EU AI Act für Schweizer KMU: Was seit August 2026 gilt und was noch kommt

Der EU AI Act gilt nicht automatisch für jedes Schweizer KMU, aber er erreicht mehr Schweizer Firmen, als viele denken. Entscheidend ist nicht der Firmensitz, sondern ob ein KI-System oder seine Ausgabe in der EU landet. Seit dem 2. August 2026 gelten die Transparenzpflichten für Chatbots, Deepfakes und bestimmte KI-Texte; die Hochrisiko-Regeln hat der Digital Omnibus auf Dezember 2027 und August 2028 verschoben. Dieser Leitfaden zeigt aus Schweizer Sicht, wann Sie betroffen sind, was heute gilt, was noch kommt und was das Schweizer Datenschutzrecht schon verlangt.

Gilt der EU AI Act für Schweizer Unternehmen?

Die Schweiz ist kein EU-Mitglied, der AI Act ist hier kein Landesrecht. Er knüpft aber nicht an den Sitz eines Unternehmens an, sondern an den Markt. Art. 2 Abs. 1 erfasst unter anderem:

• Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, ausdrücklich «unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland niedergelassen sind» (Bst. a);
• Betreiber mit Sitz in der EU (Bst. b);
• Anbieter und Betreiber in Drittländern, wenn die Ausgabe ihres KI-Systems in der EU verwendet wird (Bst. c);
• Einführer und Händler von KI-Systemen (Bst. d);
• betroffene Personen, die sich in der EU befinden (Bst. g).

Für Schweizer Firmen ist Buchstabe c der zentrale Satz:

«Anbieter und Betreiber von KI-Systemen, die ihren Sitz in einem Drittland haben oder sich in einem Drittland befinden, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird»

Art. 2 Abs. 1 Bst. c AI Act

Daraus ergeben sich vier typische Auslöser für ein Schweizer KMU: Sie bringen ein KI-System auf den EU-Markt. Die Ausgabe Ihres KI-Systems wird in der EU verwendet. Sie haben eine Tochter oder Niederlassung in der EU, die KI einsetzt. Oder Kundinnen und Kunden in der EU interagieren direkt mit Ihrer KI. Wer KI rein privat nutzt, ist übrigens kein Betreiber; die Definition schliesst persönliche, nicht berufliche Tätigkeiten aus.

Typische Situationen für Schweizer KMU

Die folgende Einordnung ist unsere Lesart des Verordnungstexts, keine offizielle Auslegung:

Der Graubereich: Inhalte für Kunden in der EU

Viele Schweizer Dienstleister nutzen KI für Kunden in Deutschland oder Österreich: die Agentur für Blogtexte, der Treuhänder für Auswertungen. Nach dem Wortlaut wird hier eine KI-Ausgabe in der EU verwendet. Ob Art. 2 Abs. 1 Bst. c jeden solchen Fall erfasst, ist nicht geklärt; eine verbindliche Auslegung kennen wir nicht.

Unser pragmatischer Umgang damit: Wo es wenig kostet, verhalten wir uns, als ob Art. 50 gälte. Deepfakes werden gekennzeichnet, Texte von einem Menschen geprüft, die redaktionelle Verantwortung ist dokumentiert. Das ist ohnehin gute Praxis.

Zwei weitere Punkte: Anbieter von Hochrisiko-KI aus Drittländern brauchen einen Bevollmächtigten in der EU (Art. 22), ebenso Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Art. 54); für andere KI-Systeme ist das nicht vorgesehen. Und wie EU-Behörden Pflichten gegenüber Schweizer Firmen ohne EU-Präsenz durchsetzen würden, ist offen. Darauf zu bauen, ist keine Strategie.

Anbieter oder Betreiber: Welche Rolle hat Ihr KMU?

Der AI Act verteilt die Pflichten nach Rollen. Die beiden wichtigsten:

• Anbieter (Art. 3 Nr. 3) entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr oder nehmen es so in Betrieb, entgeltlich oder unentgeltlich.
• Betreiber (Art. 3 Nr. 4) setzen ein KI-System in eigener Verantwortung ein.

