Die Schweiz hat kein KI-Gesetz. Das Bundesamt für Kommunikation formuliert es nüchtern: «In der Schweiz besteht bisher noch keine übergreifende Gesetzgebung spezifisch zu KI.»
Das klingt nach Entwarnung. Es ist keine.
Wer nach dem KI-Gesetz Schweiz sucht, sucht selten Rechtsgeschichte. Er will wissen, ob er etwas tun muss, bevor der Verkauf das nächste KI-Werkzeug auf Kundendaten loslässt. Diese Antwort steht nicht in einem KI-Gesetz. Sie steht in Gesetzen, die seit Jahren in Kraft sind.
Was der Bundesrat im Februar 2025 beschlossen hat
Am 12. Februar 2025 hat der Bundesrat entschieden, dass die Schweiz die Konvention des Europarats zu künstlicher Intelligenz ratifizieren soll. Unterzeichnet hat sie die Schweiz im März 2025. Gesetzesanpassungen sollen «möglichst sektorbezogen ausfallen», also dort, wo sie nötig sind, im Gesundheitswesen oder im Verkehr einzeln. Ein grosses Querschnittsgesetz nach EU-Muster ist nicht der Plan.
Dazu gehört ein Auftrag mit Datum. Das Bundesamt für Justiz schreibt: «Der Bundesrat hat dem EJPD den Auftrag erteilt, bis Ende 2026 eine Vernehmlassungsvorlage für neue Regeln für die Nutzung von KI zu erarbeiten.» Abdecken soll das Papier vier Themen: Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht.
Am Wort Vernehmlassungsvorlage hängt der ganze Zeitplan. Eine Vernehmlassungsvorlage ist ein Entwurf, der in die Konsultation geht. Danach wertet die Verwaltung die Stellungnahmen aus, der Bundesrat verfasst eine Botschaft, das Parlament berät in zwei Kammern, am Ende läuft eine Referendumsfrist. «Bis Ende 2026» ist damit der Termin für ein Papier, das zur Diskussion gestellt wird. Es ist nicht der Termin, ab dem du etwas erfüllen musst, und es ist auch kein Datum, auf das du eine KI-Einführung planen kannst.
Das Gesetz mit harten Daten hat seine Daten gerade verschoben
Für Schweizer Firmen mit EU-Geschäft ist ohnehin ein anderes Regelwerk das relevante: der EU AI Act. Der hat echte Fristen. Nur bewegen die sich.
In Kraft ist er seit dem 1. August 2024, anwendbar seit dem 2. August 2026. Die Verbote bestimmter Anwendungen gelten seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Dazu gehört auch die Schulungspflicht für die eigenen Leute.
Dann kam der AI Omnibus, in Kraft seit dem 27. Juli 2026. Er hat die Hochrisiko-Regeln nach hinten gesetzt. Systeme in sensiblen Bereichen wie Biometrie, kritische Infrastruktur, Bildung oder Beschäftigung gelten erst ab dem 2. Dezember 2027. Systeme, die in Produkte eingebaut sind, etwa in Aufzüge oder Spielzeug, ab dem 2. August 2028. Gegenüber den ursprünglichen Daten sind das sechzehn Monate mehr Zeit für die erste Gruppe und zwölf für die zweite. Die Kommission begründet die Verlängerung damit, dass Unternehmen Zeit brauchen, bis Normen und Hilfsmittel vorliegen.
Eine Verschiebung um mehr als ein Jahr bei einem Gesetz, das zu diesem Zeitpunkt schon in Anwendung war. Wer seinen KI-Fahrplan an ein Regulierungsdatum gehängt hat, hat gerade gelernt, dass dieses Datum verhandelbar ist. Termine aus Gesetzgebungsprozessen taugen schlecht als Projekttermine.
Welche Regeln gelten heute schon für KI in der Schweiz?
Das Datenschutzgesetz. Der EDÖB hält in seiner Mitteilung vom 8. Mai 2025 fest, dass es technologieneutral formuliert und «demzufolge auch auf den Einsatz von KI-gestützten Datenbearbeitungen direkt anwendbar» ist. Das Wort KI muss im Gesetzestext nicht vorkommen, damit das Gesetz greift. Drei Stellen daraus betreffen ein KMU unmittelbar.
