KI-Regulierung im DACH-Raum: Fristen, Pflichten und Handlungsbedarf für Unternehmen

Die Künstliche Intelligenz (KI) transformiert Geschäftsprozesse und eröffnet neue Potenziale. Gleichzeitig rückt die Frage der Regulierung dieser disruptiven Technologie immer stärker in den Fokus. Insbesondere im DACH-Raum stehen Unternehmen, die KI entwickeln oder einsetzen, vor signifikanten Herausforderungen und neuen rechtlichen Rahmenbedingungen. Der EU AI Act, die weltweit erste umfassende KI-Verordnung, und das revidierte Schweizer Datenschutzgesetz (DSG) sind hier die zentralen Pfeiler. Beide Gesetze entfalten ihre Wirkung schrittweise oder sind bereits in Kraft und erfordern von deutschen, österreichischen und schweizerischen Firmen eine umfassende Anpassung ihrer internen Prozesse und Governance-Strukturen. Es handelt sich nicht um eine ferne Zukunftsdiskussion, sondern um eine unmittelbare Notwendigkeit, die strategisches Vorgehen erfordert.

Diese Entwicklung betrifft den Mittelstand in Deutschland, Österreich und der Schweiz direkt. Während die Vorteile von KI in Bereichen wie Effizienzsteigerung und Innovation unbestritten sind, müssen die Risiken, insbesondere im Hinblick auf Datenschutz, Sicherheit und ethische Aspekte, verantwortungsvoll adressiert werden. Das Ziel der Regulierung ist es, einen Rechtsrahmen zu schaffen, der Innovation fördert, gleichzeitig aber Grundrechte schützt und Missbrauch verhindert. Für Unternehmen bedeutet dies eine präzise Auseinandersetzung mit den neuen Vorschriften. Wer hier zögert, riskiert nicht nur hohe Bussgelder, sondern auch einen Vertrauensverlust bei Kunden und Partnern. Wir betrachten die spezifischen Anforderungen und Fristen, um Ihnen eine klare Orientierung zu bieten und Handlungsempfehlungen abzuleiten.

Der EU AI Act: Transparenz ab August 2026 und gestaffelte Hochrisiko-Anforderungen

Der EU AI Act, dessen erste Bestimmungen bereits am 1. August 2024 in Kraft getreten sind, wird seine volle Wirkung sukzessive entfalten. Eine der wichtigsten und unmittelbar relevanten Änderungen, die Unternehmen betrifft, ist die Anwendbarkeit der Transparenzpflichten nach Artikel 50 (1) seit dem 2. August 2026. Dieser Stichtag ist kritisch, denn ab diesem Zeitpunkt müssen Anbieter und Betreiber bestimmter KI-Systeme klar und unmissverständlich kenntlich machen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Dies betrifft beispielsweise Texte, Bilder, Videos oder Audioinhalte, die von generativen KI-Modellen erzeugt wurden.

Darüber hinaus müssen Nutzer grundsätzlich immer darüber informiert werden, wenn sie mit einer KI und nicht mit einem Menschen interagieren. Dies hat direkte Auswirkungen auf Anwendungen wie Chatbots im Kundenservice, automatisch generierte E-Mail-Antworten oder digitale Avatare. Die mangelnde Kenntlichmachung solcher Interaktionen kann nicht nur zu rechtlichen Konsequenzen führen, sondern auch das Vertrauen der Nutzer massiv untergraben. Unternehmen sind somit gefordert, ihre Kommunikationsstrategien und die Integration von KI in Kundenkontaktpunkten genau zu überprüfen und entsprechend anzupassen. Eine einfache Kennzeichnung wie "Dieser Text wurde mit KI erstellt" oder "Sie sprechen mit einem KI-Assistenten" kann hier bereits ausreichen, muss aber konsequent implementiert werden.

