EU AI Act: Was Schweizer Unternehmen jetzt wissen müssen

Seit dem 2. August 2024 ist der EU AI Act – die weltweit erste umfassende KI-Verordnung – in Kraft. Was im Europäischen Parlament als bürokratisches Zukunftsprojekt begann, wird jetzt schrittweise zur gelebten Realität. Und Schweizer Unternehmen sind nicht aussen vor.

Was ist der EU AI Act?

Der EU AI Act (Verordnung 2024/1689) ist ein verbindliches Regelwerk der Europäischen Union für den Einsatz und das Inverkehrbringen von KI-Systemen. Er klassifiziert KI nach Risikoklassen – von verboten bis minimal – und legt für jede Klasse konkrete Pflichten fest: Dokumentation, Transparenz, menschliche Aufsicht, Datenhaltung.

Das Ziel: Vertrauen in KI schaffen, Grundrechte schützen und Europa als sicheren Standort für Innovation positionieren.

Gilt der EU AI Act auch für die Schweiz?

Ja – mit dem gleichen Extraterritorialprinzip wie die DSGVO. Der AI Act gilt, wenn:

• Sie ein KI-System auf dem EU-Markt anbieten oder dort einsetzen lassen
• Der Output Ihres KI-Systems von Personen in der EU genutzt wird
• Ihre Kunden oder Endnutzer sich im EU-Raum befinden

Eine GmbH mit Sitz in Zürich, die eine KI-gestützte Bewerbungsplattform an deutsche Unternehmen verkauft oder deren Cloud-Services von einem Pariser Kunden genutzt werden? Betroffen.

Die Schweiz selbst entwickelt derzeit ein eigenes KI-Governance-Framework (Federführung beim SECO und Bundesrat), hat aber noch kein vergleichbares Gesetz verabschiedet. Wer heute EU-konform aufstellt, ist auch für die kommende Schweizer Regulierung gut vorbereitet.

Die vier Risikoklassen

Unzulässige KI (verboten ab Februar 2025)

Bestimmte KI-Anwendungen sind vollständig verboten:

• Social Scoring: durch Behörden oder Unternehmen (Klassifizierung von Personen nach Sozialverhalten)
• Echtzeit-Biometrie im öffentlichen Raum: (Gesichtserkennung durch staatliche Stellen, mit engen Ausnahmen)
• Unterbewusste Manipulation: – KI, die Verhalten beeinflusst, ohne dass die Person es merkt
• Emotionserkennung: am Arbeitsplatz oder in Bildungseinrichtungen (mit Ausnahmen)
• Scraping: von Gesichtsbildern aus dem Internet zum Aufbau von Erkennungsdatenbanken

Hochrisiko-KI (strenge Anforderungen)

Diese Systeme sind erlaubt, unterliegen aber umfangreichen Pflichten:

• HR & Recruiting: CV-Screening-Software, Einstellungsentscheidungen, Mitarbeiterbewertung
• Bildung: automatisierte Beurteilung von Prüfungsleistungen, Lernüberwachung
• Finanzdienstleistungen: Kreditwürdigkeitsprüfung, Versicherungseinstufung
• Gesundheit: KI-gestützte Medizinprodukte, Diagnoseunterstützung
• Kritische Infrastruktur: Energie, Wasser, Verkehr
• Strafverfolgung & Grenzkontrolle:

Anforderungen: Technische Dokumentation, Risikobewertung, Trainingsdaten-Nachvollziehbarkeit, menschliche Aufsicht, Registrierung in der EU-Datenbank.

Begrenzte Risiko-KI (Transparenzpflichten)

• Chatbots und virtuelle Assistenten: müssen sich als KI zu erkennen geben
• Deepfakes: und KI-generierte Inhalte müssen als solche gekennzeichnet werden

Minimales Risiko (keine Auflagen)

Spam-Filter, Empfehlungsalgorithmen, KI in Videospielen – kein regulatorischer Aufwand.

Update August 2026: Der Digital Omnibus hat die Fristen verschoben

Am 27. Juli 2026 trat die Verordnung (EU) 2026/1744 – der sogenannte Digital Omnibus on AI – in Kraft und änderte über 40 Artikel des AI Act. Drei Punkte sind für Unternehmen entscheidend:

• Hochrisiko-Fristen verschoben: Eigenständige Hochrisiko-Systeme nach Anhang III haben statt bis zum 2. August 2026 nun bis zum 2. Dezember 2027 Zeit. Für Sicherheitskomponenten in regulierten Produkten (Anhang I) verschiebt sich die Frist vom 2. August 2027 auf den 2. August 2028.
• Die Transparenzpflichten gelten trotzdem: Artikel 50 ist seit dem 2. August 2026 anwendbar. Wer einen Chatbot betreibt, muss offenlegen, dass Nutzerinnen und Nutzer mit einer Maschine sprechen. KI-generierte Inhalte brauchen eine maschinenlesbare Kennzeichnung. Für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
• KI-Kompetenz abgeschwächt: Aus der Pflicht, ausreichende KI-Kompetenz sicherzustellen, wurde eine Pflicht, sie zu fördern. Ein bestimmtes Kompetenzniveau muss niemand mehr garantieren.

