KI-Regulierung in DACH: EU AI Act und nDSG erfordern umgehende Anpassung

Die Arbeitswelt im DACH-Raum erfährt durch die sich verdichtende KI-Regulierung eine tiefgreifende Transformation. Was lange als zukünftiges Szenario galt, ist mit dem Inkrafttreten wesentlicher Teile des EU AI Act und dem bereits etablierten Schweizer Datenschutzgesetz (nDSG) zu einer akuten Realität geworden. Unternehmen in Deutschland, Österreich und der Schweiz mit EU-Bezug müssen ihre KI-Strategien und -Implementierungen unverzüglich überprüfen und anpassen. Die Frist zur Umsetzung der Transparenzpflichten des EU AI Act lief am 2. August 2026 ab. Wer die neuen Vorgaben ignoriert, riskiert nicht nur erhebliche Bussgelder, sondern auch den Verlust des Vertrauens von Kunden und Mitarbeitenden.

Diese Entwicklung betrifft nicht nur grosse Konzerne, sondern vor allem auch den agilen Mittelstand, der KI-Lösungen zur Steigerung der Wettbewerbsfähigkeit einsetzt. Es geht darum, Chancen der Künstlichen Intelligenz verantwortungsvoll zu nutzen und gleichzeitig rechtliche und ethische Risiken zu beherrschen. Kapitel H beleuchtet die konkreten Auswirkungen und zeigt auf, welche Schritte Unternehmen jetzt einleiten sollten.

Der EU AI Act: Transparenz- und Schulungspflichten mit sofortiger Wirkung

Der EU AI Act stellt einen Meilenstein in der globalen KI-Regulierung dar. Er schafft einen einheitlichen Rechtsrahmen für Künstliche Intelligenz innerhalb der Europäischen Union und ist in mehreren Phasen in Kraft getreten. Während einige Hochrisiko-Anforderungen, teilweise aufgrund eines sogenannten "Digital Omnibus" im Frühjahr 2026, auf Dezember 2027 verschoben wurden, sind andere Teile bereits jetzt bindend. Besonders relevant für Unternehmen im DACH-Raum sind die Transparenzpflichten gemäss Artikel 50, die bereits seit dem 2. August 2026 gelten.

Diese Pflichten schreiben vor, dass Unternehmen, die KI-Systeme einsetzen, die unmittelbar mit natürlichen Personen interagieren, diese Personen grundsätzlich darüber informieren müssen, dass sie mit einem KI-System sprechen. Das betrifft eine erstaunlich breite Palette von Anwendungen, die im Alltag vieler Unternehmen angekommen sind: von Chatbots in der Kundenkommunikation über KI-gestützte Marketing-Tools bis hin zu Systemen zur automatisierten Erstellung von Texten und Videos. Ein Kunde, der mit einem virtuellen Assistenten spricht, muss darüber aufgeklärt werden, dass seine Anfragen nicht von einem Menschen bearbeitet werden. Ähnliches gilt, wenn Texte oder Bilder von KI generiert und Dritten präsentiert werden.

Die Tragweite dieser Transparenzpflichten ist enorm. Sie betrifft nicht nur die Entwickler und Anbieter von KI-Systemen, sondern explizit auch die sogenannten "Betreiber" (Deployer), also alle Unternehmen, die solche Systeme lediglich nutzen. Das heisst, auch kleine und mittelständische Betriebe sind in vollem Umfang betroffen. Beispiele hierfür sind der Einsatz von KI in Personalentscheidungen, etwa bei der Vorauswahl von Bewerbern, die automatisierte Auswertung von Kundenbewertungen oder die Nutzung von KI in internen Unternehmensprozessen zur Effizienzsteigerung. Die Unterscheidung nach Unternehmensgrösse spielt hierbei keine Rolle. Verstösse gegen diese neuen Vorgaben können drastische Bussgelder nach sich ziehen, die im schlimmsten Fall bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes erreichen können. Dies unterstreicht die Notwendigkeit einer umgehenden Prüfung und Anpassung.

Ein weiterer oft übersehener, aber bereits gültiger Aspekt des EU AI Act ist die KI-Schulungspflicht gemäss Artikel 4. Diese gilt bereits seit Februar 2025 ausnahmslos für alle Unternehmen. Sie verlangt die Schulung von Mitarbeitenden im sicheren und verantwortungsvollen Umgang mit KI-Systemen. Eine aktuelle Studie zeigt eine erhebliche Lücke: Während 56% der deutschen Unternehmen bereits generative KI-Tools wie ChatGPT oder Copilot nutzen, haben lediglich 27% entsprechende KI-Schulungen etabliert. Hier besteht ein akuter Handlungsbedarf, um nicht nur Compliance-Risiken zu minimieren, sondern auch die Effizienz und Sicherheit des KI-Einsatzes zu gewährleisten. Die Befähigung der Mitarbeitenden ist ein zentraler Pfeiler für eine verantwortungsvolle KI-Adoption.

