--- title: "KI Governance für Schweizer KMU Pflichtprogramm ab August 2026: Was es wirklich bedeutet" description: "Die EU-KI-Verordnung (EU AI Act) tritt am 2. August 2026 in Kraft – doch für Schweizer KMU gibt es kein automatisches Pflichtprogramm. Die Regulierung…" date: "2026-03-24T06:36:54.517+00:00" updated: "2026-08-12T20:22:45.730047+00:00" author: "Cybershark Team" url: "https://cybershark.ch/blog/ki-governance-fuer-schweizer-kmu-pflichtprogramm-ab-august-2026-was-es-wirklich-bedeutet" tags: ["KI", "AI-Act", "KMU Schweiz"] --- # KI Governance für Schweizer KMU Pflichtprogramm ab August 2026: Was es wirklich bedeutet ## Einführung Das Thema „KI in der Schweiz“ gewinnt zunehmend an Bedeutung, da die nationale Gesetzgebung und regulatorische Rahmenbedingungen noch im Aufbau sind und viele Unsicherheiten für Unternehmen bestehen. Dieser Artikel richtet sich an Entscheider in Schweizer KMU, die Klarheit über ihre tatsächlichen Pflichten benötigen. Er grenzt ab, wann Handlungsbedarf besteht, welche KI-Anwendungen betroffen sind und welche praktischen Massnahmen sinnvoll sind – ohne unnötige Komplexität für Firmen, die rein lokal tätig sind. Eine Auslegeordnung der aktuellen regulatorischen Situation und der internationalen Standards ist dabei essenziell, um eigenständige, aber kompatible Regelungen für die Schweiz zu entwickeln. **Kurze Antwort:** Schweizer KMU müssen ab August 2026 handeln, wenn sie KI-Systeme an EU-Kunden verkaufen, KI-basierte Dienstleistungen im EU-Raum anbieten oder wenn die Ergebnisse ihrer KI-Nutzung in der EU verwendet werden. Rein national tätige Unternehmen ohne EU-Bezug sind von der EU-KI-Verordnung nicht direkt betroffen. **Zentrale Erkenntnisse für KMU-Entscheider:** - Die EU-KI-Verordnung gilt extraterritorial – der Unternehmensstandort Schweiz schützt nicht automatisch vor Compliance-Pflichten - Der risikobasierte Ansatz bedeutet: Nicht alle KI-Tools erfordern gleichen Aufwand - Schweizer KI-Regulierung entwickelt sich parallel – der Bundesrat plant bis Ende 2026 einen Gesetzesentwurf - Frühzeitige KI-Governance schafft Wettbewerbsvorteile und reduziert Risiken - Pragmatische Massnahmen sind auch mit begrenzten Ressourcen umsetzbar - Innovation bleibt ein zentrales Ziel: Klare Governance-Strukturen und regulatorische Leitplanken fördern technologische Entwicklung, ohne Innovation unnötig einzuschränken. - Die Initiative der Unternehmen, proaktiv mit KI umzugehen und eigene Regeln zu etablieren, ist entscheidend für nachhaltigen Erfolg. - Eine Übersicht der wichtigsten Herausforderungen und Chancen hilft KMU, die Komplexität des Themas KI besser zu erfassen und gezielt zu handeln. Über ein Drittel der Schweizer KMU nutzt bereits KI-Anwendungen, doch nur 34% der befragten Unternehmen verfügen über klare Regeln für den Umgang mit KI-Tools. Viele KMU setzen KI ein, ohne die damit verbundenen Implikationen vollständig zu durchdringen. Die Unsicherheit über rechtliche Rahmenbedingungen und technische Standards ist erheblich. Ein unkontrollierter, spielerischer Ansatz bei der KI-Nutzung kann zu erheblichen Risiken führen – der unkontrollierte Einsatz von KI ist ein ernstzunehmendes Geschäftsrisiko. Die Herausforderungen durch KI sind zudem weitaus komplexer als beispielsweise bei Excel-Makros. Klare Governance-Strukturen sind daher unerlässlich, um Risiken zu minimieren und Chancen optimal zu nutzen. ## Die EU-KI-Verordnung verstehen Die EU-KI-Verordnung (Regulation (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und