Die EU-Verordnung 2024/1689, meist «EU AI Act» oder «EU-KI-Verordnung» genannt, schafft einen einheitlichen Rechtsrahmen für die Entwicklung, das Inverkehrbringen und die Nutzung von Künstlicher Intelligenz KI in der Europäischen Union EU. Ziel ist es, hohe Sicherheits- und Grundrechtsschutzstandards zu gewährleisten, Innovation zu fördern und gleichzeitig klare Pflichten für KI-Anbieter, KI-Betreiber und Behörden zu definieren. Die Verordnung ergänzt und ändert mehrere bestehende EU-Regelwerke und führt ein risikobasiertes System ein, das besonders gefährliche Anwendungen streng reguliert. Für die Schweiz ergeben sich indirekte, aber spürbare Auswirkungen, weil Markt- und Rechtskonvergenz sowie grenzüberschreitende Dienste und Lieferketten die Einhaltung der neuen EU-Vorgaben im Bereich der Künstlichen Intelligenz erforderlich machen.

Kernprinzipien und Anwendungsbereich des «EU AI Act»

Der «EU AI Act» gilt für Künstliche Intelligenz(KI)-Systeme, die in der Europäischen Union EU bereitgestellt oder genutzt werden, sowie für Anbieter ausserhalb der EU, wenn deren Systeme in der EU auf den Markt gebracht oder betrieben werden. Der «EU AI Act» verfolgt einen risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt: unannehmbares Risiko, hohes Risiko, begrenztes Risiko und geringes Risiko. Systeme mit unannehmbarem Risiko werden verboten. Hochrisiko Systeme unterliegen strengen Anforderungen an Datenqualität, Transparenz, Dokumentation, Risikomanagement, menschliche Aufsicht und Konformitätsbewertung. Für Systeme mit begrenztem Risiko sind Transparenzpflichten vorgesehen. Bei geringen Risiken bleiben die Vorgaben minimal.

Der «EU AI Act» harmonisiert Begriffe und Anforderungen EU-weit, schafft Pflichten für Hersteller, Importeure, Händler und Betreiber, regelt die Marktüberwachung, die Konformitätsbewertung und das Inverkehrbringen von KI-Systemen und sieht für Verstösse erhebliche Bussen vor.

Das sind die vier Risikokategorien

• Unannehmbares Risiko: Bestimmte KI-Praktiken sind grundsätzlich verboten. Dazu gehören Social Scoring, schädliche Manipulation oder Ausnutzung besonderer Schutzbedürftigkeit, das massenhafte ungezielte Sammeln von Gesichtsaufnahmen zum Aufbau biometrischer Datenbanken sowie, mit engen Ausnahmen, die biometrische Echtzeit-Fernidentifikation durch Strafverfolgungsbehörden im öffentlichen Raum. Auch Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist untersagt.
• Hohes Risiko: Strengen Regeln unterliegen KI-Systeme, die als Sicherheitskomponente regulierter Produkte eingesetzt werden, sowie KI-Anwendungen in Bereichen wie Bildung oder Beschäftigung sowie KI-Anwendungen für den Zugang zu privaten oder öffentlichen Leistungen, zur Strafverfolgung, zur Migration und zur Justiz. Verlangt werden dafür ein strenges Risikomanagement, eine hohe Datenqualität, eine technische Dokumentation, die Protokollierung, eine menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit.
• Begrenztes Risiko: Bei KI-Aktivitäten mit einem begrenzten Risiko stehen Transparenzpflichten im Vordergrund: Menschen sollen erkennen können, wenn sie mit einem KI-System interagieren. KI-generierte oder manipulierte Inhalte wie Deepfakes müssen erkennbar gekennzeichnet werden. Und: Für bestimmte Texte gelten KI-Offenlegungspflichten.
• Minimales oder kein Risiko: Für etliche alltägliche KI-Anwendungen sieht der «EU AI Act» keine verpflichtenden Vorgaben vor. Freiwillige Verhaltenskodizes bleiben jedoch möglich.

Hohe Anforderungen an KI-Anbieter und KI-Betreiber

Der «EU AI Act» unterscheidet zwischen KI-Anbietern, die ein KI-Modell entwickeln oder unter eigenem Namen in Verkehr bringen, und KI-Betreibern, die KI beruflich einsetzen. Hinzu kommen Importeure, Händler und Bevollmächtigte in der EU, die mit KI in Berührung sind.

Anbieter von Hochrisiko-KI müssen vor dem Inverkehrbringen ihrer KI eine Konformitätsbewertung durchführen, ein Qualitäts- und Risikomanagement etablieren und die technische Dokumentation bereithalten. KI-Betreiber müssen KI-Systeme nach den Vorgaben einsetzen, die menschliche Aufsicht gewährleisten und bei bestimmten Anwendungen eine Grundrechte-Folgenabschätzung vornehmen. Die Verantwortung endet nicht mit der Markteinführung: Vorgesehen sind auch Marktbeobachtung, Meldungen schwerwiegender Vorfälle und Korrekturmassnahmen.

