EU AI Act 2026: Was Schweizer KMU jetzt wissen müssen

Am 7. Mai 2026 einigten sich EU-Parlament und Europäischer Rat im Rahmen des sogenannten Digital Omnibus auf eine deutliche Verschiebung der Hochrisiko-Fristen des EU AI Acts. Seit dem 27. Juli 2026 ist das Digital Omnibus on AI (Verordnung (EU) 2026/1744) in Kraft. Für viele Schweizer Firmen, die auf das ursprüngliche Datum im August 2026 zugesteuert waren, klingt das nach Entlastung. Und das ist es auch – teilweise. Denn die Verschiebung betrifft nur einen Teil der Pflichten. Artikel 50 (Transparenz) bleibt beim 2. August 2026, und wer die nächsten Monate ungenutzt lässt, hat lediglich die Hochrisiko-Deadline nach hinten geschoben, nicht das Problem gelöst.

Über 55 Prozent der KMU in der Schweiz investieren bereits in KI-Technologien (Sotomo, 2025). Das bedeutet: Viele Betriebe setzen KI ein – aber nicht jede Nutzung fällt unter den EU AI Act. Entscheidend ist der konkrete Anknüpfungspunkt nach Artikel 2, nicht allein die Frage, ob irgendwo ein EU-Kunde existiert.

Dieser Beitrag verschafft Ihnen Klarheit: Was gilt bereits heute, was hat sich mit dem Digital Omnibus geändert – und welche konkreten Schritte zahlen sich jetzt aus.

Was ist der EU AI Act und gilt er für Schweizer Unternehmen?

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft – das weltweit erste umfassende Gesetz für Künstliche Intelligenz. Es unterscheidet KI-Systeme nach ihrem Risikopotenzial und legt je nach Risikoklasse unterschiedliche Pflichten für Anbieter und Betreiber fest.

Die entscheidende Frage lautet: Gilt das überhaupt für uns? Die Antwort folgt nicht dem DSGVO-Slogan «jeder EU-Kunde reicht», sondern den Kriterien von Artikel 2. Entscheidend sind unter anderem:

• Sie als Anbieter bringen KI-Systeme oder General-Purpose-AI-Modelle in der EU in Verkehr oder nehmen sie dort in Betrieb – unabhängig vom Firmensitz
• Sie sind Betreiber mit Niederlassung oder Standort in der EU
• Sie sind Anbieter oder Betreiber in einem Drittstaat (z. B. Schweiz), und der Output des KI-Systems wird in der Union verwendet
• Sie exportieren Software oder digitale Dienstleistungen mit KI-Funktionen, die in der EU in Verkehr gebracht werden

Oft ausserhalb des Betreiber-Anwendungsbereichs bleibt rein interne KI-Nutzung in der Schweiz, wenn der Output nicht in der EU verwendet wird – etwa ChatGPT nur für interne Entwürfe, die nie an EU-Kundschaft oder EU-Prozesse gehen. Umgekehrt greift der Act, wenn etwa KI-generierte Inhalte, Scoring-Ergebnisse oder automatisierte Entscheide im EU-Markt eingesetzt werden.

Wer ausschliesslich in der Schweiz tätig ist und keinen der Anknüpfungspunkte erfüllt, ist formal nicht direkt vom AI Act erfasst – sollte aber die eigene Schweizer Regulierung und das revidierte Datenschutzgesetz im Auge behalten (dazu später mehr).

Die vier Risikostufen: Wo stehen Sie?

Bevor wir den Zeitplan anschauen, ist es wichtig zu verstehen, in welche Risikoklasse Ihre KI-Anwendungen fallen. Der EU AI Act kennt vier Stufen.

Unvertretbares Risiko – verboten seit Februar 2025

Diese Systeme sind seit dem 2. Februar 2025 vollständig verboten. Dazu zählen: Social Scoring durch staatliche oder private Stellen, Echtzeit-biometrische Fernidentifikation im öffentlichen Raum sowie manipulative KI-Systeme, die menschliche Schwächen oder Schutzlosigkeit ausnutzen. Für die grosse Mehrheit der Schweizer Betriebe ist dieser Bereich nicht relevant.

Hochrisiko – strenge Anforderungen ab Ende 2027

Hochrisiko-KI-Systeme unterliegen den umfangreichsten Pflichten: Risikomanagementsystem, detaillierte technische Dokumentation, Daten-Governance, menschliche Aufsicht und Konformitätsbewertung vor der Inbetriebnahme.

