Mittlerweile entscheidet nicht nur die Leistungsfähigkeit einer KI, sondern auch ihre Transparenz, Nachvollziehbarkeit und verantwortungsvolle Anwendung. © Magnific/mixzer/KI-generiert

Am 2. August rückten weitere Vorschriften des EU AI Act vom abstrakten Regulierungsthema in die operative Realität.

Neben zusätzlichen Transparenzpflichten werden bestehende Vorgaben nun stärker kontrolliert und durchgesetzt. Bei Nichteinhalten der Anforderungen drohen Bußgelder in Millionenhöhe. 

Künstliche Intelligenz hat sich in den vergangenen Jahren von einer Zukunftstechnologie zu einem festen Bestandteil des Unternehmensalltags entwickelt. Sie analysiert Daten, unterstützt das Personalmanagement, automatisiert Prozesse und trifft zunehmend eigenständige Entscheidungen. Dabei wachsen mit den technologischen Möglichkeiten auch die regulatorischen Anforderungen. 

Mit dem EU AI Act hat die Europäische Union erstmals einen umfassenden Rechtsrahmen für den Einsatz von künstlicher Intelligenz geschaffen. Die Verordnung wird seit 2024 schrittweise umgesetzt und betrifft längst nicht mehr nur Technologieunternehmen. Praktisch jede Organisation, die KI entwickelt oder im Arbeitsalltag einsetzt, wird sich künftig intensiver mit den neuen Anforderungen auseinandersetzen müssen.

Von Innovation zur regulatorischen Verantwortung?
In den vergangenen Jahren lag der Fokus vor allem darauf, die Möglichkeiten von KI auszuschöpfen. Unternehmen setzten auf Tools wie ChatGPT, Copilot oder branchenspezifische KI-Anwendungen, um Prozesse zu beschleunigen und effizienter zu gestalten. Mit dem EU AI Act erweitert sich diese Perspektive. Neben Innovation und Produktivität gewinnen nun auch Transparenz, Governance und der verantwortungsvolle Umgang mit KI an Bedeutung. „KI ohne Governance ist Innovation mit Risiko. Viele Unternehmen beschäftigen sich bereits mit dem Einsatz von KI. Die eigentliche Herausforderung besteht jedoch darin, KI im Unternehmensalltag regelkonform einzusetzen, Risiken zu minimieren und Mitarbeitenden klare Leitlinien für einen sicheren und verantwortungsvollen Umgang mit der Technologie an die Hand zu geben“, so Elaheh Momeni, CEO von eMentalist.

Ein oft unterschätzter Aspekt betrifft die sogenannte AI Literacy. Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenzen verfügen. Dazu zählt das Wissen über Chancen, Risiken und den verantwortungsvollen Umgang mit KI-Anwendungen und Unternehmensdaten. Mit Stichtag 2. August 2026 gewinnen insbesondere Transparenz­anforderungen und die Nachvollziehbarkeit von KI-Anwendungen an Bedeutung. Unternehmen müssen verstärkt darauf achten, dass der Einsatz von KI klar erkennbar ist und Nutzerinnen und Nutzer nachvollziehen können, wann sie mit einem KI-System (z. B. Chatbot) interagieren. So müssen beispielsweise KI-generierte Bilder, Videos oder Texte in bestimmten Fällen entsprechend gekennzeichnet werden (Artikel 179).

Auch organisatorisch steigt der Handlungsbedarf. Unternehmen sollten wissen, welche KI-Systeme im Einsatz sind, wer dafür verantwortlich ist und wie Risiken bewertet und dokumentiert werden. Besonders relevant sind diese Fragen in sensiblen Bereichen wie Personalmanagement, kritischer Infrastruktur oder beim Zugang zu wichtigen Dienstleistungen (Artikel 72). Der AI Act sieht je nach Art des Verstoßes gestaffelte Sanktionen vor. Besonders hohe Geldbußen drohen bei der Nutzung verbotener KI-Praktiken. Auch Verstöße gegen Transparenzpflichten oder andere zentrale Anforderungen können erhebliche finanzielle Konsequenzen nach sich ziehen (Artikel 99–101).

