Inhalt
- Wann der EU AI Act eine Schweizer Firma erreicht
- Der Zeitplan, Stand 6. November 2026
- Was der AI Omnibus geändert hat
- Der Schweizer Weg: Datenschutzgesetz heute, KI-Gesetz in Vorbereitung
- Vier Schritte, die ein KMU jetzt tun kann
- Vier typische Fälle, nach unserem Verständnis eingeordnet
- Der ruhige Weg: zuerst das Inventar
- Häufige Fragen
Das Wichtigste in Kürze
- Der EU AI Act erfasst Schweizer Firmen, wenn sie KI-Systeme in der EU anbieten, wenn sie in der EU niedergelassen sind oder wenn das Ergebnis eines KI-Systems in der EU verwendet wird.
- Seit dem 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz, seit dem 2. August 2026 der grösste Teil des Gesetzes. Die Hochrisiko-Regeln folgen am 2. Dezember 2027 und am 2. August 2028.
- Der AI Omnibus ist seit dem 27. Juli 2026 in Kraft. Er hat die Hochrisiko-Fristen festgelegt und die Pflicht zur KI-Kompetenz abgeschwächt: Firmen müssen den Aufbau unterstützen, aber kein bestimmtes Niveau jeder Person garantieren.
- In der Schweiz gilt das Datenschutzgesetz direkt für KI. Die Vernehmlassung zu einem eigenen KI-Gesetz soll laut Bundesrat im Frühling 2027 eröffnet werden.
- Für den Anfang genügen vier Schritte: Inventar der KI-Werkzeuge, Einordnung nach Risiko, KI-Kompetenz im Team und Verträge mit den Anbietern prüfen.
Wann der EU AI Act eine Schweizer Firma erreicht
Der EU AI Act ist eine EU-Verordnung, sein Geltungsbereich endet aber nicht an der Grenze. Nach Art. 2 Abs. 1, wie ihn die EU-Kommission im AI Act Service Desk wiedergibt (englisch), gilt er unter anderem für drei Gruppen, zu denen eine Schweizer Firma gehören kann:
- Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, unabhängig davon, wo sie niedergelassen sind.
- Betreiber von KI-Systemen, die in der EU niedergelassen sind oder sich dort befinden.
- Anbieter und Betreiber in einem Drittstaat, also auch in der Schweiz, wenn das vom KI-System erzeugte Ergebnis in der EU verwendet wird.
- Anbieter
- Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, gegen Bezahlung oder kostenlos.
- Betreiber
- Wer ein KI-System in eigener Verantwortung beruflich nutzt. Ein KMU, das mit einem KI-Werkzeug Offerten entwirft, ist Betreiber.
- Ergebnis
- Im Gesetz «output»: Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen, die ein KI-System erzeugt.
- KI-Kompetenz
- Fähigkeiten, Wissen und Verständnis, um KI informiert einzusetzen und ihre Chancen, Risiken und möglichen Schäden zu kennen.
Für ein typisches Schweizer KMU heisst das nach unserem Verständnis: fast immer Betreiber, selten Anbieter. Relevant wird der AI Act mit einer Niederlassung in der EU, mit Software mit KI-Funktionen für Kunden in der EU oder wenn ein Ergebnis Ihrer KI-Nutzung in der EU verwendet wird, etwa eine Auswertung für einen Kunden mit Sitz dort. Wo genau die Grenze verläuft, ist eine Rechtsfrage. Klären Sie sie mit Ihrer Rechtsberatung, bevor Sie einen neuen Einsatz mit EU-Bezug starten.
