Referenzrahmen v1 · Rechtsversion 2026-10-09

Methodik & Regulierungsrahmen

Der KarmaScore ist ein linear gewichtetes Modell, gewählt wegen seiner exakten Erklärbarkeit: Jeder Punkt des Gesamtscores lässt sich einem bestimmten Indikator zuordnen, und die Summe der 24 Beiträge ergibt wieder den Score. Keine Blackbox: Das wird bei jeder Änderung der Berechnungslogik durch einen reproduzierbaren Selbsttest überprüft.

Formel (Version Alpha)

Wert(Indikator) = Antwort ÷ 4 × 100 · Score(Dimension) = Mittelwert ihrer 6 Indikatoren · Gesamtscore = Σ Branchengewicht × Score(Dimension)

Schwelle des Labels «Swiss Ethical AI Inside»: 70/100. Eine nach Art. 5 der KI-Verordnung verbotene Praktik blockiert das Label unabhängig vom Score.

Der Geltungsbereich: was der Referenzrahmen abdeckt und was er bewusst auslässt

Kein Referenzrahmen deckt das gesamte Recht ab, und die gegenteilige Behauptung wäre der erste Grund, ihm zu misstrauen. Was ein ernsthafter Referenzrahmen leistet, ist: seinen Geltungsbereich abzustecken und innerhalb davon vollständig zu sein. Hier ist unserer, so geschrieben, dass das Fehlen eines Erlasses als Entscheidung lesbar wird und nicht als Versehen.

Im Geltungsbereich

Das Recht, das ein Schweizer KMU trifft, weil es KI-Systeme oder digitale Werkzeuge einsetzt, samt der Datenbearbeitung, die dieser Einsatz mit sich bringt.
Die Pflichten des Betreibers, also desjenigen, der ein System unter eigener Verantwortung verwendet: Das ist die Lage nahezu aller KMU.
Zuerst das Schweizer Recht, danach das europäische, soweit eine Verbindung zum Unionsmarkt es anwendbar macht.
Anerkannte gute Praxis dort, wo keine Pflicht besteht, als solche gekennzeichnet: Das gilt heute für den grössten Teil der Dimension Umwelt. Zwei Ausnahmen zwingenden Rechts, als solche ausgewiesen: das Lebensende der Geräte (VREG) und die Energieeffizienz des Materials, auch des für den Eigengebrauch erworbenen (EnEV).

Bewusst ausserhalb des Geltungsbereichs

Das allgemeine Unternehmensrecht: Steuern, Gesellschaftsrecht, Miete, Handelsverträge. Es kommt hier nur zum Tragen, wenn der Einsatz von KI es verändert.
Die Pflichten des Anbieters eines Hochrisiko-KI-Systems (Art. 8 bis 25 KI-Verordnung). Nahezu kein Schweizer KMU nimmt diese Rolle ein, und ihre Aufnahme würde die Fragen verwässern, die es wirklich betreffen.
Regime, die durch einen Schwellenwert grossen Unternehmen vorbehalten sind, darunter die Nachhaltigkeitsberichterstattung. Ein KMU mit zwanzig Mitarbeitenden untersteht ihnen nicht: ein Hinweis darauf wäre ein Fehlalarm.
Die technische Qualität und die Leistung der eingesetzten Modelle. Der Referenzrahmen bewertet Ihre Praxis, nicht Ihre Werkzeuge.

Und es ist kein Audit. Ein zwanzigminütiger Selbstauskunftsfragebogen verortet einen Reifegrad, er bescheinigt keine Konformität. Ein hoher Score ist keine Rechtsgarantie, und ein kritisches Signal ist keine Feststellung eines Verstosses: Es ist eine möglicherweise nicht abgedeckte Pflicht, die mit einer Juristin oder einem Juristen zu prüfen ist.

Was noch fehlt, und was wir nicht verschweigen: Die Gewichtungen variieren bereits nach Branchenfamilie, die angezeigten Rechtsgrundlagen dagegen sind für alle dieselben. Weder die regulierte Branche (Finanzsektor, Gesundheitswesen, öffentliche Auftragsarbeit) noch die Tatsachen, die ein besonderes Regime auslösen (Verbindung zur EU, Verkauf eines Softwareprodukts), lassen sie bislang variieren. Beide Ebenen sind in Arbeit; ihr Fehlen steht hier geschrieben statt verschwiegen zu werden.

