KI-Compliance: EU AI Act und revDSG verschärfen Pflichten für DACH-Unternehmen

Die digitale Transformation schreitet unaufhaltsam voran. Künstliche Intelligenz (KI) ist längst kein Zukunftsszenario mehr, sondern fester Bestandteil vieler Unternehmensprozesse. Doch mit dem steigenden Einsatz von KI-Systemen wachsen auch die regulatorischen Anforderungen. Insbesondere der EU AI Act und das revidierte Schweizer Datenschutzgesetz (revDSG) verschärfen die Compliance-Pflichten für Unternehmen im DACH-Raum erheblich. Der Stichtag des 2. August 2026, an dem wichtige Transparenzpflichten des EU AI Act in Kraft getreten sind, hat die Dringlichkeit dieses Themas nochmals deutlich erhöht. Viele Unternehmen unterschätzen die Tragweite dieser Entwicklungen. Es geht nicht nur um grosse Technologiekonzerne, sondern um jeden Betrieb, der KI-Anwendungen in seine Abläufe integriert. Kapitel H, als erfahrener Partner für KI-Strategien, beleuchtet die aktuellen Neuerungen und zeigt auf, welche Schritte Unternehmen jetzt unternehmen müssen, um rechtssicher und zukunftsfähig zu bleiben.

Der EU AI Act: Verschärfte Pflichten für DACH-Unternehmen

Der EU Artificial Intelligence Act, kurz EU AI Act, ist ein umfassendes Regelwerk, das am 1. August 2024 in Kraft trat und schrittweise Anwendung findet. Am 2. August 2026 erreichte er einen weiteren entscheidenden Meilenstein: Seit diesem Datum gelten die ersten Transparenzpflichten gemäss Artikel 50(1) der Verordnung sowie die vollen Durchsetzungsbefugnisse der nationalen Marktüberwachungsbehörden. Dies ist ein klares Signal an alle Unternehmen im Geltungsbereich der EU, die sich mit KI auseinandersetzen.

Ein verbreitetes Missverständnis ist, dass der EU AI Act hauptsächlich Entwickler oder Anbieter von KI-Systemen betrifft. Doch die Realität sieht anders aus. Sobald ein Unternehmen eine KI-Anwendung in seine Arbeitsabläufe integriert, sei es im Recruiting, bei der Leistungsbewertung von Mitarbeitenden oder durch die Nutzung generativer KI-Tools wie ChatGPT durch die Belegschaft, agiert es als Betreiber im Sinne des Gesetzes. Dies zieht konkrete Pflichten nach sich, die von der reinen Nutzung bis zur tiefgehenden Integration reichen.

Der AI Act verfolgt einen risikobasierten Ansatz. Das bedeutet, dass die Anforderungen an KI-Systeme gestaffelt sind, je nach ihrem potenziellen Risiko für Grundrechte und Sicherheit. Bereits seit Februar 2025 sind bestimmte KI-Systeme verboten, die als inakzeptables Risiko eingestuft werden. Dazu gehören beispielsweise Social Scoring oder die Emotionserkennung am Arbeitsplatz. Unternehmen sind zudem seit diesem Zeitpunkt verpflichtet, ihre Mitarbeitenden nachweislich im sicheren und datenschutzkonformen Umgang mit KI zu schulen. Diese frühzeitige Pflicht zur Mitarbeiterschulung unterstreicht die präventive Ausrichtung des Gesetzes.

Die nun in Kraft getretenen Transparenzpflichten sind ein Vorbote für die weitreichenderen Anforderungen, die folgen werden. Für sogenannte Hochrisiko-Systeme, die in sensiblen Bereichen wie dem Personalwesen (Bewerber-Screening, Eignungsanalysen), im Finanzsektor (Bonitätsprüfungen, Betrugserkennung) oder im Lieferkettenmanagement (Lieferantenscoring) eingesetzt werden, treten die umfassenden Vorgaben nach einer Anpassung des Zeitplans im Digital Omnibus on AI ab Dezember 2027 vollständig in Kraft. Wenn Hochrisiko-KI als Sicherheitskomponente in regulierte Produkte eingebettet ist, etwa in der Medizintechnik oder im Maschinenbau, gelten die Anforderungen ab dem 2. August 2028. Diese gestaffelte Einführung gibt Unternehmen die Möglichkeit, sich schrittweise anzupassen, erfordert aber eine frühzeitige und strategische Planung.

