Wer überwacht die KI-Verordnung in Liechtenstein?

Sie leiten ein Fondsadministrations- oder Fintech-Unternehmen in Vaduz oder Schaan, und ein institutioneller Kunde aus der EU schickt Ihnen einen Compliance-Fragebogen mit einer neuen Klausel: Bestätigung der Einhaltung der KI-Verordnung. Oder die Frage kommt direkt von einem Wirtschaftsprüfer bei der jährlichen Revision. Ihre erste Reaktion ist wahrscheinlich der Reflex, der bei der DSGVO gut funktioniert hat: „Das prüft doch die Datenschutzstelle.“ Bei der KI-Verordnung ist die Antwort komplizierter – nicht weil Liechtenstein sich der Frage entzieht, sondern weil die institutionelle Landkarte für die KI-Verordnung selbst auf EU-Ebene noch nicht bei Liechtenstein angekommen ist. Was das konkret bedeutet und was trotzdem schon heute für Sie zählt, lesen Sie hier.

Die Datenschutzstelle und die DSGVO: eine geklärte, aber andere Zuständigkeit

Liechtenstein ist Mitglied des Europäischen Wirtschaftsraums (EWR) über die EFTA, nicht Mitglied der Europäischen Union. Die DSGVO ist über das EWR-Abkommen vollständig in liechtensteinisches Recht übernommen worden und wird seit Jahren von der Datenschutzstelle nach dem nationalen Datenschutzgesetz (DSG) durchgesetzt – das ist in der Praxis geklärt und unstrittig, ähnlich wie in jedem EU-Mitgliedstaat. Für viele betriebliche KI-Anwendungen mit Personenbezug – Kundenscoring, automatisiertes Recruiting, Betrugserkennung, KI-gestützte Beratungstools – ist die Datenschutzstelle deshalb schon heute ein legitimer Ansprechpartner, weil diese Anwendungen ohnehin der DSGVO unterliegen. Das ist aber nicht dasselbe wie eine Zuständigkeit für die KI-Verordnung selbst: Die KI-Verordnung ist ein eigenständiges Regelwerk mit eigenem Anwendungsbereich, auch wenn sich beide Regime inhaltlich oft überschneiden. Die Mechanik dieser Überschneidung – und die generelle Frage, wie die KI-Verordnung extraterritorial auf liechtensteinische Unternehmen wirkt – behandeln wir ausführlich im Schwesterartikel zur KI-Verordnung für KMU in Liechtenstein.

Gibt es heute eine liechtensteinische Behörde für die KI-Verordnung? Nein

Die kurze Antwort: nach heutigem Stand nicht. Die KI-Verordnung (Verordnung (EU) 2024/1689) ist ein EU-Rechtsakt. Damit sie in Liechtenstein unmittelbar gilt, müsste sie zunächst durch einen Beschluss des Gemeinsamen EWR-Ausschusses in das EWR-Abkommen übernommen werden – so wie es bei der DSGVO bereits geschehen ist. Ein solcher Beschluss liegt zum Zeitpunkt dieses Artikels nicht vor; die Übernahme ist, soweit uns bekannt, weder terminiert noch endgültig entschieden, sondern offen. Ohne diesen Schritt gibt es in Liechtenstein auch kein nationales Gesetz, das der KI-Verordnung entspricht, und folglich auch keine formale Benennung einer Marktüberwachungsbehörde, wie sie Artikel 70 der Verordnung für jeden EU-Mitgliedstaat vorschreibt. Das Mandat der Datenschutzstelle umfasst heute die DSGVO und das DSG – nicht die KI-Verordnung als solche. Das schliesst nicht aus, dass die Datenschutzstelle aufgrund ihres bestehenden Profils die naheliegende Kandidatin für eine künftige Zuständigkeit wäre, sollte die Verordnung eines Tages ins EWR-Recht übernommen werden. Das ist aber eine Einschätzung, keine Tatsache, und wir formulieren sie bewusst als solche.