wird ab dem 2. August 2026 vollständig anwendbar. Sie etabliert erstmals einen umfassenden rechtlichen Rahmen für künstliche Intelligenz in der Europäischen Union und verfolgt einen risikobasierten Ansatz bei der Regulierung von KI-Systemen. Dabei werden verschiedene Arten von Systemen – insbesondere Hochrisiko- und Managementsysteme – in Risikokategorien eingeteilt, wobei strengere Regeln für Systeme mit höherem Risiko gelten. Der risikobasierte Ansatz kategorisiert KI-Anwendungen nach ihrem Gefährdungspotenzial für Sicherheit, Grundrechte und gesellschaftliche Werte. Besonders im Bereich der Informationssicherheit und KI-Governance ist die Einhaltung spezifischer Normen und Standards entscheidend, um den Schutz sensibler Daten und die Einhaltung regulatorischer Vorgaben zu gewährleisten. Hochrisiko-KI-Systeme unterliegen dabei besonders strengen Anforderungen: Sie erfordern ein umfassendes Risikomanagementsystem, strenge Daten-Governance, technische Dokumentation sowie kontinuierliche menschliche Aufsicht über Entscheidungen. Bestimmte KI-Anwendungen, die Menschen manipulieren oder bewerten, sind grundsätzlich verboten. Risikokategorie Beispiele Regulatorische Konsequenzen Unakzeptables Risiko Social Scoring, manipulative KI, biometrische Echtzeiterkennung in öffentlichen Räumen Vollständiges Verbot (seit Februar 2025) Hohes Risiko KI in Gesundheitswesen, Kreditvergabe, Personalwesen, Bildung Umfassende Compliance-Pflichten ab August 2026, inkl. Risikomanagementsystem und menschlicher Aufsicht Begrenztes Risiko Chatbots, Emotionserkennung, Deepfakes Transparenz- und Offenlegungspflichten Minimales Risiko Spam-Filter, Empfehlungssysteme, einfache Automatisierung Keine spezifischen Pflichten unter dem AI Act Die Bedeutung der Praxis zeigt sich darin, dass Schweizer Unternehmen und KMU regulatorische Vorgaben in der realen Anwendung umsetzen müssen, insbesondere wenn sie im EU-Geschäft tätig sind. Für Unternehmen ist eine klare KI-Strategie essenziell, um die Einführung und Steuerung von KI-Systemen im Geschäft und auf der eigenen Website rechtssicher und effizient zu gestalten. Dabei müssen auch gespeicherte Seiten und Datenpools gesetzeskonform verwaltet und vor unbefugtem Zugriff geschützt werden. Innovation bleibt ein zentrales Ziel: Die Schweiz verfolgt einen differenzierten und pragmatischen Ansatz zur KI-Regulierung, um Innovation nicht durch Überregulierung zu bremsen und gleichzeitig Nutzer zu schützen. Die regulatorischen Maßnahmen werden in enger Zusammenarbeit verschiedener Bundesstellen entwickelt. Das Bundesamt für Justiz (BJ) spielt dabei eine zentrale Rolle und koordiniert gemeinsam mit anderen Behörden die Entwicklung von Regulierungsansätzen, um KI-spezifische Standards zu etablieren. Bis Ende 2026 wird das Eidgenössische Justiz- und Polizeidepartement eine Vernehmlassungsvorlage zur KI-Regulierung erstellen. Die Umsetzung der KI-Konvention des Europarats unterstreicht die Bedeutung von Rechtsstaatlichkeit, Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht im Bereich der KI. Die regulatorischen Entwicklungen berücksichtigen sowohl internationale Abkommen als auch nationale Gesetzesentwürfe und stärken so die Rechtssicherheit für Unternehmen und Behörden. ### Anwendbarkeit für Schweizer Unternehmen Die EU-KI-Verordnung gilt extraterritorial. Das bedeutet: Nicht-EU-Anbieter wie Schweizer Firmen fallen unter die Regulierung, wenn ihre KI-Systeme auf dem EU-Markt in Verkehr gebracht