EU KI-Verordnung: Neue Fristen, alte Pflichten für DACH-Unternehmen

Die Einführung der Europäischen KI-Verordnung, des sogenannten EU AI Act, ist ein entscheidender Wendepunkt für Unternehmen, die KI-Systeme entwickeln oder nutzen. Insbesondere im DACH-Raum beobachten wir eine hohe Relevanz dieser Regulierung, da sowohl die Schweiz als auch Deutschland und Österreich eng mit dem EU-Binnenmarkt verbunden sind. Jüngste Entwicklungen, insbesondere durch den “Digital Omnibus” im Sommer 2026, haben zu einer Anpassung wichtiger Fristen geführt. Diese Verschiebung bietet Unternehmen eine gewisse Atempause, darf jedoch nicht missverstanden werden. Die grundlegenden Anforderungen an Transparenz, Risikomanagement und den verantwortungsvollen Umgang mit Künstlicher Intelligenz bleiben bestehen und erfordern von den Unternehmen im deutschsprachigen Raum weiterhin sofortige, strategische Planung und Umsetzung. Unser Ziel ist es, Ihnen eine klare Orientierung in diesem komplexen Umfeld zu geben und aufzuzeigen, wie Sie die neuen Rahmenbedingungen proaktiv nutzen können.

Der "Digital Omnibus" und die neuen Anwendungsfristen

Ursprünglich sahen die Pläne für den EU AI Act vor, dass die umfassendsten Pflichten für Hochrisiko-KI-Systeme gemäss Anhang III des Gesetzes bereits ab dem 2. August 2026 in Kraft treten sollten. Diese Fristen wurden durch die endgültige Genehmigung des sogenannten “Digital Omnibus” durch den Rat der Europäischen Union am 29. Juni 2026 angepasst. Diese Neuregelung verschiebt die Anwendungsdaten für die komplexesten Teile der Verordnung. Es ist wichtig zu verstehen, dass es sich hierbei nicht um eine Aufhebung, sondern um eine terminliche Anpassung handelt.

Konkret bedeutet dies, dass die Anwendungspflicht für eigenständige Hochrisiko-KI-Systeme aus Anhang III, wie sie beispielsweise im Personalmanagement, in Bildungsbereichen, in kritischen Infrastrukturen oder bei der Kreditwürdigkeitsprüfung eingesetzt werden, nun erst am 2. Dezember 2027 beginnt. Das ist eine Verschiebung um mehr als ein Jahr. Für Hochrisiko-KI-Systeme, die in bereits bestehende, regulierte Produkte eingebettet sind, wie etwa in Medizinprodukte, Maschinen oder Spielzeuge, wurde die Frist sogar bis zum 2. August 2028 verlängert. Diese Kategorie findet sich in Anhang I der Verordnung.

Diese Anpassungen sind als pragmatische Reaktion der Gesetzgeber auf die Komplexität und die erheblichen technischen sowie organisatorischen Herausforderungen zu verstehen, denen Unternehmen bei der Implementierung dieser weitreichenden Vorschriften gegenüberstehen. Sie sollen den betroffenen Akteuren mehr Zeit einräumen, um harmonisierte technische Standards zu entwickeln, die notwendigen Test- und Konformitätsbewertungsinfrastrukturen aufzubauen und die internen Prozesse entsprechend anzupassen. Für den Mittelstand im DACH-Raum ist diese verlängerte Frist eine wertvolle Ressource, die jedoch strategisch und mit Weitsicht genutzt werden muss.

Sofortige Pflichten bleiben: Transparenz und Kompetenz

Es wäre ein schwerwiegender Fehler, die Verschiebung der Fristen für Hochrisiko-KI als einen Freifahrtschein für Untätigkeit zu interpretieren. Ein kritischer Blick auf den EU AI Act zeigt, dass keineswegs alle Fristen verschoben wurden. Bestimmte, grundlegende Pflichten sind entweder bereits in Kraft getreten oder werden dies sehr bald tun. Insbesondere die Transparenzpflichten gemäss Artikel 50 des EU AI Act sind seit dem 2. August 2026 bindend. Das bedeutet, dass Unternehmen, die KI-Systeme einsetzen, die mit Menschen interagieren, oder die KI-generierte Inhalte wie Texte, Bilder, Audio- oder Videomaterial erstellen, verpflichtet sind, ihre Nutzer darüber zu informieren.

