DECISION TOOLKIT · SCHWEIZER KI-COMPLIANCE
Drei Perimeter zu einer belastbaren Akte verbinden
Die rechtliche Analyse wird operativ, wenn jeder Perimeter in einem Owner, einem Evidenzset und einem Entscheid endet. Die Frage ist nicht, ob ein Unternehmen KI nutzt, sondern ob es jeden Use Case unter Druck erklären kann.
Inventar, Datenflüsse, Verträge
Klauseln, Kontrollen, Assessments
Training, Intake, Quartalsreview
Eine belastbare Akte beantwortet Wer, Was, Wo, Warum und unter welchen Bedingungen innerhalb eines Arbeitstags.
Ein Schweizer Unternehmen, das 2026 generative KI einsetzt, bewegt sich gleichzeitig in zwei Rechtsregimen. Das erste ist explizit: Das neue Datenschutzgesetz (nDSG), in Kraft seit September 2023, gilt für jeden Prompt, jede Integration und jeden Datenfluss, der Personendaten enthält. Das zweite ist leiser: Der EU AI Act, in Kraft seit August 2024, entfaltet extraterritoriale Wirkungen, die viele Schweizer Organisationen zu spät entdecken — oft mitten in einer Ausschreibung oder einem Due-Diligence-Fragebogen.
Die Lücke, die wir in Mandaten beobachten, ist kein Mangel an gutem Willen. Es ist ein Mangel an Rahmen: Die Rechtsabteilung denkt in Erlassen, die Technik in Systemen, die Geschäftsleitung in Risiken — und niemand denkt in Nachweisen. Dabei ist es genau ein Nachweis, der eines Tages verlangt wird: von einem Kunden, einem Auditor oder einer Behörde. Dieser Artikel schlägt ein Raster aus drei Perimetern vor und anschliessend einen 90-Tage-Plan, um von der Absicht zum belastbaren Dossier zu kommen.
Zwei Regime bereits in Kraft, ein Schweizer blinder Fleck
Das nDSG ist technologieneutral: Es erwähnt KI nicht — und genau deshalb gilt es bereits. Sobald eine Mitarbeiterin eine Kunden-E-Mail in einen Assistenten kopiert oder ein angebundenes System HR-Dossiers indexiert, findet eine Bearbeitung von Personendaten statt, und die Pflichten des Gesetzes greifen: Zweckbindung und Verhältnismässigkeit, Informationspflicht, Regelung der Auftragsbearbeiter, Bedingungen für die Bekanntgabe ins Ausland. Das Gesetz sieht zudem Strafbestimmungen vor, die sich an natürliche Personen richten: Persönliche Sanktionen sind für Führungskräfte und verantwortliche Personen möglich.
Der AI Act folgt einer anderen Logik: Er ist Produktregulierung, abgestuft nach Risiko. Seine Anwendung ist gestaffelt: in Kraft seit August 2024, gelten seit August 2025 Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, und die Pflichten für Hochrisiko-Systeme werden schrittweise zwischen 2026 und 2027 wirksam. Die Bussen sind proportional zum Umsatz.
Der blinde Fleck passt in einen Satz: Die Schweiz hat bis heute kein horizontales KI-Gesetz und setzt auf einen sektoriellen Ansatz. Viele Organisationen leiten daraus ein regulatorisches Vakuum ab. Das ist doppelt falsch: Das nDSG erfasst bereits den Rohstoff der generativen KI — die Daten —, und der AI Act macht an der Grenze nicht halt. Ein Schweizer Unternehmen kann betroffen sein, ohne eine einzige Einheit in der EU zu besitzen.
Die drei Perimeter
Statt Analysen Erlass für Erlass zu stapeln, rahmen wir jede Situation mit drei Perimetern. Jeder beantwortet eine eigene Frage, bindet andere Beteiligte ein und produziert eigene Nachweise.
Perimeter 1 — Personendaten. Welche Personendaten fliessen in unsere KI-Nutzungen, und halten wir das nDSG über die ganze Kette ein: Grundlage der Bearbeitung, Information, Auftragsbearbeiter, Bekanntgabe ins Ausland, Folgenabschätzung?
