EU AI Act: Was er für Unternehmen in DACH bedeutet
Der EU AI Act ist die Verordnung (EU) 2024/1689 und das erste umfassende KI-Gesetz weltweit. Er ist am 1. August 2024 in Kraft getreten und wird gestaffelt anwendbar – die ersten Pflichten gelten seit dem 2. Februar 2025, die allgemeine Anwendbarkeit beginnt am 2. August 2026.
Der AI Act reguliert nicht Technologie, sondern Anwendungen. Maßgeblich ist, welches Risiko ein KI-System für Gesundheit, Sicherheit und Grundrechte birgt – und in welcher Rolle ein Unternehmen es einsetzt.
Schweizer Unternehmen sind nicht direkt an die Verordnung gebunden, können aber über den Anwendungsbereich erfasst werden. Dieser Artikel klärt, wann das der Fall ist, welche Fristen gelten und was Unternehmen in Deutschland, Österreich und der Schweiz jetzt tun sollten.
Was der EU AI Act regelt
Der AI Act verfolgt einen risikobasierten Ansatz. Statt KI als Ganzes zu regulieren, sortiert er Anwendungen nach ihrem Risiko und knüpft daran unterschiedlich strenge Pflichten. Ein Chatbot für interne Textentwürfe wird anders behandelt als ein System, das über Kreditwürdigkeit oder Bewerbungen entscheidet.
Adressaten sind vor allem zwei Rollen: Anbieter, die ein KI-System entwickeln und unter eigenem Namen auf den Markt bringen, und Betreiber, die ein System unter eigener Verantwortung einsetzen. Die meisten Unternehmen sind Betreiber – mit deutlich geringeren, aber nicht mit gar keinen Pflichten.
Der Zeitplan
Die Verordnung wird in Stufen anwendbar. Zwei Termine sind bereits verstrichen.
| Datum | Was ab dann gilt |
|---|---|
| 1. August 2024 | Die Verordnung tritt in Kraft. |
| 2. Februar 2025 | Verbotene Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4 gelten. |
| 2. August 2025 | Pflichten für Modelle mit allgemeinem Verwendungszweck, Governance-Strukturen und das Sanktionsregime. |
| 2. August 2026 | Allgemeine Anwendbarkeit, einschließlich der Hochrisiko-Systeme nach Anhang III und der Transparenzpflichten nach Art. 50. |
| 2. August 2027 | Hochrisiko-Systeme, die als Sicherheitsbauteil in bereits regulierte Produkte eingebaut sind. |
Die vier Risikoklassen
Die Einstufung entscheidet über den gesamten Pflichtenumfang. Sie erfolgt anwendungsbezogen, nicht produktbezogen: Dasselbe Modell kann je nach Einsatz in verschiedene Klassen fallen.
- Unannehmbares Risiko: verboten. Dazu zählen unter anderem Social Scoring durch Behörden, das ungezielte Auslesen von Gesichtsbildern aus dem Internet und Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.
- Hohes Risiko: zulässig, aber mit umfangreichen Pflichten. Erfasst sind unter anderem Systeme für Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung und Strafverfolgung.
- Begrenztes Risiko: Transparenzpflichten nach Art. 50. Nutzende müssen erkennen können, dass sie mit einem KI-System interagieren; KI-erzeugte Inhalte sind zu kennzeichnen.
- Minimales Risiko: keine besonderen Pflichten. Hier liegt der größte Teil der betrieblichen Nutzung – Textentwürfe, Zusammenfassungen, Recherche.
Wann Schweizer Unternehmen betroffen sind
Der AI Act gilt nicht über das Schweizer Recht. Sein Anwendungsbereich ist jedoch extraterritorial angelegt: Er erfasst auch Anbieter und Betreiber aus Drittstaaten, wenn das Ergebnis eines KI-Systems in der EU verwendet wird.
Für Schweizer Unternehmen bedeutet das drei typische Konstellationen: Sie bieten ein KI-gestütztes Produkt in der EU an, sie setzen KI ein und die Ergebnisse fließen in Prozesse mit EU-Bezug, oder sie sind Zulieferer eines Kunden, der die Anforderungen vertraglich weitergibt. In der Praxis ist die dritte Konstellation die häufigste.
Unabhängig davon zeichnet sich in der Schweiz ab, dass kein umfassendes KI-Gesetz nach EU-Vorbild entsteht. Die Stoßrichtung geht in Richtung Ratifikation der KI-Konvention des Europarats und sektorieller Anpassungen im bestehenden Recht. Das Datenschutzrecht bleibt damit der wichtigste Rahmen für den KI-Einsatz in der Schweiz.
KI-Kompetenz: die Pflicht, die schon gilt
Art. 4 AI Act verlangt von Anbietern und Betreibern, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt seit dem 2. Februar 2025 und ist nicht auf Hochrisiko-Systeme beschränkt – sie trifft auch Unternehmen, die KI nur für Textentwürfe einsetzen.
