EU AI Act: Was der 2. August 2026 für DACH-Unternehmen bedeutet

Die europäische Arbeitswelt, insbesondere im DACH-Raum, erlebt eine signifikante Zäsur durch die umfassende Inkraftsetzung zentraler Bestimmungen des EU AI Acts. Seit dem 2. August 2026 sind wesentliche Transparenzpflichten für KI-Systeme mit allgemeinem Verwendungszweck, sogenannte General-Purpose AI Systems (GPAIS), sowie neue Durchsetzungsbefugnisse für verbotene KI-Praktiken in Kraft getreten. Dies markiert eine neue Phase der KI-Regulierung und hat unmittelbare und weitreichende Auswirkungen auf Unternehmen in Deutschland, Österreich und der Schweiz. Die Zeit der Beobachtung ist vorbei. Unternehmen sind nun gefordert, ihre KI-Strategien und -Implementierungen proaktiv an die neuen rechtlichen Rahmenbedingungen anzupassen.

Der EU AI Act ist mehr als nur ein weiteres Regelwerk. Er ist ein Paradigmenwechsel, der die Art und Weise, wie KI entwickelt, eingesetzt und betrieben wird, grundlegend verändert. Für den Mittelstand im DACH-Raum bedeutet dies, dass die Auseinandersetzung mit den neuen Vorgaben nicht aufgeschoben werden kann. Es geht nicht nur um Compliance, sondern auch darum, Wettbewerbsvorteile durch den verantwortungsvollen und transparenten Einsatz von KI zu sichern und Vertrauen bei Kunden und Mitarbeitern aufzubauen. Ignorieren ist keine Option, denn die Konsequenzen bei Nichteinhaltung können erheblich sein.

Der EU AI Act: Eine neue Realität für Unternehmen

Der EU AI Act ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Seine Veröffentlichung im Amtsblatt der EU erfolgte am 12. Juli 2024, und er tritt gestaffelt in Kraft. Dieser gestaffelte Ansatz verdeutlicht die Komplexität und den weitreichenden Anwendungsbereich der Verordnung. Während erste Verbote von KI-Systemen mit inakzeptablem Risiko bereits seit dem 2. Februar 2025 gelten, sind die aktuellen Inkraftsetzungen vom 2. August 2026 von besonderer Relevanz und rücken die Regulation stärker in den Fokus der Unternehmen. An diesem Stichtag wurden die Transparenzpflichten für Anbieter und Betreiber generativer KI-Modelle und GPAIS wirksam. Gleichzeitig erhielten die Europäische Kommission und nationale Behörden neue Durchsetzungsbefugnisse, um die Einhaltung der Vorschriften zu überwachen und Verstöße zu ahnden.

Die gestaffelte Einführung ist bewusst gewählt, um Unternehmen eine Übergangszeit zur Anpassung zu ermöglichen. Doch diese Zeit ist begrenzt und läuft für viele Bereiche bereits ab. Die Vorgaben des AI Acts sind keine abstrakten Richtlinien, sondern konkrete Handlungsanweisungen, die tief in die Geschäftsprozesse und IT-Systeme von Unternehmen eingreifen. Es ist entscheidend, diese Phasen und ihre spezifischen Anforderungen genau zu kennen und in der Unternehmensstrategie zu berücksichtigen. Ein Blick auf die wichtigsten Daten verdeutlicht die Dringlichkeit: Seit Februar 2025 müssen Unternehmen ihre Mitarbeitenden nachweislich über eingesetzte KI-Systeme schulen. Dies ist ein erster Schritt, der die Sensibilisierung für KI-Nutzung innerhalb der Organisation fördert und eine Grundlage für weitere Compliance-Maßnahmen schafft.

Transparenzpflichten und die extraterritoriale Wirkung

Der 2. August 2026 bringt insbesondere klare Transparenzanforderungen mit sich. Dies bedeutet konkret, dass Unternehmen, die generative KI-Modelle wie beispielsweise ChatGPT, Claude oder Gemini entwickeln oder nutzen, nun spezifische Offenlegungspflichten erfüllen müssen. Eine zentrale Anforderung ist die Kennzeichnung, wenn Menschen mit KI-Systemen interagieren. Nutzer müssen eindeutig erkennen können, ob sie mit einem menschlichen Gegenüber oder einem KI-System kommunizieren. Dies ist entscheidend für Vertrauen und eine informierte Entscheidungsfindung. Des Weiteren sind Deepfakes und andere KI-generierte oder manipulierte Inhalte klar als solche zu kennzeichnen. Dies dient dem Schutz vor Desinformation und der Bewahrung der Integrität digitaler Inhalte.

