Seit dem 2. August 2026 gilt ein weiterer Teil der EU-Verordnung über künstliche Intelligenz, und wenige Tage zuvor hat die EU einen Teil ihres eigenen Fahrplans verschoben. Für Schweizer Unternehmen ist damit eine Lage entstanden, die auf den ersten Blick widersprüchlich wirkt: Die grossen Hochrisiko-Pflichten kommen später als geplant, die Transparenzpflichten sind dafür jetzt verbindlich. Wer KI-Werkzeuge im Betrieb einsetzt oder Leistungen in die EU verkauft, sollte den Stand kennen — auch ohne eigenes Schweizer KI-Gesetz.
Was seit dem 2. August 2026 verbindlich ist
In Kraft getreten sind die Transparenzpflichten nach Artikel 50 der KI-Verordnung. Sie betreffen nicht spezialisierte Entwickler, sondern den alltäglichen Einsatz generativer Systeme:
- Systeme, die direkt mit Menschen interagieren, müssen offenlegen, dass es sich um eine Maschine handelt — der Chatbot auf der eigenen Website fällt darunter.
- KI-erzeugte Inhalte — Text, Bild, Audio, Video — müssen maschinenlesbar gekennzeichnet werden.
- Deepfakes und KI-generierte Texte zu Themen von öffentlichem Interesse brauchen eine sichtbare Kennzeichnung.
- Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen informieren.
Für Systeme, die vor dem 2. August 2026 bereits im Einsatz waren, läuft die Frist zur maschinenlesbaren Kennzeichnung bis zum 2. Dezember 2026. Ebenfalls auf dieses Datum fallen zwei neue Verbotstatbestände in Artikel 5, die KI-Systeme zur Erzeugung von nicht einvernehmlichem intimem Material und von Darstellungen sexuellen Kindsmissbrauchs betreffen.
Was der Digital Omnibus verschoben hat
Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus, in Kraft getreten. Sie verschiebt die Pflichten für Hochrisiko-Systeme deutlich nach hinten: eigenständige Hochrisiko-Systeme nach Anhang III vom ursprünglichen August 2026 auf den 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Das betrifft unter anderem KI in der Personalauswahl, in der Kreditvergabe und in der Bildungsbewertung — also genau jene Anwendungsfelder, auf die sich viele Unternehmen seit 2024 vorbereitet hatten.
Der Sanktionsrahmen bleibt unverändert: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes im Regelfall, bis zu 35 Millionen Euro oder 7 Prozent bei verbotenen Praktiken nach Artikel 5. Für kleine und mittlere Unternehmen gilt jeweils der tiefere Betrag.
Die Verschiebung ist kein Freipass. Sie verschafft zusätzliche Zeit für Dokumentation und Risikomanagement — die Transparenz- und Kompetenzpflichten laufen davon unberührt weiter.
Warum die EU-Verordnung Schweizer Unternehmen betrifft
Die KI-Verordnung knüpft nicht am Sitz des Unternehmens an, sondern am Markt, auf dem ein KI-System oder dessen Ergebnis eingesetzt wird. Ein Schweizer Betrieb fällt darunter, wenn er KI-gestützte Produkte oder Dienstleistungen in der EU anbietet — oder wenn die Ergebnisse eines Systems dort verwendet werden. Praktisch heisst das: Wer für einen deutschen Kunden Bewerbungen vorsortiert, wer eine KI-gestützte Anwendung an einen EU-Konzern liefert, wer als Zulieferer Teil einer Wertschöpfungskette mit EU-Endkunden ist, sollte die eigene Rolle klären. Anbieter und Betreiber haben unterschiedliche Pflichten, und viele Unternehmen sind beides zugleich.
Und in der Schweiz?
Ein umfassendes Schweizer KI-Gesetz gibt es nicht. Der Bundesrat hat sich am 12. Februar 2025 gegen eine Übernahme des EU-Modells und für einen sektoriellen Ansatz entschieden: Die KI-Konvention des Europarats — von der Schweiz am 27. März 2025 unterzeichnet — soll ins Schweizer Recht überführt werden, mit punktuellen Anpassungen in den Bereichen Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Eine Vernehmlassungsvorlage wird bis Ende 2026 erwartet, die Ratifikation steht aus.