Die Definition des Betreibers im Wortlaut:

«„Betreiber“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet»

Art. 3 Nr. 4 AI Act

Dazu kommen Einführer (Nr. 6) und Händler (Nr. 7). Die meisten Schweizer KMU sind Betreiber: Sie nutzen ChatGPT, Claude, Copilot oder KI-Funktionen in ihrer Software. Anbieter sind Sie, sobald Sie eine eigene KI-Anwendung unter Ihrem Namen anbieten, etwa einen selbst entwickelten Beratungsbot.

Wann wird ein Betreiber zum Anbieter?

Hier liegt die wichtigste Falle für KMU. Nach Art. 25 Abs. 1 gilt ein Betreiber als Anbieter eines Hochrisiko-KI-Systems, wenn er

1. ein Hochrisiko-KI-System mit seinem Namen oder seiner Marke versieht,
2. ein Hochrisiko-KI-System wesentlich verändert, sodass es hochriskant bleibt, oder
3. die Zweckbestimmung eines Systems so verändert, dass es hochriskant wird.

Der dritte Fall im Wortlaut:

«wenn sie die Zweckbestimmung eines KI-Systems, einschliesslich eines KI-Systems mit allgemeinem Verwendungszweck, das nicht als hochriskant eingestuft wurde und bereits in Verkehr gebracht oder in Betrieb genommen wurde, so verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Artikel 6 wird.»

Art. 25 Abs. 1 Bst. c AI Act

Das klassische Beispiel: Ein KMU nimmt einen allgemeinen Chatbot und lässt ihn systematisch Bewerbungen bewerten und vorsortieren. Damit wird aus einem Allzweckwerkzeug ein System für die Auswahl von Bewerbenden, also ein Hochrisiko-Anwendungsfall nach Anhang III. Das KMU übernimmt dann die Anbieterpflichten nach Art. 16, inklusive Konformitätsbewertung. Diese Pflichten greifen erst ab dem 2. Dezember 2027, aber die Entscheidung, wie Sie KI im Recruiting einsetzen, treffen Sie heute.

Der Digital Omnibus hat Art. 25 Abs. 2 präzisiert: Der ursprüngliche Anbieter muss dem neuen Anbieter insbesondere technische Unterlagen, Informationen zu bekannten Einschränkungen und Fehlerarten sowie gezielten technischen Zugang bereitstellen, ausser er hat die Umwandlung in ein Hochrisiko-System eindeutig ausgeschlossen. Verstösse gegen diese Pflichten sind neu ausdrücklich bussgeldbewehrt (Art. 99 Abs. 4 Bst. da).

Was gilt seit wann? Die Zeitleiste

Für KMU im Anwendungsbereich heisst das: Heute gelten Art. 4, Art. 5 und Art. 50. Die Betreiberpflichten für Hochrisiko-KI nach Art. 26 gelten noch nicht.

Was hat der Digital Omnibus geändert?

Der Digital Omnibus ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht am 24. Juli 2026 und seit dem 27. Juli 2026 in Kraft. Vorgeschlagen hatte ihn die Kommission am 19. November 2025, die politische Einigung kam am 7. Mai 2026. Die wichtigsten Änderungen:

1. Feste Daten für Hochrisiko-KI. Anhang III gilt ab dem 2. Dezember 2027, Anhang I ab dem 2. August 2028. Grund für die Verschiebung sind laut der Änderungsverordnung verspätete Normen und noch nicht eingerichtete nationale Behörden (Erwägungsgrund 40). Ursprünglich hätten die Pflichten nach Anhang III schon ab dem 2. August 2026 gegolten, jene nach Anhang I ab dem 2. August 2027.
2. Weichere KI-Kompetenz. Art. 4 wurde neu gefasst: Statt ein ausreichendes Mass an KI-Kompetenz sicherzustellen, müssen Unternehmen Massnahmen zur Förderung ergreifen (Details unten).
3. Art. 50 fast unverändert. Nur Absatz 7 wurde angepasst. Neu gibt Art. 111 Abs. 4 Anbietern generativer KI-Systeme, die vor dem 2. August 2026 auf dem Markt waren, bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung. Für Chatbot-Hinweise (Abs. 1), Emotionserkennung (Abs. 3) und Deepfakes (Abs. 4) gibt es keine Schonfrist.
4. Mehr Erleichterungen für KMU. Neu definiert sind KMU und «kleine Midcap-Unternehmen» (Art. 3 Nr. 14a und 14b). Es gibt eine vereinfachte technische Dokumentation (Art. 11), ein verhältnismässiges Qualitätsmanagement (Art. 17 Abs. 2), den vereinfachten Weg dafür, der nun allen KMU ohne Partner- oder verbundene Unternehmen offensteht (Art. 63 Abs. 1), Vorrang beim neuen KI-Reallabor des Büros für Künstliche Intelligenz auf EU-Ebene (Art. 57 Abs. 3a) und mildere Bussgeldregeln für kleine Midcaps (Art. 99 Abs. 6a).
5. Zwei neue Verbote ab 2. Dezember 2026: KI-Systeme, die ohne Einwilligung realistische intime Darstellungen bestimmbarer Personen erzeugen, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.
6. Kleineres: Die Grundrechte-Folgenabschätzung (Art. 27) kann auf eine Datenschutz-Folgenabschätzung verweisen, und ein neuer Art. 4a regelt besondere Datenkategorien zur Erkennung von Verzerrungen.