Während ursprünglich vorgesehen war, dass auch strengere Auflagen für Hochrisiko-KI-Systeme früher in Kraft treten, wurden die zentralen Hochrisiko-Anforderungen nach Anpassungen im Frühjahr 2026 auf Dezember 2027 beziehungsweise August 2028 verschoben. Diese Verschiebung bietet Unternehmen eine scheinbare "Verschnaufpause". Es wäre jedoch ein Fehler, dies als Entwarnung zu missverstehen. Experten wie Ivana Bartoletti von Wipro betonen, dass diese zusätzliche Zeit strategisch genutzt werden sollte, um eine langfristig tragfähige KI-Governance aufzubauen. Es ist eine Gelegenheit, die kommenden komplexen Anforderungen methodisch und fundiert zu implementieren, anstatt auf den letzten Drücker zu reagieren.

Die potenziellen Bussgelder bei Nichteinhaltung des AI Act sind ausserordentlich drastisch und übertreffen sogar den Rahmen der Datenschutz-Grundverordnung (DSGVO). Bei Verstössen gegen verbotene KI-Praktiken können Bussgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Verstösse gegen die Anforderungen für Hochrisiko-KI-Systeme können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Diese finanziellen Risiken unterstreichen die Notwendigkeit einer frühzeitigen und umfassenden Compliance-Strategie. Es geht darum, nicht nur gesetzliche Vorgaben zu erfüllen, sondern auch die finanzielle Stabilität des Unternehmens zu sichern.

Praktische Herausforderungen für DACH-Unternehmen bei der KI-Regulierung

Die Umsetzung der neuen KI-Regulierungen stellt Unternehmen im DACH-Raum vor vielfältige und komplexe Herausforderungen. Es reicht nicht aus, die Gesetzestexte zu kennen, vielmehr ist eine tiefgreifende Integration in die operativen Prozesse erforderlich.

Eine der grössten praktischen Herausforderungen besteht in der Identifikation aller im Unternehmen genutzten KI-Systeme und deren korrekten Einordnung in die Risikokategorien des EU AI Act. Viele Unternehmen setzen KI-Technologien oft unbemerkt oder dezentral in verschiedenen Abteilungen ein, sei es in Form von Standardsoftware mit integrierten KI-Funktionen, Cloud-basierten Analysetools oder spezialisierten Machine-Learning-Anwendungen. Eine vollständige Inventarisierung dieser Systeme ist der erste, grundlegende Schritt. Anschliessend müssen diese Systeme basierend auf ihrem Verwendungszweck und dem potenziellen Schaden, den sie anrichten könnten, in die Kategorien "verboten", "Hochrisiko", "transparenzpflichtig" oder "minimales Risiko" eingeordnet werden. Diese Klassifizierung ist entscheidend, da sie den Umfang der einzuhaltenden Pflichten massgeblich bestimmt. Ohne eine klare Übersicht ist eine zielgerichtete Compliance unmöglich.

Eng damit verbunden ist der Aufbau einer belastbaren KI-Governance. Eine solche Governance muss Risiken während des gesamten Lebenszyklus von KI-Systemen beherrschbar machen. Dies umfasst die Definition klarer Verantwortlichkeiten, die Implementierung von Risikomanagementprozessen spezifisch für KI, die Sicherstellung der Cybersicherheit von KI-Anwendungen und die Einhaltung strenger Datenqualitätsanforderungen. Gerade bei Daten ist es entscheidend, dass sie nicht nur korrekt, sondern auch repräsentativ und frei von Diskriminierung sind, um faire und zuverlässige KI-Ergebnisse zu gewährleisten. Umfassende Dokumentationspflichten, von der Entwicklung über den Einsatz bis zur Wartung von KI-Systemen, sind ebenfalls ein zentraler Bestandteil einer funktionierenden Governance. Unternehmen müssen nachweisen können, dass sie die Anforderungen erfüllen und ihre Systeme transparent und nachvollziehbar betreiben.

Die bereits ab August 2026 geltenden Transparenz- und Informationspflichten erfordern eine genaue Kenntlichmachung von KI-generierten Inhalten und Interaktionen. Dies bedarf nicht nur technischer Umsetzungen, sondern auch einer Sensibilisierung der Mitarbeiter in den betreffenden Abteilungen, beispielsweise im Marketing, Kundenservice oder der Produktentwicklung. Ein internes Register über alle eingesetzten KI-Systeme, das Angaben zu ihrem Zweck, ihrer Risikokategorie und den zuständigen Rollen enthält, kann hier entscheidend zur Übersicht und Einhaltung der Pflichten beitragen. Es dient als zentrales Nachschlagewerk und Kontrollinstrument.

