AI chan nöd so kompliziert sii

Alli Artikel

Recht

Sächzäh Mönet meh Zyt für Hochrisiko-KI. Aber nöd für alles!

Der EU AI Act und Schweizer Unternehmen: welche Fristen verschoben wurden und welche Pflichten trotzdem gelten

Freitag, 28. August 2026 · F.S. · 6 Min. Lesezyt

Drei Kalenderblätter auf einer Zeitachse, daneben eine Sanduhr, darüber ein Pfeil, der eine Frist nach hinten verschiebt

Viele Betriebe haben im Frühling einen Ordner mit der Aufschrift «AI Act» angelegt und darin einen Termin notiert: 2. August 2026. An diesem Tag hätten die Regeln für Hochrisiko-Systeme greifen sollen. Dann kam der Digital Omnibus. Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten und hat den grossen Termin um sechzehn Monate nach hinten geschoben.

Wer daraus schliesst, es sei nichts zu tun, liest die Verordnung falsch. Verschoben wurde ein Teil. Anderes gilt seit über anderthalb Jahren, und eine Pflicht ist Anfang August ganz neu dazugekommen.

Gilt der EU AI Act überhaupt für eine Schweizer Firma?

Ja, wenn Sie ein KI-System in der EU auf den Markt bringen oder wenn das Ergebnis Ihres KI-Einsatzes in der EU verwendet wird. Der Sitz Ihrer Firma spielt keine Rolle, entscheidend ist der Absatzmarkt. Wer ausschliesslich in der Schweiz arbeitet und keine Ergebnisse in die EU liefert, fällt nicht unter die Verordnung.

Diese vier Fragen klären den Fall meistens in zwanzig Minuten:

  1. Verkaufen oder vermieten wir Software mit KI-Funktionen an Kundschaft in der EU? Wenn ja, sind Sie in der Rolle des Anbieters.
  2. Setzen wir KI ein und geht das Ergebnis in die EU? Ein Beispiel: Sie sichten Bewerbungen für eine Tochtergesellschaft in Deutschland mit einem Werkzeug, das vorsortiert. Dann sind Sie Betreiber im Sinn der Verordnung.
  3. Fällt der Einsatz unter eine der Hochrisiko-Kategorien? Der AI Act führt sie in Anhang III auf: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalauswahl, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung, Migration, Rechtspflege und demokratische Prozesse. Die Kommission kann diese Liste per delegiertem Rechtsakt ändern, sie ist also nicht für alle Zeit fix.
  4. Verbreiten wir in der EU Inhalte, die eine KI erzeugt oder verändert hat? Dann greifen die Transparenzpflichten aus Artikel 50, unabhängig von allem anderen. Achtung auf die Rolle: Die Pflicht, einen Chatbot als Maschine erkennbar zu machen, trifft den Anbieter des Systems. Wer als Betrieb ein fremdes Werkzeug einsetzt, ist Betreiber und hat eigene Pflichten, dazu unten mehr.

Bleiben alle vier Antworten Nein, ist der AI Act für den Alltag meist kein Thema. Meist, nicht immer: Auch wer als Einführer, Händler oder als Hersteller eines Produkts mit eingebauter KI in die EU liefert, kann in eine Rolle nach der Verordnung rutschen. Das Schweizer Datenschutzrecht gilt ohnehin, dazu weiter unten mehr.

Was genau hat der Digital Omnibus verschoben?

Verschoben wurden die schweren Pflichten für Hochrisiko-Systeme: Risikomanagement, Datenqualität, technische Dokumentation, Konformitätsbewertung. Eigenständige Systeme nach Anhang III haben neu bis zum 2. Dezember 2027 Zeit, KI in regulierten Produkten wie Maschinen oder Medizinprodukten bis zum 2. August 2028. Nicht verschoben, aber ebenfalls geändert wurden zwei Dinge, die in vielen Übersichten fehlen. Die Liste der verbotenen Praktiken in Artikel 5 wurde erweitert: Ab dem 2. Dezember 2026 kommen nicht einvernehmliche intime Bilddarstellungen und Darstellungen sexuellen Kindsmissbrauchs dazu. Und Artikel 4 zur KI-Kompetenz wurde neu gefasst und dabei abgeschwächt.

