EU AI Act Schweiz: Auswirkungen und Compliance-Anforderungen für Schweizer Unternehmen

Der EU AI Act betrifft Schweizer Unternehmen unmittelbar – auch ohne EU-Mitgliedschaft. Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung, während der «Digital Omnibus» die Hochrisiko-Pflichten auf Dezember 2027 bzw. August 2028 verschoben hat. Dieser Leitfaden zeigt Geschäftsführern und Compliance-Verantwortlichen, wann der AI Act für Schweizer Firmen gilt, welche Fristen nach dem aktuellen Stand wirklich laufen und welche Schritte jetzt anstehen.

Zuletzt aktualisiert: 5. August 2026 · Lesezeit: ca. 12 Minuten

Grundlagen des EU AI Acts verstehen

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und bildet den ersten umfassenden Rechtsrahmen für den Einsatz von Künstlicher Intelligenz weltweit. Als EU-Verordnung – nicht als Richtlinie – gilt das Regelwerk unmittelbar in allen Mitgliedstaaten, ohne dass nationale Umsetzungsgesetze erforderlich sind.

Die zentralen Ziele: der Schutz der Grundrechte (Datenschutz, Nichtdiskriminierung, Sicherheit), die Förderung von Vertrauen und Innovation sowie die Harmonisierung des EU-Binnenmarkts. Gesellschaftlich soll ein verantwortungsvoller Umgang mit KI gewährleistet werden, ohne den Innovationsstandort Europa zu gefährden – ein Spannungsfeld, das die Umsetzung bis heute prägt.

Risikobasierter Regulierungsansatz

Der AI Act kategorisiert KI-Systeme in vier Risikostufen – je höher das Risiko, desto strenger die Regeln:

• Unannehmbares Risiko: Vollständig verboten – etwa Social Scoring durch Behörden, manipulative Techniken oder bestimmte biometrische Identifikationssysteme. Die Verbote gelten seit dem 2. Februar 2025.
• Hochrisiko: Systeme in sensiblen Bereichen wie Personalwesen, Medizin, Bildung, kritische Infrastruktur oder Zugang zu essenziellen Dienstleistungen. Die Klassifizierung erfolgt nach Artikel 6 über Anhang I (Sicherheitskomponenten in regulierten Produkten) und Anhang III (sensible Anwendungsfälle).
• Begrenztes Risiko: Transparenzpflichten für spezifische Anwendungen – etwa Chatbots oder Systeme, die synthetische Medien erzeugen.
• Minimales Risiko: Keine besonderen AI-Act-Pflichten; es gilt die bestehende Gesetzgebung wie Datenschutz- und Produkthaftungsrecht.

Zentrale Prinzipien und Anforderungen

Drei Prinzipien haben für Schweizer Unternehmen mit EU-Geschäft direkte Relevanz. Die Transparenzpflichten (Artikel 50) verlangen, dass Personen spätestens bei der ersten Interaktion erkennen können, wenn sie mit einem KI-System kommunizieren, und dass KI-generierte oder manipulierte Inhalte als solche gekennzeichnet werden. Die menschliche Aufsicht verpflichtet Betreiber von Hochrisiko-Systemen, Verantwortliche zu benennen, Überwachungsmechanismen einzurichten und Eingriffsmöglichkeiten bei kritischen Entscheidungen sicherzustellen. Und die Daten-Governance stellt strenge Anforderungen an Trainings- und Testdaten von Hochrisiko-Systemen – Repräsentativität, Bias-Prüfung und technische Robustheit über den gesamten Lebenszyklus.

Die Beziehung zur Datenschutz-Grundverordnung (DSGVO) und zum Schweizer Datenschutzgesetz (revDSG/nDSG) ist eng: Bei Personendaten greifen beide Regelwerke parallel. Das Schweizer Datenschutzrecht wurde bereits weitgehend DSGVO-kompatibel ausgestaltet – ein Muster, das sich bei der KI-Regulierung voraussichtlich wiederholen wird.

