KI-Regulierung im DACH-Raum: Was Unternehmen jetzt wissen müssen

Die Künstliche Intelligenz (KI) entwickelt sich rasant weiter. Mit dieser Entwicklung gehen auch neue regulatorische Rahmenbedingungen einher, die für Unternehmen im DACH-Raum von erheblicher Bedeutung sind. Insbesondere die gestaffelte Inkraftsetzung des EU AI Act und die damit verbundenen Transparenzpflichten für generative KI-Systeme, die seit dem 2. August 2026 anzuwenden sind, prägen die Diskussion. Parallel dazu verfolgt die Schweiz einen eigenständigen regulatorischen Ansatz. Diese Entwicklungen der jüngsten Vergangenheit stellen Unternehmen vor konkrete Herausforderungen und erfordern eine proaktive Anpassung der internen Prozesse und Strategien. Kapitel H beleuchtet die aktuellen Änderungen und deren praktische Implikationen für Ihr Unternehmen.

Der EU AI Act: Stufenweise Anwendung und neue Transparenzpflichten

Der EU AI Act, der am 1. August 2024 offiziell in Kraft trat, ist kein statisches Regelwerk, sondern entfaltet seine Wirkung schrittweise. Dies erfordert von Unternehmen eine kontinuierliche Beobachtung und Anpassung. Eine der jüngsten und unmittelbar relevanten Änderungen betrifft die Transparenzpflichten gemäß Artikel 50 des AI Act. Diese sind seit dem 2. August 2026 verbindlich anzuwenden. Sie richten sich insbesondere an Anbieter und Betreiber von interaktiven und generativen KI-Systemen sowie an jene, die Deepfakes und andere KI-generierte Inhalte nutzen oder verbreiten. Für Unternehmen im DACH-Raum bedeutet dies, dass eine gesetzliche Verpflichtung besteht, in bestimmten Fällen klar kenntlich zu machen, wenn Inhalte mithilfe von Künstlicher Intelligenz erstellt oder wesentlich verändert wurden.

Diese Kennzeichnungspflicht hat weitreichende Auswirkungen auf die tägliche Geschäftspraxis. Unternehmen, die generative KI-Tools wie ChatGPT, Midjourney oder vergleichbare proprietäre Lösungen einsetzen, müssen ihre Prozesse überprüfen. Ob es um die Erstellung von Marketingtexten und -bildern, die Kommunikation mit Kunden über Chatbots oder die Generierung von Designentwürfen in der Produktentwicklung geht, die Herkunft der Inhalte muss nachvollziehbar sein und entsprechend gekennzeichnet werden. Ein Versäumnis bei der Implementierung dieser Mechanismen kann nicht nur zu erheblichen rechtlichen Risiken führen, sondern auch das Vertrauen der Kunden und Geschäftspartner nachhaltig beeinträchtigen. Pragmatisch bedeutet dies, dass ein Content Management System möglicherweise um ein Feld für die KI-Herkunft erweitert werden muss oder dass Kommunikationsrichtlinien für Chatbots eine explizite Nennung der KI-Nutzung vorsehen.

Es ist wichtig, die gestaffelte Anwendung des AI Act vollständig zu verstehen. Bereits seit dem 2. Februar 2025 sind die Bestimmungen zu verbotenen KI-Praktiken sowie die Pflicht zur KI-Kompetenz gemäß Artikel 4 in Kraft. Diese frühen Phasen legten das Fundament für einen verantwortungsvollen KI-Einsatz. Die Vorschriften für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI models, GPAI) gelten seit dem 2. August 2025. Hierzu zählen beispielsweise die Modelle hinter grossen Sprachmodellen wie GPT-4 oder Llama. Die kritischsten Anforderungen, jene für Hochrisiko-KI-Systeme gemäß Anhang III, werden erst ab dem 2. Dezember 2027 relevant. Diese Systeme finden Anwendung in Bereichen wie Rekrutierung, Kreditvergabe oder kritischen Infrastrukturen und unterliegen strengsten Prüfungs- und Konformitätspflichten. Für Hochrisiko-KI, die in regulierte Produkte wie Medizinprodukte oder Maschinen eingebettet ist, gelten die Anforderungen sogar erst ab dem 2. August 2028. Für DACH-SaaS-Teams, die KI entwickeln oder einsetzen, bedeutet diese gestaffelte Anwendung, dass die anwendbaren Kontrollen nicht pauschal, sondern abhängig vom spezifischen Anwendungsfall, der Verarbeitung personenbezogener Daten und der jeweiligen Rolle des Unternehmens im KI-Lebenszyklus (Anbieter, Betreiber, Importeur, Händler) bestimmt werden müssen. Dies erfordert eine detaillierte Analyse der eigenen KI-Landschaft.

