KI in der Schweiz: Das Gesetz fehlt (noch) – die Pflichten nicht | HÄRTING Rechtsanwälte

Schweizer Unternehmen wollen Künstliche Intelligenz (KI) endlich aus der Pilotphase holen. Doch ausgerechnet beim Skalieren werden Datenschutz, Cloud-Verträge, Urheberrecht, Beschäftigtendaten und der EU AI Act schnell zum Stolperstein. Die gute Nachricht: Unternehmen müssen nicht auf die angekündigte Anpassung der Schweizer Gesetzgebung warten. Wer die bestehenden Regeln heute in eine funktionierende KI-Governance übersetzt, kann Innovation und Rechtssicherheit miteinander verbinden.

20. August 2026

Vom KI-Experiment zum Rechtsproblem?

Künstliche Intelligenz ist in den meisten Schweizer Unternehmen angekommen. Was vielerorts aber noch fehlt, ist der Schritt vom einzelnen Copilot, Chatbot oder Analysewerkzeug hin zu einem systematischen, unternehmensweiten Einsatz. Genau dieses Bild zeichnet die Swiss IT-Studie 2026: Unternehmen sehen in KI erhebliches Potenzial für Effizienz, Wachstum und Wettbewerbsfähigkeit, produktive Anwendungen bleiben jedoch vielfach auf einzelne Einsatzgebiete beschränkt. Als Hindernisse werden unter anderem regulatorische Unsicherheit, Datenqualität, Governance, Systemintegration und Fragen der Datensouveränität genannt.

Rechtlich ist diese Zurückhaltung nachvollziehbar, aber sie beruht teilweise auf einem Missverständnis. Die Schweiz verfügt zwar aktuell über keine allgemeine KI-Gesetzgebung. Der Einsatz von KI befindet sich deshalb aber keineswegs in einem rechtsfreien Raum. Datenschutzrecht, Arbeitsrecht, Urheberrecht, Vertragsrecht und sektorspezifische Vorgaben gelten bereits heute. Hinzu kommt bei entsprechenden Bezügen zur Europäischen Union der EU AI Act.

Das eigentliche «KI-Dilemma» liegt daher weniger im Fehlen von Recht als in dessen Fragmentierung: Ein Unternehmen muss Regeln aus verschiedenen Rechtsgebieten in einen einheitlichen Prozess übersetzen, bevor sich KI verantwortbar skalieren lässt.

Schweizer KI-Regulierung: bewusst sektoriell – aber nicht statisch

Der Bundesrat hat sich bekanntlich gegen eine umfassende Schweizer Kopie des EU AI Act entschieden. Die Schweiz verfolgt einen sektoriellen Ansatz und will insbesondere die KI-Konvention des Europarats umsetzen. Die Schweiz unterzeichnete daher die Konvention am 27. März 2025; eine Ratifikation steht noch aus. Bis Ende 2026 soll eine Vernehmlassungsvorlage vorliegen. Geprüft werden gesetzliche Anpassungen insbesondere in Bereichen wie Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Parallel werden nicht verbindliche Massnahmen wie Branchenlösungen und freiwillige Selbstverpflichtungen entwickelt.

Für Unternehmen folgt daraus jedoch eine wichtige strategische Konsequenz: Abwarten ist keine Compliance-Strategie. Die künftigen Schweizer Regeln entstehen nicht auf einer leeren Fläche, sondern werden bestehende Pflichten ergänzen. Zudem legt die Europarats-Konvention einen deutlichen Schwerpunkt auf Transparenz, Verantwortlichkeit, Datenschutz, Nichtdiskriminierung sowie laufende Risiko- und Folgenabschätzungen über den Lebenszyklus eines KI-Systems.

Unternehmen, die solche Kontrollen bereits heute etablieren, investieren deshalb nicht bloss in freiwillige «AI Ethics», sondern schaffen Strukturen, die voraussichtlich auch unter dem künftigen Rechtsrahmen nutzbar bleiben.

Datenschutz: Die erste rechtliche Hürde beim Skalieren

Bei zahlreichen KI-Anwendungen ist das Schweizer Datenschutzgesetz (DSG) der wichtigste Ausgangspunkt. Der EDÖB stellt ausdrücklich klar, dass das technologieneutrale DSG auch für Datenbearbeitungen durch KI unmittelbar gilt. Datenschutz muss deshalb bereits bei Planung, Entwicklung und Einsatz eines KI-Systems berücksichtigt werden. In der Pilotphase lässt sich dies noch verhältnismässig einfach kontrollieren. Beim unternehmensweiten Rollout ändern sich jedoch Umfang und Risiko: Mitarbeitende übermitteln Kundendaten an Assistenten, Marketingteams analysieren Nutzerprofile, HR-Abteilungen lassen Bewerbungen vorsortieren oder Supportsysteme generieren personalisierte Antworten.