Kritische Signale: was der Mittelwert nie ausgleicht

Ein additives Modell kann ein schweres Versäumnis hinter einem guten Gesamtscore verbergen. Der KarmaScore beantwortet diese bekannte Grenze mit nicht ausgleichbaren Signalen: 8 Indikatoren, die an eine gesetzliche Pflicht anknüpfen, werden, wenn sie auf Stufe 0 bleiben, neben dem Score ausgewiesen, am Bildschirm, in der heruntergeladenen Zusammenfassung und im per E-Mail versandten Bericht. Die Formulierung bleibt juristisch vorsichtig: Wir weisen auf eine möglicherweise nicht abgedeckte Pflicht hin, wir behaupten nie einen Verstoss.

Information der betroffenen PersonenDSG Art. 19–21 · KI-VO Art. 50
Rechte der betroffenen PersonenDSG Art. 25 · DSG Art. 25 Abs. 2 Bst. f · DSG Art. 32 · DSGVO Art. 15–22
Datenschutz-Folgenabschätzungen (DSFA)OR Art. 328b · DSG Art. 22–23 · DSGVO Art. 35 · DSG Art. 7
Anwendbarkeit und Einstufung nach der KI-VerordnungKI-VO Art. 2 · KI-VO Art. 5 · KI-VO Art. 50 · KI-VO Art. 6, 26 (ab dem 2. Dezember 2027) · Übereink. Europarat Rahmenübereinkommen KI
IT-GrundsicherheitDSG Art. 8 · DSG Art. 24 · DSV Art. 15 Abs. 4 · DSGVO Art. 32
Menschliche AufsichtArGV 3 Art. 26 · KI-VO Art. 14, 26(2) (ab dem 2. Dezember 2027) · DSG Art. 21
Kontrolle über KI-AnbieterURG Art. 2, 10 · DSG Art. 9, 16 · KI-VO Art. 25 (ab dem 2. Dezember 2027)
BeschwerdewegeKI-VO Art. 86 · KI-VO Art. 26(11) (ab dem 2. Dezember 2027) · DSG Art. 21 Abs. 2 · Rechtsprechung EuGH C-634/21 «SCHUFA»

Branchengewichtungen

Die vier Dimensionen werden nach Branchenfamilie gewichtet: Keine Achse überschreitet 40 % (Obergrenze gegen Überrepräsentation). Die Gewichte der Version 1 beruhen auf Fachurteil und werden anhand der Pilotdaten neu kalibriert.

Familie	T	C	E	S
Industrie & Energie	25%	25%	30%	20%
Digitale Infrastrukturen	25%	20%	35%	20%
Dienstleistungen & Finanzen	25%	35%	15%	25%
Digital & KI	35%	30%	15%	20%
Anderer Sektor	30%	30%	20%	20%

Warum diese Gewichtungen, Profil für Profil

Ausgangspunkt ist ein ausgewogenes Profil (T 30 · C 30 · E 20 · S 20). Jede Branchenfamilie verstärkt die Achse, auf der ihre tatsächliche Wirkung am grössten ist, ohne je die Obergrenze von 40 % zu überschreiten: Ein Score darf nie von einer einzigen Dimension beherrscht werden.

