KI-Regulierung trifft Datenschutz: Die doppelte Herausforderung für DACH-Unternehmen

Die Künstliche Intelligenz (KI) hat sich zu einem unbestreitbaren Motor der digitalen Transformation entwickelt. Sie ist aus den Produkten und Prozessen vieler deutschsprachiger Unternehmen nicht mehr wegzudenken. Die Potenziale von KI sind enorm, und die meisten Unternehmen im DACH-Raum planen den Einsatz oder haben ihn bereits begonnen. Doch während die Begeisterung für neue Möglichkeiten gross ist, steht der Arbeitsmarkt vor einer kritischen Herausforderung. Diese resultiert aus der zunehmenden Anwendbarkeit der EU-KI-Verordnung (AI Act) und dem dringenden Ruf der deutschen Wirtschaft nach einer umfassenden Reform der Datenschutz-Grundverordnung (DSGVO). Aktuelle Studien zeigen, dass der Datenschutz den KI-Einsatz in jedem zweiten Unternehmen behindert. Diese Konvergenz regulatorischer Anforderungen und bestehender Hürden schafft ein komplexes Umfeld, das strategische Anpassungen und ein proaktives Change Management von Unternehmen im DACH-Raum erfordert.

Der EU AI Act: Was DACH-Unternehmen jetzt wissen müssen

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689), oft als „AI Act“ bezeichnet, ist seit dem 1. August 2024 in Kraft. Ihre Vorschriften treten jedoch gestaffelt in Kraft, was Unternehmen eine gewisse Übergangszeit für die Anpassung bietet. Der 2. August 2026 markiert einen entscheidenden Stichtag, ab dem ein Grossteil der Verordnung grundsätzlich anwendbar wird. Dies ist nicht nur für Entwickler von KI-Systemen relevant, sondern explizit auch für die sogenannten „Betreiber“. Das sind alle Unternehmen, die KI-Systeme in eigener Verantwortung einsetzen. Hierzu zählen beispielsweise ein Chatbot im Webshop zur Kundenkommunikation, ein Screening-Tool im Recruiting zur Vorauswahl von Bewerbern oder KI-generierte Werbebilder für Marketingkampagnen.

Zu den zentralen Pflichten, die ab August 2026 greifen, gehören weitreichende Transparenzpflichten. Unternehmen müssen sicherstellen, dass Kunden, die mit einem KI-System interagieren, dies erkennen können. Dies betrifft zum Beispiel Chatbots oder Voicebots. Eine klare Kennzeichnung muss signalisieren, dass die Interaktion nicht mit einem menschlichen Gegenüber stattfindet. Ebenso müssen KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte, sogenannte Deepfakes, als solche gekennzeichnet werden. Dies gilt, wenn sie den Eindruck erwecken können, echt zu sein und andere über ihre Echtheit täuschen könnten. Diese Regelung hat direkte Auswirkungen auf Marketingabteilungen und Content-Produzenten, die generative KI für die Erstellung von Inhalten nutzen. Die klare Kommunikation über die Herkunft dieser Inhalte ist dabei unerlässlich.

Des Weiteren wurden bereits seit dem 2. Februar 2025 bestimmte, besonders risikoreiche KI-Anwendungen verboten. Dazu gehören manipulative Systeme, die das Verhalten von Personen negativ beeinflussen, oder Social Scoring, das die soziale Bewertung von Bürgern durch staatliche Stellen ermöglicht. Seit diesem Datum besteht auch die Pflicht zur KI-Kompetenz. Unternehmen müssen gewährleisten, dass Mitarbeiter, die mit KI befasst sind, über ausreichendes Wissen verfügen, um diese Systeme sicher und verantwortungsvoll zu bedienen. Für Hochrisiko-KI-Systeme, insbesondere im Personalbereich, wurden die Umsetzungsfristen zwar teilweise bis zum 2. August 2027 verlängert. Die Anforderungen bleiben inhaltlich jedoch ungeschwächt. Solche Systeme können beispielsweise zur Unterstützung von Einstellungsentscheidungen, Beförderungen oder zur Überwachung der Arbeitsleistung eingesetzt werden.

