EU AI Act: Was Schweizer Unternehmen bis August 2026 konkret umsetzen müssen
Der EU AI Act betrifft auch Schweizer KMU, sobald KI-Systeme im EU-Markt eingesetzt werden. Ab August 2026 werden die zentralen Pflichten für Hochrisiko-KI scharf geschaltet. Dieser Beitrag zeigt, wie Sie KI auf Website, Webshop und App pragmatisch prüfen und Compliance sauber aufsetzen.
Gilt der EU AI Act für Schweizer Firmen?
Ja, häufig. Der EU AI Act folgt wie die DSGVO einem Marktortprinzip: Entscheidend ist nicht nur der Firmensitz, sondern ob ein KI-System im EU-Kontext bereitgestellt, eingesetzt oder dessen Output in der EU verwendet wird.
Typische Konstellationen, in denen Schweizer KMU betroffen sind:
- Sie betreiben einen Webshop und bedienen EU-Kundschaft und nutzen KI für Empfehlungen, Personalisierung oder Betrugserkennung.
- Sie bieten eine Software, Webapplikation oder App mit KI-Funktionen an, die in der EU genutzt wird.
- Sie betreiben KI-gestützte Funktionen auf einer Website, die auch EU-Nutzende erreicht, z.B. ein Support-Chatbot mit automatisierter Fallkategorisierung.
- Sie sind Teil einer Lieferkette: Ein EU-Kunde verlangt Nachweise zur KI-Compliance (Vendor Due Diligence).
Wichtig: Auch wenn die Schweiz eigene Wege in der KI-Regulierung diskutiert, kann der EU AI Act für Ihr Geschäftsmodell dennoch die massgebliche Vorgabe sein, sobald EU-Bezug besteht.
Was bedeutet "Hochrisiko-KI" in der Praxis?
"Hochrisiko" ist nicht einfach "KI mit grossem Schadenpotenzial", sondern im EU AI Act über konkrete Einsatzfelder und Funktionen definiert. Vereinfacht gilt: Hochrisiko-KI sind Systeme, die in sensiblen Kontexten eingesetzt werden oder wesentliche Entscheidungen beeinflussen können.
Die Kernfrage lautet: Welche Rolle spielt KI in Ihrer Prozesskette, und welche Folgen hat ein Fehler?
Für viele Website- und E-Commerce-Anwendungsfälle gilt:
Ein klassischer Marketing-Chatbot oder ein Empfehlungssystem kann je nach Ausgestaltung auch unter weniger strenge Regeln fallen.
Sobald KI jedoch über den reinen Komfort hinausgeht und z.B. Zugang zu Leistungen steuert, Personen bewertet, Risiken klassifiziert oder automatisierte Entscheidungen mit spürbarer Wirkung unterstützt, steigt die Wahrscheinlichkeit einer Hochrisiko-Einstufung.
Praxisbeispiele (vereinfacht):
KI-Chatbot im Kundenservice: unkritisch, wenn rein unterstützend und klar gekennzeichnet, aber anspruchsvoller, wenn er Entscheidungen trifft (z.B. automatische Sperrungen, Ablehnungen, Vertragsänderungen).
Empfehlungssystem im E-Commerce: meist nicht Hochrisiko, kann aber Risiken in Richtung Diskriminierung oder Manipulation haben (Transparenz, Monitoring, Datenqualität).
Automatisierte Entscheidungssysteme (z.B. Scoring, Fraud, Kredit- oder Versicherungslogik): deutlich eher kritisch, abhängig vom Einsatzkontext.
Anbieter vs. Nutzer: Wer muss was tun?
Der EU AI Act unterscheidet Rollen. Für KMU ist das entscheidend, weil Pflichten stark davon abhängen, ob Sie KI "bauen" oder "einsetzen".