Industrie & Energie E erhöht (30 %): Der Fussabdruck dieser KMU entsteht zuerst über Energie, Maschinen und Hardware; dort wiegen ihre digitalen Entscheidungen am schwersten. C auf 25 % gesenkt: Ihre KI-Nutzungen bearbeiten im Alltag im Schnitt weniger Personendaten als Dienstleistungsbetriebe (industrielle Prozesse statt Kundendossiers); Compliance bleibt wesentlich, die relative Exposition ist geringer.
Digitale Infrastrukturen E auf 35 % angehoben, der höchste Wert der veröffentlichten Profile, ohne die Obergrenze zu erreichen: Bei diesen Unternehmen IST die digitale Infrastruktur das Produktionsmittel. Sie läuft rund um die Uhr, ihr Verbrauch und die Lebensdauer ihrer Hardware sind die Umweltfragen erster Ordnung, und genau diese Zahlen verlangen ihre dem Klimabericht unterstellten Kunden von ihnen. T bei 25 %: kritische Infrastruktur, also Verfügbarkeit, Überwachung und Incident-Management. C auf 20 % gesenkt: Diese Unternehmen sind meist Auftragsbearbeiter im Sinne von Art. 9 DSG und nicht Verantwortliche — die Exposition ist real, aber weniger dicht als im Finanzbereich. Wichtig zum Geltungsbereich: Die Dimension E misst den Fussabdruck des DIGITALEN, nicht die industriellen Emissionen. Dieses Profil richtet sich an Betreiber digitaler Infrastrukturen, nicht an grosse Emittenten im Allgemeinen.
Dienstleistungen & Finanzen C erhöht (35 %, nahe der Obergrenze): Personen- und Finanzdaten sind der Rohstoff des Geschäfts, die Branche ist am dichtesten reguliert (DSG, DSGVO, Berufsgeheimnis), und Anhang III der KI-Verordnung zielt zuerst auf sie (Kredit an Personen, Lebens- und Krankenversicherung, HR). S angehoben (25 %): KI-gestützte Entscheidungen betreffen dort unmittelbar Menschen. E gesenkt (15 %): im Wesentlichen tertiärer Fussabdruck, ohne schwere physische Prozesse.
Digital & KI T erhöht (35 %): Diese Unternehmen bauen oder integrieren die Systeme; Sicherheit, Erklärbarkeit, Aufsicht und Vorfallbewältigung sind der Kern ihrer Verantwortung, und Art. 25 der KI-Verordnung kann sie zu Anbietern machen. C bleibt aus demselben Grund hoch (30 %). E bei 15 %: Der Fussabdruck der Cloud ist real, bei gleicher Grösse aber geringer als jener der physischen Industrie.
Anderer Sektor Basisprofil ohne Branchenannahme: T und C zu gleichen Teilen (technische Beherrschung und Compliance sind die beiden universellen Sockel), E und S bei 20 %. Es ist der Ausgangspunkt, von dem die vier anderen Profile Akzentuierungen sind.

Sie bestreiten ein Gewicht? Das ist vorgesehen und erwünscht: Schreiben Sie an contact@ai-karma.ch mit Ihrem Argument. Begründete Einwände fliessen in eine datierte Fassung der Methodik ein und werden im Changelog vermerkt. Die Gewichte der Version 1 werden zudem anhand der realen Daten der Pilotunternehmen neu kalibriert: Das ist eine öffentliche Zusage, keine Absichtserklärung.

