KI in der Arbeitswelt: Risiken, EU AI Act und der pragmatische Weg zum Erfolg

Die Künstliche Intelligenz (KI) hat sich in den letzten Jahren von einem visionären Konzept zu einem fundamentalen Element der Unternehmensstrategie entwickelt. Insbesondere im DACH-Raum beobachten wir jedoch eine Verschiebung: Die reine Technologiebegeisterung weicht einer zunehmend kritischen und pragmatischen Betrachtung der Risiken und der damit verbundenen regulatorischen Anforderungen. Unternehmen sehen sich nicht nur mit den Chancen, sondern auch mit den Herausforderungen konfrontiert, die der rasante Fortschritt dieser Technologie mit sich bringt. Eine aktuelle Meldung vom 21. September 2026 unterstreicht die dringende Notwendigkeit, dass Unternehmen den EU AI Act, die Datenschutz-Grundverordnung (DSGVO), Cybersicherheit und klare interne Regeln als entscheidende Faktoren für den sicheren und verantwortungsvollen Einsatz von KI betrachten müssen.

Besonders relevant hierbei sind die Warnungen von KI-Entwicklern selbst. Diese Experten, die an der vordersten Front der technologischen Entwicklung stehen, weisen auf wachsende Risiken hin, die durch den rapiden Fortschritt in der Technologie entstehen. Für den Mittelstand im DACH-Raum bedeutet dies, dass eine fundierte Strategie für den Einsatz von KI nicht nur Innovation fördern, sondern auch rechtliche Sicherheit und organisatorische Resilienz gewährleisten muss. Es geht darum, das Potenzial der KI zu nutzen, ohne dabei neue Abhängigkeiten oder unkontrollierbare Risiken zu schaffen.

Warnungen aus der KI-Entwicklergemeinschaft und das Problem der "Schatten-KI"

Die alarmierenden Stimmen zur Kontrolle und Sicherheit von KI-Systemen kommen nicht nur von externen Kritikern, sondern auch von Sicherheitsforschern führender KI-Unternehmen. Ehemalige und aktuelle Forscher, beispielsweise von Anthropic, machen öffentlich auf mögliche Kontrollverluste, Sicherheitslücken und den enormen wirtschaftlichen Druck innerhalb der Branche aufmerksam. Während langfristige Szenarien, in denen hochentwickelte KI-Systeme vom Menschen nicht mehr zuverlässig kontrolliert werden können, Bedenken hervorrufen, bestehen bereits heute konkrete Risiken im Unternehmensalltag. Dazu zählen fehlerhafte oder diskriminierende Entscheidungen von KI, unzureichend abgesicherte Systeme und Datenschutzverstöße, die erhebliche finanzielle und reputative Schäden verursachen können.

Ein besonders gravierendes Problem, das direkt die Arbeitswelt betrifft und oft übersehen wird, ist die sogenannte "Schatten-KI" (Shadow AI). Dies beschreibt den unkontrollierten Einsatz von öffentlich zugänglichen KI-Tools durch Mitarbeitende, oft ohne das Wissen oder die Freigabe der IT- oder Datenschutzabteilungen. Wenn Mitarbeitende in solchen Tools ohne entsprechende Genehmigung sensible Daten wie Kundendaten, Bewerbungsunterlagen oder interne Geschäftsgeheimnisse eingeben, kann dies schwerwiegende datenschutzrechtliche und organisatorische Pflichten verletzen. Die Risiken reichen von unerlaubter Weitergabe personenbezogener Daten bis hin zur Gefährdung von Unternehmensgeheimnissen und der unbewussten Speisung externer Modelle mit proprietärem Wissen.

Unternehmen sind dringend angehalten, den Einsatz von KI-Tools im gesamten Unternehmen zu erfassen. Es gilt, freigegebene Anwendungen festzulegen und klare Nutzungsregeln zu schaffen. Schulungen für alle Mitarbeitenden sind unerlässlich, um das Bewusstsein für die Risiken von Schatten-KI zu schärfen und verantwortungsvolle Nutzungspraktiken zu fördern. Technische Schutzmaßnahmen, wie etwa die Einschränkung des Zugangs zu bestimmten externen KI-Diensten oder die Implementierung von Data Loss Prevention (DLP) Systemen, sind ebenfalls entscheidend, um unzulässige Datenübermittlungen und unkontrollierte Anwendungen zu vermeiden. Eine proaktive und transparente Kommunikation über die Gefahren und die richtige Handhabung von KI-Tools ist hierbei der Schlüssel zur Risikominimierung.

