Die Schweiz verfügt derzeit über kein allgemeines Gesetz über künstliche Intelligenz, das mit dem AI Act der Europäischen Union vergleichbar wäre. Daraus abzuleiten, dass der Einsatz von KI in einem rechtsfreien Raum stattfindet, wäre jedoch falsch.
Das sich schrittweise herausbildende Schweizer Modell entspricht vielmehr einer mehrschichtigen Regulierung, die auf bereits bestehenden Rechtsnormen, Eingriffen sektoraler Aufsichtsbehörden, Instrumenten der Selbstregulierung sowie künftig auf den Anpassungen beruht, die zur Umsetzung des Rahmenübereinkommens des Europarats über künstliche Intelligenz erforderlich sein werden.
Die erste Ebene besteht aus dem bereits geltenden allgemeinen Recht, insbesondere dem Bundesgesetz über den Datenschutz (DSG); die zweite Ebene wird durch die Regeln und Erwartungen gebildet, die in den verschiedenen regulierten Sektoren entwickelt wurden.
So hat die FINMA für den Banken- und Versicherungssektor bereits spezifische aufsichtsrechtliche Erwartungen hinsichtlich der Governance und des Managements von Risiken festgelegt, die sich aus dem Einsatz von KI ergeben. Swissmedic wiederum hat Rahmenbedingungen für den Einsatz künstlicher Intelligenz bei der Entwicklung von Arzneimitteln und in regulatorischen Verfahren definiert und verweist dabei auch auf international entwickelte Standards.
Hinzu kommen Formen der Selbstregulierung und berufliche Standards, wie etwa die vom Schweizerischen Versicherungsverband entwickelten KI-Grundsätze sowie die Empfehlungen der FMH zum Einsatz generativer Sprachmodelle im medizinischen Bereich.
Die künftige Umsetzung des Übereinkommens des Europarats über KI wird daher nicht bei null beginnen, sondern auf einem rechtlichen und regulatorischen Ökosystem aufbauen, das insbesondere in bestimmten Sektoren bereits einen erheblichen Reifegrad erreicht hat.
Der Unterschied zum europäischen Ansatz ist vor allem methodischer Natur. Die Europäische Union hat sich für eine horizontale Regulierung entschieden, die unmittelbar in verschiedenen Sektoren gilt und im Wesentlichen auf der Klassifizierung von KI-Systemen nach ihrem jeweiligen Risikoniveau basiert.
Die Schweiz hingegen hat beschlossen, vom bestehenden Recht auszugehen und neue Regelungen dort einzuführen, wo konkrete Lücken sichtbar werden. Soweit möglich, werden dabei sektorspezifische und technologieneutrale Lösungen bevorzugt. Der Bundesrat hat diesen Ansatz am 12. Februar 2025 offiziell bestätigt.
Das KI-Übereinkommen des Europarats als Bezugspunkt für die künftige regulatorische Entwicklung
Ein entscheidender Schritt für die Weiterentwicklung des Schweizer Rahmens ist das Rahmenübereinkommen des Europarats über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit, das erste völkerrechtlich verbindliche internationale Abkommen, das speziell der KI gewidmet ist.
Das Übereinkommen beruht auf einem technologieneutralen Ansatz und soll gewährleisten, dass Tätigkeiten während des gesamten Lebenszyklus von KI-Systemen mit den Grundrechten, der Demokratie und der Rechtsstaatlichkeit vereinbar sind, ohne den technologischen Fortschritt und die Innovation zu behindern.
Die Schweiz hat das Übereinkommen am 27. März 2025 unterzeichnet. Mit Stand vom 18. August 2026 war das innerstaatliche Ratifizierungsverfahren noch nicht abgeschlossen.
Der Bundesrat hat das EJPD – Eidgenössisches Justiz- und Polizeidepartement zusammen mit den weiteren zuständigen Departementen beauftragt, bis Ende 2026 einen Entwurf für die Vernehmlassung vorzubereiten. Dieser Entwurf soll insbesondere jene gesetzlichen Anpassungen identifizieren, die in den Bereichen Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht erforderlich sind.
Parallel dazu soll ein Plan für nichtgesetzgeberische Maßnahmen entwickelt werden, beispielsweise sektorale Lösungen und freiwillige Selbstverpflichtungserklärungen.
