EU AI Act und Schweizer DSG: KI-Regulierung im DACH-Raum verstehen und umsetzen

Die digitale Transformation wird massgeblich durch den Einsatz Künstlicher Intelligenz (KI) vorangetrieben. Im deutschsprachigen Raum, der DACH-Region, erleben wir eine dynamische Entwicklung dieser Technologie. Parallel dazu nimmt die Dichte regulatorischer Anforderungen stetig zu. Für Unternehmen in der Schweiz, Deutschland und Österreich ist die Kenntnis und Implementierung der EU AI Act und des Schweizer Datenschutzgesetzes (DSG) entscheidend. Diese zwei regulatorischen Rahmenwerke definieren die Spielregeln für den verantwortungsvollen Einsatz von KI und erfordern von Organisationen proaktive Anpassungen sowie strategische Überlegungen.

Der EU AI Act, eine bahnbrechende Gesetzgebung, und das revidierte Schweizer DSG, das seit dem 1. September 2023 in Kraft ist, bilden zusammen ein komplexes Geflecht von Pflichten und Verantwortlichkeiten. Für viele Unternehmen, insbesondere im Mittelstand, stellt dies eine Herausforderung dar. Es ist jedoch eine Notwendigkeit, diese Entwicklungen nicht als blosse Hürden zu betrachten, sondern als Chance, Vertrauen in KI-Systeme zu schaffen und deren Potenzial langfristig und rechtssicher zu erschliessen. Dieser Artikel beleuchtet die Kernpunkte beider Gesetze, ihre Implikationen für DACH-Unternehmen und liefert konkrete Handlungsempfehlungen für eine erfolgreiche Compliance.

Der EU AI Act: Ein umfassendes Regelwerk mit gestaffelten Fristen

Der EU AI Act, der am 1. August 2024 in Kraft trat und dessen Veröffentlichung im Amtsblatt der EU bereits am 12. Juli 2024 erfolgte, ist die weltweit erste umfassende Gesetzgebung zur Regulierung Künstlicher Intelligenz. Sein Kernmerkmal ist ein risikobasierter Ansatz. KI-Systeme werden in vier Kategorien eingeteilt: inakzeptables Risiko, hohes Risiko, geringes Risiko und minimales Risiko. Diese Klassifizierung bestimmt, welche Anforderungen an ein System gestellt werden und welche Pflichten daraus für die verantwortlichen Unternehmen resultieren.

Die Anwendung der verschiedenen Bestimmungen erfolgt gestaffelt über einen Zeitraum von bis zu drei Jahren. Bereits seit dem 2. Februar 2025 sind die Bestimmungen zu verbotenen KI-Systemen in Kraft. Systeme, die ein inakzeptables Risiko darstellen, wie zum Beispiel staatliche Social-Scoring-Systeme, sind bereits seit Ende 2024 in der EU untersagt. Die Regeln für KI-Systeme mit allgemeinem Verwendungszweck (General Purpose AI Models), die eine breite Palette von Anwendungen abdecken können, gelten seit dem 2. August 2025. Die umfassendsten Anforderungen für Hochrisiko-KI-Systeme treten ab dem 2. August 2027 in Kraft. Diese schrittweise Einführung ermöglicht es Unternehmen, sich auf die kommenden Regularien vorzubereiten, erfordert jedoch eine vorausschauende Planung.

Für DACH-Unternehmen, die KI-Systeme in der EU entwickeln, anbieten oder nutzen, sind diese Fristen von entscheidender Bedeutung. Der AI Act betrifft nicht nur Anbieter innerhalb der EU. Seine Reichweite erstreckt sich auch auf Unternehmen ausserhalb der EU, einschliesslich der Schweiz, wenn die von ihren Systemen erzeugten Outputs in der EU verwendet werden. Dies bedeutet, dass selbst rein schweizerische Unternehmen, die beispielsweise eine HR-Software mit KI-Funktionen an deutsche Tochtergesellschaften oder Kunden verkaufen, die Bestimmungen des EU AI Act beachten müssen. Eine Nichteinhaltung kann zu erheblichen Bußgeldern führen, die denen der DSGVO ähneln. Sie können bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen, je nachdem, welcher Betrag höher ist. Dies unterstreicht die Notwendigkeit einer frühzeitigen Auseinandersetzung mit dem Gesetz.