Perimeter 2 — der EU-Markt. Sind wir über unsere Kunden, unsere Tochtergesellschaften oder die Outputs unserer Systeme im Anwendungsbereich des AI Act — und in welcher Rolle, Anbieter oder Betreiber?
Perimeter 3 — Branchen- und Vertragsrisiko. Welche Pflichten kommen zu den Gesetzen hinzu: Berufsgeheimnis, Erwartungen der Aufsichtsbehörden, Kundenklauseln, Audit-Anforderungen?
Eine einzelne Nutzung kann einen, zwei oder alle drei Perimeter aktivieren. Ein interner Assistent für technische Dokumentation aktiviert oft nur den ersten, schwach. Ein KI-gestütztes Screening von Bewerbungen für Stellen in Genf und Lyon aktiviert alle drei. Diese Kombination — nicht das Werkzeug selbst — bestimmt den gerechtfertigten Compliance-Aufwand.
Perimeter 1 — Personendaten (nDSG)
Der erste Perimeter ist am häufigsten aktiviert und am schlechtesten dokumentiert. Fünf Arbeitspakete strukturieren ihn.
Die Grundlage der Bearbeitung. Anders als die DSGVO verlangt das nDSG nicht für jede Bearbeitung eine Rechtsgrundlage: Es verlangt die Einhaltung der Grundsätze — bestimmter Zweck, Verhältnismässigkeit, Richtigkeit, Sicherheit — und einen Rechtfertigungsgrund, wenn eine Bearbeitung davon abweicht. Konkret muss das Unternehmen für jede generative KI-Nutzung sagen können, zu welchem Zweck die Daten bearbeitet werden und warum diese Bearbeitung verhältnismässig ist. «Produktivität steigern» genügt nicht als Zweck, um die gesamte Kundenhistorie einzuspeisen.
Die Information. Die Informationspflicht gilt bei der Beschaffung von Personendaten: Die Datenschutzerklärung muss die Realität der KI-Nutzungen abbilden — Datenkategorien, Empfänger einschliesslich der Modellanbieter, Bearbeitungsländer. Automatisierte Einzelentscheidungen sind mitzuteilen, wenn sie rechtliche oder erhebliche Auswirkungen für die betroffene Person haben.
Die Auftragsbearbeiter. Ein KI-Anbieter, der Personendaten in Ihrem Auftrag bearbeitet, ist ein Auftragsbearbeiter: Es braucht einen Vertrag, Sicherheitsgarantien und die Regelung der Unterauftragsbearbeiter. Der harte Punkt in der Praxis: Die Konsumentenbedingungen vieler Werkzeuge erfüllen diese Anforderungen nicht — nur bestimmte Enterprise-Angebote tun es.
Die Bekanntgabe ins Ausland. Inferenz findet irgendwo statt. Bietet das Bearbeitungsland kein als angemessen anerkanntes Schutzniveau, braucht es Garantien — typischerweise Standardvertragsklauseln — und eine Prüfung ihrer Wirksamkeit. Der vertraglich zugesicherte Bearbeitungsort wird zum Auswahlkriterium für Anbieter, nicht zum technischen Detail.
Die Folgenabschätzung. Kann eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen — Profiling, besonders schützenswerte Daten, neue Technologien in grossem Umfang —, ist vor dem Einsatz eine Datenschutz-Folgenabschätzung erforderlich. Generative KI auf HR-, Gesundheits- oder Finanzdaten erfüllt diese Kriterien oft. Bleibt das Restrisiko hoch, ist der EDÖB der vom Gesetz vorgesehene Ansprechpartner.
Perimeter 2 — der EU-Markt (AI Act)
«Wir sind Schweizer, der AI Act betrifft uns nicht» ist einer der teuersten Sätze des Jahres 2026. Die Verordnung gilt auch für Akteure mit Sitz ausserhalb der EU, und ein Schweizer Unternehmen gelangt typischerweise durch drei Türen in ihren Anwendungsbereich.
Erste Tür: der Markt. Wer ein Produkt oder eine Dienstleistung mit einem KI-System auf dem europäischen Markt anbietet, ist betroffen — unabhängig vom Sitz. Das schliesst den Schweizer Softwarehersteller ein, dessen KI-Funktion an europäische Kunden verkauft wird.