Extraterritoriale Wirkung auf Schweizer Unternehmen

Obwohl die Schweiz kein EU-Mitglied ist, entfaltet der EU AI Act erhebliche Wirkung auf Schweizer Firmen. Die extraterritoriale Reichweite folgt dem Marktortprinzip: Entscheidend ist nicht der Sitz des Unternehmens, sondern wo die KI-Systeme wirken.

Wann Schweizer Firmen betroffen sind

• KI-Anbieter mit EU-Marktpräsenz: Ein Schweizer Unternehmen stellt KI-Systeme auf dem EU-Markt bereit oder nimmt sie dort in Betrieb. Beispiel: Ein Schweizer Softwareanbieter für KI-basiertes Bewerber-Screening, der EU-Unternehmen beliefert, fällt unter die Hochrisiko-Anforderungen nach Anhang III.
• Betreiber in EU-Niederlassungen: Schweizer Unternehmen, die KI-Systeme in ihren EU-Niederlassungen oder für den EU-Kundenkontakt einsetzen.
• Output mit EU-Wirkung: Auch ohne physische EU-Präsenz greift der AI Act, wenn der Output eines KI-Systems in der EU verwendet wird – etwa bei einem Schweizer Start-up, dessen Chatbot- oder Bildgenerator-Ergebnisse an EU-Kunden gelangen.

Für Hochrisiko-Anbieter ausserhalb der EU besteht zudem die Pflicht, einen bevollmächtigten Vertreter («authorised representative») in der EU zu bestellen, der als Kontaktpunkt für die Behörden fungiert.

Der Schweizer Weg: sektorieller Ansatz statt KI-Gesetz

Die Schweiz besitzt derzeit kein eigenes horizontales KI-Gesetz. Der Bundesrat verfolgt einen bewusst liberalen, sektorspezifischen Ansatz: Bestehende Regelwerke wie das revDSG, Produktsicherheitsrecht, FINMA-Regulierung und Swissmedic-Vorgaben decken KI-Fragen bereits indirekt ab.

Am 12. Februar 2025 hat der Bundesrat entschieden, die KI-Konvention des Europarats (CETS Nr. 225) umzusetzen; die Schweiz hat die Konvention im März 2025 unterzeichnet. Das EJPD erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage, die insbesondere Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht regeln soll. Bis ein eigenständiges Schweizer KI-Regelwerk in Kraft tritt, dürfte es damit frühestens gegen Ende des Jahrzehnts werden – der Weg über Vernehmlassung, Parlament und Referendumsfrist braucht Zeit.

Das Vorgehen folgt einem bewährten Muster des autonomen Nachvollzugs: Beim Datenschutz passte die Schweiz ihr Gesetz an die EU-Standards an, ähnlich verlief es bei der Medizinprodukteregulierung. Der «Brussels Effect» wirkt zusätzlich über den Markt: Wer EU-Kunden beliefert, muss deren Compliance-Anforderungen ohnehin erfüllen. Das bestätigt auch die EY-KI-Umfrage 2026 unter 604 Befragten aus Schweizer Unternehmen: Rund 40 Prozent sehen die Abstimmung mit dem EU AI Act als wichtigen Faktor für Rechtssicherheit im internationalen Geschäft, während 28 Prozent eine eigenständige Schweizer Regulierung befürworten.

