Seit dem 2. August 2026 ist der EU AI Act weitgehend anwendbar. Für Schweizer KMU ist das kein Grund für hektische Verbotslisten. Es ist aber ein guter Zeitpunkt, die eigene KI-Nutzung sichtbar zu machen: Welche Werkzeuge sind im Einsatz, welche Daten fliessen hinein, wer prüft Ergebnisse und wo entstehen Auswirkungen für Kunden, Mitarbeitende oder Geschäftspartner?
Die Europäische Kommission hält in ihrer aktuellen Übersicht fest, dass der AI Act am 1. August 2024 in Kraft trat und seit 2. August 2026 grundsätzlich anwendbar ist. Zugleich gelten unterschiedliche Zeitpunkte: Verbote bestimmter Praktiken und Pflichten zur KI-Kompetenz greifen bereits seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025, während einzelne Hochrisiko-Vorgaben längere Übergangsfristen haben. Seit dem 2. August 2026 tragen das europäische AI Office und die zuständigen Behörden der Mitgliedstaaten die Verantwortung für Umsetzung, Aufsicht und Durchsetzung.
Warum das Thema auch für Schweizer KMU relevant ist
Ein Betrieb in Zürich, Basel oder St. Gallen muss nicht automatisch sämtliche EU-Pflichten erfüllen, nur weil Mitarbeitende ein KI-Werkzeug verwenden. Relevant wird eine genaue Prüfung insbesondere dann, wenn ein Unternehmen Kunden oder Niederlassungen in der EU bedient, KI-Systeme für den europäischen Markt anbietet oder Ergebnisse seiner Systeme dort verwendet werden. Entscheidend sind Einsatz, Rolle und Wirkung des konkreten Systems. Eine pauschale Antwort für alle Werkzeuge wäre deshalb unseriös.
Nächster Schritt
Was heisst das für KI-Regeln und Nachweise?
- Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
- Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
- Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.
DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.
Unabhängig vom EU-Recht gilt in der Schweiz bereits ein klarer Ausgangspunkt: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte weist darauf hin, dass das Schweizer Datenschutzgesetz direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Wer Personendaten mit KI bearbeitet, braucht also nicht erst auf ein besonderes Schweizer KI-Gesetz zu warten. Transparenz, Zweckbindung, Datensicherheit und die Rechte betroffener Personen gehören schon heute in die betriebliche Praxis.
1. Nicht bei Tools beginnen, sondern bei Einsatzfällen
Eine Liste mit Produktnamen reicht nicht. Dass ein Team ChatGPT, Copilot oder ein anderes Werkzeug nutzt, sagt noch wenig über das Risiko. Wichtiger ist der konkrete Einsatzfall. Ein Entwurf für eine interne Besprechungsagenda ist anders zu bewerten als eine automatische Ablehnung von Bewerbungen, eine Bonitätseinschätzung oder eine verbindliche Auskunft an Kunden.
Erfassen Sie für jeden relevanten Einsatzfall fünf Punkte: Aufgabe, verantwortliche Person, verwendete Daten, mögliche Betroffene und menschliche Kontrolle. Diese kurze Bestandsaufnahme schafft mehr Klarheit als eine lange allgemeine Richtlinie. Sie zeigt zugleich, wo vertiefte rechtliche oder technische Prüfung nötig ist.
2. KI-Kompetenz als Arbeitsfähigkeit behandeln
KI-Kompetenz bedeutet nicht, dass jedes Teammitglied Modelle programmieren muss. Mitarbeitende sollten verstehen, wofür ein Werkzeug geeignet ist, welche Daten nicht eingegeben werden dürfen, warum Antworten falsch oder unvollständig sein können und wann ein Mensch entscheiden muss. Entscheidend ist die Verbindung zum realen Arbeitsplatz.
Eine kurze Schulung ohne Beispiele aus dem eigenen Betrieb bleibt abstrakt. Besser ist eine Unterweisung mit drei echten Fällen: ein erlaubter Einsatz, ein Einsatz mit Freigabe und ein klar ausgeschlossener Einsatz. Ergänzen Sie einen einfachen Meldeweg für Unsicherheiten. So wird Kompetenz zu einer wiederholbaren betrieblichen Fähigkeit statt zu einer einmaligen Präsentation.
