Gilt die KI-Verordnung der EU in der Schweiz?

Was die Schweiz entschieden hat und was nicht

Am 12. Februar 2025 hat der Bundesrat die Richtung der Schweiz festgelegt: kein schweizerisches Gegenstück zur umfassenden KI-Verordnung der EU; Beitritt zur KI-Konvention des Europarats (Rahmenübereinkommen über künstliche Intelligenz, SEV Nr. 225), welche die Schweiz am 27. März 2025 unterzeichnet hat und die der Bundesrat ratifizieren will, wobei die Ratifikation der Genehmigung durch das Parlament bedarf; und Gesetzesanpassungen, die möglichst sektorbezogen ausfallen sollen, wobei sich allgemeine, sektorübergreifende Regeln auf zentrale grundrechtsrelevante Bereiche wie den Datenschutz beschränken und rechtlich nicht verbindliche Massnahmen wie Selbstdeklarationsvereinbarungen oder Branchenlösungen hinzukommen. Eine Vernehmlassungsvorlage zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht soll bis Ende 2026 vorliegen.

Der Auftrag liegt beim Eidgenössischen Justiz- und Polizeidepartement (EJPD), in Zusammenarbeit mit dem UVEK, in dem das Bundesamt für Kommunikation (BAKOM) das Fachdossier führt, und mit dem Eidgenössischen Departement für auswärtige Angelegenheiten (EDA). Erklärte Ziele sind Innovation, der Schutz der Grundrechte einschliesslich der Wirtschaftsfreiheit und das Vertrauen der Bevölkerung. Die Methode entspricht dem Vorgehen der Schweiz im Kryptobereich: ins bestehende Recht einordnen, wo nötig anpassen, auf eine Kodifikation verzichten. Für Unternehmen heisst das: Das Schweizer Regelwerk wird weitgehend in Einzelteilen und nach Sektoren kommen, mit einem sektorübergreifenden Kern in den grundrechtsrelevanten Bereichen, und die bis Ende 2026 vorgesehene Vernehmlassungsvorlage ist der Teil, den es bis und mit 2027 zu verfolgen gilt.

Wo die KI-Verordnung der EU in die Schweiz hineinwirkt

Der Anwendungsbereich der Verordnung (EU) 2024/1689 richtet sich danach, wo KI auf den Markt kommt und wo ihre Ausgabe verwendet wird; ein Sitz in der Schweiz nimmt ein Unternehmen nicht davon aus. Die Fragen und Antworten der Kommission zu KI-Modellen mit allgemeinem Verwendungszweck halten dies für Anbieter solcher Modelle aus Drittländern fest. In der Praxis zählen vier Anknüpfungspunkte. Die ersten beiden sind Kriterien des Anwendungsbereichs nach Art. 2 Abs. 1 der Verordnung; der dritte und der vierte sind praktische und vertragliche Wege, auf denen die Standards der Verordnung ein Unternehmen erreichen, das ausserhalb ihres unmittelbaren Anwendungsbereichs liegt.

Inverkehrbringen in der EU: Ein Schweizer Unternehmen, das KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck in der EU in Verkehr bringt oder dort ein KI-System in Betrieb nimmt, auch zum Eigengebrauch in der EU, fällt unter die Verordnung. Welche Pflichten daraus folgen, hängt von seiner Rolle ab (Anbieter nach Art. 3 Nr. 3 oder, wo es lediglich das System eines anderen bereitstellt, Händler) und davon, was es liefert: bei einem Hochrisiko-KI-System die Anforderungen an solche Systeme; die Transparenzpflichten, die wir in unserem Update zu Art. 50 behandelt haben, wenn das System Inhalte erzeugt oder mit Menschen interagiert; oder bei einem KI-Modell mit allgemeinem Verwendungszweck die Modellpflichten des Kapitels V. Auch die Regeln für Drittländer sind spezifisch: Einen in der Union niedergelassenen Bevollmächtigten müssen in Drittländern niedergelassene Anbieter von Hochrisiko-KI-Systemen (Art. 22, nach dem Zeitplan für Hochrisiko-KI-Systeme) und von KI-Modellen mit allgemeinem Verwendungszweck (Art. 54, anwendbar seit dem 2. August 2025, mit einer Ausnahme für quelloffene Modelle, die kein systemisches Risiko bergen) benennen; eine allgemeine Pflicht zur Benennung eines Bevollmächtigten für jeden Schweizer Lieferanten von KI besteht nicht.