Schweizer Besonderheiten: nDSG und die extraterritoriale Wirkung des EU AI Act

Für Schweizer Unternehmen wird die Situation durch das bereits seit dem 1. September 2023 geltende revidierte Datenschutzgesetz (nDSG) zusätzlich komplex. Das nDSG ist bewusst technologieneutral formuliert. Es gilt somit direkt für jede KI-gestützte Datenbearbeitung, ohne dass die Schweiz ein eigenes, spezifisches KI-Gesetz benötigt hätte. Diese technologieneutrale Auslegung bedeutet, dass die umfassenden Datenschutzanforderungen des nDSG von Beginn an auf KI-Anwendungen anzuwenden sind.

Eine Besonderheit des Schweizer Gesetzes, die es von der EU-Datenschutz-Grundverordnung (DSGVO) unterscheidet, sind die persönlichen Bussen. Diese können bis zu CHF 250'000 für die verantwortliche natürliche Person verhängt werden, nicht nur für das Unternehmen als juristische Einheit. Dies erhöht den Druck auf Geschäftsführung, IT-Leiter und andere verantwortliche Fachpersonen erheblich. Sie tragen eine persönliche Verantwortung und können direkt zur Rechenschaft gezogen werden, wenn Datenschutzvorschriften im Kontext von KI-Anwendungen verletzt werden.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat in einem aktualisierten Leitfaden vom 8. Mai 2025 die direkte Anwendbarkeit des nDSG auf KI ausdrücklich bestätigt. Dieser Leitfaden konkretisiert die Erwartungen an Schweizer Unternehmen. Demnach müssen sie bereits seit geraumer Zeit vier zentrale Pflichten im Umgang mit Personendaten bei KI-Anwendungen beachten:

1. Auskunft über automatisierte Einzelentscheidungen: Betroffene haben das Recht zu erfahren, ob sie von einer automatisierten Einzelentscheidung betroffen sind und auf welcher Grundlage diese getroffen wurde. Dies erfordert nachvollziehbare KI-Systeme. 2. Datenschutz durch Technik und Voreinstellungen (Privacy by Design und Default): KI-Systeme müssen so konzipiert sein, dass Datenschutz von Grund auf integriert ist und die datenschutzfreundlichsten Einstellungen standardmässig gewählt werden. 3. Meldepflicht bei Datenschutzverletzungen: Bei Datenschutzverletzungen, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen, muss der EDÖB so rasch als möglich informiert werden. Eine feste 72-Stunden-Frist wie bei der DSGVO gibt es hier zwar nicht, die Formulierung "so rasch als möglich" impliziert jedoch ebenfalls eine hohe Dringlichkeit. 4. Einhaltung der Bearbeitungsgrundsätze: Die Kernprinzipien des Datenschutzes wie Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit sind bei jeder KI-gestützten Datenbearbeitung strikt zu beachten.

Zusätzlich zu diesen nationalen Anforderungen müssen Schweizer Unternehmen die extraterritoriale Wirkung des EU AI Act berücksichtigen. Sobald ein Schweizer Unternehmen KI-Ergebnisse oder KI-basierte Dienstleistungen in den EU-Markt liefert oder eng mit EU-Kunden zusammenarbeitet, unterliegt es unter Umständen gleichzeitig beiden Regelwerken. Dies ist besonders relevant für den Schweizer E-Commerce, Software-as-a-Service (SaaS)-Anbieter oder für Unternehmen, die Kunden in Deutschland, Österreich oder Frankreich haben. Die Komplexität der Rechtslage erfordert eine sorgfältige Analyse der eigenen Geschäftstätigkeiten und der Berührungspunkte mit dem EU-Markt.

Konkrete Handlungsfelder für den Mittelstand im DACH-Raum

Die Kombination aus EU AI Act und nDSG schafft eine komplexe regulatorische Landschaft, die unmittelbare Auswirkungen auf die Arbeitswelt in DACH-Unternehmen hat und konkrete Massnahmen erfordert. Mittelständische Unternehmen sind hier besonders gefordert, da sie oft nicht über dieselben Ressourcen wie Grosskonzerne verfügen, aber denselben Pflichten unterliegen.

