KI-Regulierung im Überblick: EU AI Act und der Schweizer Weg

Der Überblick: drei Wege, KI zu regeln

Weltweit haben sich grob drei Ansätze herausgebildet:

Ansatz	Beispiele	Was das bedeutet
Umfassendes Gesetz nach Risiko	EU (AI Act), Südkorea (AI Basic Act, seit Januar 2026)	Einheitliche Regeln für alle Branchen, je strenger, je höher das Risiko
Innovation zuerst, Einzelregeln	USA (Regeln einzelner Bundesstaaten, Bund setzt auf Wettbewerbsfähigkeit), Grossbritannien (Branchenaufsichten)	Wenig übergreifende Vorgaben, dafür viele einzelne Regeln, teilweise widersprüchlich
Gezielte staatliche Steuerung	China (u. a. Kennzeichnungspflicht für KI-Inhalte seit September 2025)	Detaillierte Vorgaben für bestimmte Anwendungen, verbunden mit staatlicher Kontrolle

Daneben steht die KI-Konvention des Europarats, das erste völkerrechtlich verbindliche Abkommen zu KI. Sie verlangt, dass KI Menschenrechte, Demokratie und Rechtsstaat respektiert, und richtet sich in erster Linie an Staaten. Die Schweiz hat sie im März 2025 unterzeichnet.

Für Schweizer KMU ist nicht entscheidend, welches Modell sich weltweit durchsetzt, sondern welche Regeln für ihre Kunden und Märkte gelten. Für die meisten ist das neben der Schweiz die EU.

Der EU AI Act im Detail

Der Grundgedanke: Pflichten nach Risiko

Der EU AI Act ist seit August 2024 in Kraft und wird schrittweise wirksam. Er teilt KI-Anwendungen in vier Stufen ein:

Risikostufe	Beispiele	Was gilt
Unannehmbares Risiko	Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Schulen, ungezieltes Sammeln von Gesichtsbildern	Verboten seit Februar 2025
Hohes Risiko	KI in Personalauswahl und -führung, Kreditwürdigkeitsprüfung, Bildung, kritischer Infrastruktur, KI als Sicherheitsbauteil in Produkten	Strenge Anforderungen an Risikomanagement, Daten, Dokumentation, menschliche Aufsicht
Begrenztes Risiko	Chatbots, KI-erzeugte oder veränderte Inhalte, Deepfakes	Transparenzpflichten: Menschen müssen erkennen können, dass sie mit KI interagieren oder KI-Inhalte sehen
Minimales Risiko	Spamfilter, Übersetzungen, die meisten Büroanwendungen	Keine besonderen Pflichten

Hinzu kommen eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck wie grosse Sprachmodelle. Sie betreffen die Hersteller dieser Modelle, nicht die Unternehmen, die sie nutzen.

Anbieter oder Betreiber: die wichtigste Frage

Der AI Act unterscheidet vor allem zwei Rollen:

• Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Sie tragen die meisten Pflichten.
• Betreiber setzen ein KI-System in eigener Verantwortung ein. Das sind die meisten KMU.

Für Betreiber von Hochrisiko-Systemen gilt unter anderem: das System gemäss Anleitung einsetzen, menschliche Aufsicht durch geschulte Personen sicherstellen, den Betrieb überwachen, Protokolle aufbewahren und Mitarbeitende informieren, bevor ein solches System am Arbeitsplatz eingesetzt wird.

Vorsicht: Wer ein fremdes System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden.

Der Zeitplan nach dem «Digital Omnibus»

Im Juli 2026 hat die EU mit dem «Digital Omnibus» einzelne Fristen verschoben. Der aktuelle Stand:

Seit / ab	Was gilt
Februar 2025	Verbotene Praktiken; Pflicht, KI-Kompetenz zu fördern
August 2025	Pflichten für Hersteller grosser KI-Modelle; Sanktionsregeln
August 2026	Transparenzpflichten für Chatbots und KI-Inhalte
Dezember 2027	Pflichten für Hochrisiko-Systeme (z. B. Personalwesen, Kreditprüfung)
August 2028	Pflichten für KI als Sicherheitsbauteil in regulierten Produkten

Die Pflicht zur KI-Kompetenz wurde abgeschwächt: Unternehmen müssen Massnahmen ergreifen, die die KI-Kompetenz ihrer Mitarbeitenden fördern, statt ein bestimmtes Niveau sicherzustellen.

