EU AI Act: Was DACH-Unternehmen bis August 2026 wissen müssen

# EU AI Act: Was DACH-Unternehmen bis August 2026 wissen müssen

Die Diskussion um kuenstliche Intelligenz (KI) ist oft von Visionen und potenziellen Umwälzungen geprägt. Doch die Zeit, in der KI vorwiegend als abstraktes Innovationsfeld betrachtet wurde, neigt sich dem Ende zu. Mit dem Inkrafttreten des EU AI Act (Verordnung (EU) 2024/1689) am 1. August 2024 und den unmittelbar bevorstehenden Fristen rücken konkrete, rechtlich bindende Pflichten für Unternehmen im DACH-Raum in den Fokus. Was bisher als strategische Option galt, wird nun zur Compliance-Notwendigkeit. Insbesondere der 2. August 2026 markiert einen entscheidenden Stichtag, ab dem erste wesentliche Anforderungen für viele Betriebe in Deutschland, Österreich und auch indirekt in der Schweiz greifen. Es geht nicht mehr nur um die Frage, ob man KI einsetzt, sondern wie man sie rechtskonform, sicher und verantwortungsvoll in die Geschäftsprozesse integriert.

Diese Entwicklung erfordert eine proaktive Anpassung von Unternehmensstrategien und -prozessen. Während die langfristigen Auswirkungen von KI auf den Arbeitsmarkt und die Notwendigkeit von Change Management kontinuierlich diskutiert werden, setzen die spezifischen Stichtage des EU AI Act einen klaren Rahmen, der jetzt angegangen werden muss. Kapitel H beleuchtet die Fakten und bietet konkrete Orientierung für den Mittelstand im DACH-Raum.

Der EU AI Act: Ein verbindlicher Fahrplan für die KI-Nutzung

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung kuenstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz, was bedeutet, dass die Intensität der rechtlichen Anforderungen proportional zum Gefährdungspotenzial eines KI-Systems steigt. Systeme mit geringem oder minimalem Risiko unterliegen weniger strengen Regeln als sogenannte Hochrisiko-KI-Systeme, die ein hohes Potenzial für Schäden an Sicherheit, Gesundheit oder Grundrechten bergen. Die Rechtswirkungen des Act entfalten sich gestaffelt über mehrere Jahre, doch die ersten Fristen sind bereits in greifbarer Nähe.

Ein zentraler Stichtag, der die Arbeitswelt vieler DACH-Unternehmen unmittelbar betrifft, ist der 2. August 2026. Ab diesem Zeitpunkt treten die Transparenzpflichten nach Artikel 50 der KI-Verordnung in Kraft. Diese betreffen eine breite Palette von KI-Anwendungen, die heute bereits in vielen Unternehmen zum Einsatz kommen. Es ist wichtig zu verstehen, dass diese Frist nicht die umfangreichen Pflichten für Hochrisiko-KI-Systeme umfasst, welche auf den 2. Dezember 2027 verschoben wurden. Diese Verschiebung ist jedoch keine Entwarnung, sondern ein strategisches Zeitfenster. Unternehmen müssen die verbleibende Zeit nutzen, um ihre KI-Systeme und -Prozesse umfassend auf Konformität zu prüfen und anzupassen. Die Komplexität und der Umfang der erforderlichen Maßnahmen sind erheblich und erfordern eine systematische Vorbereitung, die bereits heute beginnen sollte.

Konkrete Pflichten und ihre Auswirkungen auf Unternehmen

Der risikobasierte Ansatz des EU AI Act führt zu differenzierten Anforderungen. Für DACH-Unternehmen ergeben sich daraus unter anderem folgende Kernpflichten und Implikationen:

1. Transparenzpflichten ab August 2026

Unternehmen, die KI-Systeme einsetzen, auch solche mit begrenztem oder minimalem Risiko, müssen sicherstellen, dass Nutzer über den Einsatz von KI informiert werden. Dies bedeutet konkret, dass beispielsweise im Kundenservice eingesetzte Chatbots oder fuer Marketingzwecke generierte Bilder klar als KI-generiert erkennbar sein muessen. Nutzer sollen jederzeit wissen, ob sie mit einer Maschine interagieren oder Inhalte von einer KI erstellt wurden.

Dies erfordert eine umfassende Überarbeitung von Kommunikationsstrategien, Nutzungsbedingungen und möglicherweise die Implementierung technischer Hinweise oder Disclaimer direkt in KI-gestützten Anwendungen. Es geht darum, das Vertrauen der Nutzer zu wahren und eine informierte Interaktion zu ermöglichen. Ein einfacher Hinweis kann bereits ausreichen, aber er muss präsent und verständlich sein. Die Nichtbeachtung dieser Pflichten kann zu Reputationsschäden und rechtlichen Konsequenzen führen.

2. Spezifische Anforderungen für Hochrisiko-KI-Systeme ab Dezember 2027

Obwohl die Frist für Hochrisiko-Systeme verschoben wurde, ist es für Unternehmen, die solche Systeme entwickeln oder betreiben, entscheidend, bereits jetzt aktiv zu werden. Beispiele für Hochrisiko-KI sind KI-Systeme für Personalentscheidungen, etwa im Recruiting oder bei der Leistungsbeurteilung. Auch Kreditscoring-Systeme, der Einsatz in kritischen Infrastrukturen wie Wasser- oder Energieversorgung, sowie Anwendungen im Bildungsbereich fallen unter diese Kategorie. Diese Systeme können erhebliche Auswirkungen auf das Leben und die Rechte von Personen haben.

Für Hochrisiko-KI-Systeme sind umfassende Anforderungen vorgesehen: obligatorische Konformitätsbewertungen, die Einrichtung von Risikomanagementsystemen, strenge Daten-Governance-Anforderungen, die Erstellung detaillierter technischer Dokumentationen und die Sicherstellung menschlicher Aufsicht. Unternehmen müssen ihre vorhandenen und geplanten KI-Systeme identifizieren, als Hochrisiko einstufen und die entsprechenden Prozesse und Verantwortlichkeiten etablieren. Eine PwC-Analyse zeigt, dass der Einsatz von KI in der Finanzplanung Prognosegenauigkeit und -geschwindigkeit um bis zu 40 Prozent steigern kann. Solche Vorteile müssen jedoch unter strengen Compliance-Auflagen realisiert werden, was eine fundierte Vorbereitung unumgänglich macht.

3. Sicherheit und Datenschutz

Der EU AI Act ist nicht nur ein Gesetz zur Ethik und Compliance, sondern auch ein Regelwerk mit harten Sicherheitsanforderungen. Wer ein Hochrisiko-KI-System betreibt, muss es nachweisbar gegen Manipulation absichern. Dies geht über klassische IT-Sicherheit hinaus und erfordert Schutzmaßnahmen, die auf das Modell und seine Datenkette zugeschnitten sind. Dazu gehören die Absicherung der Trainingsdaten, das Testen gegen Manipulation sowie die kontinuierliche Überwachung des laufenden Systems.

Diese Anforderungen überschneiden sich stark mit der DSGVO und dem Schweizer Datenschutzgesetz (DSG). Das revidierte Schweizer Datenschutzgesetz (nDSG), in Kraft seit dem 1. September 2023, verlangt von Unternehmen, die KI einsetzen, konkrete Maßnahmen wie Transparenzpflichten, Privacy by Design und Privacy by Default. Schweizer Unternehmen müssen besonders darauf achten, dass