Hochrisiko-KI-Systeme, zu denen Schätzungen zufolge 5 bis 50 Prozent aller KI-Systeme zählen könnten, unterliegen besonders strengen Compliance-Anforderungen. Dazu gehören Systeme in kritischen Infrastrukturen, im Personalwesen, etwa für die Bewerberauswahl oder Leistungsbeurteilung, oder in der Kreditwürdigkeitsprüfung. Solche Systeme müssen unter anderem externen Audits unterzogen werden, was zusätzliche Ressourcen und Expertise erfordert.

Schweizer DSG und KI: Technologieneutral, aber spezifisch anwendbar

Parallel zum EU AI Act ist das revidierte Schweizer Datenschutzgesetz (DSG), das seit dem 1. September 2023 in Kraft ist, direkt auf KI-gestützte Datenbearbeitungen anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat dies in einem aktualisierten Leitfaden vom 8. Mai 2025 ausdrücklich bestätigt. Eine separate KI-Gesetzgebung ist in der Schweiz dafür nicht notwendig, da das DSG technologieneutral formuliert ist. Das bedeutet, es legt allgemeine Prinzipien fest, die unabhängig von der verwendeten Technologie gelten.

Das Schweizer DSG stellt vier zentrale Pflichten an Organisationen, die KI auf Personendaten anwenden:

1. Auskunft über automatisierte Einzelentscheidungen (Art. 25 revDSG): Betroffene Personen haben das Recht, Auskunft über das Vorhandensein einer automatisierten Einzelentscheidung sowie über die zugrunde liegende Logik zu erhalten. Unternehmen müssen daher in der Lage sein, die Funktionsweise und Entscheidungsgrundlagen ihrer KI-Systeme, die Entscheidungen ohne menschliche Zwischenprüfung treffen, transparent zu erklären. Dies erfordert eine umfassende Dokumentation und das Verständnis der KI-Modelle.

2. Datenschutz durch Technik und Voreinstellungen (Art. 7 revDSG): Datenbearbeitungen müssen technisch und organisatorisch so gestaltet sein, dass die Datenschutzvorschriften ab der Planungsphase eingehalten werden (Privacy by Design). Voreinstellungen müssen die Bearbeitung auf das für den Zweck nötige Mindestmass beschränken (Privacy by Default). Dies verlangt eine sorgfältige Prüfung von zugekauften KI-Tools vor deren Implementierung und die Sicherstellung, dass diese den schweizerischen Datenschutzstandards entsprechen.

3. Transparenzpflichten: Unternehmen müssen den Zweck, die Funktionsweise und die Datenquellen von KI-basierten Bearbeitungen transparent machen. Insbesondere bei intelligenten Sprachmodellen müssen Nutzer wissen, ob sie mit einer Maschine interagieren und ob ihre eingegebenen Daten zum Training verwendet werden. Diese Transparenz schafft Vertrauen und ermöglicht informierte Entscheidungen seitens der Nutzer.

4. Datenschutz-Folgenabschätzung (DSFA): Eine DSFA ist erforderlich, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. KI gilt oft als neue Technologie, was eine DSFA relevant machen kann, insbesondere bei der Bewertung oder Prognose von Personen, automatisierten Einzelentscheidungen oder der Verarbeitung grosser Mengen sensibler Daten. Die DSFA ist ein Instrument zur frühzeitigen Identifizierung und Minimierung von Datenschutzrisiken.

Die AXA KMU-Arbeitsmarktstudie 2025 offenbarte, dass 34 Prozent der Schweizer KMU KI bewusst einsetzen. Jedoch hat nur rund ein Drittel davon klare interne Regeln zum datenschutzkonformen Umgang definiert. Dies verdeutlicht eine erhebliche Lücke in der Compliance und ein entsprechendes Risiko, insbesondere da Mitarbeitende oft selbst entscheiden, welche Tools sie nutzen und welche Daten sie eingeben. Sensible Informationen könnten so unkontrolliert an externe KI-Anbieter gelangen, was schwerwiegende Konsequenzen für Unternehmen haben kann.

