EU KI-Verordnung: Unmittelbare Compliance-Pflichten für DACH-Unternehmen ab August 2026

Die digitale Transformation wird durch regulatorische Rahmenbedingungen massgeblich beeinflusst. Im DACH-Raum ist die EU KI-Verordnung (EU AI Act) ein zentrales Thema, dessen Auswirkungen nun in vollem Umfang spürbar werden. Obwohl in der öffentlichen Wahrnehmung oft der Eindruck entsteht, die vollständige Regulierung verzögere sich, sind seit dem 2. August 2026 zahlreiche Kernbestimmungen in Kraft getreten. Diese betreffen nicht nur Grosskonzerne, sondern in besonderem Masse den Mittelstand, der zunehmend KI-Technologien einsetzt oder entwickelt. Für Unternehmen bedeutet dies eine erhöhte Compliance-Anforderung, deren Nichtbeachtung empfindliche finanzielle und reputative Folgen haben kann.

Die EU KI-Verordnung ist keine entfernte Zukunftsmusik mehr. Sie ist Realität und erfordert von Unternehmen im deutschsprachigen Raum eine präzise Prüfung ihrer bestehenden und geplanten KI-Anwendungen. Dieser Artikel beleuchtet die aktuellen Pflichten, das Zusammenspiel mit dem Datenschutz und zeigt konkrete Handlungsempfehlungen auf, um die Herausforderungen proaktiv zu meistern und die Chancen der KI verantwortungsbewusst zu nutzen.

Gestaffelte Anwendbarkeit und nationale Umsetzungsgesetze

Die Verordnung (EU) 2024/1689, der EU AI Act, trat offiziell am 1. August 2024 in Kraft und wird schrittweise anwendbar. Seit dem 2. Februar 2025 sind bereits verbotene KI-Praktiken und die sogenannte KI-Kompetenzpflicht für Mitarbeitende bindend. Der 2. August 2026 markiert eine weitere wichtige Stufe, da seit diesem Datum die Transparenzpflichten nach Artikel 50 und das gesamte Sanktionsregime der Verordnung in Kraft sind. Es ist wichtig festzuhalten, dass eine im Rahmen der "Digital Omnibus"-Verordnung (EU) 2026/1744 erfolgte Verschiebung lediglich die substanziellen Anforderungen für Hochrisiko-KI-Systeme nach Kapitel III betrifft. Diese gelten erst ab dem 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme und ab dem 2. August 2028 für in regulierte Produkte eingebettete Systeme. Diese spezifische Verschiebung wurde oft missverstanden und erweckte den falschen Eindruck, die gesamte KI-Regulierung würde erst später wirksam werden. Für die meisten Unternehmen sind jedoch die allgemeinen Anwendungsdaten von Feburar 2025 und August 2026 von direkter Relevanz.

Deutschland hat zur nationalen Umsetzung des EU AI Acts das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) am 29. Juli 2026 in Kraft gesetzt. Dieses Gesetz weist der Bundesnetzagentur eine zentrale Rolle zu. Sie fungiert als Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Die Einrichtung eines eigenen KI-Service-Desks für Unternehmen durch die Bundesnetzagentur unterstreicht die Ernsthaftigkeit, mit der Deutschland die Einhaltung der Verordnung vorantreibt. Österreich hat ebenfalls seine Pflichten und Termine zur KI-Verordnung kommuniziert, wobei auch hier die Kernpflichten seit dem 2. August 2026 anwendbar sind.

Unmittelbare Pflichten: Transparenz und Sanktionen

Seit dem 2. August 2026 sind für Unternehmen im DACH-Raum insbesondere die Transparenzpflichten von grosser Bedeutung. Dies umfasst die klare Kennzeichnung von künstlich generierten oder bearbeiteten Inhalten. Eine wichtige Frist betrifft dabei die Kennzeichnung maschinenlesbarer synthetischer Inhalte, die bereits vor August 2026 generiert wurden. Diese müssen bis zum 2. Dezember 2026 entsprechend markiert werden. Unternehmen, die beispielsweise Chatbots betreiben, KI-generierte Texte oder Bilder publizieren, fallen bereits jetzt unter diese Vorschriften. Dies gilt unabhängig von ihrer Grösse und betrifft somit auch viele kleine und mittlere Unternehmen.

Parallel dazu ist das vollständige Sanktionsregime des AI Acts seit dem 2. August 2026 vollstreckbar. Verstösse können zu erheblichen Geldbussen führen. Bei verbotenen Praktiken drohen Bussgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Andere Verstösse können mit bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes geahndet werden. Diese Zahlen verdeutlichen den immensen Druck, der auf Unternehmen lastet, ihre KI-Systeme und deren Einsatz sorgfältig zu überprüfen und anzupassen. Es ist ein klares Signal der Regulierungsbehörden, dass die Einhaltung dieser Vorschriften nicht optional ist.

