Das AI-Gesetz und die Verarbeitung von Unternehmensdokumenten – was erwartet Unternehmen im Jahr 2026?

Künstliche Intelligenz ist schon lange keine technologische Neuheit mehr – sie ist ein alltägliches Werkzeug für die Arbeit mit Dokumenten, Daten und Kommunikation in Unternehmen jeder Größe. Mit ihrer zunehmenden Verbreitung tritt die EU-Verordnung „AI Act“ in Kraft, die die Regeln für die Nutzung solcher Lösungen festlegt. Für Unternehmen, die täglich mit großen Mengen an Unterlagen – finanzieller, rechtlicher und transaktionsbezogener Art – arbeiten, ist dies ein Thema, das man nicht auf die lange Bank schieben sollte.

Was genau ändert sich im Jahr 2026?

Im Sommer 2026 wurde ein Änderungspaket zum AI Act verabschiedet, das als „Digital Omnibus“ bekannt ist und mit dem einige Fristen für die Umsetzung der Vorschriften verschoben wurden. Dies bedeutet jedoch keine allgemeine Verschiebung der Verpflichtungen – das ist eine Fehlinterpretation, die man gleich klarstellen sollte.

Die Novelle verschiebt vor allem:

• die Verpflichtungen für eigenständige KI-Systeme mit hohem Risiko – auf Dezember 2027,

• die Verpflichtungen für Systeme mit hohem Risiko, die in andere Produkte integriert sind – auf August 2028,

• die Frist für die Einrichtung nationaler regulatorischer Sandkästen – auf August 2027.

Die Transparenzpflichten wurden hingegen nicht verschoben, und diese betreffen die größte Gruppe von Unternehmen, da sie ab dem 2. August 2026 gelten und weder den Einsatz fortschrittlicher Technologien noch komplizierter Verfahren erfordern. Für wen gelten die Transparenzpflichten?

Dies ist einer der am häufigsten übersehenen Aspekte des AI Act – es reicht bereits aus, dass ein Unternehmen einen Chatbot auf seiner Website, einen Generator für Marketinginhalte oder ein Tool zur automatischen Übersetzung von Dokumenten nutzt, um diesen Vorschriften zu unterliegen.

In der Praxis bedeutet dies, dass folgende Maßnahmen erforderlich sind:

• den Nutzer darüber zu informieren, dass er mit einem KI-System interagiert (z. B. bei Chatbots im Kundenservice),

• Inhalte zu kennzeichnen, die von einer KI generiert oder wesentlich verändert wurden,

• eine grundlegende Dokumentation über die verwendeten KI-Tools zu führen.

  
  

Für Unternehmen, die mit vertraulichen Unterlagen arbeiten – sei es im Rahmen von Transaktions-, Rechts- oder Finanzprozessen –, ist noch ein weiterer Aspekt von besonderer Bedeutung: die Verpflichtung, bei den Mitarbeitern, die solche Tools nutzen, ein angemessenes Maß an KI-Kompetenz (KI-Literacy) sicherzustellen. Diese Anforderung gilt bereits ab Februar 2025.

KI und personenbezogene Daten in Dokumenten – vergessen wir die DSGVO nicht

Das KI-Gesetz gilt nicht isoliert von anderen Vorschriften. Wenn ein KI-Tool Dokumente verarbeitet, die personenbezogene Daten enthalten – was in der Praxis auf den Großteil der Unternehmensunterlagen zutrifft –, kommt auch die DSGVO zum Tragen. Nach Auffassung der Datenschutzbehörde ist bei der Einführung von KI fast immer die Durchführung einer Datenschutz-Folgenabschätzung (DPIA) erforderlich, insbesondere bei der Verarbeitung von Daten in großem Umfang oder bei der automatisierten Entscheidungsfindung.

Es lohnt sich, eine solche Bewertung durchzuführen, bevor das Tool im täglichen Einsatz zum Einsatz kommt, und nicht erst im Nachhinein. Dies erleichtert die Gespräche mit Kunden und Geschäftspartnern erheblich, die Dienstleister immer häufiger direkt nach der Konformität der eingesetzten KI-Tools mit der DSGVO fragen.

Was bedeutet das in der Praxis für Unternehmen, die mit Unterlagen arbeiten?

