EU AI Act: Auswirkungen des EU AI Acts auf Schweizer KMU
Marco S. Meier
Marco S. Meier, RA, MLaw, CIPP/E, Informatiker EFZ ist Partner bei Binder Legal KLG. Seine Tätigkeitsschwerpunkte liegen im Datenschutz- und IT-Recht sowie in technologiebezogenen Compliance-Fragen.
Passende Arbeitshilfen
Der EU AI Act und seine Anwendbarkeit für Schweizer KMU
Die KI-Verordnung der EU («EU AI Act») bringt erstmals ein verbindliches Regelwerk für den Einsatz von KI und verfolgt dabei einen risikobasierten Ansatz. So teilt der EU AI Act Systeme, die KI integrieren, in verschiedene Risikoklassen ein. Je nach potenzieller Auswirkung des KI-Systems auf Sicherheit, Grundrechte und Gesellschaft gilt es unterschiedliche Pflichten und Anforderungen einzuhalten.
Mit dem Inkrafttreten des EU AI Acts am 1. August 2024 wurde der weltweit erste umfassende Rechtsrahmen für KI geschaffen. Infolge des sog. AI Omnibus sind die meisten Normen des EU AI Acts, statt wie ursprünglich geplant ab dem 2. August 2026, nun wohl erst ab dem 2. Dezember 2027 anwendbar.
Viele Schweizer Unternehmen fragen sich aktuell, ob sie der EU AI Act überhaupt betrifft. Der EU AI Act gilt nicht nur für Unternehmen innerhalb der EU. Vielmehr werden auch Akteure ausserhalb der EU, wie beispielsweise Schweizer Unternehmen, erfasst, sofern sie ein KI-System in der EU in Verkehr bringen, bereitstellen oder betreiben oder wenn Menschen in der EU von der Verwendung eines solchen KI-Systems betroffen sind. Das sogenannte Auswirkungsprinzip sorgt dafür, dass die Vorschriften extraterritoriale Wirkung entfalten, ähnlich wie bei der DSGVO.
Konkret bedeutet dies für Schweizer Unternehmen, dass der EU AI Act insbesondere anwendbar ist, wenn das Unternehmen Anbieter eines KI-Systems ist, welches in der EU in Verkehr gebracht oder in Betrieb genommen wird, oder wenn es sog. Betreiber eines KI-Systems ist, dessen Output in der EU verwendet wird (zu den Begriffen siehe sogleich).
Auch wenn der EU AI Act für ein Schweizer Unternehmen nicht unmittelbar gilt, kann er indirekt wirken, etwa wenn Vertragspartner in der EU die Einhaltung des EU AI Acts vertraglich einfordern. Wichtig zu wissen ist zudem, welche Rolle das eigene Unternehmen nach dem EU AI Act einnimmt. Als Anbieter gilt, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke erstmalig auf dem EU-Markt bereitstellt. Als Betreiber gilt, wer ein KI-System in eigener Verantwortung verwendet. Die Pflichten des EU AI Act sind eng mit dieser Rolle verknüpft.
Typische Beispiele für Schweizer KMU:
- Ein Produktionsbetrieb, der eine KI-gestützte Qualitätskontrolle einsetzt
- Ein Finanzdienstleister, der ein KI-Tool zur Kreditwürdigkeitsprüfung von EU-Kunden verwendet
- Ein Online-Händler, der Kundendaten von EU-Konsumenten mit KI-Tools auswertet
Auswirkung des EU AI Act auf Schweizer KMU
KI wird in vielen Unternehmensbereichen eingesetzt, von der Personalauswahl über die Kreditvergabe bis hin zur medizinischen Diagnostik. Gemäss Anhang III des EU AI Acts gelten bestimmte KI-Anwendungen als Hochrisiko-KI-Systeme, denen grösste Aufmerksamkeit gebührt. Dazu zählen unter anderem KI-Systeme zur Einstellung oder Auswahl von Bewerbenden (z.B. automatisiertes Screening von Bewerbungen, Bewerberranking), KI-Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen (z.B. Kreditscoring für Konsumenten), KI-Systeme im Bereich der kritischen Infrastruktur (z.B. Energieversorgung, Wasserversorgung) sowie KI-Systeme im Bildungswesen (z.B. automatisierte Beurteilung von Prüfungsleistungen). Für Schweizer KMU besonders relevant sind der Bereich der Personalauswahl sowie das KI-gestützte Kundendaten-Scoring, die beide im Hochrisikosegment liegen.
