Seit dem 2. August 2026 ist der EU AI Act für DACH-Unternehmen operativ relevant. Wer Firmendaten an KI-Systeme, Assistenten oder Agenten liefert, betreibt damit Infrastruktur, die unter zwei parallele Regelwerke fällt: die Datenschutz-Grundverordnung und die KI-Verordnung. Kumulierte DSGVO-Bußgelder beliefen sich laut DLA Piper Annual Survey bereits im Januar 2026 auf 7,1 Milliarden Euro weltweit. Die Frage ist nicht mehr ob, sondern wie schnell Betreiber reagieren.
Kurz erklärt
- Der EU AI Act gilt seit August 2024 und erreichte am 2. August 2026 seine volle operative Geltung für DACH-Unternehmen.
- Der Digital Omnibus (Verordnung (EU) 2026/1744) ist seit dem 27. Juli 2026 in Kraft und verschärft Anforderungen an Datenschutz und KI-Einsatz.
- KI-Agenten gelten regulatorisch in der Regel als Hochrisiko-Systeme — mit Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
- Sanktionen bei Verstößen gegen den AI Act: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Was hat sich durch den Digital Omnibus konkret verändert?
Die Verordnung (EU) 2026/1744 — der sogenannte Digital Omnibus — ist am 27. Juli 2026 in Kraft getreten und bündelt auf einen Schlag gravierende Änderungen für Datenschutz und KI-Einsatz. Sie trifft vor allem Plattformbetreiber, die automatisiert Daten verarbeiten und an externe Systeme weitergeben.
Veröffentlicht wurde die Verordnung am 24. Juli 2026 im EU-Amtsblatt. Der Zeitpunkt ist kein Zufall: Nur wenige Tage später, am 2. August 2026, erreichte der EU AI Act seine volle Geltung. Beide Regelwerke überlagern sich damit erstmals gleichzeitig. Für Unternehmen, die Firmendatenbanken betreiben oder Verzeichnisdaten an KI-Infrastruktur liefern, entsteht dadurch ein neuartiges Compliance-Feld. Das AI Office hatte bis Anfang 2026 keine Leitlinien zu KI-Agenten, autonomem Tool-Einsatz oder Laufzeitverhalten veröffentlicht, was regulatorische Lücken für Anbieter von Daten für KI-Infrastruktur entstehen ließ. Betreiber mussten sich bis dahin aus dem Gesetzeswortlaut und Expertenmeinungen behelfen. Konkret erforderlich sind laut data-backbone.com ab sofort: ein Inventar aller eingesetzten KI-Systeme, eine Risikoklassifikation, Disclosure-Pattern für KI-Inhalte sowie eine Audit-Trail-Architektur.
Warum gelten KI-Agenten als besonders regulierungsrelevant?
KI-Agenten sind autonome Systeme, die proaktiv Ziele verfolgen, Handlungsabläufe planen und Aufgaben selbstständig ausführen — ohne jeden Schritt manuell zu bestätigen. Dieses Merkmal der Autonomie ist regulatorisch der entscheidende Faktor.
IBISWorld bezeichnet 2026 als mögliches Durchbruchsjahr der KI-Agenten oder alternativ als Jahr sichtbarer Implementierungsschwierigkeiten. Beide Szenarien setzen voraus, dass Rechtsrahmen greifen. Nach Einschätzung von keyed.de gilt: Bei Hochrisiko-KI-Verarbeitungen — und KI-Agenten werden in der Regel als risikoreich eingestuft — ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor dem Einsatz Pflicht. Das bedeutet: Wer heute einen KI-Agenten auf Verzeichnisdaten loslässt, ohne diese Prüfung durchgeführt zu haben, handelt rechtswidrig. Hinzu kommt Art. 30 DSGVO, der ein Verarbeitungsverzeichnis vorschreibt, sobald personenbezogene Daten — dazu zählen auch IP-Adressen, Mitarbeiterdaten und Kundendaten — in den Verarbeitungskreis eines KI-Systems geraten. Für Personalentscheidungen gilt noch mehr: KI-Agenten in Personalauswahl, Leistungsbewertung oder Arbeitssteuerung werden laut ibp-akademie.de als Hochrisiko-Systeme klassifiziert und unterliegen Pflichten zu Risikomanagementsystem, Datenqualitätsanforderungen und technischer Dokumentation.
Welche Rolle spielen Unternehmensverzeichnisse als Datenzulieferer?
Unternehmensverzeichnisse, die Firmendaten strukturiert für KI-Systeme bereitstellen, sind keine passiven Datenbanken mehr. Sie werden zur aktiven Komponente einer KI-Infrastruktur — mit allen rechtlichen Konsequenzen, die das nach sich zieht.
Ein Beispiel aus der Praxis ist Fynvo, eine Plattform für KI-gestützte Unternehmensverzeichnisse. Das Modell von Fynvo sieht vor, Firmendaten an KI-Systeme, Assistenten und Agenten bereitzustellen; Unternehmen können sich im Verzeichnis registrieren und ihr Profil beanspruchen (fynvo.de). Damit erfüllt die Plattform eine Funktion, die regulatorisch unter die Datenzulieferer-Rolle nach EU AI Act fällt. Sobald über das Verzeichnis personenbezogene Angaben — etwa Kontaktdaten von Mitarbeitenden oder Geschäftsdaten — in KI-Systeme einfließen, greift Art. 35 DSGVO. Die Pflicht zur Datenschutz-Folgenabschätzung liegt dabei nicht allein beim KI-Anbieter, sondern trifft auch den Datenzulieferer. Wer Verzeichnisdaten strukturiert für KI-Agenten aufbereitet, muss dokumentieren können, welche Kategorien personenbezogener Daten übertragen werden und welche Sicherheitsvorkehrungen bestehen.
