KI-Regulierung und Change Management: So navigiert der Mittelstand im DACH-Raum

Die Künstliche Intelligenz (KI) verändert die Arbeitswelt in einem rasanten Tempo. Für deutschsprachige Unternehmen im DACH-Raum bedeutet dies, sich nicht nur mit den technologischen Möglichkeiten auseinanderzusetzen, sondern auch mit einer komplexen Landschaft aus regulatorischen Vorgaben und tiefgreifenden organisatorischen Herausforderungen. Während neue KI-Tools das Potenzial für erhebliche Produktivitätssteigerungen bieten, sind es die bevorstehenden Fristen des EU AI Acts und die bereits geltenden Bestimmungen des Schweizer Datenschutzgesetzes (DSG), gepaart mit den oft unterschätzten Hürden des Change Managements, die derzeit die dringendsten Auswirkungen auf die Arbeitswelt haben. Es geht darum, Chancen zu nutzen und gleichzeitig rechtliche sowie organisatorische Risiken systematisch zu steuern. Dieser Artikel beleuchtet die Kernpunkte, die Unternehmen jetzt adressieren müssen, um nicht nur konform zu bleiben, sondern auch nachhaltig von KI zu profitieren.

Der EU AI Act: Rechtssicherheit statt Risikospiel für Anwender

Der EU AI Act, die weltweit erste umfassende KI-Regulierung, trat im August 2024 in Kraft. Seine gestaffelten Compliance-Fristen rücken für DACH-Unternehmen bedrohlich näher. Insbesondere der 2. August 2026 markiert einen kritischen Stichtag, ab dem die meisten Anforderungen für Hochrisiko-KI-Systeme verbindlich werden. Das betrifft nicht nur die Entwickler und Anbieter von KI-Systemen, sondern explizit auch deren Anwender, im Gesetz als „Deployer“ bezeichnet, in der EU. Dies gilt selbst dann, wenn die KI-Systeme von Drittanbietern stammen. Schweizer Unternehmen, die in der EU tätig sind oder Daten europäischer Bürger verarbeiten, sind ebenfalls direkt oder indirekt betroffen.

Für mittelständische Unternehmen im DACH-Raum bedeutet dies, dass sie bis dahin ihre verwendeten KI-Systeme inventarisieren, nach den im Gesetz definierten Risikostufen klassifizieren und die erforderliche Dokumentation erstellen müssen. Darüber hinaus sind Mechanismen zur menschlichen Aufsicht und ein kontinuierliches Monitoring sicherzustellen. Der Fokus liegt hierbei auf sogenannten Hochrisiko-KI-Systemen, die in Bereichen eingesetzt werden, die erhebliche Auswirkungen auf die Gesundheit, Sicherheit oder Grundrechte von Personen haben können. Beispiele hierfür sind KI-Systeme für die Kreditwürdigkeitsprüfung im Finanzsektor, die Einstellungsverfahren oder Leistungsbeurteilungen in der Personalverwaltung oder auch Systeme zur biometrischen Identifikation. Für diese Systeme sind umfassende Risikomanagementsysteme, detaillierte technische Dokumentationen, strenge Aufzeichnungspflichten und die Sicherstellung menschlicher Überprüfbarkeit vorgeschrieben.

Die potenziellen Strafen bei Nichteinhaltung sind erheblich und können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist. Dies verdeutlicht den immensen Druck auf Unternehmen, die Compliance nicht als reine Formalität, sondern als geschäftskritische Aufgabe zu betrachten. Eine frühzeitige Auseinandersetzung mit den Anforderungen des EU AI Acts ist unerlässlich, um nicht nur hohe Bußgelder zu vermeiden, sondern auch das Vertrauen von Kunden und Partnern zu wahren. Kapitel H empfiehlt eine systematische Bestandsaufnahme aller im Einsatz befindlichen oder geplanten KI-Systeme, gefolgt von einer detaillierten Risikobewertung und der Entwicklung eines Aktionsplans zur Erfüllung der regulatorischen Anforderungen. Dazu gehört auch die Implementierung robuster Governance-Strukturen, die den gesamten Lebenszyklus eines KI-Systems abdecken.

