Datenschutz · 19. Februar 2026

Gilt der EU AI Act für meinen Schweizer Betrieb? Was bis August 2026 zählt

Kurz: Die Schweiz hat kein eigenes KI-Gesetz. Trotzdem gelten für dich schon heute zwei Dinge. Das revidierte Datenschutzgesetz regelt den KI-Einsatz direkt, und der EU AI Act trifft dich, sobald du KI-gestützte Produkte oder deren Ergebnisse in der EU anbietest. Wer KI nutzt, hat heute schon Pflichten. Kein Grund zur Panik, aber einer, es von Anfang an sauber zu machen.

Kaum ein Thema bremst Entscheider so sehr wie die Rechtslage. In der Schweiz setzen erst 9 Prozent der KMU KI systematisch ein, obwohl das Interesse gross ist (Raiffeisen-KMU-Mittelstandstudie 2024). Ein Teil dieser Zurückhaltung ist schlicht die Unsicherheit, was man überhaupt darf. Verständlich. Aber die kommt selten aus dem Gesetz selbst, sondern daraus, dass niemand es in Klartext übersetzt. Genau das machen wir hier. Keine Paragraphen-Lehre, sondern die drei Fragen, die für deinen Betrieb wirklich zählen.

Ein Hinweis vorweg: Das ist Orientierung, keine Rechtsberatung. Für den Einzelfall braucht es die Prüfung durch jemanden mit Anwaltspatent.

Gilt der EU AI Act für meinen Schweizer Betrieb?

Ja, sobald du KI-gestützte Produkte oder Dienste in der EU anbietest oder deren Ergebnisse dort genutzt werden. Der Act wirkt über die Grenze hinaus, dein Firmensitz in der Schweiz schützt dich nicht davor. Hast du keine EU-Berührung, betrifft er dich vorerst nicht direkt. Prüfen solltest du es trotzdem.

Das ist die gleiche Logik, die du von der DSGVO kennst. Ein Gesetz aus Brüssel, das nicht an der Grenze haltmacht, sobald ein europäischer Kunde im Spiel ist. Für einen exportorientierten Werkplatz Schweiz ist das die Regel, nicht die Ausnahme.

Entscheidend ist deine Rolle. Baust du selbst ein KI-System und bringst es in den EU-Markt, bist du Anbieter und trägst die schwereren Pflichten. Setzt du fertige KI im Betrieb ein, bist du Nutzer, und die Pflichten sind meist deutlich leichter. Und es kommt auf das Risiko an: Eine KI, die dir Texte formuliert, ist etwas anderes als eine, die über Kreditwürdigkeit oder Personalauswahl mitentscheidet. Je näher die KI an Entscheidungen über Menschen rückt, desto strenger die Regeln.

Welche KI-Regeln gelten heute schon in der Schweiz?

Die Schweiz hat kein eigenes KI-Gesetz. Aber das revidierte Datenschutzgesetz gilt seit dem 1. September 2023, und laut der Datenschutzbehörde EDÖB (Mai 2025) direkt auch für KI. Wer Personendaten mit KI verarbeitet, hat also heute schon Pflichten. Zusätzlich hat die Schweiz im März 2025 die KI-Konvention des Europarats unterzeichnet.

Das ist der Punkt, den viele übersehen. Sie warten auf das grosse Schweizer KI-Gesetz und meinen, bis dahin sei alles offen. Ist es nicht. Der Datenschutz greift schon, sobald KI mit Personendaten arbeitet, und das tut sie in fast jedem echten Anwendungsfall. Eine Kundenanfrage, ein Personaldossier, ein Name in einer Bestellung. Das reicht.

Die unterschriebene Europarats-Konvention (März 2025) zeigt zudem, wohin die Reise geht. Ein eigenes KI-Spezialgesetz ist absehbar, aber noch nicht in Kraft. Wer heute sauber arbeitet, muss später nichts nachrüsten.

Was das revDSG konkret von KI-Nutzern verlangt

Vor allem drei Dinge. Du musst transparent machen, wenn du Daten mit KI bearbeitest. Menschen dürfen einer rein automatisierten Entscheidung widersprechen. Und bei hohem Risiko brauchst du vorher eine Datenschutz-Folgenabschätzung. Besonders schützenswerte Daten gehören grundsätzlich nicht in ein externes KI-System.