Die möglichen Bußgelder bei Verstößen sind erheblich und verdeutlichen die Ernsthaftigkeit des Gesetzes. Bei schweren Verstößen können Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden. Bei leichteren Vergehen sind immer noch Bußgelder von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes möglich. Diese Zahlen unterstreichen die Notwendigkeit für Unternehmen, eine belastbare KI-Governance aufzubauen. Eine solche Governance muss in der Lage sein, Risiken über den gesamten Lebenszyklus von KI-Systemen hinweg zu identifizieren, zu bewerten und zu beherrschen. Dazu gehören konkrete Massnahmen wie die Einrichtung eines zentralen KI-Risikoregisters, eine systematische Anbieterprüfung (Vendor Due Diligence) bei externen KI-Lösungen und die Implementierung klarer interner Governance-Richtlinien.

Die Schweizer Perspektive: revDSG und das Zusammenspiel mit dem EU AI Act

In der Schweiz ist die regulatorische Landschaft durch das revidierte Datenschutzgesetz (revDSG) zusätzlich komplex. Das revDSG ist seit dem 1. September 2023 in Kraft und wurde bewusst technologieneutral formuliert. Das bedeutet, es gilt direkt für jede KI-gestützte Bearbeitung von Personendaten, ohne spezifische Regelungen für KI selbst zu schaffen. Es schützt Personendaten natürlicher Personen und regelt, wie diese Daten, unabhängig davon, ob sie von einem Menschen, einer Software oder einem KI-System bearbeitet werden, gehandhabt werden dürfen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat diese Auslegung in einem aktualisierten Leitfaden vom 8. Mai 2025 ausdrücklich bestätigt.

Ein entscheidender Unterschied zu den Regelwerken der EU, wie der DSGVO und damit dem EU AI Act, liegt in den vorgesehenen Sanktionen des revDSG. Während in der EU primär Unternehmen mit Bußgeldern belegt werden, sieht das revDSG persönliche Bussen für die verantwortliche natürliche Person von bis zu CHF 250'000 vor. Dies kann die Geschäftsführung, Projektleiter oder verantwortliche Fachpersonen betreffen und erhöht den persönlichen Druck auf Entscheidungsträger in Schweizer Unternehmen erheblich. Es ist eine klare Botschaft, dass Datenschutzverantwortung nicht delegierbar ist, sondern in der direkten Verantwortung einzelner Personen liegt.

Obwohl die Schweiz kein eigenes umfassendes KI-Gesetz nach dem Vorbild des EU AI Act plant, bedeutet dies nicht, dass Schweizer Unternehmen vom EU-Recht unberührt bleiben. Der EU AI Act entfaltet eine sogenannte extraterritoriale Wirkung. Das bedeutet, dass Schweizer Unternehmen, die KI-Ergebnisse oder KI-basierte Dienstleistungen in den EU-Markt liefern oder eng mit EU-Kunden zusammenarbeiten, ebenfalls den Vorgaben des EU AI Act unterliegen können. Diese Situation schafft eine doppelte Compliance-Last. Schweizer Unternehmen müssen gleichzeitig die Anforderungen des revDSG und die relevanten Aspekte des EU AI Act erfüllen. Dies erfordert ein tiefgreifendes Verständnis beider Regelwerke und eine integrierte Compliance-Strategie, um potenzielle Konflikte zu vermeiden und Effizienz zu gewährleisten.

Praktische Herausforderungen und erforderliche Schritte für Unternehmen

Die Integration von KI in Unternehmensprozesse bringt nicht nur Effizienzgewinne, sondern auch erhebliche praktische Herausforderungen im Bereich der Compliance mit sich. Die IHK München betont, dass Unternehmen auch beim Einsatz von KI-Anwendungen wie ChatGPT sicherstellen müssen, dass ihre Datenverarbeitung compliant ist. Dies umfasst nicht nur die Einhaltung der Datenschutzgesetze wie DSGVO und revDSG sowie des EU AI Act nach Ablauf der Übergangsfristen. Es muss auch sichergestellt werden, dass KI-Systeme im Einklang mit anderen Gesetzen wie dem Urheberrecht und dem Allgemeinen Gleichbehandlungsgesetz (AGG) stehen. Darüber hinaus ist die Erfüllung ethischer Kriterien, insbesondere die Vermeidung von Verzerrungen (Bias) in Trainingsdaten oder Algorithmen, von entscheidender Bedeutung, um Diskriminierung oder Fehlentscheidungen zu verhindern.