oder genutzt werden. Schweizer Unternehmen, deren Geschäft sich auf Kunden oder Partner in der EU bezieht, müssen die Anforderungen des EU AI Act erfüllen – auch wenn die Schweiz kein EU-Mitglied ist. Dies betrifft insbesondere Geschäftsprozesse, Wertschöpfung und die Verantwortung im Umgang mit KI-Anwendungen. **Schweizer KMU sind betroffen, wenn sie:** - KI-basierte Produkte oder Dienstleistungen an Kunden in der EU liefern - KI-Systeme in der Schweiz betreiben, aber EU-Bürger als Nutzer haben - Komponenten herstellen, die in Waren eingebettet sind, welche in den EU-Binnenmarkt exportiert werden - KI-Ergebnisse generieren, die innerhalb der EU verwendet werden **Nicht direkt betroffen sind Unternehmen, die:** - Ausschliesslich Schweizer Kunden bedienen - Keine KI-Systeme entwickeln oder bereitstellen, die EU-Bezug haben - Nur KI-Tools mit minimalem Risiko intern nutzen Allerdings können auch rein national tätige KMU indirekt betroffen sein: EU-Partner und Zulieferer werden zunehmend Compliance-Nachweise verlangen, und die Schweizer Regulierung entwickelt sich parallel weiter. ### Schweizer Regulierungslandschaft In der Schweiz existiert derzeit kein umfassendes, sektorübergreifendes KI-Gesetz. Stattdessen werden KI-Anwendungen durch bestehende Gesetze geregelt: Datenschutz (DSG), Urheberrecht, Arbeitsrecht und Produkthaftung. Am 12. Februar 2025 hat der Bundesrat eine Auslegeordnung zu möglichen Regulierungsansätzen für KI diskutiert, um die internationale Entwicklung zu analysieren und eine Grundlage für eigenständige, aber kompatible Regelungen in der Schweiz zu schaffen. Das Eidgenössische Justiz- und Polizeidepartement (Justiz) ist federführend bei der Erstellung einer Vernehmlassungsvorlage zur KI-Regulierung, die bis Ende 2026 vorliegen soll. Die Entwicklung der KI-Regulierung erfolgt in enger Zusammenarbeit verschiedener Behörden, wobei die Rechtsstaatlichkeit, der Schutz der Menschenrechte und ethische Standards im Mittelpunkt stehen. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren – die Unterzeichnung erfolgte am 27. März 2025. Die Schweiz wird die KI-Konvention des Europarats umsetzen, indem sie gesetzliche Maßnahmen in den Bereichen Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht festlegt. Die KI-Regulierung in der Schweiz befindet sich aktuell in einer Reflexions- und Verhandlungsphase. Eine nationale KI-Strategie (KI Strategie) ist in Entwicklung, um die Richtung und Koordination für KI in der Schweiz zu definieren und Innovation im Bereich der Künstlichen Intelligenz nicht durch Überregulierung zu bremsen. Besonders relevant ist das Mutual Recognition Agreement (MRA) zwischen der Schweiz und der EU: In 12 von 20 gelisteten Produktsektoren wird ab August 2027 eine zusätzliche Konformitätsprüfung durch EU-benannte Stellen erforderlich sein, wenn Hochrisiko-KI-Komponenten verbaut sind. ## Praktische Auswirkungen auf Schweizer KMU Die konkreten Auswirkungen hängen stark davon ab, welche KI-Systeme ein Unternehmen nutzt und ob EU-Bezug besteht. Eine systematische Bestandsaufnahme ist der erste Schritt zur Einschätzung der eigenen Situation. Besonders wichtig ist dabei die Praxis: Schweizer KMU müssen die regulatorischen Anforderungen nicht nur kennen, sondern auch in der realen Anwendung umsetzen. ### Betroffene KI-Anwendungen identifizieren Viele Schweizer KMU nutzen bereits KI-Tools, oft ohne dies bewusst wahrzunehmen. KI-Anwendungen kommen dabei in verschiedenen Bereichen zum Einsatz, etwa im