Das Wichtigste in Kürze
Das Wichtigste in Kürze- Die Schweiz verzichtet auf ein umfassendes KI-Gesetz und passt stattdessen bestehendes Recht an
- Kein eigenes Gesetz heisst nicht kein Recht: DSG, OR und Sektorrecht gelten unverändert
- Wer in die EU liefert, ist von der dortigen Verordnung erfasst, unabhängig vom Schweizer Weg
- Praktisch ändert der Sonderweg wenig an dem, was Unternehmen ohnehin tun sollten
Während in der EU seit Monaten über Fristen und Risikoklassen diskutiert wird, geht die Schweiz einen anderen Weg. Es gibt kein umfassendes KI-Gesetz und es wird vorerst keines geben. Was das praktisch bedeutet, wird häufig missverstanden.
Die Entscheidung des Bundes
Statt eines Querschnittsgesetzes setzt der Bund auf zwei Linien: die Ratifikation der KI-Konvention des Europarats und punktuelle Anpassungen im bestehenden Recht, dort wo sie nötig sind.
Zuständig bleiben damit die bestehenden Sektorbehörden. Wer Medizinprodukte herstellt, hat es weiter mit der Heilmittelbehörde zu tun, wer im Finanzbereich arbeitet, mit der Finanzmarktaufsicht.
Der häufigste Trugschluss
Aus dem fehlenden Gesetz wird regelmässig geschlossen, es gäbe keine Regeln. Das ist falsch und praktisch gefährlich.
Das Datenschutzrecht gilt unverändert, samt Bearbeitungsverzeichnis, Informationspflicht und den Vorgaben zur Bekanntgabe ins Ausland. Das Obligationenrecht gilt, samt Sorgfaltspflicht und Haftung für das, was im Namen des Unternehmens nach aussen geht.
Was für Unternehmen mit EU-Bezug gilt
Für sie ist der Schweizer Weg weitgehend unerheblich. Die europäische Verordnung knüpft an den Ort der Wirkung an, nicht an den Sitz des Unternehmens.
Wer Kundschaft in Deutschland oder Frankreich hat und dort ein System einsetzt oder dessen Ergebnis verwenden lässt, richtet sich nach den dortigen Vorgaben. Der Schweizer Verzicht auf ein eigenes Gesetz ändert daran nichts.
Was der Sonderweg praktisch bedeutet
Für die Planung heisst das: Der Aufwand verschiebt sich, er verschwindet nicht. Statt einer Verordnung mit klaren Risikoklassen gilt ein Flickenteppich aus bestehendem Recht, das auf neue Fälle angewendet werden muss.
Das schafft Spielraum und Unsicherheit zugleich. Spielraum, weil keine starre Klassifizierung vorgeschrieben ist. Unsicherheit, weil erst Rechtsprechung zeigen wird, wie einzelne Fragen ausgelegt werden.
Was du unabhängig davon tun solltest
- Ein Verzeichnis der eingesetzten KI-Systeme führen, auch der in gekaufter Software eingebauten
- Je System festhalten, wer zuständig ist und welche Daten hineinfliessen
- Bei Systemen mit Aussenwirkung einen Menschen in den Entscheid einbauen
- Schreibaktionen protokollieren, damit im Zweifel rekonstruierbar bleibt, was passiert ist
Diese vier Punkte verlangt kein Schweizer Gesetz ausdrücklich. Sie sind trotzdem das, was man braucht, wenn eine Aufsichtsbehörde, ein Kunde oder ein Gericht eine Frage stellt.
Fazit von Marcel
Der Schweizer Weg wird oft als Standortvorteil verkauft und manchmal als Regulierungslücke befürchtet. Beides greift zu kurz. Wer Kundschaft in der EU hat, richtet sich ohnehin nach der dortigen Verordnung, und wer keine hat, muss trotzdem das Datenschutzrecht und die Sorgfaltspflichten einhalten. Der praktische Unterschied ist kleiner, als die Debatte vermuten lässt. Was bleibt, ist eine gewisse Unsicherheit darüber, wie einzelne Fragen später ausgelegt werden.
Marcel Kaschner · Founder & Managing Director, ZAVION
Häufige Fragen
Gibt es in der Schweiz ein KI-Gesetz?
Kein umfassendes. Der Bundesrat hat sich gegen ein eigenes Querschnittsgesetz entschieden und setzt auf die Ratifikation der KI-Konvention des Europarats sowie auf punktuelle Anpassungen im bestehenden Recht. Zuständig bleiben damit die Sektorbehörden.
Heisst das, KI ist hier unreguliert?
Nein. Datenschutzrecht, Obligationenrecht, Produktehaftung, Arbeitsrecht und das jeweilige Sektorrecht gelten unverändert. Wer ein System einsetzt, das falsche Auskunft gibt oder Personendaten unzulässig bearbeitet, haftet nach den bestehenden Regeln.
Was bedeutet das für Unternehmen mit EU-Kunden?
Für sie ändert der Schweizer Weg praktisch nichts. Die EU-Verordnung knüpft an den Ort der Wirkung an. Wer ein System in der EU in Verkehr bringt oder dessen Ergebnis dort verwendet wird, ist erfasst, unabhängig vom Firmensitz.
Sollte man trotzdem an ISO 42001 oder ähnlichem arbeiten?
Wenn Kunden oder Ausschreibungen danach fragen, ja. Unabhängig davon lohnt sich die Substanz dahinter: ein Verzeichnis der eingesetzten Systeme, klare Zuständigkeiten und protokollierte Entscheide. Das braucht man auch ohne Zertifikat.
