KI-Compliance: DACH-Unternehmen unter Zeitdruck durch EU AI Act und Schweizer DSG

Für Unternehmen im deutschsprachigen Raum (DACH) rückt ein entscheidendes Datum näher. Ab dem 2. August 2026 treten zentrale Transparenzpflichten des EU Artificial Intelligence Act (AI Act) in Kraft. Diese Frist, die nur noch wenige Tage entfernt ist, setzt zahlreiche Unternehmen unter erheblichen Handlungsdruck. Sie markiert eine der wichtigsten KI-bezogenen Entwicklungen für die Arbeitswelt im DACH-Raum in jüngster Zeit.

Es geht nicht nur um die Einführung neuer KI-Tools, sondern um die grundlegende rechtliche Rahmung und die verantwortungsvolle Nutzung von Künstlicher Intelligenz. Dies hat weitreichende Konsequenzen für die Unternehmensstrategie, die Governance und die operativen Prozesse. Wer jetzt nicht handelt, riskiert nicht nur hohe Bussgelder, sondern auch einen Verlust an Wettbewerbsfähigkeit und Vertrauen. Eine proaktive Auseinandersetzung ist daher keine Option, sondern eine Notwendigkeit.

Der EU AI Act: Pragmatische Anforderungen und weitreichende Wirkung

Der EU AI Act, der bereits am 1. August 2024 in Kraft getreten ist und stufenweise anwendbar wird, stellt das weltweit erste umfassende Gesetz zur Regulierung von KI dar. Sein Hauptziel ist es, Vertrauen in KI zu schaffen und gleichzeitig Innovationen zu fördern. Das Gesetz verfolgt einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt: inakzeptables Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko. Diese Klassifizierung ist entscheidend, da sie den Umfang der notwendigen Massnahmen bestimmt.

Die ab dem 2. August 2026 geltenden Transparenzpflichten betreffen insbesondere KI-Systeme mit "begrenztem Risiko" und "hohem Risiko". Sie erfordern eine klare Kennzeichnung, wenn Inhalte mithilfe von KI erstellt oder wesentlich verändert wurden. Dies betrifft beispielsweise Deepfakes, Chatbots, die mit Menschen interagieren, oder Systeme, die Emotionen erkennen. Unternehmen müssen in diesen Fällen transparent machen, dass eine KI am Werk ist. Dies bedeutet nicht nur eine technische Anpassung, sondern auch eine klare Kommunikation gegenüber Nutzern und Kunden. Es geht darum, die Herkunft von Informationen und die Interaktionspartner eindeutig zu identifizieren, um Manipulation vorzubeugen und die Autonomie der Nutzer zu wahren.

Für Anbieter von Hochrisiko-KI-Systemen sind die Pflichten noch weitreichender. Solche Systeme finden sich etwa in der Personalentscheidung (Recruiting, Leistungsbewertung), der Kreditvergabe, kritischen Infrastrukturen, dem Bildungswesen oder medizinischen Diagnosen. Hierzu gehören technische, sicherheitsrelevante und organisatorische Anforderungen, deren Nichteinhaltung hohe Bussgelder nach sich ziehen kann. Diese umfassen unter anderem die Sicherstellung der Datenqualität, menschliche Aufsicht, Systemstabilität, Cybersicherheit und die Einhaltung grundlegender Rechte. Die Dokumentationspflichten sind hier besonders umfangreich, um eine Nachvollziehbarkeit und Überprüfbarkeit der Systeme zu gewährleisten.

Die extraterritoriale Wirkung des AI Acts ist dabei ein entscheidender Faktor für den gesamten DACH-Raum. Er betrifft nicht nur in der EU ansässige Unternehmen, sondern auch Schweizer Unternehmen, die in der Europäischen Union aktiv sind und KI-Systeme entwickeln, anbieten oder nutzen, deren Output in der EU verwendet wird. Dies bedeutet, dass ein Schweizer Hersteller, der eine Maschine mit eingebetteter KI in Deutschland vertreibt, oder ein Schweizer Dienstleister, der seine KI-basierte Software für EU-Kunden bereitstellt, den Anforderungen des AI Acts unterliegt. Dies erfordert eine sorgfältige Analyse und Anpassung der KI-Systeme und der internen Prozesse, um den neuen Anforderungen gerecht zu werden und Rechtsunsicherheiten zu vermeiden.

