Französische und europäische Unternehmen gehen dem Jahresende 2025 und dem Jahr 2026 entgegen, während drei Kräfte zusammenwirken: ein europäischer Rechtsrahmen, der schrittweise in Kraft tritt, eine schnellere Verbreitung von KI-Anwendungen als deren Governance und Anforderungen an die Cyberresilienz, die inzwischen die gesamte Lieferkette betreffen.
Diese Entwicklungen sind längst keine Zukunftsszenarien mehr. Sie beeinflussen bereits heute operative Entscheidungen, Budgets und Geschäftsbeziehungen zwischen Auftraggebern und Dienstleistern.
Europäische Regulierung und operative Zeitplanung in Unternehmen
Üblicherweise wird Regulierung als rechtliches Thema behandelt und an die Compliance-Abteilungen delegiert. Die jüngsten europäischen Rechtsvorschriften ändern das, weil sie sich unmittelbar auf die Produktentwicklung, den Datenzugriff und Lieferantenverträge auswirken.
Der europäische Data Act gilt seit September 2025. Er regelt den Zugriff auf Daten, die von vernetzten Produkten erzeugt werden, sowie deren Weitergabe an Cloud-Dienstleister. Für ein Unternehmen, das ein vernetztes Produkt vermarktet, bedeutet das, bereits in der Entwicklungsphase die Architektur der Datenerfassung, die Nutzungsbedingungen und die vertraglichen Verpflichtungen gegenüber Cloud-Partnern zu überdenken.
Im Bereich der künstlichen Intelligenz tritt der AI Act schrittweise in Kraft. Unternehmen, die KI-Systeme entwickeln oder integrieren, müssen die darin vorgesehenen Pflichten zur Klassifizierung, Dokumentation und menschlichen Aufsicht frühzeitig berücksichtigen.
Der genaue Zeitplan ist weiterhin in Bewegung, weshalb die Beobachtung regulatorischer Entwicklungen unverzichtbar ist. Wer die Business-News von Je ne sais quoi verfolgt, kann seine Roadmap im Zuge der offiziellen Veröffentlichungen anpassen.
DORA, das seit Januar 2025 für Finanzunternehmen gilt, verschärft die Anforderungen im Umgang mit digitalen Risiken. Die Umsetzung von NIS2 in französisches Recht hat sich verzögert, doch Auftraggeber warten nicht auf den endgültigen Gesetzestext: Sie verlangen bereits jetzt von ihren Lieferanten den Nachweis ihrer Vorbereitung. Ein IT-Dienstleister, der seine Cyberresilienz nicht dokumentieren kann, riskiert, Ausschreibungen zu verlieren – unabhängig vom Zeitplan der Gesetzgebung.
KI im Unternehmen: die Lücke zwischen Einführung und tatsächlicher Produktivität
Generative KI-Tools haben sich rasch in Marketingteams, Kundenservice und Content-Produktion verbreitet. Dennoch gilt: Die Einführung von KI allein reicht nicht aus, um messbare Produktivitätssteigerungen zu erzielen. Die Arbeitsorganisation, die Qualität der verfügbaren Daten und die Schulung der Teams bestimmen den tatsächlichen Nutzen.
Ein Unternehmen, das beispielsweise einen KI-Assistenten für den Vertrieb einführt, ohne den Prozess zur Qualifizierung von Leads zu überarbeiten, erzielt oft nur einen kosmetischen Effekt: Die E-Mails sind besser formuliert, doch die Konversionsrate bleibt unverändert. Der Mehrwert entsteht durch die Neugestaltung des Workflows rund um das Tool – nicht durch das Tool selbst.
Datengovernance und Management von KI-Risiken
In vielen französischen Unternehmen entwickelt sich die KI-Governance langsamer als die Nutzung von KI. Die Diskrepanz zwischen der Reife der Daten (Qualität, Zugänglichkeit, Dokumentation) und der Strukturierung der KI-Anwendungen ist sowohl ein operatives Risiko als auch ein Hindernis für die Leistungsfähigkeit.
Die konkreten Fragen, mit denen sich die Unternehmensleitungen befassen müssen:
- Welche Datensätze fließen in die verwendeten Modelle ein, und sind sie so dokumentiert, dass sie den künftigen Anforderungen des AI Act an die Rückverfolgbarkeit genügen?