Nicht geändert hat der Omnibus den räumlichen Anwendungsbereich in Art. 2 Abs. 1, den Kern der Transparenzpflichten und die KMU-Regel bei den Bussgeldern in Art. 99 Abs. 6.

Welche Risikoklassen gibt es?

Der AI Act ordnet KI nach Risiko. Je höher das Risiko für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten:

Wichtig: Die Förderung der KI-Kompetenz nach Art. 4 gilt quer über alle Klassen, auch für KI mit minimalem Risiko. Für KI-Modelle mit allgemeinem Verwendungszweck, etwa die Modelle hinter ChatGPT oder Claude, gibt es eine eigene Spur mit Pflichten für die Modellanbieter, nicht für Sie als Nutzer.

Was muss Ihr KMU heute schon einhalten?

Drei Bereiche sind heute relevant: die KI-Kompetenz, die Verbote und die Transparenzpflichten.

KI-Kompetenz nach Art. 4: weicher, aber nicht weg

Die ursprüngliche Fassung verlangte, dass Unternehmen nach besten Kräften ein ausreichendes Mass an KI-Kompetenz sicherstellen. Seit dem Digital Omnibus lautet Art. 4 Abs. 1:

«Die Anbieter und Betreiber von KI-Systemen ergreifen Massnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.»

Art. 4 Abs. 1 AI Act in der Fassung der VO (EU) 2026/1744

Kurz gesagt: Sie müssen etwas tun, aber Sie müssen kein Ergebnis garantieren. Die Kommission und die Mitgliedstaaten sollen gerade KMU dabei unterstützen, und die Kommission veröffentlicht praktische Beispiele auf der zentralen Informationsplattform (Art. 4 Abs. 2). Nach unserer Lesart ist Art. 4 in keiner der Bussgeldstufen von Art. 99 Abs. 3 bis 5 aufgeführt. Die Mitgliedstaaten können nach Art. 99 Abs. 1 aber für jeden Verstoss Sanktionen vorsehen, auch Verwarnungen.

Was in der Praxis als Massnahme taugt: eine kurze Schulung zu den Werkzeugen, die Ihr Team tatsächlich nutzt, eine interne KI-Richtlinie, eine Ansprechperson für Fragen und ein Nachweis, wer wann geschult wurde. Wie man so etwas aufbaut, beschreiben wir im Beitrag zu KI-Kursen, Workshops und Lehrgängen und am Beispiel öffentlicher Verwaltungen in KI-Schulung für Gemeinden. Für KMU bieten wir eigene KI-Workshops an.

Verbotene Praktiken nach Art. 5

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten, darunter unterschwellige Manipulation, das Ausnutzen von Schwächen bestimmter Gruppen, Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungskameras. Ab dem 2. Dezember 2026 kommen die zwei oben genannten Verbote hinzu.

Die meisten KMU kommen damit nie in Berührung. Am ehesten relevant ist die Emotionserkennung: Ein Tool, das die Stimmung von Mitarbeitenden auswertet, etwa im Kundendienst, gehört vor der Einführung genau geprüft. Art. 5 ist die teuerste Bussgeldstufe.