Beim Einsatz von Hochrisiko-KI-Tools im Personalwesen, im Finanzbereich oder in anderen regulierten Bereichen haben Unternehmen es in den meisten Fällen mit den strengsten regulatorischen Anforderungen des EU AI Acts zu tun.
Risiko als Massstab für Compliance-Anforderungen
Der EU AI Act unterscheidet vier Risikokategorien:
| Risikokategorie | Auswirkung | Beispiele |
|---|---|---|
| Verbotene KI-Systeme | Die KI-Systeme sind im EU AI Act aufgelistet und werden durch diesen verboten. | Soziales Scoring, Emotionserkennung |
| KI-Systeme mit hohem Risiko | Anbieter, Betreiber und andere Beteiligte haben strenge Pflichten einzuhalten. | KI-Systeme im HR-Bereich, Kreditscoring, biometrische Überwachung |
| Begrenztes bzw. Transparenzrisiko | Der EU AI Act sieht spezifische Offenlegungspflichten für KI-Systeme mit einem begrenzten Risiko vor. | Einsatz von Chatbots |
| Minimales Risiko | Es gelten keine besonderen Pflichten gemäss dem EU AI Act. | Spamfilter |
Verbotene KI-Systeme
KI-Systeme, die als klare Bedrohung für die Sicherheit, die Lebensgrundlagen und die Rechte der Menschen wahrgenommen werden, sind unter dem EU AI Act verboten. Für KMU besonders relevant sind folgende verbotene Praktiken:
- Soziales Scoring bzw. Bewertung (z.B. automatische Klassifizierung von Kunden oder Mitarbeitenden anhand persönlicher Merkmale)
- Emotionserkennung am Arbeitsplatz oder gegenüber Kunden (z.B. Emotionserkennung in Verkaufs- oder Bewerbungsgesprächen, zur Mitarbeitendenüberwachung oder im Kundendienst)
Kein grundsätzliches Verbot von Hochrisiko-KI-Systemen, aber strenge Pflichten
Grundsätzlich ist der Einsatz von KI nach dem EU AI Act auch im Hochrisikosegment nicht verboten, er muss aber regelkonform erfolgen. Für KMU zulässig bleibt etwa:
- KI als Unterstützung bei der Vorauswahl von Bewerbungen oder der Kreditvergabe, solange die finale Entscheidung beim Menschen liegt und alle Anforderungen des EU AI Acts erfüllt werden
- KI-gestützte Assistenzsysteme in verschiedenen Unternehmensbereichen (z.B. Buchhaltung, Kundendienst, Logistik), die Vorbereitungsarbeiten übernehmen, ohne direkt über Personen zu entscheiden
- KI-Tools zur Textgenerierung (z.B. Marketing-Texte, Stelleninserate, Kundenanschreiben), sofern Transparenzpflichten eingehalten werden
Passende Produkt-Empfehlungen
Praxisbeispiele: KI-Systeme mit hohen Risiken
Personalauswahl:
KI-gestützte Recruiting-Software, die eingehende Lebensläufe analysiert, bewertet und ggf. automatisch Absagen versendet, ist ein klassisches Beispiel für ein Hochrisiko-KI-System gemäss EU AI Act. Setzt ein Schweizer KMU eine solche Software ein und richtet sich damit an Bewerber in der EU, gelten die umfassenden Hochrisiko-Anforderungen des EU AI Acts.
Kreditvergabe und Finanzscoring:
Ein Finanzdienstleister oder ein Leasingunternehmen, das ein KI-Tool zur Bonitätsprüfung von EU-Kunden einsetzt, fällt ebenfalls in den Hochrisikobereich. Auch hier muss das System transparent und nachvollziehbar sein. Betroffene Personen haben zudem das Recht auf Erklärung und menschliche Überprüfung der Entscheidung.
Anforderungen an Hochrisiko-KI-Systeme
Insbesondere für KI-Systeme mit hohen Risiken definiert der EU AI Act folgende Anforderungen:
- hohe Datenqualität (Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und fehlerarm sein);
- Dokumentations- und Aufzeichnungspflichten (technische Unterlagen und automatisierte Protokolle);
- Transparenz gegenüber Nutzern (sachgerechte Bedienung und Information über wesentliche Systemeigenschaften);
- menschliche Aufsicht (Mechanismen zur Erkennung und Verhinderung von Fehlfunktionen); sowie
- Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.
