EU AI Act: Was Schweizer Unternehmen jetzt wissen müssen

Seit dem 2. August 2024 ist der EU AI Act – die weltweit erste umfassende KI-Verordnung – in Kraft. Was im Europäischen Parlament als bürokratisches Zukunftsprojekt begann, wird jetzt schrittweise zur gelebten Realität. Und Schweizer Unternehmen sind nicht aussen vor.

Was ist der EU AI Act?

Der EU AI Act (Verordnung 2024/1689) ist ein verbindliches Regelwerk der Europäischen Union für den Einsatz und das Inverkehrbringen von KI-Systemen. Er klassifiziert KI nach Risikoklassen – von verboten bis minimal – und legt für jede Klasse konkrete Pflichten fest: Dokumentation, Transparenz, menschliche Aufsicht, Datenhaltung.

Das Ziel: Vertrauen in KI schaffen, Grundrechte schützen und Europa als sicheren Standort für Innovation positionieren.

Gilt der EU AI Act auch für die Schweiz?

Ja – mit dem gleichen Extraterritorialprinzip wie die DSGVO. Der AI Act gilt, wenn:

• Sie ein KI-System auf dem EU-Markt anbieten oder dort einsetzen lassen
• Der Output Ihres KI-Systems von Personen in der EU genutzt wird
• Ihre Kunden oder Endnutzer sich im EU-Raum befinden

Eine GmbH mit Sitz in Zürich, die eine KI-gestützte Bewerbungsplattform an deutsche Unternehmen verkauft oder deren Cloud-Services von einem Pariser Kunden genutzt werden? Betroffen.

Die Schweiz selbst entwickelt derzeit ein eigenes KI-Governance-Framework (Federführung beim SECO und Bundesrat), hat aber noch kein vergleichbares Gesetz verabschiedet. Wer heute EU-konform aufstellt, ist auch für die kommende Schweizer Regulierung gut vorbereitet.

Die vier Risikoklassen

Unzulässige KI (verboten ab Februar 2025)

Bestimmte KI-Anwendungen sind vollständig verboten:

• Social Scoring: durch Behörden oder Unternehmen (Klassifizierung von Personen nach Sozialverhalten)
• Echtzeit-Biometrie im öffentlichen Raum: (Gesichtserkennung durch staatliche Stellen, mit engen Ausnahmen)
• Unterbewusste Manipulation: – KI, die Verhalten beeinflusst, ohne dass die Person es merkt
• Emotionserkennung: am Arbeitsplatz oder in Bildungseinrichtungen (mit Ausnahmen)
• Scraping: von Gesichtsbildern aus dem Internet zum Aufbau von Erkennungsdatenbanken

Hochrisiko-KI (strenge Anforderungen)

Diese Systeme sind erlaubt, unterliegen aber umfangreichen Pflichten:

• HR & Recruiting: CV-Screening-Software, Einstellungsentscheidungen, Mitarbeiterbewertung
• Bildung: automatisierte Beurteilung von Prüfungsleistungen, Lernüberwachung
• Finanzdienstleistungen: Kreditwürdigkeitsprüfung, Versicherungseinstufung
• Gesundheit: KI-gestützte Medizinprodukte, Diagnoseunterstützung
• Kritische Infrastruktur: Energie, Wasser, Verkehr
• Strafverfolgung & Grenzkontrolle:

Anforderungen: Technische Dokumentation, Risikobewertung, Trainingsdaten-Nachvollziehbarkeit, menschliche Aufsicht, Registrierung in der EU-Datenbank.

Begrenzte Risiko-KI (Transparenzpflichten)

• Chatbots und virtuelle Assistenten: müssen sich als KI zu erkennen geben
• Deepfakes: und KI-generierte Inhalte müssen als solche gekennzeichnet werden

Minimales Risiko (keine Auflagen)

Spam-Filter, Empfehlungsalgorithmen, KI in Videospielen – kein regulatorischer Aufwand.

Die Fristen im Überblick

• 2. Februar 2025: Verbotene KI-Praktiken (Unzulässige Klasse)
• 2. August 2025: Regeln für Allzweck-KI-Modelle (z. B. GPT, Claude)
• 2. August 2026: Hochrisiko-KI nach Anhang I (sicherheitskritische Systeme)
• 2. August 2027: Vollständige Anwendung für alle Hochrisiko-KI (Anhang III)

Für die meisten Unternehmen ist das relevante Datum der 2. August 2027 – aber die Vorbereitung fängt jetzt an.

Was droht bei Verstössen?

Der AI Act hat Zähne:

• Verbotene KI einsetzen: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes
• Andere Verstösse: bis zu 15 Mio. EUR oder 3 %
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. EUR oder 1,5 %

Zum Vergleich: Die DSGVO-Maximalstrafe liegt bei 4 % des weltweiten Umsatzes. Der AI Act übertrifft das für die schwerwiegendsten Verstösse.

Was Unternehmen jetzt konkret tun sollten

1. KI-Inventar erstellen

Welche KI-Systeme setzen Sie ein oder entwickeln Sie? Eigenentwicklungen, eingekaufte Lösungen, eingebettete KI in SaaS-Tools – alles listet sich auf.

2. Risikoklasse bestimmen

Für jedes System: In welche Klasse fällt es? Viele Unternehmen werden feststellen, dass ihre HR-Software oder ihr Kredit-Scoring-Tool plötzlich als Hochrisiko gilt.

3. Lücken analysieren

Hochrisiko-Systeme brauchen: technische Dokumentation, Risikomanagement, Prüfung der Trainingsdaten, menschliche Kontrollmechanismen, Konformitätsbewertung.

4. Dokumentation aufbauen

Keine Hochrisiko-KI ohne Aktenspuren. Wer entwickelt, wer prüft, welche Daten wurden genutzt, welche Tests wurden durchgeführt.

5. Lieferantenkette prüfen

Wenn Sie Drittanbieter-KI einsetzen (Microsoft Copilot, Salesforce Einstein, etc.): Haben diese ihre Systeme klassifiziert? Stellen sie die nötige Dokumentation bereit?

So unterstützt Business IT Partners

Wir unterstützen Schweizer Unternehmen dabei, ihre KI-Nutzung EU-konform aufzustellen – ohne unnötige Komplexität:

• KI-Inventarisierung: Wir erfassen alle eingesetzten KI-Systeme und klassifizieren sie nach dem AI-Act-Risikomodell
• Gap-Analyse: Wo besteht Handlungsbedarf? Wir priorisieren nach Risiko und Aufwand
• Dokumentation: Wir helfen beim Aufbau der technischen Dokumentation für Hochrisiko-Systeme
• Private AI: Wenn Sie eigene KI-Systeme einsetzen oder entwickeln, sorgen wir dafür, dass sie in einer kontrollierten Azure-Cloud-Umgebung laufen – mit vollständiger Transparenz über Datenflüsse und Modellverhalten
• Laufendes Monitoring: KI-Regulierung entwickelt sich weiter. Wir halten Sie auf dem aktuellen Stand.

Möchten Sie wissen, wo Ihr Unternehmen heute steht? Vereinbaren Sie ein kostenloses Erstgespräch.

Der EU AI Act ist kein Bürokratieprojekt – er ist ein Wettbewerbsvorteil für Unternehmen, die früh handeln. Wer KI heute verantwortungsvoll einsetzt, baut Vertrauen auf, das sich nicht kaufen lässt.

Quellen

• Verordnung (EU) 2024/1689 – Volltext (EUR-Lex)
• Europäische Kommission – KI-Verordnung im Überblick
• EU AI Act Interactive Guide (artificialintelligenceact.eu)