Der 2. August 2026 markiert den wichtigsten Stichtag der EU-KI-Verordnung: Seit diesem Datum ist der Grossteil der Pflichten anwendbar. Nach den seit Februar 2025 geltenden Verboten bestimmter Praktiken und den seit August 2025 geltenden Regeln für KI-Modelle mit allgemeinem Verwendungszweck greifen nun insbesondere die Anforderungen an Hochrisiko-Systeme nach Anhang III sowie die Transparenzpflichten für bestimmte KI-Anwendungen. Für Hochrisiko-Systeme, die in regulierten Produkten nach Anhang I stecken, läuft die Übergangsfrist noch bis August 2027.

Für Schweizer Unternehmen ist entscheidend: Die Verordnung gilt nicht nur für Akteure mit Sitz in der EU. Erfasst ist, wer KI-Systeme in der EU in Verkehr bringt oder in Betrieb nimmt, und ebenso, wer ein System betreibt, dessen Ergebnisse bestimmungsgemäss in der EU verwendet werden. Ein Zürcher Softwareanbieter mit Kunden in Deutschland fällt ebenso darunter wie ein Industrieunternehmen, das KI-gestützte Auswertungen an eine EU-Tochter liefert.

Die Pflichten unterscheiden sich stark nach Rolle. Anbieter tragen die Hauptlast: Risikomanagement, Datenqualität, technische Dokumentation, Aufzeichnungspflichten, menschliche Aufsicht, Robustheit und Konformitätsbewertung. Betreiber müssen unter anderem die Systeme bestimmungsgemäss einsetzen, Eingabedaten kontrollieren, Protokolle aufbewahren und in bestimmten Fällen Betroffene informieren. Wer als Schweizer Unternehmen Systeme unter eigenem Namen in die EU bringt, rutscht schnell in die Anbieterrolle, auch wenn die Technologie eingekauft ist.

Die Sanktionen sind empfindlich: Bussen können je nach Verstoss bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes erreichen. Wichtiger als die Maximalbeträge ist aber die praktische Wirkung: EU-Kunden verlangen zunehmend Konformitätsnachweise in Ausschreibungen und Verträgen. Wer keine Dokumentation vorweisen kann, verliert Aufträge, bevor eine Behörde überhaupt tätig wird.

Was heisst das konkret für die nächsten Wochen? Erstens: ein vollständiges Inventar aller eingesetzten und angebotenen KI-Systeme, inklusive eingebetteter Funktionen in Standardsoftware. Zweitens: pro System die Risikoklasse und die eigene Rolle bestimmen. Drittens: für die relevanten Systeme eine Lückenanalyse gegenüber den anwendbaren Pflichten, mit klaren Verantwortlichkeiten und Terminen. Viertens: Verträge mit KI-Anbietern und EU-Abnehmern auf Zusicherungen, Mitwirkungspflichten und Haftung prüfen.

Parallel bleibt das Schweizer Recht massgebend: Das DSG gilt für jede Personendatenbearbeitung durch KI, und der Bundesrat hat für die Schweiz einen sektoriellen Regulierungsansatz eingeschlagen, der sich an der Ratifikation der KI-Konvention des Europarats orientiert. Wer die EU-Pflichten sauber umsetzt, hat den grössten Teil der Schweizer Anforderungen bereits im Griff.

Unser KI-Check liefert in wenigen Minuten eine erste Standortbestimmung mit rechtlicher Einordnung. Für die vertiefte Analyse einzelner Systeme und die Vertragsgestaltung begleiten wir Sie gerne persönlich.