Cybersicherheit: Was deutsche Unternehmen wissen müssen (2026)

Cybersicherheit-KI wird in deutschen Unternehmen immer häufiger. Der EU AI Act legt klare Anforderungen fest, abhängig davon, wie diese Systeme genutzt werden und welche Entscheidungen sie beeinflussen.

Risikoklassifizierung

Cybersicherheit-Anwendungen sind minimal risk. Die Schlüsselfrage: Trifft oder beeinflusst Ihre KI erheblich Entscheidungen, die Rechte, Sicherheit oder Zugang zu Diensten von Menschen betreffen?

Die meisten operativen Nutzungen unterliegen leichteren Anforderungen. Wenn KI folgenreiche Entscheidungen über Einzelpersonen berührt, eskalieren Anforderungen zu Hochrisiko-Compliance.

Transparenzanforderungen

Unabhängig von der Risikoklassifizierung müssen Sie offenlegen, wenn Menschen direkt mit Ihrer KI interagieren und denken, es sei ein Mensch. Artikel 50 des AI Act macht das nicht verhandelbar.

Für generierten Inhalt, der mit menschlich erstelltem verwechselt werden könnte, gelten Kennzeichnungsanforderungen.

Deutsche Besonderheiten

Betriebsratsrechte nach §87 BetrVG gelten, wenn KI-Systeme Mitarbeiter betreffen. Datenschutz nach DSGVO schichtet sich auf AI-Act-Anforderungen. Branchenspezifische Vorschriften können weitere Pflichten hinzufügen.

Was das praktisch bedeutet

Kartieren Sie Ihre Cybersicherheit-KI-Systeme. Klassifizieren Sie deren Risikoniveau basierend darauf, wie sie genutzt werden und welche Entscheidungen sie beeinflussen. Implementieren Sie angemessene Transparenz. Dokumentieren Sie Ihren Compliance-Ansatz.

Sicherheitsteams, die Datadog KI-gestützte Monitoring-Funktionen oder Azure OpenAI Compliance-Funktionen für Bedrohungserkennung einsetzen, sollten deren Datenverarbeitungslogik und Transparenzanforderungen sorgfältig dokumentieren. Besonders ausgeprägte Anforderungen gelten für KI-Systeme im Finanzdienstleistungssektor und für KI im öffentlichen Sektor und bei Behörden. Unser EU AI Act Compliance-Hub bietet einen umfassenden Überblick über alle EU-AI-Act-Pflichten.

Die August-2025-Transparenzfrist und August-2026-Hochrisiko-Frist rücken näher.

So hilft Compound Law

• KI-Inventar und Risikoklassifizierung
• Compliance-Framework angemessen für Ihr Risikoniveau
• Transparenz-Implementierung
• Betriebsratskoordination wo anwendbar
• DSGVO-Integration
• Laufende Compliance-Überwachung

Häufig gestellte Fragen

Ist Cybersicherheit-KI typischerweise Hochrisiko? Sie ist minimal risk. Systeme, die folgenreiche Entscheidungen über Einzelpersonen treffen, unterliegen strengeren Anforderungen.

Brauchen wir Betriebsratszustimmung? Wenn die KI Mitarbeiter oder deren Arbeitsbedingungen betrifft, wahrscheinlich ja nach §87 BetrVG.

Wann treten Anforderungen in Kraft? Transparenzanforderungen: August 2025. Volle Hochrisiko-Compliance: August 2026.