Der EU AI Act: Regulatorischer Rahmen und Auswirkungen für den Mittelstand

Der am 1. August 2024 in Kraft getretene EU AI Act ist das weltweit erste umfassende KI-Regelwerk und hat weitreichende Konsequenzen für Unternehmen im DACH-Raum. Obwohl er stufenweise anwendbar wird, gelten erste Regeln bereits seit dem 2. Februar 2025. Die Verordnung verfolgt einen risikobasierten Ansatz: Je höher das potenzielle Risiko einer KI-Anwendung für Grundrechte und Sicherheit, desto strenger sind die regulatorischen Anforderungen an Entwicklung, Betrieb und Überwachung.

Ursprünglich sollten die strengen Pflichten für Hochrisiko-KI-Systeme ab dem 2. August 2026 greifen. Allerdings wurde diese Frist im Rahmen des sogenannten "Digital Omnibus" (Omnibus-VII-Paket) am 7. Mai 2026 um 16 Monate auf den 2. Dezember 2027 verschoben. Diese Verschiebung soll Unternehmen mehr Zeit und Planungssicherheit geben und die Komplexität sowie den Governance-Aufwand der Vorgaben reduzieren. Dennoch betonen Experten und auch wir bei Kapitel H, dass diese Fristverlängerung nicht als Atempause missverstanden werden sollte. Es ist vielmehr eine Gelegenheit, die Implementierung der notwendigen Maßnahmen noch gründlicher und strategischer anzugehen. Die Grundanforderungen für Hochrisiko-KI-Systeme, wie etwa die Einführung robuster Risikomanagementsysteme, strenge Datengovernance-Praktiken, Mechanismen zur menschlichen Aufsicht, umfassende technische Dokumentation und detaillierte Prüfprotokolle, bleiben unverändert. Auch die drohenden Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sind weiterhin gültig und unterstreichen die Ernsthaftigkeit der Verordnung.

Hochrisiko-KI-Systeme sind solche, die in Bereichen eingesetzt werden, in denen fehlerhafte Entscheidungen erhebliche Folgen für die Gesundheit, Sicherheit oder Grundrechte von Menschen haben können. Dies umfasst Anwendungen in kritischen Infrastrukturen (z.B. Energie, Wasser), im Bildungswesen (z.B. Zugangsbewertung), bei der Beschäftigung (z.B. Personalauswahl, Leistungsbewertung), bei wesentlichen privaten und öffentlichen Dienstleistungen (z.B. Kreditscoring, Leistungsberechtigung), in der Strafverfolgung, Migration und Asyl sowie in der Rechtspflege und bei Medizinprodukten. Unternehmen, die solche Systeme entwickeln, anbieten oder betreiben, müssen umfangreiche Pflichten erfüllen. Dazu gehören die Erstellung einer vollständigen technischen Dokumentation vor dem Inverkehrbringen, die Implementierung eines kontinuierlichen Risikomanagementsystems über den gesamten Lebenszyklus des Systems und die Gewährleistung menschlicher Aufsicht. Darüber hinaus müssen die Trainingsdaten auf Qualität, Repräsentativität und mögliche Verzerrungen geprüft werden, um Diskriminierung zu vermeiden und Fairness zu gewährleisten.