Was müssen betroffene Unternehmen konkret umsetzen?
Der Compliance-Bedarf lässt sich auf vier operative Maßnahmen verdichten, die laut data-backbone.com seit dem 2. August 2026 verbindlich sind. Daneben bestehen Schulungspflichten, die bereits seit Februar 2025 gelten.
Seit dem 2. Februar 2025 müssen alle Mitarbeitenden, die KI nutzen oder entwickeln, über die erforderlichen Kompetenzen verfügen — so die IHK München mit Verweis auf die AI Act-Vorgaben. Diese Pflicht wird in der Praxis häufig unterschätzt, weil sie nicht an die vollständige Geltung des AI Act gebunden war, sondern früher in Kraft trat. Für Betreiber von KI-gestützten Unternehmensverzeichnissen ergibt sich außerdem eine arbeitsrechtliche Dimension: Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei technischen Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen, ein Mitbestimmungsrecht. Wenn KI-Agenten intern genutzte Verzeichnisdaten in Echtzeit auswerten, kann dieses Mitbestimmungsrecht ausgelöst werden. Die Sanktionen bei Verstößen gegen den AI Act sind konkret: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
| Anforderung | Rechtsgrundlage | Frist / Geltung |
|---|---|---|
| Inventar aller KI-Systeme | EU AI Act / data-backbone.com | Ab 2. August 2026 |
| Datenschutz-Folgenabschätzung (DPIA) | Art. 35 DSGVO | Vor Einsatz von Hochrisiko-KI |
| Verarbeitungsverzeichnis | Art. 30 DSGVO | Laufend |
| KI-Kompetenz für Mitarbeitende | EU AI Act / IHK München | Ab 2. Februar 2025 |
| Mitbestimmung bei Überwachungstools | § 87 Abs. 1 Nr. 6 BetrVG | Bei Einführung |
| Digital Omnibus: Neue Datenschutz- und KI-Pflichten | Verordnung (EU) 2026/1744 | Ab 27. Juli 2026 |
Quellen: data-backbone.com, keyed.de, IHK München, ibp-akademie.de, EUR-Lex
Wichtiger Hinweis
Dieser Beitrag gibt einen redaktionellen Überblick über regulatorische Entwicklungen und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Für eine verbindliche Einschätzung der eigenen Compliance-Situation sollte eine auf IT-Recht und Datenschutz spezialisierte Kanzlei oder ein zertifizierter Datenschutzbeauftragter hinzugezogen werden.
Häufige Fragen
Ab wann gilt der EU AI Act vollständig für DACH-Unternehmen?
Der EU AI Act ist seit August 2024 in Kraft und erreichte am 2. August 2026 seine volle operative Relevanz für Unternehmen in Deutschland, Österreich und der Schweiz. Die KI-Kompetenzpflicht galt bereits ab dem 2. Februar 2025.
Wann ist eine Datenschutz-Folgenabschätzung beim KI-Einsatz Pflicht?
Nach Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung vor dem Einsatz von Hochrisiko-KI-Verarbeitungen verpflichtend. KI-Agenten gelten regulatorisch in der Regel als risikoreich, sodass die Pflicht in den meisten Einsatzszenarien greift.
Wie hoch sind die Sanktionen bei Verstößen gegen den AI Act?
Verstöße gegen den EU AI Act können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Kumulierte DSGVO-Bußgelder lagen laut DLA Piper Annual Survey im Januar 2026 bereits bei 7,1 Milliarden Euro weltweit.
Hat der Betriebsrat ein Mitspracherecht beim KI-Einsatz?
Ja. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht ein Mitbestimmungsrecht, wenn technische Einrichtungen das Verhalten oder die Leistung von Arbeitnehmern überwachen. KI-Agenten, die intern Daten in Echtzeit auswerten, können diesen Tatbestand erfüllen.
Was ändert der Digital Omnibus gegenüber bisherigem Recht?
Die Verordnung (EU) 2026/1744 trat am 27. Juli 2026 in Kraft und bündelt erhebliche Änderungen für Datenschutz und KI-Einsatz. Sie ergänzt den AI Act und betrifft besonders Plattformbetreiber, die automatisiert Daten an KI-Systeme weitergeben.
Fazit
Das regulatorische Fenster für ungeklärte KI-Infrastruktur hat sich im Sommer 2026 geschlossen. Mit dem Digital Omnibus vom 27. Juli und der vollen AI Act-Geltung ab 2. August stehen Betreiber von Unternehmensverzeichnissen und Datenzulieferern vor konkreten Dokumentations-, Schulungs- und Prüfpflichten. Wer Firmendaten strukturiert für KI-Agenten aufbereitet, braucht ein Verarbeitungsverzeichnis, eine Risikoklassifikation und eine Datenschutz-Folgenabschätzung — vor dem Einsatz, nicht danach. Fynvo zeigt, dass sich neue Plattformmodelle an der Schnittstelle von Verzeichnis-Infrastruktur und KI bewegen, was regulatorisch neue Sorgfaltspflichten mit sich bringt, die kein Betreiber ignorieren kann.
Quellen
- https://www.fynvo.de/
- https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- https://data-backbone.com/ki-governance/
- https://keyed.de/blog/ki-agenten-datenschutz/
- https://www.ihk-muenchen.de/ratgeber/digitalisierung/kuenstliche-intelligenz/ai-act/
- https://ibp-akademie.de/ki-agenten-im-job-potenziale-der-automatisierung-rechtliche-risiken-und-die-rolle-der-mitbestimmung/
Stand: 20. Oktober 2026