- Wer prüft die Ergebnisse eines KI-Systems, bevor sie als Grundlage für eine geschäftliche oder personalbezogene Entscheidung dienen?
- Wie misst das Unternehmen den Return on Investment seiner KI-Projekte, der über das bloße Zählen eingesparter Arbeitsstunden hinausgeht?
Auf diese Fragen gibt es keine allgemeingültigen Antworten. Sie hängen von der Branche, der Unternehmensgröße und dem digitalen Reifegrad der jeweiligen Organisation ab.
Cyberresilienz und Lieferkette: ein Kriterium bei der Auftragsvergabe
Cyberresilienz galt lange als Thema für die IT-Abteilung. Heute wird sie zunehmend zu einem Kriterium bei der Auftragsvergabe. Große Konzerne nehmen unter dem Druck von DORA und mit Blick auf NIS2 Sicherheitsanforderungen in ihre Lieferantenausschreibungen auf.
Für ein KMU oder ein mittelständisches Unternehmen, das als Subunternehmer tätig ist, verändert sich dadurch die Art der Investitionen in Cybersicherheit. Es geht nicht mehr nur darum, sich vor Angriffen zu schützen, sondern auch darum, die eigene Sicherheitslage zu dokumentieren, um den Zugang zu Märkten zu sichern. Sicherheitsaudits, ISO-27001-Zertifizierungen und Notfallpläne zur Aufrechterhaltung des Geschäftsbetriebs werden zu geschäftlichen Voraussetzungen, noch bevor sie gesetzlich vorgeschrieben sind.
Für mittelständische Unternehmen liegen die Schwierigkeiten in den Kosten und der Komplexität dieser Maßnahmen. Zwar gibt es entsprechende Standards, doch qualifizierte Fachkräfte für Cybersicherheit sind weiterhin rar. Der Arbeitsmarkt in diesem Bereich ist angespannt, weshalb manche Unternehmen auf ausgelagerte Managed Services zurückgreifen.
Geschäftsmodelle und Plattformen: Wie Daten Dienstleistungen verändern
Abonnementmodelle und Serviceplattformen entwickeln sich weiter. Der grundlegende Trend betrifft jedoch weniger das Vertriebsformat als vielmehr die Art und Weise, wie der Zugang zu Kundendaten das Wertversprechen neu definiert. Ein Unternehmen, das Software als SaaS anbietet, verkauft nicht nur eine Funktion, sondern auch die Möglichkeit, Nutzungsdaten auszuwerten und den Service kontinuierlich zu verbessern.
Der Data Act verändert hier die Rahmenbedingungen. Cloud-Dienstleister und Softwareanbieter müssen nun die Modalitäten für die Datenübertragbarkeit und den Datenzugriff ihrer Kunden festlegen. Für Unternehmen, die solche Dienste nutzen, ist das eine Chance: Die Abhängigkeit von einem einzelnen Anbieter (Vendor Lock-in) wird zu einem erkannten Risiko, das sich vertraglich verhandeln lässt.
Hyperpersonalisierung und operative Grenzen
Die Personalisierung der Customer Journey mithilfe von Datenplattformen (CDPs) und Machine Learning wird oft als selbstverständlich dargestellt. In der Praxis bleibt die Qualität der First-Party-Daten für die meisten mittelständischen Unternehmen der begrenzende Faktor. Ohne verlässliche Daten führt Personalisierung zu widersprüchlichen Ergebnissen, die das Kundenerlebnis verschlechtern, statt es zu verbessern.
Unternehmen, die einen echten Nutzen aus diesen Tools ziehen, haben zuvor in die Strukturierung ihrer Datenbestände, das Einwilligungsmanagement und die Schulung ihrer Marketingteams zur Interpretation von Kennzahlen investiert.
Die aktuellen Business-Trends haben eines gemeinsam: Sie belohnen Unternehmen, die in Organisation und Governance investieren, statt immer mehr Tools anzuhäufen. Die europäische Regulierung beschleunigt diese Entwicklung, indem sie Standards für Rückverfolgbarkeit, Datenübertragbarkeit und Resilienz vorschreibt. Unternehmen, die ihren Ansatz schon jetzt strukturieren, betreiben keine vorauseilende Compliance – sie sichern sich den Zugang zu den Märkten von morgen.