Bis dahin ist die Lage nicht regelfrei, sondern verteilt: Das revidierte Datenschutzgesetz gilt für jede Bearbeitung von Personendaten durch KI-Systeme, dazu kommen Arbeitsrecht, Urheberrecht, Vertragsrecht und branchenspezifische Vorgaben. Wer heute einen KI-Assistenten auf Kundendaten ansetzt, bewegt sich also bereits in einem geregelten Feld — nur ohne das Etikett «KI-Gesetz».
Die Pflicht, die schon seit anderthalb Jahren läuft
Am wenigsten beachtet und am einfachsten zu erfüllen ist Artikel 4 der KI-Verordnung: KI-Kompetenz. Er gilt seit dem 2. Februar 2025 und verlangt von Anbietern und Betreibern, dass sie Massnahmen ergreifen, damit ihr Personal und die weiteren mit dem Betrieb befassten Personen über ausreichende Fähigkeiten, Kenntnisse und ein Verständnis für Chancen und Risiken verfügen. Der Digital Omnibus hat die Formulierung nach Einschätzung der Kanzlei Flick Gocke Schaumburg von «sicherstellen» zu «fördern» abgeschwächt; eine Garantie für ein bestimmtes Kompetenzniveau einzelner Personen war ohnehin nie verlangt.
Entscheidend ist die Nachweisbarkeit. Wer schulen lässt, Teilnahmen dokumentiert und interne Regeln schriftlich festhält, erfüllt diesen Punkt mit überschaubarem Aufwand — und hat nebenbei den Effekt, den die meisten Betriebe ohnehin suchen: weniger Wildwuchs beim Werkzeugeinsatz.
Handlungsschritte für die nächsten Monate
- Inventar erstellen. Welche KI-Werkzeuge sind im Einsatz, in welcher Abteilung, mit welchen Daten? Eingebaute Funktionen in bestehender Software gehören dazu, nicht nur eigenständige Assistenten.
- Rolle bestimmen. Anbieter oder Betreiber — und besteht überhaupt ein EU-Bezug? Ohne diese Einordnung lässt sich keine Pflicht sinnvoll zuordnen.
- Transparenz umsetzen. Chatbots kennzeichnen, KI-generierte Inhalte markieren, die Frist 2. Dezember 2026 für Altsysteme im Kalender vermerken.
- Kompetenz aufbauen und dokumentieren. Schulungen für die Anwenderseite, vertiefte Schulung für Führungskräfte und IT — mit Teilnehmerlisten und Datum.
- Datenschutz mitdenken. Prüfen, welche Personendaten in welche Systeme fliessen, und ob Berechtigungen und Klassifizierung dem standhalten.
- Interne Regeln schreiben. Eine zweiseitige Nutzungsrichtlinie mit erlaubten Werkzeugen, verbotenen Datenkategorien und Freigabepflichten wirkt mehr als ein Rahmenwerk, das niemand liest.
Der Zeitgewinn durch den Digital Omnibus ist real, gilt aber nur für die Hochrisiko-Ebene. Die Aufgaben, die jetzt anstehen — Inventar, Transparenz, Kompetenz, Datenschutz — sind dieselben, die ein Unternehmen auch ohne EU-Bezug braucht, um KI kontrolliert einzusetzen.
Passende Kurse der CT Academy
Für die Einordnung auf Führungsebene — Einsatzfelder, Risiken und Regulierung in einem Tag — eignet sich KI für Führungskräfte: Einsatzfelder, Risiken, Regulierung. Wer Microsoft 365 Copilot einführt und dabei Berechtigungen, Datenschutz und Governance sauber aufsetzen will, findet das Vorgehen in Copilot einführen: Governance, Datenschutz und Berechtigungen. Für die Anwenderseite, also den Kompetenzaufbau in der Breite, ist Prompting, das funktioniert der praktische Einstieg. Und wer die technische Absicherung von Informationen in Microsoft 365 verantwortet — Klassifizierung, Vertraulichkeitsbezeichnungen, Datenverlustprävention und der Schutz von Daten in KI-Diensten — findet sie in SC-401 Administering Information Security in Microsoft 365.
