KI-Sicherheit und Datenschutz: DACH-Unternehmen navigieren im Regularien-Dschungel

Die Integration Künstlicher Intelligenz (KI) in Geschäftsprozesse schreitet im DACH-Raum mit hoher Geschwindigkeit voran. Unternehmen erhoffen sich davon erhebliche Effizienzgewinne und Innovationspotenziale. Gleichzeitig konfrontiert diese Entwicklung sie mit einer Zunahme an Herausforderungen in der IT-Sicherheit und beim Datenschutz. Aktuelle Berichte und die fortschreitende Konkretisierung der regulatorischen Rahmenbedingungen, wie dem EU AI Act und dem revidierten Schweizer Datenschutzgesetz (DSG), verdeutlichen die Dringlichkeit, mit der sich Unternehmen diesen Themen widmen müssen. Die Bedrohungen durch KI-gestützte Angriffe, das Phänomen der sogenannten "Schatten-KI" sowie die komplexen rechtlichen Anforderungen zwingen zu einem proaktiven Management und einer Neubewertung bestehender Strategien. Es geht darum, das Potenzial von KI sicher und verantwortungsvoll zu nutzen, statt sich unkontrollierten Risiken auszusetzen oder in Abhängigkeit von externen Lösungen zu geraten.

Steigende Bedrohungen: KI als Angreifer und Angriffsfläche

Die Cybersecurity-Branche reagiert auf die sich wandelnde Bedrohungslandschaft mit neuen, KI-basierten Verteidigungsstrategien. Ein Beispiel hierfür ist die Ankündigung von ESET im September 2026, seine ESET PROTECT Plattform um eine neue KI-basierte Sicherheitsebene zu erweitern. Lösungen wie ESET AI Security und ESET LiveAI sollen Unternehmen beim sicheren Einsatz von KI schützen und autonome KI-Agenten absichern. ESET LiveCortex wird dabei sicherheitsrelevante Ereignisse aus Kundenumgebungen zusammenführen, um Abwehrmaßnahmen zu kontextualisieren. Diese Entwicklung zeigt, dass KI nicht ausschliesslich als Angriffsvektor, sondern auch als essenzielles Verteidigungsinstrument im Cyberraum betrachtet wird. Die Verteidiger nutzen die gleichen Technologien, die Angreifer einsetzen, um einen Vorteil zu erlangen.

Dieser Fortschritt in der Abwehr ist jedoch zwingend notwendig, denn die Bedrohungslage hat sich erheblich verschärft. Der "2026 Cybersecurity Assessment Report" von Bitdefender, veröffentlicht im Juli 2026, zeigt auf, dass viele Betriebe Schwierigkeiten haben, mit der rasanten Entwicklung der KI-basierten Bedrohungen Schritt zu halten. Unternehmen müssen verstärkt darauf achten, wo ihre Daten gespeichert werden, wer Zugriff darauf hat und wie transparent Anbieter mit der Datenverarbeitung umgehen. Obwohl die weltweite Wahrnehmung von KI als Sicherheitsrisiko hoch ist, bewerten deutsche Sicherheitsprofis einige Gefahren "etwas zurückhaltender" als ihre internationalen Kollegen. Dies ist eine gefährliche Haltung, denn die Realität zeigt eine andere Dringlichkeit. Hinzu kommt die Sorge vieler Unternehmen, dass strengere Sicherheitsmaßnahmen den laufenden Betrieb beeinträchtigen könnten. Ältere IT-Systeme stellen zudem eine erhebliche Herausforderung dar; 30,5 Prozent der Befragten in Deutschland sehen deren Absicherung als problematisch an.

Ein besonders alarmierender Trend ist die "Schatten-KI" (Shadow AI). Ein Bericht vom September 2026 legt offen, dass fast ein Drittel der Unternehmen eigene KI-Tools heimlich nutzt. Diese unkontrollierte Einführung von KI-Anwendungen durch einzelne Abteilungen oder Mitarbeiter, oft ohne Wissen oder Genehmigung der IT- oder Sicherheitsabteilung, birgt erhebliche Sicherheitsrisiken. In den vorangegangenen zwölf Monaten meldeten 65 Prozent der befragten Unternehmen mindestens einen Sicherheitsvorfall im Zusammenhang mit KI-Agenten. Die Konsequenzen sind gravierend: 61 Prozent der Betroffenen erlebten Datenexposition, 43 Prozent Betriebsunterbrechungen und 35 Prozent finanzielle Verluste. Die Ursachen für diese Problematik liegen oft in fehlenden Schulungen, unzureichenden Richtlinien und einer geringen strategischen Vorbereitung auf den KI-Einsatz. Schatten-KI untergräbt nicht nur die Sicherheitsbemühungen, sondern schafft auch neue, unentdeckte Angriffsflächen, die von Cyberkriminellen aktiv ausgenutzt werden können. Ein Unternehmen kann keine sichere KI-Strategie entwickeln, wenn ein signifikanter Teil seiner KI-Nutzung im Verborgenen stattfindet.