Verwendung der Ausgabe in der EU: der Anknüpfungspunkt, der am leichtesten übersehen wird. Ein Modell kann vollständig auf Infrastruktur in Zürich laufen; wird die Ausgabe des Systems in der EU verwendet (Scores, die an Kunden in der EU geliefert werden, Inhalte für ein Publikum in der EU, Entscheidungen, die Nutzerinnen und Nutzer in der EU betreffen), gilt die Verordnung nach Art. 2 Abs. 1 Buchst. c für den Schweizer Anbieter oder Betreiber. Wer von der Schweiz aus Kunden in der EU bedient, muss dies deshalb System für System prüfen: Massgebend ist die Verwendung der Ausgabe des Systems in der Union; dass ein Kunde in der EU sitzt, entscheidet die Frage weder in die eine noch in die andere Richtung.

Gruppenstruktur: Tochtergesellschaften in der EU, die KI-Tools der Gruppe einsetzen, tragen die Betreiberpflichten vor Ort; in der Praxis hebt das die KI-Governance der Gruppe auf den EU-Standard, dieselbe Dynamik, die wir für AML und DORA beschrieben haben. Stellung in der Wertschöpfungskette: Ein Schweizer Lieferant von Modellen oder KI-Komponenten an Anbieter in der EU begegnet der Verordnung über die Pflichten und Verträge seiner Kunden, unabhängig davon, ob er selbst in den Anwendungsbereich fällt. Ein Unternehmen ohne jede dieser Verbindungen (KI in der Schweiz, Kunden in der Schweiz, Verwendung der Ausgabe in der Schweiz) steht ausserhalb der EU-Verordnung; ein Unternehmen, dessen einzige Verbindung eine Gruppengesellschaft oder eine Stellung in der Wertschöpfungskette ist, liegt ausserhalb ihres unmittelbaren Anwendungsbereichs, auch wenn die Standards der Verordnung es auf diesen Wegen dennoch erreichen werden.

Der Anwendungsbereich ist die eine Frage, der Zeitplan die andere. Nach dem Stand dieses Updates gelten die Verbote und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (für ein Modell, das vor dem 2. August 2025 in Verkehr gebracht wurde, läuft die Frist bis zum 2. August 2027); Art. 50 gilt seit dem 2. August 2026, wobei die Kennzeichnungspflicht nach Art. 50 Abs. 2 für bereits in Verkehr gebrachte Systeme auf den 2. Dezember 2026 aufgeschoben ist; und die Anforderungen an Hochrisiko-KI-Systeme gelten, samt den zugehörigen Betreiberpflichten, nach der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.

Die Schweizer Ebene, die ohnehin gilt

Das Schweizer Recht gilt unabhängig davon, ob die EU-Verordnung anwendbar ist. Drei schweizerische Quellen sind heute massgebend. Das DSG gilt für jeden KI-Einsatz, der Personendaten berührt: Transparenz gegenüber den betroffenen Personen, die Bestimmungen über automatisierte Einzelentscheidungen, Datensicherheit und die Prüfung der Bekanntgabe ins Ausland bei im Ausland gehosteten Tools, dieselbe Architekturfrage, die wir für chinesische Modelle untersucht haben. Für beaufsichtigte Finanzinstitute hat die FINMA ihre Haltung ausdrücklich festgehalten: In der Aufsichtsmitteilung 08/2024 erwartet sie von Instituten, die KI einsetzen, dass diese die Auswirkungen auf ihr Risikoprofil beurteilen und Governance, Risikomanagement und Kontrollen entsprechend ausrichten; sie nennt Modellrisiken, Datenqualität, die Abhängigkeit von Drittparteien und Erklärbarkeit, und das KI-Dossier der FINMA verfolgt die sich entwickelnde Aufsichtspraxis. Und das allgemeine Recht (Vertrag, Haftung, unlauterer Wettbewerb, Arbeitsrecht, Diskriminierung) gilt für KI-gestütztes Verhalten genauso wie für jedes andere Verhalten; die Umsetzung der Konvention wird dies schärfen, sobald sie erlassen ist. Die bis Ende 2026 vorgesehene Vernehmlassungsvorlage ist die erste von mehreren Etappen (Vernehmlassung, Botschaft, Parlament und Referendumsfrist), bevor ein neues Gesetz verbindlich wird; was heute in Weisungen und Verträgen festgelegt wird, sollte mit Blick darauf formuliert werden.