Transparenzpflichten nach Art. 50

Seit dem 2. August 2026 gelten die Transparenzpflichten, für Schweizer KMU mit EU-Bezug der wichtigste aktuelle Punkt:

• Abs. 1, Chatbots: Menschen müssen erfahren, dass sie mit KI interagieren, ausser es ist offensichtlich. Adressiert sind die Anbieter.
• Abs. 2, Kennzeichnung: Anbieter generativer KI kennzeichnen Ausgaben maschinenlesbar. Das ist in der Regel Sache von OpenAI, Google und Co., nicht des KMU, das die Bilder nur nutzt. Wer aber ein eigenes generatives KI-System unter eigenem Namen anbietet, etwa einen selbst gebauten Text- oder Bildgenerator, ist selbst Anbieter und muss Abs. 2 einhalten.
• Abs. 3, Emotionserkennung: Betreiber informieren die betroffenen Personen.
• Abs. 4, Deepfakes und KI-Texte: Betreiber legen Deepfakes offen, ebenso KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen.
• Abs. 5, Zeitpunkt: «spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise».

Was ein Deepfake ist, definiert Art. 3 Nr. 60:

«einen durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäss erscheinen würde»

Art. 3 Nr. 60 AI Act

Bei KI-Texten entfällt die Offenlegungspflicht, wenn die Inhalte «einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und wenn eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung der Inhalte trägt» (Art. 50 Abs. 4 Unterabsatz 2). Für ein KMU, das seine Blogartikel vor der Veröffentlichung redigiert, ist das die entscheidende Ausnahme.

Art. 50 in der Praxis: sechs Beispiele

Gewöhnliche Werbetexte und Produktbeschreibungen fallen nach unserer Lesart des Wortlauts nicht automatisch unter die Textregel, weil sie nicht über Angelegenheiten von öffentlichem Interesse informieren. Für Grenzfälle gibt es die Leitlinien der Kommission zu Art. 50 vom 20. Juli 2026 und seit dem 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte.

Übrigens: Den Chatbot-Hinweis brauchen Sie auch ohne EU-Bezug. Der EDÖB erwartet nach Schweizer Datenschutzrecht, dass Nutzerinnen und Nutzer wissen, wenn sie mit einer Maschine sprechen.

Was kommt 2027 und 2028: Hochrisiko-KI und Betreiberpflichten

Ab dem 2. Dezember 2027 gelten die Pflichten für Hochrisiko-KI nach Anhang III. Für KMU zählen vor allem Recruiting und Leistungsüberwachung, Kreditwürdigkeit sowie Preise bei Lebens- und Krankenversicherungen. Ab dem 2. August 2028 folgt Anhang I, also KI in regulierten Produkten.

Wer als Betreiber ein Hochrisiko-System einsetzt, muss dann nach Art. 26 unter anderem:

• das System gemäss Betriebsanleitung des Anbieters verwenden,
• die menschliche Aufsicht Personen übertragen, die die nötige Kompetenz, Ausbildung und Befugnis haben,
• sicherstellen, dass die Eingabedaten, soweit sie unter seiner Kontrolle sind, zum Zweck passen und ausreichend repräsentativ sind,
• den Betrieb überwachen und Risiken sowie schwerwiegende Vorfälle melden,
• automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren,
• Arbeitnehmende und ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren,
• die Informationen des Anbieters für die Datenschutz-Folgenabschätzung nutzen.

Unser Rat für Personalabteilungen und Vermittler, die mit KI Bewerbungen für Stellen in der EU vorsortieren: Klären Sie jetzt mit dem Softwareanbieter, ob das Tool als Hochrisiko-System gilt und welche Unterlagen er liefert. Leitlinien der Kommission zur Hochrisiko-Einstufung liegen seit Mai 2026 im Entwurf vor, die finale Fassung ist für Ende 2026 geplant.

Welche Bussgelder drohen KMU?

Art. 99 sieht drei Stufen vor:

Für KMU dreht Art. 99 Abs. 6 die Regel um. Es gilt der niedrigere Betrag:

«Im Falle von KMU, einschliesslich Start-up-Unternehmen, gilt für jede in diesem Artikel genannte Geldbusse der jeweils niedrigere Betrag aus den in den Absätzen 3, 4 und 5 genannten Prozentsätzen oder Summen.»