1. Umfassendes KI-Inventar und Compliance-Check erstellen

Der erste Schritt ist eine vollständige Bestandsaufnahme. Unternehmen müssen dringend ein umfassendes KI-Inventar erstellen, um zu identifizieren, wo und wie KI im Betrieb eingesetzt wird. Dies umfasst nicht nur offiziell implementierte Systeme, sondern auch die "Schatten-IT", also KI-Anwendungen, die von Mitarbeitenden ad-hoc, etwa ChatGPT oder andere generative KI-Tools, genutzt werden. Jedes identifizierte KI-System muss anschliessend nach den Risikokategorien des EU AI Act klassifiziert werden, um den Handlungsbedarf und die anzuwendenden Pflichten korrekt einschätzen zu können. Ein solcher Compliance-Check deckt Lücken auf und bildet die Grundlage für alle weiteren Massnahmen.

2. Transparenzpflichten konsequent umsetzen

Wo KI-Systeme direkt mit Menschen interagieren, müssen diese Personen informiert werden. Dies erfordert mehr als nur einen Hinweis im Impressum. Es braucht Anpassungen in der Kundenkommunikation, auf Websites, in Chatbots, in Apps und anderen Schnittstellen, wo KI zum Einsatz kommt. Die Information muss klar, verständlich und zum richtigen Zeitpunkt erfolgen. Dies kann bedeuten, dass ein Chatbot seine Identität als KI explizit benennt oder ein KI-generierter Text einen entsprechenden Disclaimer erhält. Die Gestaltung dieser Transparenzhinweise sollte nutzerfreundlich erfolgen, um Akzeptanz zu fördern und gleichzeitig die rechtlichen Anforderungen zu erfüllen.

3. Fundierte Datengovernance etablieren

Besonders im Mittelstand hapert es oft an der Datenreife. Eine aktuelle Studie von Dun & Bradstreet vom 4. September 2026 zeigt, dass zwar rund sieben von zehn Schweizer Unternehmen einen messbaren ROI aus KI erzielen, aber nur 7% ihre Daten für einen grossmassstäblichen KI-Einsatz für vollständig bereit halten. Diese Diskrepanz zwischen früher KI-Adoption und der Fähigkeit, skalierbaren ROI zu erzielen, liegt primär in der Datenbasis und dem unzureichenden Risikomanagement begründet. Unternehmen müssen ihre Dateninfrastruktur und -qualität verbessern, um die Zuverlässigkeit und Fairness ihrer KI-Systeme zu gewährleisten. Eine klare Governance-Struktur für den Umgang mit KI und Personendaten ist unerlässlich, um Risiken wie Bias, Datenschutzverletzungen und Compliance-Probleme zuverlässig zu erkennen und zu steuern. Eine solide Datengovernance ist das Fundament für eine erfolgreiche und rechtskonforme KI-Nutzung.

4. KI im Personalbereich verantwortungsvoll nutzen

Anwendungen von KI im Personalwesen, wie Kandidatenscreening, Leistungsbewertung, Entscheidungen zu Beförderungen oder Kündigungen, fallen oft in die Hochrisiko-Kategorie des EU AI Act. Dies bedeutet, dass hier besonders strenge Anforderungen an Transparenz, menschliche Aufsicht und die Einhaltung von Diskriminierungsverboten gelten. Laut einer PwC-Studie von 2025 sehen 54% der HR-Abteilungen im DACH-Raum den Datenschutz als grösstes Hindernis für den Einsatz von KI. Die PwC-Experten Jürgen Eckert und Sandra Golla betonen die Notwendigkeit, Responsible AI, Governance und agentische Workflows zu verbinden, um messbar, sicher und menschenzentriert Wirkung zu erzielen. Unternehmen müssen sicherstellen, dass KI im HR-Bereich unterstützend wirkt und menschliche Entscheidungen nicht ersetzt, sondern fundiert. Der "Human in the Loop"-Ansatz ist hier entscheidend, um Fairness und Nachvollziehbarkeit zu gewährleisten.

5. Mitarbeitende befähigen: Schulung und Change Management

Die bereits erwähnte KI-Schulungspflicht (Art. 4 EU AI Act) und der generelle Bedarf an Kompetenzentwicklung sind von entscheidender Bedeutung. Mitarbeitende müssen nicht nur wissen, dass sie KI-Tools nutzen dürfen, sondern auch verstehen, wie diese Systeme funktionieren, welche Risiken bestehen und wie sie diese Tools verantwortungsvoll und effizient einsetzen können. Dies geht über technische Anweisungen hinaus; es erfordert ein umfassendes Change Management, um Ängste vor dem Jobverlust oder der Überforderung abzubauen und die Akzeptanz neuer, KI-gestützter Arbeitsprozesse zu fördern. Schulungen sollten praxisorientiert sein und konkrete Anwendungsfälle im Unternehmensalltag aufzeigen. Das Ziel ist die Befähigung der Mitarbeitenden, sodass sie die neuen Technologien souverän beherrschen und nicht von ihnen abhängig sind.