Regulatorischer Fristenplan

Revision vom 9. Oktober 2026: Das Profiling mit hohem Risiko löst die Datenschutz-Folgenabschätzung für sich allein aus. Art. 5 Bst. g DSG definiert es als Profiling, «das ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt»: Die Voraussetzung von Art. 22 Abs. 1 ist per Definition erfüllt, eine Lesart, die der EDÖB und der Onlinekommentar zu Art. 22 (N 15) teilen. Das Modul /aipd behandelt es nun als gesetzliche Qualifikation, getrennt von den beiden Vermutungen des Art. 22 Abs. 2; ein einzelner Beurteilungsfaktor verlangt einen begründeten Entscheid statt «nichts deutet auf ein hohes Risiko hin»; das einfache Profiling (Art. 5 Bst. f) wird Beurteilungsfaktor; und für das der DSGVO unterstellte Unternehmen wird Art. 35 Abs. 3 angewendet, der die Abschätzung bei automatisierten Entscheidungen auf Grundlage einer systematischen Bewertung zwingend macht. Die ausdrückliche Einwilligung nach Art. 6 Abs. 7 Bst. b wird nur erwähnt, wenn die Bearbeitung auf der Einwilligung beruht (Abs. 6). Texte auf Fedlex nachgelesen (DSG und DSV, Stand 1. September 2023). Kein Indikator, keine Gewichtung und keine Berechnung des Scores ändern sich. Revision vom 28. September 2026: zwei Zuordnungen nach erneuter Lektüre der geltenden Texte auf Fedlex berichtigt. Strafbestimmungen des DSG: Nur Art. 60 Abs. 1, Art. 61 und Art. 62 werden auf Antrag verfolgt; Art. 60 Abs. 2 (falsche Auskünfte an den EDÖB oder Verweigerung der Mitwirkung an seiner Untersuchung) und Art. 63 (Missachten von Verfügungen) werden von Amtes wegen verfolgt, und Art. 62 erfasst jede Person, nicht nur private Personen. Die als «auf Antrag» angezeigte Busse verweist nun auf Art. 60 Abs. 1 und nicht mehr auf den ganzen Artikel. Art. 328b OR: Der Wortlaut erfasst nur die Arbeitnehmenden; die für Bewerbende geltende Grenze stammt vom EDÖB, der nun als eigene Quelle zitiert wird. Weder Indikatoren noch Gewichte noch die Berechnung des Scores ändern sich. Revision vom 28. August 2026: Kohärenzdurchgang zwischen den 24 Indikatoren und den in den Vortagen ergänzten Rechtsgrundlagen. Drei Pflichten des harten Rechts waren referenziert, ohne von einer Frage gemessen zu werden: Art. 24 DSG und Art. 15 Abs. 4 DSV (jede Verletzung dokumentieren, dem EDÖB melden, wenn das Risiko hoch ist), Art. 7 DSG (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen) und Art. 5 der KI-Verordnung (verbotene Praktiken, seit dem 2. Februar 2025 in Kraft). Die betroffenen Fragen und Stufen wurden erweitert; Anzahl der Indikatoren, Gewichtungen und Berechnung des Scores bleiben unverändert. Revision vom 27. August 2026: Die Dimension E erhält ihre ersten harten Rechtsgrundlagen, in den konsolidierten Texten nachgelesen — Art. 5, 8 und 9 Abs. 3 VREG (SR 814.620, Rückgabe und Entsorgung von Geräten, Verbindung zum DSG für Datenträger) und Art. 4 Abs. 2 EnEV (SR 730.02, Mindestanforderungen an die Effizienz, die auch für beruflich selbst beschaffte Geräte gelten, Revision vom 27. Mai 2026). Messen und Reduzieren des Fussabdrucks bleiben freiwillig. Ergänzt wurden ausserdem die Rechtsgrundlagen der Lieferketten-Signale des Registers — Art. 9 DSG (Auftragsbearbeitung), Art. 16 und 17 (Bekanntgabe ins Ausland), Art. 6 Abs. 3 (Zweckbindung) und Art. 61 Bst. a und b (Busse bis 250 000 CHF, auf Antrag, gegen die natürliche Person) — sowie die durch einen Vorfall ausgelösten Pflichten: Art. 24 Abs. 1 und 4 DSG und Art. 26 Abs. 5 der KI-Verordnung (den Anbieter unverzüglich informieren und die Nutzung aussetzen), Letzterer nur bei hohem Risiko. Art. 73, oft fälschlich für Vorfallregister zitiert, richtet sich an ANBIETER von Hochrisikosystemen, nicht an ein KMU als Betreiber. Revision vom 26. August 2026: Ergänzung der schweizerischen Rechtsgrundlagen ausserhalb des DSG, nämlich Art. 328b OR (Daten von Arbeitnehmenden und Bewerbenden), Art. 26 ArGV 3 (Überwachung am Arbeitsplatz), Art. 3 GlG und Art. 8 BV (Nichtdiskriminierung bei der Anstellung), Art. 3 UWG (irreführende Angabe) und URG (Rechte an generativen Ausgaben). Stand der KI-Verordnung unverändert. Der Zeitplan wurde nach dem Inkrafttreten des «Digital Omnibus KI» festgelegt: Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt der EU am 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Die Kommission hat ihre definitiven Leitlinien zu Art. 50 am 20. Juli 2026 veröffentlicht; der Verhaltenskodex zur Transparenz KI-generierter Inhalte wurde von der Kommission und vom KI-Ausschuss als angemessen beurteilt und zählte Ende Juli 2026 rund 190 unterzeichnende Organisationen. Am 31. Juli 2026 hat die Kommission den Beginn der Anwendung der Transparenzpflichten auf den 2. August bestätigt. Nächste zu beobachtende Meilensteine: Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung am 2. Dezember 2026, Vorentwurf eines Schweizer KI-Gesetzes bis Ende 2026 erwartet, Inkrafttreten des Rahmenübereinkommens des Europarats über KI.

Was sich vor dieser Prüfung geändert hat, Prüfung für Prüfung und datiert: das Beobachtungsregister.

