KI-Regulierung im DACH-Raum: Transparenzpflichten des EU AI Act ab August 2026

Der Einsatz von Künstlicher Intelligenz (KI) in Unternehmen ist längst keine Zukunftsvision mehr, sondern operative Realität. Mit dieser Realität wachsen auch die regulatorischen Anforderungen. Eine der wichtigsten Entwicklungen der jüngsten Zeit ist die schrittweise Anwendung des EU AI Act, dessen Transparenzpflichten ab dem 2. August 2026 für DACH-Unternehmen verbindlich werden. Dieser Stichtag markiert einen entscheidenden Übergang von der konzeptionellen Planung zur konkreten operativen Durchsetzung der KI-Regulierung und hat weitreichende Implikationen für Compliance, Datenstrategien, Personalmanagement und die allgemeine KI-Einführung.

Für Unternehmen im deutschsprachigen Raum bedeutet dies nicht nur eine Anpassung an europäische Vorgaben, sondern auch die Notwendigkeit, das Zusammenspiel mit bestehenden nationalen Datenschutzgesetzen, wie dem revidierten Schweizer Datenschutzgesetz (DSG), präzise zu verstehen und umzusetzen. Es ist an der Zeit, die Ärmel hochzukrempeln und die eigenen KI-Anwendungen kritisch zu überprüfen, um rechtliche Risiken zu minimieren und gleichzeitig das volle Potenzial der Technologie zu nutzen.

Der EU AI Act: Was sich im August 2026 konkret ändert

Der EU AI Act, der bereits am 1. August 2024 in Kraft getreten ist, erreicht im August 2026 eine kritische Phase seiner Anwendbarkeit. Insbesondere die Transparenzpflichten nach Artikel 50 des AI Act werden ab dem 2. August 2026 für Unternehmen verbindlich. Seit diesem Datum können das KI-Büro der EU und die Behörden der Mitgliedstaaten auch ihre Überwachungs- und Durchsetzungsbefugnisse ausüben. Diese Entwicklung zwingt Unternehmen im DACH-Raum, ihre KI-Anwendungen kritisch zu überprüfen und entsprechende Compliance-Massnahmen umzusetzen. Drei zentrale Bereiche sind davon direkt betroffen:

1. Informationspflicht bei konversationalen KI-Systemen: Unternehmen, die KI-Systeme für die Kommunikation mit Menschen einsetzen, wie beispielsweise automatisierte Kundenservice-Chatbots oder virtuelle Assistenten, müssen Nutzer unmissverständlich darüber informieren, dass sie mit einer KI interagieren. Diese Pflicht betrifft eine wachsende Anzahl von Unternehmen, die digitale Kanäle für den Kundenkontakt nutzen und dabei auf Effizienzsteigerung durch KI setzen. Es geht darum, Transparenz zu schaffen und Verwechslungen zu vermeiden, ob der Gesprächspartner ein Mensch oder eine Maschine ist. Dies erfordert eine klare und proaktive Kommunikation seitens der Unternehmen.

2. Kennzeichnungspflicht für synthetisch generierte Medien und Deepfakes: Um die Öffentlichkeit vor Täuschung zu schützen, gelten strenge Kennzeichnungspflichten für synthetisch generierte Medien und sogenannte Deepfakes. Dies beinhaltet alle Inhalte, die durch KI erstellt oder manipuliert wurden und den Anschein erwecken, authentisch zu sein. Eine Übergangsfrist für KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, erlaubt die Einhaltung dieser Pflichten bis zum 2. Dezember 2026. Diese Regelung ist besonders relevant für Marketingabteilungen, Medienunternehmen und alle Branchen, die KI zur Inhaltserstellung nutzen. Die korrekte Kennzeichnung ist essenziell, um Vertrauen zu bewahren und Missbrauch vorzubeugen.

3. KI-Kompetenz in der Belegschaft: Artikel 4 des AI Act legt eine direkte Verantwortung bei Personal- und Compliance-Abteilungen. Organisationen sind nun gesetzlich verpflichtet, eine nachweisliche Grundkompetenz im Bereich KI bei ihren Mitarbeitenden zu fördern und zu dokumentieren. Diese Verpflichtung geht über technische Entwicklungsteams hinaus und erstreckt sich auf alle Mitarbeitenden, die generative Modelle oder automatisierte Entscheidungsunterstützungssoftware im normalen Geschäftsbetrieb nutzen. Dies erfordert umfassende Weiterbildungsprogramme und ein angepasstes Change Management. Laut einer Studie werden im Jahr 2026 bereits 90 Prozent der Finanzfunktionen in der DACH-Region über Kenntnisse in Generativer KI verfügen, wobei jedoch nur 18 Prozent der Mitarbeiter tatsächlich für den täglichen Einsatz geschult sind. Hier besteht eine erhebliche Lücke zwischen Wissen und praktischer Anwendungsfähigkeit, die dringend geschlossen werden muss.

