KI-Governance im DACH-Mittelstand: Navigieren durch Regularien und Schatten-KI

# KI-Governance im DACH-Mittelstand: Navigieren durch Regularien und Schatten-KI

Die digitale Transformation, angetrieben durch Künstliche Intelligenz, verändert die Arbeitswelt in Deutschland, Österreich und der Schweiz mit hoher Geschwindigkeit. Unternehmen erkennen das transformative Potenzial von KI für Effizienzsteigerung und Innovation. Gleichzeitig wachsen die Anforderungen an eine verantwortungsvolle Einführung und den sicheren Betrieb von KI-Systemen. Insbesondere die gestaffelte Inkraftsetzung des EU AI Act und die anhaltende Herausforderung durch unkontrollierte KI-Nutzung, die sogenannte "Schatten-KI", prägen die aktuelle Diskussion und erfordern ein strategisches Umdenken in Unternehmensführung und IT-Sicherheit.

Eine aktuelle Studie von it-daily.net vom 9. Oktober 2026 zeigt eine bemerkenswerte Diskrepanz auf. Obwohl 79 Prozent der Befragten eine klare Governance für wichtig oder sehr wichtig erachten, wenn KI im Unternehmen ausgerollt werden soll, sehen nur 18 Prozent fehlende Governance-Strukturen als relevantes Hindernis. Diese Einschätzung steht im Widerspruch zu der Tatsache, dass 42 Prozent Datenschutzverletzungen und 41 Prozent Sicherheits- bzw. Cybersicherheitsrisiken als zentrale Gefahren nennen. Diese Risiken sind jedoch oft direkte Folgen unzureichender Kontrolle und Transparenz. Es ist klar, dass eine nachhaltige KI-Strategie über die reine Implementierung von Technologie hinausgehen muss. Sie erfordert einen robusten Rahmen für Governance und Compliance.

Der EU AI Act im DACH-Fokus: Transparenzpflichten und Kompetenzaufbau

Der EU AI Act, das weltweit erste umfassende Regelwerk für Künstliche Intelligenz, ist seit dem 1. August 2024 in Kraft getreten. Die Anwendbarkeit relevanter Regelungsinhalte für Unternehmen erfolgt schrittweise. Ein wesentlicher Stichtag für zahlreiche DACH-Unternehmen war der 2. August 2026. Seit diesem Datum sind Unternehmen verpflichtet, KI-generierte Inhalte in bestimmten Fällen klar kenntlich zu machen. Diese Transparenzpflichten, verankert in Artikel 50 des EU AI Acts, betreffen insbesondere KI-generierte Texte, Bilder, Audio- und Videoinhalte, die ansonsten für echt oder von Menschen erstellt gehalten werden könnten. Dies hat direkte Auswirkungen auf Abteilungen wie Marketing, Kommunikation und Kundenservice, die verstärkt generative KI für die Inhaltserstellung nutzen. Ein "Digital Omnibus on AI" vom 7. Mai 2026 präzisierte zudem, dass die Watermarking-Pflicht (Art. 50(2)) ab dem 2. Dezember 2026 greift. Dies ist keine geringfügige Anpassung, sondern eine konkrete Anforderung, die eine technische Umsetzung zur automatischen Kennzeichnung von KI-Inhalten notwendig macht.

Experten wie Daniel Blaschke, Senior Consultant für digitale Transformation und angewandte KI, betonen, dass diese Pflichten auch den Mittelstand betreffen und sofortige Handlung erfordern. Es genügt nicht, abzuwarten oder die Verantwortung auf einzelne Mitarbeitende abzuwälzen. Neben der Kennzeichnungspflicht gilt bereits seit dem 2. Februar 2025 die KI-Kompetenzpflicht (Artikel 4). Diese besagt, dass Mitarbeitende, die mit KI arbeiten, geschult sein müssen, unabhängig von der Unternehmensgröße. Diese Verpflichtung unterstreicht die Notwendigkeit für Unternehmen, in die Aus- und Weiterbildung ihrer Belegschaft zu investieren. Dies dient nicht nur der Compliance, sondern auch der Befähigung, das volle Potenzial der KI verantwortungsvoll und effizient zu erschließen. Eine neue Broschüre des Kompetenzzentrums WIRKsam vom 7. Oktober 2026 betont ebenfalls, dass KI-Erfolg mit Kompetenzaufbau beginnt. Erfolgreiche KI-Projekte benötigen Verantwortliche, die technische Möglichkeiten mit betrieblichen Anforderungen verbinden und Veränderungsprozesse begleiten können. Unternehmen, die hier nicht proaktiv investieren, riskieren nicht nur rechtliche Konsequenzen, sondern auch den Verlust von Wettbewerbsfähigkeit und Innovationskraft.