Du musst sagen, was die KI macht
Herstellerinnen, Anbieter und Verwender von KI-Systemen müssen laut EDÖB «den Zweck, die Funktionsweise und die Datenquellen der auf KI beruhenden Bearbeitungen» transparent machen. Dazu kommt ein Punkt, der jeden Antwortassistenten auf der Website betrifft: Nutzende haben «ein gesetzliches Recht zu erfahren, ob sie mit einer Maschine sprechen oder korrespondieren».
Ein Chatbot, der auf der Kundenseite wie ein Mitarbeiter auftritt, ist damit kein Modellproblem, sondern eine Offenlegungsfrage. Die löst du an einem Nachmittag, sobald jemand sie stellt.
Bei automatisierten Entscheiden gilt Art. 21 DSG
Diese Stelle ist in unserer Erfahrung die am wenigsten bekannte. Art. 21 DSG in der Fassung vom 1. September 2023 verlangt, dass der Verantwortliche die betroffene Person über eine Entscheidung informiert, «die ausschliesslich auf einer automatisierten Bearbeitung beruht und die für sie mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt». Dazu kommt ein zweiter Satz, der die Arbeit macht: «Die betroffene Person kann verlangen, dass die automatisierte Einzelentscheidung von einer natürlichen Person überprüft wird.»
Das Gesetz verlangt also eine Person, die den Entscheid auf Antrag nachprüft, und die muss benannt sein, bevor der Antrag eintrifft. Relevant wird das, sobald bei euch ein Modell Bewerbungen vorsortiert oder Anträge ablehnt.
Zwei Begriffe entscheiden über die Reichweite. «Ausschliesslich» heisst: Hängt zwischen Modell und Entscheid noch ein Mensch, der den Fall beurteilt und nicht nur abzeichnet, liegt keine automatisierte Einzelentscheidung vor. Und «erheblich beeinträchtigt» zieht die Grenze zwischen einer Vorsortierung, die einem Team Lesezeit spart, und einer Ablehnung, die für die betroffene Person das Ergebnis ist. Zwei Ausnahmen nennt das Gesetz zusätzlich: wenn der Entscheid unmittelbar mit einem Vertrag zusammenhängt und dem Begehren der Person stattgegeben wird, oder wenn sie ausdrücklich in den automatisierten Entscheid eingewilligt hat.
Der Engpass sitzt damit an einer unspektakulären Stelle. Jemand im Haus muss diesen Entscheid verantworten, und diese Person benennt kein Gesetzestext für dich.
Das KI-Werkzeug ist ein Auftragsbearbeiter
Sobald Personendaten in ein fremdes Werkzeug fliessen, gilt Art. 9 DSG. Absatz 2 im Wortlaut: «Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.» Vergewissern, nicht vereinbaren. Ein unterschriebenes Dokument allein erfüllt diesen Satz nicht. Welche Prüfung dahinter stehen muss, steht im Beitrag zum Auftragsbearbeitungsvertrag für KI-Tools, und welche Daten überhaupt in ein öffentliches Modell dürfen, klärt der Beitrag zu Firmendaten in ChatGPT.
Der Vertrag kommt vor dem Gesetz
In unserer Erfahrung erreicht die erste verbindliche KI-Anforderung ein KMU nicht über das Bundesblatt. Sie steht im Lieferantenfragebogen oder in einer neuen Klausel bei der Vertragsverlängerung. Ein Industriekunde mit EU-Geschäft oder ein Spital gibt die eigenen Pflichten in der Lieferkette weiter. Das Datum, das dann zählt, ist euer Vertragsabschluss und nicht der 2. Dezember 2027.
Unangenehm daran ist, dass du diesen Termin nicht kontrollierst. Praktisch daran ist, dass die Antworten identisch sind. So ein Fragebogen will wissen, welche KI-Werkzeuge im Einsatz sind, mit welchem Konto sie laufen, welche Daten sie sehen, ob Eingaben zum Training weiterverwendet werden und wer bei euch dafür geradesteht. Genau diese Angaben verlangt das DSG heute schon. Du arbeitest also nicht zweimal. Und wenn das KI-Gesetz Schweiz eines Tages in Kraft tritt, liegt diese Grundlage längst bei dir im Haus.
Woran es in unserer Erfahrung hakt, ist der Besitz dieser Antworten. Der Fragebogen landet im Verkauf, wandert weiter zur IT, und dort beantwortet jemand nach Gefühl, was ein Entscheid der Geschäftsleitung wäre.