KI-Regulierung in DACH: EU AI Act, DSGVO und die Schweizer Perspektive

Ein zentraler Aspekt für DACH-Unternehmen, die KI einsetzen, ist die enge Verflechtung und zusätzliche Geltung der Datenschutz-Grundverordnung (DSGVO) neben dem EU AI Act. Sobald ein KI-System personenbezogene Daten verarbeitet, gilt die DSGVO. Dies ist unabhängig davon, ob das System als Hochrisiko-KI im Sinne des AI Act eingestuft wird oder nicht. Unternehmen müssen daher eine Rechtsgrundlage für jede Datenverarbeitung identifizieren und umfassende Datenschutzprinzipien beachten. Insbesondere sind die Grundsätze des Datenschutzes durch Technikgestaltung (Privacy by Design) und datenschutzfreundliche Voreinstellungen (Privacy by Default), umfassende Transparenzpflichten und gegebenenfalls die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) zu berücksichtigen. Bei der Auswahl von externen KI-Anbietern ist es zudem ratsam, auf Auftragsverarbeitungsverträge (AVV) zu achten, die klar regeln, dass die Eingaben des Unternehmens nicht für das Training des KI-Modells des Anbieters verwendet werden dürfen. Dies ist ein entscheidender Punkt, um Datenlecks und den unkontrollierten Verlust von proprietärem Wissen zu verhindern.

Obwohl die Schweiz keinen eigenen, umfassenden AI Act hat, sind Schweizer Unternehmen nicht automatisch vom europäischen KI-Recht ausgenommen. Der EU AI Act kann auch Anbieter oder Betreiber erfassen, die ausserhalb der EU ansässig sind, insbesondere wenn sie KI-Systeme oder General-Purpose-AI-Modelle in der EU auf den Markt bringen oder wenn der Output eines KI-Systems in der EU verwendet wird. Dies bedeutet, dass grenzüberschreitende Geschäftstätigkeiten eine genaue Prüfung der Anwendbarkeit des EU AI Act erfordern.

Die Schweiz verfolgt stattdessen einen sektoriellen Regulierungsansatz, bei dem KI dort geregelt wird, wo sie konkret zum Einsatz kommt. Beispiele hierfür sind der Datenschutz, das Gesundheitswesen oder der Finanzsektor. Das totalrevidierte Schweizer Datenschutzgesetz (DSG) ist hierbei ein zentraler Bezugspunkt und bietet einen technologieneutralen Rahmen, der auch für KI-Anwendungen relevant ist. Instrumente wie die Regulierung automatisierter Einzelentscheidungen, Privacy by Design und die Anforderungen an Profiling sind auch auf KI-Anwendungen anwendbar. Salesforce hat beispielsweise am 17. September 2026 die Schweizer KI-Regulierung begrüßt und betont, dass mit zunehmender Verbreitung von KI-Agenten auch die Sicherheitsarchitektur von Unternehmen neu gedacht werden muss, da diese Agenten eigenständig Entscheidungen treffen und Aktionen ausführen können. Die Bedeutung einer robusten Governance und Sicherheitsarchitektur erstreckt sich somit über alle Länder im DACH-Raum.

Praktische Schritte für den KI-Erfolg: Governance, Change Management und Anwendungsfelder

Neben den regulatorischen und technischen Herausforderungen ist das Change Management ein entscheidender Faktor für den erfolgreichen und nachhaltigen Einsatz von KI in Unternehmen. Studien zeigen, dass über 70 Prozent aller KI-Projekte nicht an der Technologie selbst, sondern an der fehlenden Akzeptanz der Mitarbeitenden scheitern. Viele KMU testen KI-Tools ohne klare Erwartungen, und die potenziell eingesparte Zeit wird oft nicht produktiv für wertschöpfende Tätigkeiten genutzt. Dies kann dazu führen, dass bis zu 40 Prozent der eingesparten Zeit wieder für die Korrektur fehlerhafter oder unzureichender KI-Ergebnisse aufgewendet werden muss. Dies untergräbt nicht nur die Effizienzgewinne, sondern auch das Vertrauen in die Technologie.

Für eine erfolgreiche KI-Einführung ist es daher unerlässlich, Mitarbeitende frühzeitig in den Prozess einzubinden. Ängste vor Jobverlust müssen transparent adressiert und durch klare Kommunikation sowie umfassende Schulungen begegnet werden. Ein strukturierter Change-Management-Prozess hilft, anfängliche Widerstände in Begeisterung und proaktive Nutzung umzuwandeln. Es geht darum, Mitarbeitende zu befähigen, KI als unterstützendes Werkzeug zu sehen, das ihre Arbeit effizienter und nicht obsolet macht. Laut einer Bitkom-KI-Studie 2026 berichten 77% der Unternehmen, die KI nutzen, von einer verbesserten Wettbewerbsposition, und bereits 41% aller Unternehmen ab 20 Beschäftigten setzen KI aktiv ein. Diese Zahlen belegen, dass der erfolgreiche Einsatz von KI einen direkten positiven Einfluss auf den Unternehmenserfolg haben kann.