3. Datenflüsse und Verträge sichtbar machen
Bei jedem externen KI-Dienst sollten KMU prüfen, welche Inhalte übertragen werden, wo sie verarbeitet werden, wie lange sie gespeichert bleiben und ob der Anbieter sie für eigene Zwecke verwendet. Bei Personendaten kommen Informationspflichten, Zugriffsrechte und angemessene Schutzmassnahmen hinzu. Sensible Kunden-, Personal- oder Gesundheitsdaten verdienen eine deutlich strengere Freigabe als öffentlich verfügbare Informationen.
Auch Änderungen beim Anbieter gehören auf die Kontrollliste. Neue Funktionen, zusätzliche Integrationen oder geänderte Aufbewahrungsregeln können einen bisher unkritischen Einsatz verändern. Legen Sie deshalb einen Verantwortlichen und einen einfachen Prüfturnus fest. Das muss kein grosses Beschaffungsprojekt sein; ein quartalsweiser Blick auf die wichtigsten Werkzeuge ist für viele KMU ein realistischer Start.
4. Menschliche Kontrolle konkret definieren
Der Satz «Ein Mensch prüft das Ergebnis» ist zu ungenau. Legen Sie fest, was geprüft wird und wer entscheiden darf. Bei einem Textentwurf kann eine Plausibilitätskontrolle genügen. Bei Vertragsklauseln, Personalentscheiden, Zahlungsfreigaben oder sicherheitsrelevanten Empfehlungen braucht es fachliche Prüfung, dokumentierte Verantwortung und gegebenenfalls das Vier-Augen-Prinzip.
Gute Kontrolle enthält auch einen Stopppunkt. Mitarbeitende müssen wissen, wann sie einen Vorgang nicht mit KI fortsetzen dürfen. Beispiele sind fehlende Quellen, widersprüchliche Ergebnisse, sensible Daten oder Auswirkungen auf Rechte einer Person. Ein klarer Stopppunkt ist oft wirksamer als zehn Seiten allgemeiner Warnungen.
5. Transparenz dort schaffen, wo Menschen betroffen sind
Nicht jede interne Formulierungshilfe braucht einen Hinweis. Anders ist es, wenn Menschen mit einem KI-System interagieren, wenn synthetische Inhalte täuschend echt wirken können oder wenn eine automatisierte Auswertung eine spürbare Entscheidung vorbereitet. Dann sollte der Betrieb klären, welche Information verständlich und im richtigen Moment nötig ist.
Für KMU lohnt sich eine einfache Frage: Würde eine betroffene Person vernünftigerweise wissen wollen, dass KI beteiligt war? Falls ja, sollte der Hinweis nicht in einer versteckten Fussnote verschwinden. Transparenz ist nicht nur eine rechtliche Aufgabe; sie schützt Vertrauen und reduziert spätere Beschwerden.
6. Einen kleinen Risikokreislauf einführen
Das freiwillige AI Risk Management Framework des US-amerikanischen NIST verfolgt einen pragmatischen Ansatz: Risiken sollen während Gestaltung, Entwicklung, Nutzung und Bewertung eines KI-Systems berücksichtigt werden. Für ein KMU lässt sich das auf einen kleinen Kreislauf reduzieren: Einsatz verstehen, Risiko einordnen, Schutzmassnahmen festlegen, Wirkung prüfen und bei Änderungen nachziehen.
Dieser Kreislauf passt auch zu kleinen Teams. Ein Verantwortlicher führt das Verzeichnis, Fachpersonen beurteilen kritische Ergebnisse, IT oder Datenschutz prüfen Datenflüsse, und die Geschäftsleitung entscheidet über Fälle mit hoher Auswirkung. Wichtig ist nicht die Anzahl der Formulare, sondern dass Verantwortung sichtbar bleibt.
Was heisst das für Ihr KMU?
Beginnen Sie heute mit einem 30-Minuten-Check: Notieren Sie die fünf wichtigsten KI-Einsatzfälle, markieren Sie Personendaten, externe Wirkung und fehlende menschliche Freigaben. Wählen Sie danach genau einen Fall, bei dem Sie Datenfluss, Verantwortung und Stopppunkt bis Ende der Woche sauber festhalten.
Wenn Sie dafür eine schlanke Struktur statt eines leeren Regelblatts brauchen, nutzen Sie die KI-Regelmappe als Ausgangspunkt für Ihren betrieblichen KI-Check.
Quellen
- Europäische Kommission: Regulatory framework for artificial intelligence
- EDÖB: KI und Datenschutz
- NIST: AI Risk Management Framework
Dieser Beitrag bietet eine betriebliche Orientierung und ersetzt keine Rechtsberatung für den konkreten Einzelfall.