Während die umfangreichen und ressourcenintensiven Zertifizierungsanforderungen für Hochrisiko-KI-Systeme nach Anhang III des EU AI Act bis Dezember 2027 aufgeschoben wurden, und für Systeme, die in Produkte wie Aufzüge oder Spielzeug integriert sind (Anhang I), sogar bis August 2028, bedeutet dies keine Entwarnung. Unternehmen sollten diese Verlängerung als kritischen Zeitraum nutzen, um technische Dokumentationen zu organisieren und Konformitätsbewertungsverfahren zu strukturieren. Eine proaktive Vorbereitung ist hier der Schlüssel zur späteren Compliance.

Schweizer DSG und EU AI Act: Eine komplexe Gemengelage für den Mittelstand

Für Schweizer Unternehmen stellt der EU AI Act eine zusätzliche regulatorische Herausforderung dar, selbst wenn sie nicht direkt der EU-Gesetzgebung unterliegen. Sobald Schweizer Unternehmen KI-Systeme in der EU anbieten oder deren KI-Ausgaben in der EU verwendet werden, wirkt der AI Act extraterritorial. Dies bedeutet, dass viele Schweizer Unternehmen nicht nur das revidierte Schweizer Datenschutzgesetz (DSG), das seit September 2023 in Kraft ist, beachten müssen, sondern auch die Vorgaben der DSGVO und des EU AI Act, insbesondere bei der Verarbeitung von Daten von EU-Bürgern.

Das Schweizer DSG ist bewusst technologieneutral formuliert und gilt direkt für KI-gestützte Datenbearbeitungen, ohne dass die Schweiz ein eigenes, spezifisches KI-Gesetz benötigt. Dies macht es flexibel, birgt aber auch die Herausforderung, die Prinzipien auf neue Technologien anzuwenden. Die wichtigsten Neuerungen des DSG für den KI-Einsatz in der Schweiz umfassen:

* Automatisierte Entscheidungen: Betroffene Personen haben ein Recht auf Information über das Vorliegen einer automatisierten Einzelentscheidung sowie über die Logik, auf der die Entscheidung beruht, wenn diese rechtliche oder erhebliche Auswirkungen hat. Dies ist entscheidend, wenn KI über Kreditwürdigkeit, Bewerbungen oder Versicherungsleistungen entscheidet. * Profiling: Bei der Analyse von Persönlichkeitsaspekten durch KI gelten besondere Anforderungen, insbesondere wenn ein hohes Risiko für die Persönlichkeit oder Grundrechte besteht. Hier sind strenge Schutzmassnahmen und Transparenz geboten. * Bearbeitungsverzeichnis und Datenschutz-Folgenabschätzung (DSFA): Unternehmen sind verpflichtet, alle Bearbeitungsaktivitäten, einschliesslich KI-basierter Prozesse, in einem Bearbeitungsverzeichnis zu dokumentieren. Zudem ist vor der Implementierung von KI-Anwendungen, die ein hohes Risiko für die Persönlichkeit oder Grundrechte mit sich bringen könnten, eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Dies dient der frühzeitigen Risikoerkennung und -minderung. * Persönliche Bussen: Im Gegensatz zur DSGVO sieht das Schweizer DSG persönliche Bussen von bis zu CHF 250'000 für die verantwortliche natürliche Person vor, nicht nur für das Unternehmen. Dieser Punkt erhöht den Druck auf Geschäftsführung und Fachpersonal erheblich, da die persönliche Haftung im Falle von Verstössen massiv ist. Es verdeutlicht die Notwendigkeit einer klaren Zuweisung von Verantwortlichkeiten und einer sorgfältigen Einhaltung der Vorschriften.

Für Unternehmen im DACH-Raum, insbesondere in der Schweiz, bedeutet dies eine komplexe rechtliche Landschaft, die eine sorgfältige Navigation erfordert, um datenschutzkonform zu bleiben und gleichzeitig das Potenzial von KI zu nutzen. Die Frage ist nicht mehr