Art. 99 Abs. 6 AI Act

Zur Illustration: Ein KMU mit EUR 2 Mio. Jahresumsatz verstösst gegen Art. 50. Infrage kommen EUR 15 Mio. oder 3 Prozent des Umsatzes, also EUR 60'000. Für das KMU gilt der niedrigere Betrag: Die Obergrenze liegt bei EUR 60'000. Das ist ein Höchstbetrag, keine Busse, die automatisch fällig wird.

Der Digital Omnibus hat diese Regel nicht angetastet und für kleine Midcaps eine ähnliche ergänzt (Art. 99 Abs. 6a, für die Stufen nach Abs. 4 und 5). Zudem berücksichtigen die Mitgliedstaaten bei Sanktionen das wirtschaftliche Überleben von KMU und kleinen Midcaps, und neben Geldbussen sind Verwarnungen und nichtmonetäre Massnahmen möglich (Art. 99 Abs. 1; neu ist dort die Erwähnung der kleinen Midcaps).

Korrektur vom 14. Oktober 2026: Eine frühere Fassung dieses Beitrags nannte für KMU fälschlich den höheren der beiden Beträge und stellte den Anwendungsbereich für Schweizer KMU zu breit dar. Beides ist korrigiert.

Hat die Schweiz ein eigenes KI-Gesetz?

Nein, Stand Oktober 2026 nicht. Die Schweiz geht einen eigenen Weg:

• 12. Februar 2025: Der Bundesrat entscheidet, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht sektoriell anzupassen. Eine Kopie des EU AI Act ist nicht vorgesehen.
• 27. März 2025: Bundesrat Albert Rösti unterzeichnet die Konvention in Strassburg. Ratifiziert ist sie noch nicht.
• Bis Ende 2026: Das EJPD (Bundesamt für Justiz) erarbeitet zusammen mit UVEK und EDA eine Vernehmlassungsvorlage, unter anderem zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Das UVEK plant parallel nicht verbindliche Massnahmen.
• Stand Mitte Oktober 2026: Eine Vernehmlassung ist noch nicht eröffnet. Wann sie startet, ist offen.

Für KMU heisst das: Neue Schweizer Regeln für KI kommen frühestens nach der Vernehmlassung und dem parlamentarischen Verfahren. Wer heute KI einsetzt, orientiert sich am geltenden Schweizer Recht und, bei EU-Bezug, am AI Act.

Was gilt in der Schweiz heute schon? KI und das Datenschutzgesetz

Auch ohne KI-Gesetz ist KI in der Schweiz nicht ungeregelt. Laut EDÖB ist das revidierte Datenschutzgesetz (DSG), in Kraft seit dem 1. September 2023, technologieneutral und direkt auf KI-gestützte Datenbearbeitungen anwendbar (erstmals festgehalten am 9. November 2023, aktualisiert 2025). Konkret erwartet der EDÖB:

• Transparenz über Zweck, Funktionsweise und Datenquellen einer KI-Anwendung,
• den Hinweis, wenn Nutzerinnen und Nutzer mit einer Maschine kommunizieren, und ob ihre Eingaben zum Training verwendet werden,
• die Kennzeichnung von Deepfakes identifizierbarer Personen,
• eine Datenschutz-Folgenabschätzung bei Bearbeitungen mit hohem Risiko,
• das Recht, sich gegen automatisierte Entscheidungen zu wehren und eine Überprüfung durch einen Menschen zu verlangen.

Anwendungen, die die Privatsphäre aushöhlen, etwa eine flächendeckende Gesichtserkennung in Echtzeit oder Social Scoring, hält der EDÖB für unzulässig.

Zwei Artikel sind für KI besonders wichtig. Art. 21 DSG verpflichtet Unternehmen, Personen über eine Entscheidung zu informieren, «die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt». Die betroffene Person kann ihren Standpunkt darlegen und verlangen, dass ein Mensch die Entscheidung überprüft (Abs. 2); Abs. 3 regelt Ausnahmen. Art. 22 DSG verlangt eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung «ein hohes Risiko für die Persönlichkeit oder die Grundrechte» mit sich bringen kann.

