KI-Einsatz verdoppelt, EU-Frist in drei Monaten

Vier von zehn deutschen Unternehmen setzen Künstliche Intelligenz bereits aktiv ein, doppelt so viele wie noch im Vorjahr. Doch 64 Prozent dieser Firmen arbeiten ohne formale KI-Strategie, während der EU AI Act am 2. August 2026 erstmals echte Bußgelder ermöglicht. Wer bis dahin nicht nachweisen kann, dass seine KI-Systeme in Hochrisikobereichen den gesetzlichen Anforderungen genügen, riskiert Sanktionen bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes.

Verdopplung binnen zwölf Monaten

Der Digitalverband Bitkom hat Anfang 2026 rund 600 Unternehmen mit mindestens 20 Beschäftigten zu ihrem KI-Einsatz befragt. Das Ergebnis überrascht selbst Branchenkenner: Der Anteil der aktiven KI-Nutzer ist von 17 Prozent auf 41 Prozent gestiegen. Gleichzeitig sagt nur noch jedes sechste Unternehmen, KI sei für es kein Thema. 2025 war es noch jedes zweite Unternehmen. Weitere 48 Prozent planen den Einstieg oder befinden sich in der Diskussionsphase. Damit beschäftigt sich erstmals nahezu jedes Unternehmen in Deutschland mit dem Thema.

Wofür setzen die Firmen KI ein? Das Bild ist noch überschaubar. 68 Prozent der KI-Nutzer verwenden Sprachmodelle für Texterstellung, 54 Prozent analysieren Dokumente und Daten, 41 Prozent automatisieren Kundenkommunikation. Anspruchsvollere Anwendungen wie KI-gestützte Softwareentwicklung (16 Prozent) und Personalmanagement (12 Prozent) sind die Ausnahme. Die Mehrzahl der Unternehmen hat also generative KI in einzelne Arbeitsprozesse integriert, nutzt sie aber noch nicht für tiefgreifende Unternehmenssteuerung.

Schnell adoptiert, schlecht geplant

Die Studie zeigt einen strukturellen Widerspruch: 77 Prozent der KI-Nutzer berichten von einer verbesserten Wettbewerbsposition und 52 Prozent verbuchen einen messbaren Beitrag zum Unternehmenserfolg. Gleichzeitig sagen 33 Prozent, die Kosten hätten ihre Erwartungen übertroffen. Versteckte Ausgaben für Training, Integration und Datenqualität übersteigen die Lizenzkosten häufig um 50 bis 100 Prozent. 19 Prozent der Unternehmen haben im Zuge des KI-Einsatzes Stellen abgebaut oder nicht neu besetzt.

Das größte Einzelhindernis ist menschlich, nicht technisch. 53 Prozent nennen fehlende Kompetenzen der Mitarbeiterinnen und Mitarbeiter als wichtigstes Hemmnis, vor rechtlichen Unsicherheiten im Datenschutz und bei der Regulierung (44 Prozent) und dem Integrationsaufwand in bestehende Prozesse (39 Prozent). Besonders auffällig ist die Strategielücke: 64 Prozent der KI-nutzenden Unternehmen operieren ohne formale KI-Strategie. Sie experimentieren, ohne zu definieren, welche Ziele KI in welchem Zeithorizont erreichen soll.

Das ist kein Randphänomen. Bei einem Anteil von 41 Prozent aktiver KI-Nutzer unter rund 3,4 Millionen deutschen Unternehmen mit mindestens 20 Beschäftigten bedeutet dies: Hunderttausende Firmen setzen Systeme ein, die potenzielle Hochrisikoanwendungen darstellen könnten, ohne geprüft zu haben, welche gesetzlichen Anforderungen damit verbunden sind.

Der Stichtag im August und seine Folgen

Am 2. August 2026 setzt der EU AI Act die ersten harten Fristen. Unternehmen, die KI-Systeme in sogenannten Hochrisikobereichen einsetzen, müssen ab diesem Datum lückenlos nachweisen, dass ihre Systeme den gesetzlichen Anforderungen genügen. Zu den Hochrisikobereichen zählen Personalentscheidungen wie Bewerberauswahl und Mitarbeiterbewertung, Kreditvergabe und Bonitätsprüfung, biometrische Identifikation sowie Systeme, die kritische Infrastruktur steuern.

Was Compliance konkret bedeutet: Unternehmen müssen eine Risikoanalyse durchführen und dokumentieren, technische Unterlagen finalisieren, eine CE-Kennzeichnung anbringen und ihre Systeme in der EU-Datenbank für Hochrisiko-KI registrieren. Die menschliche Aufsicht über Systementscheidungen muss organisatorisch verankert sein. In Deutschland übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Durchsetzung und hat angekündigt, ab August aktiv zu prüfen.

Die Frist ist knapp. Wer jetzt beginnt, hat drei Monate für Prozesse, die Prüfer, Anwälte und Techniker voraussetzen. Laut Branchenbeobachtern dauert eine vollständige Risikoklassifizierung und CE-Kennzeichnung für ein komplexes System zwischen vier und acht Monaten. Unternehmen, die erst im August reagieren, sind schlicht zu spät.

Wertschöpfungspotenzial gegen Regulierungsscheu

Die Zurückhaltung bei der Compliance ist vor dem Hintergrund hoher Erwartungen an das Wertschöpfungspotenzial schwer verständlich. Bitkom schätzt, dass KI Deutschlands Bruttowertschöpfung um bis zu 330 Milliarden Euro pro Jahr steigern könnte, wenn jedes zweite Unternehmen die Technologie produktiv einsetzt. Wirtschaftsminister Robert Habeck hatte den EU AI Act bei seiner Verabschiedung als Chance bezeichnet, Europas Technologiesektor durch klare Spielregeln Planungssicherheit zu geben.

Ralf Wintergerst, Präsident von Bitkom, sieht in der Regulierungsunsicherheit einen wesentlichen Grund dafür, dass Deutschland trotz hoher Adoption noch nicht zu den KI-Vorreitern zählt. „Wir brauchen Klarheit über Anforderungen, nicht Angst vor ihnen", sagte er im April 2026. Dass 44 Prozent der Unternehmen Datenschutz und Rechtsfragen als Haupthindernis nennen, zeigt, dass die Kommunikation der EU-Kommission und der deutschen Behörden die Betriebe noch nicht erreicht hat.

Was als Nächstes kommt

Ab dem 2. August 2026 prüft das BSI aktiv, ob KI-Systeme in Hochrisikobereichen die gesetzlichen Anforderungen erfüllen. Wer bis dahin keine Risikoklassifizierung abgeschlossen hat, kann nicht beurteilen, ob er betroffen ist. Das BSI kann Bußgelder, Betriebsuntersagungen oder Systemrückrufe verhängen. Für den deutschen Mittelstand ist das die härteste regulatorische Probe im KI-Bereich seit Inkrafttreten der Datenschutzgrundverordnung 2018. Die nächsten drei Monate entscheiden, ob aus dem Adoptionsboom auch ein Complianceboom wird oder eine Welle aus Bußgeldbescheiden.