Typische Hochrisiko-Anwendungen, die auch KMU einsetzen könnten:

• KI-gestütztes HR-Screening: Software, die Bewerbungen automatisch bewertet oder filtert
• Kreditwürdigkeitsprüfung: Automatisierte Bonitätsbeurteilung von Kundinnen und Kunden
• Personalbeurteilung: KI-Systeme zur Leistungsbewertung von Mitarbeitenden
• Biometrische Zugangssysteme: Je nach Ausgestaltung und Einsatzzweck

Begrenztes Risiko – Transparenzpflichten ab 2. August 2026

Chatbots und andere KI-Systeme, bei denen Nutzende nicht sofort erkennen, dass sie mit einer Maschine interagieren, unterliegen Transparenzpflichten nach Artikel 50. Nutzende müssen informiert werden. Für bestimmte KI-generierte Inhalte gelten Markierungs- und Kennzeichnungspflichten – differenziert nach Anbieter- und Betreiberrollen (maschinenlesbare Markierung primär bei Anbietern; sichtbare Kennzeichnung etwa bei Deepfakes eher bei Betreibern). Diese Transparenzpflichten gelten ab dem 2. August 2026, nicht bereits seit August 2025.

Minimales Risiko – keine spezifischen Anforderungen

Spam-Filter, KI-gestützte Übersetzungen, Empfehlungsalgorithmen in internen Tools: Hier gelten keine besonderen Anforderungen des AI Acts. Der Grossteil der heute im Büroalltag genutzten KI-Tools fällt in diese Kategorie.

Zeitplan 2026: Was gilt und was sich geändert hat

Hier ist der aktuelle Stand – nach Inkrafttreten des Digital Omnibus am 27. Juli 2026:

Bereits vollständig in Kraft:

Wichtige Fristen 2026 und danach:

Wichtig: Die Hochrisiko-Verschiebung ist mit dem Digital Omnibus rechtlich verankert. Artikel 50 war nicht Gegenstand dieser Verschiebung und bleibt beim 2. August 2026.

Das Digital Omnibus bringt ausserdem eine Erweiterung der KMU-Erleichterungen: Vereinfachte Dokumentations- und Support-Massnahmen gelten neu auch für sogenannte Small Mid-Caps (SMCs) – typischerweise Unternehmen mit weniger als 750 Mitarbeitenden und zusätzlichen finanziellen Schwellen (u. a. Umsatz bzw. Bilanzsumme in der Grössenordnung von rund 150 bzw. 129 Millionen Euro, je nach Definition im Omnibus-Rahmen). Das entlastet einen grossen Teil der mittelständischen Schweizer Unternehmen mit EU-Bezug – nicht nur «klassische» KMU unter 250 Mitarbeitenden.

Betreiber vs. Anbieter – Die entscheidende Unterscheidung

Für die Frage, welche Pflichten Sie konkret treffen, ist eine Unterscheidung zentral: Sind Sie Anbieter (Provider) oder Betreiber (Deployer)?

Anbieter entwickeln, trainieren und vermarkten KI-Systeme. Das sind in der Regel grosse Technologieunternehmen – OpenAI, Microsoft, Anthropic, Google – oder Unternehmen, die eigene KI-Produkte entwickeln und an Dritte verkaufen.

Betreiber setzen bestehende KI-Systeme in ihrem Unternehmen ein. Das ist die Rolle der grossen Mehrheit der KMU. Sie nutzen ChatGPT, Microsoft Copilot, KI-fähige Buchhaltungssoftware oder automatisierte CRM-Systeme – ohne diese selbst zu entwickeln.

Die Konsequenz ist bedeutsam: Als Betreiber im Bereich minimales oder begrenztes Risiko genügt es in vielen Fällen,

• Nutzer transparent über den KI-Einsatz zu informieren, wo Artikel 50 dies verlangt (ab 2. August 2026)
• die Gebrauchsanweisungen des Anbieters zu befolgen und keine zweckfremde Nutzung vorzunehmen
• menschliche Aufsicht über automatisierte Entscheide sicherzustellen

Bei Hochrisiko-Systemen kommen auch für Betreiber weitere Pflichten dazu: Sie müssen ein Risikomanagementsystem vorweisen, Vorfälle melden und den Betrieb dokumentieren. Diese Pflichten greifen jedoch erst ab den neuen Hochrisiko-Fristen (ab Dezember 2027 bzw. August 2028).

