Swiss AI Act: Was Schweizer KMU jetzt über KI-Regulierung wissen müssen

Stellen Sie sich vor, Ihr Unternehmen setzt ChatGPT für Kundenanfragen ein, ein Mitarbeiter nutzt ein KI-Tool zur Bewerbervorauswahl, und irgendwo im Hintergrund läuft eine Software, die Rechnungen automatisch kategorisiert. Nichts davon wirkt bedrohlich. Und doch könnten genau diese drei Anwendungen unter die kommende KI-Regulierung fallen – mit Bussen, die für ein KMU existenzbedrohend wären. Während in Brüssel der EU AI Act bereits in Kraft tritt und in Bern der Bundesrat an einer Schweizer Variante arbeitet, herrscht in vielen Schweizer KMU eine gefährliche Ruhe. Wer jetzt nicht handelt, riskiert nicht nur Bussen, sondern auch den Verlust von Kundenvertrauen und Wettbewerbsfähigkeit. Dieser Artikel zeigt, was auf Sie zukommt – und wie Sie in fünf konkreten Schritten vorbereitet sind.

Warum KI-Regulierung für Schweizer Unternehmen zur Chefsache wird

Die Zeiten, in denen KI-Regulierung als europäisches Problem abgetan werden konnte, sind vorbei. Der EU AI Act ist seit August 2024 in Kraft und entfaltet seine Wirkung schrittweise – mit voller Anwendbarkeit ab August 2026. Entscheidend für Schweizer Unternehmen: Der AI Act gilt nicht nur für Firmen mit Sitz in der EU, sondern für alle Anbieter, deren KI-Systeme auf dem EU-Markt eingesetzt werden oder deren Ergebnisse in der EU Verwendung finden. Ein Zürcher Softwarehaus, das eine KI-Lösung an einen deutschen Kunden liefert, fällt darunter. Ein KMU, das ChatGPT für die Bearbeitung von EU-Kundenanfragen nutzt, ebenfalls.

Parallel dazu prüft der Bundesrat eine eigene Schweizer Regulierung. Das Eidgenössische Justiz- und Polizeidepartement (EJPD) hat 2024 einen Bericht veröffentlicht, der eine sektorübergreifende KI-Regulierung skizziert. Die Vernehmlassung wird voraussichtlich 2026 starten, ein Inkrafttreten ist frühestens 2027 zu erwarten. Das klingt nach Zeit – ist es aber nicht. Denn wer heute KI einführt, ohne die regulatorischen Anforderungen zu kennen, baut auf Sand.

Die Zahlen sind ernüchternd: Laut einer Studie von SwissICT aus dem Jahr 2024 haben nur 18 Prozent der Schweizer KMU eine schriftliche KI-Richtlinie – obwohl 45 Prozent KI-Tools wie ChatGPT, Microsoft Copilot oder Midjourney nutzen. Diese Lücke zwischen Nutzung und Governance ist ein Risiko, das viele Geschäftsführer unterschätzen.

Und die Konsequenzen sind real: Verstösse gegen den EU AI Act können Bussen von bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes nach sich ziehen – je nachdem, welcher Betrag höher ist. Für ein KMU mit 20 Millionen Franken Umsatz bedeutet das im schlimmsten Fall eine Busse von 1,4 Millionen Franken. Existenzbedrohend.

Die vier Risikoklassen des EU AI Act – und was sie für Ihr Unternehmen bedeuten

Der EU AI Act unterscheidet vier Risikostufen. Die gute Nachricht: Die meisten KMU-Anwendungen fallen unter „begrenzt" oder „minimal". Die schlechte Nachricht: Es reicht ein einziges Hochrisiko-System, um umfangreiche Pflichten auszulösen.

Unannehmbares Risiko: Verbotene Praktiken

Bestimmte KI-Anwendungen sind ab Februar 2025 in der EU vollständig verboten. Dazu gehören Social Scoring durch Behörden oder Unternehmen, manipulative Techniken, die das Verhalten von Menschen unbewusst steuern, sowie KI-Systeme zur biometrischen Echtzeitüberwachung im öffentlichen Raum (mit engen Ausnahmen). Auch Schweizer Anbieter, deren KI in der EU eingesetzt wird, müssen diese Verbote einhalten – selbst wenn die Entwicklung in der Schweiz stattfindet.