Zweite Tür: die Outputs. Die Verordnung erfasst auch Fälle, in denen die Outputs eines in einem Drittland betriebenen Systems in der EU verwendet werden. Ein Genfer Unternehmen, das Bewerbungen für seine Niederlassung in Lyon vorsortiert oder einem deutschen Kunden Analysen aus seinem KI-System liefert, kann in den Anwendungsbereich fallen, ohne irgendjemandem «KI zu verkaufen».
Dritte Tür: der Konzern. Eine europäische Tochtergesellschaft, die die KI-Werkzeuge der Gruppe einsetzt, ist Betreiberin im Sinne der Verordnung, mit eigenen Pflichten — und trägt die Anforderungen mechanisch zur Muttergesellschaft hoch.
Die Rolle zählt so viel wie der Anwendungsbereich. Die meisten Schweizer Unternehmen sind Betreiber: Ihre Pflichten betreffen die bestimmungsgemässe Nutzung, die menschliche Aufsicht, die Protokolle und die Überwachung des Betriebs. Anbieter wird man aber — mit deutlich schwereren Pflichten —, wenn man ein auf einem Drittmodell aufgebautes System unter eigener Marke vermarktet oder ein bestehendes System wesentlich verändert. Schweizer Produkte «mit integrierter KI» überschreiten diese Linie, ohne es je entschieden zu haben.
Zum Kalender: Die Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck gelten seit August 2025, jene für Hochrisiko-Systeme — unter anderem Rekrutierung, Kreditwürdigkeit, Zugang zu wesentlichen Dienstleistungen — werden schrittweise zwischen 2026 und 2027 wirksam. Auf die letzte Frist zu warten, ist eine Verliererstrategie: Es sind die europäischen Kunden, die schon heute vertraglich Compliance-Nachweise verlangen, lange vor den Behörden.
Perimeter 3 — Branchen- und Vertragsrisiko
Der dritte Perimeter wird am häufigsten vergessen, obwohl er am schnellsten sanktioniert. Keine Behörde handelt schneller als ein Kunde, der kündigt.
Das Berufsgeheimnis. Banken, Anwälte, Ärztinnen, Treuhänder: Daten, die dem Berufsgeheimnis unterstehen, ohne geeigneten Rahmen an einen externen KI-Dienst zu übermitteln, ist ein eigenes Risiko, unabhängig vom nDSG. Die richtige Frage lautet nicht «Ist dieser Anbieter seriös?», sondern «Ist dieser Übermittlungskanal mit meiner Geheimhaltungspflicht vereinbar?».
Die Branchenaufsicht. Finanzinstitute müssen ihre KI-Nutzungen in das operationelle Risikomanagement und die Auslagerungsregeln integrieren; Gesundheitswesen und öffentlicher Sektor haben eigene Anforderungen. Die Aufsichtsbehörde wartet nicht auf ein KI-Gesetz, um Fragen zu einem kritischen Prozess zu stellen, der an ein Modell delegiert wurde.
Die Kundenklauseln. Geheimhaltungsvereinbarungen, Auftragsbearbeitungsverträge, Klauseln gegen nicht genehmigte Unterbeauftragung, Lokalisierungsanforderungen: Eine generative KI-Nutzung kann einen Vertrag verletzen, bevor sie ein Gesetz verletzt. Der Dienstleister, der Kundendokumente durch ein nicht deklariertes KI-Werkzeug leitet, exponiert sich vertraglich — unabhängig von seiner gesetzlichen Compliance.
Die Audit-Anforderungen. ISO 27001, SOC 2, Kundenaudits und Due Diligence decken inzwischen KI ab. Eine ungeregelte Nutzung wird zur Audit-Abweichung — mit direkter kommerzieller Wirkung auf Verkaufszyklen.
Das Nachweisraster
Diese drei Perimeter sind nur so viel wert wie die Nachweise, die sie produzieren. Dies ist das Raster, mit dem wir den Zustand einer Organisation objektivieren.
| Perimeter | Leitfragen | Erwarteter Nachweis |
|---|---|---|
| Personendaten (nDSG) | Welche Personendaten fliessen in welche Nutzungen? Zu welchem Zweck, mit welchen Auftragsbearbeitern, in welche Länder? | Bearbeitungsverzeichnis inklusive KI, Auftragsbearbeitungsverträge, Analyse der Auslandbekanntgaben, Folgenabschätzungen für risikoreiche Nutzungen |
| EU-Markt (AI Act) | Werden unsere Outputs in der EU verwendet? Sind wir Anbieter oder Betreiber? Welche Nutzungen werden als Hochrisiko gelten? | Karte der EU-Exposition, Rollenqualifikation pro System, Compliance-Dossier und Verfolgung des Kalenders 2026–2027 |
| Branche & Verträge | Welche Geheimhaltungspflichten, Kundenklauseln und Aufsichtserwartungen gelten? | Review der Schlüsselverträge, Register der eingegangenen Verpflichtungen, Nutzungsregeln pro Daten- und Kundenkategorie |
«Die Aufsicht wird nicht fragen, ob Sie generative KI nutzen. Sie wird fragen, wo, mit welchen Daten, unter welchen Klauseln — und wer das entschieden hat.»
Was das für generative KI bedeutet
Auf die operative Ebene gebracht, ruht das Compliance-Dossier auf sechs Bausteinen.
Das Nutzungsinventar. Nicht nur die beschafften Werkzeuge: die tatsächlichen Nutzungen, einschliesslich der nicht genehmigten. Pro Nutzung: bearbeitete Daten, Nutzergruppen, Anbieter, Kanal — Konsumentenoberfläche, Enterprise-Angebot, API — und produzierte Outputs.
Die Klassifizierung. Jede Nutzung erhält eine Stufe nach Datensensitivität und Output-Wirkung. Die Klassifizierung entscheidet über den Rest: was mit welchem Werkzeug erlaubt ist, was eine Folgenabschätzung erfordert, was über eine menschliche Freigabe läuft.
Die Anbieterklauseln. Drei Klauseln bedingen alles: die Aufbewahrung (wie lange werden Prompts und Outputs gespeichert, und lässt sich das an die eigene Richtlinie angleichen?), das Training (sind Ihre Daten vom Modelltraining ausgeschlossen, standardmässig und vertraglich?) und die Lokalisierung (in welcher Region werden Daten bearbeitet und gespeichert?). Dazu kommen die Liste der Unterauftragsbearbeiter und die Reversibilität am Vertragsende.
Die technischen Kontrollen. Zuerst Single Sign-on und rollenbasierte Berechtigungen; dann die Begrenzung der Daten, die angebundene Systeme erreichen können, die Trennung der Umgebungen und die Behandlung LLM-spezifischer Risiken — Prompt Injection, Datenexfiltration, vergifteter Kontext —, dokumentiert namentlich in den OWASP Top 10 for LLM Applications.
Die Protokollierung. Wer hat welches System wann und wofür genutzt: Ohne Protokolle lassen sich weder Aufsicht noch Incident Response nachweisen. Sie muss verhältnismässig bleiben — ein Überwachungsapparat für Mitarbeitende würde ein neues nDSG-Problem schaffen, statt eines zu lösen.
Die Schulung. Eine kurze Nutzungsrichtlinie, konkrete Beispiele pro Funktion und differenzierte Schulung: ein Sockel für alle, ein verstärktes Modul für exponierte Funktionen — HR, Recht, Finanzen, Kundensupport.
Häufige Fehler aus Mandaten
Sechs Muster kehren mit bemerkenswerter Regelmässigkeit wieder.
Das Phantominventar. Die Geschäftsleitung glaubt an drei Nutzungen; die Erhebung zeigt fünfundzwanzig, mehrere davon auf privaten Konten. Jede vor dem Inventar erklärte Compliance ist eine Fiktion.
Der Standardvertrag. Das Werkzeug wurde unter Konsumentenbedingungen eingeführt: Daten für das Training verwendbar, unkontrollierte Aufbewahrung, unbekannte Unterauftragsbearbeiter. Niemand hat gelesen, niemand hat verhandelt.
Die dekorative Folgenabschätzung. Nach dem Deployment erstellt, für die Akte, nie aktualisiert, wenn sich die Nutzung ändert. Eine Abschätzung, die der Entscheidung nicht vorausgeht, schützt niemanden.