Der Regulatorische Rahmen: EU AI Act und Schweizer DSG

Parallel zu den technologischen und operativen Herausforderungen prägen regulatorische Vorgaben zunehmend den KI-Einsatz in DACH-Unternehmen. Der EU AI Act, der am 1. August 2024 in Kraft trat, ist die erste umfassende Verordnung über KI weltweit und damit ein wichtiger Leitrahmen für Europa. Die EU-Mitgliedstaaten sind verpflichtet, den AI Act in nationales Recht zu integrieren, was für deutsche und österreichische Unternehmen direkte Auswirkungen hat.

Ein wesentliches Update betrifft die Geltung bestimmter Vorschriften. Seit dem 2. August 2026 gelten weitreichende Transparenzpflichten. Unternehmen müssen demnach in bestimmten Fällen klar kennzeichnen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden. Dies betrifft insbesondere die Interaktion von Personen mit bestimmten KI-Systemen oder wenn sie von automatisierten Entscheidungen betroffen sind. In solchen Fällen haben Betroffene das Recht, Auskunft zu verlangen, ob und warum ein Hochrisiko-System eingesetzt wurde und welche Auswirkungen dies auf ihre Grundrechte haben kann. Dies erfordert von Unternehmen nicht nur technische Umstellungen, sondern auch klare interne Prozesse zur Dokumentation und Kommunikation.

Eine wichtige Anpassung für Arbeitgeber im DACH-Raum wurde im Mai 2026 erzielt: Die Regelungen für Hochrisiko-KI-Systeme im Arbeitsverhältnis, die ursprünglich ebenfalls ab August 2026 in Kraft treten sollten, wurden um 16 Monate auf den 2. Dezember 2027 verschoben. Dies betrifft KI-Systeme in kritischen HR-Bereichen wie Recruiting, Leistungsbeurteilungen, Personaleinsatz- oder Personalbedarfsplanung sowie HR-Analytics. Diese Verschiebung, Teil des sogenannten Digital Omnibus (Omnibus-VII-Paket), soll die Rechtssicherheit für Unternehmen erhöhen und ihnen mehr Zeit für die Umsetzung der komplexen Vorgaben geben. Es ist jedoch kein Freifahrtschein zur Untätigkeit. Unternehmen, die als Anbieter von Hochrisiko-KI definiert werden, müssen weiterhin umfangreiche Pflichten erfüllen, darunter die Erstellung einer technischen Dokumentation, die belegt, dass alle Anforderungen erfüllt sind. Die Übergangsfrist ist eine Chance, keine Entschuldigung für mangelnde Vorbereitung.

Für Unternehmen in der Schweiz ist das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, von zentraler Bedeutung. Es enthält zwar keine spezifische "KI-Norm", erfasst KI-Systeme jedoch über allgemeine Bestimmungen. Dies betrifft insbesondere die Definitionen von Profiling und Profiling mit hohem Risiko (Art. 5 Bst. f und g), die Regelung der automatisierten Einzelentscheidung (Art. 21) und die Pflicht zur Datenschutz-Folgenabschätzung (Art. 22). Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat am 8. Mai 2025 klargestellt, dass das DSG auf KI direkt anwendbar ist.

Schweizer Unternehmen müssen insbesondere Transparenzpflichten beachten und Betroffene über den Einsatz von KI, den Zweck, die Funktionsweise und die verwendeten Datenquellen informieren. Betroffene haben das Recht, eine menschliche Überprüfung automatisierter Einzelentscheidungen zu verlangen, die Rechtsfolgen haben oder sie erheblich beeinträchtigen. Für KI-Anwendungen im Bereich Credit-Scoring oder bei Hiring-Modellen ist in der Regel eine Datenschutz-Folgenabschätzung (DPIA) erforderlich. Verstöße gegen das DSG können zu Bussen von bis zu CHF 250'000 gegen die verantwortliche natürliche Person führen, oder bis CHF 50'000 gegen das Unternehmen. Wichtig ist auch, dass eine reine DSGVO-Konformität nicht ausreicht, da das Schweizer DSG eigene Besonderheiten aufweist, wie beispielsweise die Meldung von Datenschutzverletzungen "so rasch als möglich" ohne die feste 72-Stunden-Frist der EU. Dies erfordert eine spezifische Anpassung der Compliance-Prozesse.