Die vollständige Einführung des EU-KI-Gesetzes ist bis zum 2. August 2027 geplant. Hochrisiko-Pflichten für Anwendungen wie automatisierte Bewerbervorauswahl sollen ab Dezember 2027 greifen. Diese dynamische Natur der Regulierung erfordert von Unternehmen, kontinuierlich auf dem Laufenden zu bleiben und interne Prozesse entsprechend anzupassen. Es ist ein fortlaufender Prozess, keine einmalige Aufgabe.

Schweizer Sonderweg und internationale Relevanz

Während der EU AI Act in den Mitgliedstaaten der Europäischen Union direkt gilt, verfolgt die Schweiz einen eigenen Weg. Eine übergreifende Schweizer Gesetzgebung speziell für KI existiert bisher nicht. Stattdessen setzt der Bundesrat auf eine Kombination aus bestehendem Recht, gezielten gesetzlichen Anpassungen und nicht verbindlichen Maßnahmen wie Branchenlösungen oder Selbstverpflichtungen. Dies ist ein pragmatischer Ansatz, der die Innovationskraft bewahren und gleichzeitig Risiken adressieren soll.

Das Bundesamt für Justiz (BJ) erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung. Diese soll insbesondere notwendige gesetzliche Maßnahmen in Bereichen wie Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht festlegen. Ein wichtiger Hintergrund ist dabei die Konvention des Europarats über Künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit, welche die Schweiz im März 2025 unterzeichnet hat. Diese Konvention signalisiert eine grundlegende Übereinstimmung mit den ethischen Prinzipien, die auch dem EU AI Act zugrunde liegen.

Obwohl die Schweiz den EU AI Act nicht "tel quel" übernehmen will, können Teile davon für einzelne Schweizer Unternehmen relevant sein. Dies gilt insbesondere, wenn sie im europäischen Binnenmarkt agieren oder KI-Systeme anbieten, die unter die Definitionen des EU AI Act fallen. Exporteure von KI-Systemen oder Unternehmen, die in der EU Daten verarbeiten, müssen sich dennoch mit den Anforderungen des EU AI Acts auseinandersetzen, um den Zugang zum EU-Markt nicht zu gefährden. Die Schweizer Bankiervereinigung (SBVg) begrüßte im Februar 2025 den Entscheid des Bundesrates, bedacht vorzugehen und den bestehenden Rechtsrahmen nur wo nötig zu ergänzen, um die internationale Wettbewerbsfähigkeit der Schweiz zu erhalten und zu stärken. Der Finanzmarkt wird aufgrund seiner reichen Datenlage als vielversprechendes Feld für die Anwendung von KI gesehen. Hier werden voraussichtlich spezifische Branchenlösungen und interne Richtlinien eine Schlüsselrolle spielen, um sowohl Innovation als auch Sicherheit zu gewährleisten.

Schatten-KI und Digitale Souveränität: Die unbequeme Realität

Die umfragebasierte Studie von it-daily.net unterstreicht die wachsende Bedeutung des Zugriffs auf Unternehmensdaten für den KI-Einsatz. 75 Prozent der Befragten erachten dies als wichtig. Alarmierend ist jedoch, dass in 43 Prozent der Unternehmen KI bereits besonders sensible Informationen, darunter Kundendaten, verarbeitet. Dies erhöht den Bedarf an nachvollziehbaren Berechtigungen und Kontrollmechanismen erheblich. Die Zahlen zeigen auch, dass eine Kontrolle der offiziell eingesetzten Systeme oft nicht ausreicht. Wenn Mitarbeitende zusätzlich nicht freigegebene Anwendungen, die sogenannte "Schatten-KI", verwenden, entsteht ein Bereich, der von bestehenden Governance-Strukturen möglicherweise nicht erfasst wird. Diese unkontrollierte Nutzung birgt erhebliche Risiken in Bezug auf Datenschutzverletzungen, unzulässige Datenabflüsse und Cybersicherheitsbedrohungen. Daten, die in externen, nicht-konformen KI-Tools verarbeitet werden, entziehen sich der Kontrolle des Unternehmens und können dort zu unkalkulierbaren Risiken führen.

Der "Arctic Wolf 2026 AI & Cybersecurity Trends Report" vom 22. September 2026 zeigt, dass in der DACH-Region 38 Prozent der Unternehmen Risiken rund um KI als ihre größte Cybersecurity-Herausforderung nennen. Im Vergleich dazu steht Malware für 21 Prozent an erster Stelle. Dies verdeutlicht die Verschiebung der Prioritäten im Bereich der IT-Sicherheit. Die Studie betont die wachsende Bedeutung von kontrollierbarer KI, ausdrücklich zugelassenen Large Language Models (LLMs) und menschlicher Aufsicht. Das bloße Verbot von Schatten-KI ist ineffektiv. Unternehmen müssen vielmehr sichere, interne Alternativen anbieten und klare Richtlinien für den Umgang mit KI-Tools etablieren.