2.2.2025In KraftEU
KI-Verordnung — verbotene Praktiken und KI-Kompetenz
Art. 5 (Manipulation, Ausnutzung von Schutzbedürftigkeit, Social Scoring, Emotionserkennung am Arbeitsplatz und in der Bildung usw.) und Art. 4 (KI-Kompetenz, durch den Omnibus zu einer Bemühenspflicht gelockert). Sanktionen bis zu 35 Mio. EUR oder 7 % des weltweiten Umsatzes für verbotene Praktiken.
2.8.2025In KraftEU
KI-Verordnung — KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und Governance
Pflichten der Anbieter von GPAI (Kap. V), Einrichtung der Behörden und der nationalen Sanktionsregelung.
2.8.2026In KraftEU
KI-Verordnung — Transparenz (Art. 50)
Information der Personen, die mit einem Chatbot interagieren, Kennzeichnung generierter Inhalte, Kennzeichnung von Deepfakes, Information bei Emotionserkennung oder biometrischer Kategorisierung. Gilt für Anbieter und Betreiber, auch schweizerische, sobald die Ausgabe in der EU genutzt wird. Sanktionen bis zu 15 Mio. EUR oder 3 % des weltweiten Umsatzes (Art. 99(4)). Anwendbar seit dem 2. August 2026. Nuance: Die maschinenlesbare Kennzeichnung (Art. 50(2)) generativer Systeme, die VOR dem 2. August 2026 in Verkehr gebracht wurden, hat eine Übergangsfrist bis zum 2. Dezember 2026; die Pflichten zu Chatbots und Deepfakes gelten dagegen seit dem 2. August. Anwendungshinweise: definitive Leitlinien der Kommission zu Art. 50 (20. Juli 2026) und Verhaltenskodex zur Transparenz KI-generierter Inhalte, offen für Anbieter wie für Betreiber nach Art. 50(2), (4) und (5), unabhängig vom Sitz (rund 190 unterzeichnende Organisationen Ende Juli 2026). Für ein KMU ist die Sanktionsobergrenze zusammen mit Art. 99(6) zu lesen: Es gilt der NIEDRIGERE der beiden Beträge, und der Omnibus hat diese Regelung auf kleine mittelständische Unternehmen ausgedehnt und den Weg zu Verwarnungen und nicht finanziellen Massnahmen geöffnet.
2.12.2026BevorstehendEU
KI-Verordnung — neue Verbote und Ende der Kennzeichnungsfrist
Neue Verbote nach Art. 5 (Generatoren nicht einvernehmlicher intimer Bilder, CSAM); Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung (Art. 50(2)) generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.
31.12.2026BevorstehendSchweiz
Schweiz — Vorentwurf eines KI-Gesetzes erwartet
Umsetzung des Rahmenübereinkommens des Europarats über KI (im März 2025 unterzeichnet): Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht. Vernehmlassung bis Ende 2026 erwartet; erste Gesetzesänderungen frühestens 2027. Sektorieller Ansatz, kein Querschnittsgesetz.
2.12.2027BevorstehendEU
KI-Verordnung — Pflichten für hohes Risiko nach Anhang III (durch den Omnibus VERSCHOBEN)
Eigenständige Systeme der Bereiche von Anhang III (Rekrutierung und HR, Kredit, Tarifierung in der Lebens- und Krankenversicherung, Bildung, Biometrie, wesentliche Dienstleistungen usw.): vollständige Pflichten der Anbieter und der Betreiber (Art. 26: kompetente menschliche Aufsicht, Kontrolle der Eingabedaten, Protokolle mindestens 6 Monate, Information der Arbeitnehmenden und der betroffenen Personen usw.). Ursprüngliches Datum vom 2. August 2026 um 16 Monate verschoben.
2.8.2028BevorstehendEU
KI-Verordnung — hohes Risiko nach Anhang I (KI in regulierten Produkten)
Maschinen, Medizinprodukte, Spielzeug usw., die KI enthalten und den sektoriellen Produktvorschriften unterliegen.

Ob die KI-Verordnung auf Ihr Unternehmen anwendbar ist, hängt von Ihrer Verbindung zum EU-Markt ab: prüfen Sie das Anwendungsfall für Anwendungsfall.

Die 24 Indikatoren und ihre Rechtsgrundlagen

Jeder Indikator ist mit den Texten verknüpft, die ihn begründen: Orientierungspunkte, keine Rechtsberatung. Die Dimension E bleibt im Wesentlichen freiwillig: Kein Gesetz verpflichtet ein Schweizer KMU, seinen digitalen Fussabdruck zu messen oder zu senken. Zwei echte Pflichten bilden die Ausnahme, und die Tabelle führt sie auf: die Rückgabe und Entsorgung der Geräte am Lebensende (VREG) und die Mindestanforderungen an die Energieeffizienz, die auch für das für den Eigengebrauch erworbene Material gelten (EnEV Art. 4 Abs. 2).