Schliesslich erfordert die Umsetzung eine enge Abstimmung und Zusammenarbeit zwischen verschiedenen Abteilungen innerhalb des Unternehmens. Die Rechtsabteilung muss die regulatorischen Anforderungen interpretieren, die IT-Abteilung ist für die technische Implementierung und Sicherheit zuständig, die Fachbereiche verantworten den operativen Einsatz und der Einkauf muss sicherstellen, dass zugekaufte KI-Lösungen von Drittanbietern ebenfalls den Compliance-Anforderungen genügen. Oftmals müssen auch externe Berater oder Dienstleister in den Prozess einbezogen werden, um spezifisches Fachwissen im Bereich KI-Recht und -Governance einzuholen. Eine siloartige Arbeitsweise wird in diesem Kontext nicht zum Erfolg führen.

Das Schweizer Datenschutzgesetz (DSG) und seine direkte Relevanz für KI

Während die Europäische Union den AI Act als spezifisches Gesetz für Künstliche Intelligenz verabschiedet hat, geht die Schweiz einen anderen Weg. Die Eidgenossenschaft hat zwar noch kein eigenes, dediziertes KI-Gesetz verabschiedet, dies bedeutet jedoch keineswegs eine regulatorische Leere. Im Gegenteil, das revidierte Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, ist direkt und umfassend auf KI-Anwendungen anwendbar.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat diese Position klar kommuniziert: Das technologieneutrale DSG gilt für alle Bearbeitungen von Personendaten, unabhängig davon, ob diese durch herkömmliche IT-Systeme oder durch Algorithmen der Künstlichen Intelligenz erfolgen. Dies ist ein entscheidender Punkt für Schweizer Unternehmen, denn es bedeutet, dass alle bestehenden Datenschutzpflichten, die sie bereits aus dem DSG kennen, auch für ihre KI-Systeme gelten. Eine separate Prüfung der KI-Systeme unter Datenschutzgesichtspunkten ist daher unerlässlich.

Wichtige Pflichten für Schweizer KMU unter dem DSG im Kontext KI:

1. Transparenzpflicht: Unternehmen müssen transparent darlegen, zu welchem Zweck und mit welchen Daten KI eingesetzt wird. Betroffene Personen haben das Recht zu wissen, wie ihre Daten durch KI verarbeitet werden. Dies erfordert präzise Datenschutzerklärungen und gegebenenfalls spezifische Informationen am Punkt der Datenerhebung oder KI-Interaktion. Es muss klar sein, welche persönlichen Daten in ein KI-Modell einfliessen und wie die Ergebnisse daraus abgeleitet werden. 2. Automatisierte Einzelentscheidungen: Wenn KI-Systeme vollautomatisch Entscheidungen treffen, die rechtliche Folgen für betroffene Personen haben oder sie erheblich beeinträchtigen, ohne dass ein Mensch eingreift, haben Betroffene das Recht, eine menschliche Überprüfung dieser Entscheidung zu verlangen. Zudem müssen Unternehmen Auskunft über das Vorliegen einer solchen automatisierten Einzelentscheidung und über die Logik, auf der diese Entscheidung basiert, geben können. Dies ist besonders relevant in Bereichen wie Kreditwürdigkeitsprüfungen, automatisierten Bewerbungsprozessen oder personalisierten Preisgestaltungen. 3. Datenschutz-Folgenabschätzung (DSFA): Bei einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen, beispielsweise durch den Einsatz von Hochrisiko-KI-Systemen oder die Verarbeitung sensibler Personendaten, ist eine Datenschutz-Folgenabschätzung (DSFA) verpflichtend. Eine DSFA bewertet die potenziellen Risiken und schlägt Massnahmen zu deren Minderung vor. Eine AXA-Studie hat jedoch gezeigt, dass erst 33 Prozent der KI-nutzenden Schweizer KMU klare Regeln für den Einsatz von KI im Kontext von Datenschutz-Folgenabschätzungen etabliert haben. Hier besteht erheblicher Nachholbedarf. 4. Privacy by Design und Privacy by Default: KI-Systeme müssen von Beginn an so konzipiert werden, dass Datenschutzprinzipien berücksichtigt werden (Privacy by Design). Das heisst, bereits in der Entwicklungsphase sind datenschutzfreundliche Einstellungen und Architekturen zu integrieren. Ausserdem sollten die Grundeinstellungen von KI-Anwendungen stets den maximalen Datenschutz gewährleisten (Privacy by Default), es sei denn, der Nutzer entscheidet sich aktiv für weniger Schutz. 5. Datensicherheit: Technische und organisatorische Massnahmen zum Schutz der Daten vor unbefugtem Zugriff, Verlust oder Manipulation sind unerlässlich. Dies gilt für alle Daten, die in KI-Systemen verarbeitet werden, von Trainingsdaten bis zu den Ergebnissen. Die Anforderungen an die Cybersicherheit sind hier besonders hoch, da KI-Systeme oft grosse Mengen an Daten verarbeiten und potenziell attraktive Angriffsziele darstellen können. 6. Auftragsbearbeitung: Bei der Nutzung externer KI-Tools und Cloud-Diensten sind die Anbieter in der Regel Auftragsbearbeiter. Dies verpflichtet das nutzende Unternehmen, sogenannte Auftragsbearbeitungsverträge abzuschliessen, die detaillierte Regelungen zur Datenverarbeitung, Datensicherheit, möglichen Unterauftragnehmern und Datenflüssen enthalten. Unternehmen müssen zudem ihre Auftragsbearbeiter sorgfältig auswählen und regelmässig prüfen. Dies ist ein oft unterschätzter, aber kritischer Aspekt der Compliance.

Die Schweiz plant zwar die Übernahme der KI-Konvention des Europarats, eine entsprechende Vorlage wird jedoch erst bis Ende 2026 erwartet. Bis dahin bildet das revidierte DSG den primären rechtlichen Rahmen für den verantwortungsvollen Einsatz von KI in der Schweiz. Unternehmen sollten diese Übergangsphase nutzen, um ihre Prozesse und Systeme an die bereits geltenden Anforderungen anzupassen und sich auf zukünftige Entwicklungen vorzubereiten.

Strategische Handlungsempfehlungen für den Mittelstand im DACH-Raum

Angesichts der zunehmenden Regulierungsdichte ist proaktives Handeln für den DACH-Mittelstand unerlässlich. Wer jetzt die Weichen stellt, sichert sich nicht nur rechtlich ab, sondern schafft auch Vertrauen und Wettbewerbsvorteile.