6. Cybersecurity und ethische Leitlinien schärfen

Mit dem zunehmenden Einsatz von KI-Agenten in Unternehmensabläufen rückt auch die Frage der Verantwortlichkeit stärker in den Fokus. Wer ist verantwortlich, wenn ein autonom agierender KI-Agent einen Fehler macht? Gleichzeitig nutzen auch Cyberkriminelle verstärkt KI, was die Bedrohungslage für Unternehmen signifikant erhöht. Unternehmen müssen ihre Cybersecurity-Strategien dringend anpassen und sollten idealerweise KI selbst zur Abwehr von Cyberangriffen nutzen, wie es etwa das österreichische Unternehmen Dream eindrucksvoll unter Beweis stellte. Ethische Leitlinien für den Einsatz von KI sind unverzichtbar. Sie müssen sicherstellen, dass der "Human in the Loop"-Ansatz beibehalten wird, um die volle Kontrolle über Daten und strategische Entscheidungen zu behalten. Das heisst, KI soll den Menschen unterstützen, nicht ersetzen, besonders in kritischen Prozessen.

Kritische Einordnung und Chancen aus Kapitel-H-Sicht

Aus der Perspektive von Kapitel H betrachten wir die aktuelle Entwicklung als eine notwendige Professionalisierung der KI-Nutzung. Die Regulierungen sind keine Hürde, sondern ein Rahmen, der verantwortungsvollen und nachhaltigen Einsatz fördert. Unternehmen im DACH-Raum neigen oft dazu, neue Technologien erst zu adoptieren, wenn ein klarer Mehrwert ersichtlich ist. Bei KI war die Dynamik in den letzten Jahren so rasant, dass viele die Grundlagen, insbesondere im Bereich Datengovernance und Risikomanagement, vernachlässigt haben. Die Studien, die eine Diskrepanz zwischen KI-Nutzung und Datenreife aufzeigen, sind hierfür ein deutlicher Beleg.

Die oft beschworene Angst vor Bürokratie darf nicht dazu führen, die Augen vor der Realität zu verschliessen. Eine robuste Datengovernance ist kein Selbstzweck, sondern das Fundament für jede skalierbare und sichere KI-Anwendung. Nur wer seine Daten kennt, deren Qualität bewerten kann und klare Verantwortlichkeiten definiert, kann die Potenziale der KI voll ausschöpfen und gleichzeitig die Risiken minimieren. Wir plädieren für eine pragmatische, datenbasierte Herangehensweise, die wegführt vom Hype und hin zu realen, messbaren Anwendungen. Die Befähigung der eigenen Mitarbeitenden, KI-Systeme kritisch zu hinterfragen und kompetent einzusetzen, ist dabei von zentraler Bedeutung. Abhängigkeit von externen Anbietern, die oft mit Black-Box-Lösungen arbeiten, sollte vermieden werden. Unternehmen müssen selbst zu KI-Kompetenzträgern werden.

Fazit: Jetzt handeln, um die Chancen der KI sicher zu nutzen

Die regulatorischen Rahmenbedingungen für Künstliche Intelligenz sind im DACH-Raum kein theoretisches Konzept mehr. Mit den seit dem 2. August 2026 geltenden Transparenzpflichten des EU AI Act und der bereits etablierten Relevanz des nDSG ergeben sich konkrete und sofortige Massnahmen, die von Unternehmen verlangt werden. Ignoranz ist keine Option mehr, sondern ein direktes Risiko für den Geschäftserfolg und die Reputation.

Proaktives Handeln ist Pflicht. Die Investition in Datenqualität und -governance, die umfassende Schulung der Belegschaft und die Implementierung klarer ethischer Richtlinien sind entscheidend. Nur so können Unternehmen die enormen Chancen der KI nutzen und gleichzeitig erhebliche rechtliche und finanzielle Risiken vermeiden. Der Weg zur KI-Reife erfordert disziplinierte Schritte, eine ehrliche Bestandsaufnahme und die Bereitschaft, Prozesse anzupassen. Wer jetzt handelt, legt den Grundstein für eine sichere, effiziente und regelkonforme Zukunft mit Künstlicher Intelligenz.