KI-Compliance in DACH: EU AI Act und Schweizer DSG fordern sofortiges Handeln

Die Integration Künstlicher Intelligenz (KI) in Unternehmensprozesse ist für viele Unternehmen im DACH-Raum längst Realität. Doch mit dem wachsenden Einsatz von KI-Systemen steigt auch der regulatorische Druck. Die jüngsten Entwicklungen, insbesondere das Inkrafttreten zentraler Bestimmungen des EU AI Act und die fortwährende Relevanz des Schweizer Datenschutzgesetzes (DSG), zwingen Unternehmen zu einer sofortigen und umfassenden Überprüfung ihrer KI-Strategien, Prozesse und Mitarbeiterkompetenzen. Die Fristen sind entweder bereits verstrichen oder stehen unmittelbar bevor, was einen dringenden Handlungsbedarf signalisiert.

Was auf den ersten Blick wie eine abstrakte Rechtsmaterie erscheint, hat direkte und oft unterschätzte Auswirkungen auf den Arbeitsalltag und die Wettbewerbsfähigkeit von Unternehmen. Es geht nicht nur darum, potenzielle Bussgelder zu vermeiden, sondern auch darum, Vertrauen zu schaffen, Daten zu schützen und die Kontrolle über den eigenen KI-Einsatz zu behalten. Gerade im DACH-Raum, der für seine hohen Qualitäts- und Sicherheitsstandards bekannt ist, müssen Unternehmen eine Vorreiterrolle bei der verantwortungsvollen Implementierung von KI einnehmen.

Der EU AI Act: Schlüsseldaten und unmittelbare Pflichten in Kraft

Der EU AI Act, die weltweit erste umfassende Gesetzgebung zur Regulierung von KI, ist seit dem 1. August 2024 in Kraft. Seine Anwendung erfolgt schrittweise, doch bestimmte Pflichten sind bereits bindend oder werden es in Kürze sein. Ein entscheidendes Datum für zahlreiche Unternehmen war der 2. August 2026. Seit diesem Zeitpunkt gelten erweiterte Transparenzpflichten für den Einsatz von KI-Systemen. Diese Regelungen betreffen alle Unternehmen in der EU, unabhängig von ihrer Grösse, die KI-Systeme entwickeln, bereitstellen oder nutzen. Der Umfang der spezifischen Pflichten richtet sich dabei nach der jeweiligen Risikokategorie des KI-Systems, wobei die grundlegenden Anforderungen weitreichend sind.

Unternehmen sind seit dem 2. August 2026 verpflichtet, den Einsatz von KI-Systemen transparent zu gestalten. Das bedeutet, klar zu kommunizieren, wo und wie KI-Systeme zum Einsatz kommen. Ein Nachweis, dass diese Systeme kontrolliert und sicher in bestehende Geschäftsprozesse integriert sind, ist ebenfalls erforderlich. Dies ist besonders relevant, wenn KI-Systeme sensible Unternehmensdaten wie Kundendaten, interne Kommunikation oder vertrauliche Geschäftsdokumente verarbeiten. Die Transparenzpflichten nach Artikel 50 der KI-Verordnung schreiben zudem vor, dass KI-Systeme, die direkt mit natürlichen Personen interagieren oder Inhalte erzeugen, die Nutzer über diese Interaktion informieren müssen. Generierte Inhalte, etwa synthetische Audio-, Bild-, Video- oder Textinhalte, müssen maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein. Dies betrifft insbesondere den Einsatz von Chatbots, Deepfakes und anderen generativen KI-Anwendungen.

Eine weitere kritische Frist steht unmittelbar bevor: Am 11. September 2026 treten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gemäss dem Cyber Resilience Act (CRA) in Kraft. Diese Vorschriften betreffen Hersteller von Produkten mit digitalen Elementen und verlangen eine gestufte Meldung über eine zentrale Meldeplattform. Für Unternehmen bedeutet dies, dass sie nicht nur den KI-Einsatz selbst, sondern auch die Sicherheit der zugrunde liegenden digitalen Infrastruktur im Blick haben müssen. Die Einhaltung des CRA ist eng mit dem sicheren und verantwortungsvollen Einsatz von KI-Systemen verknüpft.

Obwohl die umfassenderen Anforderungen für Hochrisiko-KI-Systeme gemäss Anhang III des AI Act durch den sogenannten „Digital Omnibus on AI“ teilweise auf den 2. Dezember 2027 verschoben wurden, bleiben grundlegende Aspekte wie Risikomanagement, Daten-Governance, technische Dokumentation und Nachweisführung von unmittelbarer Bedeutung. Eine Studie vom April 2026 zeigte, dass 78 Prozent der Organisationen noch keine signifikanten Schritte zur Einhaltung der Vorschriften für Hochrisiko-Systeme unternommen hatten, und über 50 Prozent verfügten nicht einmal über ein grundlegendes KI-Inventar. Diese Zahlen unterstreichen den enormen Nachholbedarf im gesamten DACH-Raum und mahnen zur schnellen Reaktion, um drohenden Nachteilen zuvorzukommen.