Diese gestaffelte Einführung bedeutet für DACH-Unternehmen, dass sie bereits jetzt handeln müssen. Eine frühzeitige Bestandsaufnahme der eingesetzten und geplanten KI-Systeme, ein sogenanntes KI-Inventar, ist grundlegend. Ebenso ist es notwendig, Rollen und Verantwortlichkeiten für den KI-Einsatz zu klären, Kompetenznachweise für Mitarbeiter zu erbringen und die Dokumentation der externen KI-Provider sicherzustellen. Eine mangelnde Compliance kann erhebliche Bußgelder nach sich ziehen, was die Notwendigkeit einer frühzeitigen und belastbaren KI-Governance unterstreicht. Experten, wie von PwC betont, weisen darauf hin, dass eine frühzeitige Ausrichtung und der Aufbau einer belastbaren KI-Governance, die Risiken über den gesamten Lebenszyklus von KI-Systemen beherrschbar macht, Wettbewerbsvorteile verschafft. Dies ist keine optionale Massnahme, sondern eine grundlegende Anforderung an eine verantwortungsvolle Unternehmensführung.

Der Schrei nach DSGVO-Reform: Datenschutz als KI-Bremse

Parallel zur Einführung des AI Act signalisiert die deutsche Wirtschaft, dass der aktuelle Rahmen des Datenschutzes die Einführung und Skalierung von KI erheblich erschwert. Eine repräsentative Befragung von 605 Unternehmen ab 20 Beschäftigten in Deutschland, die vom Digitalverband Bitkom in Auftrag gegeben und am 25. September 2026 veröffentlicht wurde, zeichnet ein alarmierendes Bild. 90 Prozent der Unternehmen halten eine gezielte Reform der Datenschutz-Grundverordnung (DSGVO) für notwendig, 41 Prozent sogar für sehr notwendig. Lediglich 5 Prozent sehen keinen Reformbedarf.

Der Bitkom-Report verdeutlicht, dass der Datenschutz den Einsatz von KI in jedem zweiten Unternehmen behindert. Die grösste Belastung stellen dabei die Dokumentationspflichten von Verarbeitungstätigkeiten dar, die 84 Prozent der Unternehmen nennen. Die fortwährende detaillierte Dokumentation aller datenverarbeitenden Prozesse bindet erhebliche personelle und finanzielle Ressourcen, die stattdessen für Innovation oder die eigentliche Geschäftstätigkeit genutzt werden könnten. Die Unsicherheit über genaue Datenschutz-Vorgaben ist ein weiteres Hauptproblem, das 88 Prozent der Unternehmen beschäftigt. Dies führt oft zu einer übermässigen Vorsicht oder sogar zur Vermeidung von KI-Projekten, um potenzielle Rechtsrisiken zu minimieren. Die nie vollständig abgeschlossene Umsetzung aufgrund laufender rechtlicher Entwicklungen und neuer Auslegungen wird von 83 Prozent der Unternehmen als Belastung empfunden. Unternehmen stehen vor der ständigen Aufgabe, ihre Prozesse an neue Anforderungen anzupassen, was einen erheblichen administrativen Aufwand bedeutet. Schliesslich werden die Anforderungen schlichtweg als zu hoch empfunden, was 78 Prozent der Befragten bestätigen.

Unternehmen wünschen sich daher vor allem weniger Dokumentationspflichten bei risikoarmen Verarbeitungen, was von 89 Prozent der Befragten befürwortet wird. Eine pragmatische Entlastung bei Prozessen, die geringe Risiken für die Betroffenen bergen, würde Kapazitäten freisetzen. Des Weiteren wird eine einheitliche Auslegung durch die Datenschutzbehörden von 76 Prozent der Unternehmen gefordert. Die aktuell heterogene Anwendung der DSGVO in den einzelnen Bundesländern oder durch verschiedene Behörden schafft zusätzliche Rechtsunsicherheit. Mehr Rechtssicherheit bei der Interessenabwägung ist ebenfalls ein wichtiger Punkt. Unternehmen benötigen klarere Leitlinien, wann eine Datenverarbeitung im berechtigten Interesse des Unternehmens zulässig ist und wie dies dokumentiert werden sollte. Zudem wird eine bessere Abstimmung mit anderen Regulierungen wie dem AI Act von 69 Prozent der Unternehmen gefordert, um redundante oder sich widersprechende Anforderungen zu vermeiden. Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, fasst die Situation prägnant zusammen: „Nach acht Jahren DS-GVO ist der Befund eindeutig: Der Aufwand wächst weiter, die Rechtsunsicherheit bleibt, und die Aufsicht bietet wenig Unterstützung.“ Diese Aussage unterstreicht die Dringlichkeit der Reformforderungen.

