EU-KI-Gesetz trifft jetzt fast jedes Unternehmen – deutsche Firmen stehen ohne klare Anleitung da

Regeln reichen tiefer als gedacht – und die Uhr tickt

Der EU-AI Act wird in der Praxis deutlich breiter wirken, als viele Verantwortliche in Unternehmen annehmen. Was anfangs als Regulierung für grosse KI-Entwickler verstanden wurde, trifft heute nahezu jede Firma, die Standardsoftware mit KI-Features einsetzt. Kommen Funktionen zur Biometrie, zur automatisierten Leistungsbewertung von Angestellten oder zum personalisierten Lernen zum Einsatz, können solche Programme nach den Vorgaben der EU als Hochrisiko-KI-Systeme eingestuft werden. Das zieht konkrete Pflichten für die Anwender nach sich: Dokumentation, Kontrollen und Nachweise müssen erbracht werden.

Viele Unternehmen haben KI nicht als eigenständiges Projekt gekauft, sondern als «Feature» innerhalb etablierter Business-Software. Das macht die Herausforderung besonders schwierig: Sie agieren oft unbewusst in einer regulatorischen Grauzone und verzichten damit auf notwendige Compliance-Checks.

Fehlende Orientierung auf staatlicher Seite erhöht Unsicherheit

Die Lage wird zusätzlich verschärft durch eine unklare nationale Umsetzung. In Deutschland warten Unternehmen laut Quelle darauf, dass die europäischen Normungsorganisationen verbindliche technische Compliance-Standards veröffentlichen. Zudem sind zentrale Zuständigkeiten – etwa bei der Bundesnetzagentur oder der Deutschen Akkreditierungsstelle – noch nicht rechtlich finalisiert. Dieses «regulatorische Vakuum» kollidiert mit einem strikten Zeitplan der EU.

Verwirrung sorge auch die jüngste digitale «Omnibus-Gesetzgebung» der EU: Zwar enthält sie Erleichterungen, viele Betriebe interpretierten diese jedoch fälschlicherweise als generelle Fristverlängerung. Das ist nicht der Fall: Die Transparenzpflichten bleiben bestehen und greifen bereits ab dem 2. August 2026. Verschoben wurden lediglich einige Deadlines für eigenständige Hochrisiko-Tools.

Praktische Folgen für Unternehmen

In der Folge müssen Firmen ihre Beschaffungs-, Prüf- und Vertragsprozesse anpassen. Relevante Konsequenzen sind unter anderem:

• Erhöhte Dokumentationspflichten für bereits eingesetzte Software
• Kontrollmechanismen zur Risikoabschätzung und Überwachung von KI-Features
• Notwendigkeit, Lieferantenverträge um Compliance-Klauseln zu ergänzen

Besonders betroffen sind Bereiche wie HR, Rechts- und Finanzsysteme, in denen KI-Funktionen bereits weit verbreitet sind. Ohne verbindliche technische Standards bleiben viele Firmen jedoch im Ungewissen, welche konkreten Nachweise sie erbringen müssen.

Was jetzt zu tun bleibt

Unternehmen sollten kurzfristig prüfen, welche eingesetzte Software KI-Funktionen enthält und ob diese unter die Hochrisiko-Definition fallen könnten. Parallel ist Dialog mit Anbietern nötig, um die Nachweispflichten und Verantwortlichkeiten vertraglich zu klären. Auf staatlicher Ebene bleibt zu hoffen, dass Normungsorganisationen und Behörden rasch klare Leitplanken liefern, damit die wirtschaftlichen Kosten der Unsicherheit begrenzt werden können.