Der europäische AI Act: was sich für Unternehmen ändert

Der AI Act ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Es handelt sich um eine Verordnung der Europäischen Union, also nicht um Schweizer Recht — doch es wäre ein Fehler, daraus zu schliessen, dass er Unternehmen in der Schweiz nicht betrifft. Wie schon bei der DSGVO ist seine Reichweite extraterritorial, und für alle, die KI-Lösungen für den europäischen Markt entwickeln, integrieren oder verkaufen, wird er zu einem konkreten Bezugspunkt. Sehen wir uns an, was er einführt, wen er betrifft und wie man sich am besten vorbereitet.

Die zugrunde liegende Logik: das Risiko, nicht die Technologie

Der AI Act regelt künstliche Intelligenz nicht abstrakt. Er verfolgt einen risikobasierten Ansatz: Je stärker ein KI-System die Rechte und die Sicherheit von Menschen berühren kann, desto strenger sind die Pflichten. Dieselbe Technologie kann daher je nach Art und Ort der Nutzung in unterschiedliche Kategorien fallen.

Es gibt vier Kategorien:

• Unannehmbares Risiko: verbotene Praktiken. Dazu gehören Anwendungen wie generalisiertes Social Scoring oder schädliche Verhaltensmanipulation.
• Hohes Risiko: zugelassene Systeme, aber mit umfangreichen Pflichten. Sie betreffen sensible Bereiche wie Personalauswahl, Kreditvergabe, Medizinprodukte und kritische Infrastrukturen.
• Begrenztes Risiko: vor allem Transparenzpflichten. Zum Beispiel die Information der Nutzerinnen und Nutzer darüber, dass sie mit einem KI-System interagieren oder dass ein Inhalt künstlich erzeugt wurde.
• Minimales Risiko: die grosse Mehrheit der gängigen Anwendungen, ohne spezifische Pflichten.

Für ein KMU lautet die operative Frage nicht «nutze ich KI?», sondern «in welche Kategorie fällt die Nutzung, die ich davon mache?».

Wer betroffen ist

Die Verordnung unterscheidet zwischen Rollen, und das ist wichtig, weil sich die Pflichten dadurch ändern. Die beiden wichtigsten:

• Anbieter (Provider): wer ein KI-System entwickelt oder unter eigener Marke in Verkehr bringt. Er hat die umfangreichsten Pflichten.
• Professioneller Nutzer (Deployer): wer ein KI-System in seiner Tätigkeit einsetzt. Er hat geringere, aber reale Pflichten, insbesondere bei Hochrisikosystemen.

Der entscheidende Punkt für alle in der Schweiz: Der AI Act gilt auch für Akteure mit Sitz ausserhalb der EU, wenn das Ergebnis des Systems in der Union genutzt wird oder wenn ein System auf dem europäischen Markt in Verkehr gebracht wird. Ein Schweizer Unternehmen, das Software mit KI-Komponenten an Kunden in der EU verkauft oder KI in ein für diesen Markt bestimmtes Produkt integriert, fällt in den Anwendungsbereich.

KI-Systeme mit allgemeinem Verwendungszweck

Die Verordnung widmet KI-Modellen mit allgemeinem Verwendungszweck spezifische Regeln (den Basismodellen, auf denen viele Anwendungen aufbauen). Sie sieht Transparenz- und Dokumentationspflichten für deren Entwickler vor, mit verschärften Anforderungen für die leistungsstärksten Modelle, die als systemisches Risiko gelten. Für das KMU, das diese Modelle über Dienste Dritter nutzt, ist die praktische Wirkung indirekt, aber nützlich: mehr verfügbare Informationen über das System, das es integriert.

Fristen: ein gestaffeltes Inkrafttreten

Der AI Act gilt nicht auf einen Schlag. Sein Inkrafttreten ist zeitlich gestaffelt: Die Verbote der Praktiken mit unannehmbarem Risiko greifen zuerst, während die Pflichten für Hochrisikosysteme später kommen. Diese Abstufung gibt den Unternehmen Zeit zur Anpassung, ist aber keine Einladung zum Aufschieben: Die eigenen KI-Anwendungen zu erfassen, braucht Zeit, und es lohnt sich, früh damit zu beginnen.

Und die Schweiz?

Die Schweiz hat (noch) kein Gegenstück zum AI Act. Das bedeutet kein rechtliches Vakuum: Die Nutzung von KI bleibt dem geltenden Recht unterworfen, insbesondere dem neuen Datenschutzgesetz (revDSG), wenn Personendaten bearbeitet werden, sowie den allgemeinen Regeln zu Haftung und Verträgen. Für Schweizer Unternehmen, die mit der EU tätig sind, wird der AI Act dennoch zu einem faktischen Referenzstandard, genau wie es beim Datenschutz der Fall war.

Wie man sich in der Praxis vorbereitet

Man muss nicht ängstlich reagieren, es braucht Methode. Einige konkrete Schritte:

1. Erstellen Sie eine Bestandsaufnahme: wo Sie KI bereits nutzen, in welchen Prozessen, mit welchen Daten.
2. Klassifizieren Sie das Risiko: prüfen Sie, ob eine Nutzung in Hochrisiko- oder sensible Kategorien fällt (z. B. HR, Kundenbewertung).
3. Sorgen Sie für Transparenz: wo Sie über KI mit Kunden interagieren oder automatische Inhalte erzeugen, sehen Sie klare Informationen vor.
4. Schützen Sie die Daten: stellen Sie sicher, dass die KI-Nutzung dem revDSG und den Verträgen mit den Anbietern entspricht.
5. Prüfen Sie die Kette: wenn Sie Lösungen mit eingebetteter KI kaufen, fragen Sie die Anbieter, wie sie die Compliance handhaben.

SIH ONE ist eine KI-native Treuhandgruppe: Wir kennen KI aus der Sicht derjenigen, die sie in ihren eigenen Prozessen nutzen, und derjenigen, die sie rechtskonform einordnen müssen. Wir helfen Ihnen zu verstehen, ob und wie der AI Act Ihre Tätigkeit betrifft, und Ihre KI-Anwendungen im Einklang mit dem Schweizer Datenschutzrecht aufzusetzen.

Möchten Sie verstehen, was sich für Ihr Unternehmen ändert? Sprechen wir mit unserem Legal Desk darüber.