1. Umfassende Inventarisierung und Risikoanalyse der KI-Systeme: Beginnen Sie mit einer detaillierten Bestandsaufnahme aller in Ihrem Unternehmen eingesetzten KI-Anwendungen, sowohl selbst entwickelter als auch zugekaufter. Erstellen Sie ein zentrales Register, das für jedes System den Zweck, die Art der verarbeiteten Daten, die Verantwortlichkeiten und eine vorläufige Risikobewertung nach den Kriterien des EU AI Act und des Schweizer DSG enthält. Identifizieren Sie frühzeitig potenzielle Hochrisiko-Anwendungen oder solche, die unter die Transparenzpflicht fallen. Dieser Schritt ist die Grundlage für alle weiteren Massnahmen. 2. Etablierung einer robusten KI-Governance-Struktur: Entwickeln und implementieren Sie interne Richtlinien und Prozesse für den gesamten Lebenszyklus von KI-Systemen. Dies umfasst Aspekte wie Datenmanagement (Qualität, Herkunft, Bias-Kontrolle), Risikobewertung und -minderung, Cybersicherheit sowie Ethikrichtlinien für den KI-Einsatz. Benennen Sie klare Verantwortlichkeiten, beispielsweise einen "KI-Beauftragten" oder ein interdisziplinäres Team, das für die Überwachung der Compliance zuständig ist. Eine solche Governance sichert nicht nur die Einhaltung rechtlicher Vorgaben, sondern fördert auch den verantwortungsvollen und nachhaltigen Einsatz von KI. 3. Implementierung von Transparenzmechanismen: Bereiten Sie sich auf die Transparenzpflichten vor, die ab August 2026 im EU-Raum greifen. Stellen Sie sicher, dass Nutzer immer informiert werden, wenn sie mit einer KI interagieren oder wenn Inhalte von KI generiert wurden. Dies kann durch klare Hinweise in der Benutzeroberfläche, in E-Mails oder auf Webseiten geschehen. Für Schweizer Unternehmen gelten ähnliche Transparenzpflichten bereits heute unter dem DSG, insbesondere bei der Verarbeitung von Personendaten durch KI. Überprüfen Sie Ihre Datenschutzerklärungen und Kommunikationsrichtlinien. 4. Integration von Datenschutzanforderungen von Anfang an: Nutzen Sie die Prinzipien von Privacy by Design und Privacy by Default. Das bedeutet, Datenschutzaspekte müssen bereits in der Konzeptions- und Entwicklungsphase von KI-Systemen berücksichtigt werden. Führen Sie bei Bedarf Datenschutz-Folgenabschätzungen (DSFA) durch, insbesondere bei Anwendungen mit hohem Risiko für betroffene Personen. Stellen Sie sicher, dass Ihre Datenverarbeitungsverträge mit externen KI-Anbietern den Anforderungen des DSG genügen und eine angemessene Datensicherheit gewährleisten. 5. Schulung und Sensibilisierung der Mitarbeiter: KI-Regulierung ist keine reine Aufgabe der Rechts- oder IT-Abteilung. Informieren und schulen Sie Ihre Mitarbeiter in allen relevanten Abteilungen über die neuen Pflichten und deren Auswirkungen auf ihre tägliche Arbeit. Nur wenn alle Beteiligten die Bedeutung der Compliance verstehen, kann diese auch wirksam umgesetzt werden. Eine offene Kommunikationskultur fördert zudem das Erkennen und Melden potenzieller Compliance-Risiken. 6. Regelmässige Überprüfung und Anpassung: Die KI-Regulierung ist ein dynamisches Feld. Gesetze und Interpretationen können sich ändern. Etablieren Sie Prozesse für eine regelmässige Überprüfung Ihrer KI-Systeme und Governance-Strukturen, um auf neue Entwicklungen schnell reagieren zu können. Bleiben Sie informiert über aktuelle Leitlinien des EDÖB oder der EU-Aufsichtsbehörden.

Kritische Einordnung aus Kapitel-H-Sicht: Pragmatismus statt Panik

Die schrittweise Einführung des EU AI Act und die direkte Anwendbarkeit des Schweizer DSG auf KI-Systeme mögen auf den ersten Blick einschüchternd wirken. Wir bei Kapitel H vertreten jedoch die Ansicht, dass dies keine Ursache für Panik ist, sondern eine notwendige und überfällige Entwicklung. Unsere Kernbotschaft bleibt: Befähigung statt Abhängigkeit. Es geht darum, Unternehmen, insbesondere den Mittelstand im DACH-Raum, in die Lage zu versetzen, KI nicht nur effizient, sondern auch verantwortungsbewusst und rechtskonform einzusetzen.

Wir beobachten oft einen Hype um neue Technologien, bei dem die praktischen, rechtlichen und ethischen Implikationen in den Hintergrund treten. Die aktuellen Regulierungsbemühungen zwingen uns nun, diesen Blickwinkel zu korrigieren und eine realistische Perspektive einzunehmen. Es geht nicht darum, Innovation zu verhindern, sondern einen sicheren und vertrauenswürdigen Rahmen für sie zu schaffen. Eine schlecht regulierte KI kann mehr Schaden anrichten als Nutzen stiften, sei es durch Diskriminierung, Datenschutzverletzungen oder den Verlust menschlicher Kontrolle.