KI und Datenschutz: Eine doppelte Herausforderung

Der EU AI Act ersetzt nicht die bestehenden Datenschutzgesetze. Er ergänzt sie vielmehr. Dies führt zu einer doppelten Compliance-Pflicht für Unternehmen, da sowohl die Anforderungen der KI-Verordnung als auch die der Datenschutz-Grundverordnung (DSGVO) in Deutschland und Österreich beachtet werden müssen. Die DSGVO gilt technologieneutral und somit auch vollumfänglich für KI-Anwendungen, die personenbezogene Daten verarbeiten. Bereits heute bestehen umfassende Informations- und Auskunftspflichten bei automatisierten Einzelentscheidungen. Die Grundsätze von "Privacy by Design" und "Privacy by Default" müssen bei der Entwicklung und dem Einsatz von KI-Systemen von Anfang an berücksichtigt werden. Dies bedeutet, dass Datenschutzaspekte nicht nachträglich angefügt werden dürfen, sondern integraler Bestandteil des Designs sein müssen.

Für Schweizer Unternehmen ist die Situation spezifischer. Obwohl die Schweiz über kein eigenes, umfassendes KI-Gesetz verfügt, gilt das revidierte Datenschutzgesetz (revDSG) seit dem 1. September 2023 direkt für jede KI-gestützte Datenbearbeitung. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in seinem aktualisierten Leitfaden vom Mai 2025 klargestellt. Ein entscheidender Unterschied zur DSGVO ist die Haftung: Während die DSGVO das Unternehmen als Ganzes adressiert, haften in Schweizer Organisationen unter dem DSG jene natürlichen Personen persönlich, die über den Einsatz eines KI-Tools entscheiden. Dies erhöht den persönlichen Verantwortungsdruck erheblich. Die Schweiz hat zudem im März 2025 die Konvention des Europarats über Künstliche Intelligenz unterzeichnet. Der Bundesrat arbeitet bis Ende 2026 an einer Vernehmlassungsvorlage zur KI-Regulierung, die Anpassungen in Bereichen wie Transparenz und Datenschutz vorsehen soll. Schweizer Unternehmen sollten diese Entwicklungen aufmerksam verfolgen und die nationalen Besonderheiten in ihre Compliance-Strategie integrieren.

Strategische Anpassung: Kompetenz, Change Management und interne Prozesse

Die erfolgreiche Einführung von KI-Systemen und die Einhaltung der neuen regulatorischen Rahmenbedingungen stellen Unternehmen vor erhebliche Herausforderungen, die über rein technische Aspekte hinausgehen. Eine Bitkom-Umfrage vom Februar 2026 zeigt, dass 77 Prozent der deutschen Unternehmen Datenschutzanforderungen als grösstes Hemmnis für ihre Digitalisierungsbemühungen sehen. Dies übertrifft sogar den Fachkräftemangel. Viele KI-Projekte scheitern jedoch nicht an der Technologie oder der Verordnung selbst, sondern an unzureichenden internen Regelungen zur Rollenverteilung, fehlenden Kompetenzen oder ungeklärten Vertragsfragen mit Anbietern.

Die KI-Kompetenzpflicht, die bereits seit Februar 2025 gilt, fordert von Arbeitgebern, sicherzustellen, dass ihr Personal über ein ausreichendes Mass an KI-Kompetenz verfügt. Dies umfasst sowohl technisches Know-how als auch regulatorisches Wissen und anwendungsspezifische Kenntnisse. Dies erfordert umfassende Schulungs- und Weiterbildungsmassnahmen. Studien zeigen jedoch, dass nur 47 Prozent der CEOs formelles Training erhalten. Gleichzeitig berichten 45 Prozent von Mitarbeiterwiderständen und 31 Prozent sogar von aktiver Sabotage der KI-Strategie. Dies verdeutlicht die Notwendigkeit eines effektiven Change Managements.

