EU AI Act: Was gilt für Schweizer Unternehmen?

Das Wichtigste in Kürze

• Der AI Act ist EU-Recht, erfasst Schweizer Firmen aber, wenn sie KI in der EU anbieten oder wenn das Ergebnis ihrer KI in der EU verwendet wird.
• Wer KI nur im Büro nutzt, hat meist wenige Pflichten: verbotene Praktiken meiden, KI-Kompetenz fördern, Transparenzregeln beachten.
• Die Regeln für Hochrisiko-KI, etwa bei der Personalauswahl, gelten neu ab dem 02.12.2027.
• Die Schweiz übernimmt den AI Act nicht. Hier gilt vorerst das Datenschutzgesetz, eine Vernehmlassungsvorlage ist bis Ende 2026 angekündigt.
• Halten Sie fest, welche KI-Anwendungen die EU berühren, und ordnen Sie sie nach Risiko ein.

Der EU AI Act ist eine Verordnung der EU und gilt in der Schweiz nicht direkt. Er erfasst Schweizer Unternehmen aber in zwei Fällen: wenn sie KI-Systeme in der EU anbieten und wenn das Ergebnis eines KI-Systems, das sie nutzen, in der EU verwendet wird. Für ein KMU, das KI vor allem im Büro einsetzt, folgt daraus heute wenig: verbotene Praktiken meiden, die KI-Kompetenz im Team fördern, Transparenzpflichten beachten und die Hochrisiko-Regeln im Blick behalten, die neu ab dem 02.12.2027 gelten.

Stand: Oktober 2026. Die Regeln sind noch in Bewegung, und dieser Beitrag ersetzt keine Rechtsberatung.

Was regelt der EU AI Act?

Der AI Act, offiziell Verordnung (EU) 2024/1689, ist am 01.08.2024 in Kraft getreten und wird schrittweise anwendbar. Er teilt KI nach Risiko ein. Bestimmte Praktiken sind verboten, Hochrisiko-Systeme müssen strenge Anforderungen erfüllen, für einige Systeme gelten Transparenzpflichten, und für alle übrigen gibt es keine besonderen Pflichten. Den Text finden Sie auf EUR-Lex, eine Übersicht bei der EU-Kommission.

Zwei Rollen sind wichtig. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet. Die meisten KMU sind Betreiber: Sie nutzen Tools, die andere gebaut haben.

Wann gilt der AI Act für ein Schweizer Unternehmen?

Aus Sicht der EU ist die Schweiz ein Drittstaat. Laut Artikel 2 gilt der AI Act trotzdem für Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, egal wo sie sitzen. Und er gilt für Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe des KI-Systems in der EU verwendet wird. Typische Fälle:

• Sie verkaufen eine Software oder ein Gerät mit KI-Funktionen an Kundschaft in der EU. Dann sind Sie Anbieter.
• Sie lassen ein KI-Tool unter Ihrem Namen entwickeln und bieten es auch in der EU an.
• Sie nutzen KI, und das Ergebnis wird in der EU verwendet, etwa die Antworten Ihres Chatbots an Kundinnen in Deutschland oder eine KI-gestützte Vorauswahl von Bewerbungen für eine Baustelle in Vorarlberg.
• Sie haben eine Niederlassung in der EU, die selbst KI nutzt. Sie ist dort Betreiberin wie jedes EU-Unternehmen.

Bleiben Nutzung und Ergebnis in der Schweiz, greift der AI Act in der Regel nicht. Wann genau eine Ausgabe «in der EU verwendet» wird, ist allerdings nicht in jedem Fall eindeutig. Bei Grenzfällen lohnt sich eine juristische Prüfung.

Welche Fristen gelten?

Der AI Act wird gestaffelt anwendbar. Mit dem sogenannten Digital Omnibus, der Verordnung (EU) 2026/1744, hat die EU im Juli 2026 einzelne Fristen verschoben und Pflichten angepasst. Seit dem 27.07.2026 gilt dieser Zeitplan:

1. 02.02.2025.Verbote und die Pflicht zur KI-Kompetenz gelten. Verboten sind zum Beispiel Social Scoring, manipulative Techniken, die Menschen zu schädlichem Verhalten verleiten, und das Erkennen von Emotionen am Arbeitsplatz, von medizinischen und Sicherheitsgründen abgesehen.
2. 02.08.2025.Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also für die Hersteller der grossen Sprachmodelle, dazu Aufsicht und Sanktionen.
3. 02.08.2026.Der AI Act gilt allgemein, einschliesslich der Transparenzpflichten. Anbieter generativer Systeme, die schon vorher auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung von KI-Inhalten bis zum 02.12.2026 Zeit.
4. 02.12.2026.Neues Verbot für KI-Systeme, die ohne Einwilligung intime Darstellungen realer Personen oder Darstellungen von sexuellem Kindesmissbrauch erzeugen.
5. 02.12.2027.Regeln für Hochrisiko-Systeme in sensiblen Bereichen, etwa Personalauswahl und Leistungsbeurteilung, Bonitätsprüfung von Privatpersonen oder Bildung. Ursprünglich war dafür der 02.08.2026 vorgesehen.
6. 02.08.2028.Regeln für Hochrisiko-KI in Produkten, die unter das Produktsicherheitsrecht der EU fallen, etwa in Spielzeug oder Aufzügen.