Schweizer Regulierung: Was die Schweiz selbst plant

Der EU AI Act ist kein Schweizer Gesetz – aber die Schweiz ist dabei, eigene Weichen zu stellen.

Im März 2025 unterzeichnete die Schweiz die KI-Konvention des Europarates (Rahmenübereinkommen über KI und Menschenrechte, Demokratie und Rechtsstaat). Die Unterzeichnung allein macht die Konvention noch nicht verbindlich: Sie bindet die Schweiz erst nach Ratifikation. Bis dahin bleibt sie ein politisches und rechtspolitisches Signal, kein unmittelbar anwendbares Schweizer KI-Gesetz.

Das Eidgenössische Justiz- und Polizeidepartement (EJPD) erarbeitet bis Ende 2026 Entwürfe für eine eigenständige Schweizer KI-Regulierung. Erwartet wird keine 1:1-Kopie des EU AI Act, sondern eine schweizerische Lösung mit Anknüpfung an die Europarat-Konvention und internationale Standards – mit möglicher inhaltlicher Nähe zu Teilen des AI Acts. Was Sie heute für EU-relevante KI-Compliance vorbereiten, erleichtert oft auch die spätere Schweizer Umsetzung, ersetzt aber keine Einzelfallprüfung.

Wer heute ausschliesslich in der Schweiz tätig ist, sollte parallel das revidierte Datenschutzgesetz (revDSG) ernst nehmen: KI-Einsatz mit Personendaten ist bereits heute datenschutzrechtlich geregelt, unabhängig vom AI Act.

Konkrete Schritte für Ihr KMU

Bevor wir zum Fazit kommen: Fünf pragmatische Schritte, die sich heute schon auszahlen.

Schritt 1: KI-Inventar erstellen Listen Sie alle KI-Systeme und -Tools auf, die in Ihrem Unternehmen eingesetzt werden – von ChatGPT über HR-Software bis hin zu automatisierten E-Mail-Filtern. Notieren Sie Anbieter, Einsatzzweck, betroffene Personengruppen und ob Outputs in der EU verwendet werden.

Schritt 2: Risikostufe und Anwendungsbereich einschätzen Prüfen Sie für jeden Eintrag, ob Artikel 2 greift und in welche Risikoklasse das System fällt. Für Standard-Bürotools gilt in der Regel minimales Risiko. Kritischer wird es bei HR, Kredit und biometrischen Systemen – hier lohnt eine vertiefte Prüfung.

Schritt 3: Transparenz für Artikel 50 vorbereiten Setzen Sie KI-Chatbots oder bestimmte KI-generierte Inhalte gegenüber Personen im EU-Kontext ein? Dann stellen Sie sicher, dass die Offenlegung ab dem 2. August 2026 greift – sichtbar am Interaktionsort, nicht nur in der Datenschutzerklärung. Details zur Rollenverteilung (Anbieter vs. Betreiber) gehören in die interne Checkliste.

Schritt 4: Anbieter-Dokumentation beschaffen Verlangen Sie von Ihren KI-Anbietern die relevante Dokumentation: Benutzerhandbücher, Konformitätserklärungen, Risikoklassifizierungen. Grosse Anbieter wie Microsoft und Anthropic stellen diese in der Regel bereit – oft über dedizierte Trust-Center-Seiten.

Schritt 5: Interne Zuständigkeit klären Benennen Sie eine interne Person, die das Thema KI-Compliance verantwortet. Das muss kein Vollzeitjob sein – aber jemand muss die Entwicklungen verfolgen, die Dokumentation führen und im Ernstfall handlungsfähig sein.

---

Der EU AI Act schränkt den KI-Einsatz in Schweizer Unternehmen nicht grundsätzlich ein – er schafft einen Rahmen, der Vertrauen gegenüber Kunden und Partnern in der EU aufbaut, soweit der Act anwendbar ist. Wer frühzeitig Transparenz zeigt und KI verantwortungsvoll einsetzt, stärkt seine Position als verlässlicher Geschäftspartner.

Für eine strukturierte Einschätzung Ihrer Situation – welche Tools betroffen sind, welche Fristen für Sie relevant sind und welche Schritte Priorität haben – bietet Hedinger-Digital konkrete Digitalberatung für KMU. Wer KI bereits einsetzt oder einführen will und Compliance gleich mitdenken möchte, findet bei der KI-Beratung & Integration für KMU den passenden Rahmen. Für ein erstes Gespräch genügt eine kurze Nachricht über das Kontaktformular.