Für Organisationen, die tagtäglich KI-Tools zur Analyse, Kategorisierung oder Übersetzung von Dokumenten einsetzen – beispielsweise im Rahmen von Due-Diligence-Prüfungen, Audits oder Transaktionen –, ist bereits jetzt Folgendes von entscheidender Bedeutung:

• die Erstellung einer Übersicht über die eingesetzten KI-Tools – welche Prozesse und Dokumente davon betroffen sind,

• die Überprüfung der Anbieter – ob die vom Unternehmen genutzten KI-Tools (eigene oder von Partnern bereitgestellte) die Anforderungen an Transparenz und Datensicherheit erfüllen,

• die Aktualisierung der Verträge mit den Anbietern – um Bestimmungen zu Informationspflichten, Datensicherheit und Nachvollziehbarkeit, die Schulung des Teams – gemäß der bereits geltenden Verpflichtung zur KI-Kompetenz.

Das Audit und die Erstellung der entsprechenden Dokumentation dauern bei einem mittelständischen Unternehmen in der Regel einige bis mehrere Wochen; daher sind Juli und August 2026 der letzte Zeitpunkt, um diese Angelegenheiten ohne Zeitdruck zu regeln.

Datensicherheit als gemeinsamer Nenner

Unabhängig davon, in welcher Phase der Umsetzung des AI Act sich ein Unternehmen befindet, bleibt eines unverändert: Dokumente, die von KI-Tools verarbeitet werden – insbesondere vertrauliche Dokumente, Transaktionsdaten oder solche, die personenbezogene Daten enthalten – sollten in einer sicheren, kontrollierten Umgebung verbleiben. Die Nutzung von Lösungen, die Dokumente lokal innerhalb eines gesicherten Systems verarbeiten, anstatt sie an externe, nicht verifizierte Tools zu übermitteln, erleichtert sowohl die Einhaltung des AI Act als auch der DSGVO erheblich.

Zusammenfassung

Der AI Act ist kein einmaliges Umsetzungsprojekt, sondern eine Veränderung der Art und Weise, wie Unternehmen KI-Tools im Alltag einsetzen. Die Verschiebung der Fristen für Systeme mit hohem Risiko sollte nicht zur Nachlässigkeit verleiten – die Transparenzpflichten gelten bereits ab August 2026 und betreffen praktisch jedes Unternehmen, das KI einsetzt, auch bei der täglichen Arbeit mit Dokumenten.

Über uns

DealDone ist ein spezialisiertes Unternehmen, das hochwertige Produkte im Bereich der Informations- und Datensicherheit anbietet. Wir bieten Digitalisierungsdienstleistungen sowie Software im Bereich moderner Technologien für den Umgang mit vertraulichen Informationen, geheimen Informationen und sensiblen Daten sowie für die Digitalisierung, Sicherung, Verschlüsselung und Bereitstellung von Daten und Dokumenten innerhalb und außerhalb von Organisationen.

Seit fast 15 Jahren ist DealDone auf die Bereitstellung von Lösungen für die Digitalisierung, Archivierung und Bereitstellung von Dokumenten in Form eines Document Management Systems (DMS) oder eines Virtual Data Room (VDR) spezialisiert.

DealDone hat das VDR-System SECUDO eigenständig entwickelt und auf den Markt gebracht. SECUDO ist eine Plattform für die sichere Digitalisierung, Archivierung, den Austausch und die Verarbeitung von Unternehmensdokumenten und -daten, die als Cloud-Lösung im Software-as-a-Service-Modell für Geschäftskunden angeboten wird.

DealDone ist zudem Eigentümer der Portale www.platformainwestora.pl und www.sprzedamfirme.com, mit denen das Unternehmen Transaktionsprozesse im Zusammenhang mit dem Verkauf von Unternehmen, der Kapitalbeschaffung und der Suche nach Investoren für Projekte unterstützt.

Im Jahr 2025 schloss sich DealDone der internationalen Plattform Dealsuite (www.dealsuite.com) an, die Fachleute im Bereich Fusionen und Übernahmen (M&A) unterstützt. Dank dieser Zusammenarbeit können wir noch effektiver auf die Bedürfnisse des Marktes eingehen und unseren Kunden VDR SECUDO anbieten – eine sichere und intuitive Lösung für das Dokumentenmanagement in Transaktionsprozessen.