Das Schweizer DSG: Technologieneutraler Rahmen für KI

Parallel zum EU AI Act müssen Schweizer Unternehmen das seit dem 1. September 2023 revidierte Schweizer Datenschutzgesetz (DSG) berücksichtigen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat ausdrücklich bestätigt, dass das technologieneutral formulierte DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Dies bedeutet, dass die Grundsätze des Datenschutzes, wie sie im DSG verankert sind, auch für die komplexen Prozesse und Datenströme von KI gelten, ohne dass es spezifischer KI-Regulierungen bedarf. Der Gesetzgeber hat bewusst einen flexiblen Rahmen geschaffen, der technologische Entwicklungen abdecken kann.

Das DSG verlangt von Unternehmen, die KI einsetzen, konkrete Massnahmen wie die Transparenzpflicht über Zweck, Funktionsweise und Datenquellen von KI-gestützten Datenbearbeitungen. Nutzer haben das Recht zu wissen, ob sie mit einer Maschine kommunizieren oder ob ihre Eingaben für das Modelltraining verwendet werden. Dies geht über eine einfache Kennzeichnung hinaus und erfordert, dass die Funktionsweise der KI, soweit möglich, nachvollziehbar gemacht wird. Es muss klar sein, welche Daten zu welchem Zweck verarbeitet werden und wie die KI zu ihren Ergebnissen kommt, um die informationelle Selbstbestimmung zu gewährleisten.

Darüber hinaus sind die Grundsätze "Privacy by Design" und "Privacy by Default" relevant. KI-Systeme müssen von Anfang an datenschutzkonform entwickelt und eingesetzt werden. Dies bedeutet beispielsweise, dass bereits bei der Konzeption einer KI-Anwendung Datensparsamkeit berücksichtigt wird, nur notwendige Daten erhoben und verarbeitet werden und die Privatsphäre der Nutzer standardmässig geschützt ist. Die Wahl datenschutzfreundlicher Voreinstellungen ist dabei ebenso entscheidend wie der bewusste Verzicht auf übermässige Datenerhebung, selbst wenn diese technisch möglich wäre. Eine robuste Datenarchitektur, die Anonymisierung und Pseudonymisierung wo immer möglich vorsieht, ist hierbei ein Kernbestandteil.

Bei Datenbearbeitungen mit hohem Risiko für die Persönlichkeits- oder Grundrechte ist zudem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Dies ist der Fall, wenn die KI-Nutzung potenziell schwerwiegende Auswirkungen auf die Betroffenen haben kann, beispielsweise durch die Erstellung detaillierter Persönlichkeitsprofile oder die Automatisierung wichtiger Entscheidungen. Eine DSFA erfordert eine systematische Analyse der Risiken und die Entwicklung von Massnahmen zu deren Minderung. Für automatisierte Einzelentscheidungen mit erheblichen Folgen bestehen besondere Informations- und Mitwirkungspflichten. Betroffene haben das Recht, über die Entscheidung informiert zu werden, die Möglichkeit zur Stellungnahme und gegebenenfalls das Recht auf menschliche Intervention oder Überprüfung. Die Kombination aus EU AI Act und Schweizer DSG schafft somit ein komplexes regulatorisches Umfeld, das eine sorgfältige Navigation erfordert, um datenschutzkonform zu bleiben und gleichzeitig das Potenzial der KI zu nutzen. Unternehmen, die sich erst nachträglich mit diesen Grundlagen auseinandersetzen, müssen mit aufwendigen Anpassungen und einem Verlust an wertvoller Zeit bei der Weiterentwicklung ihrer KI-Strategie rechnen.

Kompetenzlücken und Change Management als Hürden

Die Bewältigung dieser regulatorischen Herausforderungen wird zusätzlich durch interne Faktoren erschwert. Studien zeigen, dass der Erfolg von KI-Projekten oft nicht an der Technologie scheitert, sondern an der mangelnden Akzeptanz und Kompetenz der Mitarbeiter. Der "EY KI Readiness Check 2026" in Österreich ergab, dass zwar 69 Prozent der Unternehmen KI einsetzen, oft in Pilotprojekten, aber nur acht Prozent skalierte Lösungen mit messbaren Effizienzsteigerungen erzielen. Dies deutet auf eine erhebliche Diskrepanz zwischen experimenteller Nutzung und erfolgreicher, produktiver Implementierung hin.

Eine gravierende Kompetenzlücke wird sichtbar. Lediglich 22 Prozent der Unternehmen verfügen über internes KI-Know-how oder spezialisierte Mitarbeiter, und nur 25 Prozent trauen ihren Mitarbeitern zu, KI-Ergebnisse kritisch zu interpretieren. Diese Lücke ist alarmierend, insbesondere im Hinblick auf die Einhaltung der neuen Compliance-Vorschriften. Transparenzpflichten, die Bewertung von Risikokategorien und die Durchführung von Datenschutz-Folgenabschätzungen erfordern ein tiefes Verständnis der KI-Systeme und ihrer Auswirkungen. Ohne geschultes Personal, das die Funktionsweise, die Limitationen und die potenziellen Risiken von KI-Anwendungen versteht, können Unternehmen die rechtlichen Anforderungen kaum umfassend erfüllen. Die Implementierung von Regeln ist nur so stark wie das Verständnis und die Befähigung der Menschen, die sie umsetzen müssen.