Das Schweizer Datenschutzgesetz (DSG) und KI: Direkte Anwendbarkeit und persönliche Haftung

Für Schweizer Unternehmen ist die Situation durch das revidierte Datenschutzgesetz (nDSG), das seit dem 1. September 2023 in Kraft ist, klar definiert. Anders als die EU hat die Schweiz kein spezifisches KI-Gesetz erlassen, da das nDSG technologieneutral formuliert ist und somit direkt für KI-gestützte Datenbearbeitungen gilt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat diese direkte Anwendbarkeit in einem aktualisierten Leitfaden vom 8. Mai 2025 explizit bestätigt. Das bedeutet, dass die allgemeinen Datenschutzgrundsätze des nDSG vollständig auf den Umgang mit Personendaten durch KI-Systeme angewendet werden müssen.

Jede Organisation, die KI auf Personendaten anwendet, ist von den folgenden vier zentralen Pflichten betroffen:

* Auskunftsrecht über automatisierte Einzelentscheidungen (Art. 25 revDSG): Unternehmen müssen in der Lage sein, die Logik hinter vollautomatisierten KI-Entscheidungen, die ohne menschliche Zwischenprüfung getroffen werden, verständlich zu erklären. Dies erfordert eine detaillierte Dokumentation der Mensch-KI-Kollaboration und der Entscheidungsprozesse der KI. Die reine Black-Box-Nutzung ist hierbei nicht zulässig.

* Datenschutz durch Technik und Voreinstellungen (Art. 7 revDSG): Die Datenbearbeitung muss bereits ab der Planungsphase technisch und organisatorisch so gestaltet werden, dass Datenschutzvorschriften eingehalten werden. Dies erfordert ein „Privacy by Design“ und „Privacy by Default“ Ansatz bei der Entwicklung oder Beschaffung von KI-Tools. Eine sorgfältige Prüfung vor der Implementierung ist unerlässlich, um sicherzustellen, dass die Systeme von Grund auf datenschutzkonform konfiguriert sind.

* Umgang mit Eingaben und Trainingsdaten: Es muss klar definiert werden, ob Eingaben in KI-Systeme dauerhaft gespeichert und zum Training oder Fine-Tuning verwendet werden. Eine transparente Kommunikation gegenüber den betroffenen Personen ist dabei entscheidend. Ein transparentes Opt-out für die Nutzung öffentlicher Daten zum KI-Training, wie es beispielsweise von Plattformen wie X (ehemals Twitter) umgesetzt wurde, ist erforderlich und muss klar kommuniziert werden. Unternehmen müssen hier ihre Datenflüsse genau kontrollieren und dokumentieren.

* Meldepflicht bei Verletzungen der Datensicherheit (Art. 24 revDSG): Bei einem voraussichtlich hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen muss eine Verletzung der Datensicherheit dem EDÖB „so rasch als möglich“ gemeldet werden. Auch wenn das nDSG keine starre 72-Stunden-Frist wie die DSGVO vorsieht, impliziert „so rasch als möglich“ eine unverzügliche Reaktion und Meldung, sobald ein Vorfall festgestellt wurde und dessen Risiko eingeschätzt werden kann.

Ein wesentlicher Unterschied zu den EU-Vorschriften sind die strengen Sanktionen in der Schweiz: Das nDSG sieht persönliche Bussen von bis zu CHF 250.000 für die verantwortliche natürliche Person vor. Das bedeutet, dass die Geschäftsführung oder die direkt verantwortliche Fachperson persönlich haftbar gemacht werden kann, wenn sie vorsätzlich handeln. Dieser Aspekt erhöht den Druck auf Führungskräfte im DACH-Raum erheblich, KI-Compliance nicht nur als ein organisatorisches, sondern als ein direktes persönliches Risiko zu verstehen und proaktiv zu managen.

Herausforderungen für DACH-Unternehmen: Governance, KI-Kompetenz und Risikomanagement

Analysen und Expertenmeinungen der letzten Wochen und Monate zeichnen ein klares Bild: Viele DACH-Unternehmen erkennen zwar das Potenzial von KI, hinken aber bei der Implementierung einer robusten KI-Governance und der Entwicklung der erforderlichen Kompetenzen hinterher. Eine Studie von DXC Technology vom August 2026 ergab, dass acht von zehn DACH-Unternehmen darauf bestehen, dass am Ende immer der Mensch entscheidet. Gleichzeitig hält jedoch mehr als die Hälfte es für wahrscheinlich, dass KI-Systeme künftig wichtige Geschäftsentscheidungen selbstständig treffen werden. 66 Prozent der Unternehmen berichteten bereits über neue Compliance-Aufgaben aufgrund intransparenter KI-Entscheidungen. Diese Diskrepanz unterstreicht die Notwendigkeit, Governance-Strukturen *vor* der Einführung autonomer KI-Anwendungen zu etablieren. Eine reaktive Anpassung ist hier nicht ausreichend.