Ein Governance-Rahmen für beide Regime

Für die meisten Schweizer Unternehmen mit irgendeinem EU-Bezug lautet die praktische Schlussfolgerung: Sie werden für einen wesentlichen Teil Ihres KI-Bestands den EU-Standard einhalten, weil die Anknüpfungspunkte Ihr auf die EU ausgerichtetes Geschäft, Ihre Gruppengesellschaften oder die Erwartungen Ihrer Kunden erfassen und weil zwei nebeneinander geführte KI-Governance-Regime mehr kosten als eines. Vertretbar ist ein einziger Rahmen (Inventar, Risikoklassifizierung, menschliche Aufsicht, Transparenz, Dokumentation), der dort auf die EU-Verordnung abgebildet wird, wo sie gilt, und dort, wo sie nicht gilt, nach dem DSG, den Erwartungen der FINMA und, zu gegebener Zeit, der Umsetzung der Konvention dargestellt wird. Der Schweizer Vorteil liegt in der Abfolge und der Verhältnismässigkeit: kein Konformitätsapparat für Hochrisiko-KI-Systeme bei rein inländischen Anwendungen, eine schlankere Dokumentation, wo kein Anknüpfungspunkt besteht, und die Freiheit, Kontrollen auf EU-Niveau gezielt zu übernehmen. Diese Wahl bleibt erhalten, wenn die Anknüpfungspunkte jetzt erfasst werden; unterbleibt das, kommt der EU-Standard meist trotzdem, mit der nächsten Vertragsverlängerung des grössten Kunden.

Was das für Sie bedeutet

• Prüfen Sie Ihr KI-Inventar anhand der vier Anknüpfungspunkte. Inverkehrbringen, in der EU verwendete Ausgabe, Gruppengesellschaften, Stellung in der Wertschöpfungskette: Jedes System erhält schriftlich ein Ja oder ein Nein. Der Anknüpfungspunkt der Ausgabe verlangt die grösste Sorgfalt, denn wenn Sie von Zürich aus Kunden in der EU bedienen, kann die Verordnung für Sie gelten, sofern die Ausgabe Ihres Systems in der EU verwendet wird; prüfen Sie dies für jedes System, und gestalten oder begrenzen Sie die Dienstleistung danach bewusst.
• Beaufsichtigte: Reagieren Sie jetzt auf die FINMA-Aufsichtsmitteilung 08/2024. Governance, die Beurteilung des Risikoprofils und Kontrollen für den KI-Einsatz werden bereits erwartet.
• Bauen Sie einen einzigen Rahmen auf. Eine verhältnismässig angewandte Governance auf EU-Niveau lässt sich leichter vertreten als parallele Regime oder Improvisation.
• Verfolgen Sie die bis Ende 2026 vorgesehene Vernehmlassungsvorlage. Die Entwürfe der Regeln zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht werden 2026 ausgearbeitet und durchlaufen danach noch die Vernehmlassung und das Parlament; das ist der Zeitpunkt, die Weisungen ein einziges Mal anzupassen.

Isak Legal berät Schweizer und internationale Unternehmen zur KI-Governance nach dem Recht der EU und der Schweiz, zur Analyse der Anknüpfungspunkte, zu Weisungen für den KI-Einsatz und zu Lieferantenverträgen. Mehr dazu auf unseren Seiten KI, Daten & Technologie und Die Schweiz als Standort, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 26. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die schweizerische Umsetzung der Konvention des Europarats ist in Vorbereitung, und die Auslegungshilfen der EU entwickeln sich weiter; prüfen Sie den aktuellen Stand anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.