Wenn Sie Anbieter sind (Provider)
Sie entwickeln oder vermarkten ein KI-System (z.B. als SaaS, Plugin, Feature in Ihrer App). Dann stehen typischerweise im Fokus:
- Risikomanagement und Governance
- Technische Dokumentation
- Datenqualität und Trainingsdaten-Governance
- Logging und Nachvollziehbarkeit
- Konformitätsbewertung (je nach System)
- Monitoring nach dem Go-Live und Incident-Prozesse
Wenn Sie Nutzer sind (Deployer)
Sie setzen ein KI-System ein, z.B. einen externen Chatbot, eine Empfehlungslösung oder ein KI-Modul im Webshop. Dann sind typische Pflichten:
- Zweck, Einsatzgrenzen und Rollen klären
- Lieferantendokumentation einfordern und prüfen
- Mitarbeitende schulen, Zuständigkeiten definieren
- Monitoring, Feedback und Eskalation sicherstellen
- Transparenz gegenüber Nutzenden (je nach Use Case)
- Datenschutz und Security sauber integrieren
In der Praxis sind viele Unternehmen beides: Sie nutzen KI intern und bieten gleichzeitig digitale Produkte an. Dann lohnt sich ein zentrales KI-Register (Inventar) als Basis.
Schritt-für-Schritt-Checkliste für Schweizer KMU (bis August 2026)
Diese Checkliste ist bewusst pragmatisch gehalten und eignet sich als Startpunkt für Website-, Webshop- und App-Projekte.
- KI-Inventar erstellen
- Welche KI-Systeme nutzen wir auf Website, Webshop, App und intern?
- Wer ist Anbieter, wer ist Nutzer, welche Daten fliessen?
- Use Cases klassifizieren
- Welche Systeme könnten Hochrisiko sein?
- Welche Systeme haben erhöhte Anforderungen, zum Beispiel Transparenz, Logging oder menschliche Aufsicht?
- Verantwortlichkeiten festlegen
- Wer ist intern Owner im Fachbereich?
- Wer ist technisch verantwortlich, zum Beispiel IT oder Partner?
- Wer ist rechtlich verantwortlich, zum Beispiel Compliance oder Datenschutz?
- Lieferanten- und Vertragsprüfung
- Welche Nachweise liefert der Vendor, zum Beispiel Dokumentation, Security, Tests oder Monitoring?
- Welche Support- und Incident-Prozesse sind vertraglich geregelt?
- Technische Massnahmen umsetzen
- Logging und Monitoring für Qualität, Drift und Fehler einrichten
- Rechte- und Rollenkonzepte definieren
- Change-Management für Modelle und Prompts etablieren
- Transparenz sicherstellen
- Klare Kennzeichnung, wenn Nutzende mit KI interagieren, zum Beispiel bei einem Chatbot
- Hinweise geben, wie Ergebnisse entstehen und wie man Widerspruch einlegen oder Support erhalten kann
- Testing und Betrieb
- Tests auf Bias, Robustheit und Fehlverhalten durchführen
- Regelmässige Review-Zyklen einplanen und Dokumentation aktuell halten
- Go-Live mit Kontrolle
- Human-in-the-loop dort einsetzen, wo Entscheidungen kritisch sind
- Fallback-Mechanismen vorbereiten, zum Beispiel Deaktivieren, Safe Mode oder Support
Was das für Webprojekte konkret heisst
Viele KI-Funktionen werden heute "einfach eingebaut". Ab 2026 lohnt sich ein anderer Ansatz: KI wird wie eine sicherheitsrelevante Komponente behandelt.
In Webapplikationen und E-Commerce-Projekten sehen wir typischerweise diese Erfolgsfaktoren:
- Architektur mit Audit-Trail: Sie können nachvollziehen, welche Eingaben und Versionen zu welchem Ergebnis geführt haben.
- Saubere Datenflüsse: Weniger Schatten-Integrationen, klare Schnittstellen zu CRM, ERP oder PIM.
- Betrieb und Monitoring sind Teil des Projekts, nicht ein Nachtrag.
- UX und Transparenz: Nutzer verstehen, was KI macht, und wie sie Hilfe erhalten.
Wenn Sie KI-Funktionen in Website, Webshop oder App planen, lohnt sich eine frühe Risiko- und Rollenklärung. Das spart später teure Umbauten und reduziert Haftungsrisiken.
Ihr Ansprechpartner
Falls Sie wissen möchten, ob Ihre KI-Funktionen, Webapplikationen oder E-Commerce-Prozesse vom EU AI Act betroffen sind, melden Sie sich gerne bei uns. Wir zeigen Ihnen in einem unverbindlichen und kostenlosen Gespräch, wo Ihr Unternehmen heute steht, welche Risiken bestehen und welche konkreten Schritte bis August 2026 sinnvoll sind.