KI gewinnt auch in spezialisierten Unternehmensbereichen wie Controlling, Finance und HR zunehmend an Bedeutung. Hier verspricht der strategische Einsatz von KI messbare Effizienzgewinne, verbesserte Entscheidungsfindungen und nachhaltige Wettbewerbsvorteile. Die Anwendungspalette ist breit und reicht von Predictive Forecasting, Anomalie-Erkennung und Abschluss-Automation im Finanzbereich bis hin zu Narrative Reporting und präzisen Cashflow-Prognosen. Für Finanzverantwortliche können beispielsweise Finance-Tools für Forecasting mit einer Investition von 800.000 Euro bis zu 1,5 Millionen Euro Produktivität steigern, und AI-Compliance-Systeme können Verluste in Millionenhöhe verhindern, indem sie regulatorische Verstöße frühzeitig erkennen und verhindern.

Ein Schlüssel zum Erfolg in diesen Bereichen liegt in der generationenübergreifenden Zusammenarbeit: Junge Mitarbeitende, die oft mit einem tiefen Verständnis für neue Technologien aufwachsen, bringen das technische Know-how für die Implementierung und Nutzung von KI-Tools mit. Erfahrene Kollegen wiederum liefern den entscheidenden fachlichen Kontext, das Domänenwissen und die Plausibilitätsprüfung der KI-Ergebnisse. Diese Symbiose aus technischer Expertise und praxiserprobter Erfahrung ist essenziell, um KI-Systeme sinnvoll zu trainieren, deren Ergebnisse korrekt zu interpretieren und letztlich ihren maximalen Nutzen zu erzielen.

Handlungsempfehlungen für den Mittelstand im DACH-Raum

Um die Potenziale von KI verantwortungsvoll zu heben und gleichzeitig die Risiken zu minimieren, empfehlen wir dem Mittelstand im DACH-Raum folgende konkrete Schritte:

1. Eine robuste KI-Governance etablieren: Definieren Sie klare interne Richtlinien für den Einsatz von KI-Tools. Erstellen Sie ein Inventar aller im Unternehmen genutzten KI-Anwendungen, sowohl offizieller als auch inoffizieller (Schatten-KI). Implementieren Sie einen Freigabeprozess für neue KI-Tools, der IT, Datenschutz und Fachabteilungen einbezieht. 2. Mitarbeitende befähigen und einbinden: Investieren Sie in umfassende Schulungen zum verantwortungsvollen Umgang mit KI. Kommunizieren Sie offen über die Chancen und Herausforderungen der Technologie, um Ängste abzubauen. Fördern Sie die Entwicklung von KI-Kompetenzen im gesamten Unternehmen und beziehen Sie Mitarbeitende aktiv in die Gestaltung von KI-Prozessen ein. 3. Rechtliche Rahmenbedingungen aktiv managen: Beginnen Sie frühzeitig mit der Vorbereitung auf die Anforderungen des EU AI Act, insbesondere für Hochrisiko-Systeme. Führen Sie Risikobewertungen durch, implementieren Sie Risikomanagementsysteme und stellen Sie die Einhaltung der Datengovernance-Vorgaben sicher. Achten Sie auf die durchgängige DSGVO-Konformität bei jeder Verarbeitung personenbezogener Daten durch KI-Systeme, einschliesslich Privacy by Design und Datenschutz-Folgenabschätzungen. 4. Cybersicherheit und Datenschutz integrieren: Sorgen Sie für eine sichere IT-Infrastruktur, die den Einsatz von KI-Anwendungen unterstützt. Prüfen Sie sorgfältig die Auftragsverarbeitungsverträge mit externen KI-Anbietern, um sicherzustellen, dass Ihre Daten nicht unbefugt für das Modelltraining verwendet werden. Implementieren Sie technische Schutzmassnahmen gegen Datenlecks und unbefugten Zugriff. 5. Pilotprojekte starten und skalieren: Beginnen Sie mit überschaubaren Pilotprojekten in Bereichen, in denen ein klarer Nutzen erkennbar ist. Definieren Sie vorab messbare Ziele und Kriterien für den Erfolg. Lernen Sie aus diesen Erfahrungen und skalieren Sie erfolgreiche Anwendungen schrittweise im gesamten Unternehmen. Nutzen Sie die gewonnenen Erkenntnisse, um Ihre KI-Strategie kontinuierlich zu optimieren.