Darüber hinaus verlangt der EU AI Act für Hochrisikosysteme unter anderem die Einführung eines Qualitätsmanagementsystems, eine Konformitätsbewertung, eine Registrierung in einer EU-weiten Datenbank und ggf. die Benennung eines EU-Vertreters.
Bei Verstössen drohen erhebliche Bussen von bis zu EUR 35 Mio. bzw. 7 % des weltweiten Jahresumsatzes für Verstösse gegen verbotene Anwendungen oder die Nichteinhaltung der Anforderungen an Daten sowie bis zu EUR 15 Mio. bzw. 3 % des weltweiten Jahresumsatzes bei Verstössen gegen andere Anforderungen oder Verpflichtungen.
Zweckentfremdete Systeme als besonderes Risiko
Ein ernsthaftes Risiko entsteht, wenn ein KI-System, das nicht für Hochrisikozwecke konzipiert wurde (z.B. ein allgemeiner Chatbot), faktisch für solche Zwecke genutzt wird (z.B. durch Hochladen von Lebensläufen oder Kundendaten zur Beurteilung). In solchen Fällen können Haftungsrisiken entstehen, weil das Unternehmen in die Anbieterrolle rückt.
_de_332x472px.jpg)
KI-Kompetenzen als Pflicht
Eine in der Praxis oft übersehene Anforderung des EU AI Acts betrifft die sog. KI-Kompetenz. Anbieter und Betreiber von KI-Systemen sind verpflichtet, sicherzustellen, dass ihr Personal und alle anderen Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Mass an KI-Kompetenz verfügen. Der sogenannte AI Omnibus hat diese formelle Pflicht für Unternehmen gelockert und stärker auf die EU und die Mitgliedstaaten verlagert. In der Praxis ändert dies jedoch wenig: Wer KI-gestützte Systeme in sensiblen Bereichen einsetzt, riskiert Haftungsfolgen, wenn die eigenen Mitarbeitenden die Funktionsweise, die Grenzen und die Risiken dieser Systeme nicht verstehen. Sie müssen in der Lage sein, Ausgaben des KI-Systems kritisch zu beurteilen, Fehlfunktionen zu erkennen und die menschliche Aufsicht wirksam wahrzunehmen.
Neue Fristen durch den AI Omnibus – Aufschub ist kein Freifahrtschein
Der EU AI Act ist kein rein akademisches EU-Thema. Er ist für Schweizer KMU oft eine strategische Notwendigkeit. Im Mai 2026 haben sich die EU-Institutionen auf den sogenannten AI Omnibus geeinigt, der die zentralen Pflichten für Hochrisiko-KI-Systeme um anderthalb Jahre auf den 2. Dezember 2027 verschiebt. Wer jetzt eine schlanke, risikobasierte AI Governance aufbaut, sichert sich einen Wettbewerbsvorteil und nutzt die gewonnene Zeit sinnvoll.
Für KMU-Verantwortliche bedeutet dies konkret, dass der Einsatz von Hochrisiko-KI-Systemen, sei es in der Personalauswahl, der Kreditvergabe, der Kundenbewertung oder in sicherheitsrelevanten Bereichen, besonders kritisch ist und darum die grösste Aufmerksamkeit erfordert. Der Aufschub durch den AI Omnibus verschafft mehr Zeit, ändert aber nichts an den inhaltlichen Anforderungen. Zulässig bleibt der Einsatz von KI auch im Hochrisikosegment, er verlangt aber, dass die KI-Systeme transparent, nachvollziehbar und unter menschlicher Aufsicht betrieben werden.
Unternehmen sollten darum prüfen, ob der EU AI Act auf sie anwendbar ist und welche Pflichten mit der Anwendbarkeit einhergehen. Unabhängig davon lohnt es sich langfristig, bereits eine KI-Governance aufzusetzen. Wer jetzt die richtigen Grundlagen legt, schützt sein Unternehmen vor Bussen, stärkt das Vertrauen von Kunden und Geschäftspartnern und ist gerüstet für die Herausforderungen der Zukunft.