T · Technologie

Indikator	Rechtliche Orientierungspunkte	ISO/IEC 42001
Inventar der KI- und Digitalsysteme	KI-VO Art. 26 (ab dem 2. Dezember 2027) · Gute Praxis ISO/IEC 42001seine Systeme zu kennen ist die Voraussetzung der Betreiberpflichten · Inventar der KI-Systeme	A.4 — Ressourcen für KI-Systeme
Erklärbarkeit automatisierter Entscheidungen	DSG Art. 25 Abs. 2 Bst. f · KI-VO Art. 13, 26 (ab dem 2. Dezember 2027) · DSG Art. 21 · Rechtsprechung EuGH C-634/21 «SCHUFA»Recht auf Auskunft über «die Logik, auf der die Entscheidung beruht»: das einzige Recht auf Erklärung, das heute in der Schweiz gilt, ohne Bedingung eines EU-Bezugs · Betriebsanleitung und Verständnis des Systems · automatisierte Einzelentscheidung: Information und Stellungnahme der Person · wenn die DSGVO gilt: Ein von einem Dritten verwendeter Score ist bereits eine automatisierte Entscheidung; seine Logik muss verständlich erklärt werden (C-203/22)	A.8 — Information interessierter Parteien
IT-Grundsicherheit	DSG Art. 8 · DSG Art. 24 · DSV Art. 15 Abs. 4 · DSGVO Art. 32dem Risiko angemessene Sicherheit; die Verletzung der Mindestanforderungen wird strafrechtlich mit bis zu 250 000 CHF gegen die verantwortliche natürliche Person sanktioniert (Art. 61) · Meldung von Verletzungen an den EDÖB «so rasch als möglich» bei hohem Risiko · ALLE Verletzungen dokumentieren, auch die nicht gemeldeten, und die Dokumentation zwei Jahre aufbewahren · wenn die DSGVO gilt	§6 — Planung (mit ISO/IEC 27001)
Datengovernance	OR Art. 328b · DSG Art. 6, 8 · KI-VO Art. 26(4) (ab dem 2. Dezember 2027) · DSG Art. 7 Abs. 3 · EDÖB «Verschiedene Phasen des Arbeitsverhältnisses»Daten der Arbeitnehmenden: nur, was ihre Eignung für das Arbeitsverhältnis betrifft oder zur Durchführung des Arbeitsvertrags erforderlich ist · Richtigkeit und Sicherheit · Kontrolle der Eingabedaten (Betreiber mit hohem Risiko) · Voreinstellungen: standardmässig muss die Bearbeitung auf das für den Zweck erforderliche Mindestmass beschränkt sein — was die Werkseinstellung eines Werkzeugs selten einhält · Bewerbende: nicht der Wortlaut von Art. 328b OR, der nur die Arbeitnehmenden erfasst, sondern die Haltung des EDÖB: Arbeitgeber dürfen Daten von Bewerberinnen und Bewerbern bearbeiten, «um herauszufinden, ob sie für eine bestimmte Stelle geeignet sind»	A.7 — Daten für KI-Systeme
Menschliche Aufsicht	ArGV 3 Art. 26 · KI-VO Art. 14, 26(2) (ab dem 2. Dezember 2027) · DSG Art. 21Verbot von Systemen, die dazu BESTIMMT sind, das Verhalten der Arbeitnehmenden am Arbeitsplatz zu überwachen; Überwachung aus anderen Gründen bleibt möglich, wenn sie verhältnismässig ist · menschliche Aufsicht durch kompetente Personen · Recht auf ein Eingreifen eines Menschen	A.9 — verantwortungsvolle Nutzung
Kontrolle über KI-Anbieter	URG Art. 2, 10 · DSG Art. 9, 16 · KI-VO Art. 25 (ab dem 2. Dezember 2027)generative Nutzungen: in den Bedingungen des Anbieters prüfen, wem die Rechte an den Ausgaben und am Eingegebenen zustehen · Auftragsbearbeitung und Bekanntgabe von Daten ins Ausland · wer ein KI-System umetikettiert oder wesentlich verändert, wird zum Anbieter	A.10 — Beziehungen zu Dritten

