EU-KI-Verordnung: Leitfaden für Schweizer KMU

Ein Kunde aus Deutschland hat Ihnen im Lieferantenfragebogen die Frage gestellt, ob Ihr Unternehmen die europäische KI-Verordnung einhält. Oder Ihr Team hat gerade ein KI-Modul in Ihr Scoring-Tool oder Ihre Diagnoseunterstützung eingebaut, und niemand hat sich bisher gefragt, ob das jenseits der Grenze eine Rolle spielt. Beide Situationen kommen bei Schweizer KMU aus der Fintech-Branche in Zürich oder aus dem Pharma- und Medtech-Cluster der Region Basel immer wieder vor — und die Antwort ist nicht so einfach wie «wir sind in der Schweiz, das betrifft uns nicht».

Die Schweiz ist nicht EU-Mitglied — trotzdem kann die EU-KI-Verordnung für Sie gelten

Die Verordnung (EU) 2024/1689, bekannt als EU-KI-Verordnung oder AI Act, ist ein Rechtsakt der Europäischen Union. Die Schweiz ist weder EU- noch EWR-Mitglied, ist also nicht direkt an diese Verordnung gebunden, und es gibt keine automatische Übernahme in Schweizer Recht. Die EU-KI-Verordnung wurde bislang nicht ins Schweizer Recht überführt — das ist grundlegend anders als in Deutschland, Frankreich oder Österreich, wo der Text als EU-Verordnung unmittelbar gilt.

Entscheidend ist aber Art. 2 der Verordnung, der ihren räumlichen Anwendungsbereich festlegt — nach einem ähnlichen Prinzip, wie es die DSGVO in Art. 3 Abs. 2 bekannt gemacht hat: Der Text gilt auch für Anbieter und Betreiber mit Sitz in einem Drittstaat, sofern das KI-System auf dem EU-Markt bereitgestellt oder in der EU in Betrieb genommen wird, oder sofern das vom System erzeugte Ergebnis («Output») in der EU verwendet wird. Ein Schweizer Unternehmen kann also für eine konkrete Tätigkeit in den Anwendungsbereich der Verordnung fallen, ohne je eine Niederlassung oder physische Präsenz in der EU zu haben.

Wer unter Schweizer KMU konkret betroffen ist

In der Praxis ist es nicht der Firmensitz, der über die Anwendbarkeit entscheidet, sondern die konkrete Tätigkeit. Eine Fintech aus dem Zürcher Finanzplatz, die eine Scoring-API an ein Kreditinstitut mit Sitz in der EU verkauft, liefert ein KI-System, dessen Output — die Bonitätsbewertung — in der EU verwendet wird. Ein Medtech-Unternehmen aus dem Pharma- und Diagnostik-Cluster der Region Basel, das ein KI-gestütztes Diagnoseunterstützungstool auf dem europäischen Markt vertreibt, bringt damit ein KI-System auf den EU-Markt. In beiden Fällen greift Art. 2 für diese konkrete Tätigkeit, unabhängig davon, ob der Hauptsitz in Zürich oder Basel bleibt. Auch Schweizer Präzisionsfertiger, die KI-gestützte Qualitätskontrollsysteme an EU-Kunden liefern oder in EU-Anlagen integrieren lassen, können in denselben Anwendungsbereich fallen.

Umgekehrt bleibt eine rein inländische Nutzung — ein internes KI-Tool, das ausschliesslich von Schweizer Teams für Schweizer Kundinnen und Kunden eingesetzt wird, ohne dass der Output je die Schweiz verlässt — ausserhalb des Anwendungsbereichs der Verordnung. Massgeblich ist der reale Bezug zum EU-Markt, nicht die Nationalität des Unternehmens.

Was auf dem Spiel steht: Risikostufen und Sanktionen

Die EU-KI-Verordnung behandelt nicht jede KI-Anwendung gleich. Sie unterscheidet ein unannehmbares Risiko (verbotene Praktiken wie umfassendes Social Scoring), ein hohes Risiko (u. a. Personalauswahl, Leistungsbeurteilung, Bonitätsscoring — die konkrete Liste findet sich in Anhang III), ein begrenztes Risiko (Transparenzpflichten, etwa die Kennzeichnung von KI-generierten Inhalten oder Chatbots) und ein minimales Risiko, in das die meisten gängigen Tools fallen. Für eine Schweizer Fintech, deren Scoring-API einen EU-Kunden bedient, kann für genau diese Tätigkeit das strengere Hochrisiko-Regime greifen.