Konkret müssen Anbieter von KI-Systemen sicherstellen, dass Einzelpersonen explizit und verständlich darüber aufgeklärt werden, wenn sie direkt mit einem KI-System interagieren. Dies schafft Vertrauen und ermöglicht eine informierte Nutzung. Des Weiteren müssen maschinenlesbare Markierungen oder Kennzeichnungen hinzugefügt werden, um KI-generierte oder manipulierte Inhalte eindeutig als solche erkennbar zu machen. Hierbei gibt es eine kleine Gnadenfrist: Für die Kennzeichnungspflicht von KI-generierten Inhalten, die von Systemen stammen, welche bereits vor dem 2. August 2026 auf dem Markt waren, gilt die Frist erst ab dem 2. Dezember 2026. Neue Systeme müssen diese Kennzeichnung jedoch sofort gewährleisten.

Darüber hinaus sind bereits seit dem 2. Februar 2025 die Verbote bestimmter KI-Praktiken in Kraft. Dazu gehören unter anderem Social Scoring, manipulative KI-Nutzung, sowie bestimmte Formen der Gesichtserkennung und biometrischer Kategorisierung. Gleichzeitig ist auch die Pflicht zur Vermittlung von KI-Kompetenzen für alle Mitarbeitenden, die KI nutzen oder entwickeln, bereits seit diesem Datum aktiv. Unternehmen müssen daher dringend sicherstellen, dass ihr Personal über das notwendige Wissen und die Fähigkeiten im Umgang mit KI verfügt. Dies umfasst ein grundlegendes Verständnis der Funktionsweise von KI, der potenziellen Risiken und der ethischen Leitplanken. Schulungen und Weiterbildungsprogramme sind hierfür unverzichtbar und sollten nicht auf die lange Bank geschoben werden.

Hochrisiko-KI: Definition und menschliche Aufsicht als Kern

Der Begriff Hochrisiko-KI steht im Zentrum der umfassenderen Regulierungsanforderungen des EU AI Act. Anhang III der Verordnung listet acht spezifische Kategorien von KI-Anwendungsfällen auf, die prinzipiell als Hochrisiko eingestuft werden können. Diese reichen von biometrischen Systemen über Anwendungen in kritischen Infrastrukturen und in der Bildung bis hin zu Systemen, die im Bereich Beschäftigung und Arbeitnehmerverwaltung eingesetzt werden. Auch wesentliche private und öffentliche Dienste, die Strafverfolgung, Migration und Grenzmanagement sowie die Justiz fallen unter diese Kategorisierung. Die abschliessende Einstufung eines konkreten KI-Systems als Hochrisiko-KI erfolgt jedoch nicht allein durch die Zugehörigkeit zu einer dieser Kategorien, sondern durch Artikel 6 der Verordnung. Dieser Artikel sieht auch eine wichtige Ausnahmeregelung vor: Enge, prozedurale oder vorbereitende KI-Tools können vom Hochrisiko-Status ausgenommen werden, es sei denn, sie umfassen das Profiling von natürlichen Personen, welches stets als kritisch erachtet wird.

Ein zentraler Pfeiler der Regulierung für Hochrisiko-KI ist das Prinzip der menschlichen Aufsicht, englisch “Human Oversight”. Gemäss Artikel 14 des EU AI Act müssen Hochrisiko-KI-Systeme so konzipiert sein, dass sie über ihren gesamten Lebenszyklus hinweg eine effektive menschliche Überwachung ermöglichen. Dies bedeutet konkret, dass der Mensch jederzeit in der Lage sein muss, die Kapazitäten und die Grenzen des Systems zu verstehen. Er muss seinen Betrieb überwachen können, Anomalien frühzeitig erkennen und Automatisierungsfehler vermeiden. Die Fähigkeit, die Ausgaben des Systems korrekt zu interpretieren und bei Bedarf korrigierend einzugreifen, ist ebenso von fundamentaler Bedeutung wie die Möglichkeit, das System vollständig abzuschalten, den sogenannten „Stopp-Knopf“ zu drücken. Für bestimmte, besonders sensible biometrische Identifizierungssysteme schreibt der AI Act sogar eine separate Überprüfung durch mindestens zwei kompetente Personen vor, um das Risiko von Fehlern oder Missbrauch weiter zu minimieren. Die Implementierung dieser menschlichen Aufsicht erfordert nicht nur technische Anpassungen, sondern auch die Entwicklung klarer Prozesse und die Schulung des Personals, um diese Rolle effektiv wahrnehmen zu können.