Schweizer DSG: Datenschutz als Grundpfeiler für KI-Anwendungen

Für Schweizer Unternehmen ist die Situation ebenfalls klar geregelt, wenn auch unter einem anderen regulatorischen Dach: Das revidierte Schweizer Datenschutzgesetz (DSG) ist bereits seit dem 1. September 2023 in Kraft und auf KI-gestützte Datenbearbeitungen direkt anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat hierzu explizit Stellung bezogen und betont die Technologieneutralität des Gesetzes. Das bedeutet, dass die Grundsätze des Datenschutzes – wie Transparenz, Zweckbindung, Datenminimierung und die Rechte der betroffenen Personen – auch für KI-Anwendungen gelten, unabhängig von der zugrunde liegenden Technologie. Dies ist ein wichtiger Hinweis darauf, dass die bestehenden gesetzlichen Rahmenbedingungen bereits eine solide Basis für den verantwortungsvollen Einsatz von KI bilden.

Insbesondere die Transparenzpflichten sind von hoher Relevanz: Betroffene Personen müssen über den Einsatz von KI, den Zweck, die Funktionsweise und die Datenquellen informiert werden. Bei automatisierten Einzelentscheidungen haben sie zudem das Recht auf eine menschliche Überprüfung und die Möglichkeit, ihre Meinung zu äußern. Für Unternehmen, die Personendaten mit KI verarbeiten, können je nach Risiko auch Datenschutz-Folgenabschätzungen (DSFA) verpflichtend sein. Eine DSFA hilft dabei, potenzielle Risiken für die Persönlichkeit oder die Grundrechte betroffener Personen frühzeitig zu erkennen und entsprechende Schutzmaßnahmen zu ergreifen. Dies ist besonders wichtig bei Systemen, die tiefgreifende Analysen oder Vorhersagen über Individuen treffen.

Obwohl die Schweiz (noch) keine KI-spezifische Gesetzgebung wie den EU AI Act kennt, sind die Bestimmungen des DSG für den datenschutzkonformen Einsatz von KI von entscheidender Bedeutung und erfordern proaktives Handeln. Die enge Verknüpfung mit der EU-Datenschutz-Grundverordnung (DSGVO) macht eine Harmonisierung der Compliance-Strategien für Unternehmen im gesamten DACH-Raum sinnvoll. Unternehmen sollten prüfen, welche Daten sie mit KI verarbeiten, ob diese Daten Personendaten sind und ob die Verarbeitung den Grundsätzen des DSG entspricht. Dies umfasst die Überprüfung der Datenquellen, der Verarbeitungszwecke und der getroffenen Sicherheitsmaßnahmen. Eine sorgfältige Dokumentation aller KI-gestützten Datenbearbeitungen ist dabei unerlässlich und kann im Falle einer Überprüfung durch den EDÖB als Nachweis der Compliance dienen.

Change Management: Der Mensch als kritischer Erfolgsfaktor im KI-Wandel

Die beste KI-Technologie oder die umfassendste Compliance-Strategie nützt wenig, wenn die Mitarbeitenden die neuen Tools nicht akzeptieren oder nutzen. Studien belegen, dass über 70 Prozent aller KI-Projekte nicht an der Technologie scheitern, sondern an der fehlenden Akzeptanz der Belegschaft. Eine Bitkom-KI-Studie 2026 zeigt, dass zwar 41 % aller Unternehmen ab 20 Mitarbeitenden aktiv KI einsetzen und 77 % davon eine verbesserte Wettbewerbsposition berichten, doch gleichzeitig ist die tatsächliche aktive Nutzung von KI im Arbeitsalltag oft noch gering. Der Microsoft Work Trend Index 2026 weist darauf hin, dass nur 17,8 % der Menschen weltweit KI aktiv und regelmäßig bei der Arbeit nutzen. Dies zeigt eine deutliche Diskrepanz zwischen Potenzial und tatsächlicher Adoption.

