Was ist der EU AI Act – und was bedeutet er für Schweizer Unternehmen?

Was ist der EU AI Act?

Der EU AI Act ist die erste horizontale, sektorübergreifende Regulierung für Künstliche Intelligenz. Als Verordnung (EU) 2024/1689 trat er am 1. August 2024 in Kraft und gilt unmittelbar in allen EU-Mitgliedstaaten – ohne nationale Umsetzung. Ziel ist ein Binnenmarkt für vertrauenswürdige KI: Innovation ermöglichen und zugleich Grundrechte, Gesundheit und Sicherheit schützen.

Der Ansatz ist risikobasiert, nicht technologiespezifisch. Reguliert wird nicht die Technik selbst, sondern der Verwendungszweck eines KI-Systems und das damit verbundene Risiko. Je höher das Risiko für Menschen und Gesellschaft, desto strenger die Anforderungen – von einem vollständigen Verbot bis hin zu gar keinen zusätzlichen Pflichten.

Die vier Risikoklassen im Überblick

Quer zu diesen Klassen stehen die Regeln für General-Purpose-KI-Modelle (GPAI), etwa grosse Sprachmodelle. Ihre Anbieter müssen technische Dokumentation, eine Urheberrechts-Policy und eine Zusammenfassung der Trainingsdaten bereitstellen; für besonders leistungsfähige Modelle mit systemischem Risiko gelten zusätzliche Pflichten.

• Unannehmbares Risiko (verboten, Art. 5): Praktiken wie Social Scoring durch Behörden, manipulative oder ausnutzende Techniken, ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Datenbanken sowie – mit engen Ausnahmen – Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.
• Hohes Risiko: KI in sensiblen Bereichen (Anhang III) wie Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur, Bildung, Strafverfolgung oder Migration sowie KI als Sicherheitsbauteil regulierter Produkte. Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung.
• Begrenztes Risiko (Transparenz, Art. 50): Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Pflicht ist vor allem Offenlegung – Nutzerinnen und Nutzer müssen wissen, dass sie es mit KI zu tun haben oder dass Inhalte künstlich erzeugt sind.
• Minimales Risiko: Die grosse Mehrheit heutiger Anwendungen – etwa Spamfilter, Empfehlungssysteme oder KI in Videospielen. Hier stellt der EU AI Act keine zusätzlichen rechtlichen Pflichten; freiwillige Verhaltenskodizes sind möglich.

Extraterritoriale Wirkung: Warum die Schweiz betroffen ist

Die Schweiz ist kein EU-Mitglied, dennoch kann der EU AI Act für Schweizer Unternehmen unmittelbar gelten. Massgeblich ist der Marktbezug, nicht der Firmensitz. Erfasst werden Anbieter, die KI-Systeme in der EU in Verkehr bringen, sowie Anbieter und Betreiber ausserhalb der EU, wenn die Ergebnisse ihres KI-Systems in der EU verwendet werden.

Praktisch bedeutet das: Ein Schweizer KMU, das ein KI-Tool an Kundinnen in Deutschland verkauft oder dessen KI-generierte Bewerbungsauswertung eine Person in der EU betrifft, kann in den Anwendungsbereich fallen. Ähnlich wie bei der EU-Datenschutz-Grundverordnung ist die Reichweite bewusst grenzüberschreitend gestaltet.

Transparenzpflichten nach Artikel 50

Artikel 50 betrifft eine sehr breite Gruppe von Anwendungen und ist für viele Unternehmen die praktisch relevanteste Pflicht. Er verlangt Offenlegung, damit Menschen nicht über die Beteiligung von KI getäuscht werden.

• Chatbots und Assistenten: Menschen müssen erkennen können, dass sie mit einem KI-System und nicht mit einer Person interagieren – ausser es ist offensichtlich.
• Generierte Inhalte: Synthetische Audio-, Bild-, Video- oder Textinhalte müssen maschinenlesbar als künstlich erzeugt gekennzeichnet werden.
• Deepfakes: Wer Bild-, Audio- oder Videoinhalte erzeugt oder manipuliert, die echt wirken, muss offenlegen, dass sie künstlich erstellt wurden.
• Emotionserkennung und biometrische Kategorisierung: Betroffene Personen müssen über den Einsatz solcher Systeme informiert werden.

Der Zeitplan: Wann welche Pflichten greifen

• 1. August 2024: Inkrafttreten der Verordnung.
• 2. Februar 2025: Die Verbote (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten.
• 2. August 2025: Pflichten für General-Purpose-KI-Modelle, Governance-Strukturen und Sanktionsbestimmungen greifen.
• 2. August 2026: Die Mehrheit der Bestimmungen gilt, darunter die Hochrisiko-Anforderungen nach Anhang III und die Transparenzpflichten des Art. 50.
• 2. August 2027: Die Hochrisiko-Regeln für KI als Sicherheitsbauteil regulierter Produkte (Anhang I) greifen.

Was das für die Schweiz bedeutet – EU AI Act, revDSG und der Schweizer Weg

Die Schweiz kennt derzeit kein eigenes horizontales KI-Gesetz. Der Bundesrat hat 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und KI vorrangig sektorspezifisch sowie durch Anpassung bestehenden Rechts zu regeln, statt eine umfassende Einzelverordnung zu schaffen. Eine entsprechende Vorlage soll bis Ende 2026 erarbeitet werden.

Unabhängig davon gilt für den Umgang mit Personendaten in KI-Systemen bereits das revidierte Datenschutzgesetz (revDSG/nFADP), überwacht durch den EDÖB. Wer KI in der Schweiz einsetzt, muss also schon heute Datenschutz-, Transparenz- und Fairnessfragen adressieren – der EU AI Act kommt für EU-Marktbezug hinzu, ersetzt das revDSG aber nicht.

Erste Schritte: So bereiten Sie sich vor

• Inventar erstellen: Erfassen Sie alle eingesetzten und geplanten KI-Systeme samt Verwendungszweck und ob EU-Bezug besteht.
• Rolle klären: Sind Sie Anbieter, Betreiber, Importeur oder Händler? Die Pflichten unterscheiden sich je nach Rolle deutlich.
• Risiko einstufen: Prüfen Sie je System, ob es verboten, hochriskant, transparenzpflichtig oder minimal ist.
• KI-Kompetenz aufbauen: Schulen Sie Mitarbeitende im verantwortungsvollen Umgang mit KI (Art. 4 verlangt ausreichende KI-Kompetenz).
• Transparenz umsetzen: Kennzeichnen Sie Chatbots und KI-generierte Inhalte und dokumentieren Sie Ihre Massnahmen nachvollziehbar.