Wer überwacht die KI-Verordnung in der Schweiz?

Sie haben gelesen, dass die EU-KI-Verordnung Bussgelder vorsieht, und die naheliegende nächste Frage lautet: Wer würde in der Schweiz überhaupt anklopfen, wenn ein Verstoss festgestellt wird? Der EDÖB, so wie beim Datenschutz? Die Antwort überrascht viele Schweizer KMU, die diese Frage stellen: In der Schweiz gibt es schlicht keine Behörde, die für die Durchsetzung dieser Verordnung zuständig wäre. Zu verstehen, warum das so ist, zeigt zugleich, mit wem Sie es tatsächlich zu tun hätten, sobald Ihr Geschäft den europäischen Markt berührt.

Warum die Schweiz keine Behörde für die KI-Verordnung bestimmt hat

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689), 2024 in Kraft getreten, verpflichtet jeden EU-Mitgliedstaat, bis zum 2. August 2025 mindestens eine Marktüberwachungsbehörde zu bestimmen. Frankreich hat dies unter anderem über die CNIL getan, Italien über die Garante. Diese Pflicht ist in Artikel 70 der Verordnung verankert und richtet sich ausdrücklich an die Mitgliedstaaten der Europäischen Union. Die Schweiz gehört nicht dazu: Sie ist weder EU- noch EWR-Mitglied, und die KI-Verordnung wurde nicht in Schweizer Recht übernommen. Es besteht deshalb keinerlei Rechtspflicht für die Eidgenossenschaft, eine entsprechende Stelle zu bestimmen – und sie hat es auch nicht getan.

Das bedeutet nicht, dass die KI-Verordnung für Schweizer Unternehmen folgenlos bliebe. Es bedeutet lediglich, dass die Stelle, die sie im Ernstfall durchsetzen würde, nicht in Bern sitzt.

Was die extraterritoriale Reichweite der Verordnung für Schweizer Unternehmen bedeutet

Die KI-Verordnung entfaltet Wirkung ausserhalb des EU-Gebiets in klar umrissenen Fällen: sobald ein Anbieter ein KI-System auf dem EU-Markt bereitstellt oder in der EU in Betrieb nimmt, oder sobald das Ergebnis eines Systems, das von einem Anbieter oder Betreiber in einem Drittstaat – hier: der Schweiz – eingesetzt wird, von Personen in der EU genutzt wird. Welche Risikostufen und Pflichten damit im Einzelnen verbunden sind, haben wir in unserem Grundlagenartikel zur KI-Verordnung für Schweizer KMU beschrieben; hier geht es ausschliesslich darum, wer im Zweifelsfall zuständig ist.

Konkret heisst das: Ein Zürcher Fintech, dessen Scoring-Tool von einem in der EU ansässigen Bankpartner genutzt wird, oder ein Basler Pharma- oder Medtech-Unternehmen, dessen KI-gestütztes Produkt auf dem europäischen Markt platziert wird, fällt für genau diese Tätigkeit unter die Verordnung – auch ohne jede eigene Niederlassung in der EU. Für Anbieter ausserhalb der EU, die bestimmte Hochrisikosysteme auf dem EU-Markt bereitstellen, sieht die Verordnung zudem die Pflicht vor, eine in der EU niedergelassene bevollmächtigte Person zu benennen – ein Mechanismus, der strukturell an die Pflicht zur Benennung eines EU-Vertreters nach Artikel 27 DSGVO erinnert, die nicht-europäische Verantwortliche schon länger kennen. Wie diese Vertreterpflicht nach der KI-Verordnung in der Praxis konkret gehandhabt wird, ist derzeit noch wenig erprobt und sollte im Einzelfall geprüft werden.

Wer eine Schweizer Exporteurin tatsächlich kontrolliert

Für den Teil Ihrer Tätigkeit, der unter die KI-Verordnung fällt, liegt die Kontrolle bei dem EU-Mitgliedstaat, zu dem Ihre Tätigkeit einen Anknüpfungspunkt hat: dort, wo Sie Ihr System auf den Markt bringen, dort, wo Ihre bevollmächtigte Person, Ihr Einführer oder Ihr Importeur niedergelassen ist, oder dort, wo der Betreiber sitzt, der Ihr System einsetzt. Zuständig wäre die Marktüberwachungsbehörde dieses Staates – etwa CNIL und DGCCRF in Frankreich oder die Garante in Italien –, so als wäre Ihr Unternehmen dort selbst niedergelassen.