Strategien für DACH-Unternehmen: Handlungsfelder und Potenziale

Die Kombination aus sich entwickelnden KI-Bedrohungen und einem zunehmend komplexen regulatorischen Umfeld stellt DACH-Unternehmen vor erhebliche Herausforderungen. Sie erfordert jedoch auch, die KI-Strategien proaktiv zu überdenken und anzupassen. Der Arctic Wolf AI & Cybersecurity Trends Report 2026, veröffentlicht im September 2026, betont, dass DACH-Unternehmen neue Anforderungen an KI- und Cybersecurity-Anbieter stellen. Im Mittelpunkt stehen "kontrollierbare KI, menschliche Aufsicht, digitale Souveränität und europäische Sicherheitsstrukturen". Vertrauen wird zum Engpass der KI-Transformation, wobei hohe Erwartungen an Geschwindigkeit und Erkennungsleistung auf Datenschutzbedenken, Sorgen um Fehlalarme und fehlende Verantwortlichkeit treffen.

Für deutsche Unternehmen, die laut einer ifo-Umfrage bereits zu 26 Prozent KI nutzen (Stand 2025, Daten veröffentlicht 2026), und österreichische Unternehmen, die zu 30 Prozent KI einsetzen (Stand 2025), ist eine integrierte Strategie unerlässlich. Diese muss über reine Technologieimplementierung hinausgehen und organisatorische, prozessuale sowie kulturelle Aspekte umfassen:

* Risikobasiertes Management: Eine frühzeitige Kategorisierung und Risikobewertung von KI-Systemen nach den Vorgaben des EU AI Acts, in die Kategorien minimales, begrenztes, hohes oder unannehmbares Risiko, ist entscheidend. Dies ermöglicht es Unternehmen, Ressourcen effizient einzusetzen und die komplexen Anforderungen zielgerichtet zu erfüllen, statt einen pauschalen Ansatz zu verfolgen. Ein detailliertes Risikoprofil hilft, die notwendigen Sicherheits- und Compliance-Massnahmen präzise zu definieren.

* Transparenz und Governance: Klare Richtlinien für den internen KI-Einsatz sind von grundlegender Bedeutung, um das Problem der "Schatten-KI" einzudämmen. Unternehmen müssen interne Prozesse etablieren, die eine transparente Einführung und Nutzung von KI-Tools sicherstellen. Dies beinhaltet auch die Erfüllung der neuen Transparenzpflichten des AI Acts, wie die Kennzeichnung von KI-generierten Inhalten und die Bereitstellung von Informationen über Hochrisiko-Systeme. Eine zentrale Anlaufstelle für KI-Governance kann hier massgeblich zur Kontrolle beitragen.

* Schulung und Kompetenzaufbau: Um die Akzeptanz von KI zu fördern und gleichzeitig Risiken zu minimieren, müssen Mitarbeiter in der sicheren und verantwortungsvollen Nutzung von KI geschult werden. Artikel 4 des europäischen KI-Gesetzes verlangt eine grundlegende KI-Kompetenz in Organisationen. Dies geht über reine Software-Schulungen hinaus und umfasst das Verständnis für die Funktionsweise, die Grenzen und die ethischen Implikationen von KI. Nur so kann das Personal befähigt werden, KI-Systeme effektiv und regelkonform einzusetzen.

* Datenschutz-Folgenabschätzungen (DPIA): Bei allen KI-Anwendungen, die Personendaten verarbeiten oder automatisierte Entscheidungen treffen, sind DFAs nach Schweizer DSG und dem EU AI Act (für Hochrisiko-KI) zwingend durchzuführen. Diese sollten systematisch in den Entwicklungsprozess integriert werden, um Risiken für die Privatsphäre frühzeitig zu identifizieren und zu minimieren. Eine fundierte DFA dient nicht nur der Compliance, sondern auch der Vertrauensbildung gegenüber Kunden und Mitarbeitern.

* Kontrolle und menschliche Aufsicht: Trotz des grossen Potenzials autonomer KI-Agenten, die beispielsweise im Engineering zur Übernahme von Dokumentenaufgaben genutzt werden, bleibt menschliche Aufsicht und Kontrolle bei kritischen Entscheidungen unverzichtbar. Die Studie zeigt, dass nur 5,7 Prozent der befragten Entscheider KI vollständige Autonomie zutrauen, während 12 Prozent der DACH-Unternehmen bereits überwiegend autonome KI einsetzen. Diese Diskrepanz birgt Risiken. Unternehmen müssen klare Mensch-in-der-Schleife-Prozesse definieren, insbesondere bei Entscheidungen, die rechtliche oder weitreichende Auswirkungen auf Personen haben können.

Kritische Einordnung aus Kapitel-H-Sicht

Die aktuellen Entwicklungen zeigen deutlich, dass die Auseinandersetzung mit KI-Sicherheit und Datenschutz keine optionale Übung, sondern eine strategische Notwendigkeit ist. Die