EU AI Act und Schweiz: Was KMU wissen muessen

Warum ein EU-Gesetz auch dich als Schweizer Firma betrifft

Der EU AI Act (offiziell: KI-Verordnung, Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regelung fuer Kuenstliche Intelligenz. Er ist seit August 2024 in Kraft, wird aber in Etappen anwendbar. Fuer Schweizer KMU ist die spannende Frage nicht “gilt Schweizer Recht oder EU-Recht”, sondern: Reicht mein KI-Output in die EU hinein? Wenn ja, bist du mit im Boot - unabhaengig davon, wo dein Firmensitz ist.

Dieser Artikel ordnet ein: was der AI Act regelt, wen er trifft, was die Schweiz stattdessen macht, und was du als KMU jetzt konkret tun solltest.

Die vier Risikoklassen

Der AI Act teilt KI-Systeme nach Risiko fuer Gesundheit, Sicherheit und Grundrechte ein. Je hoeher die Klasse, desto mehr Pflichten:

Zusaetzlich gibt es eine eigene Kategorie fuer General-Purpose-AI-Modelle (GPAI) wie grosse Sprachmodelle: Anbieter dieser Basismodelle (nicht die Firmen, die sie nur nutzen) muessen unter anderem technische Dokumentation bereitstellen, Urheberrechts-Konformitaet nachweisen und bei Modellen mit “systemischem Risiko” zusaetzliche Sicherheitsbewertungen durchfuehren.

Zeitplan: Welche Pflichten gelten wann

Der urspruengliche Fahrplan wurde im Mai 2026 durch das sogenannte “Digital Omnibus”-Paket (auch Omnibus VII genannt) teilweise entschaerft und verschoben, nachdem europaeische Tech-Unternehmen auf zu enge Fristen gedraengt hatten. Der aktuelle Stand (2026-07):

Was ein Verstoss kostet

Der AI Act arbeitet mit drei Bussgeld-Stufen, angelehnt an die DSGVO-Logik:

• Bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes - bei Verstoss gegen verbotene Praktiken (Art. 5)
• Bis 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes - bei Verstoss gegen die meisten anderen Anbieter- und Betreiberpflichten
• Bis 7,5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes - bei falschen Angaben gegenueber Behoerden

Fuer KMU und Start-ups gilt jeweils der niedrigere der beiden Werte (Festbetrag oder Prozentsatz), nicht automatisch der hoehere wie bei Grosskonzernen.

Betrifft mich das als Schweizer Firma?

Der AI Act gilt nach dem Marktortprinzip, aehnlich wie die DSGVO. Er greift unter anderem, wenn:

1. Du ein KI-System in der EU auf den Markt bringst oder in Betrieb nimmst.
2. Du als Betreiber in der EU ansaessig bist (z. B. eine Tochtergesellschaft).
3. Du ein drittstaatlicher Anbieter bist, dessen KI-Output in der EU genutzt wird - auch ohne EU-Niederlassung.
4. Du als Importeur oder Haendler KI-Produkte in die EU bringst.

Punkt 3 ist der, der viele Schweizer Firmen ueberrascht. Beispiel: Ein Schweizer SaaS-Anbieter mit einem KI-gestuetzten Lebenslauf-Screening-Tool, das auch von deutschen Kunden genutzt wird, unterliegt vollstaendig den Anbieterpflichten - inklusive Benennung eines Bevollmaechtigten in der EU und Registrierung in der EU-Datenbank, sofern das Tool als Hochrisiko-System gilt (Personalauswahl ist ein klassischer Hochrisiko-Anwendungsfall nach Anhang III).

Firmen, die nur firmenintern KI-Tools nutzen (z. B. Microsoft 365 Copilot oder ChatGPT fuer interne Textarbeit) und keine Produkte mit KI-Komponente in die EU liefern, sind in der Regel nur als Betreiber betroffen - mit deutlich schlankeren Pflichten als Anbieter von Hochrisiko-Systemen.

Der Schweizer Regulierungsansatz

Der Bundesrat hat am 12. Februar 2025 einen Grundsatzentscheid gefaellt: Es wird kein umfassendes, dem AI Act nachgebildetes KI-Gesetz geben. Stattdessen setzt die Schweiz auf:

• Sektorielle Anpassungen: Bestehende Gesetze (z. B. im Gesundheits-, Finanz- oder Verkehrsbereich) werden gezielt ergaenzt, statt ein Uebergesetz zu schaffen.
• Ratifikation der KI-Konvention des Europarats: Die Schweiz hat diese im Maerz 2025 unterzeichnet. Bis Ende 2026 soll eine Vernehmlassungsvorlage mit den dafuer noetigen Gesetzesanpassungen vorliegen.
• Nicht-verbindliche Massnahmen: Selbstdeklarationen und Branchenloesungen sollen die punktuellen Gesetzesanpassungen ergaenzen.
• Fokus auf Grundrechte: Uebergreifende, sektorunabhaengige Regeln sind nur dort vorgesehen, wo es fundamental um Grundrechte geht.