C · Compliance

Indikator	Rechtliche Orientierungspunkte	ISO/IEC 42001
Verzeichnis der Bearbeitungstätigkeiten	DSG Art. 12 Abs. 5 · DSV Art. 24 · DSGVO Art. 30Ausnahme unter 250 Mitarbeitenden, ausser bei Bearbeitungen mit hohem Risiko · präzisiert die Ausnahme: weniger als 250 Mitarbeitende UND geringes Risiko einer Persönlichkeitsverletzung · deutlich engere Ausnahme, wenn die DSGVO gilt	§7.5 — dokumentierte Informationen
Information der betroffenen Personen	DSG Art. 19–21 · KI-VO Art. 50Hinweis auf KI-Interaktionen — seit dem 2. August 2026	A.8 — Information interessierter Parteien
Datenschutz-Folgenabschätzungen (DSFA)	OR Art. 328b · DSG Art. 22–23 · DSGVO Art. 35 · DSG Art. 7im HR-Kontext beurteilt sich die Rechtmässigkeit der Bearbeitung von Daten der Arbeitnehmenden zuerst hier, vor der Folgenabschätzung · Folgenabschätzung bei hohem Risiko; Konsultation des EDÖB · wenn die DSGVO gilt · Datenschutz durch Technikgestaltung: die Massnahmen werden bei der Konzeption der Bearbeitung festgelegt, nicht danach	A.5 — Folgenabschätzungen
Anwendbarkeit und Einstufung nach der KI-Verordnung	KI-VO Art. 2 · KI-VO Art. 5 · KI-VO Art. 50 · KI-VO Art. 6, 26 (ab dem 2. Dezember 2027) · Übereink. Europarat Rahmenübereinkommen KIräumlicher Geltungsbereich: ohne Bezug zum Unionsmarkt findet die Verordnung keine Anwendung · verbotene Praktiken — insbesondere Emotionserkennung am Arbeitsplatz: seit dem 2. Februar 2025 in Kraft, keine Frist mehr abzuwarten · Transparenz: Chatbots, erzeugte Inhalte, Deepfakes · Einstufung als hochriskant und Pflichten des Betreibers · künftige Grundlage des Schweizer Rechts (Vorentwurf Ende 2026)	§4 — Kontext · A.2 — KI-Politik
Rechte der betroffenen Personen	DSG Art. 25 · DSG Art. 25 Abs. 2 Bst. f · DSG Art. 32 · DSGVO Art. 15–22Auskunftsrecht; übliche Frist von 30 Tagen · die Auskunft muss das Bestehen einer automatisierten Einzelentscheidung und die Logik nennen, auf der sie beruht · Berichtigung, Löschung und weitere Ansprüche · wenn die DSGVO gilt	A.8 — Information interessierter Parteien
Schulung der Mitarbeitenden	KI-VO Art. 4 · DSG Art. 8KI-Kompetenz — Bemühenspflicht seit Feb. 2025 · organisatorische Massnahmen	§7.2 — Kompetenz

E · Umwelt

Indikator	Rechtliche Orientierungspunkte	ISO/IEC 42001
Hosting mit geringem Fussabdruck	Gute Praxis digitale GenügsamkeitBegriff im französischen Sprachraum durch The Shift Project geprägt, Bericht «Lean ICT — Pour une sobriété numérique» (2018), fortgeführt durch «Déployer la sobriété numérique» (2020)	—
Messung des digitalen Fussabdrucks	Gute Praxis digitale Klimabilanzkeine direkte Pflicht für ein KMU; zunehmend von grossen Auftraggebern verlangt, die dem Klimabericht unterstehen. Bilan Carbone ist eine eingetragene Methode, 2004 bei der ADEME entstanden und seit 2011 von der Association pour la transition Bas Carbone verwaltet, kein Gattungsbegriff	—
Lebenszyklus der Hardware	VREG Art. 5 · VREG Art. 9 Abs. 3 · VREG Art. 8 · Gute Praxis IT-KreislaufwirtschaftPflicht, jedes Gerät, dessen man sich entledigt, einem Händler, einem Hersteller oder einem Entsorgungsunternehmen zurückzugeben; die Rücknahme ist unentgeltlich (Art. 6) · was nicht zurückgegeben werden kann, ist auf Kosten des Inhabers nach den Anforderungen von Art. 10 zu entsorgen · übergebene Datenträger bleiben dem DSG unterstellt: Das Lebensende der Geräte ist auch eine Frage des Datenschutzes · Verlängerung der Rückgabepflicht der VREG; in der Schweiz wird die Branche durch die über die vorgezogene Recyclinggebühr finanzierten Rücknahmesysteme organisiert	—
Digitale Suffizienz	Gute Praxis digitale GenügsamkeitThe Shift Project, «Lean ICT — Pour une sobriété numérique» (2018); der Teil zu Rechenzentrums- und KI-Infrastrukturen ist Gegenstand separater Arbeiten desselben Thinktanks	—
Verantwortungsvolle IT-Beschaffung	EnEV Art. 4 Abs. 2 · Gute Praxis verantwortungsvolle Beschaffungdie Mindestanforderungen an die Effizienz gelten auch für Geräte, die «für den Eigengebrauch im gewerblichen Umfeld» erworben werden: Das KMU, das sein Material selbst einführt, entgeht ihnen nicht	—
Reduktionsziele	Gute Praxis verfolgte Klimazielenationaler Rahmen: Netto-Null-Ziel 2050 (Klima- und Innovationsgesetz); keine Pflicht zu einem bezifferten Ziel für ein KMU	—