„Unternehmen sollten die kommenden Monate nutzen, um sich einen Überblick über eingesetzte KI-Anwendungen zu verschaffen und interne Prozesse entsprechend weiterzuentwickeln. Dabei geht es nicht darum, Innovation zu bremsen, sondern KI langfristig sicher, nachvollziehbar und erfolgreich im Unternehmen zu verankern“, sagt Momeni. Für viele bereits bestehende KI-Systeme sind auf europäischer Ebene Übergangsregelungen vorgesehen. Zudem erhalten bestimmte Hochrisiko-KI-Systeme längere Fristen zur Umsetzung der neuen Anforderungen, wodurch Unternehmen zusätzliche Zeit für die Anpassung ihrer Prozesse gewinnen (Artikel 111).

eMentalist begleitet Unternehmen auf diesem Weg, von der Entwicklung einer KI-Strategie über Governance und Datenmanagement bis hin zu AI-Bootcamps sowie Workshops. Für eMentalist markiert der EU AI Act den Übergang von experimenteller KI zur professionellen Nutzung. Künftig entscheidet nicht nur die Leistungsfähigkeit einer KI, sondern auch ihre Transparenz, Nachvollziehbarkeit und verantwortungsvolle Anwendung. Unternehmen, die diese Grundlagen früh schaffen, sichern sich einen Vorsprung. „Wer heute klare Strukturen für den Einsatz von KI schafft, legt den Grundstein für nachhaltige Innovation, erfolgreiche Digitalisierung und langfristiges Vertrauen“, so Elaheh Momeni.

Bundeskanzleramt setzt einheitliches KI-Kennzeichnungsmodell für die Verwaltung um
„Wer mit KI spricht, soll das auch wissen“, betont auch Digitalisierungsstaatssekretär Alexander Pröll. „Künstliche Intelligenz soll den Menschen unterstützen, aber sie darf nicht im Verborgenen arbeiten. Mit der KI-Kennzeichnung schaffen wir Vertrauen, indem wir sie sichtbar machen. So ist im Sinne des AI Act auf den ersten Blick klar, wo KI eingesetzt wird und welche Rolle sie übernimmt. Damit bringen wir die europäischen Transparenzvorgaben verständlich in die praktische Anwendung.“

Die Europäische Kommission hat zur Umsetzungsunterstützung im Juli Leitlinien veröffentlicht, die den Anwendungsbereich und die praktische Umsetzung der Transparenzpflichten konkretisieren. Ergänzend steht ein freiwilliger europäischer Praxisleitfaden für die technische Markierung und Offenlegung KI-generierter Inhalte zur Verfügung. Damit erhalten Anbieter und Betreiber eine gemeinsame Orientierung für eine einheitliche und verhältnismäßige Umsetzung. Über die KI-Servicestelle der RTR-GmbH können außerdem Informationen und Grafiken zu den Transparenzpflichten auf Deutsch genutzt werden. Das Bundeskanzleramt (BKA) hat im Rahmen der Public AI Initiative ein eigenes Kennzeichnungsmodell für KI-Services der Bundesverwaltung entwickelt. Es soll Bürgerinnen und Bürgern auf einen Blick zeigen, wann KI in einem digitalen Verwaltungsservice eingesetzt wird, und damit rasch Orientierung geben.

Das Modell geht über den bloßen Hinweis „Hier kommt KI zum Einsatz“ hinaus. Ein Info-Button zeigt die Kennzeichnung und eine von vier Kategorien. Diese ergibt sich aus zwei Fragen: Wie eigenständig handelt das System und welche Auswirkungen können dessen Ergebnisse für betroffene Menschen haben? Die Kennzeichnung ist kein Güte- oder Qualitätssiegel, sondern ein Transparenzinstrument.

In einer weiteren Ausbaustufe soll eine unabhängige, schlank aufgestellte Clearing- und Beratungsstelle die Bundesministerien und nachgeordneten Dienststellen bei der einheitlichen Anwendung der KI-Kennzeichnung und Bewertung von KI-Systemen unterstützen. Damit erhalten die Verfahrensverantwortlichen zusätzliche Unterstützung, um den Einsatz aller eingesetzten KI-Systeme gegenüber den Bürgerinnen und Bürgern transparent zu gestalten. Dadurch können Bürgerinnen und Bürger sowie Unternehmen darauf vertrauen, dass alle KI-Systeme der öffentlichen Verwaltung gleich gekennzeichnet werden.

Erstmals kommt das Kennzeichnungsmodell beim neuen Chatbot „ida“ zur Anwendung. Die intelligente digitale Assistenz steht dann in der ID-Austria-App sowie auf oesterreich.gv.at und id-austria.gv.at zur Verfügung. Der Chatbot beantwortet in natürlicher Sprache Fragen zur ID Austria, zu digitalen Verwaltungsservices und zu Wohnsitzangelegenheiten. Nutzerinnen und Nutzer erkennen von Beginn an, dass sie mit einem KI-System kommunizieren.

