KI-Regulierung im DACH-Raum: Fristen, Pflichten und Chancen fuer Unternehmen

Die Integration und Skalierung von Kuenstlicher Intelligenz (KI) in Unternehmen des DACH-Raums wird entscheidend durch regulatorische Rahmenbedingungen gepraegt. Insbesondere der EU AI Act und das revidierte Schweizer Datenschutzgesetz (revDSG) schaffen ein Geflecht von Pflichten und Chancen. Aktuelle Anpassungen der Fristen durch den sogenannten "Digital Omnibus" im Sommer 2026 beeinflussen die Planung und Implementierung von KI-Loesungen direkt. Unternehmen sind nun gefordert, ihre Strategien anzupassen und die neuen Zeitfenster zur systematischen Vorbereitung zu nutzen, um die Potenziale von KI verantwortungsvoll zu erschliessen.

Der EU AI Act: Struktur, Fristen und die Bedeutung des "Digital Omnibus"

Der EU AI Act, Verordnung (EU) 2024/1689, trat am 1. August 2024 in Kraft und wird seither schrittweise angewendet. Er gilt als weltweit erstes umfassendes Gesetz zur Regulierung von KI. Sein Ziel ist es, vertrauenswuerdige KI in Europa zu foerdern und gleichzeitig potenzielle Risiken zu minimieren. Fuer Unternehmen im DACH-Raum sind die folgenden, teils neu festgesetzten, Fristen von zentraler Bedeutung:

* 2. Februar 2025: Seit diesem Datum sind bestimmte KI-Praktiken, die als inakzeptabel gelten, verboten. Dazu gehoeren beispielsweise die Manipulation von Menschen oder die Ausnutzung von Schwachstellen durch KI-Systeme. Ebenso trat die sogenannte KI-Kompetenzpflicht (AI literacy obligation) in Kraft. Anbieter und Betreiber von KI-Systemen sind demnach verpflichtet, Massnahmen zur Foerderung der KI-Kompetenz ihrer Mitarbeiter zu ergreifen. Dies bedeutet nicht, ein bestimmtes Kompetenzniveau garantieren zu muessen, sondern proaktiv Weiterbildung und Sensibilisierung zu ermoeglichen. Es geht darum, Mitarbeitende zu befähigen, KI-Systeme zu verstehen, ihre Grenzen zu erkennen und sie verantwortungsvoll einzusetzen. Diese Pflicht unterstreicht die Notwendigkeit, interne Ressourcen und Wissen aufzubauen, um nicht von externen Anbietern abhaengig zu sein.

* 2. August 2025: Die Regeln fuer allgemeine KI-Modelle (General Purpose AI, GPAI), Governance-Vorschriften sowie der Rahmen fuer Sanktionen sind in Kraft getreten. Dies betrifft grundlegende KI-Modelle wie grosse Sprachmodelle, die fuer eine Vielzahl von Anwendungen genutzt werden koennen. Unternehmen, die solche Modelle entwickeln oder nutzen, muessen hier die neuen Transparenz- und Risikomanagementanforderungen beruecksichtigen.

* 2. August 2026: Dieser Stichtag markiert die allgemeine Anwendbarkeit der meisten Bestimmungen des AI Act. Dazu zaehlen umfangreiche Transparenzpflichten fuer bestimmte KI-Systeme. Beispielsweise muessen Chatbots klar kennzeichnen, dass sie KI-gesteuert sind. Synthetische Inhalte, sogenannte Deepfakes, sind maschinenlesbar zu kennzeichnen. Ab diesem Zeitpunkt beginnen zudem die Durchsetzungsbefugnisse des Europaeischen KI-Bueros und der national zustaendigen Behoerden. Fuer Unternehmen bedeutet dies, dass die Zeit fuer Anpassungen ablaeuft und aktive Kontrollen sowie moegliche Sanktionen bevorstehen.

* 2. Dezember 2026: Eine wesentliche Ergänzung durch den sogenannten "Digital Omnibus", eine im Juli 2026 veroeffentlichte Änderungsverordnung (Verordnung (EU) 2026/1744), betrifft neue Verbote, etwa fuer die Verbreitung nicht einvernehmlicher intimer Bilder. Ausserdem endet eine kurze Uebergangsfrist fuer die maschinenlesbare Kennzeichnung generativer Systeme, die bereits vor August 2026 auf dem Markt waren.