Konkrete Auswirkungen für Ihr Unternehmen: Handlungsfelder und Risiken

Diese komplexe Nachrichtenlage hat mehrere konkrete Auswirkungen auf die Arbeitswelt in DACH-Unternehmen. Die Notwendigkeit, sich proaktiv mit beiden Regelwerken auseinanderzusetzen, ist unumgänglich.

Steigender Compliance-Druck und Ressourcenbedarf

Unternehmen müssen erhebliche Ressourcen für die Einhaltung des AI Act bereitstellen. Dies betrifft insbesondere die Implementierung von Governance-Strukturen, ein robustes Risikomanagement, umfassende Qualitätssicherung und die kontinuierliche Überwachung von KI-Systemen. Solche Massnahmen erfordern nicht nur juristisches und technisches Know-how, sondern auch Change-Management-Expertise, um neue Prozesse und Verantwortlichkeiten effektiv im Unternehmen zu etablieren. Dies ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess, der eine strategische Planung und Investition erfordert.

Qualifizierungsbedarf für Mitarbeiter

Die im AI Act verankerte Pflicht zur KI-Kompetenz erfordert gezielte Schulungs- und Weiterbildungsmaßnahmen für Mitarbeiter, die mit KI-Systemen arbeiten. Dies betrifft nicht nur technische Fachkräfte aus der IT oder Entwicklung, sondern alle Abteilungen, die KI-Tools einsetzen, von HR über Marketing bis zum Controlling. Alle Mitarbeiter, die Berührungspunkte mit KI haben, müssen die grundlegenden Funktionsweisen, Potenziale und vor allem die ethischen sowie rechtlichen Rahmenbedingungen verstehen. Gleichzeitig zeigen Studien, dass gerade Menschen mit guten KI-Kenntnissen häufiger um ihren Arbeitsplatz fürchten. Dies unterstreicht die Bedeutung eines unterstützenden Change Managements, das Ängste ernst nimmt und die Mitarbeiter aktiv in den Transformationsprozess einbezieht.

Herausforderungen für den Mittelstand

Der Mittelstand, der oft nicht über die gleichen personellen und finanziellen Ressourcen wie Grosskonzerne verfügt, steht vor besonderen Herausforderungen. Die Komplexität der neuen Regulierung und die gleichzeitige Belastung durch die DSGVO können schnell zu einer Überforderung führen. Die Mittelstand-Digital Zentren bieten zwar Unterstützung durch Workshops und Webinare zum KI-Einsatz und Change Management, doch die grundlegende Komplexität der Regulierung bleibt eine erhebliche Hürde. Laut einer Umfrage setzt nur jedes zehnte mittelständische Unternehmen KI bereits vollständig implementiert ein. Fehlende Kompetenzen und regulatorische Unklarheiten werden dabei als Hauptgründe genannt. Dies zeigt, dass Unterstützung und klare Leitlinien für diese Unternehmensgruppe von entscheidender Bedeutung sind.

Strategische Neuausrichtung von KI-Projekten

Unternehmen müssen ihre KI-Strategien kritisch hinterfragen und von Anfang an Compliance- und Datenschutzaspekte integrieren. Dies betrifft die Auswahl von KI-Tools und -Anbietern. Bei dieser Auswahl werden kontrollierbare KI-Lösungen, die menschliche Aufsicht ermöglichen, und digitale Souveränität immer wichtiger. Es geht nicht mehr nur darum, was technisch machbar ist, sondern primär darum, was verantwortungsvoll und gesetzeskonform umgesetzt werden kann. Eine reine Technologiegetriebenheit ohne Berücksichtigung der rechtlichen Rahmenbedingungen ist nicht mehr zielführend und birgt erhebliche Risiken.