Durch mehrwöchige Fachtests mit mehr als 4.600 Testanfragen wurde die Antwortqualität von ida vor dem Start umfassend geprüft und laufend fachlich sowie technisch optimiert. Damit wurden Genauigkeit und Verlässlichkeit der Antworten bestmöglich erhöht. Da generative KI im Einzelfall dennoch unvollständige oder fehlerhafte Antworten liefern kann, weist ida die zugrunde liegenden offiziellen Quellen transparent aus.„Transparenz darf kein Kleingedrucktes sein. Unsere Kennzeichnung zeigt nicht nur, dass KI eingesetzt wird, sondern erklärt auch, wie selbstständig ein System arbeitet und welche Bedeutung seine Ergebnisse haben können. Damit schaffen wir Orientierung und stärken das Vertrauen in digitale Verwaltungsservices“, so Pröll.

Fehlende KI-Dokumentation wird zum Bewertungsrisiko
Mit den neuen Vorgaben gewinnt künstliche Intelligenz auch im M&A-Prozess neben ihrer Rolle als Wachstums­argument zunehmend als Prüfungsgegenstand an Bedeutung. Was Unternehmen regulatorisch einordnen und dokumentieren müssen, wird künftig auch in der Due Diligence, also bei der Prüfung eines Unternehmens vor dem Kauf, gezielt hinterfragt. Dadurch werden nicht nur Systeme, Datenflüsse und Zuständigkeiten sichtbarer, sondern auch mögliche Schwächen wie starke Abhängigkeiten von Drittanbietern, unklare Eigentums- oder Nutzungsrechte und fehlende Verantwortlichkeiten oder Kontrollprozesse. Gerade darin liegt für viele Unternehmen bereits im Vorfeld eines Verkaufs ein wichtiger Warnhinweis: Was heute regulatorisch dokumentiert werden muss, kann morgen zum Thema bei der Unternehmensbewertung, in Vertragsverhandlungen und bei der Verteilung von Haftungsrisiken werden.

„Käufer werden künftig genauer wissen wollen, welche KI-Systeme im Unternehmen eingesetzt werden, welche Daten sie nutzen, welche Anbieter beteiligt sind und ob daraus regulatorische oder wirtschaftliche Risiken entstehen“, meint Birger Nahs, Gründer und Managing Partner bei ox8 Corporate Finance. Besonders betroffen sind Unternehmen, deren Produkte stark auf Daten, Automatisierung oder Entscheidungsunterstützung beruhen. Dazu zählen etwa Softwareanbieter, FinTechs, HealthTechs oder HR-Tech-Anbieter. Für sie ist der EU AI Act nicht nur ein juristischer Rahmen, sondern ein operativer Stresstest. „Denn den weitreichenden KI-Versprechen steht in der Praxis häufig keine ausreichende Dokumentation gegenüber“, so Nahs.

Der M&A-Experte betont weiter: „Viele Unternehmen kommunizieren KI offensiv, haben aber keine vollständige Übersicht darüber, wo sie tatsächlich eingesetzt wird.“ Einzelne Teams nutzen bekannte externe Tools wie Claude oder ChatGPT, während Produktfunktionen auf KI-Schnittstellen oder cloudbasierte Modelle zugreifen. Häufig bleibt unklar, welche Daten in die Anwendungen einfließen, auf welchen Modellen sie basieren, welche Nutzungsrechte bestehen und wem die erzeugten Inhalte oder technologischen Ergebnisse zuzuordnen sind. „Was im Alltag pragmatisch wirkt, kann spätestens bei einer Unternehmensprüfung zum Problem werden“, warnt Nahs.

Denn wenn nicht sauber dokumentiert ist, worauf ein KI-basiertes Produkt aufsetzt und welche Rechte oder Abhängigkeiten damit verbunden sind, entstehen Unsicherheiten darüber, wie viel eigene Technologie tatsächlich im Produkt steckt und welche regulatorischen oder wirtschaftlichen Risiken bestehen. „Genau das kann dann zu erheblichen Nachteilen in der M&A-Transaktion führen“, so Nahs. Der Corporate-Finance-Experte verdeutlicht deshalb: „Wer KI wirtschaftlich nutzen will, muss ihre Funktionsweise, Datenbasis und Abhängigkeiten nachvollziehbar dokumentieren. Sonst wird aus einem Innovationsargument sehr schnell eine Unsicherheitsquelle.“

Externe KI-Modelle sind kein Problem – fehlende Kontrolle schon  
Das betrifft auch die Nutzung externer KI-Modelle und Infrastrukturen. Viele Unternehmen arbeiten mit Standardmodellen, Schnittstellen oder cloudbasierten Diensten – problematisch ist das nicht per se. Entscheidend ist jedoch, wie klar sich erklären lässt, welche Teile der KI-Technologie selbst entwickelt wurden und welche auf externen Standardmodellen oder Schnittstellen basieren.