Synergien und Abgrenzungen: EU AI Act trifft Schweizer DSG

Die Koexistenz von EU AI Act und Schweizer DSG schafft eine spezifische regulatorische Landschaft für Unternehmen im DACH-Raum. Während der EU AI Act eine sektorspezifische Regulierung für KI-Systeme darstellt, ist das Schweizer DSG ein technologieneutrales Rahmengesetz zum Schutz von Personendaten. Es ist entscheidend zu verstehen, dass die Einhaltung eines Gesetzes nicht automatisch die Konformität mit dem anderen bedeutet. Es gibt jedoch signifikante Synergien und Überlappungen, die Unternehmen nutzen können.

Beide Gesetze betonen die Wichtigkeit von Transparenz und Rechenschaftspflicht. Die Transparenzpflichten des Schweizer DSG, beispielsweise bezüglich der Logik automatisierter Entscheidungen, finden sich in ähnlicher Form auch in den Anforderungen des EU AI Act an Hochrisiko-KI-Systeme wieder. Auch die Notwendigkeit einer Risikobewertung, wie sie die Datenschutz-Folgenabschätzung (DSFA) im DSG vorsieht, korreliert stark mit dem risikobasierten Ansatz des EU AI Act.

Die Abgrenzung liegt primär in ihrem Fokus: Der EU AI Act reguliert das Inverkehrbringen und die Nutzung von KI-Systemen als solche und nimmt eine risikobasierte Klassifizierung dieser Systeme vor. Das DSG hingegen schützt die Persönlichkeit und Grundrechte von Personen, deren Daten durch KI-Systeme bearbeitet werden. Ein KI-System, das gemäss EU AI Act als Hochrisiko eingestuft wird, wird nahezu immer auch eine Bearbeitung von Personendaten nach sich ziehen, die eine DSFA gemäss DSG erfordert. Die Anforderungen an Dokumentation, technische Sicherheit und Governance sind in beiden Fällen hoch.

Für Schweizer Unternehmen, die im EU-Markt agieren, bedeutet dies eine doppelte Verantwortung. Sie müssen nicht nur die schweizerischen Datenschutzbestimmungen einhalten, sondern auch die extraterritorialen Auswirkungen des EU AI Act berücksichtigen. Eine umfassende Compliance-Strategie muss daher beide Rechtsrahmen integrieren und ihre spezifischen Anforderungen adressieren. Die Entwicklung interner Richtlinien und Prozesse sollte so gestaltet sein, dass sie sowohl den Vorgaben des EU AI Act als auch des DSG gerecht werden und somit eine effiziente Umsetzung ermöglichen.

Praktische Handlungsempfehlungen für Unternehmen im DACH-Raum

Die kombinierte Wirkung des EU AI Act und des Schweizer DSG erfordert von DACH-Unternehmen ein hohes Mass an Verantwortlichkeit und proaktivem Handeln. Untätigkeit oder das Ignorieren dieser Entwicklungen kann zu erheblichen finanziellen Sanktionen und Reputationsschäden führen. Folgende Handlungsempfehlungen sind essenziell:

* Bestandsaufnahme und Risikobewertung: Führen Sie eine detaillierte Bestandsaufnahme aller aktuell genutzten oder geplanten KI-Systeme durch. Bewerten Sie jedes System hinsichtlich seiner Risikokategorie gemäss EU AI Act und des Potenzials für hohe Risiken für Persönlichkeitsrechte gemäss DSG. Dies ist der erste und grundlegende Schritt, um Compliance-Lücken zu identifizieren und Prioritäten für die weiteren Massnahmen zu setzen. Unternehmen sollten dabei auch den internen, oft unkontrollierten Einsatz von frei verfügbaren KI-Tools durch Mitarbeitende erfassen und bewerten.

* Datenschutz-Folgenabschätzungen (DSFA) und Transparenz: Für Hochrisiko-Anwendungen, insbesondere in Bereichen wie HR, Finance oder Operations, sind Datenschutz-Folgenabschätzungen unerlässlich. Dokumentieren Sie die Logik der KI-Modelle und stellen Sie die Erklärbarkeit automatisierter Entscheidungen sicher. Das heisst, es muss nachvollziehbar sein, wie eine KI zu einem bestimmten Ergebnis kommt. Diese Dokumentation ist nicht nur eine rechtliche Pflicht, sondern auch eine Grundlage für das Vertrauen in die Technologie.

