Zum Inhalt springen

Referenz

KI-Regulierung in der Schweiz · eine Referenz

revDSG, die Wirkung der EU-KI-Verordnung (AI Act) auf die Schweiz, der Schweizer Ansatz Branche für Branche, GxP und Branchenregeln für KI-Systeme, mit Daten und Primärquellen.

Stand: Oktober 2026. Diese Seite zeigt Ihrem Compliance- oder Rechtsteam, welche Regelwerke für ein in der Schweiz gebautes oder genutztes KI-System voraussichtlich gelten. Nichts davon ist Rechtsberatung. Ihre Rechtsberatung entscheidet, wo Sie stehen.

revDSG · Schweizer Datenschutz

Das revidierte Bundesgesetz über den Datenschutz (DSG, SR 235.1) ist seit dem 1. September 2023 in Kraft.1 Am 8. Mai 2025 bestätigte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), dass es unmittelbar auf KI-Systeme anwendbar ist, die Personendaten bearbeiten.2 Ein KI-System, das Personendaten von Menschen in der Schweiz berührt, unterliegt bereits einem durchgesetzten Rahmen, ob es nun als KI-Projekt bezeichnet wurde oder nicht.

ArtikelWas er verlangtWas das für ein KI-System bedeutet
Art. 21 · Automatisierte EinzelentscheidungenEine Person muss über eine erhebliche, ausschliesslich automatisiert getroffene Entscheidung informiert werden, kann ihren Standpunkt darlegen und eine Überprüfung durch eine natürliche Person verlangen, mit AusnahmenDer Prüfweg wird vor dem Go-live festgelegt: wer prüft, wie schnell und wie das Ergebnis protokolliert wird
Art. 22 · Datenschutz-FolgenabschätzungEine DSFA, wenn die Bearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringtWird festgelegt, solange sich das Design noch ändern kann
Art. 24 · Meldung von VerletzungenMeldung an den EDÖB so rasch wie möglich; anders als die 72 Stunden der DSGVO gibt es keine feste FristMonitoring und Incident Response müssen eine Verletzung, die das KI-System betrifft, erkennen und dokumentieren können
Art. 60 bis 63 · StrafbestimmungenBussen bis CHF 250’000 für vorsätzliche Verstösse, verhängt gegen die verantwortliche EinzelpersonJedes System braucht eine benannte verantwortliche Person und den Nachweis, dass die Pflichten erfüllt wurden

Die Strafbestimmungen erfassen nur vorsätzliche Verstösse.3 Die Busse trifft die verantwortliche Einzelperson, meist in leitender Funktion. Stattdessen kann das Unternehmen gebüsst werden, aber nur, wenn die Ermittlung dieser Person einen unverhältnismässigen Aufwand erfordern würde und die Busse CHF 50’000 nicht übersteigt.

Die EU-KI-Verordnung (AI Act) und Schweizer Unternehmen

Die Schweiz liegt ausserhalb der EU, und doch kann der AI Act gelten. Nach Art. 2 Abs. 1 Bst. c erfasst er Anbieter und Betreiber mit Sitz ausserhalb der EU, wenn das Ergebnis ihres KI-Systems in der EU verwendet wird.4 Er erfasst auch alle, die ein System auf dem EU-Markt in Verkehr bringen oder dort in Betrieb nehmen. Ein Schweizer Hersteller, der nach Deutschland liefert, kann im Geltungsbereich sein, ebenso ein Schweizer Dienstleister, dessen KI-Ergebnis EU-Kunden erreicht.

DatumWas gilt
2. August 2026Transparenzpflichten nach Artikel 50 und die meisten Durchsetzungsstrukturen, seit diesem Datum in Kraft
2. Dezember 2027Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, etwa Rekrutierung, Kreditwürdigkeit, Werkzeuge der Strafverfolgung und manche Versicherungstarife
2. August 2028Pflichten für Hochrisiko-KI in Produkten, die unter Anhang I reguliert sind, etwa Maschinen und Medizinprodukte

Diese Daten haben sich im Juni 2026 verschoben, als die EU den Digital Omnibus on AI verabschiedete und beide Hochrisiko-Fristen verschob: Anhang III vom 2. August 2026 und Anhang I vom 2. August 2027.5 Sie könnten sich erneut verschieben. Ein System, das heute nicht erfasst ist, kann es sein, wenn es in den produktiven Einsatz geht.

Die Bussen berechnen sich nach dem gesamten weltweiten Jahresumsatz:6

VerstossHöchstbusse
Verbotene Praktiken nach Artikel 5, etwa Social Scoring oder manipulative SystemeEUR 35 Millionen oder 7 % des Umsatzes, je nachdem, was höher ist
Die meisten übrigen Pflichten der AkteureEUR 15 Millionen oder 3 % des Umsatzes
Falsche oder irreführende Angaben an BehördenEUR 7.5 Millionen oder 1 % des Umsatzes

Der eigene Ansatz der Schweiz

Am 12. Februar 2025 entschied der Bundesrat, KI durch gezielte Änderungen des bestehenden Branchenrechts zu regulieren, ohne ein übergreifendes KI-Gesetz.7 Am 27. März 2025 unterzeichnete die Schweiz das Rahmenübereinkommen des Europarats über künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit. Bei unserer letzten Prüfung war es nicht ratifiziert, und die Umsetzungsänderungen waren noch im Entwurf.

Für einen konkreten Anwendungsfall steht die massgebliche Regel meist in dem Recht, das die Tätigkeit ohnehin regelt: Finanzen, Gesundheit, Datenschutz oder eine andere Branche.

GxP · Pharma und Life Sciences

Die GxP-Validierung geht davon aus, dass sich ein System nach der Validierung so verhält wie währenddessen. KI-Systeme können sich ändern, wenn sich ein Modell, ein Prompt oder eine Retrieval-Quelle ändert.

RegelwerkStandWas es bedeutet
GAMP 5Veröffentlicht 2008; zweite Ausgabe Juli 20228Der Standard für die Validierung computergestützter Systeme; vor adaptiver KI geschrieben, ohne eigenen Ansatz für ein System, dessen Verhalten sich nach der Validierung ändern kann
ISPE GAMP AI GuideVeröffentlicht Juli 20259Der Leitfaden von ISPE, der die GxP-Validierung auf KI ausdehnt; gedacht für die Verwendung zusammen mit GAMP 5
EU-GMP-Annex 22Öffentliche Konsultation vom 7. Juli bis 7. Oktober 2025; endgültige Verabschiedung bis Ende 2026 erwartet10Ein neuer Annex zu KI in der GMP-Herstellung; prüfen Sie seinen Stand, bevor Sie sich darauf stützen

Qualitätsverantwortliche fragen am häufigsten, was zwischen den Validierungsereignissen geschieht. Ein eingefrorenes Evaluationsset, das bei jeder Änderung neu läuft, eine planmässig gemessene Drift und jedes Ergebnis, aufbewahrt zusammen mit der Änderung, die es ausgelöst hat: Das ist ein Nachweis, den eine Validierung nutzen kann. Die Validierung selbst gehört in Ihr Qualitätssystem.

Hinweise nach Branche

BrancheZu prüfende RegelWarum sie zählt
Finanzdienstleistungen und VersicherungenEU-KI-Verordnung, Anhang III 5(b) und 5(c)Die Bonitätsbeurteilung natürlicher Personen sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung gelten als Hochrisiko
IndustrieEU-Maschinenverordnung (EU) 2023/1230, anwendbar ab 20. Januar 2027Sie nimmt KI-Sicherheitsbauteile in ihren eigenen Geltungsbereich auf; ein solches Bauteil kann zugleich nach Anhang I der EU-KI-Verordnung Hochrisiko sein. Das Zusammenspiel beider Zeitpläne klären Sie mit Ihrer Rechtsberatung
Energie und VersorgerEU-KI-Verordnung, Anhang III Ziffer 2KI als Sicherheitsbauteil in kritischer Infrastruktur ist nur dann Hochrisiko, wenn der Betreiber als kritische Einrichtung benannt ist; die Benennung erfolgt durch die EU-Mitgliedstaaten, klären Sie also mit Ihrer Rechtsberatung, ob sie einen Schweizer Betreiber erreicht
Hotellerie und Lebensmittel-DetailhandelVerordnung (EU) 1169/2011 Art. 44; Schweizer Lebensmittelinformationsverordnung (LIV)Allergeninformationen sind für nicht vorverpackte Lebensmittel in der EU seit dem 13. Dezember 2014 und in der Schweiz seit dem 1. Mai 2018 verpflichtend. Ein KI-System, das Allergenfragen beantwortet, muss sie korrekt beantworten
Buchung und Self-ServiceEuropean Accessibility Act (Richtlinie (EU) 2019/882)Seit dem 28. Juni 2025 in Kraft für Buchungsseiten, Apps und Self-Service-Check-in; bestehende Self-Service-Terminals haben bis zum 28. Juni 2030 Zeit
Online-PlattformenDigital Services Act Art. 27Plattformen mit Empfehlungssystemen müssen die wichtigsten Ranking-Parameter in verständlicher Sprache erklären