Bussen

Bei verbotenen Praktiken drohen bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei den meisten anderen Verstössen bis zu 15 Mio. Euro oder 3 Prozent. Für KMU gilt jeweils der tiefere Betrag.

Wann betrifft der AI Act ein Schweizer Unternehmen?

Der AI Act wirkt über die EU hinaus. Er gilt für Schweizer Unternehmen, wenn sie KI-Systeme in der EU anbieten oder wenn die Ergebnisse ihrer KI in der EU verwendet werden. Typische Fälle: ein Chatbot auf der Website für EU-Kunden, KI in der Bewerberauswahl für Stellen in der EU, ein KI-Produkt, das an EU-Kunden verkauft wird.

Der Schweizer Weg

Kein eigenes KI-Gesetz, sondern gezielte Anpassungen

Der Bundesrat hat im Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und die nötigen Anpassungen möglichst sektoriell vorzunehmen, statt ein umfassendes KI-Gesetz zu schaffen. Bis Ende 2026 sollen eine Vernehmlassungsvorlage und ein Plan für nicht verbindliche Massnahmen wie Leitlinien und Selbstregulierung vorliegen. Schwerpunkte sind Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht.

Was in der Schweiz bereits heute gilt

Auch ohne KI-Gesetz ist KI in der Schweiz nicht ungeregelt:

• Datenschutzgesetz: Der EDÖB hat klargestellt, dass das DSG direkt auf KI anwendbar ist. Unternehmen müssen transparent machen, wozu, wie und mit welchen Daten KI Personendaten bearbeitet. Nutzer sollen erkennen können, dass sie mit einer Maschine kommunizieren. Bei automatisierten Einzelentscheidungen besteht eine Informationspflicht, und Betroffene können eine Überprüfung durch einen Menschen verlangen.
• Obligationenrecht: Der Verwaltungsrat trägt die Verantwortung für Strategie, Organisation und Aufsicht, und damit auch für den Umgang mit KI. Im Arbeitsrecht gelten zudem enge Grenzen für die Bearbeitung von Mitarbeiterdaten.
• Branchenregeln: Die FINMA erwartet von beaufsichtigten Instituten unter anderem ein Inventar der KI-Anwendungen, eine Risikoklassifizierung, Tests und laufende Überwachung. Für Medizinprodukte und andere regulierte Produkte gelten die jeweiligen Produktvorschriften.
• Weitere Gesetze: Urheberrecht, Lauterkeitsrecht und Produkthaftung gelten auch für KI-gestützte Produkte und Inhalte.

In der Praxis orientieren sich viele Schweizer Unternehmen ohnehin am EU-Standard, weil ihre Kunden, Partner und Lieferketten dort liegen.

Was Sie jetzt konkret tun sollten

1. Inventar erstellen: Welche KI-Anwendungen sind im Einsatz, auch inoffiziell?
2. Rolle klären: Sind Sie bei einer Anwendung Anbieter oder Betreiber?
3. Risiko einstufen: Fällt eine Anwendung in die Hochrisiko-Bereiche des EU AI Act, etwa im Personalwesen?
4. Transparenz sicherstellen: Chatbots als solche kennzeichnen, KI-erzeugte Inhalte erkennbar machen, Datenschutzerklärung ergänzen.
5. Regeln und Kompetenz aufbauen: eine kurze KI-Richtlinie und eine Schulung für die Mitarbeitenden.
6. Verträge prüfen: Klauseln zu Datennutzung, Haftung und Sicherheit mit KI-Anbietern.
7. Entwicklung verfolgen: die Schweizer Vernehmlassung Ende 2026 und die Leitlinien der EU-Kommission.

Wer diese sieben Punkte erledigt hat, ist für den heutigen Stand gut aufgestellt und für das, was kommt, vorbereitet. Detaillierte Rechtsfragen gehören dabei immer zu spezialisierten Rechtsberatern.