• Keine Kundschaft und keine Nutzer in der EU, System nie auf dem europäischen Markt platziert: Die KI-Verordnung greift grundsätzlich nicht – massgeblich bleibt allein das Schweizer DSG.
• System auf dem Markt eines bestimmten EU-Mitgliedstaats verkauft oder bereitgestellt: Die Marktüberwachungsbehörde dieses Staates ist zuständig.
• Vertrieb über einen in der EU niedergelassenen Importeur, Händler oder eine bevollmächtigte Person: Deren Niederlassungsstaat wird zum Anknüpfungspunkt.
• System wird von einem in der EU ansässigen Betreiber eingesetzt, auch ohne direkten Verkauf: Allein die Nutzung in der EU kann bereits den Anwendungsbereich auslösen.
• Personendaten von Kundschaft oder Mitarbeitenden werden in der Schweiz bearbeitet, ohne EU-Bezug: Hier bleibt der EDÖB nach DSG Ansprechpartner – ein eigenes Thema, das wir in unserem Artikel zum Zusammenspiel von DSG, DSGVO und KI-Verordnung vertieft haben.

Die Rolle des EDÖB: Datenschutz, nicht KI-Verordnung

Der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) bleibt die massgebliche Schweizer Behörde für den Schutz von Personendaten nach dem revidierten DSG, das seit dem 1. September 2023 in Kraft ist. Ein formelles Mandat im Zusammenhang mit der KI-Verordnung hat er hingegen nicht erhalten – das ist schlicht nicht seine Aufgabe. Bearbeitet ein KI-System Personendaten in der Schweiz, ist der EDÖB für diesen Aspekt zuständig; berührt dasselbe System zusätzlich den europäischen Markt, übernimmt für den Teil der KI-Verordnung eine andere Behörde in einem anderen Land. Beide Fragen überschneiden sich in der Praxis häufig, bleiben rechtlich aber getrennt zu betrachten.

Offen bleibt eine weitere Frage: Die Schweiz könnte künftig eine eigene, horizontale KI-Gesetzgebung entwickeln. Der Bund verfolgt das Dossier, doch liegt bis heute weder ein konkreter Gesetzestext noch ein verbindlicher Zeitplan vor. Es wäre verfrüht, der Form eines solchen Vorhabens vorzugreifen.

Eine Checkliste zur Einschätzung Ihrer Exponierung

Bevor Sie sich durch Gesetzestexte arbeiten, genügen meist wenige Fragen, um sich ein realistisches Bild Ihrer Exponierung zu verschaffen:

• Wird Ihr KI-System an Kundschaft mit Sitz in einem EU-Mitgliedstaat verkauft, lizenziert oder zur Verfügung gestellt? Wenn ja, gilt die Verordnung für diese Tätigkeit.
• Wird das Ergebnis Ihres Systems – eine Entscheidung, ein Score, generierte Inhalte – von einer in der EU ansässigen Organisation genutzt, auch ohne direkten Verkauf? Das kann bereits ausreichen, um den Anwendungsbereich zu eröffnen.
• Nutzen Sie einen in der EU niedergelassenen Vertrieb, Importeur oder Partner, um den europäischen Markt zu erreichen? Dessen Niederlassungsstaat wird zum Anknüpfungspunkt.
• Bleibt Ihre Tätigkeit strikt auf die Schweiz beschränkt, ohne Kundschaft oder Nutzer in der EU? Dann greift die Verordnung voraussichtlich nicht, das DSG bleibt aber für in der Schweiz bearbeitete Personendaten weiterhin massgeblich.
• Können Sie eine dieser Fragen nicht mit Sicherheit beantworten? Das ist ein Zeichen dafür, dass Ihre Märkte und Datenflüsse eine genauere Analyse verdienen, bevor Sie einen Schluss ziehen.

Allgemeine Information, kein Rechtsrat

Die vorstehenden Ausführungen sind eine allgemeine Orientierungshilfe und kein Rechtsrat zur konkreten Situation Ihres Unternehmens. Der Rahmen, der für Schweizer Unternehmen mit Aktivitäten auf dem europäischen Markt gilt, entwickelt sich weiter – sowohl auf EU-Seite als auch mit Blick auf eine mögliche künftige Schweizer Regelung. Wenn Komplya solche Inhalte veröffentlicht, kennzeichnen wir klar, was rechtlich geprüft wurde und was noch Entwurfscharakter hat, damit Sie wissen, worauf Sie sich stützen.

Am schnellsten lässt sich klären, ob Ihre Tätigkeit unter die KI-Verordnung fällt, wenn Sie von Ihren tatsächlichen Märkten und Datenflüssen ausgehen statt von einer allgemeinen Liste. Beantworten Sie einen kurzen Fragebogen zu Ihrer KI-Nutzung und Ihren Märkten und erhalten Sie eine verständliche Einschätzung Ihrer voraussichtlichen Exponierung.