* Interne Richtlinien und Schulungen: Etablieren Sie klare interne Richtlinien für den Einsatz von KI-Tools und schulen Sie Ihre Mitarbeitenden regelmässig im datenschutzgerechten Umgang mit KI. Sensibilisieren Sie für die Risiken des unkontrollierten Abflusses sensibler Unternehmensdaten an externe KI-Anbieter. Ein proaktives Vorgehen verhindert Schatten-IT und minimiert das Risiko von Datenschutzverletzungen.

* Technische und Organisatorische Massnahmen (TOMs): Stellen Sie sicher, dass alle KI-Anwendungen die IT-Sicherheitsanforderungen erfüllen und die Datenbearbeitung technisch und organisatorisch so gestaltet ist, dass Datenschutz gewährleistet ist (Privacy by Design und Privacy by Default). Sensible Daten sollten idealerweise vollständig im Unternehmen verbleiben. Es sollte eine volle Kontrolle über Modelle, Daten und Zugriffe bestehen. Dies schliesst auch die sichere Speicherung und Verarbeitung von Trainingsdaten ein.

* Change Management: Die Einführung von KI ist mehr als ein Software-Update. Sie erfordert tiefgreifende Veränderungen in Arbeitsabläufen, Verantwortlichkeiten und der Unternehmenskultur. Ein proaktives Change Management ist entscheidend, um Akzeptanz zu fördern, Widerstände abzubauen und sicherzustellen, dass Mitarbeitende die neuen Technologien effektiv und gesetzeskonform nutzen. Dies beinhaltet auch die Kommunikation der Vorteile und des Zwecks der KI-Anwendungen.

KI in spezifischen Funktionen unter dem Auge der Regulierung:

* HR: Der Einsatz von KI in der Bewerberselektion oder Leistungsanalyse wird als Profiling mit erhöhtem Risiko eingestuft. Dies macht Transparenz und eine DSFA zwingend. Generative KI im Personalcontrolling kann zwar helfen, Engpassfunktionen zu identifizieren und Personalkosten transparent zu steuern, erfordert aber höchste Sorgfalt im Umgang mit sensiblen Personendaten. Fairness und Diskriminierungsfreiheit müssen dabei stets gewährleistet sein.

* Controlling & Finance: KI-Tools für automatisierte Analysen, Prognosen oder das schnelle Monatsabschluss erleichtern die Arbeit erheblich. Auch hier müssen die von der KI abgeleiteten "Wahrheiten" kritisch hinterfragt und die Entscheidungsprozesse nachvollziehbar bleiben, um rechtliche oder kulturelle Konflikte zu vermeiden. Der Einsatz von "Finance Agents" zur Automatisierung von Finanzprozessen, beispielsweise wie dem Sage Intacct Finance Intelligence Agent, erfordert transparente Erläuterungen der Empfehlungen, einschliesslich zugrunde liegender Daten, Logik und Annahmen. Dies verhindert das Entstehen einer Blackbox, die nicht mehr kontrollierbar ist.

* Mittelstand: KMU stehen vor besonderen Herausforderungen. Während KI grosse Chancen für Effizienzgewinne und die Bewältigung des Fachkräftemangels bietet, hadern viele noch mit der Einführung. Gründe sind oft fehlende Daten, Wissen oder passende Anwendungsfälle. Die genannten regulatorischen Anforderungen sind für sie besonders relevant, da sie oft nicht die Ressourcen grosser Konzerne für dedizierte Compliance-Abteilungen haben. Studien zeigen, dass nur ein kleiner Teil der deutschen KMU KI umfassend einsetzt, und viele befürchten rechtliche Aspekte als Hinderungsgrund. Initiativen wie der Green-AI Hub Mittelstand unterstützen hier bei der konkreten Umsetzung und dem Aufbau von Fachwissen.

Kritische Einordnung aus Kapitel-H-Sicht

Bei Kapitel H betrachten wir die Entwicklungen im Bereich KI stets aus einer pragmatischen und anwendungsorientierten Perspektive. Der EU AI Act und das Schweizer DSG sind keine theoretischen Konstrukte, sondern konkrete Rahmenwerke, die unmittelbare Auswirkungen auf den Geschäftsalltag haben. Es ist entscheidend, den Hype um KI zu ignorieren und sich stattdessen auf reale Anwendungsszenarien und deren verantwortungsvolle Implementierung zu konzentrieren.