Eine zentrale und oft unterschätzte Herausforderung ist die sogenannte "Shadow AI". Dies bezeichnet die Nutzung von nicht autorisierten oder nicht kontrollierten KI-Tools durch Mitarbeitende für ihre beruflichen Aufgaben. Laut einem IBM-Report aus dem Jahr 2025 stehen rund 20 Prozent aller Datenschutzverstöße im Zusammenhang mit solchen Schatten-KI-Anwendungen. Die Logicalis CIO Report 2026 zeigt, dass nur noch 37 Prozent der CIOs einen vollständigen Überblick über die KI-Tools in ihren Organisationen haben. Im DACH-Raum gaben 72 Prozent der IT-Verantwortlichen an, dass der Mangel an Fachkräften das größte Hindernis für eine wirksame Kontrolle und Steuerung darstellt. Dies verdeutlicht, dass das Problem nicht nur technischer Natur ist, sondern stark von organisatorischen und personellen Faktoren beeinflusst wird.

Für Unternehmen bedeutet dies konkret, eine Reihe von proaktiven Schritten zu unternehmen, um die Kontrolle über ihre KI-Nutzung zu erlangen und die Compliance sicherzustellen:

1. KI-Inventar erstellen: Beginnen Sie mit einer vollständigen und detaillierten Liste aller im Unternehmen eingesetzten KI-Systeme. Dies umfasst sowohl extern bezogene Lösungen als auch intern entwickelte Anwendungen. Dokumentieren Sie deren Funktionen, die Arten der verarbeiteten Daten, die Schnittstellen und die jeweiligen internen und externen Verantwortlichkeiten. Ohne dieses Inventar ist eine systematische Risikobewertung unmöglich. 2. Risikoklassifizierung durchführen: Bewerten Sie jedes identifizierte KI-System nach den Risikoklassen des EU AI Act. Unterscheiden Sie dabei, ob es sich um ein verbotenes, hochriskantes oder ein System mit geringem Risiko handelt. Diese Klassifizierung bestimmt den Umfang der erforderlichen Compliance-Massnahmen und Prioritäten. 3. Mitarbeitende umfassend schulen: Führen Sie regelmässige und nachweisbare Schulungen für alle Mitarbeitenden durch, die mit KI-Tools in Berührung kommen. Inhalte sollten der datenschutzkonforme und sichere Umgang mit KI, die internen Richtlinien sowie die Sensibilisierung für Risiken wie Datenlecks oder Voreingenommenheit sein. Die Dokumentation der Schulungen ist für Audits unerlässlich und eine gesetzliche Pflicht. 4. Interne Governance-Richtlinien etablieren: Entwickeln und implementieren Sie klare, verbindliche Regeln für den Einsatz von KI-Tools. Diese Richtlinien müssen festlegen, welche KI-Anwendungen erlaubt sind, welche Arten von Eingaben gespeichert und zum Training verwendet werden dürfen und wie mit sensiblen Daten umzugehen ist. Definieren Sie Zuständigkeiten und Eskalationspfade. 5. Datenschutz-Folgenabschätzung (DSFA) durchführen: Beim systematischen Einsatz von KI-Tools, die personenbezogene Daten verarbeiten, ist eine DSFA gemäss Art. 35 DSGVO und analog im revDSG fast immer zwingend erforderlich. Dies gilt insbesondere bei der Verarbeitung von Kunden- oder Beschäftigtendaten oder sensiblen Daten. Die DSFA hilft, Datenschutzrisiken frühzeitig zu erkennen und zu minimieren. 6. Anbieterprüfung (Vendor Due Diligence) verstärken: Prüfen Sie Ihre KI-Anbieter systematisch und umfassend. Dies betrifft Aspekte wie die Qualität der Trainingsdaten, die Durchführung von Bias-Tests, die Transparenz der Entscheidungslogik, die Einhaltung von Datenschutzstandards und die implementierten Sicherheitsmassnahmen. Vertragliche Regelungen zur Datenverarbeitung und Haftung sind dabei essenziell. 7. Transparenz schaffen und Betroffenenrechte gewährleisten: Informieren Sie betroffene Personen klar und verständlich darüber, wann und wie ihre Daten durch KI-Systeme verarbeitet werden. Insbesondere bei automatisierten Entscheidungen, die Rechtswirkungen entfalten, müssen Betroffene ihr Recht auf Information und auf eine menschliche Überprüfung der Entscheidung wahrnehmen können. Dies fördert Vertrauen und Akzeptanz.