Die Einhaltung dieser Vorgaben ist nicht trivial und erfordert von Unternehmen eine genaue Analyse ihrer bestehenden KI-Anwendungen und -Prozesse. Es genügt nicht, die Technologie zu implementieren, es muss auch die Nutzungsweise transparent gemacht werden. Ein oft übersehener Aspekt ist die sogenannte extraterritoriale Wirkung des EU AI Acts. Dies bedeutet, dass die Vorschriften nicht auf den geografischen Standort eines Unternehmens beschränkt sind, sondern auf den Markt, auf dem die KI-Systeme oder deren Ergebnisse genutzt werden. Für Schweizer Unternehmen, die keine EU-Mitglieder sind, ist dies von entscheidender Bedeutung: Sie fallen unter den EU AI Act, sobald sie KI-Systeme in der EU in Verkehr bringen, in Betrieb nehmen oder die von diesen Systemen erzeugten Ergebnisse in der Europäischen Union verwendet werden. Dies betrifft praktisch jedes Schweizer Unternehmen, das digitale Produkte, Dienstleistungen oder Software-Lösungen in den EU-Raum exportiert oder dort Niederlassungen unterhält. Ein anschauliches Beispiel hierfür wäre ein KI-gestützter Chatbot auf einer Schweizer Unternehmenswebsite, der sich auch an Kunden in Deutschland oder Österreich richtet. Sobald dieser Chatbot mit EU-Bürgern interagiert, gelten die Transparenzpflichten des EU AI Acts. Die globale Vernetzung der digitalen Wirtschaft macht die Einhaltung dieser Regelungen für den gesamten DACH-Raum unerlässlich.

Risikobasierter Ansatz und verbotene Praktiken

Der AI Act verfolgt einen risikobasierten Ansatz. Je höher das potenzielle Risiko einer KI-Anwendung für Grundrechte oder Sicherheit ist, desto strenger sind die Anforderungen. Dieses Spektrum reicht von verbotenen KI-Praktiken über Hochrisiko-KI-Systeme bis hin zu solchen mit geringem Risiko. Die klare Kategorisierung soll eine zielgerichtete Regulierung ermöglichen und unverhältnismässige Belastungen für weniger kritische Anwendungen vermeiden.

Zu den bereits seit 2. Februar 2025 verbotenen KI-Anwendungen gehören unter anderem: biometrische Kategorisierungssysteme, die sensible Merkmale wie politische oder religiöse Überzeugungen, sexuelle Orientierung oder ethnische Zugehörigkeit nutzen. Ebenfalls verboten ist das ungezielte Durchsuchen des Internets oder von Überwachungsaufnahmen zur Erstellung von Gesichtsdatenbanken. Diese Praktiken stellen erhebliche Eingriffe in die Privatsphäre dar und wurden daher frühzeitig untersagt. Auch die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist verboten, da sie das Potenzial für Diskriminierung und unverhältnismässige Überwachung birgt. Diese Verbote unterstreichen den ethischen Anspruch des AI Acts und den Schutz der Grundrechte.

Für Hochrisiko-KI-Systeme, die in kritischen Bereichen zum Einsatz kommen, gelten umfangreiche Prüf- und Dokumentationspflichten. Dies betrifft beispielsweise KI-Systeme in Infrastrukturen, die Sicherheit kritischer Dienste gewährleisten, sowie Anwendungen in Bildung, Personalwesen, öffentlicher Sicherheit oder Medizinprodukten. Hier sind ein umfassendes Risikomanagement und Konformitätsbewertungsverfahren zwingend vorgeschrieben. Die Fristen für diese Systeme sind ebenfalls gestaffelt: Die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III, beispielsweise im HR-Bereich für die Kandidatenauswahl, gelten ab dem 2. Dezember 2027. Für Systeme nach Anhang I, die als Sicherheitskomponente von Maschinen oder Produkten dienen, treten die Anforderungen ab dem 2. August 2028 in Kraft. Diese Zeiträume sollen den Unternehmen genügend Gelegenheit geben, komplexe Systeme anzupassen und umfassende Sicherheitsnachweise zu erbringen. Die Identifizierung und korrekte Klassifizierung der eigenen KI-Systeme ist dabei der erste und entscheidende Schritt für Unternehmen.