Zudem ist ein effektives Change Management unerlässlich. Viele Mitarbeiter sind von Ängsten vor Jobverlust betroffen, die sogenannte "Fear of Becoming Obsolete" (FOBO), die laut Umfragen 35 Prozent der Beschäftigten betrifft. Diese Ängste müssen aktiv adressiert werden, um den Willen zur Weiterbildung und zur Akzeptanz neuer Technologien zu fördern. Change Management-Strategien müssen darauf abzielen, Mitarbeiter aktiv einzubinden, die Vorteile von KI-Tools aufzuzeigen und sie zu befähigen, KI als unterstützendes Werkzeug zu nutzen, anstatt es als Bedrohung zu sehen. Ohne diese Integration in die Unternehmenskultur ist eine rechtskonforme und erfolgreiche KI-Einführung kaum möglich. Die meisten KI-Piloten scheitern im DACH-Raum an einer fehlenden umfassenden Strategie, Datenstrategie, Governance-Strukturen und Infrastruktur, was die Bedeutung eines ganzheitlichen Ansatzes unterstreicht.

Kapitel H Perspektive: Befähigung statt blinder Adoption

Als Kapitel H verfolgen wir einen pragmatischen Ansatz. Wir sehen KI nicht als Allheilmittel oder als Quelle unkontrollierbaren Hypes, sondern als ein mächtiges Werkzeug, dessen Wert sich erst durch bewussten, strategischen und verantwortungsvollen Einsatz entfaltet. Die neuen Regulierungen, insbesondere der EU AI Act und das Schweizer DSG, sind in dieser Hinsicht keine Behinderung, sondern eine notwendige und willkommene Leitplanke. Sie zwingen Unternehmen, sich frühzeitig und strukturiert mit den Chancen und Risiken auseinanderzusetzen. Eine solche Auseinandersetzung ist die Basis für nachhaltige Innovation und nicht ein bürokratisches Hindernis.

Unsere Erfahrung zeigt, dass viele Unternehmen in der DACH-Region zwar experimentierfreudig sind, es ihnen aber an einer klaren Strategie zur Skalierung und Integration von KI in ihre Kernprozesse mangelt. Das führt dazu, dass Pilotprojekte selten über das Versuchsstadium hinauskommen oder bei der ersten komplexen Fragestellung scheitern. Eine "blinde Adoption" von KI-Technologien, ohne tiefes Verständnis ihrer Funktionsweise und ihrer Implikationen, führt unweigerlich zu Abhängigkeiten von externen Anbietern, mangelnder Kontrolle über die eigenen Daten und letztlich zu Compliance-Risiken. Dies steht im direkten Widerspruch zu unserem Credo der Befähigung.

Wir sind der Überzeugung, dass Unternehmen ihre internen Kompetenzen im Bereich KI massiv stärken müssen. Dies bedeutet, dass Mitarbeiter nicht nur lernen, KI-Tools zu bedienen, sondern auch, deren Ergebnisse kritisch zu hinterfragen, Bias zu erkennen und die zugrundeliegenden Daten und Modelle zu verstehen. Nur so können Transparenzpflichten erfüllt, Risikobewertungen valide durchgeführt und datenschutzkonforme Systeme entwickelt werden. Compliance wird dann nicht als Bürde empfunden, sondern als integraler Bestandteil einer robusten und vertrauenswürdigen KI-Strategie, die das Fundament für langfristigen Erfolg legt. Ein Unternehmen, das weiss, wie seine KI funktioniert und welche Daten sie nutzt, ist ein Unternehmen, das Kontrolle hat und Innovationspotenziale voll ausschöpfen kann, ohne dabei die ethischen und rechtlichen Grenzen zu überschreiten. Diese Haltung ist entscheidend, um im Wettbewerb zu bestehen und das Vertrauen von Kunden und Partnern zu gewinnen und zu halten.