Das klingt nach Bürokratie, ist aber in der Praxis überschaubar, wenn man es von Anfang an mitdenkt. In Klartext sind es diese vier Pflichten:

Der wichtigste Satz daraus: Wenn ein Mitarbeiter mal eben Kundendaten in ein kostenloses Chat-Tool eintippt, ist das oft schon der Verstoss. Nicht das grosse KI-Projekt ist das Risiko, sondern der unbedachte Alltag.

Was bis zum 2. August 2026 zählt

Am 2. August 2026 greifen die Pflichten des EU AI Act für Hochrisiko-Anwendungen breit. Für die meisten Schweizer Betriebe heisst das nicht Alarm, sondern in Ruhe klären, wo du stehst: Bist du im EU-Markt aktiv? In welcher Rolle nutzt du KI? Und wie riskant ist der konkrete Einsatz?

Wichtig zur Einordnung: Die schweren Pflichten treffen Anbieter von Hochrisiko-KI, nicht jeden, der ChatGPT für seine Angebote nutzt. Wenn deine KI Texte schreibt, Termine plant oder eine Wissensdatenbank durchsucht, bist du fast nie im Hochrisiko-Bereich. Kritisch wird es dort, wo KI über Menschen mitentscheidet, etwa bei Bewerbungen, Kreditvergabe oder Zugang zu wichtigen Leistungen.

Bis August 2026 solltest du deshalb kein Panikprojekt starten. Du solltest wissen, welche KI in deinem Betrieb läuft, was sie mit welchen Daten macht, und ob irgendwo eine EU-Berührung oder ein Entscheid über Menschen dahintersteckt. Diese Übersicht fehlt den meisten. Sie herzustellen ist die eigentliche Arbeit. In einem kleineren Betrieb steht eine erste Übersicht oft an einem Nachmittag, in grösseren dauert die saubere Zuordnung über alle Abteilungen länger.

Warum Regulierung kein Grund ist zu warten

Regulierung ist kein Bremsklotz, sondern ein Argument, es von Anfang an sauber zu bauen. Wer Daten bewusst in der Schweiz hält und den Umgang dokumentiert, erfüllt nicht nur die Pflicht. Er macht daraus einen Vertrauensvorteil. Der falsche Schluss wäre, KI deshalb aus dem Kern des Betriebs herauszuhalten.

Genau das passiert aber oft. Aus Angst vor dem Datenschutz landet KI nur am Rand, bei harmlosen Kleinigkeiten, und der eigentliche Hebel bleibt liegen. Der sitzt dort, wo es für einen Menschen zu komplex wird. Eine Planung etwa, die viele eigenständige Betriebe gleichzeitig berücksichtigt, was von Hand niemand mehr überblickt. Oder Erfahrungswissen, das an einer einzigen Person hängt und mit ihr den Betrieb verlässt. Eine Rechtschreibhilfe im Postfach leistet das nicht. Beim Datenschutz ist es ohnehin umgekehrt. Der grösste Fehler ist der unkontrollierte, weil dann jeder irgendwas in irgendein Tool tippt. Eine bewusst gebaute Lösung ist sicherer als der Wildwuchs, den sie ersetzt.

Und es ist eine Chance. «Wir verarbeiten alles in der Schweiz» ist im hiesigen Markt ein echtes Verkaufsargument, kein Kostenblock. Wer seine Kundendaten nicht unkontrolliert in eine US-Cloud schickt, sondern eine Lösung hat, bei der die Daten im eigenen System bleiben, gewinnt Vertrauen. Genau das ist auch der Grund, warum der richtige Partner hier zählt. Einer, der berät, baut und betreibt, denkt Datenschutz von der ersten Skizze an mit, statt ihn hinterher draufzukleben.

Der Punkt ist also nicht «wegen der Regeln lieber abwarten». Der Punkt ist: Bau es richtig, dann sind die Regeln erfüllt und du hast obendrauf ein Argument, das dir der billige Weg nie geben kann.

Von Andrin Knoll, Gründer & CEO, IntelliLab GmbH.

Jetzt kontaktieren