Zeitplan nach dem Digital Omnibus: Was wann gilt

1. 2. Februar 2025 – Verbote und AI Literacy (in Kraft): KI-Systeme mit unannehmbarem Risiko sind verboten. Gleichzeitig gilt die AI-Literacy-Pflicht nach Artikel 4: Unternehmen müssen sicherstellen, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen – ein strukturierter Schulungsansatz ist nachzuweisen.
2. 2. August 2025 – General-Purpose AI (in Kraft): Pflichten für Anbieter allgemeiner KI-Modelle (GPAI): Transparenz, technische Dokumentation, Urheberrechts-Policy und für besonders leistungsfähige Modelle zusätzliche Risikominderung.
3. 2. August 2026 – Transparenzpflichten und allgemeiner Geltungsbeginn (seit letzter Woche in Kraft): Nutzer müssen erkennen können, wenn sie mit KI interagieren; KI-generierte oder manipulierte Inhalte (etwa Deepfakes) sind zu kennzeichnen. Der allgemeine Anwendungsbeginn der Verordnung samt Sanktionsrahmen ist erreicht.
4. 2. Dezember 2027 – Hochrisiko-KI nach Anhang III: Eigenständige Hochrisiko-Systeme – etwa in Personalwesen, Bildung, Kreditvergabe oder biometrischer Identifizierung – müssen vollständige Compliance nachweisen. Ein früherer Start ist möglich, sobald die Kommission die Verfügbarkeit der nötigen Normen und Leitlinien bestätigt; verlassen sollte man sich darauf nicht.
5. 2. August 2028 – Eingebettete Hochrisiko-KI nach Anhang I: KI-Komponenten in regulierten Produkten (Medizinprodukte, Maschinen, Fahrzeuge) unterliegen ab diesem Termin allen Anforderungen.

Der Digital Omnibus bringt daneben gezielte Erleichterungen für KMU und neu definierte «kleine Midcaps» (Unternehmen bis 750 Mitarbeitende), etwa bei Dokumentationspflichten. Wichtig bleibt: Die Verschiebung betrifft nur die Hochrisiko-Pflichten – wer die zusätzliche Zeit als Pause interpretiert, unterschätzt den Umfang von Risikomanagement, Daten-Governance und Konformitätsbewertung, der bis Ende 2027 aufgebaut sein muss.

Risikobewertung und Kategorisierung in der Praxis

Für die praktische Umsetzung empfiehlt sich ein zweistufiges Vorgehen: Zuerst ein vollständiges KI-Inventar erstellen – welche Systeme sind im Einsatz, mit welchen Inputs, Outputs, Nutzergruppen und Märkten? Danach jedes System systematisch einer der vier Risikokategorien zuordnen und die Begründung dokumentieren.

Dabei ist eine Nuance wichtig: Ein KI-System kann unter einen Anwendungsfall von Anhang III fallen und trotzdem nicht als Hochrisiko gelten, wenn es kein signifikantes Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt (Artikel 6 Absatz 3) – etwa weil es nur eine eng begrenzte Hilfsfunktion erfüllt. Diese Ausnahme muss aber dokumentiert und begründet werden; im Zweifel gilt der konservative Ansatz.

Häufige Herausforderungen und Lösungsansätze

Unklarheiten bei der Risikoklassifizierung

Die Abgrenzung zwischen den Risikokategorien – insbesondere die Frage, ob ein System als Hochrisiko einzustufen ist – bleibt die zentrale Herausforderung. Die Unterscheidung zwischen Sicherheitskomponente und eigenständigem System, zwischen Anhang I und Anhang III, erfordert eine detaillierte Analyse. Erschwerend kommt hinzu: Die Leitlinien der EU-Kommission zur praktischen Anwendung von Artikel 6, die bis Februar 2026 vorliegen sollten, stehen weiterhin aus – das Fehlen dieser Umsetzungshilfen war einer der Hauptgründe für die Fristverschiebung.

Lösungsansatz: Konservativ klassifizieren – im Zweifel die strengere Kategorie annehmen und dokumentieren, warum eine tiefere Einstufung vertretbar wäre. Eine strukturierte Checkliste (Einsatzbereich, betroffene Personengruppen, potenzielle Auswirkungen auf Grundrechte) unterstützt die Selbsteinschätzung und schafft die Dokumentationsbasis für spätere Behördenanfragen.

Ressourcenmangel für Compliance-Programme

Gemäss der EY-KI-Umfrage 2026 (604 Befragte aus Schweizer Unternehmen) nutzen 89 Prozent KI im beruflichen Alltag – die grössten Hürden sind aber Datenqualität und Datensilos (20 Prozent), Sicherheits- und Datenschutzbedenken (19 Prozent) sowie der Mangel an Fachkräften (18 Prozent). Dedizierte KI-Compliance-Ressourcen fehlen gerade in KMU fast durchwegs.