Das Sanktionsregime nach Art. 99 sieht für verbotene Praktiken Bussgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor, für die meisten übrigen Verstösse bis zu 15 Millionen Euro oder 3 %. Art. 99 Abs. 6 sieht für KMU und Start-ups reduzierte, verhältnismässige Obergrenzen vor — ein beruhigender Punkt, der aber nicht von einer Prüfung der eigenen Situation entbindet. Wie eine Durchsetzung gegen ein Schweizer Unternehmen ohne Präsenz in der EU konkret aussehen würde, ist nach unserem Kenntnisstand in der Praxis noch wenig erprobt.

Und in der Schweiz selbst: DSG und EDÖB kurz eingeordnet

Auf Schweizer Territorium gilt das revidierte Bundesgesetz über den Datenschutz (DSG), in Kraft seit dem 1. September 2023 — ein eigenständiges Gesetz, das sich an die DSGVO anlehnt, ohne mit ihr identisch zu sein. Zuständige Behörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Für die EU-KI-Verordnung hat der EDÖB jedoch keine zugewiesene Rolle, und die Schweiz ist als Nicht-EU/EWR-Staat auch nicht verpflichtet, eine Marktüberwachungsbehörde für diesen Rechtsakt zu benennen. Ein horizontales Schweizer KI-Gesetz nach dem Vorbild der EU-Verordnung existiert bislang nicht; wie und ob die Schweiz diese Lücke schliessen wird, ist offen. Die genaue Abgrenzung zwischen DSG, DSGVO und EU-KI-Verordnung sowie die Frage, wer eine allfällige Durchsetzung in der Schweiz übernehmen könnte, behandeln wir vertieft in eigenen Beiträgen.

Was Ihr KMU konkret prüfen sollte

Statt sich einzelne Artikelnummern zu merken, lohnt es sich, die eigene KI-Nutzung anhand konkreter Fragen durchzugehen:

• Erzeugt ein von Ihnen entwickeltes oder eingesetztes KI-System einen Output (Score, Diagnose, Entscheidung, Inhalt), der von einer Kundin, einem Partner oder einer Nutzerin in der EU verwendet wird?
• Verkaufen, lizenzieren oder integrieren Sie ein KI-System direkt auf dem europäischen Markt, auch über einen Vertriebspartner?
• Hat Sie ein EU-Kunde oder -Partner bereits über einen Lieferantenfragebogen oder ein Audit zur EU-KI-Verordnung befragt?
• Falls ein Bezug zur EU besteht: Betrifft die Anwendung einen Hochrisikobereich nach Anhang III, etwa Bonitätsscoring, Personalauswahl oder medizinische Bewertung?
• Können Sie in Ihrem KI-Werkzeugkatalog klar unterscheiden, was rein inländisch bleibt und was einen realen EU-Bezug hat?

Allgemeine Information, keine Rechtsberatung

Alles Vorstehende dient der allgemeinen Orientierung und ersetzt keine Rechtsberatung zu Ihrer konkreten Situation — besonders bei Punkten, die noch nicht abschliessend geklärt sind, etwa die tatsächliche Durchsetzung der EU-KI-Verordnung gegenüber Schweizer Anbietern ohne EU-Präsenz oder die künftige Entwicklung des Schweizer KI-Rechtsrahmens. Wenn Komplya solche Inhalte veröffentlicht, kennzeichnen wir klar, was rechtlich geprüft wurde und was noch Arbeitsstand ist, damit Sie informiert entscheiden können.

Der schnellste Weg herauszufinden, ob Ihr Unternehmen in den Anwendungsbereich der EU-KI-Verordnung fällt, ist eine fallbezogene Durchsicht Ihrer tatsächlichen KI-Nutzung und deren Bezugspunkten in der EU. Beantworten Sie einen kurzen Fragebogen zu Ihrem KI-Einsatz und erhalten Sie eine verständliche Einschätzung Ihrer voraussichtlichen Situation.