S · Gesellschaft

Indikator	Rechtliche Orientierungspunkte	ISO/IEC 42001
Digitale Barrierefreiheit	Gute Praxis WCAG 2.1 AAin bestimmten EU-Sektoren obligatorisch (European Accessibility Act)	A.9 — verantwortungsvolle Nutzung
Vermeidung von Verzerrungen (Bias)	KI-VO Art. 10, 26 (ab dem 2. Dezember 2027) · GlG Art. 3 · BV Art. 8 · Übereink. Europarat NichtdiskriminierungDaten-Governance und Aufsicht (hohes Risiko) · Verbot der Diskriminierung bei der Anstellung, namentlich aufgrund des Geschlechts — gilt für die automatisierte Vorauswahl von Bewerbungen · Gleichheit und Diskriminierungsverbot	A.5 / A.7 — Folgen und Daten (Verzerrungen)
Transparenz über den KI-Einsatz	KI-VO Art. 50 · UWG Art. 3 Abs. 1 Bst. b · DSG Art. 19Chatbots, generierte Inhalte, Deepfakes — seit dem 2. August 2026 · Schweizer Recht: den Eindruck eines menschlichen Gegenübers zu erwecken oder eine KI unzutreffend anzupreisen, ist eine irreführende Angabe · Transparenz der Bearbeitungen	A.8 — Information interessierter Parteien
Auswirkungen auf Beschäftigung und Kompetenzen	OR Art. 328b · ArGV 3 Art. 26 · KI-VO Art. 26(7) (ab dem 2. Dezember 2027) · KI-VO Art. 4 · EDÖB «Verschiedene Phasen des Arbeitsverhältnisses»Grenze der Bearbeitung von Daten der Arbeitnehmenden · Systeme zur Überwachung des Verhaltens am Arbeitsplatz · vorgängige Information der Arbeitnehmenden und ihrer Vertretung (hohes Risiko) · KI-Kompetenz des Personals · Bewerbende: dieselbe Grenze der Eignung für die Stelle, gezogen vom EDÖB und nicht vom Wortlaut von Art. 328b OR	§7.2 — Kompetenz · A.3 — Rollen
Inklusion und Diversität	Übereink. Europarat Gleichstellung und Nichtdiskriminierung	A.5 — Folgenabschätzungen
Beschwerdewege	KI-VO Art. 86 · KI-VO Art. 26(11) (ab dem 2. Dezember 2027) · DSG Art. 21 Abs. 2 · Rechtsprechung EuGH C-634/21 «SCHUFA»Recht auf Erklärung einer Einzelentscheidung, die auf einem System des Anhangs III beruht · Information der Personen, über die mithilfe des Systems entschieden wird · Recht, den eigenen Standpunkt darzulegen und eine menschliche Überprüfung zu verlangen · wenn die DSGVO gilt: Das Scoring selbst kann die Entscheidung darstellen	A.8 / A.9 — Information und verantwortungsvolle Nutzung

Eingestandene Grenzen der Version Alpha

Synthetischer Benchmark Das Panel von 36 KMU ist fiktiv, mit festen und dokumentierten Werten; es wird durch die realen Daten der Pilotunternehmen ersetzt.
Selbstdeklaration Der Score spiegelt die gegebenen Antworten. Die Stufe «Auditiert» des Labels (Prüfung der Aufrichtigkeit durch Dritte) ist in der Governance des Labels beschrieben.
Gewichte der Version 1 durch Fachurteil festgelegt noch nicht auf Daten kalibriert: Die lineare Struktur macht diese künftige Kalibrierung transparent und überprüfbar.
Rechtliche Orientierungspunkte, keine Rechtsberatung Rechtsversion 2026-10-09, bei jedem Meilenstein aktualisiert (Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung am 2. Dezember 2026, Schweizer Vorentwurf Ende 2026, Inkrafttreten des Übereinkommens des Europarats).

Die vollständigen Einzelheiten (wissenschaftliche Begründung, Invarianten des Selbsttests, Governance der Gewichte und des Labels) sind in Dokumenten festgehalten, die mit dem Code versioniert sind (METHODOLOGY.md, LABEL_GOVERNANCE.md) und bislang nicht öffentlich sind: Diese Seite gibt das Wesentliche daraus wieder.