Es ist daher zutreffender, nicht von einem künftigen „Schweizer KI-Gesetz“ nach dem Vorbild des AI Act zu sprechen, sondern von einem gesetzgeberischen Prozess zur Umsetzung des Übereinkommens des Europarats, der durch Anpassungen des bestehenden Rechts, sektorale Maßnahmen und Soft-Law-Instrumente ergänzt wird.
Ein bereits sektoral reguliertes System
Der Schweizer Rechtsrahmen lässt sich anhand einiger konkreter Beispiele verdeutlichen.
Besonders bedeutsam ist der Fall der FINMA, der unabhängigen Bundesbehörde, die für die Aufsicht über die Finanzmärkte zuständig ist.
In der Guidance 08/2024 hält die Behörde ausdrücklich fest, dass die bereits bestehenden technologieneutralen Anforderungen an Governance und Finanzrisikomanagement auch ohne eine spezifische Schweizer KI-Regulierung geeignet sind, die Risiken zu erfassen, die aus dem Einsatz künstlicher Intelligenz entstehen.
Im Rahmen ihrer Aufsicht prüft die FINMA daher unter anderem, ob ein zentrales Inventar der KI-Anwendungen besteht, ob diese risikobasiert klassifiziert werden, ob Verantwortlichkeiten klar zugewiesen sind sowie ob Anforderungen an Tests, Dokumentation, Schulungen und die Kontrolle externer Anbieter eingehalten werden.
Die Behörde weist außerdem auf die Qualität der Daten, die Gefahr einer Reproduktion historischer Verzerrungen in zukünftigen Prognosen, die Robustheit und Stabilität von Modellen sowie die Notwendigkeit fortlaufender Tests und Überwachung hin.
Auch Swissmedic, die Schweizer Behörde für die Zulassung und Überwachung therapeutischer Produkte, verfolgt einen ähnlichen Ansatz. Die Behörde hebt Probleme im Zusammenhang mit Datenqualität, Modelltransparenz, Qualitätskontrolle und Bias hervor und berücksichtigt bei der Bewertung von mit KI erzeugten Unterlagen die Leitlinien internationaler Organisationen und Behörden wie WHO, ICH, IMDRF, EMA und FDA.
Die zentrale Rolle des Datenschutzgesetzes
Unter den bereits anwendbaren horizontalen Regelungen kommt dem DSG, das am 1. September 2023 in Kraft trat, eine besonders wichtige Rolle zu.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat ausdrücklich klargestellt, dass das DSG technologieneutral formuliert ist und daher unmittelbar auch auf die Bearbeitung von Personedaten durch Systeme künstlicher Intelligenz anwendbar ist.
Dieser Grundsatz hat erhebliche praktische Auswirkungen. Nach Auffassung des EDÖB müssen Hersteller, Anbieter und Nutzer von KI-Systemen Transparenz über den Zweck der Datenbearbeitung, die Funktionsweise der Anwendung und die verwendeten Datenquellen gewährleisten.
Wenn ein Sprachmodell unmittelbar mit einer Person interagiert, muss die Nutzerin oder der Nutzer zudem erkennen können, dass die Kommunikation mit einer Maschine erfolgt. Ebenso muss darüber informiert werden, wenn eingegebene Daten dazu verwendet werden, selbstlernende Systeme zu verbessern oder anderen Zwecken zu dienen.
Der EDÖB befasst sich außerdem mit dem Thema synthetischer Inhalte und hält fest, dass der Einsatz von Programmen, mit denen Gesichter, Bilder oder Sprachnachrichten identifizierbarer Personen manipuliert oder verfälscht werden können, klar gekennzeichnet werden muss.
Anders als der AI Act schreibt das DSG keine bestimmte Kennzeichnungstechnologie vor. Instrumente wie Wasserzeichen, Metadaten oder andere Identifikationstechniken können mögliche operative Lösungen darstellen; rechtlich entscheidend ist jedoch die Transparenz gegenüber der betroffenen Person.
Bei Datenbearbeitungen, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen, kommt zudem die im DSG vorgesehene Datenschutz-Folgenabschätzung (DSFA) zum Tragen.
Der EDÖB betont, dass auch KI-gestützte Hochrisikoverarbeitungen rechtmäßig sein können, sofern sie von geeigneten Schutzmaßnahmen begleitet werden und die gesetzlich vorgeschriebene vorgängige Folgenabschätzung durchgeführt wird.