Die Einführung von KI löst bei Mitarbeitenden oft Unsicherheit und Ängste aus: Angst vor Jobverlust, vor neuen Anforderungen, dem Verlust von Kontrolle oder der Notwendigkeit, sich völlig neue Kompetenzen anzueignen. Werden diese Bedenken nicht adressiert, äußert sich Widerstand in Form von Nichtnutzung, der Suche nach Workarounds oder dem Festhalten an alten Prozessen. Eine Studie der Adecco-Tochter Akkodis vom Juni 2026 zeigt, dass das Vertrauen von Technologieverantwortlichen in die Skalierung von KI von 82 % im Jahr 2024 auf 48 % gesunken ist. Dies deutet auf eine "Phase zunehmender Realitätsnähe" hin, in der die praktische Integration komplexer ist als gedacht. Die anfängliche Euphorie weicht der Erkenntnis, dass der Wandel mehr als nur technische Implementierung erfordert.

Erfolgreiches Change Management ist daher ein entscheidender Erfolgsfaktor für jede KI-Initiative. Es erfordert einen strukturierten Prozess, der Kommunikation, Schulung, frühzeitige Einbindung der Mitarbeitenden und eine klare Vision umfasst. Führungskräfte spielen eine zentrale Rolle, indem sie selbst KI-Tools aktiv nutzen, offen über Lernerfahrungen sprechen und Ressourcen für die Einarbeitung bereitstellen. Eine wichtige Kommunikationsstrategie ist dabei, KI als Unterstützung und Entlastung zu positionieren. Es geht um "Augmentierung statt Ersetzung", also darum, menschliche Fähigkeiten durch KI zu erweitern und repetitive Aufgaben zu automatisieren, um mehr Raum für kreative und strategische Arbeit zu schaffen. Konkrete, nachvollziehbare Vorteile für den Arbeitsalltag müssen klar kommuniziert und demonstriert werden. Dies kann die Reduzierung administrativer Aufgaben, die Verbesserung der Datenanalyse oder die Beschleunigung von Entscheidungsprozessen umfassen.

KI im Mittelstand: Chancen nutzen, Risiken steuern

Der Mittelstand im DACH-Raum hat das Potenzial von KI zunehmend erkannt. Zwischen 2022 und 2024 nutzten bereits 20 Prozent der kleinen und mittleren Unternehmen in Deutschland KI, gegenüber nur vier Prozent zwischen 2016 und 2018. Insbesondere wissensbasierte Dienstleistungen, Werbung, Marktforschung, Informationsdienstleistungen und Unternehmensberatung zeigen eine höhere KI-Nutzerquote. Dies ist ein positiver Trend und zeigt, dass die Wettbewerbsfähigkeit des Mittelstands durch gezielten Einsatz von KI gestärkt werden kann. Allerdings klafft eine Strategielücke: 43 % der deutschen Mittelständler haben keine konkreten KI-Pläne, während 91 % der Großunternehmen KI bereits als geschäftskritisch einstufen. Diese Diskrepanz birgt das Risiko, dass der Mittelstand den Anschluss an größere, strategisch agierende Wettbewerber verliert.

Diese Lücke wird besonders kritisch, wenn man die wachsende Bedrohung durch KI-basierte Cyberangriffe betrachtet. Eine Sonderauswertung des DXC Digital Future Monitor 2026 zeigt, dass 65 % der mittelständischen Unternehmen in Deutschland, Österreich und der Schweiz bereits solchen Angriffen ausgesetzt waren. Obwohl 59 % planen, mehr in Cybersicherheit zu investieren, zeigen sich alarmierende Lücken: 27 % der Unternehmen bieten keine regelmäßigen IT-Sicherheitsschulungen an, jedem vierten fehlt ein aktuelles Sicherheitslagebild, und 22 % haben noch keinen Notfallplan für Hackerangriffe erstellt. Diese Defizite machen den Mittelstand anfällig für die neuen, schnelleren und zielgenaueren Angriffe, die KI ermöglicht. KI-gestützte Angriffe können komplexe Abwehrmechanismen umgehen und sich viel schneller an neue Gegebenheiten anpassen, was die traditionellen Verteidigungslinien stark unter Druck setzt. Unternehmen müssen verstehen, dass der Einsatz von KI nicht nur Chancen, sondern auch neue Angriffsvektoren eröffnet, die proaktiv adressiert werden müssen.