Kosten und Konsequenzen: Was Compliance für den Mittelstand bedeutet

Die Einhaltung des EU AI Act ist für DACH-Unternehmen keine Option, sondern eine Notwendigkeit, insbesondere wenn sie im EU-Markt agieren. Die Komplexität dieser Verordnung, oft in Verbindung mit bereits bestehenden Datenschutzvorschriften wie der Datenschutz-Grundverordnung (DSGVO) und dem revidierten Schweizer Datenschutzgesetz (revDSG), stellt eine erhebliche Herausforderung dar, die mit spürbaren Kosten verbunden ist. Schätzungen zu den Compliance-Kosten variieren stark, geben aber eine Grössenordnung vor. Für die Einführung und den Betrieb eines einzelnen Hochrisiko-KI-Systems können Beratungskosten zwischen 15.000 und 80.000 Euro pro System anfallen. Bei der Implementierung unternehmensweiter Compliance-Programme bewegen sich die Kosten schnell zwischen 100.000 und 300.000 Euro oder mehr.

Für den Mittelstand können die Compliance-Kosten für ein einzelnes Hochrisiko-KI-System unter Umständen bis zu 400.000 Euro betragen. Solche Beträge können die Gewinne eines Unternehmens um bis zu 40 Prozent schmälern, was die Notwendigkeit einer frühzeitigen und effizienten Strategie unterstreicht. Es ist jedoch positiv zu vermerken, dass der Digital Omnibus in diesem Zusammenhang auch Vereinfachungen für kleine und mittlere Unternehmen (KMU) sowie "Small Mid-Caps" vorsieht. Diese sollen die finanzielle Belastung für kleinere Akteure reduzieren, indem zum Beispiel weniger aufwändige Konformitätsbewertungsverfahren oder erleichterte Zugangsmöglichkeiten zu Testumgebungen ermöglicht werden. Dies ist eine direkte Reaktion auf die Sorge, dass übermässige bürokratische Hürden Innovationen bei KMU ersticken könnten.

Die Kehrseite der Medaille bei Nichtbeachtung des EU AI Act sind empfindliche Bussgelder. Bei Verstössen gegen die verbotenen KI-Praktiken, wie beispielsweise Social Scoring oder die Nutzung manipulativer KI, können Unternehmen mit Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Wert höher ist. Für die meisten anderen Verpflichtungen, wie die Nichteinhaltung der Transparenz- oder Risikomanagementpflichten, liegen die Bussgelder bei bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes. Diese finanziellen Risiken sind keine abstrakten Drohungen, sondern eine reale Gefahr für die finanzielle Stabilität eines Unternehmens und unterstreichen die Dringlichkeit, Compliance als eine strategische Priorität zu betrachten.

Schweiz: Zwischen Eigenständigkeit und EU-Harmonisierung

Für Schweizer Unternehmen stellt die Rechtslage im Kontext des EU AI Act eine besondere Herausforderung dar. Die Schweiz ist zwar kein Mitglied der Europäischen Union, doch die enge wirtschaftliche Verflechtung und die grenzüberschreitende Nutzung von KI-Anwendungen machen den EU AI Act auch für Schweizer Unternehmen hochrelevant. Sobald ein Schweizer Unternehmen KI-Anwendungen im oder für den EU-Markt bereitstellt oder nutzt, muss es die EU-Vorgaben beachten. Dies gilt beispielsweise für den Export von KI-Produkten in die EU oder die Verarbeitung von Daten europäischer Bürger durch Schweizer KI-Systeme.