Die urspruenglich vorgesehenen Fristen fuer Hochrisiko-KI-Systeme wurden durch diesen "Digital Omnibus" verschoben. Diese Verschiebung ist nicht als Aufschub der Verantwortlichkeit zu verstehen, sondern als ein gewonnenes Zeitfenster. Sie bietet Unternehmen, insbesondere kleinen und mittleren Unternehmen (KMU) sowie Anbietern von Hochrisiko-Anwendungen, die Gelegenheit zur gruendlichen organisatorischen und technischen Vorbereitung. Der Hauptgrund fuer diese Anpassung war, dass die notwendigen harmonisierten Standards und Leitlinien, auf die sich Unternehmen fuer die Umsetzung stuetzen sollen, nicht rechtzeitig verfuegbar waren.

* 2. Dezember 2027: Die Pflichten fuer eigenstaendige Hochrisiko-Systeme gemaess Anhang III des AI Act treten nun in Kraft. Beispiele hierfuer sind KI-gestuetzte Rekrutierungssoftware im Personalwesen oder Algorithmen zur Kreditwuerdigkeitspruefung. Unternehmen, die solche Systeme entwickeln oder einsetzen, muessen bis dahin ein umfassendes Risikomanagement, Qualitaetsmanagement, Datengovernance und menschliche Aufsicht sicherstellen.

* 2. August 2028: Die Pflichten fuer Hochrisiko-KI, die in Produkte eingebettet sind, welche bereits einer EU-Produktgesetzgebung unterliegen, gemaess Anhang I, wurden von August 2027 verschoben. Dies betrifft beispielsweise KI-Komponenten in medizinischen Geraeten oder in der Luftfahrt.

Die Nichteinhaltung des AI Act kann empfindliche Strafen nach sich ziehen. Das Europaeische KI-Buero ist befugt, bei vorsetzlicher oder fahrlaessiger Verletzung Geldbussen zu verhaengen. Die Hoehe dieser Strafen wird durch Art, Schwere und Dauer des Verstosses bestimmt und kann im Extremfall Millionen Euro betragen. Fuersorgliche Unternehmen nutzen die verlaengerten Fristen, um ihre Compliance-Strukturen umfassend zu pruefen und anzupassen.

Das Schweizer Datenschutzgesetz: KI-Regulierung ohne Spezialgesetz

Im Gegensatz zur Europaeischen Union plant die Schweiz kein eigenstaendiges KI-Gesetz. Stattdessen dient das revidierte Datenschutzgesetz (revDSG), welches seit dem 1. September 2023 in Kraft ist, als massgebendes Regelwerk fuer den Einsatz von KI-Anwendungen. Das revDSG ist bewusst technologieneutral formuliert, sodass es direkt auf KI-gestuetzte Datenbearbeitungen Anwendung findet. Dieser Ansatz ermoeglicht eine flexible und zukunftsfaehige Regulierung, da er nicht an spezifische Technologien gebunden ist.

Fuer Schweizer Unternehmen ist es entscheidend zu wissen, dass sie, sobald sie Kunden in der EU haben, zusaetzlich die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) und in bestimmten Faellen auch des EU AI Acts erfuellen muessen. Die gute Nachricht dabei ist, dass das revDSG und die DSGVO in etwa neunzig Prozent der Bestimmungen uebereinstimmen. Eine konsequente Umsetzung der Schweizer Standards legt somit eine solide Basis auch fuer EU-Compliance. Dennoch sind die spezifischen Anforderungen des AI Acts fuer Hochrisiko-KI zusaetzlich zu beachten.

Zentrale Pflichten gemaess revDSG, die beim Einsatz von KI-Modellen, welche Personendaten verarbeiten, zu beruecksichtigen sind, umfassen:

* Bearbeitungsgrundsaetze: Unternehmen muessen die Grundsaetze der Rechtmaessigkeit, des Treu und Glaubens, der Zweckbindung, der Verhaeltnismaessigkeit, der Richtigkeit und der Datensicherheit (Art. 6 DSG) jederzeit einhalten. Dies bedeutet, dass KI nur Daten verarbeiten darf, die dafuer notwendig sind, und dies auf transparente und sichere Weise geschieht.

* Informationspflicht: Es besteht eine Pflicht zur umfassenden Information ueber den Einsatz von KI-Modellen, beauftragte Auftragsbearbeiter und allfaellige Drittlandtransfers von Daten (Art. 19 DSG). Kunden und betroffene Personen muessen wissen, wann und wie KI ihre Daten verarbeitet.

* Verzeichnis der Bearbeitungstaetigkeiten: Jeder Anwendungsfall eines Large Language Models (LLM) oder anderer KI-Systeme, der Personendaten verarbeitet, muss in einem solchen Verzeichnis detailliert aufgefuehrt werden (Art. 12 DSG). Dies schafft Transparenz und Nachvollziehbarkeit der Datenfluesse innerhalb des Unternehmens.

