Betroffen sind Sie, sobald Ihre KI in die EU wirkt
Der AI Act ist seit dem 1. August 2024 in Kraft und gilt gestaffelt. Verbote und die Pflicht zur Förderung von KI-Kompetenz gelten seit Februar 2025, Transparenzpflichten (etwa für Chatbots) seit 2. August 2026.
Die Pflichten für Hochrisiko-KI hat der Digital Omnibus verschoben: auf den 2. Dezember 2027 für Bereiche wie Personalwesen und Kreditprüfung, auf den 2. August 2028 für KI in regulierten Produkten.
Eine Schweizer Firma ist erfasst, wenn sie KI in der EU anbietet oder wenn die Ergebnisse ihres KI-Systems in der EU verwendet werden. Wer KI nur intern in der Schweiz nutzt, ist in der Regel nicht direkt betroffen. Kunden aus der EU verlangen aber zunehmend entsprechende Zusicherungen.
Wann betrifft der AI Act ein Schweizer Unternehmen?
Der AI Act knüpft am Markt an, der Firmensitz ist dafür nicht massgebend (Art. 2 Abs. 1). Ein Schweizer Unternehmen fällt in drei Fällen darunter:
- Es bringt als Anbieter ein KI-System in der EU in Verkehr oder nimmt es dort in Betrieb, etwa indem es Software mit KI-Funktion an EU-Kunden verkauft.
- Es nutzt als Anbieter oder Betreiber ein KI-System, dessen Ergebnis in der EU verwendet wird, zum Beispiel KI-gestützte Analysen, Texte oder Entscheide für Kunden in Deutschland.
- Es setzt KI über eine Niederlassung in der EU ein, etwa über eine Tochtergesellschaft.
Beispiel: Ein Treuhandbüro in St. Gallen nutzt KI, um Steuerunterlagen für Kunden in Vorarlberg vorzubereiten. Das Ergebnis wird in der EU verwendet, also ist das Büro Betreiber im Sinne des AI Act. Setzt es dieselbe KI nur für Schweizer Mandate ein, ist es nicht erfasst.
Die Rollen: Anbieter oder Betreiber?
| Rolle | Wer ist das? | Typisches KMU-Beispiel |
|---|---|---|
| Anbieter (Provider) | Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen auf den Markt, auch kostenlos. | Softwarehaus mit KI-Modul, Agentur mit eigenem Chatbot-Produkt |
| Betreiber (Deployer) | Verwendet ein KI-System in eigener Verantwortung für berufliche Zwecke. | Firma nutzt ChatGPT, Copilot oder ein KI-Bewerbungstool |
| Einführer, Händler | Bringen KI-Systeme aus Drittstaaten in die EU oder vertreiben sie. | Reseller von KI-Software in der EU |
Die meisten KMU sind Betreiber. Wer allerdings ein Hochrisiko-System unter eigenem Namen anbietet oder wesentlich verändert, wird selbst zum Anbieter (Art. 25).
Die vier Risikostufen
Was der AI Act von Ihnen verlangt, hängt davon ab, wofür ein System eingesetzt wird. Ein Maschinenbauer im Aargau, der Bedienungsanleitungen mit KI übersetzen lässt, bewegt sich zum Beispiel in der untersten Stufe. Prüft er Bewerbungen mit einem KI-Tool, ist er im Hochrisiko-Bereich.
| Stufe | Beispiele | Folge |
|---|---|---|
| Unannehmbares Risiko | Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Schulen, ungezieltes Sammeln von Gesichtsbildern; ab 2. Dezember 2026 auch Systeme für nicht einvernehmliche intime Bilder | Verboten |
| Hohes Risiko | KI in Personalauswahl und Leistungsbeurteilung, Kreditwürdigkeit, Versicherungsprämien (Leben, Kranken), Bildung und Prüfungen, kritische Infrastruktur, Sicherheitsbauteile von Produkten (Maschinen, Medizinprodukte) | Umfangreiche Pflichten: Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Registrierung |
| Begrenztes Risiko | Chatbots, KI-erzeugte Bilder, Videos und Texte, Deepfakes | Transparenzpflichten |
| Minimales Risiko | Spamfilter, Übersetzung, Textentwürfe, Suchfunktionen | Keine besonderen Pflichten (ausser KI-Kompetenz) |
Fristen nach dem Digital Omnibus
Mit der Verordnung (EU) 2026/1744 («Digital Omnibus on AI», in Kraft seit 27. Juli 2026) hat die EU einzelne Fristen angepasst. Viele ältere Texte im Netz nennen noch die ursprünglichen Daten.