Der Einstieg ist deshalb kein Gesetzesstudium, sondern ein KI-Inventar: die Liste der Werkzeuge, die im Haus benutzt werden, mit Konto, Datenzugriff und verantwortlicher Person. Diese Liste ist in jeder bisher diskutierten Regulierungsvariante die erste Spalte. Darauf folgt die eine Seite Regeln, nicht umgekehrt.
Für wen das kein Zwischenstand ist
Für einen Teil der Leser ist nichts davon eine Entspannung, und das gehört hierher.
Der AI Act erfasst nach Art. 2 Abs. 1 ausdrücklich auch Anbieter, die KI-Systeme in der Union in Verkehr bringen oder in Betrieb nehmen, unabhängig davon, ob sie in der Union oder in einem Drittland niedergelassen sind. Er greift zudem bei Anbietern und Betreibern mit Sitz in einem Drittland, wenn das Ergebnis des KI-Systems in der Union verwendet wird. Die Schweiz ist ein solches Drittland.
Wenn du also KI in ein Produkt einbaust, das in die EU geht, oder wenn die Ausgabe deines Systems bei EU-Kunden verwendet wird, ist das künftige KI-Gesetz Schweiz nicht dein Taktgeber. Dann hast du ein Projekt nach EU-Recht mit den Fristen von oben, unabhängig davon, was Bern bis Ende 2026 in die Konsultation gibt.
Was du dir in der Zwischenzeit sparen kannst
Unsicherheit um das KI-Gesetz Schweiz erzeugt Angebote. Zwei davon kannst du liegen lassen.
Eine KI-Compliance-Plattform für ein Regime, von dem noch kein Text existiert, kauft dir nichts ausser einer Abo-Zeile. Dasselbe gilt für ein Rechtsgutachten zur Vernehmlassungsvorlage: es gibt sie noch nicht. Und ein Zertifikat als ersten Schritt verkauft die Reihenfolge falsch, nachzulesen bei den Kosten von ISO 42001.
Was sich lohnt, kostet keine Lizenz. Das Inventar füllst du mit Fragen und einem Tabellenblatt. Die Zuständigkeit legt die Geschäftsleitung in einer Sitzung fest. Beides übersteht die kommenden Fassungen des Gesetzes, und beides ist das, was der Kundenfragebogen abfragt. Den Rahmen dahinter beschreibt der Beitrag zum revidierten Datenschutzgesetz.
Die Zeile, die heute fehlt
In den Mandaten, in denen dieses Thema ruht, fehlt selten ein Gesetz. Es fehlt eine Zeile in der Aufgabenverteilung: wer entscheidet, welche KI im Haus erlaubt ist, und wer prüft einen automatisierten Entscheid nach, wenn jemand es verlangt.
Diese Zeile kannst du heute schreiben. Dafür braucht es keinen Gesetzestext, und sie ändert sich nicht, wenn Ende 2026 ein Entwurf in die Konsultation geht.
Wenn du das einmal sauber aufsetzen willst, ohne auf Bern zu warten, ist das genau die Arbeit, die wir in unseren Mandaten für KI-Governance machen. Ein Erstgespräch ist unverbindlich.
Eine Frage interessiert uns dabei besonders: Wer würde bei euch antworten, wenn morgen ein Kunde wissen will, welche KI seine Daten sieht?
Häufige Fragen
Gibt es in der Schweiz ein KI-Gesetz?
Nein. Das Bundesamt für Kommunikation hält fest, dass es bisher keine übergreifende Gesetzgebung spezifisch zu KI gibt. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und bestehende Gesetze sektorbezogen anzupassen. Eine Vernehmlassungsvorlage soll bis Ende 2026 vorliegen.
Welche Regeln gelten heute schon für KI in der Schweiz?
Vor allem das Datenschutzgesetz. Der EDÖB hält fest, dass es technologieneutral formuliert und damit direkt auf KI-gestützte Bearbeitungen anwendbar ist. Daraus folgen eine Transparenzpflicht zu Zweck, Funktionsweise und Datenquellen, die Regeln zum Auftragsbearbeiter nach Art. 9 DSG und die Pflichten bei automatisierten Einzelentscheiden nach Art. 21 DSG.
Gilt der EU AI Act für Schweizer Unternehmen?
Er kann greifen. Nach Art. 2 Abs. 1 erfasst er auch Anbieter aus Drittländern, die KI-Systeme in der Union in Verkehr bringen, sowie Anbieter und Betreiber aus Drittländern, wenn das Ergebnis des Systems in der Union verwendet wird. Die Hochrisiko-Regeln gelten seit dem AI Omnibus ab Dezember 2027 und August 2028.