Die Integration von KI erfordert daher eine ganzheitliche Strategie, die nicht nur die regulatorischen Aspekte und das Change Management berücksichtigt, sondern auch die Cybersicherheit von Anfang an mitdenkt. Für den Mittelstand bedeutet dies, Investitionen in KI-Strategien nicht auf die lange Bank zu schieben, sondern eine klare Roadmap zu definieren, die sowohl die Implementierung als auch die Absicherung neuer KI-Anwendungen umfasst. Eine solche Strategie befähigt Unternehmen, die Vorteile der KI sicher und im Einklang mit den gesetzlichen Vorgaben zu nutzen, anstatt Risiken unkontrolliert einzugehen.

Praktische Handlungsempfehlungen für Unternehmen

Um den Herausforderungen und Chancen der KI im DACH-Raum proaktiv zu begegnen, empfehlen wir folgende konkrete Schritte:

1. Inventarisierung und Risikobewertung von KI-Systemen: Erstellen Sie eine umfassende Liste aller in Ihrem Unternehmen eingesetzten oder geplanten KI-Systeme. Klassifizieren Sie diese nach dem Risikoprofil des EU AI Acts und bewerten Sie die datenschutzrechtlichen Auswirkungen gemäß DSG. Priorisieren Sie Hochrisiko-Systeme und entwickeln Sie spezifische Compliance-Pläne. 2. Aufbau einer KI-Governance: Etablieren Sie klare Verantwortlichkeiten und Prozesse für den Einsatz und die Überwachung von KI. Dies umfasst Richtlinien für die Datenbeschaffung, Modellentwicklung, Implementierung, Überwachung und regelmäßige Überprüfung von KI-Systemen. Dokumentieren Sie alle relevanten Schritte und Entscheidungen transparent. 3. Datenschutz durch Design und Voreinstellung: Integrieren Sie Datenschutzprinzipien bereits in die Konzeption und Entwicklung von KI-Anwendungen. Stellen Sie sicher, dass Daten minimiert, pseudonymisiert oder anonymisiert werden, wo immer möglich. Führen Sie Datenschutz-Folgenabschätzungen (DSFA) bei datenschutzrelevanten KI-Projekten durch und stellen Sie die Rechte der betroffenen Personen sicher, insbesondere das Recht auf menschliche Überprüfung bei automatisierten Entscheidungen. 4. Umfassendes Change Management etablieren: Entwickeln Sie eine Kommunikationsstrategie, die die Vorteile von KI für die Mitarbeitenden klar darlegt und Ängste adressiert. Bieten Sie zielgerichtete Schulungen und Weiterbildungen an, um die digitalen Kompetenzen Ihrer Belegschaft zu stärken. Fördern Sie eine Kultur des Lernens und des Experimentierens mit KI, in der Führungskräfte als Vorbilder agieren. 5. Cybersicherheit stärken: Aktualisieren und erweitern Sie Ihre Cybersicherheitsstrategie, um den spezifischen Risiken KI-basierter Angriffe gerecht zu werden. Dies beinhaltet regelmäßige Sicherheitsschulungen für Mitarbeitende, die Implementierung aktueller Sicherheitstechnologien und die Entwicklung eines robusten Notfallplans für den Fall eines Angriffs. 6. Expertenwissen einholen: Die Komplexität der Materie erfordert oft externes Fachwissen. Ziehen Sie bei Bedarf spezialisierte Beratungsfirmen wie Kapitel H hinzu, um Ihre KI-Strategie, Compliance-Prozesse und Change-Management-Maßnahmen fundiert aufzusetzen und zu begleiten.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H vertreten wir die Überzeugung, dass Künstliche Intelligenz ein mächtiges Werkzeug ist, dessen potenzieller Nutzen jedoch nur realisiert werden kann, wenn die Rahmenbedingungen stimmen. Wir sehen mit Sorge, dass viele Unternehmen, insbesondere im Mittelstand, die regulatorischen und organisatorischen Aspekte von KI immer noch unterschätzen. Der "Hype" um neue KI-Modelle lenkt oft von der pragmatischen Notwendigkeit ab, grundlegende Hausaufgaben zu erledigen.