Bereich Kundenservice, Marketing, Personalmanagement, Finanzwesen oder Gesundheitsversorgung. Typische Anwendungen umfassen: **Häufige KI-Tools in KMU:** - Chatbots und virtuelle Assistenten (z.B. ChatGPT, Microsoft Copilot) - Automatisierte Marketing-Tools und Empfehlungssysteme - CRM-Systeme mit prädiktiver Analytik - Bild- und Texterkennung - Automatisierte Übersetzungsdienste **Hochrisiko-Systeme, die besondere Aufmerksamkeit erfordern:** - KI-gestützte Personalauswahl und Bewerberbewertung - Kreditwürdigkeitsprüfungen mit KI-Komponenten - Biometrische Identifikationssysteme - KI in der Gesundheitsversorgung oder Diagnostik **Minimal riskante Systeme ohne spezifische Pflichten:** - Spam-Filter - Einfache Automatisierungen - Standard-Empfehlungssysteme für Produkte ### Compliance-Anforderungen Für betroffene Unternehmen mit Hochrisiko-Systemen gelten ab August 2026 umfassende Pflichten. Ab diesem Zeitpunkt werden verschärfte Regeln für die meisten Anwendungsfälle von KI-Systemen gelten: **Dokumentationspflichten:** - Risikomanagementsystem über den gesamten Lebenszyklus des Systems - Technische Dokumentation vor und nach Inbetriebnahme - Nachweis der Datenqualität (Bias-Analyse, Repräsentativität) - CE-Kennzeichnung und Registrierung in EU-Datenbanken - Unternehmen müssen ein KI-Inventar erstellen, Risikoklassifizierungen durchführen und regelmäßige Audits der eingesetzten Systeme dokumentieren. - Die Nutzung eines strukturierten Frameworks für KI-Governance, wie ISO/IEC 27001 und ISO/IEC 42001, unterstützt die Einhaltung der gesetzlichen Anforderungen. - Unternehmen sollten die Nutzung und Risikobewertung aller KI-Tools systematisch dokumentieren. - Ein KI-Readiness-Check hilft, die Bereitschaft zur Einhaltung der Vorschriften zu überprüfen. - Klare interne Richtlinien sollten festlegen, welche KI-Tools für welche Zwecke erlaubt sind. **Menschliche Aufsicht und Transparenz:** - Sicherstellung menschlicher Kontrolle bei kritischen Entscheidungen - Information der Nutzer über KI-Einsatz - Kennzeichnung KI-generierter Inhalte - Offenlegung bei Emotionserkennung - Mitarbeitende müssen ausreichend geschult werden, um KI-Systeme sicher und ethisch korrekt zu bedienen. - Effektive KI-Governance beginnt mit der Beantwortung von drei grundlegenden strategischen Fragen: Welche Ziele verfolgt das Unternehmen mit KI, welche Risiken bestehen und wie wird die Kontrolle sichergestellt? - Ein strategischer Ansatz mit klarer Governance ist notwendig, um das volle Potenzial von KI verantwortungsvoll zu nutzen. **Datenschutz und Informationssicherheit:** - Robustheit und Cybersicherheit der Systeme - Qualitätsvorgaben für Trainingsdaten - Integration in bestehende Datenschutz-Prozesse - Die sichere Speicherung und Verwaltung von Seiten, also Geschäftsdokumenten und Datenpools, ist essenziell, um Datenschutz und regulatorische Anforderungen zu erfüllen. - Unternehmen sollten besonders darauf achten, welche KI-Systeme auf ihrer Website eingesetzt werden, da einfache Chatbots weniger Risiko bergen, während Systeme, die Entscheidungen über Menschen treffen, auf sensiblen Seiten und Websites besonders kritisch sind. Die Sanktionen bei Verstössen sind erheblich: Bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes für verbotene KI-Praktiken, bis zu 15 Millionen Euro oder 3% für Verletzungen von Hochrisiko-Pflichten. ## Schritt-für-Schritt Vorbereitung Auch wenn nicht alle Schweizer KMU direkt betroffen sind, lohnt sich eine proaktive