Hohes Risiko: Strenge Pflichten

Hochrisiko-KI umfasst Anwendungen in sensiblen Bereichen: Bewerber-Screening, Kreditwürdigkeitsprüfungen, medizinische Diagnose-Tools, kritische Infrastruktur oder Bildung. Hier gelten umfangreiche Pflichten:

• Technische Dokumentation des Systems, einschliesslich Trainingsdaten und Modellarchitektur
• Risikomanagementsystem über den gesamten Lebenszyklus
• Menschliche Aufsicht – ein Mensch muss eingreifen können
• Transparenz gegenüber Nutzern und Betroffenen
• Konformitätsbewertung vor dem Inverkehrbringen

Für ein KMU, das eine KI zur Bewerbervorauswahl einsetzt, bedeutet das: Sie müssen nachweisen können, dass das System diskriminierungsfrei funktioniert, dokumentiert ist und ein Mensch die finale Entscheidung trifft.

Begrenztes Risiko: Transparenzpflichten

Hierunter fallen die meisten generativen KI-Anwendungen – also ChatGPT, Microsoft Copilot, Midjourney und ähnliche. Die Pflichten sind überschaubar, aber nicht vernachlässigbar:

• Kennzeichnung von KI-generierten Inhalten (Texte, Bilder, Audio)
• Offenlegung, dass ein KI-System im Einsatz ist, wenn Nutzer dies nicht erwarten würden
• Information der Betroffenen bei KI-gestützten Entscheidungen

Ein Beispiel: Wenn Ihr Kundenservice einen Chatbot einsetzt, muss der Nutzer klar erkennen können, dass er mit einer KI spricht – nicht mit einem Menschen.

Minimales Risiko: Keine besonderen Pflichten

Spamfilter, KI-gestützte Rechtschreibprüfung oder einfache Empfehlungssysteme fallen in diese Kategorie. Hier gibt es keine spezifischen Pflichten – ausser den allgemeinen Datenschutzvorgaben.

Schweizer Besonderheiten: Datenschutz, FINMA und sektorale Regeln

Die Schweiz regelt KI nicht in einem einzigen Gesetz, sondern über bestehende und kommende sektorale Vorschriften. Das macht die Lage unübersichtlicher – aber auch handhabbarer, wenn man die relevanten Regelwerke kennt.

Das revidierte Datenschutzgesetz (revDSG) ist seit September 2023 in Kraft und verlangt bei automatisierten Entscheidungen, die rechtliche oder erhebliche finanzielle Folgen haben, eine menschliche Überprüfung. Wer KI zur Kreditvergabe oder Personalauswahl einsetzt, muss sicherstellen, dass ein Mensch die Entscheidung überprüfen kann. Das ergänzt die KI-Regulierung und gilt heute schon.

Die FINMA hat 2024 Leitlinien für den Einsatz von KI im Finanzsektor veröffentlicht. Banken und Versicherungen müssen KI-Risiken in ihre Governance integrieren, die Erklärbarkeit von Modellen sicherstellen und regelmässige Audits durchführen. Für Fintech-Startups und etablierte Institute gleichermassen verbindlich.

Im Gesundheitsbereich gelten die Swissmedic-Vorgaben für KI-basierte Medizinprodukte. Zulassungen dauern oft 12 bis 18 Monate und erfordern klinische Nachweise. Ein Genfer Startup, das ein KI-Tool zur Diagnoseunterstützung entwickelt, muss diesen Weg gehen – auch wenn die Zulassung in der EU bereits vorliegt.

Auch die kantonalen Datenschutzbeauftragten werden aktiv. Der Zürcher Datenschutzbeauftragte fordert mehr Transparenz bei KI-gestützten Verwaltungsentscheiden und hat 2024 erste Prüfungen bei Gemeinden durchgeführt. Für KMU, die mit öffentlichen Stellen zusammenarbeiten, ist das relevant.