Die KI-Kompetenz der Mitarbeitenden ist ein weiterer entscheidender Faktor. Der EU AI Act fordert von Unternehmen, die KI-Kompetenz ihrer Mitarbeiter sicherzustellen, wenn diese mit Künstlicher Intelligenz arbeiten. Diese Schulungspflicht ist bereits in Kraft. Eine Veröffentlichung vom 3. September 2026 betont, dass es darum geht, im Arbeitsalltag KI-Potenziale zu erkennen und zu verstehen, welche Aufgaben sinnvoll mit KI unterstützt werden können. Dies umfasst nicht nur technische Kenntnisse, sondern auch ein kritisches Verständnis für die Funktionsweise und die Grenzen von KI-Systemen.

Für HR-Abteilungen bedeutet dies, Rollenprofile zu überdenken und kontinuierliche Weiterbildungsmöglichkeiten anzubieten. Eine am 8. September 2026 veröffentlichte Studie für die Gewerkschaft Syndicom ergab, dass KI zwar einzelne Tätigkeiten, nicht aber ganze Berufe verändert, und dass Fachwissen, Urteilsfähigkeit und kontinuierliches Lernen entscheidend bleiben. Viele Befragte wünschen sich mehr Weiterbildung und einen stärkeren Einbezug in die Gestaltung des technologischen Wandels. Dies verdeutlicht, dass KI als „Augmentierungswerkzeug“ verstanden werden sollte, das menschliche Expertise stärkt und Routineaufgaben delegiert, anstatt den Menschen zu ersetzen. Es geht darum, die Mitarbeitenden zu befähigen, KI als effizientes Werkzeug zu nutzen und nicht darum, sie durch KI zu ersetzen.

Unternehmen wie Infoniqa und GFOS reagieren auf diesen Bedarf, indem sie KI-gestützte Lösungen für HR und Workforce Management anbieten, die datenbasierte Analysen und Prognosen direkt in den Arbeitsprozess integrieren, um Transparenz zu schaffen und fundierte Entscheidungen zu ermöglichen. Solche Tools können wertvolle Unterstützung leisten, doch die Kernherausforderung bleibt die strategische Ausrichtung, die technische Integration und die organisatorische Anpassung im gesamten Unternehmen. Ohne eine klare Strategie und eine fundierte Kompetenzentwicklung bleiben diese Tools nur Insellösungen.

Handlungsempfehlungen für DACH-Unternehmen

Die aktuelle Nachrichtenlage ist ein deutlicher Weckruf: KI-Regulierung ist keine ferne Zukunftsvision mehr, sondern eine konkrete Realität mit unmittelbaren Konsequenzen für den DACH-Arbeitsmarkt. Die zeitliche Konvergenz der Transparenzpflichten des EU AI Act (seit 2. August 2026), der beginnenden Meldepflichten des Cyber Resilience Act (ab 11. September 2026) und der seit längerem geltenden, aber für KI explizit bestätigten Schweizer DSG-Anforderungen schafft einen dringenden Handlungsbedarf. Unternehmen müssen jetzt proaktiv agieren, um rechtliche Risiken zu minimieren und die Vorteile von KI verantwortungsbewusst zu nutzen.

DACH-Unternehmen müssen jetzt handeln und folgende Schritte priorisieren:

