EU AI Act & US-KI-Sperre: Weckruf zur digitalen Souveränität für DACH-Unternehmen

Die Künstliche Intelligenz (KI) hat sich zu einer Schlüsseltechnologie entwickelt, die das Potenzial hat, ganze Wirtschaftszweige grundlegend zu verändern. Für Unternehmen im DACH-Raum, insbesondere für den Mittelstand, stellen sich jedoch nicht nur Fragen der Implementierung und Effizienzsteigerung, sondern auch wachsende Herausforderungen im Bereich der Regulierung und digitalen Unabhängigkeit. In den letzten Wochen, ja sogar Tagen, haben sich die Rahmenbedingungen spürbar verdichtet. Zwei zentrale Entwicklungen prägen die aktuelle KI-Agenda und erfordern eine unmittelbare strategische Reaktion: Die jüngsten Anpassungen der Umsetzungsfristen des EU AI Acts durch das „Digitale Omnibus-Paket“ und ein konkreter Vorfall, die sogenannte „US-KI-Sperre“ vom 25. Juni 2026, welche die Notwendigkeit digitaler Souveränität eindringlich unterstreicht. Diese Ereignisse sind kein abstraktes Szenario, sondern ein konkreter Weckruf für jedes Unternehmen, das KI einsetzt oder plant, dies zu tun. Sie verlangen eine akribische Auseinandersetzung mit regulatorischen Anforderungen und eine fundamentale Neubewertung von KI-Strategien unter dem Gesichtspunkt von Sicherheit, Datenschutz und Unabhängigkeit.

Der EU AI Act: Ein dynamisches Regelwerk mit bevorstehenden Pflichten

Der EU Artificial Intelligence Act (AI Act) ist ein Meilenstein der globalen Technologieregulierung. Er trat am 1. August 2024 in Kraft und wird schrittweise anwendbar. Als weltweit erstes umfassendes Gesetz zur Regulierung von KI verfolgt er einen risikobasierten Ansatz. KI-Systeme werden in vier Kategorien eingeteilt: verbotene, Hochrisiko-, begrenzt riskante und minimal riskante Anwendungen. Ursprünglich waren für den 2. August 2026 weitreichende Pflichten für Hochrisiko-KI-Systeme geplant. Diese Zeitachse hat sich durch jüngste politische Entscheidungen nun verändert. Für Unternehmen im DACH-Raum bedeutet dies, die aktuellen Anpassungen genau zu verstehen und ihre Pläne entsprechend zu justieren.

Die jüngsten Anpassungen durch den „Digitalen Omnibus“ (Mai 2026)

Am 7. Mai 2026 haben sich das Europäische Parlament und der Rat auf das sogenannte „Digitale Omnibus-Paket“ geeinigt. Dieses Paket verschiebt nicht nur zentrale Regelungen des AI Acts, sondern nimmt auch inhaltliche Anpassungen vor. Dies ist die wichtigste aktuelle regulatorische Neuerung, die Unternehmen im DACH-Raum unmittelbar betrifft und erhebliche Auswirkungen auf ihre Compliance-Strategien hat.

1. Imminente Transparenzpflichten ab 2. August 2026: Eine Kernänderung des Digitalen Omnibus ist die Bestätigung, dass die Transparenzpflichten gemäß Artikel 50 des AI Acts wie geplant am 2. August 2026 in Kraft treten. Dies ist keine Verschiebung, sondern eine Bestätigung der unmittelbaren Notwendigkeit zu handeln. Anbieter und Betreiber von KI-Systemen müssen eine Kennzeichnungspflicht für KI-generierte Inhalte erfüllen. Konkret bedeutet dies, dass Chatbots, KI-generierte Audio-, Video-, Grafik- und Textinhalte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sowie sogenannte Deepfakes als solche kenntlich gemacht werden müssen. Auch Systeme zur Emotionserkennung oder biometrischen Kategorisierung müssen entsprechende Hinweise geben. Für Unternehmen erfordert dies eine rasche Überprüfung ihrer Kommunikationsstrategien, Marketingmaterialien und internen Prozesse, um sicherzustellen, dass keine irreführenden oder nicht gekennzeichneten KI-Inhalte verbreitet werden. Ein Fehler hier kann nicht nur zu Reputationsschäden, sondern auch zu empfindlichen Sanktionen führen.

2. Verschiebung der Hochrisiko-Pflichten: Die ursprünglich für den 2. August 2026 vorgesehenen, sehr umfangreichen Compliance-Anforderungen für Hochrisiko-KI-Systeme wurden verschoben. Für Systeme nach Anhang III, beispielsweise im Personalwesen, in kritischen Infrastrukturen, in der Bildung oder der Justiz, gilt die Frist nun der 2. Dezember 2027. Für Hochrisiko-KI, die in Produkte nach Anhang I, wie Maschinen oder Medizinprodukte, integriert ist, treten die vollen Anforderungen sogar erst am 2. August 2028 in Kraft. Die Begründung für diese Verschiebung ist nachvollziehbar: Den Unternehmen soll mehr Zeit gegeben werden, technische Standards und unterstützende Instrumente für die komplexe Umsetzung zu entwickeln und bereitzustellen. Dieser Aufschub ist jedoch kein Freifahrtschein. Vielmehr ist es eine dringend benötigte Gnadenfrist, um die Implementierung der erheblichen Anforderungen, die Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung und CE-Kennzeichnung umfassen, sorgfältig und fundiert vorzubereiten.

Auswirkungen auf DACH-Unternehmen

Der EU AI Act hat weitreichende Konsequenzen, die über die Grenzen der Europäischen Union hinausgehen:

* Extraterritoriale Wirkung: Schweizer Unternehmen sind vom EU AI Act betroffen, sobald sie KI-Systeme in der EU in Verkehr bringen, in Betrieb nehmen oder deren Ergebnisse in der EU verwendet werden. Dies betrifft nahezu jedes Schweizer Unternehmen, das digitale Produkte oder Dienstleistungen in den EU-Raum exportiert oder dort Kunden bedient. Eine isolierte Betrachtung ist nicht mehr zielführend.

* KI-Kompetenzpflicht (Art. 4): Bereits seit Februar 2025 in Kraft, verlangt diese Pflicht von Unternehmen, sicherzustellen, dass Mitarbeiter, die KI-Systeme bedienen, über die notwendigen Kompetenzen verfügen. Dies unterstreicht die Notwendigkeit von Weiterbildung, Schulungen und einem durchdachten Change Management, um die Belegschaft auf die neuen Anforderungen vorzubereiten.

* Hohe Bußgelder: Verstöße gegen die strengsten Pflichten können empfindliche Sanktionen nach sich ziehen, die bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes betragen können. Dies verdeutlicht das hohe finanzielle Risiko bei Nichteinhaltung.

* Deutsches Umsetzungsgesetz: In Deutschland wurde am 11. Februar 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) verabschiedet. Es überführt die EU-Vorgaben in nationales Recht. Die Bundesnetzagentur fungiert dabei als zentrale Koordinierungsstelle, während bestehende Marktüberwachungsbehörden weiterhin zuständig bleiben. Dieses