* Automatisierte Einzelentscheidungen: Bei vollautomatischen Entscheidungen ohne menschliches Eingreifen bestehen besondere Informations- und Auskunftspflichten ueber die zugrunde liegende Logik (Art. 25 revDSG). Unternehmen, die solche Tools einsetzen, muessen in der Lage sein, die Funktionsweise und die Kriterien, nach denen eine Entscheidung getroffen wurde, verstaendlich zu erklaeren. Dies ist gerade bei KI-Systemen, die als "Black Boxes" agieren koennen, eine grosse Herausforderung und erfordert eine sorgfaeltige Dokumentation und Ueberpruefung der Algorithmen.

* Privacy by Design und Privacy by Default: KI-Systeme muessen von Beginn an, also bereits in der Konzeptionsphase, unter Beruecksichtigung des Datenschutzes entwickelt und eingesetzt werden (Art. 7 revDSG). Dies impliziert, dass die Pruefung der Datenschutzkonformitaet nicht erst beim Rollout, sondern bereits vor der Beschaffung oder Entwicklung der KI-Loesung erfolgen muss. Standardeinstellungen muessen den hoechstmoeglichen Datenschutz gewaehrleisten.

* Datenschutz-Folgenabschaetzung (DSFA): Bei einem voraussichtlich hohen Risiko fuer die Persoenlichkeit oder Grundrechte ist eine DSFA erforderlich, insbesondere bei der Verwendung neuer Technologien oder der umfangreichen Bearbeitung besonders schuetzenswerter Daten. Dies betrifft viele fortschrittliche KI-Anwendungen, die sensible Daten verarbeiten oder tiefgreifende Auswirkungen auf Individuen haben koennen.

Das Fehlen eines spezialisierten KI-Gesetzes in der Schweiz bedeutet nicht, dass die Regulierung weniger streng ist. Es erfordert vielmehr eine konsequente und sachkundige Anwendung des bestehenden Datenschutzrechts auf KI-Anwendungen. Die Rolle eines internen Datenschutzbeauftragten oder einer externen Datenschutzberatung ist bei der Einfuehrung von KI-Systemen von unschätzbarem Wert, um alle Fragen zu Datenschutz und KI kompetent zu adressieren und rechtssichere Loesungen zu implementieren.

Konkrete Auswirkungen und Handlungsempfehlungen fuer DACH-Unternehmen

Die regulatorischen Anforderungen des EU AI Act und des revDSG haben weitreichende Konsequenzen fuer Unternehmen im DACH-Raum und erfordern proaktives Handeln. Die von der Kapitel H vertretene pragmatische Perspektive betont, dass diese Vorgaben nicht nur als Buerde, sondern als Rahmen fuer eine verantwortungsvolle und somit nachhaltig erfolgreiche KI-Strategie zu verstehen sind.

1. Erhoehter Compliance-Druck und Risikobewertung: Unternehmen muessen ihre bestehenden und geplanten KI-Anwendungen einer gruendlichen Risikobewertung unterziehen. Dies gilt insbesondere fuer Hochrisiko-KI-Systeme, deren Definitionen und Anwendungsbereiche durch den AI Act klar gefasst sind. Ein erster Schritt ist die Bestandsaufnahme aller im Einsatz befindlichen oder geplanten KI-Loesungen. Anschliessend ist zu pruefen, ob diese unter die Definition von Hochrisiko-KI fallen und welche spezifischen Anforderungen sich daraus ergeben. Die gewonnenen Zeitfenster durch die Fristverschiebungen sind hierbei kein Grund zur Untaetigkeit, sondern ein strategischer Vorteil, um diese Analysen in Ruhe und gruendlich durchzufuehren.

2. Bedarf an KI-Kompetenz und "AI Literacy": Die Verpflichtung zur Foerderung der KI-Kompetenz des Personals ist nicht nur eine regulatorische Anforderung, sondern eine strategische Notwendigkeit. Unternehmen, die ihre Mitarbeitenden aktiv zur Nutzung von KI ermutigen und schulen, sehen eine staerkere Anwendung und signifikante Produktivitaetssteigerungen. Europa liegt in dieser Hinsicht noch hinter den USA zurueck, was einen dringenden Handlungsbedarf aufzeigt. Investitionen in Schulungen und interne Kompetenzentwicklung sind entscheidend, um die Mitarbeiter zu befähigen, KI-Tools effektiv und sicher zu nutzen und gleichzeitig die Innovationskraft des Unternehmens zu staerken. Es geht darum, die Befaehigung der eigenen Belegschaft voranzutreiben, anstatt eine Abhaengigkeit von externen KI-Dienstleistern zu schaffen.