Eine weitere Schutzvorkehrung betrifft automatisierte Einzelentscheidungen. In solchen Fällen gewährt das DSG betroffenen Personen besondere Rechte, wenn eine Entscheidung mit rechtlichen Wirkungen oder ähnlich erheblichen Folgen ausschließlich auf automatisierter Datenbearbeitung beruht.
In den gesetzlich vorgesehenen Fällen hat die betroffene Person das Recht, ihren Standpunkt darzulegen und eine Überprüfung der Entscheidung durch eine natürliche Person zu verlangen.
Ein Beispiel: KI-basiertes Credit Scoring bei einer Schweizer Bank
Nehmen wir an, eine Schweizer Bank führt ein KI-System ein, das einen Credit Score für einen Kunden berechnet und die Entscheidung über die Gewährung einer Finanzierung unterstützt oder sogar vollständig automatisiert trifft.
Die Bank könnte sich nicht darauf beschränken zu erklären: „Der AI Act gilt in der Schweiz nicht, daher warten wir auf eine künftige Regulierung.“
Compliance-Anforderungen bestehen bereits heute. Das DSG regelt die Bearbeitung von Personendaten, Transparenz, Profiling, allfällige automatisierte Entscheidungen sowie bei hohem Risiko die Pflicht zur Durchführung einer DSFA.
Gleichzeitig verlangt die FINMA Guidance 08/2024, dass das Thema unter den Gesichtspunkten Governance, Modellrisiko, Datenqualität, Bias, Tests, Erklärbarkeit und Kontrolle externer Anbieter behandelt wird.
Dieses Beispiel verdeutlicht die Logik des Schweizer Systems: Die Regulierung von KI kann sich aus dem Zusammenspiel mehrerer Rechtsnormen und Behörden ergeben, ohne notwendigerweise in einem einzigen Gesetzestext zusammengefasst zu sein, der speziell der künstlichen Intelligenz gewidmet ist.
Geneva AI Summit 2027: Innovation und Vertrauen
Die politische Positionierung der Schweiz zeigt sich auch in der Vorbereitung des Geneva AI Summit 2027, der am 21. und 22. Juni 2027 in Genf stattfinden wird.
Am 12. August 2026 legte der Bundesrat die strategische Ausrichtung und die Organisation des Gipfels fest und ernannte Fabiola Gianotti, ehemalige Generaldirektorin des CERN, zur Delegierten des Bundesrates für den Summit.
Der gewählte Slogan „Bridging Innovation and Trust„ bringt den Schweizer Ansatz prägnant zum Ausdruck. Die beiden vom Bundesrat festgelegten Leitlinien bestehen einerseits darin, KI als Motor für Innovation, Wohlstand und gesellschaftlichen Fortschritt zu nutzen, und andererseits darin, die Voraussetzungen für eine vertrauenswürdige und verantwortungsvolle Entwicklung und Nutzung künstlicher Intelligenz zu schaffen.
Der Gipfel führt selbstverständlich keine neuen rechtlichen Verpflichtungen ein. Er stellt jedoch ein bedeutendes politisches Signal dar: Die Schweiz will sich als Standort positionieren, an dem technologische Innovation und Vertrauen nicht als gegensätzliche Ziele verstanden werden, sondern gemeinsam aufgebaut werden sollen.
Schweizer Unternehmen und der europäische AI Act: Wann der Blick über die Grenze n hinaus erforderlich ist
Für Schweizer Unternehmen ist es sinnvoll, zwischen zwei Situationen zu unterscheiden.
Unternehmen, das ausschließlich in der Schweiz tätig ist
Der maßgebliche Rechtsrahmen besteht in erster Linie aus dem DSG und den weiteren anwendbaren Schweizer Rechtsvorschriften: sektorale Regulierung, Arbeitsrecht, Antidiskriminierungsrecht, Konsumentenschutz und andere im konkreten Fall relevante Bestimmungen.
Künftig werden die Anpassungen hinzukommen, die zur Umsetzung des Übereinkommens des Europarats erforderlich sind.
Es ist daher nicht notwendig, freiwillig sämtliche Bestimmungen des europäischen AI Act anzuwenden, als wären sie Schweizer Recht. Vielmehr ist präzise zu bestimmen, welche Pflichten sich bereits aus dem nationalen Recht und aus den für den jeweiligen Tätigkeitsbereich geltenden sektoralen Vorschriften ergeben.
Schweizer Unternehmen, das auch in der Europäischen Union tätig ist
Anders stellt sich die Situation dar, wenn ein relevanter Bezug zum europäischen Markt besteht.