Der Zeitplan, Stand 6. November 2026
Die EU-Kommission führt den Zeitplan auf ihrer Seite zum AI Act (englisch). Die rechte Spalte ist unsere Einordnung für ein Schweizer KMU ohne eigene KI-Produkte.
| Datum | Was gilt | Was das für ein Schweizer KMU heisst |
|---|---|---|
| 1. August 2024 | Der AI Act tritt in Kraft. | Noch keine Pflichten. |
| 2. Februar 2025 | Acht verbotene Praktiken und die Pflicht zur KI-Kompetenz gelten. | Mit EU-Bezug: Team schulen und verbotene Praktiken wie Emotionserkennung am Arbeitsplatz ausschliessen. |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck und für die Aufsicht gelten. | Die Pflichten liegen bei den Anbietern der Modelle. Lesen Sie deren Unterlagen und Verträge. |
| 27. Juli 2026 | Der AI Omnibus tritt in Kraft. | Neue Fristen für Hochrisiko-KI, abgeschwächte Pflicht zur KI-Kompetenz. |
| 2. August 2026 | Der AI Act gilt allgemein, ebenso der grösste Teil der Transparenzpflichten nach Art. 50. Die Aufsicht liegt beim AI Office und bei den Behörden der Mitgliedstaaten. | Ein Chatbot, der mit Personen in der EU spricht, muss erkennen lassen, dass er eine KI ist. Das ist zuerst Pflicht des Anbieters, prüfen Sie es trotzdem. |
| Frühling 2027 (Schweiz) | Geplante Eröffnung der Vernehmlassung zu einem Schweizer KI-Gesetz. | Mitlesen lohnt sich. Das Datenschutzgesetz gilt schon heute. |
| 2. Dezember 2027 | Regeln für Hochrisiko-KI nach Anhang III gelten, etwa in Beschäftigung, Bildung, Biometrie und bei der Bewertung der Kreditwürdigkeit. | Relevant, wenn Sie mit EU-Bezug KI zur Auswahl von Bewerbenden oder zur Kreditprüfung von Privatpersonen einsetzen. Vorher abklären. |
| 2. August 2028 | Regeln für Hochrisiko-KI in regulierten Produkten nach Anhang I gelten, etwa in Aufzügen oder Spielzeug. | Betrifft Hersteller solcher Produkte, Dienstleister selten. |
Für die meisten KMU bringt 2027 also wenig Neues. Was heute schon gilt, sind die Pflicht zur KI-Kompetenz und die Transparenzpflichten. Beide lassen sich mit einem Inventar, einer Richtlinie und einer Schulung angehen.
Was der AI Omnibus geändert hat
Der AI Omnibus ist die Verordnung (EU) 2026/1744. Laut einer Analyse der Kanzlei White & Case wurde er am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und trat am 27. Juli 2026 in Kraft. Die Seite der EU-Kommission bestätigt das Inkrafttreten und die neuen Fristen.
Was sich geändert hat
- Feste Fristen für Hochrisiko-KI: 2. Dezember 2027 nach Anhang III, 2. August 2028 nach Anhang I
- KI-Kompetenz: Firmen müssen den Aufbau unterstützen, aber kein bestimmtes Niveau jeder Person garantieren
- Erleichterungen für KMU, etwa eine vereinfachte technische Dokumentation, gelten neu auch für kleine Midcaps
- Ein zusätzliches Verbot und mehr Befugnisse für das AI Office
Was geblieben ist
- Geltungsbereich nach Art. 2 Abs. 1, auch für Firmen in der Schweiz
- Verbote seit Februar 2025
- Transparenzpflichten ab August 2026, etwa für Chatbots
- Die Erwartung, dass Ihr Team mit KI umgehen kann
Für Schweizer KMU ist die Änderung bei der KI-Kompetenz die wichtigste. Art. 4 verlangt neu, dass Anbieter und Betreiber Massnahmen ergreifen, die den Aufbau von KI-Kompetenz ihres Personals unterstützen. Der Text hält ausdrücklich fest, dass kein bestimmtes Niveau jeder einzelnen Person garantiert werden muss (Art. 4 im AI Act Service Desk). White & Case empfiehlt, die getroffenen Massnahmen festzuhalten. Eine Schulung mit Datum, Inhalt und Teilnehmerliste ist der einfachste Nachweis.
Der Schweizer Weg: Datenschutzgesetz heute, KI-Gesetz in Vorbereitung
Die Schweiz geht einen eigenen Weg. Sie hat am 27. März 2025 die KI-Konvention des Europarats unterzeichnet und will sie ratifizieren. Am 12. Februar 2025 hat der Bundesrat das EJPD beauftragt, eine Vernehmlassungsvorlage für neue Regeln zur Nutzung von KI zu erarbeiten.
Am 28. Oktober 2026 hat der Bundesrat einen Zwischenstand zur Kenntnis genommen. Geregelt werden sollen Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikoabschätzung, die Eröffnung der Vernehmlassung ist für den Frühling 2027 geplant. Gesetzesanpassungen sollen laut BAKOM möglichst sektorbezogen ausfallen.
Schon heute gilt, was der EDÖB 2023 festgehalten und 2025 bekräftigt hat: Das Datenschutzgesetz ist auf KI direkt anwendbar. Transparenz über Zweck und Datenquellen, das Recht, automatisierte Einzelentscheide von einem Menschen überprüfen zu lassen, und bei hohem Risiko eine Datenschutz-Folgenabschätzung gelten also bereits, mit oder ohne EU-Bezug.
Vier Schritte, die ein KMU jetzt tun kann
- 01Inventar der KI-WerkzeugeHalten Sie fest, wer welches Werkzeug wofür nutzt, mit welchen Daten und ob ein Ergebnis die Schweiz verlässt. Fünf Spalten genügen. Privat genutzte Konten gehören hinein.
- 02Einordnung nach RisikoOrdnen Sie jeden Einsatz einer der vier Stufen der EU zu: unannehmbar und verboten, hohes Risiko, Transparenzpflicht, minimales Risiko. Eine benannte Person entscheidet und hält fest, warum. Grenzfälle gehen an die Rechtsberatung.
- 03KI-Kompetenz im TeamEine Stunde pro Person: was das Werkzeug kann, welche Daten nicht hineingehören, wie man ein Ergebnis prüft. Datum, Inhalt und Teilnehmende festhalten.
- 04Verträge mit Anbietern prüfenWo die Daten liegen, ob Eingaben zum Training dienen, wer Anbieter im Sinne des AI Act ist und ob ein Auftragsbearbeitungsvertrag besteht. Bei US-Anbietern zusätzlich die Zertifizierung nach dem Swiss-U.S. Data Privacy Framework.
Die vier Schritte decken sich weitgehend mit dem, was eine interne KI-Richtlinie ohnehin regelt. Eine Vorlage auf einer Seite und die Einführung in 30 Tagen stehen im Beitrag KI-Richtlinie für KMU. Für Finanzinstitute kommen die Erwartungen der FINMA an Governance, Inventar und Risikoklassifizierung dazu, beschrieben im Beitrag zur FINMA-Aufsichtsmitteilung 08/2024.
Vier typische Fälle, nach unserem Verständnis eingeordnet
«Wir entwerfen Offerten und Mails mit KI, einige Kunden sitzen in der EU.»
Sie sind Betreiber, und das Ergebnis wird in der EU verwendet. Offerten und Mails gehören nach unserem Verständnis zum minimalen Risiko, für das der AI Act keine besonderen Regeln einführt. Die Pflicht zur KI-Kompetenz nach Art. 4 gilt trotzdem. Die Freigabe vor dem Versand bleibt Ihre eigene Sorgfalt.
«Auf unserer Website beantwortet ein Chatbot Anfragen, auch aus der EU.»
Nach Art. 50 müssen Personen erfahren, dass sie mit einer KI sprechen, ausser es ist offensichtlich. Das ist zuerst Pflicht des Anbieters, prüfen Sie es aber selbst. Das Schweizer Recht kennt dieselbe Erwartung: Laut EDÖB hat, wer direkt mit einem Sprachmodell korrespondiert, ein Recht, das zu erfahren.
«Wir sortieren Bewerbungen mit KI vor.»
KI für Beschäftigung und Personalauswahl ist ein Hochrisiko-Bereich. Mit EU-Bezug gelten dafür ab dem 2. Dezember 2027 strenge Pflichten, auch für Betreiber, etwa die menschliche Aufsicht. Klären Sie diesen Einsatz vor dem Start mit Ihrer Rechtsberatung, auch ohne EU-Bezug, denn das Datenschutzgesetz greift so oder so.
«Wir verkaufen Software mit KI-Funktion an Kunden in der EU.»
Dann sind Sie Anbieter, und der AI Act gilt unabhängig von Ihrem Sitz. Welche Pflichten folgen, hängt von der Risikostufe ab. Für erzeugte Texte, Bilder, Videos oder Töne verlangt Art. 50 grundsätzlich eine maschinenlesbare Kennzeichnung. Hier lohnt sich eine Rechtsberatung mit Erfahrung im EU-Recht.
Der ruhige Weg: zuerst das Inventar
Von den meisten Schweizer KMU verlangt der AI Act wenig, und das Wenige ist vernünftig: wissen, welche KI im Haus läuft, das Team befähigen, Verträge lesen. Wer das Inventar hat, sieht auch, wo KI sich lohnt. Belege erfassen, Anfragen sortieren und Abgleiche vorbereiten gehören nach unserem Verständnis zum minimalen Risiko. Genau dort steckt viel Handarbeit.
Wie viel die Belegerfassung in Ihrer Firma kostet, rechnen Sie mit dem kostenlosen Schuhschachtel-Rechner an einem Monat Ihrer eigenen Belege nach. Wie Grow Amplified einen Prozess zuerst misst und erst danach mit Freigabe und Protokoll aufbaut, steht unter Vorgehen. Timon Wick, Founder und CEO, hat in 15 Jahren in Banking und Consulting unter anderem an Compliance- und Regulierungsthemen für global tätige Schweizer Banken gearbeitet. Eine Rechtsberatung ersetzt das nicht, und Grow Amplified bietet keine an.
Häufige Fragen
Gilt der EU AI Act für eine Firma mit Sitz in der Schweiz?
Er kann gelten. Nach Art. 2 erfasst er Anbieter, die KI-Systeme in der EU in Verkehr bringen, Betreiber in der EU sowie Anbieter und Betreiber in Drittstaaten, deren KI-Ergebnis in der EU verwendet wird. Ob das bei Ihnen zutrifft, klären Sie im Einzelfall mit Ihrer Rechtsberatung.
Was hat der AI Omnibus für KMU geändert?
Er hat die Fristen für Hochrisiko-KI auf den 2. Dezember 2027 und den 2. August 2028 festgelegt, die Pflicht zur KI-Kompetenz abgeschwächt und Erleichterungen für KMU auf kleine Midcaps ausgedehnt. Die meisten Transparenzpflichten gelten weiterhin ab August 2026.
Muss ich meine Mitarbeitenden schulen?
Wenn der AI Act für Sie gilt, verlangt Art. 4 Massnahmen, die den Aufbau von KI-Kompetenz unterstützen. Ein bestimmtes Niveau jeder Person müssen Sie nicht garantieren. Eine kurze Schulung mit Datum und Teilnehmerliste ist der einfachste Nachweis und lohnt sich auch ohne EU-Bezug.
Gibt es in der Schweiz ein eigenes KI-Gesetz?
Noch nicht. Der Bundesrat plant die Eröffnung der Vernehmlassung für den Frühling 2027. Schon heute gilt das Datenschutzgesetz, das laut EDÖB direkt auf KI anwendbar ist.
Ist ChatGPT ein Hochrisiko-System?
Die Einstufung hängt nach dem AI Act vom Einsatzzweck ab, nicht vom Werkzeug. Offerten und Mails gehören nach unserem Verständnis zum minimalen Risiko. Wer dasselbe Werkzeug für die Auswahl von Bewerbenden einsetzt, bewegt sich in einem Hochrisiko-Bereich und sollte das vorher rechtlich abklären.
Gelten für Finanzinstitute zusätzliche Regeln?
Ja. Für Institute unter FINMA-Aufsicht kommen die Erwartungen der FINMA-Aufsichtsmitteilung 08/2024 dazu, etwa zu Governance, Inventar und Risikoklassifizierung. Mehr dazu im Beitrag zur FINMA-Aufsichtsmitteilung 08/2024.
15 Jahre in Banking und Consulting, in Transformation und Finance Operations. Heute baut er mit Grow Amplified Prüfstrassen: Agenten lesen und gleichen ab, ein Mensch gibt frei, und ein Replay-Log hält fest, wer was entschieden hat.