Fuer dich als KMU heisst das praktisch: Es gibt (Stand 2026-07) keine direkte Schweizer AI-Act-Kopie, an der du dich orientieren kannst. Die relevanten Schweizer Rahmenbedingungen bleiben vorerst das Datenschutzgesetz (nDSG) und branchenspezifische Vorgaben - siehe DSGVO/nDSG in der IT-Praxis - waehrend der EU AI Act dich ueber den Marktortprinzip-Mechanismus trotzdem treffen kann. Wer sich generell mit KMU-Pflichten im Cyberraum befasst, findet Ueberschneidungen mit NIS2 fuer Schweizer KMU.

Erste Schritte fuer dein KMU

Ein pragmatisches Vorgehen, unabhaengig davon, ob du am Ende direkt vom AI Act erfasst wirst oder “nur” gute Governance aufbauen willst:

1. KI-Inventar erstellen
   -> Welche KI-Systeme setzen wir ein oder bauen wir?
   -> Wer nutzt was, wofuer, mit welchen Daten?

2. Rolle klaeren
   -> Sind wir Anbieter (wir entwickeln/vertreiben KI)
      oder nur Betreiber (wir nutzen KI-Tools)?

3. EU-Bezug pruefen
   -> Nutzen EU-Kunden unseren KI-Output direkt oder indirekt?
   -> Falls ja: Marktortprinzip greift moeglicherweise.

4. Risikoklasse pro Use-Case einordnen
   -> Verboten? Hochrisiko? Begrenztes Risiko? Minimal?
   -> Bei Unsicherheit: konservativ einstufen, dokumentieren warum.

5. Pflichtenkatalog ableiten
   -> Transparenzhinweise, menschliche Aufsicht,
      Folgenabschaetzung, Dokumentation je nach Klasse.

6. Governance-Basis schaffen
   -> KI-Nutzungsrichtlinie, Ansprechperson, Schulung,
      Meldeprozess fuer neue KI-Tools (Schatten-KI vermeiden).

Fuer Schritt 6 lohnt sich ein Blick auf Shadow AI und Governance im Unternehmen sowie auf eine konkrete KI-Nutzungsrichtlinie fuer KMU als Vorlage.

Ein minimales, aber vollstaendiges Inventar-Eintrag koennte so aussehen:

{
  "system": "Bewerber-Screening-Tool XY",
  "rolle": "Betreiber",
  "anbieter": "Drittanbieter (nicht EU-ansaessig)",
  "eu_bezug": "ja - Filialen in Deutschland nutzen das Tool",
  "risikoklasse": "hochrisiko",
  "begruendung": "Personalauswahl, Anhang III Ziff. 4",
  "massnahmen": [
    "menschliche Ueberpruefung jeder Ablehnung",
    "Grundrechte-Folgenabschaetzung erstellt",
    "Ansprechperson benannt: HR-Leitung"
  ],
  "review_datum": "2026-10-01"
}

Stand und Ausblick (2026-07)

Zusammengefasst: Der AI Act ist seit August 2025 fuer GPAI-Anbieter und Verbote scharf, die grossen Hochrisiko-Pflichten wurden durch das Digital-Omnibus-Paket auf Ende 2027 bzw. 2028 verschoben, und die Transparenzpflicht fuer KI-Inhalte kommt bereits im Dezember 2026. Die Schweiz bleibt beim sektoriellen Ansatz und bereitet die Ratifikation der Europarats-KI-Konvention vor - eine Vernehmlassungsvorlage wird bis Ende 2026 erwartet. Beobachte diesen Prozess: Die konkreten Gesetzesanpassungen werden zeigen, wie stark sich Schweizer Recht dem EU-Modell annaehert oder eigene Wege geht.

Weiterlernen

• EU AI Act - offizieller Verordnungstext (EUR-Lex)
• European Commission - AI Act Uebersicht und Umsetzungsfahrplan
• Bundesamt fuer Kommunikation (BAKOM) - Kuenstliche Intelligenz Schweiz
• Digitale Schweiz - Massnahme zur KI-Konvention des Europarats
• AlgorithmWatch CH - Leitfaden KI-Regulierung Schweiz
• KMU.admin.ch - Auslegeordnung zur Regulierung von Kuenstlicher Intelligenz (PDF)