Rico Schenker
FAQ zum EU AI Act
Was ist das Marktortprinzip im EU AI Act?
Das Marktortprinzip bedeutet: Entscheidend ist, ob Ihr KI-System im EU-Markt angeboten oder genutzt wird, nicht nur, wo Ihr Unternehmen sitzt. Schweizer Firmen können somit betroffen sein, sobald EU-Bezug besteht.
Was ist ein Hochrisiko-KI-System?
Hochrisiko-KI ist eine Kategorie im EU AI Act für Systeme, die in definierten sensiblen Bereichen eingesetzt werden oder wesentliche Entscheidungen beeinflussen können. Dann gelten strengere Pflichten zu Risikomanagement, Dokumentation, Transparenz und Betrieb.
Ist ein KI-Chatbot auf einer Website automatisch eine Hochrisiko Applikation?
Nein. Ein einfacher Support-Chatbot ist oft nicht Hochrisiko. Kritisch kann es werden, wenn der Chatbot Entscheidungen trifft oder Prozesse steuert, die für Personen spürbare Folgen haben. Dann sind klare Transparenz, menschliche Aufsicht und saubere Dokumentation zentral.
Was muss ich als Nutzer eines KI-Systems konkret tun?
Als Nutzer sollten Sie Zweck und Einsatzgrenzen definieren, Dokumentation vom Anbieter einfordern, Transparenz sicherstellen, Mitarbeitende schulen und den Betrieb mit Monitoring, Logging und Incident-Prozessen organisieren.
Was muss ein Schweizer KMU konkret tun?
Ein Schweizer KMU sollte zuerst klären, ob ein EU Bezug besteht, zum Beispiel weil Kundschaft in der EU erreicht wird oder eine KI Funktion im EU Markt genutzt wird. Danach lohnt sich ein pragmatisches Vorgehen in vier Schritten. Erstens ein KI Inventar erstellen, also alle KI Funktionen auf Website, Webshop, App und intern erfassen. Zweitens jeden Use Case einordnen, ob er eher unkritisch ist oder ob er in Richtung Hochrisiko gehen kann, und welche Anforderungen daraus folgen. Drittens Verantwortlichkeiten festlegen und Lieferant*innen sauber prüfen, inklusive Dokumentation, Sicherheitsnachweisen, Support und Incident Prozessen. Viertens Betrieb und Transparenz umsetzen, also Monitoring, Logging, klare Kennzeichnung bei KI Interaktionen und regelmässige Reviews.
Was muss ich als Geschäftsführer oder CTO konkret tun?
Als Geschäftsführer oder CTO hilft eine klare Aufgabenteilung und ein kleiner, verbindlicher Rahmen. Legen Sie eine verantwortliche Person fest und definieren Sie, welche KI Use Cases erlaubt sind und welche vorab geprüft werden müssen. Sorgen Sie für ein zentrales KI Register und einen einfachen Freigabeprozess, damit keine Schattenlösungen entstehen. Stellen Sie sicher, dass Lieferant*innen die nötigen Nachweise liefern, und dass Verträge Themen wie Logging, Support, Incident Handling und Änderungen am System abdecken. Planen Sie den Betrieb mit Monitoring und klaren Eskalationswegen, und lassen Sie kritische Entscheidungen nicht ohne menschliche Kontrolle laufen. Ergänzend sollten Datenschutz und Security früh eingebunden werden, damit KI Funktionen nicht erst kurz vor dem Go Live zum Risiko werden.
Leseempfehlungen & Quellen
PwC Switzerland: https://www.pwc.ch/en/insights/regulation/ai-act-demystified.html
https://biwac.ch/leistungen/websites
https://biwac.ch/leistungen/e-commerce
https://biwac.ch/leistungen/webapplikationen
EY Switzerland: https://www.ey.com/en_ch/insights/forensic-integrity-services/the-eu-ai-act-what-it-means-for-your-business
https://biwac.ch/blog/websites-ki-agenten-schweizer-kmu
EU AI Act Timeline: https://artificialintelligenceact.eu/implementation-timeline/
https://biwac.ch/leistungen/seo-sem
Bilder: unsplash.com