Das revidierte Schweizer Datenschutzgesetz (revDSG), das seit dem 1. September 2023 in Kraft ist, bietet einen technologieneutralen Rahmen, der prinzipiell offen für KI-Anwendungen ist. Es enthält jedoch Instrumente wie "Privacy by Design" und "Privacy by Default", die auch für KI-Systeme von Bedeutung sind. Ebenso relevant sind die Regeln für automatisierte Einzelentscheidungen und Profiling, die sich direkt auf den Einsatz von KI auswirken können. Das Fehlen eines eigenen umfassenden Schweizer KI-Gesetzes, das dem EU AI Act vergleichbar ist, bedeutet jedoch nicht, dass Schweizer Unternehmen weniger tun müssen. Im Gegenteil, es erfordert eine noch sorgfältigere Analyse und Anpassung ihrer KI-Systeme an die EU-Vorgaben, um den Zugang zum wichtigen europäischen Markt nicht zu gefährden und Wettbewerbsnachteile zu vermeiden. Die Koexistenz von revDSG und den Anforderungen des EU AI Act verlangt von Schweizer Unternehmen ein hohes Mass an Compliance-Kompetenz und eine klare Strategie zur Risikominimierung.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Angesichts der jüngsten Entwicklungen und der komplexen Regulierungslage sind folgende Schritte für Unternehmen im DACH-Raum unerlässlich, um die gesetzlichen Anforderungen zu erfüllen und gleichzeitig die Chancen der KI zu nutzen:

1. KI-Inventarisierung und Risikoklassifizierung: Beginnen Sie mit einer umfassenden Erfassung aller im Unternehmen genutzten KI-Systeme, einschliesslich jener, die von Drittanbietern bezogen werden. Diese Inventarisierung ist die Grundlage für eine präzise Klassifizierung nach dem risikobasierten Ansatz des EU AI Act. Verstehen Sie, welche Ihrer Anwendungen als Hochrisiko-KI eingestuft werden könnten und welche unmittelbaren Transparenzpflichten sie bereits heute erfüllen müssen. Eine genaue Übersicht hilft, den Handlungsbedarf zu identifizieren und Ressourcen gezielt einzusetzen.

2. Transparenzpflichten umsetzen: Stellen Sie sicher, dass die Anforderungen des Artikels 50 des EU AI Act bezüglich der Interaktion mit KI und der Kennzeichnung von KI-generierten Inhalten ab sofort erfüllt werden. Dies beinhaltet klare Hinweise an Nutzer, wenn sie mit einem KI-System interagieren, sowie die technische Implementierung von Markierungen für KI-generierte Texte, Bilder oder Audioinhalte. Die Einhaltung dieser Pflichten ist keine zukünftige Aufgabe, sondern eine unmittelbare Notwendigkeit, um rechtliche Risiken zu vermeiden und Vertrauen bei den Nutzern aufzubauen.

3. Datenschutz als Fundament: Die Einhaltung der DSGVO und des revDSG ist nicht nur eine gesetzliche Pflicht, sondern die Grundvoraussetzung für den verantwortungsvollen Einsatz von KI. Dies beinhaltet die lückenlose Kenntnis und Dokumentation aller Datenflüsse, insbesondere die Vermeidung von unkontrollierten Datenabflüssen aus der EU oder der Schweiz. Überprüfen Sie Verträge mit KI-Anbietern, um sicherzustellen, dass datenschutzrechtliche Standards eingehalten werden und klare Verantwortlichkeiten definiert sind. Datenschutz-Audits sind hierfür ein bewährtes Mittel.

4. Menschliche Aufsicht etablieren: Für alle identifizierten Hochrisiko-KI-Systeme müssen Sie frühzeitig Mechanismen der menschlichen Kontrolle und Überwachung entwickeln und implementieren. Dies umfasst die Definition von Rollen und Verantwortlichkeiten, die Einrichtung technischer Schnittstellen für die Überwachung und Intervention sowie die Schulung des Personals, um diese Aufgaben effektiv wahrnehmen zu können. Das Ziel ist es, eine effektive menschliche Intervention bei Fehlfunktionen oder unerwarteten Ergebnissen des KI-Systems zu gewährleisten.

5. Kompetenzaufbau und Change Management: Investitionen in die Schulung und Weiterbildung Ihrer Mitarbeitenden sind entscheidend. Dies fördert nicht nur die Akzeptanz von KI im Unternehmen, sondern baut auch Ängste ab und stellt sicher, dass die KI-Systeme korrekt, effizient und verantwortungsvoll genutzt werden. Ein strukturiertes Change Management begleitet diesen Prozess und stellt sicher, dass neue Technologien erfolgreich in bestehende Arbeitsabläufe integriert werden.