Kritische Einordnung aus Kapitel-H-Sicht

Die zunehmende Regulierung der Künstlichen Intelligenz ist aus Sicht von Kapitel H eine notwendige Entwicklung, um Vertrauen in neue Technologien zu schaffen und Risiken zu minimieren. Doch wir betonen, dass der Fokus nicht allein auf der reinen Pflichterfüllung liegen darf. Ein Blick auf die aktuellen Meldungen zeigt, dass die Diskussion um KI weit über die Regulierung hinausgeht und fundamentale Fragen zur Zukunft der Arbeit berührt. Während Studien, wie eine aktuelle Veröffentlichung der OECD vom April 2026, von massiven Produktivitätsgewinnen durch KI sprechen, befürchten viele Beschäftigte den Verlust ihrer Jobs. Digitalminister Karsten Wildberger kommentierte kürzlich, dass die Zeit, in der die Industrie eine reine Jobmaschine war, zu Ende gehe. Diese Transformation wird tiefgreifend sein, und Unternehmen im DACH-Raum müssen nicht nur die regulatorischen Hürden meistern, sondern auch aktiv den Change-Prozess gestalten.

Kapitel H tritt dem Hype um KI mit einem pragmatischen, datenbasierten Ansatz entgegen. Unsere Erfahrung zeigt: Der größte Mehrwert entsteht dort, wo KI reale Geschäftsprobleme löst und Mitarbeitende befähigt, statt sie durch komplexe, intransparente Systeme zu überfordern. Die Herausforderung des Fachkräftemangels, die 72 Prozent der IT-Verantwortlichen im DACH-Raum als grösstes Hindernis für eine effektive KI-Kontrolle nennen, ist symptomatisch. Es mangelt nicht nur an technischem Know-how, sondern auch an einer strategischen Verankerung von KI-Kompetenzen und Governance-Strukturen.

Wir beobachten oft, dass Unternehmen den Ansatz wählen, den Einsatz generativer KI komplett zu verbieten, anstatt kontrollierte und sichere Nutzungsbedingungen zu schaffen. Dies ist kurzsichtig und verkennt das Potenzial der Technologie. Eine verbietende Haltung führt unweigerlich zur "Shadow AI" und damit zu noch grösseren Risiken. Stattdessen ist es unsere Überzeugung, dass Unternehmen eine Kultur der Befähigung schaffen müssen. Das bedeutet, Mitarbeitende nicht nur zu schulen, sondern ihnen auch die Werkzeuge und das Vertrauen zu geben, KI verantwortungsbewusst und produktiv einzusetzen. Eine effektive KI-Governance ist dabei kein bürokratisches Hindernis, sondern eine strategische Notwendigkeit, um Innovationskraft zu sichern und gleichzeitig Risiken zu minimieren. Es geht darum, Transparenz zu schaffen, Verantwortlichkeiten klar zu definieren und Prozesse zu etablieren, die es ermöglichen, KI-Systeme nicht nur zu nutzen, sondern auch zu verstehen und zu kontrollieren. Nur so lässt sich die "schöne neue Welt" der KI zum Vorteil aller gestalten.

Fazit: Jetzt handeln für eine sichere KI-Zukunft

Die regulatorischen Entwicklungen rund um den EU AI Act und das revidierte Schweizer Datenschutzgesetz stellen für Unternehmen im DACH-Raum keine Option, sondern eine zwingende Realität dar. Der Stichtag des 2. August 2026 für erste Transparenzpflichten im EU AI Act ist ein klares Signal. Ignorieren Sie diese Anforderungen, riskieren Sie nicht nur empfindliche Bußgelder, die bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen können, sondern auch einen irreparablen Vertrauensverlust bei Kunden und Mitarbeitenden sowie erhebliche Reputationsschäden. Es ist entscheidend, dass Unternehmen jetzt proaktiv handeln.

Eine belastbare KI-Governance, die ein umfassendes KI-Inventar, eine systematische Risikoklassifizierung, fundierte Mitarbeiterschulungen und transparente Richtlinien umfasst, ist keine Kür, sondern eine Pflicht. Sie ist der Grundstein für eine verantwortungsvolle und gleichzeitig innovative Nutzung von Künstlicher Intelligenz. Unternehmen, die diese Herausforderung strategisch und vorausschauend angehen, positionieren sich nicht nur rechtssicher, sondern auch als vertrauenswürdiger Partner in einer zunehmend KI-gesteuerten Arbeitswelt. Die aktive Gestaltung der KI-Einführung unter Berücksichtigung von Compliance, Datenschutz und Change Management ist somit entscheidend für den nachhaltigen Erfolg und die Zukunftsfähigkeit im DACH-Raum. Kapitel H unterstützt Sie dabei, diese komplexen Anforderungen in pragmatische und wirksame Strategien umzusetzen.