Was trotzdem greift: die extraterritoriale Reichweite der KI-Verordnung

Das Fehlen einer liechtensteinischen Behörde bedeutet nicht, dass die Verordnung für Sie irrelevant ist. Artikel 2 der KI-Verordnung definiert einen Anwendungsbereich, der über die EU hinausreicht: Betroffen sein kann auch ein Anbieter oder Betreiber ausserhalb der EU, wenn das Ergebnis seines KI-Systems in der EU genutzt wird oder das System dort auf dem Markt bereitgestellt wird. Für ein liechtensteinisches Unternehmen mit EU-Kunden – etwa im Fondsgeschäft, im Private Banking oder im grenznahen Handel – kann diese Reichweite in der Praxis relevant werden, auch ohne Niederlassung in der EU. Die Kontrolle würde dann grundsätzlich bei der Marktüberwachungsbehörde des betroffenen EU-Mitgliedstaats liegen, nicht in Liechtenstein. Wie genau eine solche Behörde in der Praxis ein EWR-Unternehmen ohne EU-Niederlassung erreichen würde – über welchen Mechanismus, mit welcher Verbindlichkeit –, ist unseres Wissens noch nicht belastbar erprobt; wir vermeiden hier bewusst eine Aussage, die mehr Sicherheit suggeriert, als es die aktuelle Praxis hergibt. Die Mechanik von Artikel 2 im Detail erläutern wir im bereits erwähnten Schwesterartikel.

Was Sie beobachten und heute schon prüfen sollten

Auch ohne feststehende Zuständigkeit lohnt sich die Vorbereitung, aus zwei Gründen. Erstens: Sobald die EWR-Übernahme entschieden ist, dürfte die Umsetzungsfrist kurz sein, wie es bei anderen EU-Rechtsakten in der Vergangenheit oft der Fall war. Zweitens: Die Bussgeldrahmen der Verordnung sind, als EU-Referenzgrösse, erheblich – bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 % für andere schwere Verstösse, mit einer in Artikel 99 Absatz 6 vorgesehenen Erleichterung für KMU und Start-ups, bei der jeweils der niedrigere Betrag angewendet wird. Diese Zahlen gelten unmittelbar für EU-Sachverhalte; für rein liechtensteinische Sachverhalte ohne EU-Bezug greifen sie nicht automatisch, sind aber ein nützlicher Massstab dafür, wie ernst der Gesetzgeber das Thema nimmt. Verfolgen Sie deshalb sowohl die Mitteilungen der Datenschutzstelle als auch die Beschlüsse des Gemeinsamen EWR-Ausschusses.

Checkliste: was ein liechtensteinisches KMU heute schon klären kann

Unabhängig davon, wie die institutionelle Frage sich entwickelt, lassen sich diese Punkte schon jetzt beantworten:

• Haben Sie ein schriftliches Verzeichnis Ihrer KI-Systeme, mit Zweck, verarbeiteten Daten und geschätzter Risikostufe?
• Nutzen oder liefern Sie KI-Systeme, deren Ergebnis von Personen oder Unternehmen in der EU genutzt wird, auch wenn Sie selbst keine EU-Niederlassung haben?
• Verarbeitet eines dieser Systeme personenbezogene Daten? Falls ja, ist die Datenschutzstelle im Rahmen der DSGVO schon heute zuständig, unabhängig vom Stand der KI-Verordnung.
• Wissen Sie, wer intern verantwortlich wäre, wenn ein EU-Kunde oder eine EU-Behörde eine Frage zu einem konkreten KI-System stellt?
• Können Sie die Dokumentation, die Sie bereits für die DSGVO führen, ohne grösseren Aufwand um die für die KI-Verordnung typischen Angaben ergänzen (Zweck, Risikostufe, menschliche Aufsicht)?
• Haben Sie einen Prozess, um Beschlüsse des Gemeinsamen EWR-Ausschusses zur KI-Verordnung zeitnah zur Kenntnis zu nehmen, statt davon überrascht zu werden?

Allgemeine Information, kein Rechtsrat – und der nächste Schritt

Dieser Artikel ist eine allgemeine Information zu einer institutionellen Lage, die sich noch entwickelt, kein Rechtsrat; die Übernahme der KI-Verordnung ins EWR-Recht und eine mögliche künftige Zuständigkeit der Datenschutzstelle können sich ändern, sobald ein Beschluss des Gemeinsamen EWR-Ausschusses vorliegt. Bei Komplya unterscheiden wir konsequent zwischen rechtlich geprüften Inhalten und Arbeitsdokumenten, und wir aktualisieren diesen Artikel, sobald belastbarere Informationen vorliegen.

Statt auf die institutionelle Klärung zu warten, ist der nützlichste Schritt, den eigenen Stand zu kennen: welche KI-Systeme Sie einsetzen, welche davon EU-Bezug haben, und was an Dokumentation bereits vorhanden ist. Unser Online-Fragebogen hilft Ihnen, diesen Stand in wenigen Minuten zu erfassen – bevor ein Kunde oder eine Behörde die Frage an Sie stellt.