Was müssen Sie tun, wenn Sie KI nur nutzen?

Für die meisten Büroanwendungen, etwa Texte entwerfen, Mails zusammenfassen oder Dokumente durchsuchen, sieht der AI Act keine besonderen Pflichten vor. Fällt Ihre Nutzung in den Geltungsbereich, achten Sie auf vier Punkte:

• KI-Kompetenz: Betreiber müssen Massnahmen treffen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Seit dem Omnibus verlangt das Gesetz ausdrücklich kein bestimmtes Niveau pro Person, wohl aber ernsthafte Bemühungen. Schulungen und klare Regeln sind dafür der naheliegende Weg, zum Beispiel mit unseren Team-Trainings.
• Transparenz: Wer Deepfakes einsetzt, also realistisch erzeugte oder veränderte Bilder, Videos oder Tonaufnahmen, muss das offenlegen. Dasselbe gilt für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, ausser ein Mensch hat sie redaktionell geprüft und verantwortet sie. Dass Menschen merken, wenn sie mit einem Chatbot schreiben, muss der Anbieter des Systems sicherstellen.
• Verbote: Prüfen Sie, dass keine Ihrer Anwendungen unter die verbotenen Praktiken fällt, etwa eine Software, die Emotionen Ihrer Mitarbeitenden auswertet.
• Hochrisiko: Nutzen Sie KI für Personalentscheide, zum Beispiel für die Vorauswahl von Bewerbungen, gelten ab dem 02.12.2027 Betreiberpflichten. Sie setzen das System gemäss Anleitung ein, übertragen die Aufsicht kompetenten Personen, überwachen den Betrieb, bewahren die Protokolle mindestens sechs Monate auf und informieren die betroffenen Mitarbeitenden.

Ein Beispiel: Ein Treuhandbüro in Basel betreut auch Mandanten in Süddeutschland und lässt Briefentwürfe von einer KI schreiben, die eine Fachperson prüft und verschickt. Die Ausgabe wird in der EU verwendet, das Risiko ist aber minimal. Zu tun bleibt vor allem, das Team im Umgang mit KI zu schulen. Liesse dasselbe Büro Bewerbungen für eine Stelle in Lörrach von einer KI vorsortieren, wäre das ab Dezember 2027 eine Hochrisiko-Anwendung.

Was gilt, wenn Sie selbst KI-Produkte anbieten?

Dann tragen Sie deutlich mehr Pflichten. Anbieter von Hochrisiko-Systemen brauchen unter anderem ein Risikomanagement, eine technische Dokumentation und eine Konformitätsbewertung. Systeme, die direkt mit Menschen interagieren, müssen so gebaut sein, dass die Nutzenden merken, dass sie mit KI zu tun haben, und generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Vorsicht gilt auch für Betriebe, die ein bestehendes Hochrisiko-System unter eigenem Namen vertreiben oder wesentlich verändern: Sie können dadurch selbst zum Anbieter werden.

Verstösse können teuer werden. Je nach Verstoss reichen die Bussen bis EUR 15 Mio. oder 3 % des weltweiten Jahresumsatzes, bei verbotenen Praktiken bis EUR 35 Mio. oder 7 %. Für KMU gilt jeweils der tiefere der beiden Werte.

Gibt es in der Schweiz ein eigenes KI-Gesetz?

Nein, Stand Oktober 2026 nicht. Der Bundesrat hat am 12.02.2025 entschieden, die KI-Konvention des Europarats zu ratifizieren, die die Schweiz am 27.03.2025 unterzeichnet hat. Das Schweizer Recht soll dafür möglichst sektorbezogen angepasst werden. Allgemein und sektorübergreifend geregelt werden sollen nur zentrale, grundrechtsrelevante Bereiche wie der Datenschutz. Das EJPD erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage, namentlich zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Den Stand finden Sie beim Bundesamt für Justiz. Bis dahin gilt für KI in der Schweiz vor allem das Datenschutzgesetz, mehr dazu in KI und Datenschutz in der Schweiz.

Was Sie jetzt tun können

1. Anwendungen erfassen.Listen Sie auf, welche KI-Tools Sie wofür nutzen und welche Ergebnisse Kundschaft, Mitarbeitende oder Partner in der EU erreichen.
2. Rolle klären.Halten Sie pro Anwendung fest, ob Sie Betreiber oder Anbieter sind. Wer nur fertige Tools nutzt, ist Betreiber.
3. Risiko einordnen.Prüfen Sie, ob etwas verboten sein könnte, ob ein Hochrisiko-Bereich wie das Personalwesen betroffen ist oder ob Transparenzpflichten gelten. Eine strukturierte Use-Case-Bewertung hilft dabei.
4. Kompetenz aufbauen.Schulen Sie Ihr Team und halten Sie die Regeln schriftlich fest, etwa in einer KI-Richtlinie für Mitarbeitende.
5. Fristen vormerken.Tragen Sie den 02.12.2026 und den 02.12.2027 in Ihre Planung ein und prüfen Sie die Lage einmal im Jahr neu, auch mit Blick auf die Schweizer Vernehmlassung.