Die "gewonnene" Zeit bis zur vollen Anwendbarkeit der Hochrisiko-Anforderungen des EU AI Act sollte nicht als Lizenz zum Abwarten verstanden werden. Im Gegenteil, es ist eine strategische Zeitinvestition. Unternehmen, die jetzt eine solide KI-Governance aufbauen, werden nicht nur zukünftigen Regulierungen gelassener begegnen können, sondern auch von einer erhöhten Datenqualität, verbesserter Cybersicherheit und einem gestärkten Vertrauen bei Kunden und Partnern profitieren. Eine solche Governance ist keine Bürde, sondern ein Wettbewerbsvorteil.

Wir legen Wert auf konkrete, datenbasierte Ansätze. Das bedeutet, dass die Identifikation und Klassifizierung von KI-Systemen keine rein theoretische Übung sein darf. Es erfordert eine systematische Analyse der eingesetzten Technologien und ihrer Auswirkungen. Die von Ivana Bartoletti betonte Notwendigkeit, eine langfristig tragfähige Governance aufzubauen, deckt sich vollumfänglich mit unserer Philosophie. Es geht um Nachhaltigkeit und Resilienz in der KI-Strategie.

Zudem möchten wir betonen, dass die Umsetzung dieser Anforderungen keine "One-Size-Fits-All"-Lösung ist. Jedes Unternehmen hat spezifische Prozesse und eine individuelle Risikolandschaft. Es ist entscheidend, eine auf die eigenen Bedürfnisse zugeschnittene Strategie zu entwickeln. Der Mittelstand sollte sich nicht von den Komplexitäten abschrecken lassen, sondern externe Expertise nutzen, um die ersten Schritte strukturiert anzugehen. Ziel ist es, die Kontrolle über die eigenen KI-Systeme zu behalten und nicht in eine Abhängigkeit von externen Anbietern oder undurchsichtigen Lösungen zu geraten. Eine proaktive Haltung bei der KI-Regulierung ist ein Zeichen von Reife und Weitsicht.

Fazit: Rechtssicherheit als Fundament für erfolgreiche KI-Integration

Die Landschaft der Künstlichen Intelligenz wird zunehmend durch regulatorische Rahmenwerke geformt. Für Unternehmen im DACH-Raum ist es von entscheidender Bedeutung, die Implikationen des EU AI Act und des revidierten Schweizer Datenschutzgesetzes (DSG) nicht zu unterschätzen. Die bereits seit August 2026 im EU-Raum geltenden Transparenzpflichten und die umfassenden Anforderungen des Schweizer DSG zwingen Unternehmen, ihre KI-Strategien kritisch zu hinterfragen und anzupassen. Die Zeit des unverbindlichen Experimentierens ist vorbei, es ist die Ära der verantwortungsvollen Implementierung.

Der Fokus verschiebt sich von der reinen technologischen Machbarkeit hin zur Schaffung einer robusten KI-Governance, die nicht nur rechtliche Compliance sicherstellt, sondern auch ethische Grundsätze, Datensicherheit und den Schutz von Grundrechten in den Mittelpunkt stellt. Unternehmen, die hier proaktiv handeln, verschaffen sich nicht nur die notwendige Rechtssicherheit, sondern auch einen entscheidenden Wettbewerbsvorteil. Sie bauen Vertrauen in ihre KI-Anwendungen auf, differenzieren sich von Mitbewerbern und sichern die Qualität und Zuverlässigkeit ihrer Lösungen. Das schafft langfristig Kundenbindung und Marktreputation.

Die vermeintliche "Verschnaufpause" bis zur vollständigen Anwendbarkeit der Hochrisiko-Anforderungen des EU AI Act muss daher als wertvolle Gelegenheit begriffen werden. Es ist die Zeit, um systematisch interne Strukturen aufzubauen, Prozesse zu definieren und Mitarbeiter zu schulen. Eine Investition in KI-Governance ist eine Investition in die Zukunftsfähigkeit des Unternehmens. Wer jetzt handelt, positioniert sich als vertrauenswürdiger Innovator und legt das Fundament für eine erfolgreiche und nachhaltige Nutzung von Künstlicher Intelligenz. Vernachlässigen Sie diese Aufgabe nicht, Ihr Unternehmenserfolg könnte davon abhängen.