In diesem Fall ist eine Prüfung des Anwendungsbereichs des AI Act erforderlich, da die europäische Verordnung ausdrücklich auch bestimmte Fälle erfasst, in denen Unternehmen in Drittstaaten niedergelassen sind.
Dies kann beispielsweise dann der Fall sein, wenn ein Anbieter ein KI-System in der Europäischen Union in Verkehr bringt oder in Betrieb nimmt oder wenn unter bestimmten Voraussetzungen Anbieter oder Betreiber mit Sitz in einem Drittstaat Systeme einsetzen, deren Output in der EU verwendet wird.
Die Eigenschaft als Schweizer Unternehmen führt daher nicht automatisch dazu, dass der AI Act nicht anwendbar ist.
Das Problem ähnelt konzeptionell der bereits aus dem territorialen Anwendungsbereich der DSGVO bekannten Fragestellung: Der Unternehmenssitz ist lediglich einer der zu prüfenden Faktoren; maßgeblich sind insbesondere die tatsächlich ausgeübte Tätigkeit, der betroffene Markt, die Rolle des Unternehmens in Bezug auf das KI-System sowie der Ort, an dem das System oder dessen Output verwendet wird.
Wie Unternehmen in der Schweiz bereits heute eine KI-Governance aufbauen können
Aus operativer Sicht wäre es wenig effizient, eine vollständig von der europäischen Compliance getrennte „Schweizer KI-Compliance“ aufzubauen.
Für Organisationen, die international tätig sind, empfiehlt sich vielmehr ein modularer KI-Governance Rahmen, der an unterschiedliche Rechtsordnungen angepasst werden kann.
Eine erste Ebene kann als Schweizer Basis definiert werden. Sie umfasst das DSG, Transparenz, Privacy by Design, automatisierte Entscheidungen, Sicherheit, die DSFA, soweit erforderlich, sowie die jeweils anwendbare sektorale Regulierung.
Eine zweite Ebene kann als EU Overlay ausgestaltet werden: Besteht ein relevanter Bezug zur Europäischen Union, wird der Governance-Rahmen um die Klassifizierungen und Verpflichtungen aus dem AI Act, der DSGVO sowie allfälligen europäischen sektorspezifischen Regelungen ergänzt.
Eine dritte Ebene kann als Future Proofing bezeichnet werden. Sie integriert bereits heute jene Grundsätze, die bei der Umsetzung des Übereinkommens des Europarats künftig zunehmend an Bedeutung gewinnen dürften: Schutz der Grundrechte, Transparenz, Rechenschaftspflicht, Nichtdiskriminierung, Aufsicht sowie Risiko- und Folgenabschätzungen.
Das Übereinkommen ist bewusst technologieneutral formuliert, damit es auch die zukünftige Entwicklung von KI-Systemen begleiten kann.
Schlussfolgerungen
Das Schweizer Beispiel zeigt, dass die Regulierung künstlicher Intelligenz nicht notwendigerweise den Erlass eines einzigen allgemeinen Gesetzes speziell für KI voraussetzt.
Die Schweiz verfolgt einen anderen Weg als die Europäische Union: technologieneutrales Recht, eine starke Rolle sektoraler Behörden, Selbstregulierung und gezielte gesetzgeberische Maßnahmen, zu denen künftig die Umsetzung des Übereinkommens des Europarats hinzukommen wird.
Für Unternehmen bedeutet dies praktisch, dass es weder richtig ist, den europäischen AI Act automatisch auf sämtliche in der Schweiz ausgeübten Tätigkeiten anzuwenden, noch passiv auf ein künftiges Schweizer „AI Law„ zu warten.
KI-Compliance ist bereits heute Realität. Unternehmen müssen beim DSG und bei der jeweils anwendbaren sektoralen Regulierung ansetzen, eine mögliche extraterritoriale Anwendbarkeit des AI Act prüfen und Governance-Systeme entwickeln, die sich schrittweise an die Weiterentwicklung des regulatorischen Rahmens anpassen können.
Die eigentliche Besonderheit des Schweizer Modells lässt sich daher wie folgt zusammenfassen: keine einheitliche Regulierung künstlicher Intelligenz, sondern eine schrittweise aufgebaute KI-Governance auf der Grundlage des geltenden Rechts, sektoraler Aufsicht, organisatorischer Verantwortung und Vertrauens.