Die Rolle des Change Managements wird entscheidender

Die Einführung von KI ist kein rein technologisches Projekt, sondern ein tiefgreifender Veränderungsprozess. Er ordnet die Arbeitsabläufe, Geschäftsprozesse, Kompetenzen und die interne Governance neu. Ohne ein wirksames Change Management, das Ängste abbaut, Mitarbeiter einbezieht und eine transparente Kommunikation gewährleistet, bleibt der Wandel oft an der Oberfläche. Die Herausforderung besteht darin, die Akzeptanz und aktive Beteiligung der Teams zu sichern. Andernfalls können Produktivitätsgewinne durch aufwendige Nachbearbeitung verloren gehen. Studien zeigen, dass von zehn Stunden gewonnener Effizienz fast vier Stunden in Prüf- und Korrekturarbeit verpuffen können, wenn die Akzeptanz der KI-Systeme und die Kompetenzen der Nutzer nicht ausreichend sind. Ein erfolgreiches Change Management ist somit direkt mit dem wirtschaftlichen Erfolg der KI-Implementierung verknüpft.

Praktische Handlungsempfehlungen für Unternehmen

Angesichts der skizzierten Herausforderungen sollten DACH-Unternehmen proaktiv handeln. Wir empfehlen die folgenden Schritte:

1. Erstellen Sie ein KI-Inventar: Identifizieren Sie alle aktuellen und geplanten KI-Systeme in Ihrem Unternehmen. Kategorisieren Sie diese nach Risikograd gemäss AI Act (z. B. geringes, hohes Risiko, verboten). Führen Sie eine detaillierte Dokumentation über deren Funktion, Datenquellen und Einsatzbereiche. 2. Etablieren Sie eine KI-Governance: Definieren Sie klare Verantwortlichkeiten für den Einsatz, die Überwachung und die Compliance von KI-Systemen. Implementieren Sie Prozesse für Risikobewertung, Qualitätsmanagement und Incident-Reporting im Zusammenhang mit KI. Dies kann die Einrichtung eines interdisziplinären KI-Komitees beinhalten. 3. Investieren Sie in KI-Kompetenz: Entwickeln Sie massgeschneiderte Schulungs- und Weiterbildungsprogramme für Ihre Mitarbeiter. Dies umfasst nicht nur technische Anwender, sondern alle Abteilungen, die mit KI in Berührung kommen. Vermitteln Sie dabei auch ethische Aspekte und die Anforderungen des AI Act sowie der DSGVO. Das Ziel ist es, eine interne Kompetenz aufzubauen, die Befähigung statt Abhängigkeit fördert. 4. Prüfen Sie Ihre Datenschutzprozesse: Analysieren Sie, inwieweit Ihre aktuellen DSGVO-Prozesse, insbesondere die Dokumentationspflichten, den Einsatz von KI behindern. Suchen Sie nach Wegen zur Effizienzsteigerung und zur Risikominimierung. Holen Sie bei Bedarf rechtlichen Rat ein, um die Vereinbarkeit von KI-Einsatz und Datenschutz sicherzustellen. 5. Setzen Sie auf proaktives Change Management: Begleiten Sie die Einführung von KI-Systemen und die Anpassung an neue Regularien mit einem transparenten und mitarbeiterorientierten Change Management. Kommunizieren Sie offen über die Ziele, Vorteile und potenziellen Veränderungen. Beziehen Sie Ihre Mitarbeiter aktiv ein, um Ängste abzubauen und Akzeptanz zu schaffen. Bieten Sie Unterstützung und Ressourcen für die Anpassung an neue Arbeitsweisen. 6. Wählen Sie KI-Anbieter sorgfältig aus: Achten Sie bei der Auswahl von externen KI-Lösungen und Dienstleistern auf deren Compliance mit dem AI Act und der DSGVO. Fragen Sie nach detaillierter Dokumentation, Sicherheitsstandards und der Möglichkeit zur menschlichen Aufsicht über die KI-Systeme. Bevorzugen Sie Anbieter, die Transparenz und Kontrollierbarkeit gewährleisten.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuelle Lage verdeutlicht die Notwendigkeit eines pragmatischen und datenbasierten Ansatzes. Wir bei Kapitel H sehen in der Konvergenz von AI Act und den Forderungen zur DSGVO-Reform keine unüberwindbaren Hürden, sondern eine Chance zur Entwicklung robuster und vertrauenswürdiger KI-Anwendungen. Der AI Act schafft einen Rahmen, der, auch wenn er komplex erscheint, das Vertrauen in KI stärken soll. Dieses Vertrauen ist grundlegend für eine breite Akzeptanz und erfolgreiche Integration von KI in die Unternehmensprozesse. Ohne ein solches Vertrauen bleiben die Potenziale der KI ungenutzt oder werden nur zögerlich ausgeschöpft.