Vor einer Skalierung muss daher insbesondere geklärt werden, welche Personendaten in das System gelangen, zu welchem Zweck sie verwendet werden, wer darauf zugreifen kann und ob der Anbieter die Eingaben selbst weiterverwendet. Hinzu kommen Informationspflichten, technische und organisatorische Sicherheitsmassnahmen sowie gegebenenfalls eine Datenschutz-Folgenabschätzung. Letztere ist erforderlich, wenn eine geplante Bearbeitung voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte der betroffenen Personen führt; der Einsatz neuer Technologien kann dabei ein relevanter Risikofaktor sein.

Besondere Aufmerksamkeit verdienen automatisierte Einzelentscheidungen. Werden Entscheidungen ausschliesslich automatisiert getroffen und haben sie eine rechtliche Folge oder beeinträchtigen die betroffene Person erheblich, sieht Art. 21 DSG besondere Transparenz- und Interventionsrechte vor. Betroffene können unter den gesetzlichen Voraussetzungen ihren Standpunkt darlegen und eine Überprüfung durch einen Menschen verlangen.

Die rechtlich robusteste KI-Strategie beginnt deshalb nicht mit einer Liste verbotener Tools, sondern mit einer Klassifizierung der konkreten Anwendungsfälle nach Daten- und Entscheidungsrisiko.

Datensouveränität ist mehr als ein Server in der Schweiz

Die Swiss IT-Studie zeigt zugleich die wachsende Bedeutung von Datensouveränität. Juristisch sollte dieser Begriff jedoch nicht mit einem Schweizer Serverstandort gleichgesetzt werden. Beim Einsatz externer KI- und Cloud-Dienste bleibt das nutzende Unternehmen datenschutzrechtlich grundsätzlich für seine Datenbearbeitungen verantwortlich; der Cloud-Anbieter handelt häufig als Auftragsbearbeiter. Das Unternehmen muss Anbieter, Datenflüsse und Schutzmassnahmen deshalb angemessen prüfen.

Entscheidend sind unter anderem Unterauftragnehmer, Zugriffsrechte, Speicher- und Löschkonzepte, die Verwendung von Eingaben zum Modelltraining sowie Datenübermittlungen ins Ausland. Bei Bekanntgaben in Staaten ohne angemessenes Datenschutzniveau sind die gesetzlichen Voraussetzungen für Auslandtransfers zu beachten.

Für Beschaffung und Vertragsgestaltung bedeutet dies: «Hosting in Switzerland» allein löst das Souveränitätsproblem nicht. Relevant ist, wer tatsächlich auf Daten zugreifen kann, wo weitere Bearbeitungen stattfinden, welche Garantien bestehen und ob Daten am Vertragsende zuverlässig exportiert und gelöscht werden können.

KI im HR: besonders sensibel

Generative KI schafft ein weiteres Rechtsrisiko: Inhalte können technisch überzeugend wirken, ohne dass ihre Nutzung rechtlich unproblematisch ist.

Nach der aktuellen Schweizer Rechtslage setzt urheberrechtlicher Schutz grundsätzlich eine menschliche geistige Schöpfung voraus. Wird KI lediglich als Werkzeug eingesetzt und prägt der Mensch das Ergebnis selbst schöpferisch, kann Schutz entstehen. Ein ausschliesslich durch das System erzeugtes Ergebnis wird dagegen nicht allein deshalb zum geschützten Werk, weil ein Prompt eingegeben wurde. Gleichzeitig können KI-Ausgaben bestehende geschützte Inhalte übernehmen oder ihnen so nahekommen, dass eine Nutzung fremde Rechte verletzt. Das Eidgenössische Institut für Geistiges Eigentum (IGE) empfiehlt deshalb, Outputs vor ihrer kommerziellen Nutzung zu prüfen.

Noch nicht abschliessend geklärt ist in der Schweiz die urheberrechtliche Zulässigkeit bestimmter Trainingsvorgänge mit geschützten Werken. Politisch ist das Thema in Bewegung: Das Parlament hat die Motion 24.4596 zum besseren Schutz geistigen Eigentums vor KI-Missbrauch an den Bundesrat überwiesen; eine Gesetzesvorlage befindet sich in Vorbereitung.