Praktische Schritte: So machen Sie Ihr KMU fit für die KI-Verordnung

Die gute Nachricht: Sie müssen kein Compliance-Monster aufbauen. Mit fünf Schritten bringen Sie Ordnung in Ihre KI-Landschaft – und schaffen die Grundlage für die kommende Regulierung.

1. Erstellen Sie ein KI-Inventar

Wissen Sie, welche KI-Tools in Ihrem Unternehmen genutzt werden? Oft sind es mehr als gedacht: ChatGPT für Texte, Microsoft Copilot in Office, ein KI-Tool im CRM, eine Branchenlösung für Qualitätskontrolle. Führen Sie eine Umfrage bei den Mitarbeitenden durch und dokumentieren Sie:

• Welches Tool wird genutzt?
• Wer nutzt es?
• Welche Daten werden eingegeben?
• Welche Entscheidungen werden beeinflusst?

2. Führen Sie eine Risikoklassifizierung durch

Ordnen Sie jede Anwendung einer der vier EU-Risikoklassen zu. Die meisten werden „minimal" oder „begrenzt" sein. Bei Hochrisiko-Anwendungen – etwa Bewerber-Screening oder Kreditprüfung – müssen Sie entscheiden: Wollen Sie die Anwendung behalten und die Pflichten erfüllen, oder ersetzen Sie sie durch eine einfachere Lösung?

3. Implementieren Sie eine KI-Richtlinie

Eine KI-Richtlinie regelt den Umgang mit KI im Unternehmen. Sie sollte enthalten:

• Datenschutz: Welche Daten dürfen in KI-Tools eingegeben werden? (Faustregel: keine personenbezogenen Daten ohne Prüfung)
• Transparenz: Wann müssen Nutzer über KI-Einsatz informiert werden?
• Menschliche Aufsicht: Wer prüft KI-Entscheidungen?
• Schulung: Wer darf welche Tools nutzen?

Muster finden Sie bei swissICT oder Digitalswitzerland – oft kostenlos oder für kleines Geld.

4. Schulen Sie Ihre Mitarbeitenden

Rund 70 Prozent der KI-Vorfälle entstehen durch unsachgemässe Nutzung, nicht durch Technik. Ein Mitarbeiter, der Kundendaten in ChatGPT eingibt, um eine E-Mail zu verbessern, handelt nicht böswillig – aber riskant. Schulungen sollten praktisch sein: Was darf ich, was nicht? Wie erkenne ich Bias? Wann muss ich einen Menschen fragen?

5. Dokumentieren Sie alles

Für Hochrisiko-KI sind technische Dokumentation, Protokollierung und Konformitätsbewertung Pflicht. Aber auch bei begrenztem Risiko ist Dokumentation hilfreich: Sie zeigt Behörden und Kunden, dass Sie verantwortungsvoll handeln. Ein einfaches Excel-Sheet mit allen KI-Anwendungen, Risikoklassen und Massnahmen ist ein guter Anfang.

Fallbeispiele: Wie Schweizer KMU KI-Regulierung bereits umsetzen

Es gibt sie schon – die Schweizer Unternehmen, die KI-Regulierung nicht als Bedrohung, sondern als Chance begreifen.

Die Zürcher Softwarefirma DeepJudge, die KI für juristische Recherche entwickelt, hat eine eigene Ethikkommission eingerichtet und zertifiziert ihre KI nach ISO 42001 – dem ersten internationalen Standard für KI-Managementsysteme. Das schafft Vertrauen bei Kanzleien und Gerichten, die sensible Daten anvertrauen.

Ein Berner KMU im Maschinenbau nutzt KI zur Qualitätskontrolle in der Produktion. Die Anwendung fällt unter „minimales Risiko". Das Unternehmen hat dennoch einfache Transparenzhinweise eingeführt: Mitarbeitende wissen, dass KI Bilder prüft, und Kunden werden informiert, dass Qualitätsdaten automatisiert ausgewertet werden. Der Aufwand: gering. Der Nutzen: Vertrauen.

