EU AI Act: Was Schweizer Unternehmen bis August 2026 wissen müssen

Der EU Artificial Intelligence Act, kurz EU AI Act, ist seit dem 1. August 2024 offiziell in Kraft getreten. Seine volle Anwendbarkeit, insbesondere für Hochrisiko-KI-Systeme, ist für August 2026 vorgesehen. Dieses weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz ist keine ferne Zukunftsmusik, sondern eine unmittelbare Realität für Unternehmen im gesamten DACH-Raum, einschliesslich der Schweiz. Die Tragweite des AI Act geht weit über die Grenzen der Europäischen Union hinaus. Schweizer Unternehmen, die KI-Systeme entwickeln, anbieten oder nutzen, deren Ergebnisse sich in der EU auswirken, sind direkt betroffen. Dies erfordert eine strategische Neubewertung der Compliance, des Datenschutzes und der gesamten KI-Governance. Ein proaktives Vorgehen ist nicht nur ratsam, sondern essenziell, um rechtliche Risiken zu minimieren und Wettbewerbsvorteile zu sichern.

Der EU AI Act: Ein risikobasierter Ansatz für KI-Systeme

Der EU AI Act basiert auf einem gestuften Risikomodell, das KI-Systeme in vier Kategorien einteilt. Diese Klassifizierung bestimmt die jeweiligen Anforderungen und Pflichten für Anbieter und Nutzer von KI. Es ist entscheidend, die eigene KI-Nutzung präzise einzuordnen, da Verstösse erhebliche Sanktionen nach sich ziehen können.

Unvertretbares Risiko: Systeme, die gegen europäische Grundwerte verstossen, sind grundsätzlich verboten. Dazu gehören beispielsweise Social Scoring, das zur Bewertung des Sozialverhaltens eingesetzt wird, oder manipulative Techniken, die das Verhalten von Personen verzerren können. Diese Verbote sind bereits sechs Monate nach Inkrafttreten der Verordnung, also Anfang 2025, wirksam. Unternehmen müssen umgehend prüfen, ob sie solche Systeme im Einsatz haben oder entwickeln. Eine späte Reaktion kann hier schwerwiegende Konsequenzen haben.

Hohes Risiko: Diese Kategorie umfasst KI-Systeme, die wesentliche Grundrechte, die Sicherheit oder die Gesundheit von Personen beeinflussen können. Beispiele finden sich in kritischen Infrastrukturen, bei der Bewertung der Kreditwürdigkeit, im Personalwesen, wie etwa bei der Vorauswahl von Bewerbern, oder im Gesundheitswesen, etwa bei Diagnosehilfen. Für diese Systeme gelten ab August 2026 strenge Anforderungen. Dazu gehören die Gewährleistung hoher Datenqualität, eine kontinuierliche Überwachung der Systeme, detaillierte Dokumentation der KI-Modelle und ihrer Entwicklung, Transparenz bezüglich ihrer Funktionsweise und ein robustes Risikomanagement. Unternehmen müssen hier umfassende interne Prozesse etablieren, um diesen Anforderungen gerecht zu werden. Die Verpflichtungen sind nicht trivial und erfordern signifikante Investitionen in Prozesse, Technologie und Personal.

Begrenztes Risiko: KI-Systeme, die direkt mit natürlichen Personen interagieren, wie Chatbots oder Deepfakes, erfordern Transparenz. Nutzer müssen klar darüber informiert werden, dass sie mit einer KI interagieren oder dass Inhalte durch KI generiert wurden. Hier geht es primär um Aufklärung und Vertrauensbildung.

Minimales Risiko: Alle anderen KI-Systeme fallen in diese Kategorie. Für sie gibt es keine spezifischen gesetzlichen Auflagen. Dennoch empfiehlt der AI Act, Mitarbeitende im Umgang mit diesen Systemen zu schulen und optional freiwillige Verhaltenskodizes zu implementieren, um Best Practices zu fördern. Dies unterstreicht, dass auch bei minimalem Risiko ein verantwortungsvoller Umgang mit KI stets ratsam ist. Ein aktives Risikomanagement bleibt auch hier ein Zeichen guter Unternehmensführung.

Für Unternehmen bedeutet dies konkret: Jedes eingesetzte oder entwickelte KI-System muss einer detaillierten Risikobewertung unterzogen werden. Diese Klassifizierung ist die Grundlage für alle weiteren Compliance-Massnahmen. Bei Nichteinhaltung drohen empfindliche Bußgelder, die bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist. Dies unterstreicht die Notwendigkeit, sich nicht nur mit den technischen Aspekten der KI auseinanderzusetzen, sondern auch mit den juristischen und organisatorischen Rahmenbedingungen. Der AI Act ist kein Papiertiger, sondern ein Gesetz mit weitreichenden Konsequenzen.

Schweizer Unternehmen: Direkte Betroffenheit trotz fehlender nationaler Regelung

Die Schweiz plant derzeit kein eigenes, dem EU AI Act vergleichbares KI-Gesetz. Stattdessen setzt man auf die Anpassung bestehender, technologieneutraler Gesetze, wie das Datenschutzgesetz, sowie auf sektorbezogene Ergänzungen und Selbstregulierung. Dies bedeutet jedoch keineswegs, dass Schweizer Unternehmen von den europäischen Vorgaben unberührt bleiben. Im Gegenteil, das sogenannte Marktortprinzip des EU AI Act hat eine extraterritoriale Wirkung, die Schweizer Firmen direkt betrifft.

Dieses Prinzip besagt, dass der AI Act zur Anwendung kommt, wenn eine KI-Lösung in der EU angeboten oder genutzt wird oder wenn deren Ergebnisse sich in der EU auswirken. Für viele international tätige Schweizer Unternehmen ist dies der Regelfall. Eine Entwicklung ausschliesslich für den Schweizer Markt ist in den meisten Branchen unrealistisch, wie auch Expertinnen wie Prof. Dr. Nadja Braun Binder von der Universität Basel betonen. Der grenzüberschreitende Handel und die Zusammenarbeit sind in der DACH-Region eng verknüpft, sodass eine Abkapselung kaum praktikabel ist.

Konkrete Anwendungsfälle, in denen Schweizer Unternehmen die Anforderungen des EU AI Act berücksichtigen müssen, sind vielfältig:

* Personalwesen: Ein Schweizer Unternehmen nutzt eine KI-gestützte Software zur Vorauswahl von Bewerbungen für Stellen, die in einer EU-Niederlassung angesiedelt sind. Die Bewertung der Kandidaten fällt unter die Kategorie