Gilt die KI-Verordnung für mein Schweizer KMU?

Weshalb sich die Frage stellt

Die KI-Verordnung ist die europäische Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689). Sie gilt seit Februar 2025 in Etappen. Die Schweiz ist nicht Mitglied der Europäischen Union (EU) und hat diesen Text nicht übernommen. Dennoch sind zahlreiche kleine und mittlere Unternehmen (KMU) der Schweiz unmittelbar betroffen.

Der Grund liegt in der extraterritorialen Reichweite der Verordnung. Wie die Datenschutz-Grundverordnung (DSGVO) vor ihr macht die KI-Verordnung an den Grenzen der EU nicht halt. Sie erfasst auch Akteure mit Sitz in Drittstaaten, sobald ihre Systeme der künstlichen Intelligenz (KI) den europäischen Markt berühren (Art. 2).

Der entscheidende Test: der Bezug zum europäischen Markt (Art. 2)

Drei Situationen bringen ein Schweizer KMU in den Anwendungsbereich der Verordnung. Eine einzige genügt.

Erster Fall: Sie verkaufen Produkte oder Dienstleistungen mit einem KI-System an Kundinnen und Kunden in der EU. Das ist das Inverkehrbringen oder die Inbetriebnahme in der Union (Art. 2 Abs. 1 Bst. a).

Zweiter Fall: Die von Ihrem System erzeugten Ergebnisse — Scores, Entscheidungen, Inhalte, Berichte — werden in der EU verwendet (Art. 2 Abs. 1 Bst. c). Das ist die klassische Falle für Schweizer Betreiber. Beispiel: Eine Lausanner Treuhandgesellschaft lässt die Dossiers einer französischen Tochtergesellschaft durch KI auswerten. Das System läuft in der Schweiz, seine Ergebnisse werden jedoch in Frankreich genutzt. Die Verordnung gilt.

Dritter Fall: Ihr System bearbeitet oder beurteilt Personen in der EU, etwa Grenzgängerinnen und Grenzgänger als Bewerbende, europäische Kundinnen und Kunden oder Nutzende.

Umgekehrt bleibt ein KMU, dessen KI-Systeme nur Schweizer Kundschaft bedienen und deren Ergebnisse ausschliesslich in der Schweiz verwendet werden, für diese Nutzungen ausserhalb des Anwendungsbereichs der KI-Verordnung.

Die Falle von Artikel 25: der Nutzer, der zum Anbieter wird

Die Verordnung unterscheidet zwei Hauptrollen. Der Betreiber verwendet unter eigener Verantwortung ein gekauftes oder gemietetes KI-System: Das ist der häufigste Fall in KMU, etwa ein SaaS-Werkzeug (online zugängliche Software) oder das KI-Modul einer Branchensoftware. Der Anbieter hingegen entwickelt ein System und bringt es unter seinem Namen in Verkehr. Seine Pflichten sind deutlich schwerer.

Artikel 25 enthält eine oft übersehene Umqualifizierung. Wer seine Marke auf einem bestehenden KI-System anbringt, es wesentlich verändert oder seine Zweckbestimmung ändert, wird rechtlich zum Anbieter. Sämtliche Anbieterpflichten treffen dann Sie.

Konkretes Beispiel: Eine Webagentur, die einen Handels-Chatbot unter der eigenen Marke aufmacht und an ihre Kundschaft weiterverkauft, ist nicht mehr blosse Nutzerin, sondern Anbieterin im Sinne der Verordnung.

Die vier Risikostufen

Die KI-Verordnung stuft Verwendungen ein, nicht Technologien. Dasselbe Werkzeug kann in einem Kontext harmlos und in einem anderen streng reguliert sein.

Stufe 1: die verbotenen Praktiken (Art. 5). Namentlich Manipulation, Ausnutzung von Schwächen, soziale Bewertung, Emotionserkennung am Arbeitsplatz und in der Bildung. Diese Verbote gelten seit dem 2. Februar 2025. Die Sanktionen erreichen 35 Millionen Euro oder 7 % des weltweiten Umsatzes (Art. 99 Abs. 3).

Stufe 2: das hohe Risiko (Art. 6 und Anhang III). Es umfasst namentlich das Screening von Lebensläufen und die Beurteilung von Bewerbenden, die Kreditwürdigkeitsprüfung, die Tarifierung in der Lebens- oder Krankenversicherung, die Bildung und die Biometrie. Die Kategorie Beschäftigung und Personalwesen ist in KMU die häufigste.

