KI-Compliance im DACH-Mittelstand: Navigieren durch EU AI Act und nDSG

Die Künstliche Intelligenz (KI) hat sich in den vergangenen Jahren von einem futuristischen Konzept zu einer alltäglichen Realität in Unternehmen des DACH-Raums entwickelt. Sie ist nicht mehr nur ein Thema für Grosskonzerne und Start-ups, sondern durchdringt zunehmend auch den Mittelstand, oft unbemerkt in Standardsoftware oder durch die rasche Einführung von KI-Agenten. Doch mit den unbestreitbaren Chancen der Effizienzsteigerung und Innovation gehen erhebliche regulatorische und strategische Risiken einher, die bis dato von vielen Unternehmen unterschätzt werden. Insbesondere die Auswirkungen des neuen EU AI Acts und des revidierten Schweizer Datenschutzgesetzes (nDSG) schaffen ein komplexes Umfeld voller Unsicherheiten und dringendem Handlungsbedarf für tausende Organisationen im deutschsprachigen Raum.

Der Stichtag für Hochrisiko-KI-Systeme gemäss EU AI Act, der 2. August 2026, rückt näher. Dennoch beobachten wir ein alarmierendes "Compliance-Vakuum". Viele Unternehmen im DACH-Raum warten auf konkrete nationale Umsetzungsleitlinien und harmonisierte Standards, anstatt proaktiv die notwendigen Schritte einzuleiten. Diese Zögerlichkeit birgt das Risiko empfindlicher Bussgelder, Reputationsschäden und kostspieliger Nachrüstungen. Kapitel H sieht es als seine Aufgabe, Sie als mittelständisches Unternehmen durch dieses komplexe Terrain zu navigieren, die Risiken klar zu benennen und konkrete Handlungsempfehlungen zu geben, die Sie befähigen, statt Abhängigkeiten zu schaffen.

Das unterschätzte Risiko: EU AI Act und das Compliance-Vakuum

Eine der dringendsten Erkenntnisse der letzten Wochen ist die vielfach unterschätzte Reichweite des EU AI Acts. Viele deutsche Unternehmen, aber auch ihre Schweizer Pendants, die in der EU tätig sind oder Daten europäischer Bürger verarbeiten, gehen fälschlicherweise davon aus, dass dieses Gesetz primär KI-Entwickler und grosse Technologieanbieter betrifft. Dies ist ein gefährliches Missverständnis. Tatsächlich erstreckt sich die Geltung des AI Acts auf alle Organisationen, die KI-Systeme einsetzen, selbst wenn diese als integrierte Funktionen in Standardsoftware verwendet werden. Ein typisches Beispiel sind Anwendungen für Biometrie, Leistungsbewertung von Mitarbeitenden oder fortschrittliche Lernanwendungen, die längst Teil des digitalen Arbeitsalltags geworden sind.

Erena Langley, Director of Regulatory Solutions bei Navex, hat dies treffend formuliert: KI hat sich in Unternehmen längst etabliert, wird aber oft nicht als regulatorisches Risiko wahrgenommen. Dies schafft eine gefährliche Lücke zwischen der tatsächlichen Nutzung und dem Bewusstsein für die damit verbundenen Pflichten.

Der EU AI Act, dessen allgemeine Bestimmungen am 1. August 2024 in Kraft getreten sind und dessen Transparenzpflichten für generative KI-Systeme ab dem 2. August 2026 greifen, verfolgt einen risikobasierten Regulierungsansatz. Insbesondere sogenannte Hochrisiko-KI-Systeme unterliegen umfangreichen Anforderungen. Dazu gehören strenge Vorgaben an die Datenqualität, an kontinuierliches Monitoring, an detaillierte Dokumentation und an ein umfassendes Risikomanagement. Das Problem ist, dass die EU-Kommission die gesetzlich vorgeschriebene Frist zur Lieferung zentraler Umsetzungs-Guidance zu Artikel 6 verpasst hat. Es fehlen weiterhin verbindliche technische Standards und klare nationale Behördenzuständigkeiten, die erläutern, wie die Vorgaben auf dem deutschen Markt auszulegen und zu überwachen sind. Dieses Fehlen von klaren Leitlinien führt zu einem "Compliance-Vakuum". Viele Unternehmen verharren in einer abwartenden Haltung, anstatt proaktiv mit der Umsetzung zu beginnen. Diese abwartende Haltung ist jedoch ein Kernproblem. Sie erhöht das Risiko, zu spät zu handeln und infolgedessen teure Nachrüstungen vornehmen oder sogar hohe Bussgelder zahlen zu müssen. Die Zeit drängt, und ein proaktives Handeln ist unerlässlich.

