EU AI Act: Was DACH-Unternehmen bis 2026 wissen müssen

Die Künstliche Intelligenz (KI) durchdringt zunehmend alle Bereiche der Arbeitswelt und bietet DACH-Unternehmen sowohl enorme Chancen als auch signifikante Herausforderungen. Eine der wohl relevantesten und unmittelbar bevorstehenden Entwicklungen, die weitreichende Konsequenzen für den Einsatz von KI im deutschsprachigen Raum hat, ist die kommende allgemeine Anwendbarkeit zentraler Bestimmungen des EU AI Acts ab dem 2. August 2026. Dieses Datum markiert einen kritischen Meilenstein. Insbesondere die Anforderungen für Hochrisiko-KI-Systeme greifen dann vollumfänglich und verlangen von Unternehmen eine sorgfältige Vorbereitung. Wer diese Frist verpasst, riskiert nicht nur hohe Bussgelder, sondern auch einen Vertrauensverlust bei Kunden und Mitarbeitern.

Der EU AI Act: Ein risikobasierter Rahmen mit globaler Wirkung

Der EU Artificial Intelligence Act, kurz AI Act, ist die weltweit erste umfassende Rechtsnorm zur Regulierung von KI. Er ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Während Verbote für inakzeptable KI-Risiken bereits seit dem 2. Februar 2025 gelten und Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) seit dem 2. August 2025 angewendet werden, tritt die allgemeine Anwendbarkeit der meisten Normen, insbesondere der Anforderungen für Hochrisiko-KI-Systeme, am 2. August 2026 in Kraft. Eine weitere Phase folgt am 2. August 2027, beziehungsweise am 2. Dezember 2027 und im August 2028 für bestimmte eingebettete Hochrisiko-Systeme. Diese Phasen werden den regulatorischen Umfang für Hochrisiko-KI-Systeme nochmals erweitern.

Das zentrale Ziel des AI Acts ist es, Vertrauen in KI zu stärken und gleichzeitig europäische Bürger vor Missbrauch und potenziellen Risiken bestimmter KI-Anwendungen zu schützen. Die Verordnung verfolgt einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt: verbotene Systeme, Hochrisiko-Systeme, Systeme mit begrenztem Risiko und Systeme mit minimalem Risiko. Für DACH-Unternehmen sind vor allem die Bestimmungen für Hochrisiko-KI-Systeme von entscheidender Bedeutung. Diese umfassen detaillierte Vorschriften zur technischen Dokumentation, Daten-Governance, menschlichen Aufsicht, Cybersicherheit und in bestimmten Fällen Konformitätsbewertungen.

Die Einstufung als Hochrisiko-KI-System erfolgt, wenn eine KI-Anwendung in kritischen Sektoren eingesetzt wird oder ein hohes Risiko für die Gesundheit, Sicherheit oder Grundrechte von Personen birgt. Beispiele hierfür sind Anwendungen in Bereichen wie dem Personalwesen, zum Beispiel Recruiting-KI, die Lebensläufe analysiert oder Kandidaten filtert, im Kreditscoring, in kritischen Infrastrukturen, im Bildungswesen und in der Strafverfolgung. Die Tragweite dieser Klassifizierung ist erheblich, da Hochrisiko-Systeme die strengsten Anforderungen erfüllen müssen. Unternehmen müssen daher frühzeitig evaluieren, ob ihre bestehenden oder geplanten KI-Anwendungen in diese Kategorie fallen. Eine präzise Risikobewertung ist der erste Schritt zur Compliance.

Extraterritoriale Wirkung und die spezielle Lage der Schweiz

Obwohl die Schweiz kein EU-Mitglied ist, sind auch Schweizer Unternehmen vom EU AI Act betroffen. Dies liegt an seiner extraterritorialen Wirkung. Schweizer Unternehmen müssen die Vorschriften einhalten, wenn sie KI-Systeme nutzen, entwickeln oder in den europäischen Markt integrieren, oder wenn ihre Geschäftstätigkeiten in kritischen Sektoren wie Gesundheit, Finanzen oder Transport mit der EU verbunden sind. Eine Ignoranz des AI Acts ist für international ausgerichtete Schweizer Unternehmen somit keine Option. Der grenzüberschreitende Daten- und Dienstleistungsverkehr macht eine isolierte Betrachtung unmöglich. Wer in der EU Geschäfte macht, muss sich an die EU-Regeln halten, unabhängig vom Firmensitz.