Die Hauptbotschaft ist klar: Befähigung statt Abhängigkeit. Unternehmen sollten nicht blindlings auf externe KI-Lösungen vertrauen, ohne deren Funktionsweise und Datenumgang zu verstehen. Das Schaffen von Transparenz und Nachvollziehbarkeit ist nicht nur eine regulatorische Pflicht, sondern eine fundamentale Voraussetzung für den Aufbau von Vertrauen. Dies gilt sowohl intern gegenüber den Mitarbeitenden als auch extern gegenüber Kunden und Partnern. Ein datenschutzkonformer und rechtskonformer Einsatz von KI ist ein Wettbewerbsvorteil, der es ermöglicht, neue Geschäftsmodelle zu entwickeln und bestehende zu optimieren, ohne dabei die Risiken zu vernachlässigen.

Für den Mittelstand im DACH-Raum ist die Integration dieser regulatorischen Anforderungen eine besonders grosse Aufgabe. Es fehlen oft die Ressourcen und das spezialisierte Personal, um sich vollumfänglich mit der komplexen Materie auseinanderzusetzen. Hier sehen wir die Notwendigkeit für klare, umsetzbare Leitfäden und praktische Unterstützung. Die Herausforderung besteht darin, KI-Systeme so zu gestalten und zu betreiben, dass sie einerseits innovative Lösungen bieten, andererseits aber auch den Prinzipien der Ethik, des Datenschutzes und der Sicherheit gerecht werden. Dies erfordert eine ganzheitliche Betrachtung, die technische Aspekte, rechtliche Vorgaben und organisatorische Prozesse miteinander verbindet.

Wir stellen fest, dass das Verständnis für die tiefergehenden Implikationen von KI oft noch mangelhaft ist. Viele Unternehmen nutzen KI-Tools, ohne die genauen Datenflüsse oder die Risikoeinstufung der Anwendung zu kennen. Diese Wissenslücke muss geschlossen werden. Es geht nicht darum, den Einsatz von KI zu verhindern, sondern ihn bewusst, kontrolliert und im Einklang mit den geltenden Gesetzen zu gestalten. Nur so lässt sich das volle Potenzial der Technologie ausschöpfen, ohne dabei die Persönlichkeitsrechte der Betroffenen oder die Integrität des Unternehmens zu gefährden.

Fazit: Proaktives Handeln sichert Zukunft und Vertrauen

Die aktuellen Entwicklungen im Bereich der KI-Regulierung, insbesondere der EU AI Act und das Schweizer DSG, erfordern ein sofortiges und strategisches Handeln von Unternehmen im DACH-Raum. Es genügt nicht mehr, die Einführung von KI abzuwarten oder einzelne Tools isoliert zu betrachten. Eine ganzheitliche Strategie, die technische Implementierung, rechtliche Compliance und aktives Change Management miteinander verbindet, ist unerlässlich. Dies betrifft alle Unternehmensbereiche, von HR über Finance bis zu den operativen Prozessen.

Indem Sie eine detaillierte Bestandsaufnahme Ihrer KI-Nutzung vornehmen, Risiken systematisch bewerten, transparente Prozesse etablieren und Ihre Mitarbeitenden schulen, legen Sie das Fundament für einen verantwortungsvollen und zukunftssicheren KI-Einsatz. Proaktive Compliance minimiert nicht nur rechtliche Risiken und potenzielle Bußgelder, sondern stärkt auch das Vertrauen Ihrer Kunden und Mitarbeitenden in Ihre Produkte und Dienstleistungen. Betrachten Sie die Regulierung als Chance, nicht als Bürde, um die Potenziale der KI voll auszuschöpfen und gleichzeitig die hohen Standards der Datensicherheit und des Datenschutzes zu gewährleisten. Wer jetzt handelt, schafft einen entscheidenden Wettbewerbsvorteil und sichert die Zukunftsfähigkeit seines Unternehmens in einer zunehmend durch KI geprägten Wirtschaft.