Für Unternehmen ist deshalb eine Input- und Output-Governance erforderlich: Welche vertraulichen oder geschützten Inhalte dürfen Mitarbeitende eingeben? Darf der Anbieter diese Daten für eigenes Training verwenden? Wer darf einen generierten Text, ein Bild oder Softwarecode kommerziell veröffentlichen? Und welche vertraglichen Zusicherungen übernimmt der Anbieter?

Der EU AI Act endet nicht an der Schweizer Grenze

Dass die Schweiz keinen eigenen AI Act hat, schützt Schweizer Unternehmen nicht automatisch vor europäischem KI-Recht. Der EU AI Act kann auch Anbieter oder Betreiber ausserhalb der EU erfassen. Das gilt unter anderem für Anbieter, die KI-Systeme oder General-Purpose-AI-Modelle in der EU auf den Markt bringen, sowie unter bestimmten Voraussetzungen für Anbieter oder Betreiber in Drittstaaten, wenn der von einem KI-System erzeugte Output in der Europäischen Union verwendet wird. Für Schweizer Unternehmen ist der räumliche Anwendungsbereich deshalb für jeden relevanten Geschäftsprozess separat zu prüfen.

Seit dem 2. August 2026 ist ein grosser Teil des AI Act grundsätzlich anwendbar; einzelne Pflichten galten bereits früher. Dazu gehören insbesondere Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz. Seit August 2026 greifen zudem weitere Transparenz- und Durchsetzungsmechanismen. Die materiellen Pflichten für bestimmte Hochrisiko-KI-Systeme wurden durch die jüngsten europäischen Anpassungen teilweise auf spätere Zeitpunkte verschoben, insbesondere auf Dezember 2027 beziehungsweise August 2028.

Für Schweizer Unternehmen mit EU-Bezug wäre es daher riskant, die verlängerten Übergangsfristen als Einladung zum Nichtstun zu verstehen. Gerade HR-Systeme, bestimmte biometrische Anwendungen oder andere potenziell hochriskante Systeme benötigen lange Vorläufe für Dokumentation, Risikomanagement, Lieferantensteuerung und interne Kontrollen.

Von der KI-Policy zur skalierbaren Governance

Ein mehrseitiges internes Reglement allein macht KI noch nicht compliant. Entscheidend ist, rechtliche Anforderungen so in Prozesse einzubauen, dass Mitarbeitende KI verwenden können, ohne jedes Projekt erneut bei null zu prüfen.

Dafür empfiehlt sich ein risikobasierter Governance-Ansatz mit einem zentralen Inventar der eingesetzten KI-Systeme, klaren Verantwortlichkeiten, freigegebenen und untersagten Datenkategorien, einem abgestuften Freigabeprozess, Lieferanten- und Vertragsprüfung, menschlicher Kontrolle kritischer Entscheidungen sowie Vorgaben für Tests, Dokumentation, Informationssicherheit und Vorfallmanagement. Mitarbeitende müssen zudem verstehen, wo die Grenzen der eingesetzten Systeme liegen und wann menschliche Überprüfung erforderlich ist.

Dass solche Governance-Anforderungen keine rein akademische Zukunftsfrage sind, zeigt der Finanzsektor bereits heute. Die FINMA hat KI als Aufsichtsthema aufgegriffen und nennt unter anderem Governance und Verantwortlichkeit, Daten- und Modellrisiken, Robustheit, Zuverlässigkeit sowie Transparenz und Erklärbarkeit als relevante Risikofelder für beaufsichtigte Institute.

Fazit: Rechtssicherheit wird zum Skalierungsfaktor

Die Swiss IT-Studie beschreibt treffend ein Schweizer KI-Dilemma – rechtlich lässt es sich jedoch auflösen. Unternehmen müssen nicht auf eine umfassende Schweizer KI-Gesetzgebung warten. Die zentralen Leitplanken existieren bereits. Wer KI dauerhaft skalieren will, sollte Datenschutz, Beschäftigtendatenschutz, Informationssicherheit, Urheberrecht, Lieferantenverträge und mögliche EU-AI-Act-Pflichten nicht erst am Ende eines Projekts prüfen. Sie gehören in Architektur, Beschaffung und Governance von Anfang an. Damit kann die vergleichsweise flexible Schweizer Regulierung sogar zum Vorteil werden. Voraussetzung ist allerdings, Flexibilität nicht mit Regellosigkeit zu verwechseln. Die Unternehmen, die jetzt ein belastbares KI-Governance-System aufbauen, dürften nicht nur regulatorisch besser vorbereitet sein. Sie schaffen auch die Voraussetzung dafür, aus erfolgreichen Pilotprojekten tatsächlich einen skalierbaren Geschäftsnutzen zu entwickeln.

Quellen