Spezifische Anforderungen für Schweizer Unternehmen: Das nDSG im Fokus

Während deutsche Unternehmen primär den EU AI Act im Blick haben müssen, stehen Schweizer Unternehmen, die KI-Tools nutzen, vor einer eigenen Reihe von Herausforderungen durch das revidierte Schweizer Datenschutzgesetz (nDSG). Dieses Gesetz ist seit dem 1. September 2023 in Kraft und wurde bewusst technologieneutral formuliert. Das bedeutet, dass es uneingeschränkt auch für KI-gestützte Datenbearbeitungen gilt.

Ein entscheidender Punkt, der oft übersehen wird, ist die sogenannte Verwechslungsfalle: DSGVO-Konformität bedeutet nicht automatisch nDSG-Konformität. Obwohl die EU-Staaten vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) als Länder mit angemessenem Datenschutz eingestuft werden, müssen Schweizer Unternehmen sicherstellen, dass KI-Tools, die Personendaten bearbeiten, auch den spezifischen Anforderungen des nDSG genügen. Dies gilt insbesondere, wenn Daten von Schweizer Bürgerinnen und Bürgern durch KI analysiert, zusammengefasst, weiterverarbeitet oder für Vorschläge genutzt werden. Die Anforderungen des nDSG umfassen dabei Transparenz, Verhältnismässigkeit, Datensicherheit und die Einhaltung von Informations- und Auskunftspflichten, insbesondere bei automatisierten Einzelentscheidungen. Es reicht nicht aus, sich ausschliesslich auf die DSGVO zu verlassen, auch wenn viele Prinzipien ähnlich sind. Eine eigenständige Prüfung und Anpassung an die Schweizer Gesetzgebung ist zwingend erforderlich.

Die neue Dimension der Automatisierung: KI-Agenten und Schatten-KI

Parallel zur regulatorischen Komplexität erleben wir einen rasanten Vormarsch von KI-Agenten, die das Potenzial haben, die Arbeitswelt grundlegend neu zu definieren. Unternehmen wie Good Data expandieren in den DACH-Raum, um "kontrollierte agentische Analytik" anzubieten. Dies richtet sich insbesondere an regulierte Branchen, die hohe Anforderungen an Governance und Datenschutz stellen. Diese KI-Agenten sind nicht mehr nur passive Analysewerkzeuge, sondern sollen Geschäftsprozesse automatisieren und unterstützen, indem sie Aufgaben direkt erledigen. Beispiele finden sich im Finanzwesen, Personalmanagement oder in der Unternehmenssteuerung. Sage stellt beispielsweise auf der "Sage Future" Konferenz KI-Agenten vor, die in Lösungen für Finanzwesen (Sage Intacct Finance Intelligence Agent), HR (Sage HR) und Operations (Sage X3, Sage Operations) integriert werden sollen. Ihr Ziel ist es, Finanzprozesse zu automatisieren, das Personalmanagement zu unterstützen und operative Abläufe zu optimieren.

Doch mit dieser Entwicklung wachsen auch die Cybersicherheitsrisiken erheblich. Eine aktuelle Studie warnt davor, dass deutsche Unternehmen die Risiken durch KI-Agenten massiv unterschätzen. Dies liegt insbesondere an einer mangelnden Governance bei der KI-Nutzung. Fast die Hälfte (48 Prozent) der befragten Führungskräfte gibt an, dass die KI-Nutzung in ihrem Zuständigkeitsbereich nicht offiziell genehmigt oder geregelt ist. Diese sogenannte "Schatten-KI" ist eine wachsende Gefahr. Sensible Unternehmensdaten werden ohne direkte Aufsicht verarbeitet. Das kann zu Datenlecks, Compliance-Verletzungen und erheblichen Sicherheitsproblemen führen. Unternehmen wie Keeper Security reagieren darauf mit "KI-nativen Identitätssicherheitsplattformen", die nicht nur menschliche, sondern auch nicht-menschliche Identitäten (NHIs) und agentische KI-Umgebungen schützen sollen. Es wird zunehmend wichtiger, auch die automatisierten Akteure im Netzwerk umfassend abzusichern und deren Zugriffe zu kontrollieren.