„Käufer prüfen sehr genau, wo die technologische Eigenleistung eines Unternehmens tatsächlich liegt“, sagt Nahs. „Kann nicht sauber abgegrenzt werden, was selbst entwickelt wurde und was im Kern auf zugekaufter Infrastruktur oder externen Modellen aufsetzt, schwächt das häufig die Verhandlungsposition des Verkäufers. Im Extremfall kann die Transaktion daran sogar scheitern – insbesondere dann, wenn sich im Rahmen der Due Diligence herausstellt, dass die vermeintlich eigene KI-Technologie überwiegend auf externen Modellen basiert und der selbst entwickelte Anteil deutlich geringer ist als ursprünglich angenommen.”

AI-Washing wird im Deal-Prozess zum Risiko 
Für den M&A-Prozess rückt damit zunehmend die Frage in den Fokus, wie belastbar die Darstellung des Geschäftsmodells rund um KI tatsächlich ist. Je weniger klar dokumentiert ist, welche technologische Substanz und Datenbasis vorhanden sind, welche externen Abhängigkeiten bestehen und wer Verantwortung trägt, desto eher entstehen in der Due Diligence zusätzliche Rückfragen und längere Prüfungsphasen. Lassen sich regulatorische Risiken dabei nicht abschließend bewerten, versuchen Käufer häufig, Teile dieser Unsicherheit vertraglich abzusichern – etwa über Garantien oder variable, an spätere Ziele gekoppelte Kaufpreisbestandteile, Kaufpreiseinbehalte und zusätzliche Bedingungen für den Abschluss der Transaktion.

Hintergrund ist, dass mögliche Kosten für spätere Compliance-Maßnahmen, regulatorische Anpassungen oder potenzielle Haftungsfälle zum Zeitpunkt der Transaktion oft noch nicht belastbar quantifiziert werden können. Eine nachvollziehbare Darstellung des Geschäftsmodells hilft, solche Unsicherheiten früh einzuordnen und Glaubwürdigkeitsverluste zu vermeiden. Sie reduziert zugleich das Risiko des sogenannten AI-Washings – also den Eindruck, dass ein Unternehmen mehr technologische KI-Substanz verspricht, als tatsächlich vorhanden ist. In einem Regulierungsumfeld, in dem Transparenz, Vertraulichkeit sowie klare Verantwortlichkeiten und Kontrollprozesse stärker in den Fokus rücken, schafft das auf Käuferseite mehr Vertrauen und eine verlässlichere Grundlage für Unternehmensprüfung, Bewertung und Vertragsverhandlung.

Wer jetzt Struktur schafft, gewinnt später Zeit 
Im nächsten Schritt müssen Unternehmen ihre KI-Landschaft systematisch sichtbar machen. Nahs plädiert dabei für Pragmatismus statt Panik: „Die aktuellen Diskussionen erinnern an die Einführung der DSGVO. Auch damals war die Unsicherheit groß und viele Prozesse mussten erst entstehen. Entscheidend ist, dass Unternehmen jetzt nicht abwarten, sondern Struktur schaffen.“ Wer früh dokumentiert, kann auf spätere Prüfungen schneller und glaubwürdiger reagieren. Ähnlich dürfte sich auch der Umgang mit dem EU AI Act im M&A-Umfeld entwickeln.

Die Einhaltung der KI-Vorgaben wird voraussichtlich zu einem zusätzlichen Prüfungsfeld zwischen rechtlicher und technischer Unternehmensprüfung. „Das kann Transaktionen kurzfristig komplexer und aufwendiger machen. Dass Unternehmen in frühen Phasen noch nicht vollständig vorbereitet sind, ist derzeit nicht ungewöhnlich”, weiß Nahs. Er ordnet ein: „Mit wachsender regulatorischer Reife dürften sich jedoch auch hier standardisierte Prüfungsansätze und eingespielte Marktpraktiken entwickeln.” Unternehmen, die ihre KI-Systeme, Rechte und externen Abhängigkeiten heute sauber dokumentieren, reduzieren daher nicht nur regulatorische Risiken. Sie schaffen zugleich bessere Voraussetzungen für einen schnelleren und verlässlicheren Verkaufsprozess. (BO)


INFO-BOX
AI Act: Übersicht der wesentlichen Inhalte
Einen Überblick über die Anforderungen des EU AI Act sowie praktische Informationen für Unternehmen bietet die Wirtschaftskammer Österreich sowie die Info-Website der RTR.

www.wko.at/digitalisierung/ai-act-eu

www.rtr.at/rtr/service/ki-servicestelle/ai-act/Transparenzpflichten.de.html