KI im Unternehmen: Governance, Change Management und Datenschutz

Die neuen Regelungen erzwingen eine intensive Auseinandersetzung mit dem Einsatz von KI in Unternehmen. Eine DXC-Studie vom August 2026 zeigt, dass 80 Prozent der DACH-Unternehmen KI kontrollieren wollen, doch 58 Prozent gleichzeitig mit autonomen Systemen rechnen, die wichtige Geschäftsentscheidungen selbstständig treffen. Dieser scheinbare Widerspruch unterstreicht die Notwendigkeit klarer Governance-Strukturen und Richtlinien, die den Handlungsspielraum von KI-Systemen definieren. 71 Prozent der befragten Unternehmen erwarten zudem einen sprunghaften Anstieg virtueller KI-Agenten in den nächsten drei Jahren, und 66 Prozent berichten bereits von neuen Compliance-Aufgaben durch intransparente KI-Entscheidungen. Diese Zahlen verdeutlichen den enormen Druck auf Unternehmen, ihre internen Prozesse und Verantwortlichkeiten zu klären.

Dies macht ein effektives Change Management bei der KI-Einführung unverzichtbar. Studien zeigen, dass über 70 Prozent aller KI-Projekte nicht an der Technologie selbst, sondern an der mangelnden Akzeptanz der Mitarbeitenden scheitern. Der EU AI Act erhöht den Druck, die Mitarbeiter nicht nur zu schulen, was seit Februar 2025 Pflicht ist, sondern sie aktiv in den Wandel einzubinden und Ängste zu adressieren. Die PwC betont, dass die erfolgreiche Einführung von KI kein Selbstläufer ist und ein aktives Begleiten und Managen des Wandels erfordert, da KI neue Denk- und Herangehensweisen sowie angepasste Abläufe erfordert. Es geht darum, die Belegschaft zu befähigen, mit KI zu arbeiten, anstatt sie als Bedrohung wahrzunehmen.

Parallel zu den Transparenzpflichten des AI Acts bleiben Datenschutz und KI-Sicherheit zentrale Herausforderungen. Das Deutsche Forschungszentrum für Künstliche Intelligen (DFKI) hat im Juni 2026 eine Open-Source-Browser-Erweiterung veröffentlicht, die sensible Informationen vor der Übermittlung an externe KI-Dienste wie ChatGPT, Claude und Gemini anonymisiert. Dies ist eine direkte Reaktion auf die wachsende Sorge in Unternehmen, dass vertrauliche Informationen ungewollt an externe KI-Dienste übermittelt werden könnten. Die Notwendigkeit, DSGVO-konform zu agieren und eine sichere Infrastruktur für KI-Anwendungen zu schaffen, wird durch den AI Act weiter verschärft. Unternehmen müssen sicherstellen, dass ihre Datenverarbeitung compliant ist und dabei auch interne Compliance-Vorgaben einhalten. Dies erfordert technische Lösungen, klare Datenflussmodelle und eine umfassende Sensibilisierung aller Mitarbeitenden, die mit KI-Systemen interagieren.

Praktische Handlungsempfehlungen für Unternehmen

Die aktuellen Entwicklungen erfordern von DACH-Unternehmen ein proaktives Handeln. Hier sind konkrete Schritte, die Sie umsetzen sollten:

1. Inventarisierung und Klassifizierung: Erstellen Sie eine vollständige Übersicht aller in Ihrem Unternehmen verwendeten KI-Systeme. Klassifizieren Sie diese entsprechend dem Risikobasierten Ansatz des AI Acts, insbesondere in Bezug auf GPAIS und Hochrisiko-KI-Systeme. 2. Risikoanalyse und -management: Führen Sie für identifizierte Hochrisiko-KI-Systeme umfassende Risikoanalysen durch. Implementieren Sie ein kontinuierliches Risikomanagement, das potenzielle Risiken identifiziert, bewertet und minimiert. Dokumentieren Sie diese Prozesse lückenlos. 3. Anpassung von Richtlinien und Prozessen: Überprüfen und passen Sie interne Richtlinien, Compliance-Vorgaben und Geschäftsprozesse an die Anforderungen des AI Acts an. Dies betrifft insbesondere die Transparenzpflichten bei der Interaktion mit KI und der Kennzeichnung von generierten Inhalten. 4. Mitarbeiterschulung und Change Management: Intensivieren Sie die Schulung Ihrer Mitarbeiter im Umgang mit KI-Systemen und den neuen rechtlichen Anforderungen. Integrieren Sie diese Schulungen in ein umfassendes Change Management, um Akzeptanz zu fördern und Ängste abzubauen. 5. Rechtsberatung hinzuziehen: Angesichts der Komplexität des AI Acts und seiner extraterritorialen Wirkung ist die Konsultation von Rechtsexperten, die auf KI-Recht spezialisiert sind, unerlässlich. Dies gilt besonders für die Bewertung von Hochrisiko-KI-Systemen und die Anpassung an spezifische nationale Implementierungen. 6. Technologische Lösungen prüfen: Evaluieren Sie technische Lösungen für Datenschutz und Transparenz, wie beispielsweise Anonymisierungstools oder spezielle KI-Plattformen, die von Haus aus compliant sind. Das DFKI-Tool ist ein Beispiel für solche Ansätze, die den Schutz sensibler Daten gewährleisten können.

Kritische Einordnung aus Kapitel-H-Sicht

Der EU AI Act ist eine Notwendigkeit und bietet im Kern eine Chance. Während die Komplexität der neuen Regulierung für viele Mittelständler im DACH-Raum eine Herausforderung darstellt, sehen wir bei Kapitel H darin eine klare Aufforderung zur Selbstermächtigung. Es geht nicht darum, sich passiv von externen Beratern oder neuen Tools abhängig zu machen, sondern die eigene KI-Kompetenz intern aufzubauen und zu stärken. Eine rein reaktive Compliance-Haltung ist kurzsichtig. Wer jetzt proaktiv handelt und die Anforderungen des AI Acts als Leitplanke für eine verantwortungsvolle KI-Strategie nutzt, kann Vertrauen bei Kunden aufbauen und sich im Wettbewerb differenzieren. Der Fokus sollte auf realen Anwendungen liegen, die Wert schaffen, und nicht auf dem Hype um neue KI-Technologien.

Wir sehen oft, dass Unternehmen zu sehr auf die Technologie blicken und zu wenig auf die Prozesse und die Menschen dahinter. Der EU AI Act zwingt uns, genau diese menschlichen und prozessualen Aspekte stärker zu berücksichtigen. Die Kennzeichnungspflichten für generative KI sind ein praktisches Beispiel dafür, wie Transparenz das Vertrauen stärken und Missbrauch verhindern kann. Für uns bedeutet dies, dass wir Unternehmen dabei unterstützen müssen, nicht nur die Regeln zu verstehen, sondern auch die zugrunde liegenden Prinzipien von Ethik und Verantwortung in ihre KI-Entwicklung und -Nutzung zu integrieren. Nur so kann der Mittelstand im DACH-Raum die Potenziale der KI voll ausschöpfen, ohne unnötige Risiken einzugehen oder sich von der Regulierung überrollen zu lassen.

Fazit

Die Inkraftsetzung des EU AI Acts, insbesondere die Regelungen vom 2. August 2026, ist keine ferne Zukunftsmusik, sondern eine unmittelbare Realität, die DACH-Unternehmen dazu zwingt, ihre Nutzung und Entwicklung von KI-Systemen grundlegend zu überdenken und anzupassen. Die Anforderungen an Transparenz, Datenschutz, Risikomanagement und Change Management sind immens. Eine strategische und ganzheitliche Herangehensweise ist unerlässlich, um die Vorteile von KI sicher und rechtskonform nutzen zu können.

Unternehmen, die jetzt handeln und eine robuste KI-Governance aufbauen, werden nicht nur hohe Strafen vermeiden, sondern auch das Vertrauen ihrer Kunden und Mitarbeiter stärken. Sie positionieren sich als verantwortungsvolle Akteure in der digitalen Wirtschaft und sichern sich langfristig Wettbewerbsvorteile. Die Zeit für eine abwartende Haltung ist vorbei. Die Zukunft der KI-Nutzung im DACH-Raum beginnt mit der konsequenten Umsetzung des EU AI Acts.