Eng damit verbunden ist die Forderung nach digitaler Souveränität. Eine IONOS/YouGov-Studie vom 14. April 2026 zeigt, dass zwei Drittel der deutschen KMU KI positiv gegenüberstehen, aber mehr als die Hälfte fürchtet, dass ihre Daten in den USA oder China landen. 53 Prozent der Befragten misstrauen den dominierenden außereuropäischen Anbietern von KI-Tools und 36 Prozent sehen einen Anbieter aus Deutschland oder Europa als Voraussetzung für den Einsatz einer KI-Lösung im Unternehmen. Dieser Wunsch nach mehr Kontrolle über Daten und Technologien ist nicht nur ein Gefühl, sondern eine berechtigte Sorge um Wettbewerbsfähigkeit, Datenschutz und die Einhaltung zukünftiger Regularien. Unternehmen, die Datenhoheit und Transparenz gewährleisten können, werden langfristig das Vertrauen ihrer Kunden und Partner gewinnen.

Von der Pilotphase zur verantwortungsvollen Skalierung: Chancen und Hürden

Trotz der regulatorischen und sicherheitstechnischen Herausforderungen ist der Einsatz von KI in DACH-Unternehmen auf dem Vormarsch. Eine Umfrage von IFS vom 10. September 2026 ergab, dass die größte Gruppe der befragten Industrieunternehmen (43 Prozent) sich in der Pilotphase befindet. Knapp 27 Prozent setzen KI bereits produktiv in einzelnen Bereichen ein. Der großflächige Einsatz ist jedoch noch die Ausnahme mit nur 4 Prozent. Dies zeigt, dass viele Unternehmen noch am Anfang stehen, die Skalierung jedoch als nächstes großes Ziel vor Augen haben.

Als größte Hürden für die Skalierung wurden Datenqualität und -zugriff (55 Prozent), Integration in bestehende IT-Systeme (38 Prozent) sowie fehlende klare Anwendungsfälle bzw. ein nicht eindeutig nachweisbarer Return on Investment (37 Prozent) genannt. Diese Herausforderungen sind nicht neu, werden durch die Komplexität von KI-Systemen jedoch noch verstärkt. Eine fundierte Datenstrategie und eine realistische Einschätzung des Mehrwerts sind somit entscheidend für den Erfolg.

Besonders großes Potenzial sehen die Befragten in der Lieferkette. Hier können KI-Systeme Optimierungen in der Routenplanung, Bestandsverwaltung und Nachfrageprognose ermöglichen, was zu erheblichen Kosteneinsparungen und Effizienzsteigerungen führen kann. Auch in funktionalen Bereichen wie HR und Controlling gewinnen KI-Tools an Bedeutung. Im HR-Bereich helfen KI-Tools bei der Automatisierung von Recruiting, Onboarding, Performance Management und der Beantwortung von Mitarbeiteranfragen. Dadurch gewinnen HR-Teams Freiräume für strategische Personalplanung. Studien zeigen, dass der Markt für KI-in-HR-Software bis 2034 auf 30,79 Mrd. USD wachsen soll. Das Jahr 2026 wird als Beginn der größten HR-Transformation seit Jahrzehnten angesehen, wobei KI-Superagenten HR-Funktionen mit bis zu 30 Prozent weniger Personal betreiben lassen könnten. Im Controlling kündigte beispielsweise Lucanet im Juni 2026 eine neue Familie spezialisierter Finance Agents an, darunter ein Analyst Agent für Abweichungs- und Treiberanalysen. Diese Beispiele zeigen den konkreten Nutzen, den KI in spezifischen Unternehmensbereichen stiften kann, wenn sie verantwortungsvoll eingesetzt wird.

Handlungsempfehlungen für DACH-Unternehmen

Um die genannten Herausforderungen zu meistern und die Chancen der KI verantwortungsvoll zu nutzen, empfehlen wir die folgenden konkreten Schritte:

1. KI-Governance etablieren: Entwickeln Sie klare Richtlinien und Verantwortlichkeiten für den Einsatz, die Entwicklung und den Betrieb von KI-Systemen. Definieren Sie Prozesse für Risikobewertung, Compliance und ethische Aspekte. Integrieren Sie diese in bestehende Unternehmensstrukturen. 2. Mitarbeitende schulen und befähigen: Erfüllen Sie die KI-Kompetenzpflicht durch gezielte Schulungen und Weiterbildungen. Befähigen Sie Ihre Mitarbeitenden, KI-Tools sicher und effektiv zu nutzen und die potenziellen Risiken zu erkennen. Eine Kultur des Lernens ist hier entscheidend. 3. Transparenzpflichten umsetzen: Implementieren Sie technische und prozessuale Lösungen zur Kennzeichnung KI-generierter Inhalte. Dies betrifft insbesondere Marketing, Kommunikation und Kundenservice. Stellen Sie sicher, dass Nutzer immer erkennen können, ob sie mit einer KI interagieren oder einen KI-generierten Inhalt konsumieren. 4. Schatten-KI aktiv managen: Erarbeiten Sie Strategien, um die unkontrollierte Nutzung von KI-Tools durch Mitarbeitende zu reduzieren. Dies kann durch die Bereitstellung sicherer, unternehmensinterner KI-Lösungen und durch klare Kommunikationsrichtlinien geschehen. Sensibilisieren Sie für die Risiken von Datenschutzverletzungen und Datensicherheitslücken. 5. Datensouveränität priorisieren: Bevorzugen Sie KI-Lösungen, die eine hohe Datensicherheit und -hoheit gewährleisten. Prüfen Sie den Hosting-Ort und die Datenverarbeitungsbedingungen sorgfältig. Wo möglich, setzen Sie auf europäische oder Schweizer Anbieter, um die Kontrolle über Ihre Daten zu behalten. 6. Regulatorische Entwicklungen verfolgen: Ernennen Sie Verantwortliche, die die Entwicklungen im Bereich KI-Regulierung kontinuierlich beobachten und interne Prozesse entsprechend anpassen. Dies sichert Compliance und minimiert rechtliche Risiken.

Kritische Einordnung aus Kapitel-H-Sicht

Die Forschung zeigt eine klare Diskrepanz zwischen der wahrgenommenen Wichtigkeit von KI-Governance und der tatsächlichen Umsetzung in DACH-Unternehmen. 79 Prozent erachten Governance als wichtig, aber nur 18 Prozent sehen fehlende Strukturen als relevantes Hindernis. Dies ist eine gefährliche Fehlinterpretation. Die genannten Risiken, wie Datenschutzverletzungen und Cybersicherheitsbedrohungen, sind direkte Folgen einer unzureichenden Governance. Wenn Unternehmen ihre internen Prozesse und die Nutzung von KI-Tools nicht kontrollieren, schaffen sie selbst Einfallstore für Risiken. Es ist eine naive Annahme, dass Innovation ohne Steuerung möglich ist, insbesondere bei einer Technologie wie KI, die tiefgreifende Auswirkungen auf Daten, Ethik und Geschäftsprozesse hat.

Der EU AI Act und ähnliche Regulierungen, auch wenn sie auf den ersten Blick als Bürde erscheinen, sind in Wirklichkeit ein Katalysator für verantwortungsvolle Innovation. Sie zwingen Unternehmen, sich proaktiv mit den Implikationen von KI auseinanderzusetzen und die notwendigen Strukturen zu schaffen. Wer jetzt wartet, riskiert nicht nur hohe Strafen, sondern vor allem einen Vertrauensverlust bei Kunden und Partnern. Eine fehlende Strategie für den Umgang mit "Schatten-KI" ist dabei besonders kritisch. Es ist ein offenes Geheimnis, dass Mitarbeitende Tools nutzen, die ihren Alltag erleichtern, auch wenn diese nicht offiziell genehmigt sind. Unternehmen müssen hier pragmatisch handeln: Verzicht auf KI ist keine Option. Stattdessen müssen sie sichere, kontrollierte Umgebungen anbieten und klare Richtlinien etablieren, die sowohl die Produktivität fördern als auch die Risiken minimieren. Digitale Souveränität ist dabei kein Luxus, sondern eine strategische Notwendigkeit. Es geht um die Kontrolle über die eigenen Daten und damit um die Grundlage zukünftiger Wettbewerbsfähigkeit.

Fazit: Proaktive KI-Strategie sichert nachhaltigen Erfolg

Die Integration von KI in die Arbeitswelt der DACH-Unternehmen erfordert weit mehr als technologische Investitionen. Sie verlangt eine proaktive Auseinandersetzung mit regulatorischen Rahmenbedingungen, dem Aufbau von Governance-Strukturen, der Sicherstellung von Datenschutz und Cybersicherheit sowie der gezielten Kompetenzentwicklung der Mitarbeitenden. Der Fokus verschiebt sich von der reinen Implementierung hin zu einem umfassenden, verantwortungsvollen und nachhaltigen KI-Management. Unternehmen, die jetzt handeln und eine klare KI-Strategie entwickeln, die sowohl Innovation als auch Compliance berücksichtigt, werden langfristig erfolgreicher sein. Wer die Herausforderungen durch den EU AI Act und die "Schatten-KI" aktiv angeht, schafft Vertrauen, minimiert Risiken und positioniert sich als zukunftsfähiger Akteur im globalen Wettbewerb. Eine solche vorausschauende Strategie ist der Schlüssel, um die Potenziale der KI voll auszuschöpfen und gleichzeitig die Integrität des Unternehmens zu wahren.