Es ist nicht ausreichend, KI einfach einzuführen und auf das Beste zu hoffen. Die Zeiten, in denen man auf Sicht fahren konnte, sind vorbei. Die Fristen des EU AI Acts sind klar definiert und das Schweizer DSG ist bereits in Kraft. Wer jetzt nicht handelt, riskiert nicht nur erhebliche finanzielle Strafen, sondern auch einen Vertrauensverlust bei Kunden und Partnern. Zudem wird die Effektivität von KI-Investitionen massiv gemindert, wenn die Mitarbeitenden nicht richtig mitgenommen werden. Eine schlecht gemanagte KI-Einführung kann zu Demotivation, Produktivitätsverlusten und internem Widerstand führen.

Unsere Erfahrung zeigt, dass die Befähigung von Unternehmen, KI selbstverantwortlich und nachhaltig zu nutzen, der Schlüssel zum Erfolg ist. Dies erfordert eine klare Strategie, die regulatorische Anforderungen, technologische Möglichkeiten und den menschlichen Faktor gleichwertig berücksichtigt. Es geht darum, Transparenz und Vertrauen zu schaffen, sowohl gegenüber den Regulierungsbehörden als auch gegenüber der eigenen Belegschaft. Wer jetzt in eine solide KI-Governance, effektives Change Management und robuste Cybersicherheit investiert, schafft nicht nur eine compliance-konforme Basis, sondern legt auch den Grundstein für einen nachhaltigen Wettbewerbsvorteil im digitalen Zeitalter. Zögern ist in diesem Kontext keine Option, sondern ein kalkuliertes Risiko, das hohe Kosten verursachen kann.

Fazit: Jetzt handeln, um die Zukunft der Arbeit zu gestalten

Die nächsten Monate sind für DACH-Unternehmen entscheidend. Die regulatorischen Vorgaben des EU AI Acts und des Schweizer DSG erfordern eine proaktive und strategische Auseinandersetzung mit dem Einsatz von KI, insbesondere im Hinblick auf Datenschutz, Transparenz und Governance. Diese Anforderungen sind keine optionalen Empfehlungen, sondern verbindliche Vorgaben, deren Nichteinhaltung erhebliche Konsequenzen nach sich ziehen kann.

Gleichzeitig muss der "menschliche Faktor" durch effektives Change Management in den Mittelpunkt gerückt werden, um Ängste abzubauen, Kompetenzen aufzubauen und die Akzeptanz für neue KI-gestützte Arbeitsweisen zu fördern. Eine technologisch fortschrittliche Lösung ohne die Akzeptanz der Anwender ist eine Investition ohne Ertrag. Die Herausforderungen im Bereich Cybersicherheit unterstreichen zudem die Notwendigkeit, KI-Strategien immer auch unter dem Aspekt der Resilienz und des Datenschutzes zu betrachten. Die verstärkte Vernetzung und der Einsatz von intelligenten Systemen bieten neue Angriffsflächen, die entsprechend geschützt werden müssen.

Wer jetzt handelt und eine integrierte Strategie aus Compliance, Change Management und Cybersicherheit verfolgt, kann nicht nur Strafen vermeiden, sondern auch das volle Potenzial der KI für einen nachhaltigen Wettbewerbsvorteil im DACH-Raum nutzen. Es geht darum, eine zukunftssichere Position zu schaffen, die Innovation und verantwortungsvollen Einsatz von Technologie miteinander verbindet. Wer zögert, riskiert nicht nur den Anschluss an die Entwicklung, sondern auch erhebliche finanzielle und reputative Schäden, die langfristig schwer zu beheben sind. Die Zeit für eine umfassende KI-Strategie ist jetzt gekommen.