Herangehensweise. Eine eigene Initiative und unternehmerisches Handeln sind entscheidend, um sich frühzeitig auf die kommenden Anforderungen der KI-Regulierung vorzubereiten. Frühzeitige KI-Governance schafft Klarheit, reduziert Risiken und bereitet auf zukünftige Entwicklungen vor – sowohl auf EU-Ebene als auch bei der erwarteten Schweizer Regulierung. ### Bestandsaufnahme und Risikobewertung **Systematische Erfassung aller KI-Tools:**Eine Übersicht über alle eingesetzten KI-Systeme und deren Risiken ist für Schweizer KMU ab August 2026 essenziell, um die gesetzlichen Anforderungen im Bereich KI Governance zu erfüllen. 1. Inventar erstellen: Welche KI-Systeme sind im Einsatz – intern wie extern, eingekauft wie selbst entwickelt? 2. EU-Bezug prüfen: Werden diese Systeme für EU-Kunden genutzt oder gelangen Ergebnisse in die EU? 3. Anwendungsbereich dokumentieren: In welchen Geschäftsprozessen und für welche Entscheidungen wird KI eingesetzt? Unternehmen müssen ein vollständiges KI-Inventar führen, Risikoklassifizierungen für jedes System vornehmen und regelmäßige Audits der KI-Systeme durchführen, um die Einhaltung der Vorschriften sicherzustellen. **Bewertungsmatrix für KI-Risiken:** Bewertungskriterium Niedrig Mittel Hoch Auswirkung auf Personen Administrative Unterstützung Empfehlungen mit Einfluss Entscheidungen über Menschen Datensensibilität Öffentliche Daten Geschäftsdaten Personenbezogene/sensible Daten EU-Bezug Keiner Indirekt Direkt Automatisierungsgrad Mensch entscheidet Mensch überwacht Autonom ### Governance-Struktur etablieren **Verantwortlichkeiten definieren:** - Benennung einer verantwortlichen Person für KI-Einsatz (kann Datenschutzbeauftragter sein) - Klare Zuständigkeiten für Beschaffung, Betrieb und Überwachung von KI-Systemen - Einbindung der Geschäftsleitung bei strategischen KI-Entscheidungen **Interne Richtlinien entwickeln:** - Kriterien für die Auswahl und Beschaffung von KI-Tools - Prozesse zur Risikobewertung vor Einführung neuer KI-Systeme - Regeln für den verantwortungsvollen Einsatz von KI im Alltag **Schulung und Sensibilisierung:** - Grundlagenwissen zu KI-Risiken für alle Mitarbeitenden - Vertiefung für Nutzer von Hochrisiko-Systemen - Regelmässige Updates zu regulatorischen Entwicklungen ### Monitoring und Compliance **Regelmässige Überprüfung:** - Periodische Kontrolle der KI-Systemleistung und -sicherheit - Aktualisierung der Risikobewertung bei Änderungen - Überprüfung der Dokumentation auf Vollständigkeit **Incident-Management:** - Prozess für die Meldung von KI-bezogenen Problemen - Eskalationswege bei kritischen Vorfällen - Dokumentation und Analyse von Incidents **Kontinuierliche Anpassung:** - Beobachtung der regulatorischen Entwicklung in EU und Schweiz - Anpassung der Massnahmen an neue Anforderungen - Austausch mit Branchenverbänden und Fachexperten - Enge Zusammenarbeit mit externen Partnern und Behörden ist entscheidend, um die Einhaltung der Compliance-Maßnahmen effektiv zu überwachen und bei Bedarf anzupassen. ## Häufige Herausforderungen und Lösungsansätze Die Umsetzung von KI-Governance stellt KMU vor spezifische Herausforderungen. Innovation spielt dabei eine zentrale Rolle, da sie hilft, effektive und zugleich ressourcenschonende Lösungsansätze für die neuen regulatorischen Anforderungen zu entwickeln. Pragmatische Lösungen ermöglichen auch mit begrenzten Ressourcen eine wirksame Governance. ### Ressourcenmangel in KMU **Herausforderung:** Begrenzte personelle und finanzielle