Die Schweiz: Ein eigenständiger Weg mit Fokus auf Konventionen und bestehendes Recht

Während die Europäische Union mit dem AI Act einen umfassenden, KI-spezifischen Rechtsrahmen geschaffen hat, verfolgt die Schweiz einen differenzierteren und technologie-neutraleren Ansatz. Der Schweizer Bundesrat hat im Februar 2025 einen Grundsatzentscheid getroffen, die umfangreichen EU-Gesetze wie den EU AI Act nicht direkt zu übernehmen. Stattdessen setzt die Schweiz auf die primäre Übernahme der KI-Konvention des Europarats, insbesondere für staatliche Akteure, und auf die Stärkung des bestehenden, technologie-neutralen Rechtsrahmens. Die Schweiz hat die KI-Konvention des Europarats bereits im März 2025 unterzeichnet und bereitet bis Ende 2026 die für ihre Ratifizierung notwendigen Gesetzesvorschläge vor. Diese Vorschläge umfassen Massnahmen in den Bereichen Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht und spiegeln damit viele der grundlegenden Prinzipien wider, die auch im EU AI Act verankert sind.

Das Bundesamt für Justiz (BJ) ist federführend bei der Erarbeitung einer Vernehmlassungsvorlage zur KI-Regulierung, die diese Konvention umsetzen soll. Diese Vorlage wird ebenfalls bis Ende 2026 erwartet. Parallel dazu arbeitet das Bundesamt für Kommunikation (BAKOM) an einem Umsetzungsplan für rechtlich nicht verbindliche Massnahmen. Hierzu gehören Branchenlösungen oder Selbstverpflichtungserklärungen, die bis Ende 2026 entwickelt werden sollen. Dieser Ansatz ermöglicht es der Schweiz, flexibel auf technologische Entwicklungen zu reagieren und gleichzeitig die Souveränität ihrer Rechtsordnung zu wahren.

Für Schweizer Unternehmen bedeutet dies, dass sie sich zwar nicht direkt mit den spezifischen Details des EU AI Act auseinandersetzen müssen, aber dennoch eine wachsende Regulierungswelle im Bereich KI zu erwarten haben. Die Schweizer Ansätze zielen darauf ab, Grundrechte, Demokratie und Rechtsstaatlichkeit im Umgang mit KI zu gewährleisten. Dies ist ein zentrales Anliegen und betrifft alle Unternehmen, die KI-Systeme entwickeln, einsetzen oder vertreiben. Insbesondere das Produkthaftpflichtgesetz (PrHG) und das Produktsicherheitsgesetz (PrSG) rücken in den Fokus als zentrale Instrumente zur Regulierung von Schäden durch KI-Produkte. Die Schweiz plant hier Gesetzesrevisionen, um mit der technischen Entwicklung Schritt zu halten, ähnlich wie die EU ihr Produkthaftungs- und Produktsicherheitsrecht bereits 2024 modernisiert hat. Unternehmen müssen somit auch in der Schweiz ihre bestehenden Prozesse im Hinblick auf Produktsicherheit und Haftung neu bewerten, insbesondere wenn KI-Komponenten in physischen Produkten zum Einsatz kommen.

Implikationen für DACH-Unternehmen: Rechtssicherheit und Wettbewerbsfähigkeit

Die unterschiedlichen, aber in ihren Grundsätzen ähnlichen Regulierungsansätze in der EU und der Schweiz schaffen eine komplexe Landschaft für Unternehmen im gesamten DACH-Raum. Für international agierende Unternehmen, die sowohl in der EU als auch in der Schweiz tätig sind, bedeutet dies, zwei verschiedene, aber sich in ihren Zielen oft ergänzende Compliance-Stränge zu managen. Dies erfordert einen gut koordinierten Ansatz und ein tiefes Verständnis beider Rechtsräume.

Rechtliche Unsicherheit und Compliance-Aufwand

Unternehmen müssen ihre internen Prozesse und den Einsatz von KI-Systemen kontinuierlich prüfen und an die sich entwickelnden regulatorischen Anforderungen anpassen. Die Einhaltung der neuen Transparenzpflichten des EU AI Act erfordert nicht nur Investitionen in Technologie, um KI-generierte Inhalte zu erkennen und zu kennzeichnen, sondern auch eine umfassende Schulung der Mitarbeiter. Diese müssen verstehen, welche Inhalte kennzeichnungspflichtig sind und wie die Kennzeichnung korrekt umzusetzen ist. Für die Schweiz ist es entscheidend, die Entwicklung der nationalen KI-Regulierung aufmerksam zu verfolgen und sich auf mögliche Anpassungen im bestehenden Rechtsrahmen, insbesondere im Datenschutz- und Produkthaftungsrecht, vorzubereiten. Hier können frühzeitige Gap-Analysen helfen, potenzielle Risikobereiche zu identifizieren und entsprechende Massnahmen zu planen.

Datenschutz als Kernaspekt des KI-Einsatzes

Die Datenschutz-Grundverordnung (DSGVO) bildet weiterhin die unverzichtbare Basis für den Datenschutz beim KI-Einsatz in der EU. Ähnliche Prinzipien gelten im Schweizer Datenschutzrecht. Dies erfordert eine rechtmässige Datenverarbeitung, strikte Transparenz, Datenminimierung und Zweckbindung sowie robuste Mechanismen für den Umgang mit automatisierten Entscheidungen und Datensicherheit. Gerade bei der Nutzung von generativer KI, die oft als