Die Klagen über die DSGVO sind nachvollziehbar, insbesondere im Hinblick auf die Bürokratie und die Rechtsunsicherheit. Es ist unsere Überzeugung, dass eine Reform der DSGVO nicht dazu dienen sollte, den Datenschutz zu schwächen, sondern ihn praxistauglicher und effizienter zu gestalten. Das bedeutet, dass ein Fokus auf risikobasierte Ansätze gelegt werden muss, bei denen der Aufwand proportional zum tatsächlichen Risiko für die Betroffenen ist. Weniger Dokumentationspflichten bei risikoarmen Verarbeitungen sind hierfür ein geeigneter Ansatzpunkt. Gleichzeitig muss die Digitalisierung in der Verwaltung der Datenschutzbehörden vorangetrieben werden, um eine einheitliche und effiziente Auslegung und Durchsetzung der Regeln zu ermöglichen. Unternehmen brauchen klare Leitplanken, keine sich ständig ändernden Interpretationen.

Für den Mittelstand im DACH-Raum ist es entscheidend, sich nicht von der Komplexität abschrecken zu lassen. Stattdessen sollten sie die Einführung von KI als strategisches Projekt begreifen, das frühzeitig juristische, technische und organisatorische Aspekte integriert. Die Befähigung der eigenen Mitarbeiter durch gezielte Schulungen ist dabei ein zentraler Baustein, um Abhängigkeiten von externen Beratern oder Anbietern zu reduzieren. Es geht darum, eine interne Kompetenz aufzubauen, die es dem Unternehmen ermöglicht, souverän und selbstbestimmt mit KI umzugehen. Marketing-Speech und Hype-Versprechen helfen dabei nicht weiter. Was zählt, sind konkrete, umsetzbare Schritte, die auf einer fundierten Analyse der eigenen Prozesse und der rechtlichen Rahmenbedingungen basieren. Nur so kann das volle Potenzial der KI verantwortungsvoll und nachhaltig erschlossen werden.

Fazit

Die Veröffentlichung des Bitkom-Reports inmitten der zunehmenden Geltung des EU AI Act verdeutlicht eine zentrale Spannung im DACH-Raum. Einerseits besteht der politische Wille, KI zu regulieren und Vertrauen zu schaffen. Andererseits bremsen die wahrgenommenen Fesseln bestehender Datenschutzvorschriften Innovation und Effizienzgewinne aus. Für DACH-Unternehmen ist es nun entscheidend, nicht nur die technischen Aspekte der KI-Implementierung zu betrachten. Vielmehr muss eine ganzheitliche KI-Governance aufgebaut werden, die rechtliche Rahmenbedingungen, Datensicherheit, ethische Grundsätze und vor allem die menschliche Dimension des Change Managements integriert. Die Forderung nach einer pragmatischeren DSGVO zeigt, dass hier noch politischer Handlungsbedarf besteht. Nur so kann der Spagat zwischen Datenschutz und KI-Innovation erfolgreich gemeistert und die Wettbewerbsfähigkeit des DACH-Raums langfristig gesichert werden. Ohne diese Anpassungen könnte das volle Potenzial der KI für die Arbeitswelt ungenutzt bleiben oder nur mit erheblichen Mehrkosten realisiert werden. Unternehmen, die jetzt proaktiv handeln, schaffen die Grundlage für nachhaltigen Erfolg in der datengetriebenen Zukunft.