Kapazitäten für komplexe Compliance-Projekte. **Lösungsansätze:** - Fokus auf die wichtigsten KI-Anwendungen mit EU-Bezug statt flächendeckender Analyse - Integration in bestehende Managementsysteme (z.B. ISMS, Qualitätsmanagement) - Nutzung von Open-Source-Tools und Standardvorlagen für Dokumentation - Punktuelle externe Beratung für spezifische Fragen statt umfassender Projekte ### Technische Komplexität **Herausforderung:** Mangelndes technisches Fachwissen zu KI-Systemen, Bias-Erkennung und Datenqualität. **Lösungsansätze:** - Verwendung einfacher Checklisten statt technischer Tiefenanalysen - Anforderung von Compliance-Nachweisen beim Einkauf von KI-Tools - Konzentration auf geschäftskritische Anwendungen - Nutzung von Herstellerdokumentation und Zertifizierungen ### Rechtsunsicherheit **Herausforderung:** Die Rechtslage entwickelt sich dynamisch, einige Begriffe sind noch nicht abschliessend interpretiert. **Lösungsansätze:** - Orientierung an etablierten Standards (ISO/IEC) und Best Practices - Dokumentation der getroffenen Entscheidungen und ihrer Grundlagen - Flexible Governance-Strukturen, die Anpassungen ermöglichen - Regelmässige Information über Entwicklungen bei Bund und EU ## Fazit und nächste Schritte Die EU-KI-Verordnung schafft ab August 2026 verbindliche Regeln für Hochrisiko-KI-Systeme – Schweizer KMU sind jedoch nur betroffen, wenn sie EU-Bezug haben. Die grösste Herausforderung liegt oft nicht in der Regulierung selbst, sondern in der Klarheit über die eigene Situation und der systematischen Herangehensweise an KI-Governance. **Sofortmassnahmen für Schweizer KMU:** 1. **Inventar erstellen:** Dokumentieren Sie alle genutzten KI-Tools und deren Anwendungsbereiche 2. **EU-Bezug prüfen:** Klären Sie, ob Ihre KI-Systeme EU-Kunden bedienen oder Ergebnisse in die EU gelangen 3. **Risiken bewerten:** Identifizieren Sie potenzielle Hochrisiko-Systeme in Ihrem Unternehmen 4. **Verantwortlichkeiten definieren:** Benennen Sie eine Person für KI-Governance 5. **Entwicklungen beobachten:** Verfolgen Sie die Schweizer Gesetzgebung zur KI-Konvention des Europarats Die erwartete Schweizer KI-Regulierung bis Ende 2026 wird weitere Anpassungen erfordern. Wer jetzt mit grundlegender Governance beginnt, ist für zukünftige Anforderungen besser vorbereitet und kann Chancen der Technologie verantwortungsvoll nutzen. ## Zusätzliche Ressourcen **Relevante Schweizer Behörden und Anlaufstellen:** - Staatssekretariat für Wirtschaft (SECO) – Informationen für KMU - Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) - KMU-Portal des Bundes (kmu.admin.ch) **Hilfreiche Werkzeuge für KI-Governance:** - Selbstbewertungs-Checklisten für KI-Risiken - Vorlagen für KI-Inventare und Dokumentation - Branchenspezifische Leitfäden von Wirtschaftsverbänden **Weiterführende Informationen:** - EU AI Act – Originaltext und offizielle Leitlinien der Europäischen Kommission - Framework Convention on Artificial Intelligence des Europarats - ISO/IEC-Standards zu KI-Management und Governance Autorin: Karin M. Zuletzt geändert: 26.03.2026 _Haftungsausschluss: Die Inhalte dieses Beitrags wurden sorgfältig recherchiert und dienen ausschliesslich der allgemeinen Information. Angaben zu Anbietern, Funktionen, Preisen sowie zu rechtlichen und regulatorischen Anforderungen können sich jederzeit ändern. Für die Richtigkeit, Vollständigkeit und Aktualität wird keine Gewähr übernommen. Der Beitrag ersetzt keine individuelle Rechts-, Datenschutz- oder Fachberatung._