1. KI-Inventar erstellen und Risiken bewerten: Erfassen Sie systematisch alle eingesetzten KI-Systeme. Ordnen Sie diese gemäss den Risikokategorien des EU AI Act und den Anforderungen des DSG ein. Dies muss auch die sogenannte „Schatten-KI“ umfassen, die möglicherweise ausserhalb zentraler IT-Kontrolle genutzt wird. Nur ein vollständiges Inventar ermöglicht eine zielgerichtete Risikobewertung. 2. KI-Governance etablieren: Definieren und implementieren Sie klare Verantwortlichkeiten, Richtlinien und Prozesse für den gesamten KI-Lebenszyklus, von der Beschaffung über den Einsatz bis zur Ausserbetriebnahme. Dies schliesst die sorgfältige Prüfung und Dokumentation von Entscheidungslogiken ein, insbesondere bei automatisierten Systemen. 3. Transparenz- und Kennzeichnungspflichten umsetzen: Stellen Sie sicher, dass KI-generierte Inhalte und Interaktionen klar als solche gekennzeichnet werden. Nutzer müssen stets wissen, ob sie mit einem menschlichen Gegenüber oder einem KI-System interagieren. Intern muss die Nutzung von KI in Arbeitsprozessen ebenfalls transparent sein. 4. KI-Kompetenz und Schulungen fördern: Investieren Sie kontinuierlich in rollenbasierte Trainingsprogramme. Dies ist erforderlich, um die KI- und Datenkompetenz der Mitarbeitenden zu gewährleisten und die sich ständig weiterentwickelnden regulatorischen Anforderungen zu erfüllen. Fördern Sie ein kritisches Verständnis für KI. 5. Datenschutz by Design und Security by Design verankern: Berücksichtigen Sie präventiv den Datenschutz und die IT-Sicherheit bei der Konzeption, Auswahl und Implementierung von KI-Systemen. Dies ist insbesondere in der Schweiz entscheidend, auch im Hinblick auf persönliche Haftungsrisiken für Führungskräfte. Integrieren Sie diese Prinzipien fest in Ihre Entwicklungsprozesse. 6. Schnittstellen zu bestehenden Vorschriften beachten: Der EU AI Act ist nicht isoliert zu betrachten, sondern muss mit der DSGVO, dem Data Act, dem Cyber Resilience Act und spezifischen branchenbezogenen Regulierungen integriert werden. Eine ganzheitliche Compliance-Strategie ist unerlässlich.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H sehen wir die aktuelle Regulierungswelle als notwendigen Schritt zur Reifung des KI-Einsatzes. Es ist entscheidend, sich von der reinen Hype-Diskussion zu lösen und sich auf die pragmatische, datenbasierte Umsetzung zu konzentrieren. Die Gefahr besteht nicht nur in Bussgeldern. Die grösste Gefahr liegt darin, die Kontrolle über den KI-Einsatz zu verlieren und damit die Geschäftsprozesse und das Vertrauen der Kunden aufs Spiel zu setzen. Die regulatorischen Anforderungen sind nicht als Hemmschuh zu verstehen, sondern als ein Rahmen, der die Entwicklung und Nutzung von KI auf eine solide und verantwortungsvolle Grundlage stellt.

Gerade der Blick auf die Schweiz mit ihrer Regelung der persönlichen Haftung verdeutlicht, dass KI-Compliance Chefsache ist. Es geht hier nicht um „Checkbox-Compliance“, sondern um eine tiefgreifende Integration von Risikomanagement und ethischen Grundsätzen in die Unternehmensstrategie. Unternehmen, die jetzt vorausschauend handeln, sichern sich nicht nur rechtlich ab, sondern stärken auch ihre Innovationsfähigkeit und ihr Vertrauen am Markt. Wer Transparenz und Verantwortlichkeit in den Vordergrund stellt, positioniert sich als verlässlicher Partner in der digitalen Wirtschaft. Der Mittelstand im DACH-Raum hat hier die Chance, mit einer strukturierten Herangehensweise die KI-Transformation aktiv und selbstbestimmt zu gestalten, anstatt von externen Vorgaben getrieben zu werden. Befähigung statt Abhängigkeit, das ist unser Credo.

Fazit: Jetzt handeln, um die KI-Zukunft zu sichern

Die jüngsten Entwicklungen im Bereich der KI-Regulierung sind ein klarer Appell an alle DACH-Unternehmen. Die Zeit der Beobachtung ist vorbei. Sowohl der EU AI Act als auch das Schweizer DSG stellen konkrete, unmittelbare Anforderungen, die eine strategische Anpassung erfordern. Wer diese Herausforderungen ignoriert, riskiert nicht nur erhebliche Bussgelder, die im EU-Raum bis zu 7 Prozent des weltweiten Jahresumsatzes und in der Schweiz persönliche Bussen bis CHF 250.000 betragen können. Vielmehr gefährdet er auch das Vertrauen seiner Kunden, Partner und Mitarbeitenden sowie die Kontrolle über geschäftskritische Unternehmensinformationen.

Die erfolgreiche Gestaltung der KI-Transformation im DACH-Raum ist untrennbar mit der aktiven und vorausschauenden Umsetzung regulatorischer Vorgaben verbunden. Nutzen Sie die aktuellen Fristen als Anlass, Ihre KI-Strategie zu schärfen, Ihre Prozesse zu prüfen und Ihre Mitarbeiter zu befähigen. Nur so können Sie sicherstellen, dass KI nicht zu einem unkalkulierbaren Risiko wird, sondern zu einem nachhaltigen Wettbewerbsvorteil. Handeln Sie jetzt, um die Chancen der KI verantwortungsbewusst zu nutzen und Ihre digitale Zukunft aktiv zu gestalten.