Stufe 3: die Transparenzpflichten (Art. 50). Chatbots, KI-generierte Inhalte, Deepfakes und Emotionserkennung in rechtmässigen Fällen müssen den betroffenen Personen als solche kenntlich gemacht werden.

Stufe 4: das minimale Risiko. Das ist die grosse Mehrheit der Verwendungen, etwa die Unterstützung beim internen Verfassen von Texten oder die Übersetzung. Keine besonderen Pflichten über die freiwilligen guten Praktiken hinaus (Art. 95) — und über das Schweizer Datenschutzrecht.

Was wann geschuldet ist: der Kalender nach dem Digital Omnibus

Die Verordnung «Digital Omnibus KI» — Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026 — hat den ursprünglichen Kalender umgestellt. Diese Fristen sind zu merken.

Seit dem 2. Februar 2025: verbotene Praktiken (Art. 5) und Pflicht zur KI-Kompetenz des Personals (Art. 4), vom Omnibus zu einer Bemühungspflicht abgeschwächt.

2. August 2026: Transparenzpflichten von Artikel 50 — Chatbots, generierte Inhalte, Deepfakes. Seit diesem Datum anwendbar, da der Omnibus die Frist nicht verschoben hat.

2. Dezember 2026: neue Verbote (Erzeugung nicht einvernehmlicher intimer Bilder, Darstellungen sexuellen Kindsmissbrauchs) und Ende des Aufschubs der maschinenlesbaren Kennzeichnung für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.

2. Dezember 2027: vollständige Pflichten für das hohe Risiko nach Anhang III, vom Omnibus um sechzehn Monate verschoben. Das ursprüngliche Datum war der 2. August 2026 — für KMU ist dies die wichtigste Änderung.

2. August 2028: hohes Risiko nach Anhang I, also KI, die in bereits regulierte Produkte wie Maschinen, Spielzeug oder Medizinprodukte eingebettet ist.

Nicht betroffen? Ihre Schweizer Pflichten bleiben

Ausserhalb des Anwendungsbereichs der KI-Verordnung zu sein bedeutet nicht, von jeder Pflicht frei zu sein. Das Bundesgesetz über den Datenschutz (DSG), in Kraft seit September 2023, gilt für jede Bearbeitung von Personendaten, KI eingeschlossen: Das ist die Haltung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Transparenz (Art. 19 DSG), Sicherheit (Art. 8 DSG), Rechte der betroffenen Personen und Regeln zur automatisierten Einzelentscheidung (Art. 21 DSG) gelten für alle Schweizer Unternehmen.

Das Schweizer KI-Recht entsteht daneben. Die Schweiz hat die Rahmenkonvention des Europarats über KI im März 2025 unterzeichnet. Ein Vorentwurf wird bis Ende 2026 in die Vernehmlassung erwartet, mit einem sektoriellen Ansatz statt eines Querschnittsgesetzes. Die von der KI-Verordnung verbotenen Praktiken sind der beste Anhaltspunkt für die künftigen Schweizer roten Linien.

Womit anfangen

Drei konkrete Schritte. Zuerst inventarisieren Sie Ihre KI-Nutzungen, einschliesslich der in Ihre Branchensoftware eingebetteten KI-Funktionen. Danach stellen Sie für jede Nutzung die Frage nach dem EU-Bezug: Kundschaft, Ergebnisse, betroffene Personen. Schliesslich ordnen Sie die betroffenen Nutzungen den vier Risikostufen zu und notieren die anwendbare Frist.

Das kostenlose Werkzeug von AI-Karma, für Schweizer KMU entwickelt, ermöglicht diese Beurteilung in rund fünfzehn Minuten. Sein Klassifikationsmodul zur KI-Verordnung (/aiact) bildet die hier beschriebene Prüfung Frage für Frage nach und gibt die Pflichten und Fristen jedes Anwendungsfalls wieder.

Dies ist keine Rechtsberatung. Für komplexe Situationen — Anbieterrolle, hohes Risiko, regulierte Branche — lassen Sie Ihre Analyse von einer spezialisierten Rechtsberatung prüfen.

Häufige Fragen