Change Management spielt eine entscheidende Rolle für den Erfolg der KI-Einführung. Ohne klare Kommunikation, die Beteiligung der Mitarbeitenden und ein sichtbares Engagement der Führungsebene versanden selbst die besten KI-Initiativen. Dies führt zu geringer Akzeptanz und fehlendem Nutzen. Die Herausforderung besteht darin, die Ängste und Sorgen der Mitarbeitenden ernst zu nehmen und gleichzeitig die Chancen und Möglichkeiten der KI transparent zu vermitteln. Konzepte wie "Augmentierung statt Ersetzung" sind hierbei zentrale Kommunikationstipps. Sie betonen, dass KI dazu dient, Menschen in ihrer Arbeit zu unterstützen und zu entlasten, anstatt sie zu ersetzen. Dadurch kann Vertrauen aufgebaut und die Bereitschaft zur Zusammenarbeit gefördert werden.

Ein weiteres, aktuell diskutiertes Phänomen ist das sogenannte "Botsitting". Mitarbeiter verbringen hierbei bis zu 6,4 Stunden pro Woche damit, KI-Systeme zu überwachen, Prompts zu verfeinern, Ergebnisse zu kontrollieren und nachzubessern. Dieses Phänomen zeigt, dass die versprochenen Produktivitätsgewinne oft durch den manuellen Kontrollaufwand wieder aufgezehrt werden. Es unterstreicht die Notwendigkeit robuster, vertrauenswürdiger und transparenter KI-Systeme, die nicht nur technisch funktionieren, sondern auch in der Praxis effizient und sicher sind.

Praktische Handlungsempfehlungen für Unternehmen

Um den neuen Anforderungen der EU KI-Verordnung und den bestehenden Datenschutzgesetzen gerecht zu werden, sollten Unternehmen im DACH-Raum proaktive Schritte unternehmen. Hier sind konkrete Handlungsempfehlungen:

1. Bestandsaufnahme und Risikobewertung: Identifizieren Sie alle aktuell genutzten und geplanten KI-Systeme in Ihrem Unternehmen. Führen Sie eine detaillierte Risikobewertung durch, um festzustellen, ob es sich um Hochrisiko-KI-Systeme handelt und welche spezifischen Transparenz- und Dokumentationspflichten gelten. Beziehen Sie dabei auch Systeme ein, die scheinbar unkritisch sind, da auch sie unter die allgemeinen Transparenzpflichten fallen können. 2. Transparenzpflichten umsetzen: Stellen Sie sicher, dass alle KI-generierten Inhalte klar als solche gekennzeichnet werden. Dies gilt für Texte, Bilder, Videos und Audio. Überprüfen Sie insbesondere die Frist vom 2. Dezember 2026 für bereits generierte maschinenlesbare synthetische Inhalte. Implementieren Sie technische und organisatorische Massnahmen, um diese Kennzeichnungspflichten durchgängig zu erfüllen. 3. Datenschutz-Compliance prüfen: Verknüpfen Sie die Prüfung der KI-Systeme eng mit Ihrer Datenschutz-Compliance (DSGVO, revDSG). Stellen Sie sicher, dass die Grundsätze von "Privacy by Design" und "Privacy by Default" beachtet werden. Überprüfen Sie Ihre Informations- und Auskunftspflichten bei automatisierten Entscheidungen und passen Sie diese bei Bedarf an. Schweizer Unternehmen müssen zudem die persönliche Haftung relevanter Entscheidungsträger im Blick behalten. 4. Kompetenzaufbau und Schulungen: Erfüllen Sie die KI-Kompetenzpflicht durch gezielte Schulungsprogramme für Ihre Mitarbeitenden. Dies sollte sowohl technisches Verständnis als auch regulatorisches Wissen umfassen. Fördern Sie ein "KI-Literacy"-Verständnis im gesamten Unternehmen, um Ängste abzubauen und die Akzeptanz zu erhöhen. 5. Interne Governance und Richtlinien etablieren: Definieren Sie klare Verantwortlichkeiten für den Einsatz und die Überwachung von KI-Systemen. Erarbeiten Sie interne Richtlinien und Prozessbeschreibungen für die Entwicklung, den Erwerb und den Betrieb von KI. Klären Sie vertragliche Fragen mit KI-Anbietern im Hinblick auf Compliance und Haftung. Dies kann auch die Einrichtung eines internen KI-Ausschusses oder von KI-Beauftragten umfassen. 6. Change Management als Priorität: Begleiten Sie die Einführung und Anpassung von KI-Systemen durch ein aktives Change Management. Kommunizieren Sie transparent die Ziele und Vorteile der KI, aber auch die neuen Regeln und Pflichten. Beziehen Sie Mitarbeitende frühzeitig ein und nutzen Sie Konzepte wie "Augmentierung statt Ersetzung", um Vertrauen aufzubauen und Widerstände zu minimieren. 7. Marktbeobachtung und Anpassungsfähigkeit: Die KI-Regulierung entwickelt sich dynamisch weiter. Bleiben Sie über nationale Umsetzungsgesetze, Leitlinien der Aufsichtsbehörden (z.B. Bundesnetzagentur, EDÖB) und zukünftige Anpassungen auf EU-Ebene informiert. Planen Sie regelmässige Reviews Ihrer KI-Compliance-Strategie.