Kurz gesagt: Der Teil, der Ihre Website und Ihren Kundendialog betrifft, gilt bereits. Der Teil, der technische Dokumentation und Konformitätsbewertung verlangt, hat mehr Luft bekommen.

Die Fristen im Überblick

• 2. Februar 2025: Verbotene KI-Praktiken (Unzulässige Klasse)
• 2. August 2025: Regeln für Allzweck-KI-Modelle (z. B. GPT, Claude)
• 2. August 2026: Transparenzpflichten nach Artikel 50 – Chatbots, Deepfakes, KI-generierte Inhalte
• 2. Dezember 2027: Hochrisiko-KI nach Anhang III – eigenständige Systeme, etwa in HR, Kreditvergabe oder Bildung
• 2. August 2028: Hochrisiko-KI nach Anhang I – Sicherheitskomponenten in regulierten Produkten

Für die meisten Unternehmen wirkt der 2. August 2026 bereits heute. Der 2. Dezember 2027 ist das Datum, auf das hin geplant werden muss.

Was droht bei Verstössen?

Der AI Act hat Zähne:

• Verbotene KI einsetzen: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes
• Andere Verstösse: bis zu 15 Mio. EUR oder 3 %
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. EUR oder 1,5 %

Zum Vergleich: Die DSGVO-Maximalstrafe liegt bei 4 % des weltweiten Umsatzes. Der AI Act übertrifft das für die schwerwiegendsten Verstösse.

Was Unternehmen jetzt konkret tun sollten

1. KI-Inventar erstellen

Welche KI-Systeme setzen Sie ein oder entwickeln Sie? Eigenentwicklungen, eingekaufte Lösungen, eingebettete KI in SaaS-Tools – alles listet sich auf.

2. Risikoklasse bestimmen

Für jedes System: In welche Klasse fällt es? Viele Unternehmen werden feststellen, dass ihre HR-Software oder ihr Kredit-Scoring-Tool plötzlich als Hochrisiko gilt.

3. Lücken analysieren

Hochrisiko-Systeme brauchen: technische Dokumentation, Risikomanagement, Prüfung der Trainingsdaten, menschliche Kontrollmechanismen, Konformitätsbewertung.

4. Dokumentation aufbauen

Keine Hochrisiko-KI ohne Aktenspuren. Wer entwickelt, wer prüft, welche Daten wurden genutzt, welche Tests wurden durchgeführt.

5. Lieferantenkette prüfen

Wenn Sie Drittanbieter-KI einsetzen (Microsoft Copilot, Salesforce Einstein, etc.): Haben diese ihre Systeme klassifiziert? Stellen sie die nötige Dokumentation bereit?

So unterstützt Business IT Partners

Wir unterstützen Schweizer Unternehmen dabei, ihre KI-Nutzung EU-konform aufzustellen – ohne unnötige Komplexität:

• KI-Inventarisierung: Wir erfassen alle eingesetzten KI-Systeme und klassifizieren sie nach dem AI-Act-Risikomodell
• Gap-Analyse: Wo besteht Handlungsbedarf? Wir priorisieren nach Risiko und Aufwand
• Dokumentation: Wir helfen beim Aufbau der technischen Dokumentation für Hochrisiko-Systeme
• Private AI: Wenn Sie eigene KI-Systeme einsetzen oder entwickeln, sorgen wir dafür, dass sie in einer kontrollierten Azure-Cloud-Umgebung laufen – mit vollständiger Transparenz über Datenflüsse und Modellverhalten
• Laufendes Monitoring: KI-Regulierung entwickelt sich weiter. Wir halten Sie auf dem aktuellen Stand.

Möchten Sie wissen, wo Ihr Unternehmen heute steht? Vereinbaren Sie ein kostenloses Erstgespräch.

Der EU AI Act ist kein Bürokratieprojekt – er ist ein Wettbewerbsvorteil für Unternehmen, die früh handeln. Wer KI heute verantwortungsvoll einsetzt, baut Vertrauen auf, das sich nicht kaufen lässt.

Quellen

• Verordnung (EU) 2024/1689 – Volltext (EUR-Lex)
• Europäische Kommission – KI-Verordnung im Überblick
• EU AI Act Interactive Guide (artificialintelligenceact.eu)