Die KI-Modelle für allgemeine Zwecke, die General-Purpose AI(GPAI)-Modelle, unterliegen besonders strengen Regeln: Deren Anbieter müssen technische Informationen und eine Zusammenfassung der Trainingsinhalte bereitstellen sowie eine «Copyright-Policy» vorsehen. Für Modelle mit systemischem Risiko kommen noch Anforderungen wie Modellbewertungen, Risikobewertungen und Meldungen schwerwiegender Vorfälle hinzu.

Gestaffeltes Inkrafttreten des «EU AI Act»: Der 2. August 2026 war ein Schlüsseldatum

Der «EU AI Act» trat am 1. August 2024 in Kraft. Die einzelnen Regeln treten aber gestaffelt in Kraft, wobei der 2. August 2026 ein Schlüsseldatum war:

• Seit dem 2. Februar 2025 gelten die allgemeinen Bestimmungen und Verbote besonders gefährlicher KI-Praktiken.
• Seit dem 2. August 2025 gelten namentlich die Regeln für KI-Modelle für allgemeine Zwecke, die General-Purpose AI(GPAI)-Modelle, sowie Vorgaben zu Governance, Sanktionen und Vertraulichkeit.
• Seit dem 2. August 2026 gilt der grösste Teil des «EU AI Act», namentlich die Transparenz- und Durchsetzungsregeln.
• Erst ab dem 2. August 2027 gelten die «EU AI Act»-Pflichten für die Hochrisiko-KI, die als Sicherheitskomponente oder als Produkt bereits unter das bestehende EU-Produktsicherheitsrecht fällt.

Marktüberwachung durch nationale Behörden und eine EU-Koordinationsstelle

Der «EU AI Act» etabliert ein zweistufiges Aufsichtsmodell: Auf EU-Ebene wird eine Koordinationsstruktur geschaffen, die die Zusammenarbeit der nationalen Behörden unterstützt und Leitlinien, technische Spezifikationen sowie einheitliche Durchsetzungspraktiken fördert.

Auf nationaler Ebene benennt jeder Mitgliedstaat eine oder mehrere zuständige Behörden für die Überwachung und Durchsetzung des «EU AI Act». Diese nationalen Behörden führen Marktüberwachungsmassnahmen durch, prüfen Konformitätserklärungen, fordern Korrekturmassnahmen, verhängen Sanktionen und können Produkte vom Markt nehmen.

Die EU-Koordinationsstelle bündelt das Fachwissen, fördert den Informationsaustausch und kann bei grenzüberschreitenden Fällen koordinierend eingreifen. Für besonders komplexe oder grenzüberschreitende Fälle sind Melde- und Kooperationspflichten zwischen den nationalen Behörden vorgesehen.

Bussen und Sanktionen

Bei Verstössen gegen den «EU AI Act» drohen Sanktionen: Für verbotene KI-Praktiken können Bussen von bis zu 35 Millionen Euro verhängt werden. Bei Unternehmen können es bis zu sieben Prozent des weltweiten Jahresumsatzes sein, je nachdem, welcher Betrag höher ist.

Daneben sind Abhilfemassnahmen wie Verkaufsverbote, Rückrufe und technische Nachbesserungen möglich. Nationale Behörden sind befugt, Sanktionen zu verhängen, wobei der «EU AI Act» verlangt, dass Sanktionen wirksam, verhältnismässig und abschreckend sind.

Die Folgen des «EU AI Act» für die Schweiz

Der «EU AI Act» gilt formal nicht für die Schweiz, weil die Schweiz kein EU-Mitglied ist. Praktisch aber hat der «EU AI Act» erhebliche Auswirkungen auf Schweizer Unternehmen, Forschungseinrichtungen und Behörden. Schweizer Anbieter, die KI-Systeme in der EU anbieten, verkaufen oder betreiben wollen, müssen die Vorgaben des «EU AI Act» erfüllen. Ist das nicht der Fall kann der Marktzugang, der Vertrieb und der Betrieb in der EU blockiert werden. Das betrifft insbesondere Hersteller von Hochrisikosystemen, Cloud Anbieter, Plattformbetreiber und Zulieferer in Lieferketten.

Für Schweizer Unternehmen, die Dienste und Produkte mit KI-Elementen in die EU exportieren, bringt der «EU AI Act» einen beachtlichen zusätzlichen Aufwand: Anpassung des Datenmanagements, Dokumentation, Konformitätsbewertungen und gegebenenfalls Zusammenarbeit mit den «EU AI Act»-Überwachungsstellen.

Am besten führen Schweizer Unternehmen künftig «EU AI Act»-konforme Prozesse ein, um Wettbewerbsnachteile zu vermeiden. Auch für Forschung und Kooperationen mit EU-Partnern sind die Vorgaben des «EU AI Act» verbindlich, weil gemeinsame Projekte und der Datenaustausch den EU-Standards genügen müssen.

Auf politischer Ebene wird die Schweiz bilaterale Absprachen oder Anerkennungsmechanismen prüfen, um den Marktzugang im Rahmen des «EU AI Act» zu erleichtern. Bis solche Mechanismen bestehen, gilt auf jeden Fall die Regel: Schweizer Akteure, die in der Europäischen Union EU tätig sein wollen, müssen den «EU AI Act» in allen KI-Belangen umfassend und bis ins Detail beachten.