Dies bedeutet, dass Schweizer Unternehmen, die bereits dem revidierten Schweizer Datenschutzgesetz (DSG) und der Datenschutz-Grundverordnung (DSGVO) unterliegen, zusätzliche Verpflichtungen unter dem AI Act prüfen und umsetzen müssen. Das revidierte Schweizer Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft getreten ist, bietet zwar einen technologieneutralen Rahmen, der auch für KI-Anwendungen relevant ist. Dies gilt zum Beispiel bei automatisierten Einzelentscheidungen und Profiling. Doch der AI Act geht in seinen spezifischen Anforderungen an KI-Systeme deutlich darüber hinaus. Während das DSG primär den Schutz personenbezogener Daten adressiert, fokussiert der AI Act auf die Sicherheit, Transparenz und Verlässlichkeit der KI-Systeme selbst, unabhängig von der direkten Verarbeitung personenbezogener Daten. Eine umfassende Analyse möglicher Regulierungsansätze für KI in der Schweiz wird bis Ende 2024 erwartet, was die Notwendigkeit einer schweizerischen Anpassung an die globale Entwicklung unterstreicht. Für Schweizer Unternehmen bedeutet dies, dass sie nicht nur die eigenen nationalen Gesetze im Blick behalten müssen, sondern auch die europäischen Entwicklungen proaktiv antizipieren und in ihre Strategie integrieren müssen, um wettbewerbsfähig zu bleiben und Marktzugang zu sichern.

Umfassende Compliance-Anforderungen und die Gefahr der Schatten-KI

Die Umsetzung der AI-Act-Anforderungen bedeutet für DACH-Unternehmen einen erheblichen Aufwand. Insbesondere müssen sie sicherstellen, dass ihre Hochrisiko-KI-Systeme umfassenden Vorgaben genügen. Dies beinhaltet spezifische Massnahmen in den folgenden Bereichen:

* Technische Dokumentation: Unternehmen müssen ausführliche Unterlagen über die Entwicklung, Funktionsweise und Leistungsfähigkeit ihrer KI-Systeme erstellen und stets aktuell halten. Dies beinhaltet auch eine klare Beschreibung der Trainingsdaten und Validierungsverfahren. * Daten-Governance: Es muss die Qualität, Integrität und Sicherheit der für das Training und den Betrieb der KI verwendeten Daten gewährleistet werden. Schlechte Datenqualität führt zu unzuverlässigen KI-Ergebnissen, was im Kontext von Hochrisiko-Systemen gravierende Folgen haben kann. * Menschliche Aufsicht: Es sind Mechanismen zu implementieren, die sicherstellen, dass menschliche Kontrolle und Eingriffsmöglichkeiten in KI-Entscheidungsprozesse bestehen. Die finale Entscheidungskompetenz muss beim Menschen verbleiben, insbesondere wenn die KI kritische Empfehlungen abgibt. * Cybersicherheit: Robuste Schutzmassnahmen gegen Sicherheitsrisiken und unbefugten Zugriff auf KI-Systeme und die damit verbundenen Daten sind obligatorisch. Dies umfasst den Schutz vor Manipulation und Missbrauch. * Konformitätsbewertungen: Für Hochrisiko-KI-Systeme sind obligatorische Prüfungen durch benannte Stellen vorgesehen. Dies stellt eine zusätzliche Hürde dar, die sorgfältige Planung erfordert.

Eine aktuelle Studie von Knowbe4, die von Golem.de am 3. Juli 2026 zitiert wird, beleuchtet ein alarmierendes, direkt damit verbundenes Problem: Deutsche Unternehmen unterschätzen die Risiken durch KI-Agenten und leiden unter mangelnder Governance bei der KI-Nutzung. Demnach setzen bereits 62 Prozent der befragten deutschen Unternehmen autonome KI-Agenten ein, die eigenständig Massnahmen innerhalb von Arbeitsabläufen ergreifen können. Erschreckende 48 Prozent der befragten Führungskräfte gaben jedoch an, dass die KI-Nutzung in ihrem Zuständigkeitsbereich nicht offiziell genehmigt oder geregelt ist. Diese sogenannte