Der Reflex «wir sind Schweizer». Die AI-Act-Exposition wird im Fragebogen eines europäischen Kunden entdeckt, zum schlechtesten Zeitpunkt: am Ende eines Verkaufszyklus.
Die Richtlinie ohne Kontrollen. Eine PDF-Weisung verbietet, was die Infrastruktur erlaubt. Ohne Single Sign-on, ohne Berechtigungen, ohne genehmigte Alternative produziert das Verbot Schatten-KI, keine Compliance.
Die Entscheidung ohne Spur. Vernünftige Abwägungen wurden getroffen — aber von niemandem im Besonderen, an keinem bestimmten Datum, in keinem Dokument. An dem Tag, an dem der Nachweis verlangt wird, muss alles rekonstruiert werden.
Der 90-Tage-Plan
Neunzig Tage genügen, um von einer erlittenen Situation zu einem verteidigungsfähigen Dossier zu kommen — vorausgesetzt, man sequenziert.
Tage 1–30 — Fakten schaffen. Inventar der tatsächlichen Nutzungen, genehmigt oder nicht; Datenkartierung pro Nutzung; Identifikation der Nutzungen, deren Outputs die EU erreichen; Sammlung der geltenden Anbieterverträge. Ergebnis: eine von der Geschäftsleitung verabschiedete Liste erlaubter, bedingt geduldeter und verbotener Nutzungen.
Tage 31–60 — Lücken schliessen. Migration der kritischen Nutzungen auf Enterprise-Angebote mit verhandelten Klauseln — Aufbewahrung, Training, Lokalisierung; Aktualisierung der Datenschutzerklärung; Folgenabschätzungen für die zwei oder drei sensibelsten Nutzungen; Aktivierung der Basiskontrollen: Single Sign-on, Berechtigungen, Protokollierung. Ergebnis: Verträge und Kontrollen im Einklang mit der Klassifizierung.
Tage 61–90 — Regime verankern. Nutzungsrichtlinie publiziert und geschult; eine Anlaufstelle für jede neue Nutzung, mit kurzen Antwortzeiten; ein Entscheidungsregister — wer hat was, wann, unter welchen Bedingungen genehmigt; eine geplante Quartalsrevision, einschliesslich der Verfolgung des AI-Act-Kalenders 2026–2027. Ergebnis: ein Prozess, der das Projekt überlebt.
Das Erfolgskriterium ist nicht das Dokumentenvolumen. Es ist die Fähigkeit, einem Kunden, einem Auditor oder einer Behörde innert eines Tages zu antworten: welche Nutzungen, welche Daten, welche Klauseln, welche Entscheidungen.
Die Start-Checkliste
- Erfassen Sie alle generativen KI-Nutzungen, auch nicht genehmigte, mit Daten, Nutzern und Anbietern.
- Klassifizieren Sie jede Nutzung nach Datensensitivität und Output-Wirkung.
- Markieren Sie Nutzungen, deren Outputs in der EU verwendet werden oder europäischen Kunden dienen, und qualifizieren Sie Ihre Rolle.
- Prüfen Sie pro Anbieter: Aufbewahrung, Training, Lokalisierung, Unterauftragsbearbeiter, Reversibilität.
- Aktualisieren Sie die Datenschutzerklärung und die Information über automatisierte Entscheidungen.
- Führen Sie vor dem Einsatz eine Folgenabschätzung für Nutzungen mit voraussichtlich hohem Risiko durch.
- Prüfen Sie Berufsgeheimnis und Kundenklauseln, bevor Sie eine neue Nutzung genehmigen.
- Aktivieren Sie Single Sign-on, rollenbasierte Berechtigungen und verhältnismässige Protokollierung auf den genehmigten Werkzeugen.
- Dokumentieren Sie jede Genehmigungsentscheidung mit Verantwortlichem, Datum und Auflagen.
- Planen Sie die Quartalsrevision und die Verfolgung der AI-Act-Fristen 2026–2027.
Dieser Artikel ist eine operative Analyse für Führungsteams; er stellt keine Rechtsberatung zu Ihrer konkreten Situation dar.