Kritische Einordnung aus Kapitel-H-Sicht

Die Entwicklung der KI im DACH-Raum zeigt deutlich, dass der Hype einer realistischen und kritischen Betrachtung weicht. Diese Reife ist entscheidend für den nachhaltigen Einsatz der Technologie. Die Warnungen von KI-Entwicklern selbst sind ein wichtiges Signal: Unternehmen dürfen sich nicht blind auf Versprechen verlassen, sondern müssen die Kontrolle über ihre Daten und Prozesse behalten. Das Problem der "Schatten-KI" ist hierfür ein Paradebeispiel. Es belegt, wie schnell unkontrollierte Nutzung zu erheblichen Compliance-Verstößen und Sicherheitsrisiken führen kann.

Die Verschiebung der Fristen für Hochrisiko-KI-Systeme im EU AI Act ist, wie bereits erwähnt, keine Einladung zum Abwarten. Wir betrachten sie als eine wertvolle Chance, die notwendigen internen Strukturen und Prozesse nicht nur zu implementieren, sondern auch zu optimieren. Der Gesetzgeber gibt Unternehmen damit die Möglichkeit, ihre KI-Strategie sorgfältiger zu planen und nicht unter Zeitdruck halbgare Lösungen zu etablieren. Eine proaktive Haltung ist hier nicht nur empfehlenswert, sondern für die Wettbewerbsfähigkeit und rechtliche Sicherheit im Jahr 2027 und darüber hinaus unerlässlich.

Unser Ansatz bei Kapitel H betont stets die Befähigung der Unternehmen. Es geht darum, Abhängigkeiten von externen Anbietern zu minimieren und die interne Kompetenz im Umgang mit KI aufzubauen. Nur so können Unternehmen die Potenziale der KI wirklich ausschöpfen, ohne sich den Risiken unkontrollierter Technologie oder rechtlicher Unklarheiten auszusetzen. Eine One-size-fits-all Lösung existiert nicht. Jedes Unternehmen muss eine individuelle Analyse seiner spezifischen Anwendungsfälle und Risikoprofile vornehmen, um eine massgeschneiderte und zukunftssichere KI-Strategie zu entwickeln.

Fazit

Die jüngsten Entwicklungen im Bereich der KI für den DACH-Arbeitsmarkt zeigen eine klare Tendenz: Der Fokus verschiebt sich von der reinen Technologiebegeisterung hin zu einem pragmatischen und risikobewussten Ansatz. Die Warnungen von KI-Entwicklern vor den Risiken der unkontrollierten KI-Nutzung, insbesondere im Hinblick auf "Schatten-KI", sowie die zunehmende regulatorische Dichte durch den EU AI Act und die fortwährende Relevanz der DSGVO, erfordern von Unternehmen proaktives Handeln. Die Verschiebung der Fristen für Hochrisiko-KI-Systeme im EU AI Act ist keine Einladung zum Abwarten, sondern eine strategische Gelegenheit. Nutzen Sie diese Zeit, um die notwendigen Anpassungen sorgfältig und umfassend vorzunehmen.

Für Unternehmen im DACH-Raum ist es entscheidend, eine robuste KI-Governance zu etablieren, Mitarbeitende umfassend zu schulen und zu integrieren sowie Datenschutz und Cybersicherheit als integrale Bestandteile jeder KI-Strategie zu verankern. Die erfolgreiche Einführung und Nutzung von KI ist kein rein technisches, sondern ein strategisches und organisatorisches Projekt. Nur durch eine ganzheitliche Betrachtung und konsequente Umsetzung dieser Prinzipien lässt sich das immense Potenzial der Künstlichen Intelligenz verantwortungsvoll und nachhaltig für den Geschäftserfolg nutzen. Befähigen Sie Ihr Unternehmen, die Zukunft der Arbeit aktiv mitzugestalten, anstatt sich von ihr überrollen zu lassen.