Die Überschneidung mit dem AI Act ist gross: Chatbot-Hinweis, Deepfake-Kennzeichnung und menschliche Kontrolle erwartet der EDÖB auch von KMU ohne jeden EU-Bezug. Mehr dazu in unserem Beitrag KI und Datenschutz in der Schweiz.

Checkliste: Was Schweizer KMU jetzt tun sollten

1. Inventar erstellen. Welche KI-Werkzeuge nutzen wir, auch versteckt in CRM, Buchhaltung oder Mailprogramm, und wofür? Typische Einsatzfelder zeigt unser Beitrag zu ChatGPT im Unternehmen.
2. Rolle pro Anwendung prüfen. Betreiber oder, weil wir selbst bauen oder den Zweck ändern, Anbieter? Besonders kritisch: KI im Recruiting.
3. EU-Bezug prüfen. EU-Markt, Ausgabe in der EU, EU-Tochter oder EU-Kundschaft, die direkt mit unserer KI interagiert?
4. Art. 50 umsetzen. KI-Hinweis im Chatbot, Deepfakes kennzeichnen, menschliche Prüfung und redaktionelle Verantwortung für Texte festlegen.
5. KI-Kompetenz fördern. Kurze Schulungen zu den genutzten Werkzeugen, eine Ansprechperson, ein Nachweis, wer wann geschult wurde.
6. Interne KI-Richtlinie einführen. Welche Werkzeuge, welche Daten, wer gibt frei? So passt das auf eine Seite: Interne KI-Richtlinie.
7. Verträge prüfen. Datenbearbeitung, Training auf Ihren Daten, Datenstandort, bei Hochrisiko-Anwendungen die Unterlagen des Anbieters.
8. Review-Termin setzen. Sobald die Schweizer Vernehmlassung eröffnet wird und spätestens vor dem 2. Dezember 2027.

Wer KI-Agenten oder Prozessautomatisierung einführt, sollte diese Punkte von Anfang an mitdenken.

Wo finden Schweizer KMU Unterstützung?

Die EU-Kommission betreibt mit dem AI Act Service Desk eine zentrale Informationsplattform mit dem AI Act Explorer zum Nachlesen, einem Compliance Checker und einem Formular für Fragen. Dort erscheinen auch die praktischen Beispiele zur KI-Kompetenz nach Art. 4. Die Kommission arbeitet zudem an weiteren Hilfen, etwa Leitlinien zur Wertschöpfungskette, zur wesentlichen Veränderung und zum vereinfachten Qualitätsmanagement für KMU sowie einer Vorlage für die Grundrechte-Folgenabschätzung.

Eine Einschränkung betrifft Schweizer Firmen direkt: Den vorrangigen Zugang zu den KI-Reallaboren nach Art. 62 erhalten KMU, «die ihren Sitz oder eine Zweigniederlassung in der Union haben». Ein Schweizer KMU ohne EU-Gesellschaft hat diesen Vorrang nicht; ob es überhaupt teilnehmen kann, richtet sich nach den Zulassungskriterien des jeweiligen Reallabors.

Für die Schweizer Seite sind die Hinweise des EDÖB zu KI und Datenschutz die erste Adresse. Und wenn Sie KI im Betrieb sauber aufsetzen wollen, helfen wir praktisch: mit KI-Workshops für KMU für die KI-Kompetenz im Team und mit KI-Automatisierung, bei der Kennzeichnung, menschliche Kontrolle und Dokumentation von Anfang an eingebaut sind.

Fazit

Der EU AI Act ist für Schweizer KMU kein Grund zur Panik, aber auch kein reines EU-Thema. Heute zählen drei Dinge: KI-Kompetenz fördern, verbotene Praktiken meiden, Chatbots, Deepfakes und bestimmte KI-Texte transparent machen. Die Hochrisiko-Pflichten kommen ab Dezember 2027; wer KI im Recruiting oder bei Kreditentscheiden nutzt, bereitet sich jetzt vor. Und vieles davon verlangt das Schweizer Datenschutzgesetz ohnehin.

Sie möchten wissen, wo Ihr KMU steht? Sprechen Sie mit uns.