Die Waadtländer Firma Sophia Genetics, die KI zur Genomanalyse einsetzt, musste für den EU-Markt eine aufwändige Konformitätsbewertung durchlaufen. Die Kosten: über 200'000 Franken. Ein Betrag, den ein KMU nicht mal eben stemmen kann – aber ein Beispiel dafür, wie frühzeitige Planung und Spezialisierung den Weg ebnen.

Und für Startups gibt es Hoffnung: Die EU bietet regulatory sandboxes an – geschützte Testumgebungen, in denen KI unter realen Bedingungen erprobt werden kann, ohne sofort alle Pflichten zu erfüllen. Schweizer Startups können davon profitieren, wenn sie mit EU-Partnern zusammenarbeiten.

Kosten und Nutzen: Was KI-Compliance wirklich bringt

Die Einführung eines KI-Compliance-Programms kostet KMU je nach Grösse zwischen 10'000 und 50'000 Franken – plus jährliche Updates. Das ist Geld, das viele lieber in Produktentwicklung stecken würden. Doch die Rechnung geht anders auf.

Studien zeigen: Unternehmen mit klarer KI-Governance gewinnen das Vertrauen von Kunden und Partnern. In einer Umfrage von PwC aus dem Jahr 2024 gaben 62 Prozent der europäischen Unternehmen an, dass sie bei der Auswahl von Lieferanten auf nachweisbare KI-Compliance achten. Wer keine vorweisen kann, fliegt raus – nicht wegen einer Busse, sondern wegen fehlenden Vertrauens.

Versicherungen bieten mittlerweile Cyber- und KI-Haftpflichtpolicen an, die Schäden durch KI-Fehler abdecken. Doch viele Policen setzen voraus, dass das Unternehmen eine KI-Richtlinie hat und Schulungen durchführt. Compliance ist also nicht nur Pflicht, sondern auch Voraussetzung für Versicherungsschutz.

Und nicht zuletzt: Frühzeitige Compliance vermeidet Bussen und Reputationsschäden. Ein Imageschaden – etwa durch einen diskriminierenden Algorithmus in der Personalauswahl – kann teurer sein als jede Busse. Kunden verzeihen Fehler, aber keinen Vertrauensbruch.

Ihre nächsten Schritte: Handeln Sie jetzt, bevor die Regulierung kommt

Die Regulierung kommt – ob aus Brüssel oder Bern. Die Frage ist nicht, ob Ihr Unternehmen betroffen sein wird, sondern wann und wie stark. Wer jetzt handelt, kann die Weichen stellen, bevor der Zug abgefahren ist.

Hier sind Ihre nächsten Schritte:

• Besuchen Sie die Website des Bundesamts für Kommunikation (BAKOM) für aktuelle Informationen zur Schweizer KI-Regulierung. Dort finden Sie den Bericht des Bundesrats und die Zeitleiste für die Vernehmlassung.
• Nutzen Sie den kostenlosen KI-Check von Digitalswitzerland, um den Handlungsbedarf Ihres Unternehmens zu ermitteln. In 15 Minuten wissen Sie, wo Sie stehen.
• Vernetzen Sie sich mit anderen KMU in Ihrer Region – gemeinsame Compliance-Projekte senken die Kosten. Eine geteilte KI-Richtlinie für einen Branchenverband ist günstiger als eine Einzellösung.
• Planen Sie ein Budget für KI-Compliance ein und beauftragen Sie bei Bedarf externe Berater. Rechnen Sie mit 10'000 bis 50'000 Franken für den Aufbau, plus jährliche Updates.
• Melden Sie sich für unseren Newsletter an, um über die neuesten Entwicklungen im Schweizer KI-Recht informiert zu bleiben. Wir begleiten Sie durch die Vernehmlassung und darüber hinaus.

Die KI-Regulierung ist keine Bedrohung – sie ist eine Einladung, KI verantwortungsvoll und wettbewerbsfähig einzusetzen. Wer jetzt handelt, gehört zu den Unternehmen, die 2027 nicht improvisieren müssen, sondern längst vorbereitet sind. Packen Sie es an.