Kritische Einordnung aus Kapitel-H-Sicht

Die EU KI-Verordnung ist ein notwendiger Schritt, um Vertrauen in eine Technologie zu schaffen, die unser wirtschaftliches und gesellschaftliches Leben fundamental prägen wird. Aus unserer Sicht bei Kapitel H ist es entscheidend, diese Regulierung nicht als reine Belastung zu sehen, sondern als Chance, den Einsatz von KI auf eine solide, verantwortungsvolle Grundlage zu stellen. Der Hype um KI hat in den letzten Jahren viele Unternehmen dazu verleitet, Lösungen ungeprüft zu implementieren, ohne die langfristigen Konsequenzen für Compliance, Ethik und interne Prozesse zu bedenken. Die nun geltenden strengen Regeln zwingen zu einer nüchternen und pragmatischen Auseinandersetzung.

Besonders kritisch sehen wir das Phänomen des "Botsittings". Es entlarvt die Vorstellung, KI würde per se zu sofortigen, massiven Produktivitätssteigerungen führen. Wenn Mitarbeitende einen Grossteil ihrer Arbeitszeit damit verbringen müssen, KI-Ergebnisse zu korrigieren oder zu überwachen, wird der vermeintliche Effizienzgewinn zunichte gemacht. Dies ist ein klares Zeichen dafür, dass KI-Systeme oft noch nicht ausreichend robust, transparent oder auf die spezifischen Geschäftsprozesse zugeschnitten sind. Ein verantwortungsvoller KI-Einsatz erfordert nicht nur technologische Implementierung, sondern auch eine kritische Evaluierung des tatsächlichen Nutzens und eine entsprechende Anpassung der Arbeitsabläufe.

Die Verschiebung der substanziellen Anforderungen für Hochrisiko-KI-Systeme hat fälschlicherweise eine Art Aufschubstimmung erzeugt. Dies ist gefährlich, da die allgemeinen Transparenzpflichten und das Sanktionsregime bereits seit August 2026 uneingeschränkt gelten. Unternehmen, die sich jetzt zurücklehnen, riskieren nicht nur hohe Bussgelder, sondern auch den Verlust des Vertrauens von Kunden und Mitarbeitenden. Die Fähigkeit, KI verantwortungsvoll und gesetzeskonform einzusetzen, wird zu einem entscheidenden Wettbewerbsvorteil.

Wir betonen stets den Ansatz der Befähigung statt der Abhängigkeit. Das bedeutet, Unternehmen sollten nicht blind auf externe KI-Dienstleister vertrauen, ohne die internen Kompetenzen zum Verständnis, zur Bewertung und zur Absicherung dieser Technologien aufzubauen. Nur wer die Funktionsweise und die Implikationen von KI-Systemen versteht, kann diese erfolgreich und im Einklang mit den neuen Vorschriften einsetzen. Die aktuelle Regulierung ist eine Aufforderung, genau diese interne Befähigung voranzutreiben und eine nachhaltige KI-Strategie zu entwickeln.

Fazit

Der 2. August 2026 war ein Wendepunkt für den Einsatz von Künstlicher Intelligenz im DACH-Raum. Die vollstreckbaren Transparenzpflichten und das umfassende Sanktionsregime des EU AI Act fordern von Unternehmen ein sofortiges und proaktives Handeln. Das Zusammenspiel mit bestehenden Datenschutzgesetzen wie der DSGVO und dem revDSG in der Schweiz macht die Compliance-Landschaft komplex, aber nicht unüberwindbar.

Unternehmen, die jetzt in die detaillierte Bestandsaufnahme ihrer KI-Systeme, in die Schulung ihrer Mitarbeitenden und in die Etablierung klarer interner Governance-Strukturen investieren, werden nicht nur rechtliche Risiken minimieren, sondern auch einen entscheidenden Wettbewerbsvorteil erzielen. Sie etablieren Vertrauen in ihre KI-Anwendungen, fördern die Akzeptanz bei den Mitarbeitenden und legen den Grundstein für einen effizienten und ethisch vertretbaren Einsatz dieser disruptiven Technologie. Der Weg zu einer erfolgreichen und gesetzeskonformen KI-Nutzung beginnt mit dem Verständnis, dass Compliance ab sofort eine Top-Priorität ist.