Das Wichtigste in Kürze
Das Wichtigste in Kürze- Scharf ist vor allem die Transparenzpflicht nach Artikel 50 für Systeme, die mit Menschen sprechen
- Die Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus deutlich nach hinten verschoben
- Schweizer Unternehmen sind betroffen, sobald das Ergebnis ihres Systems in der EU verwendet wird
- Der praktische Einstieg ist ein Verzeichnis der eingesetzten Systeme, nicht ein Rechtsgutachten
Am 2. August ist eine weitere Stufe der europäischen KI-Verordnung in Kraft getreten. In den Wochen davor war viel von einem Stichtag die Rede, der alles verändert. Der nächtere Blick zeigt ein anderes Bild: Ein Teil der Pflichten ist tatsächlich scharf, ein grösserer Teil wurde verschoben.
Betrifft es Schweizer Unternehmen überhaupt
Die Verordnung ist EU-Recht und gilt nicht unmittelbar in der Schweiz. Ihr Anwendungsbereich ist aber nicht an den Sitz des Unternehmens gekoppelt, sondern an den Ort der Wirkung. Sie greift, wenn ein System in der EU in Verkehr gebracht wird oder wenn das Ergebnis in der EU verwendet wird.
Für ein Schweizer Unternehmen mit Kundschaft in Deutschland oder Frankreich heisst das: Die Frage stellt sich, auch ohne Niederlassung dort. Sie stellt sich nicht bei einem rein binnenmarktorientierten Betrieb ohne EU-Berührung.
Was jetzt wirklich gilt
Der praktisch wichtigste Punkt sind die Transparenzpflichten. Systeme, die unmittelbar mit Menschen kommunizieren, müssen erkennbar machen, dass es sich um ein KI-System handelt. Wer einen Assistenten auf der Website betreibt, muss das sagen, und zwar bei der ersten Interaktion.
Dazu kommt die Kennzeichnung künstlich erzeugter Inhalte, die echt wirken. Ein erzeugtes Bild, das wie eine Fotografie einer realen Person aussieht, gehört gekennzeichnet. Erkennbar stilisierte Darstellungen sind davon nicht erfasst.
Warum das keine Entwarnung ist
Aus dem Aufschub den Schluss zu ziehen, man könne das Thema liegen lassen, wäre aus zwei Gründen falsch. Erstens gelten die Transparenzpflichten jetzt. Zweitens bleibt das Schweizer Datenschutzrecht davon völlig unberührt.
Das DSG stellt seine eigenen Anforderungen, unabhängig von jeder EU-Frist: Transparenz über die Bearbeitung, eine Rechtsgrundlage für die Bekanntgabe ins Ausland, ein Bearbeitungsverzeichnis. Wer diese Punkte nicht geregelt hat, hat ein Problem, das mit dem AI Act gar nichts zu tun hat.
Der praktische Einstieg
Unternehmen, die uns zu diesem Thema ansprechen, erwarten oft ein Rechtsgutachten. Der sinnvollere erste Schritt ist ein Verzeichnis. Welche KI-Systeme laufen im Haus, wofür werden sie genutzt, mit welchen Daten, von welchem Anbieter, und sprechen sie direkt mit Menschen.
- 1Alle eingesetzten Systeme erfassen, auch die in gekaufter Software eingebauten
- 2Je System festhalten, ob es direkt mit Menschen kommuniziert
- 3Prüfen, welche Daten hineinfliessen und wo verarbeitet wird
- 4Für jedes System benennen, wer intern zuständig ist
Diese Liste beantwortet die meisten Fragen von selbst. Sie zeigt auch, wo gar kein Handlungsbedarf besteht, und das ist oft der grössere Teil.
Der häufigste blinde Fleck
Die meisten Verzeichnisse, die wir sehen, sind zu kurz. Sie enthalten die offensichtlichen Werkzeuge und übersehen, was in bereits gekaufter Software steckt: die Zusammenfassung im Mailprogramm, die Vorschlagsfunktion im CRM, die Transkription im Besprechungswerkzeug.
Diese Funktionen sind eingeschaltet, ohne dass jemand eine Entscheidung getroffen hätte. Genau deshalb gehören sie zuerst auf die Liste.
Fazit von Marcel
Ich habe in den letzten Monaten viel Aufregung zu diesem Thema gesehen, und sie war meistens am falschen Punkt. Die grossen Pflichten für Hochrisiko-Anwendungen sind verschoben, darüber kann man streiten, aber es ist die Faktenlage. Scharf ist etwas viel Unspektakuläreres: Wer einen Assistenten auf der Website hat, muss sagen, dass es einer ist. Mein Rat ist deshalb, nicht mit einem Gutachten anzufangen, sondern mit einer Liste. Wer nicht weiss, welche Systeme im Haus laufen, kann keine einzige Frage beantworten.
Marcel Kaschner · Founder & Managing Director, ZAVION
Häufige Fragen
Gilt der EU AI Act für Schweizer Unternehmen?
Nicht direkt durch Schweizer Recht, aber durch den Anwendungsbereich der Verordnung selbst. Sie greift, wenn ein System in der EU in Verkehr gebracht wird oder wenn das Ergebnis eines Systems in der EU verwendet wird. Ein Schweizer Unternehmen mit Kundschaft in der EU ist damit in vielen Fällen erfasst, auch ohne Niederlassung dort.
Was ist seit dem 2. August wirklich scharf?
Vor allem die Transparenzpflichten aus Artikel 50. Systeme, die unmittelbar mit Menschen kommunizieren, müssen als KI erkennbar sein. Künstlich erzeugte oder veränderte Inhalte, die echt wirken, müssen gekennzeichnet werden. Das betrifft Chatassistenten, Sprachdienste und erzeugte Bilder und Videos.
Was hat der Digital Omnibus geändert?
Er hat die Anwendung der Pflichten für Hochrisiko-Systeme deutlich nach hinten verschoben. Wer sich auf den ursprünglichen Zeitplan eingestellt hat, hat mehr Luft als gedacht. Das ist ein Aufschub, keine Aufhebung: Die Anforderungen bleiben bestehen und kommen später.
Womit fängt man praktisch an?
Mit einem Verzeichnis: Welche KI-Systeme laufen im Unternehmen, wofür, mit welchen Daten, von welchem Anbieter, und spricht das System direkt mit Menschen. Diese Liste beantwortet die meisten Fragen von selbst und zeigt, wo überhaupt Handlungsbedarf besteht.