| Seit / ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken; Pflicht, die KI-Kompetenz des Personals zu fördern (Art. 4) |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), Governance, Sanktionen |
| 2. August 2026 | Grundsätzliche Anwendung; Transparenzpflichten nach Art. 50 (Chatbots, Deepfakes, Emotionserkennung) |
| 2. Dezember 2026 | Maschinenlesbare Kennzeichnung für generative Systeme, die schon vor August 2026 auf dem Markt waren; neues Verbot für Systeme zur Erzeugung nicht einvernehmlicher intimer Bilder |
| 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III (Personal, Bildung, Kreditprüfung, kritische Infrastruktur u. a.), zuvor 2. August 2026 |
| 2. August 2028 | Hochrisiko-KI in Produkten nach Anhang I (Maschinen, Medizinprodukte, Spielzeug u. a.), zuvor 2. August 2027 |
Was müssen Betreiber konkret tun?
KI-Kompetenz (alle, seit Februar 2025)
Anbieter und Betreiber müssen Massnahmen treffen, um die KI-Kompetenz ihres Personals und weiterer Personen zu fördern, die in ihrem Auftrag mit KI arbeiten. Seit dem Omnibus ist klar, dass angemessene Massnahmen genügen. Ein bestimmtes Zertifikat oder eine Mindeststundenzahl ist nicht verlangt. Halten Sie schriftlich fest, was Sie tun, etwa Schulungen und eine KI-Richtlinie.
Transparenz (seit 2. August 2026)
Menschen müssen erfahren, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Das betrifft zum Beispiel den Chatbot auf Ihrer Website. Daneben gilt:
- Deepfakes (KI-erzeugte oder manipulierte Bilder, Videos oder Tonaufnahmen, die echt wirken) müssen offengelegt werden.
- KI-generierte Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden, wenn sie nicht redaktionell geprüft wurden.
- Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die Betroffenen informieren.
Hochrisiko-Systeme (ab Dezember 2027)
Betreiber müssen das System gemäss Gebrauchsanweisung nutzen, eine kompetente menschliche Aufsicht sicherstellen, Eingabedaten auf Eignung prüfen, den Betrieb überwachen, Protokolle aufbewahren und Betroffene informieren. Bei Personalentscheiden gehören dazu auch die Mitarbeitenden. Die Hauptlast (Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung) trägt der Anbieter.
Sanktionen
- Verbotene Praktiken: bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
- Andere Pflichten (u. a. Betreiber- und Transparenzpflichten): bis 15 Mio. Euro oder 3 %
- Falsche Angaben gegenüber Behörden: bis 7,5 Mio. Euro oder 1 %
Für KMU und Start-ups gilt jeweils der tiefere der beiden Beträge.
So gehen Sie vor
- Prüfen Sie, ob Sie betroffen sind: Haben Sie EU-Kunden, werden Ergebnisse in der EU verwendet? Der Pflichten-Check hilft dabei.
- Erstellen Sie ein KI-Inventar und ordnen Sie jedes System einer Risikostufe zu.
- Fördern Sie die KI-Kompetenz Ihrer Leute und dokumentieren Sie es.
- Setzen Sie die Transparenzpflichten um: Hinweise bei Chatbots, Kennzeichnung von KI-Bildern und -Videos.
- Klären Sie Hochrisiko-Fälle früh. Wenn Sie KI im Personalwesen oder bei Kreditentscheiden einsetzen, verlangen Sie vom Anbieter Nachweise zur Konformität. Die Frist im Dezember 2027 ist kürzer, als sie scheint.
Häufige Fragen
Gilt der EU AI Act in der Schweiz?
Nicht direkt, die Schweiz hat ihn nicht übernommen. Er erfasst Schweizer Unternehmen aber, wenn sie KI-Systeme in der EU anbieten oder wenn die Ergebnisse ihrer KI in der EU verwendet werden.
Ab wann gelten die Pflichten für Hochrisiko-KI?
Nach dem Digital Omnibus (Verordnung (EU) 2026/1744) gelten sie für Systeme nach Anhang III, etwa im Personalwesen oder bei der Kreditprüfung, ab dem 2. Dezember 2027. Für KI in Produkten nach Anhang I gilt der 2. August 2028.
Muss ein Chatbot auf der Website gekennzeichnet werden?
Ja, wenn Personen in der EU ihn nutzen: Seit dem 2. August 2026 müssen sie erfahren, dass sie mit einem KI-System kommunizieren, sofern das nicht offensichtlich ist (Art. 50).
Wie hoch sind die Bussen?
Bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Millionen oder 3 Prozent bei anderen Pflichten. Für KMU gilt jeweils der tiefere Betrag.
Quellen
Diese Seite gibt einen Überblick und ersetzt keine Beratung im Einzelfall. Gesetze und Fristen ändern sich; verbindlich sind die verlinkten amtlichen Texte.