6. Frühzeitige Planung und flexible Anpassung: Trotz der verschobenen Fristen sollte die Vorbereitung auf die Hochrisiko-Pflichten nicht aufgeschoben werden. Die komplexe Implementierung von Konformitätsbewertungsverfahren, Risikomanagementsystemen und Qualitätsmanagementsystemen erfordert einen strukturierten, langfristigen Ansatz. Bleiben Sie zudem flexibel, um Prozesse schnell an weitere legislative Entwicklungen oder technische Standards anpassen zu können. Die Gesetzgebung im Bereich KI ist dynamisch, und Agilität ist ein Wettbewerbsvorteil.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H beobachten wir die Entwicklungen rund um den EU AI Act mit pragmatischem Interesse. Die Verschiebung der Fristen durch den "Digital Omnibus" ist aus unserer Sicht eine realistische und sinnvolle Entscheidung. Sie erkennt die Komplexität der Materie an und gibt Unternehmen mehr Zeit für die notwendige Vorbereitung. Es wäre jedoch fahrlässig, diese gewonnene Zeit als eine Gelegenheit zur Untätigkeit zu betrachten. Die Kernbotschaft bleibt bestehen: Wer KI verantwortungsvoll und strategisch einsetzen will, muss sich frühzeitig mit den Anforderungen auseinandersetzen.

Wir sehen oft, dass der Hype um Künstliche Intelligenz Unternehmen dazu verleitet, unüberlegte Investitionen zu tätigen oder sich von Marketingversprechen blenden zu lassen. Der EU AI Act zwingt uns nun zu einer nüchternen und datenbasierten Betrachtung. Es geht nicht darum, blind jede neue KI-Anwendung einzuführen, sondern darum, den realen Nutzen zu bewerten und diesen in Einklang mit den regulatorischen Vorgaben zu bringen. Unsere Erfahrung zeigt, dass Unternehmen, die eine solide KI-Strategie entwickeln, die auf Befähigung statt Abhängigkeit setzt, langfristig erfolgreicher sind.

Die Kosten für Compliance sind real und können den Mittelstand belasten. Dies unterstreicht die Notwendigkeit, Ressourcen gezielt einzusetzen und den Fokus auf die KI-Anwendungen zu legen, die den grössten Mehrwert versprechen und gleichzeitig die grössten Risiken bergen. Eine proaktive Haltung, die sowohl die technischen als auch die rechtlichen und organisatorischen Aspekte berücksichtigt, ist hier der Schlüssel. Unternehmen sollten nicht auf externe Berater angewiesen sein, um die grundlegenden Anforderungen zu verstehen, sondern eigenes Wissen aufbauen, um fundierte Entscheidungen treffen zu können.

Fazit: Nutzen Sie die gewonnene Zeit strategisch

Die jüngsten Anpassungen des EU AI Act durch den “Digital Omnibus” bieten DACH-Unternehmen eine entscheidende Gelegenheit, ihre KI-Strategien zu überdenken und ihre Compliance-Roadmaps anzupassen. Die Verschiebung der Fristen für Hochrisiko-KI ist keine Entwarnung, sondern eine unmissverständliche Aufforderung, die verbleibende Zeit effektiv und strategisch zu nutzen. Es geht darum, eine fundierte und rechtskonforme Einführung von KI-Systemen vorzubereiten, die sowohl Innovation fördert als auch die erforderliche Sicherheit, Ethik und den Datenschutz gewährleistet.

Der Nutzen für den Leser liegt in der klaren Erkenntnis, dass jetzt die Zeit ist, aktiv zu werden, anstatt abzuwarten. Unternehmen, die jetzt handeln, können nicht nur hohe Bussgelder vermeiden, sondern sich auch einen Wettbewerbsvorteil sichern. Sie schaffen Vertrauen bei Kunden und Mitarbeitenden, indem sie zeigen, dass sie KI verantwortungsvoll einsetzen. Eine strukturierte Herangehensweise, die die genannten Handlungsempfehlungen berücksichtigt, ermöglicht es Ihnen, die Chancen der Künstlichen Intelligenz zu nutzen und gleichzeitig die Risiken zu minimieren. So legen Sie das Fundament für eine zukunftssichere und erfolgreiche digitale Transformation Ihres Unternehmens.