Aktualisiert am 9. Oktober 2026
Das Wichtigste in Kürze
- KI: Die EU-KI-Verordnung (AI Act) gilt seit dem 2. August 2026 in weiten Teilen. Hochrisiko-Pflichten folgen gestaffelt 2027 und 2028. KI-generierte Inhalte müssen zunehmend gekennzeichnet werden.
- Cloud: Der EU Data Act gilt seit dem 12. September 2025. Er erleichtert den Wechsel des Cloud-Anbieters und gibt dir Zugriff auf Daten vernetzter Geräte.
- Sicherheit: Das deutsche NIS2-Umsetzungsgesetz ist in Kraft. Der Cyber Resilience Act bringt ab 11. September 2026 erste Meldepflichten für Hersteller vernetzter Produkte.
- Für dich privat: Passkeys statt Passwörter, Updates ernst nehmen, Smart-Home-Geräte mit zugesagter Update-Dauer kaufen.
1. Künstliche Intelligenz: vom Chatbot zum Alltagswerkzeug
KI steckt 2026 nicht mehr nur in Chat-Apps, sondern direkt in Betriebssystemen, Office-Programmen, Suchmaschinen und Smartphones. Der nächste Schritt sind KI-Agenten, die nicht nur Texte schreiben, sondern Aufgaben erledigen: Termine koordinieren, Formulare ausfüllen, im Browser recherchieren.
Damit wächst die Frage, was mit deinen Daten passiert. KI-Systeme verarbeiten große Mengen an Informationen, oft auch personenbezogene. Unternehmen müssen nach DSGVO erklären, welche Daten sie wofür nutzen, und du hast ein Auskunftsrecht.
Was der AI Act 2026 konkret bedeutet
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken (z. B. Social Scoring), Pflicht zur KI-Kompetenz in Unternehmen |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance, Sanktionen |
| 2. August 2026 | Übrige Vorschriften greifen, soweit nicht anders geregelt |
| 2. Dezember 2026 | Bestehende Systeme, die synthetische Texte, Bilder, Audio oder Videos erzeugen, müssen die Kennzeichnungspflicht (Art. 50 Abs. 2) erfüllen |
| 2027 / 2028 | Anforderungen an Hochrisiko-KI greifen gestaffelt |
Quelle: Umsetzungszeitplan auf artificialintelligenceact.eu (Stand September 2026). Die Fristen wurden politisch nachverhandelt. Wer KI im Unternehmen einsetzt, sollte den aktuellen Stand bei der zuständigen Aufsicht (in Deutschland ist dafür die Bundesnetzagentur vorgesehen) oder bei Fachanwälten prüfen.
Praxis-Tipp: Gib in öffentliche KI-Tools keine Kundendaten, Passwörter oder Geschäftsgeheimnisse ein, solange dein Arbeitgeber das nicht ausdrücklich erlaubt und ein Vertrag zur Auftragsverarbeitung besteht.
2. Cloud: mehr Wahlfreiheit, gleiche Verantwortung
Cloud-Dienste sind für Unternehmen Standard: flexibel skalierbar, ohne eigene Server-Hardware. Der Haken bleibt die Sicherheit – Cloud-Konten sind ein beliebtes Angriffsziel, und die meisten Vorfälle entstehen durch falsche Konfiguration oder gestohlene Zugangsdaten, nicht durch Lücken beim Anbieter.
Die Verantwortung ist geteilt: Der Anbieter sichert die Infrastruktur, du bzw. dein Unternehmen sichert Zugänge, Rechte und Daten. Datenschutzrichtlinien und innovative Systeme wie ein fortschrittliches ISMS , also ein Information Security Management System, helfen dabei, zu jeder Zeit sichere Standards zu gewährleisten und den Datenschutz damit auch in der Cloud sicherzustellen. Ein ISMS nach ISO/IEC 27001 oder auf Basis von BSI IT-Grundschutz legt fest, wer wofür verantwortlich ist, wie Risiken bewertet werden und wie auf Vorfälle reagiert wird.
Was der Data Act ändert
- Anbieterwechsel: Cloud-Anbieter müssen den Wechsel zu einem Konkurrenten ermöglichen. Ab dem 12. Januar 2027 dürfen sie dafür keine Wechselentgelte mehr verlangen.
- Daten vernetzter Geräte: Nutzer von vernetzten Produkten, vom Auto bis zur smarten Waschmaschine, erhalten Zugang zu den Daten, die ihr Gerät erzeugt, und können sie an Dritte weitergeben lassen, etwa an eine freie Werkstatt.
- Serverstandort: Er bleibt wichtig. Bei Anbietern mit Sitz in den USA stützt sich der Datentransfer auf das EU-US Data Privacy Framework; wer auf Nummer sicher gehen will, wählt Rechenzentren in der EU und Verschlüsselung mit eigenem Schlüssel.
Wie Unternehmen Backups in der Cloud sinnvoll aufsetzen, zeigt unser Beitrag zu Cloud-Backup.
3. Smart Devices: sicherer per Gesetz
Vom Saugroboter bis zur Türklingel: Vernetzte Geräte sammeln Daten und waren lange ein Sicherheitsrisiko – mit Standardpasswörtern, fehlenden Updates und offenen Ports. Ein gehacktes Gerät kann als Einfallstor ins Heimnetz dienen.
Die EU setzt hier zwei Hebel an:
- Funkgeräte-Richtlinie: Seit dem 1. August 2025 müssen neue Funkgeräte, die mit dem Internet kommunizieren, grundlegende Cybersicherheitsanforderungen erfüllen.
- Cyber Resilience Act (CRA): Hersteller von Produkten mit digitalen Elementen müssen ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden. Ab dem 11. Dezember 2027 gelten die vollen Pflichten, etwa Sicherheitsupdates über einen festgelegten Unterstützungszeitraum und keine voreingestellten Standardpasswörter.
Beim Kauf: Achte auf den angegebenen Update-Zeitraum, Unterstützung für den Smart-Home-Standard Matter (herstellerübergreifend und lokal steuerbar) und darauf, ob das Gerät ohne Cloud-Konto funktioniert. Mehr dazu in Die Zukunft des Smart Homes.
4. Cybersicherheit für Unternehmen: NIS2 ist da
Das deutsche Gesetz zur Umsetzung der EU-NIS2-Richtlinie ist in Kraft. Nach Hochrechnungen sind rund 30.000 Unternehmen und Einrichtungen betroffen – deutlich mehr als unter den alten KRITIS-Regeln, darunter viele Mittelständler aus Branchen wie Logistik, Abfallwirtschaft, Lebensmittel oder digitale Dienste. Pflichten sind unter anderem Risikomanagement, Meldung erheblicher Sicherheitsvorfälle an das BSI und die persönliche Verantwortung der Geschäftsleitung. Laut BSI ist die gesetzliche Registrierungsfrist bereits abgelaufen; betroffene Unternehmen, die sich noch nicht gemeldet haben, sollen sich umgehend im BSI-Portal registrieren.
5. Passwörter verlieren an Bedeutung
Passkeys setzen sich 2026 in der Breite durch: Google, Apple, Microsoft, Amazon, PayPal und viele weitere Dienste unterstützen sie. Statt eines Passworts meldest du dich per Fingerabdruck, Gesicht oder Geräte-PIN an – Phishing läuft damit ins Leere. Wie das funktioniert, erklärt unser Artikel Passkeys statt Passwörter.
Datenschutz als Wettbewerbsfaktor
Die DSGVO war nur der Anfang: AI Act, Data Act, NIS2 und Cyber Resilience Act bilden inzwischen ein dichtes Regelwerk. Für Unternehmen bedeutet das mehr Pflichten, aber auch Klarheit. Wer transparent mit Daten umgeht, gewinnt Vertrauen. Im Umkehrschluss bedeutet dies, dass Unternehmen, die nicht nur Innovationen vorantreiben, sondern auch in ihre Sicherheits- und Datenschutztechnologien investieren, die großen Gewinner dieser neuen Ära sein werden.
Checkliste: Was du jetzt tun kannst
Privat
- Für wichtige Konten Passkeys oder Zwei-Faktor-Anmeldung aktivieren.
- Geräte ohne Sicherheitsupdates ersetzen oder vom Netz nehmen – das gilt auch für PCs mit Windows 10, dessen regulärer Support im Oktober 2025 endete (Hintergrund).
- Smart-Home-Geräte in ein Gäste- oder IoT-WLAN auslagern.
- In KI-Apps prüfen, ob deine Eingaben zum Training genutzt werden, und das bei Bedarf abschalten.
Unternehmen
- Prüfen, ob ihr unter NIS2 fallt, und ggf. registrieren.
- Eingesetzte KI-Systeme inventarisieren und Mitarbeitende schulen (KI-Kompetenzpflicht seit Februar 2025).
- Cloud-Verträge auf Exit-Klauseln und Datenstandort prüfen.
- Als Hersteller vernetzter Produkte die CRA-Meldeprozesse für September 2026 aufsetzen.
FAQ
Gilt der AI Act auch für Privatpersonen?
Nein, er richtet sich an Anbieter und Betreiber von KI-Systemen. Als Nutzer profitierst du aber etwa von der Kennzeichnung KI-generierter Inhalte.
Muss ich meine Smart-Home-Geräte wegen des Cyber Resilience Act austauschen?
Nein. Die Pflichten gelten für Hersteller und neu in Verkehr gebrachte Produkte. Beim nächsten Kauf lohnt aber der Blick auf den Update-Zeitraum.
Was bringt mir der Data Act als Verbraucher?
Du bekommst Zugang zu den Daten, die deine vernetzten Geräte erzeugen, und kannst sie etwa an einen anderen Dienstleister weitergeben lassen.
Welcher Tech-Trend betrifft mich 2026 am direktesten?
Wahrscheinlich KI in Alltags-Apps und Passkeys bei der Anmeldung – beides nutzt du womöglich schon, ohne es bewusst gewählt zu haben.
