EU AI Act: Was die August-2026-Pflichten DACH-Konzerne wirklich kosten

Am 2. August 2026 erreicht der EU AI Act seine zentrale Durchsetzungsphase. Was bislang als Übergangsfrist galt, wird nun verbindliche Rechtswirklichkeit: Unternehmen, die Hochrisiko-KI-Systeme betreiben, müssen Governance-Strukturen, Risikoanalysen, Dokumentationspflichten und Transparenzanforderungen vollständig erfüllen. Wer nicht liefert, riskiert bei Hochrisiko-Verstößen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes). Die Frage ist nicht mehr, ob DACH-Konzerne reagieren müssen – sondern wie viel sie dafür zahlen.

Der Marktkontext ist dabei ernüchternd. Laut einer Diskussion auf einer SAS-Veranstaltung in Frankfurt im Juni 2025, laut der Unternehmensberaterin Gloria Miller (maxmetric GmbH), absorbiert Compliance bereits rund 30 % der Gesamtkosten eines durchschnittlichen KI-Projekts. Gleichzeitig zeigt die Datenlage, dass weniger als 50 % der laufenden Projekte den AI Act ernsthaft in ihre Planung integrieren. Die Lücke zwischen regulatorischer Realität und unternehmerischer Vorbereitung ist messbar – und teuer.

Was ab August 2026 konkret gilt

Der EU AI Act folgt einem Risikoklassifizierungsmodell. Hochrisiko-Systeme – darunter KI in HR-Entscheidungen, kritischer Infrastruktur, Bildung und Strafverfolgung – unterliegen ab sofort den strengsten Anforderungen. Unternehmen müssen ein AI Governance Framework etablieren, das einen designierten AI Compliance Officer, ein Governance-Gremium, regelmäßige Risikoberichte und interne Audits umfasst.

Konkret bedeutet das für Entwicklung und Betrieb: Pflicht zur technischen Dokumentation, Konformitätsbewertung vor dem Inverkehrbringen, laufende menschliche Aufsicht sowie Maßnahmen zur Datenverwaltung, Verzerrungsminimierung und Cybersecurity. Die Anforderungen greifen dabei nicht nur Entwickler, sondern auch Deployer – also Unternehmen, die fremde KI-Systeme im eigenen Betrieb einsetzen. Artikel 26 des AI Acts definiert deren Pflichten explizit, Verstöße sind bußgeldbewehrt.

Die Kostendimension: Was Analysten und Praktiker beziffern

Die 30-Prozent-Marke für Compliance-Anteile an KI-Projektkosten ist keine Ausnahme, sondern beschreibt den typischen Aufwand in der Entwicklungsphase. Die Kostentreiber sind dabei struktureller Natur: Transparenzdokumentation, Sicherheitsarchitektur, Datenverwaltungssysteme und die Implementierung menschlicher Überwachungsmechanismen lassen sich nicht nachträglich aufschrauben – sie müssen von Anfang an eingeplant werden.

Für die Gesamtwirtschaft liefert eine Schätzung des Center for Data Innovation eine konkrete Zahl: Fehlende Vorbereitung könnte die europäische Wirtschaft in fünf Jahren bis zu 31 Milliarden Euro kosten. Diese Zahl bezieht sich auf entgangene Effizienzgewinne, Nachbesserungskosten und potenzielle Bußgelder. Für einzelne Großunternehmen wie Siemens oder SAP, die Hochrisiko-KI in industriellen und HR-Prozessen einsetzen, ist der interne Compliance-Aufwand entsprechend erheblich – auch wenn eine unabhängig verifizierte Gesamtzahl für DACH-Konzerne derzeit nicht vorliegt. Vorsicht ist hier geboten: Die im Pitch genannte Zahl von 500 Millionen Euro für DACH-Konzerne lässt sich durch keine öffentlich zugängliche Primärquelle bestätigen.

Organisatorischer Umbau als eigentliche Herausforderung

Jenseits der direkten Projektkosten erzwingt der AI Act einen strukturellen Umbau in mindestens sechs Unternehmensbereichen: Compliance, Beschaffung, IT-Sicherheit, Transparenz-Management, Mitarbeiterkompetenz und Projektführung. Das ist keine Checklisten-Aufgabe – das ist ein Change-Management-Vorhaben mit mehrjährigem Horizont.

Besonders der Mittelstand steht unter Druck. Laut aktuellen Daten einer Branchenanalyse von Dr. Justus & Partners haben 94 % der deutschen Mittelstandsfirmen noch keine KI in der operativen Praxis implementiert – gleichzeitig müssen sie die Compliance-Infrastruktur aufbauen, bevor sie den ersten produktiven Use Case deployen können. Dieser Sequenzierungszwang verschärft den Wettbewerbsnachteil gegenüber US-amerikanischen und chinesischen Wettbewerbern, die keinem vergleichbaren Regulierungsrahmen unterliegen. DSGVO- und DORA-Anforderungen konkurrieren intern um dieselben Ressourcen, was dazu führt, dass AI-Act-Projekte systematisch deprioritisiert werden.

Die DSGVO-Überschneidung ist dabei nicht zu unterschätzen: Wer KI-Systeme mit personenbezogenen Daten betreibt, bewegt sich gleichzeitig im Spannungsfeld von Artikel 22 DSGVO (automatisierte Einzelentscheidungen) und Artikel 35 DSGVO (Datenschutz-Folgenabschätzung). Beide Anforderungen sind nicht durch AI-Act-Compliance erfüllt – sie kumulieren.

So What? Der strategische Imperativ für das Management

Für C-Level-Entscheider bedeutet der August 2026 einen Kipppunkt: Wer Compliance als nachgelagerte IT-Aufgabe behandelt hat, zahlt jetzt die Rechnung. Die strategische Konsequenz ist eine Neubewertung der KI-Roadmap entlang des Risikoklassifikationsmodells des AI Acts. Nicht jedes KI-Vorhaben ist Hochrisiko – aber die Einstufung muss aktiv und dokumentiert erfolgen, nicht per Default angenommen werden. Unternehmen, die frühzeitig ein skalierbares AI Governance Framework implementiert haben, profitieren doppelt: Sie vermeiden Bußgelder und gewinnen gegenüber reaktiven Wettbewerbern einen Zeitvorteil bei der Produktentwicklung. Die 31-Milliarden-Euro-Schätzung für volkswirtschaftliche Schäden durch Nichtanpassung ist kein Alarmsignal für die Volkswirtschaft allein – sie beschreibt die Summe individueller Managementfehler.

Fazit: Compliance ist jetzt Wettbewerbsstrategie

Der EU AI Act wird ab dem 2. August 2026 vollständig durchsetzbar. Unternehmen, die jetzt noch keine funktionsfähige AI Governance haben, sollten prioritär externe Compliance-Expertise hinzuziehen und eine interne Risikoklassifizierung aller KI-Systeme anstoßen. Der erste Schritt ist nicht der teuerste – der teuerste Schritt ist kein Schritt. Wer Hochrisiko-KI betreibt, ohne die Dokumentations- und Aufsichtspflichten zu erfüllen, setzt nicht nur Bußgeldpotenzial frei, sondern gefährdet die Genehmigungsfähigkeit gesamter Produktlinien im EU-Binnenmarkt.