Lösungsansatz: Stufenweises Vorgehen mit Priorisierung nach Risiko und Frist: zuerst die Systeme angehen, die am ehesten als Hochrisiko einzustufen sind. Bestehende Standards und der GPAI Code of Practice reduzieren den Aufwand. Ebenso wichtig: Vertragswerke und Lieferketten anpassen – zugekaufte KI-Komponenten, APIs und SaaS-Dienste müssen AI-Act-konforme Pflichten vertraglich abbilden.

Rechtsunsicherheit bezüglich Schweizer Regulierung

Bis die Schweizer Umsetzung der KI-Konvention steht, besteht Unsicherheit über das Zusammenspiel von revDSG, künftigen Schweizer Regeln und EU AI Act. Offen ist auch, ob die bestehenden Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen (MRA) zwischen der Schweiz und der EU auf KI ausgeweitet werden.

Lösungsansatz: Die proaktive Ausrichtung auf die EU-Standards bietet die grösste Planungssicherheit. Wer heute EU-AI-Act-konform arbeitet, wird mit hoher Wahrscheinlichkeit auch künftige Schweizer Anforderungen erfüllen – das historische Muster des autonomen Nachvollzugs spricht klar dafür. Investieren Sie in Governance-Strukturen, die regulatorische Entwicklungen flexibel aufnehmen können: Verantwortlichkeiten definieren, Dokumentation aufbauen, Audit-Prozesse etablieren.

Fazit und nächste Schritte

Der EU AI Act ist für Schweizer Unternehmen mit EU-Bezug keine theoretische Frage, sondern eine operative Verantwortung mit laufenden Fristen: Die Verbote und die AI-Literacy-Pflicht gelten seit anderthalb Jahren, die Transparenzpflichten seit dem 2. August 2026 – und die Hochrisiko-Deadline im Dezember 2027 ist näher, als sie klingt.

Diese Schritte sollten Sie jetzt einleiten:

1. KI-Inventar erstellen: Alle KI-Systeme mit EU-Bezug erfassen – Inputs, Outputs, Nutzer, Märkte.
2. Risikoklassifizierung durchführen: Jedes System den vier Kategorien zuordnen und die Begründung dokumentieren.
3. AI Literacy sicherstellen: Mitarbeitende in Führungs-, Entwicklungs- und Anwendungsrollen strukturiert schulen – diese Pflicht gilt bereits.
4. Transparenz-Mechanismen umsetzen: Kennzeichnung synthetischer Inhalte und Offenlegung bei KI-Interaktion – seit dem 2. August 2026 Pflicht.
5. Governance-Rahmen aufbauen: Verantwortlichkeiten, Policies, Audit-Prozesse und Monitoring definieren – mit Blick auf die Hochrisiko-Anforderungen ab Dezember 2027.
6. Rechtliche Beratung einholen: Klassifizierung kritischer Systeme klären, inklusive der Frage eines bevollmächtigten Vertreters in der EU.

Wer heute in AI-Act-Compliance investiert, baut nicht nur Risiken ab, sondern positioniert sich als vertrauenswürdiger Anbieter auf dem europäischen Markt – und ist vorbereitet, wenn die Schweizer Regulierung folgt.

FAQ zum EU AI Act für Schweizer Unternehmen

Haftungsausschluss: Die Inhalte dieses Beitrags wurden mit grösster Sorgfalt recherchiert und erstellt. Dennoch übernehmen wir keine Gewähr für die Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen. Dieser Beitrag dient ausschliesslich der allgemeinen Information, stellt keine Rechts- oder sonstige Fachberatung dar und ersetzt keine individuelle Beratung durch qualifizierte Fachpersonen. Massgebend sind stets die offiziellen Quellen (Gesetzestexte, Normen, Anbieterdokumentationen); Preise, Produkte und Rechtslage können sich seit der Publikation geändert haben. Jegliche Haftung für Handlungen, die auf Grundlage dieses Beitrags vorgenommen werden, ist ausgeschlossen.