3. Anpassung von Prozessen und Governance: Die effektive und rechtskonforme Einfuehrung von KI erfordert klare Roadmaps, eine solide Datenlage und robuste Governance-Strukturen. KI kann ihren vollen Nutzen nur entfalten, wenn sie nicht als Inselloesung betrachtet, sondern strategisch in bestehende Geschaeftsprozesse, Rollen und Datenarchitekturen eingebettet wird. Dies erfordert eine enge Zusammenarbeit zwischen IT, Fachabteilungen und der Rechtsabteilung, um sicherzustellen, dass KI-Systeme transparent, nachvollziehbar und datenschutzkonform sind. Definieren Sie klare Verantwortlichkeiten fuer den gesamten Lebenszyklus von KI-Systemen, von der Entwicklung bis zum Betrieb.

4. Hype vs. Substanz im Mittelstand: Viele Mittelstaendler im DACH-Raum nutzen KI noch in einzelnen Pilotprojekten oder isolierten Anwendungen, oft ohne einen uebergeordneten, strategischen Plan. Der tatsaechliche Nutzen und die angestrebten Effizienzgewinne entstehen jedoch erst, wenn ganze Aufgaben oder Prozessketten an die KI uebergeben werden und die KI Zugang zum spezifischen Wissen des Unternehmens hat. Hier ist Vorsicht geboten: Reine Begeisterung fuer neue Technologien ohne konkreten Anwendungsfall und solide Datenbasis fuehrt selten zum Erfolg. Die Verschiebung der Hochrisiko-Fristen bietet Unternehmen die Moeglichkeit, nicht nur ihre Compliance zu ueberpruefen, sondern auch die Grundlagen fuer effiziente Ablaeufe mit verlaesslichen Daten und flexiblen Strukturen zu schaffen. Dies bedeutet, zuerst die Datenqualitaet zu sichern und interne Prozesse zu optimieren, bevor aufwendige KI-Systeme implementiert werden.

5. Datenschutz als Grundpfeiler: Der verantwortungsvolle Umgang mit Daten ist beim KI-Einsatz unerlaesslich und wird durch das revDSG und die DSGVO stark betont. Die Prinzipien "Privacy by Design" und "Privacy by Default" bedeuten, dass der Datenschutz bereits in der Planungsphase von KI-Projekten systematisch verankert sein muss. Dies schliesst die Minimierung von Daten, Anonymisierung und Pseudonymisierung sowie robuste Sicherheitsmassnahmen ein. Eine Datenschutz-Folgenabschaetzung (DSFA) sollte bei hohem Risiko fruehzeitig durchgefuehrt werden, um potenzielle Risiken zu identifizieren und Massnahmen zu deren Minderung zu planen.

6. Wettbewerbsvorteil durch Compliance: Unternehmen, die die regulatorischen Anforderungen proaktiv angehen und ihre KI-Systeme rechtssicher gestalten, koennen Vertrauen bei Kunden, Partnern und Mitarbeitenden aufbauen. Dies fuehrt nicht nur zur Risikominimierung, sondern kann auch einen signifikanten Wettbewerbsvorteil darstellen. Vertrauenswuerdige KI-Anwendungen sind ein Unterscheidungsmerkmal in einem Markt, der zunehmend von der Sorge um Datenschutz und Ethik gepraegt ist. Wer hier Transparenz und Verlaesslichkeit bietet, positioniert sich als zukunftsorientierter Akteur.

Zusammenfassend laesst sich festhalten, dass die kommenden Monate fuer DACH-Unternehmen entscheidend sein werden. Die ab August 2026 wirksam werdenden Transparenz- und Durchsetzungspflichten des EU AI Act, zusammen mit den kontinuierlichen Anforderungen des Schweizer revDSG, erfordern eine strategische Auseinandersetzung mit der KI-Regulierung. Wer diese Herausforderungen meistert und eine verantwortungsvolle, rechtskonforme KI-Strategie implementiert, wird nicht nur Risiken minimieren, sondern auch langfristig von den enormen Potenzialen der Kuenstlichen Intelligenz im Arbeitsmarkt profitieren. Die Zeit, die durch die verschobenen Hochrisiko-Fristen gewonnen wurde, sollte nicht ungenutzt verstreichen, sondern fuer eine fundierte Vorbereitung genutzt werden. Dies ermoeglicht es, im Wettbewerb um die KI-Zukunft nicht ins Hintertreffen zu geraten, sondern eine Fuehrungsposition einzunehmen. Das bedeutet, interne Strukturen zu staerken, das Wissen der Mitarbeitenden auszubauen und eine KI-Strategie zu entwickeln, die auf den konkreten Beduerfnissen des Unternehmens basiert, nicht auf dem naechsten Hype.