Herausforderungen für den DACH-Mittelstand und Haftungsfragen

Für den DACH-Mittelstand, der oft begrenzte Ressourcen und Expertise im Bereich KI-Technologien aufweist, sind die Implikationen dieser Entwicklungen besonders gravierend. Während KI grosse Potenziale für Effizienzsteigerungen, Kostenreduktionen und eine verbesserte Servicequalität bietet, sind die Hürden bei der Implementierung hoch. Im Sondermaschinenbau könnten beispielsweise Kalkulations-Assistenten oder Dokumentations-Generatoren enorme Vorteile bringen. In der Logistik könnte die Automatisierung von Frachtbriefen zu signifikanten Einsparungen führen. Doch die Realität zeigt: Rund 40 Prozent der potenziellen Produktivitätsgewinne durch KI gehen in der Nachbearbeitung verloren. Ein noch grösseres Problem ist die menschliche Komponente: Über 70 Prozent der KI-Projekte scheitern nicht an der Technologie selbst, sondern am mangelhaften Change Management und der fehlenden Akzeptanz der Mitarbeitenden.

Die Unsicherheit bezüglich der regulatorischen Compliance des EU AI Acts und des nDSG verstärkt diese Herausforderungen zusätzlich. Unternehmen müssen jetzt proaktiv eine KI-Governance etablieren, umfassende Risikobewertungen durchführen und interne Standards entwickeln. Das Warten auf finale harmonisierte Standards ist keine Strategie. Dazu kommt die Klärung von Haftungsfragen. Aktuelle Gerichtsurteile und Rechtsgutachten nehmen die Betreiber von KI-Lösungen für deren Aussagen und Wirken in die Pflicht. Dies schafft ein zusätzliches, nicht zu unterschätzendes Haftungsrisiko. Unternehmen können nicht mehr behaupten, eine KI-Fehlentscheidung sei ausserhalb ihrer Kontrolle gewesen. Sie tragen die Verantwortung für die eingesetzten Systeme und deren Ergebnisse.

Handlungsempfehlungen für DACH-Unternehmen

Angesichts der aktuellen Lage sind für Unternehmen im DACH-Raum folgende Schritte von entscheidender Bedeutung, um proaktiv zu handeln und Risiken zu minimieren:

1. Inventur und Klassifizierung von KI-Systemen: Beginnen Sie mit einer umfassenden Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme. Dies schliesst explizit jene ein, die in Standardsoftware integriert sind und oft unbemerkt operieren. Anschliessend müssen diese Systeme risikobasiert klassifiziert werden, um die jeweiligen Anforderungen des EU AI Acts und des nDSG zu identifizieren. Dokumentieren Sie Art, Umfang und Zweck der Datennutzung. 2. Proaktive Compliance-Strategie entwickeln: Warten Sie nicht auf die letzten Umsetzungsleitlinien. Entwickeln Sie stattdessen interne Compliance-Strukturen und -Prozesse. Dies beinhaltet die Entwicklung von Dokumentationsprozessen, die Sicherstellung der Datenqualität und die Etablierung eines robusten Risikomanagements. Für Schweizer Unternehmen ist die nDSG-Konformität explizit zu prüfen und bei Bedarf anzupassen, da die DSGVO alleine nicht ausreicht. 3. KI-Governance und Sicherheitskonzepte für Agenten: Angesichts der Zunahme von KI-Agenten müssen Unternehmen klare Governance-Regeln für deren Einsatz definieren. Ziel ist es, Schatten-KI zu vermeiden und die Sicherheit sensibler Daten zu gewährleisten. Implementieren Sie Identitätssicherheitslösungen, die sowohl menschliche als auch nicht-menschliche Identitäten abdecken und deren Zugriffe kontrollieren. Definieren Sie klare Verantwortlichkeiten für den Einsatz von KI-Agenten. 4. Umfassendes Change Management und Kompetenzaufbau: Die erfolgreiche Einführung von KI hängt massgeblich von der Akzeptanz und Kompetenz der Mitarbeitenden ab. Klare Kommunikation und transparente Informationen über den KI-Einsatz sind essenziell, um Ängste abzubauen und Widerstände in Begeisterung zu verwandeln. Bieten Sie umfassende Schulungen an und binden Sie die Belegschaft aktiv in den Veränderungsprozess ein. Nur so lässt sich sicherstellen, dass die Mitarbeitenden die neuen Tools effektiv nutzen und als Bereicherung empfinden.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuelle Situation verdeutlicht, dass viele Unternehmen im DACH-Raum eine abwartende und reaktive Haltung einnehmen, wenn es um die Regulierung von KI geht. Dies ist ein gefährlicher Fehler. Die Vorstellung, man könne die komplexen Anforderungen des EU AI Acts und des nDSG auf die lange Bank schieben, bis alle Details nationaler Leitlinien geklärt sind, ist naiv und potenziell sehr kostspielig. Kapitel H vertritt die klare Haltung, dass Unternehmen proaktiv ihre Hausaufgaben machen müssen. Wir sehen, dass der technologische Fortschritt schneller ist als die Gesetzgebung. Das bedeutet, dass Unternehmen selbst die Verantwortung übernehmen müssen, robuste interne Governance-Strukturen aufzubauen. Das Warten auf perfekte, abschliessende Leitlinien aus Brüssel oder Bern ist nicht nur ineffizient, sondern birgt erhebliche rechtliche und finanzielle Risiken.

Unsere Erfahrung zeigt, dass die grössten Hürden nicht in der Technologie selbst, sondern in der Organisation, der Governance und dem Change Management liegen. Wir treten dafür ein, dass Unternehmen sich nicht in eine neue Abhängigkeit von KI-Anbietern oder externen Beratern begeben. Stattdessen sollten sie ihre eigenen Kompetenzen aufbauen, um KI-Systeme sicher, ethisch und gesetzeskonform einzusetzen. Befähigung statt Abhängigkeit ist hier das Credo. Der Fokus muss auf der Schaffung klarer interner Prozesse, der Schulung der Mitarbeitenden und der Entwicklung einer realistischen, datenbasierten KI-Strategie liegen, die sich von übertriebenem Hype abgrenzt. Es geht darum, die Potenziale der KI konkret zu nutzen und gleichzeitig die Risiken zu beherrschen, nicht darum, jede neue KI-Anwendung blind zu adaptieren.

Fazit: Jetzt handeln für eine sichere KI-Zukunft

Die Integration von KI in Unternehmensprozesse ist unausweichlich und bietet immense Chancen für den DACH-Mittelstand. Doch die neuen regulatorischen Rahmenbedingungen durch den EU AI Act und das nDSG, kombiniert mit den Herausforderungen durch den rasanten Aufstieg von KI-Agenten und Schatten-KI, erfordern ein sofortiges und entschlossenes Handeln. Das Abwarten auf vollständige nationale Umsetzungsleitlinien ist keine tragfähige Strategie, sondern erhöht lediglich das Risiko für Bussgelder, Reputationsschäden und aufwendige Nachbesserungen.

Unternehmen, die jetzt eine umfassende Inventur ihrer KI-Systeme vornehmen, proaktive Compliance-Strategien entwickeln, eine stringente KI-Governance etablieren und in ein effektives Change Management investieren, werden nicht nur rechtlich auf der sicheren Seite sein. Sie werden auch die Potenziale der KI voll ausschöpfen können, ihre Wettbewerbsfähigkeit stärken und das Vertrauen ihrer Mitarbeitenden und Kunden festigen. Es ist Zeit, die Verantwortung zu übernehmen und die KI-Zukunft aktiv zu gestalten.