Was Gilt ab Verschoben?
Verbotene Praktiken (Art. 5), ursprüngliche Liste 2. Februar 2025 nein
Zwei neue Verbote in Art. 5 2. Dezember 2026 neu dazugekommen
KI-Kompetenz im Betrieb (Art. 4) 2. Februar 2025 nein, aber am 27. Juli 2026 neu gefasst und abgeschwächt
Pflichten für Allzweckmodelle 2. August 2025, Durchsetzung ab 2. August 2026 nein
Offenlegung, dass eine Maschine antwortet (Art. 50 Abs. 1, Anbieterpflicht) 2. August 2026 nein
Offenlegung von Deepfakes und KI-Texten durch den Betreiber (Art. 50 Abs. 4) 2. August 2026 nein, gilt bereits
Maschinenlesbare Kennzeichnung durch den Anbieter (Art. 50 Abs. 2) 2. August 2026, für Systeme von vorher 2. Dezember 2026 nur Übergangsfrist für Altsysteme
Hochrisiko nach Anhang III 2. Dezember 2027 ja
Hochrisiko in regulierten Produkten (Anhang I) 2. August 2028 ja
Reallabore für KI 2. August 2027 ja

Welche Pflichten gelten trotzdem schon heute?

Drei Pflichten laufen bereits. Erstens die verbotenen Praktiken, etwa Social Scoring oder das ungezielte Abgreifen von Gesichtsbildern aus dem Netz. Zweitens die KI-Kompetenz nach Artikel 4. Drittens die Transparenzpflichten aus Artikel 50.

Bei Artikel 4 lohnt sich der Blick auf die neue Fassung, weil viele Ratgeber noch die alte beschreiben. Bis Juli 2026 hiess es, der Betrieb müsse ein ausreichendes Mass an KI-Kompetenz sicherstellen. Seit dem 27. Juli 2026 heisst es, er müsse Massnahmen ergreifen, um KI-Kompetenz zu fördern, und die Verordnung hält ausdrücklich fest, dass damit kein bestimmtes Kompetenzniveau einer einzelnen Person garantiert werden muss. Eine Dokumentationspflicht steht weder in der alten noch in der neuen Fassung. Wer Schulungen trotzdem festhält, tut das nicht, weil der AI Act es verlangt, sondern weil es im Streitfall die einzige greifbare Spur ist.

Hier wird es für Marketingabteilungen konkret, und zwar früher, als viele Übersichten es darstellen. Artikel 50 kennt zwei verschiedene Pflichten. Die maschinenlesbare Kennzeichnung im Ausgabematerial ist Sache des Anbieters, also des Werkzeugs, das das Bild erzeugt. Wer selbst KI-Bilder, Videos, Tonaufnahmen oder Texte veröffentlicht, ist Betreiber und fällt unter Artikel 50 Absatz 4: Deepfakes müssen offengelegt werden, ebenso KI-erzeugte Texte zu Themen von öffentlichem Interesse. Diese Betreiberpflicht gilt seit dem 2. August 2026, ohne Schonfrist. Die viermonatige Übergangsfrist bis zum 2. Dezember 2026 betrifft nur Anbieter generativer Systeme, die vor dem 2. August 2026 auf den Markt kamen. Wer also seit Anfang August KI-Bildmaterial in der EU verbreitet, hat die Frist nicht vor sich, sondern hinter sich.

Und was macht die Schweiz?

Die Schweiz hat kein eigenes KI-Gesetz. Der Bundesrat hat entschieden, das Rahmenübereinkommen des Europarats über künstliche Intelligenz zu ratifizieren und die nötigen Anpassungen sektoriell vorzunehmen, statt ein Querschnittsgesetz zu schaffen. Die Vernehmlassungsvorlage erarbeitet das Bundesamt für Justiz bis Ende 2026, zusammen mit dem BAKOM und dem EDA. Die Bundeskanzlei koordiniert den KI-Einsatz in der Bundesverwaltung, für die Regulierung ist sie nicht zuständig.

Bis dahin gilt für den Alltag im Betrieb das Datenschutzgesetz. Der EDÖB hat festgehalten, dass das DSG technologieneutral formuliert und damit direkt auf KI-Anwendungen anwendbar ist. Wer also auf ein Schweizer KI-Gesetz wartet, bevor er Regeln aufstellt, wartet auf etwas, das für den eigenen Anwendungsfall gar nicht nötig ist.

Was jetzt zu tun ist

Drei Dinge, keines davon dauert länger als einen Nachmittag. Erstens: die vier Fragen oben durchgehen und das Ergebnis schriftlich festhalten, mit Datum. Zweitens: eine Liste der KI-Werkzeuge führen, die im Betrieb tatsächlich im Einsatz sind, samt Zweck und verantwortlicher Person. Drittens: die Schulungen dokumentieren, die Sie ohnehin durchführen.

Diese drei Blätter sind gleichzeitig die Grundlage für das Datenschutzrecht, für den AI Act und für jede Kundschaft, die Sie in einer Ausschreibung danach fragt. Sechzehn Monate zusätzlich sind viel Zeit. Sie sind auch schnell vorbei.

Weitere Beiträge zu Recht und Datenschutz finden Sie im Artikelarchiv von ejaj.ch.

Quellen

Meh us «Recht»