Praktische Handlungsempfehlungen für Unternehmen

Um den Anforderungen gerecht zu werden, müssen DACH-Unternehmen jetzt handeln und eine klare Strategie entwickeln. Die folgenden Schritte sind unerlässlich:

1. Bestandsaufnahme und Risikobewertung: Identifizieren Sie alle im Einsatz befindlichen oder geplanten KI-Systeme. Kategorisieren Sie diese gemäss dem risikobasierten Ansatz des EU AI Act und analysieren Sie die genutzten Daten und Prozesse. Dies umfasst auch KI-Funktionalitäten in Standardsoftware. Erstellen Sie ein detailliertes Register, das die Art der KI, ihren Verwendungszweck, die Datenquellen und die potenziellen Risiken dokumentiert. Eine solche Inventur ist die Basis für alle weiteren Schritte.

2. Transparenzpflichten umsetzen: Ab dem 2. August 2026 muss sichergestellt sein, dass KI-generierte Inhalte oder Interaktionen klar als solche gekennzeichnet werden. Dies erfordert unternehmensweite Richtlinien für die Kommunikation und technische Umsetzungen in den Benutzeroberflächen oder bei der Ausgabe von KI-Systemen. Schulungen für Mitarbeiter sind hierbei entscheidend, um ein einheitliches Vorgehen zu gewährleisten und unbeabsichtigte Verstösse zu vermeiden.

3. Datenschutzkonformität gewährleisten: Die Anforderungen des Schweizer DSG, einschliesslich Transparenz, Privacy by Design/Default und gegebenenfalls einer Datenschutz-Folgenabschätzung (DSFA), müssen für alle KI-Anwendungen erfüllt sein. Integrieren Sie Datenschutz von Anfang an in den Entwicklungsprozess von KI-Systemen. Implementieren Sie Mechanismen zur Datenminimierung, Anonymisierung oder Pseudonymisierung und stellen Sie sicher, dass Betroffene ihre Rechte effektiv ausüben können.

4. Governance-Strukturen aufbauen: Klare Verantwortlichkeiten und Prozesse für den Einsatz und die Überwachung von KI sind unerlässlich. Dies beinhaltet die Definition von Rollen, die Festlegung von Richtlinien für den KI-Einsatz, die Einrichtung eines internen Kontrollsystems und Mechanismen zur Messung von Voreingenommenheit (Bias) in Modellen sowie zur Erkennung von Datensicherheitsbedrohungen. Eine funktionierende Governance sorgt für Nachvollziehbarkeit und Rechenschaftspflicht.

5. Mitarbeiter befähigen: Investitionen in Schulungen und Weiterbildung zur KI-Kompetenz ("AI Literacy") sind entscheidend. Entwickeln Sie Change Management-Strategien, um Mitarbeiter aktiv einzubinden und Ängste abzubauen. Fördern Sie ein Klima, in dem Mitarbeiter die Ergebnisse von KI-Systemen kritisch hinterfragen und sich aktiv an der Gestaltung und Verbesserung der KI-Nutzung im Unternehmen beteiligen können. Dies stärkt nicht nur die Compliance, sondern auch die Innovationsfähigkeit.

6. Rechtsberatung einholen: Angesichts der Komplexität der Gesetzgebung und der weitreichenden Konsequenzen bei Nichteinhaltung ist eine spezifische Rechtsberatung für die konkreten KI-Anwendungen im Unternehmen ratsam. Dies gilt insbesondere für Hochrisiko-Systeme oder bei grenzüberschreitenden Aktivitäten. Externe Expertise kann helfen, blinde Flecken zu identifizieren und rechtlich sichere Lösungen zu entwickeln.

Fazit: Verantwortung als Wettbewerbsvorteil

Die kommenden Wochen sind entscheidend. Unternehmen, die jetzt die notwendigen Grundlagen schaffen, positionieren sich nicht nur rechtskonform, sondern legen auch den Grundstein für eine verantwortungsvolle und nachhaltige Nutzung von KI. Die Einhaltung des EU AI Act und des Schweizer DSG ist keine lästige Pflicht, sondern eine strategische Investition in die Zukunft. Sie ermöglicht es, das volle Potenzial der KI verantwortungsbewusst zu erschliessen, die Produktivität zu steigern und die Wettbewerbsfähigkeit zu verbessern.

Eine proaktive und fundierte Auseinandersetzung mit diesen regulatorischen Anforderungen schafft Vertrauen bei Kunden, Partnern und Mitarbeitern. Sie minimiert rechtliche Risiken und ermöglicht eine innovationsgetriebene Entwicklung, die auf soliden ethischen und rechtlichen Fundamenten steht. Wer jetzt handelt, sichert sich nicht nur ab, sondern verschafft sich einen entscheidenden Vorteil im dynamischen KI-Markt. Verantwortungsvolle KI-Nutzung ist der Schlüssel zum langfristigen Erfolg im DACH-Raum und darüber hinaus.