Die Verordnung schreibt kein Format vor. Verlangt ist ein Kenntnisstand, der zum Kontext passt: Was das eingesetzte System kann, wo seine Grenzen liegen, welche Risiken bestehen und wie Ergebnisse zu prüfen sind. Eine dokumentierte Schulung mit Bezug auf die konkret eingesetzten Werkzeuge ist der pragmatische Weg.
Für die meisten Unternehmen im DACH-Raum ist das die relevanteste Pflicht des AI Act – weil sie bereits gilt, weil sie unabhängig von der Risikoklasse greift und weil sie mit vertretbarem Aufwand erfüllbar ist.
Sanktionen
Art. 99 sieht ein gestaffeltes Bußgeldregime vor. Es orientiert sich am Umsatz und liegt am oberen Ende über den Beträgen der DSGVO.
| Verstoß | Höchstbetrag |
|---|---|
| Verbotene Praktiken nach Art. 5 | Bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes |
| Verstöße gegen die übrigen Pflichten | Bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes |
| Falsche oder irreführende Angaben gegenüber Behörden | Bis 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes |
Was jetzt zu tun ist
Die folgenden Schritte sind unabhängig davon sinnvoll, ob ein Unternehmen direkt in den Anwendungsbereich fällt – sie sind zugleich die Grundlage für die Nachweise, die Kunden und Aufsicht verlangen.
- KI-Inventar aufbauen: Welche Systeme werden eingesetzt, von wem, für welchen Zweck, mit welchen Daten? Ohne Inventar ist keine Einstufung möglich.
- Anwendungen den Risikoklassen zuordnen und die Einstufung begründen. Entscheidend ist der Einsatzzweck, nicht das Produkt.
- Verbotene Praktiken ausschließen – insbesondere Emotionserkennung am Arbeitsplatz, die in vielen HR-Werkzeugen unbemerkt mitgeliefert wird.
- KI-Kompetenz nach Art. 4 sicherstellen und die Schulung dokumentieren.
- Transparenz vorbereiten: Kennzeichnung KI-erzeugter Inhalte und erkennbare Interaktion mit KI-Systemen, wo Art. 50 greift.
- Rollen klären: Wer ist Anbieter, wer Betreiber? Wer eigene Assistenten baut und weitergibt, kann in die Anbieterrolle rutschen.
- Verträge prüfen: Kundenverträge und Ausschreibungen geben die Anforderungen häufig weiter, bevor die Verordnung selbst greift.
Häufige Fragen
Gilt der EU AI Act für Schweizer Unternehmen?
Nicht direkt über das Schweizer Recht. Er kann aber greifen, wenn ein Schweizer Unternehmen KI-Systeme in der EU anbietet oder wenn die Ergebnisse eines KI-Systems in der EU verwendet werden. Häufiger wirkt er indirekt: über Kundenverträge, Konzernvorgaben und Ausschreibungen.
Ab wann gilt der AI Act vollständig?
Die allgemeine Anwendbarkeit beginnt am 2. August 2026. Vorher galten bereits die verbotenen Praktiken und die KI-Kompetenzpflicht seit dem 2. Februar 2025 sowie die Pflichten für Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Für bestimmte Hochrisiko-Systeme in regulierten Produkten läuft die Frist bis zum 2. August 2027.
Ist die Nutzung eines KI-Chats ein Hochrisiko-Anwendungsfall?
In der Regel nicht. Textentwürfe, Zusammenfassungen und Recherche fallen typischerweise unter minimales Risiko. Hochrisiko wird es, wenn Ergebnisse in Entscheidungen über Personen einfließen – etwa bei der Vorauswahl von Bewerbungen oder bei der Beurteilung der Kreditwürdigkeit.
Was bedeutet die Pflicht zur KI-Kompetenz konkret?
Art. 4 verlangt, dass Personal, das KI einsetzt, deren Funktionsweise, Grenzen und Risiken hinreichend versteht. Ein Format schreibt die Verordnung nicht vor. Praktikabel ist eine dokumentierte Schulung, die sich auf die tatsächlich eingesetzten Werkzeuge bezieht und regelmäßig aufgefrischt wird.
Sind wir Anbieter oder Betreiber?
Die meisten Unternehmen sind Betreiber: Sie setzen ein fremdes System unter eigener Verantwortung ein. In die Anbieterrolle kann rutschen, wer ein System unter eigenem Namen auf den Markt bringt oder ein bestehendes System wesentlich verändert. Die Rolle entscheidet über den Pflichtenumfang und sollte dokumentiert sein.
Ersetzt der AI Act das Datenschutzrecht?
Nein. AI Act und DSGVO gelten nebeneinander und verfolgen unterschiedliche Ziele: Der AI Act adressiert Produktsicherheit und Grundrechte, das Datenschutzrecht die Bearbeitung personenbezogener Daten. In der Schweiz bleibt das revDSG der zentrale Rahmen, unabhängig davon, ob der AI Act greift.
Quellen
- Verordnung (EU) 2024/1689 (EU AI Act) · EUR-Lex
- Bundesgesetz über den Datenschutz (DSG, SR 235.1) · Fedlex – Schweizerische Bundeskanzlei
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Custodos mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten