Die Schweizer KI-Governance-Lücke: Warum Warten bis 2027 den EU-Markt kosten könnte

Wenn Ihr Unternehmen seinen Sitz in der Schweiz hat und Ihr KI-gestütztes Produkt auch nur einen einzigen Kunden in der Europäischen Union bedient, ein SaaS-Tool, das Stellenbewerber in München prüft, eine API, die Kreditrisiken in Mailand bewertet, ein Chatbot, der Versicherungsansprüche in Paris triagiert, dann gilt der EU AI Act bereits für Sie. Nicht erst 2027. Nicht wenn die Schweiz ein eigenes Gesetz verabschiedet. Jetzt.

Das ist die Realität, die viele Schweizer Unternehmen noch nicht verinnerlicht haben. Während die innenpolitische Diskussion sich im gewohnten Tempo bewegt, der Bundesratsentscheid vom Februar 2025 skizzierte einen «Mittelweg», der frühestens Ende 2026 einen Vernehmlassungsentwurf hervorbringen wird, ist die Regulierungsmaschinerie der EU bereits in Betrieb. Und sie ist ausdrücklich extraterritorial.

Das Ergebnis ist eine Governance-Lücke, die sich Monat für Monat vergrössert. Schweizer Unternehmen, die auf die nationale Gesetzgebung warten, werden feststellen, dass sie von ihrem grössten Exportmarkt ausgesperrt sind, mit Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Die Unternehmen, die jetzt handeln, werden Compliance in einen Wettbewerbsvorteil verwandeln.

Dieser Artikel kartiert die Lücke, erklärt die Fristen und skizziert, was Schweizer Organisationen tun müssen, ab heute.

Der EU AI Act: Was bereits gilt und was kommt

Der EU AI Act trat am 1. August 2024 in Kraft. Aber er landet nicht auf einen Schlag. Der gestaffelte Umsetzungsplan soll Organisationen Zeit zur Anpassung geben, doch diese Staffelung bedeutet auch, dass einige Pflichten bereits gelten und andere schnell näher rücken.

Hier ist der Zeitplan, der zählt:

2. Februar 2025, Kapitel I und II traten in Kraft. Dies umfasst die grundlegenden Definitionen, das Verbot von KI-Praktiken mit unannehmbarem Risiko (Social Scoring, biometrische Echtzeit-Überwachung im öffentlichen Raum mit engen Ausnahmen, Manipulationstechniken) und die KI-Kompetenzpflicht. Wenn Ihre Organisation KI-Systeme einsetzt, sind Sie bereits jetzt verpflichtet, sicherzustellen, dass Mitarbeitende, die mit diesen Systemen interagieren, über ausreichende KI-Kompetenz verfügen. Das ist keine zukünftige Anforderung. Es ist geltendes Recht.

2. August 2025, Die Bestimmungen zu General-Purpose-KI-Modellen (GPAI), Governance-Strukturen, Vertraulichkeitsregeln und dem Sanktionsrahmen wurden anwendbar. Wenn Sie Foundation Models bereitstellen oder integrieren, sind die Transparenz- und Dokumentationspflichten gemäss Artikel 52–55 jetzt durchsetzbar. Das Europäische KI-Büro ist operativ und zur Untersuchung befugt.

2. August 2026, Der entscheidende Termin. Die breite Anwendung des Gesetzes tritt in Kraft, einschliesslich der vollständigen Anforderungen an Hochrisiko-KI-Systeme: Risikomanagementsysteme, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenzpflichten, Bestimmungen zur menschlichen Aufsicht sowie Genauigkeits- und Robustheitsstandards. Die in Anhang III definierten Hochrisikokategorien, Biometrie, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und HR, Zugang zu wesentlichen Dienstleistungen wie Kreditbewertung und Versicherungspreisgestaltung, Strafverfolgung, Migrationsmanagement und Justizverwaltung, fallen unter den vollen regulatorischen Geltungsbereich.

2. August 2027, Produktsicherheitsbestimmungen für KI-Systeme, die in regulierte Produkte eingebettet sind (Medizinprodukte, Maschinen, Fahrzeuge, Spielzeug, Luftfahrtausrüstung), werden vollständig wirksam.

Die entscheidende Erkenntnis: Wenn Ihr KI-System unter eine Hochrisikokategorie nach Anhang III fällt, und viele gängige Unternehmensanwendungen tun dies, haben Sie bis August 2026 Zeit, compliant zu sein. Das sind siebzehn Monate. Für produktintegrierte KI gilt August 2027. Keiner der Zeitrahmen lässt Raum für einen gemächlichen Ansatz.

Extraterritorialität: Warum «wir sind Schweizer» kein Schutzschild ist

Artikel 2 des EU AI Act könnte nicht deutlicher sein. Die Verordnung gilt für Anbieter und Betreiber von KI-Systemen «unabhängig davon, ob sie in der Union oder in einem Drittland niedergelassen sind», sofern der Output des KI-Systems «in der Union verwendet wird».

Lassen Sie das auf sich wirken. Der Auslöser ist nicht, wo Sie sich befinden. Es ist nicht, wo Ihre Server stehen. Es ist, wo der Output Ihrer KI Wirkung entfaltet. Wenn der Kreditbewertungsalgorithmus eines Schweizer Fintechs einen Antragsteller in Frankfurt evaluiert, gilt das Gesetz. Wenn das Screening-Tool eines Schweizer HR-Tech-Unternehmens CVs für einen Kunden in Amsterdam filtert, gilt das Gesetz. Wenn das Pricing-Modell eines Schweizer Versicherers für Versicherungsnehmer in Rom eingesetzt wird, gilt das Gesetz.

Diese extraterritoriale Reichweite spiegelt den Ansatz, den die EU mit der DSGVO eingeführt hat, und Schweizer Unternehmen wissen aus leidvoller Erfahrung, wie real diese Durchsetzung sein kann. Doch der AI Act geht in zwei wichtigen Punkten weiter. Erstens sind die Sanktionen deutlich höher: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Millionen oder 3 % für wesentliche Hochrisiko-Verstösse und 7,5 Millionen oder 1 % für falsche Informationen an Behörden. Zweitens sind die Pflichten rollen- und systemspezifisch, nicht nur auf Datenverarbeitung bezogen. Sie müssen Ihre KI-Systeme klassifizieren, Risikomanagement-Rahmenwerke implementieren, technische Dokumentation führen, menschliche Aufsicht gewährleisten und Governance-Strukturen aufbauen, ungeachtet Ihres Firmensitzes.

Das regulatorische Vakuum der Schweiz

Unterdessen hat die Schweiz kein horizontales KI-Gesetz. Keines. Stand März 2026 ist die regulatorische Landschaft für KI in der Schweiz ein Flickenteppich bestehender sektoraler Regeln, Datenschutz unter DSG/DSV, sektorspezifische Regulierungen im Finanzwesen (FINMA), im Gesundheitswesen und in anderen Bereichen, aber kein umfassendes KI-Governance-Rahmenwerk.

Der Bundesratsentscheid vom 12. Februar 2025 setzte die Richtung: Die Schweiz verfolgt einen «Mittelweg». Sie wird die Rahmenkonvention des Europarats über KI übernehmen (den ersten internationalen KI-Vertrag), gezielte sektorale Anpassungen vornehmen und begrenzte horizontale Regeln mit Fokus auf Grundrechte entwickeln. Das EJPD (Eidgenössisches Justiz- und Polizeidepartement) hat den Auftrag, bis Ende 2026 einen Vernehmlassungsentwurf vorzulegen. Das UVEK (Departement für Umwelt, Verkehr, Energie und Kommunikation) arbeitet parallel an nichtlegislativen Massnahmen.

Selbst im optimistischsten Szenario bedeutet dies, dass ein Schweizer KI-Gesetz frühestens 2028 in Kraft treten wird, wahrscheinlich später, angesichts des Tempos der eidgenössischen Vernehmlassungsverfahren und des parlamentarischen Prozesses. Bis dahin wird der EU AI Act seit über einem Jahr vollständig operativ sein.

Das schafft ein strukturelles Problem. Schweizer Unternehmen können sich nicht auf inländisches Recht verlassen, um ihre KI-Governance-Haltung zu bestimmen. Die Regeln, die für den Marktzugang relevant sind, werden in Brüssel geschrieben, nicht in Bern. Auf Bern zu warten bedeutet, hinter Brüssel zurückzufallen.

Der dreifache Compliance-Stack

Die eigentliche Komplexität für Schweizer Unternehmen liegt nicht in einer einzelnen Regulierung, sie liegt im Schnittpunkt dreier sich überlappender Rahmenwerke, die gleichzeitig bewältigt werden müssen.

Ebene 1: DSG/DSV (Schweizer Datenschutzgesetz und -verordnung), Regelt, wie Personendaten in der Schweiz und bei der Übermittlung ins Ausland erhoben, verarbeitet und weitergegeben werden. Im September 2023 revidiert und verschärft, mit Durchsetzung durch den EDÖB.

Ebene 2: DSGVO (EU-Datenschutz-Grundverordnung), Gilt für Schweizer Unternehmen, die Personendaten von Personen in der EU verarbeiten. Die meisten Schweizer Unternehmen mit EU-Kunden sind bereits betroffen.

Ebene 3: EU AI Act, Legt rollenbasierte, systemspezifische Pflichten über den Datenschutz hinaus auf. Es geht nicht nur um Daten. Es geht um das KI-System selbst, seine Risikoklassifikation, seine Dokumentation, seine Governance, seine Aufsichtsmechanismen.

Diesen dreifachen Stack manuell zu managen, mit Tabellenkalkulationen, Ad-hoc-Richtlinien und verstreuter Dokumentation, ist nicht nachhaltig. Die Organisationen, die erfolgreich sein werden, sind jene, die integrierte Governance-Infrastruktur aufbauen, in der die Compliance mit allen drei Rahmenwerken in den KI-Lebenszyklus eingebettet ist, von der Entwicklung über das Deployment bis zur laufenden Überwachung.

Was Schweizer Unternehmen jetzt tun müssen

Die Governance-Lücke ist real, aber überbrückbar. Hier ist der praktische Fahrplan.

1. KI-Inventar-Mapping. Was man nicht sieht, kann man nicht steuern. Der erste Schritt ist eine umfassende Inventarisierung jedes KI-Systems, das Ihre Organisation entwickelt, einsetzt oder beschafft. Für jedes System: Anwendungsfall, Dateneingaben, Entscheidungsoutputs und die Jurisdiktionen, in denen diese Outputs Wirkung entfalten.

2. Risikoklassifizierung. Klassifizieren Sie jedes KI-System anhand der Anhang-III-Kategorien und des breiteren Risikorahmens des Gesetzes. Verboten? Unannehmbar? Hochrisiko? Begrenzt? Minimal? Die Klassifizierung bestimmt Ihre Pflichten.

3. KI-Kompetenzprogramme. Diese Pflicht gilt bereits seit Februar 2025. Jede Person in Ihrer Organisation, die mit KI-Systemen interagiert, nicht nur Entwickler, sondern auch Anwender, Entscheidungsträger und Aufsichtspersonal, muss über angemessene KI-Kompetenz verfügen.

4. Governance-Rollen und -Strukturen. Das Gesetz verlangt klare Verantwortlichkeiten. Wer in Ihrer Organisation ist für KI-Governance verantwortlich? Wer führt Risikobewertungen durch? Wer pflegt die technische Dokumentation? Wer überwacht die menschlichen Aufsichtsmechanismen?

5. Risikomanagementsysteme. Hochrisiko-KI-Systeme erfordern ein dokumentiertes Risikomanagementsystem über den gesamten Lebenszyklus des KI-Systems. Identifikation und Analyse bekannter und vorhersehbarer Risiken, Bewertung, Minderungsmassnahmen und Wirksamkeitsprüfung.

6. Daten-Governance. Trainings-, Validierungs- und Testdatensätze müssen die im Gesetz definierten Qualitätskriterien erfüllen, Erhebung, Aufbereitung, Labeling, Relevanz, Repräsentativität und Fehlerfreiheit.

7. Technische Dokumentation und Logging. Hochrisiko-KI-Systeme müssen durch technische Dokumentation begleitet werden, die die Compliance nachweist. Automatische Protokollierung der Systemoperationen muss die Rückverfolgbarkeit von Ergebnissen sicherstellen.

8. Menschliche Aufsicht. Hochrisiko-KI-Systeme müssen so konzipiert sein, dass sie eine wirksame menschliche Aufsicht ermöglichen, Schnittstellen, die es menschlichen Prüfern erlauben, Systemergebnisse zu verstehen, zu interpretieren und nötigenfalls zu übersteuern.

9. Lieferketten-Verträge. Wenn Sie KI-Systeme von Drittanbietern einsetzen, müssen Ihre Verträge sicherstellen, dass der Anbieter die Anforderungen des Gesetzes erfüllt. Die Lieferkette ist eine Compliance-Kette.

Die MRA-Frage: ein strategischer Hebel, aber nicht darauf bauen

Manche Schweizer Unternehmen hoffen, dass das Mutual Recognition Agreement (MRA) zwischen der Schweiz und der EU eine Abkürzung bietet. Die Idee: Schweizer Compliance-Rahmenwerke werden als gleichwertig anerkannt, was den Marktzugang erleichtert. Das ist eine strategische Möglichkeit, die man beobachten sollte, aber keine, auf der man eine Compliance-Strategie aufbauen sollte.

Der Präzedenzfall ist ernüchternd. Der Medizinproduktesektor liefert eine Fallstudie dafür, wie MRA-Aktualisierungen ins Stocken geraten können. Die Schweiz wurde aus dem EU-Medizinprodukteregulierungsrahmen ausgeschlossen, nachdem die institutionellen Rahmenverhandlungen scheiterten. Schweizer Medizinproduktehersteller mussten in der EU ansässige bevollmächtigte Vertreter einsetzen, um den Marktzugang aufrechtzuerhalten. Die politische Dynamik rund um MRA-Verhandlungen, verknüpft mit den breiteren institutionellen Fragen zwischen EU und Schweiz, macht ein rasches KI-Äquivalenzabkommen unwahrscheinlich.

Der pragmatische Ansatz: Direkt mit dem EU AI Act compliant werden. Kommt ein MRA-Äquivalenzabkommen, sind Sie bereits konform. Kommt es nicht, werden Sie nicht unvorbereitet erwischt.

Compliance als Wettbewerbsvorteil

Hier ist die Neuausrichtung, die vorausschauende Schweizer Unternehmen bereits vornehmen: Compliance ist keine Kostenstelle. Sie ist ein Marktdifferenzierungsmerkmal.

Schweizer Unternehmen handeln seit langem mit Vertrauen, «Swiss Quality», «Swiss Precision», «Swiss Reliability». Im KI-Zeitalter ist Vertrauen Governance. Ein Schweizer KI-Unternehmen, das volle EU-AI-Act-Compliance nachweisen kann, robuste Dokumentation, transparentes Risikomanagement, prüfbare Entscheidungsprozesse, hat eine stärkere Marktposition als Wettbewerber, die Compliance als Nebensache behandeln.

Das gilt besonders in regulierten Sektoren. Wenn Sie ein KI-System für HR-Recruiting, Kreditbewertung oder Versicherungspreisgestaltung verkaufen, werden Ihre EU-Kunden zunehmend Nachweise der AI-Act-Compliance als Beschaffungsbedingung verlangen. Die Unternehmen, die diese Nachweise sofort aus einer integrierten Governance-Plattform liefern können, gewinnen den Auftrag. Die Unternehmen, die sechs Monate brauchen, um Dokumentation aus verstreuten Systemen zusammenzustellen, verlieren ihn.

Für Schweizer Startups ist dies besonders relevant. Compliance-Kosten steigen für regulierte Anwendungsfälle, aber «Trust-by-Design», Governance von Tag eins in das Produkt einzubauen, wird zum entscheidenden Differenzierungsmerkmal.

Die Kosten des Wartens

Sprechen wir direkt über das Abwärtsrisiko. Ein Schweizer Unternehmen, das bei der KI-Governance untätig bleibt, bis die nationale Gesetzgebung es dazu zwingt, steht vor folgenden Risiken:

Marktausschluss. EU-Kunden und -Partner werden zunehmend AI-Act-Compliance als Geschäftsbedingung verlangen. Keine Compliance, kein Vertrag.

Finanzielle Sanktionen. Durchsetzungsmassnahmen unter dem AI Act sehen Bussgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor. Für ein mittelgrosses Schweizer Unternehmen ist dies ein existenzielles Risiko.

Reputationsschaden. In einer Zeit, in der KI-Governance-Versagen Schlagzeilen macht, beschädigt ein Compliance-Verstoss im EU-Markt den Markenwert weit über die regulatorische Busse hinaus.

Operative Störungen. Governance nachträglich in KI-Systeme einzubauen, die ohne sie entwickelt wurden, ist dramatisch teurer und disruptiver, als sie von Anfang an einzubauen.

Talentrisiko. Die besten KI-Fachleute wollen zunehmend bei Organisationen arbeiten, die Governance ernst nehmen. Ein Governance-Vakuum stösst Talente ab.

Die August-2026-Frist für die Compliance von Hochrisiko-KI-Systemen ist kein ferner Horizont. Es sind siebzehn Monate. Governance-Infrastruktur, KI-Inventare, Risikoklassifizierungsrahmen, Dokumentationssysteme, Aufsichtsmechanismen, Kompetenzprogramme, braucht Zeit zum Aufbau und zur Operationalisierung.

Der Weg nach vorn

Die Schweizer KI-Governance-Lücke ist real, aber sie ist nicht unvermeidlich. Sie ist eine Entscheidung. Unternehmen, die die extraterritoriale Realität des EU AI Act anerkennen, die proaktiv Governance-Infrastruktur aufbauen und die Compliance als strategischen Vermögenswert statt als bürokratische Last betrachten, werden in der sich abzeichnenden regulatorischen Landschaft gedeihen.

Die Werkzeuge existieren. KI-Governance-Plattformen, die Inventar-Mapping, Risikoklassifizierung, Dokumentation und Audit-Trail-Management automatisieren, können monatelange manuelle Arbeit in Wochen komprimieren. Policy-Enforcement-Engines können sicherstellen, dass KI-Systeme kontinuierlich innerhalb definierter Grenzen operieren. Integrierte Compliance-Dashboards können der Geschäftsleitung Echtzeit-Transparenz über die KI-Governance-Lage über alle drei regulatorischen Ebenen geben.

Die Frage ist nicht, ob Schweizer Unternehmen den EU AI Act einhalten müssen. Das werden sie. Die Frage ist, ob sie es proaktiv tun, und Governance in einen Wettbewerbsvorteil verwandeln, oder reaktiv, im Bemühen, Sanktionen und Marktausschluss zu vermeiden.

Für ein Land, das seinen globalen Ruf auf Präzision, Zuverlässigkeit und Vertrauen gebaut hat, sollte die Antwort offensichtlich sein.

hegyon.ai liefert die KI-Governance-Infrastruktur, die Schweizer Unternehmen brauchen, um die Compliance-Lücke zu überbrücken. Unsere Plattform bietet KI-Inventar-Mapping, automatisierte Risikoklassifizierung, Richtliniendurchsetzung, vollständige Audit-Trails und integrierte Dokumentation, konzipiert für Organisationen, die im Spannungsfeld von Schweizer Datenschutzrecht, DSGVO und EU AI Act navigieren. Ob Sie ein multinationales Unternehmen mit Hunderten von KI-Systemen sind oder ein Startup, das Trust-by-Design in sein erstes Produkt einbaut, hegyon.ai bietet die Governance-Schicht, die regulatorische Komplexität in Wettbewerbsklarheit verwandelt.