Was noch offen ist

  • Der EDÖB hat im Mai 2025 bestätigt, dass das revDSG auf KI anwendbar ist. Detaillierte Hinweise, wie eine DSFA ein KI-System bewerten soll, entwickeln sich noch.
  • Beim gestaffelten Zeitplan der EU-KI-Verordnung können die Pflichten, die beim Start des produktiven Einsatzes für ein System gelten, von den heute geltenden abweichen.
  • Die Konsultation zu Annex 22 ist abgeschlossen, aber bei unserer letzten Prüfung war der Annex noch nicht final.
  • Der Schweizer Ansatz Branche für Branche heisst, dass es keine einzelne massgebliche Quelle gibt: Die anwendbare Regel hängt von Branche und Anwendungsfall ab.

Fragen, die wir oft hören

Gilt die EU-KI-Verordnung für ein Schweizer Unternehmen? Sie kann gelten. Nach Art. 2 Abs. 1 Bst. c gilt sie für Anbieter und Betreiber ausserhalb der EU, wenn das Ergebnis ihres KI-Systems in der EU verwendet wird, ebenso für alle, die ein System auf dem EU-Markt in Verkehr bringen. Ein Schweizer Unternehmen, dessen System EU-Kunden oder EU-Kolleginnen und -Kollegen bedient, kann im Geltungsbereich sein.

Gibt es ein Schweizer KI-Gesetz? Kein übergreifendes. Am 12. Februar 2025 entschied der Bundesrat, das bestehende Recht Branche für Branche anzupassen. Das revidierte Datenschutzgesetz gilt bereits für KI, die Personendaten bearbeitet, wie der EDÖB am 8. Mai 2025 bestätigt hat.

Braucht ein KI-Projekt eine DSFA? Nach Art. 22 revDSG ist eine nötig, wenn die Bearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Sie früh durchzuführen, solange sich das Design noch ändern kann, kostet am wenigsten.

Wer validiert ein KI-System nach GxP? Ihr Qualitätssystem. Zu den Nachweisen, auf die es zurückgreifen kann, gehören das Evaluationsset, Ergebnisse pro Release, das Änderungsprotokoll, Traces und das Monitoring zwischen den Validierungsereignissen.

Wie KARPINITY diese Pflichten in ein Projekt einbaut, steht unter Vertrauen und Compliance von Anfang an.

Diese Übersetzung dient der Information. Bei Abweichungen gilt die englische Fassung.

Footnotes

  1. Das revidierte Bundesgesetz über den Datenschutz (revDSG), formell das Bundesgesetz über den Datenschutz (DSG), ist am 1. September 2023 in Kraft getreten. Schweiz-spezifisch. Amtlicher konsolidierter Text: https://www.fedlex.admin.ch/eli/cc/2022/491/de. ↩

  2. EDÖB, «Update - Current data protection legislation is directly applicable to AI», 8. Mai 2025: bestätigt, dass das DSG, in Kraft seit dem 1. September 2023, technologieneutral ist und unmittelbar auf die KI-gestützte Bearbeitung von Personendaten anwendbar ist, und dass Anbieter und Nutzende von KI-Systemen Zweck, Funktionsweise und Datenquellen dieser Bearbeitung transparent halten müssen. Schweiz-spezifisch. https://www.edoeb.admin.ch/en/update-current-legislation-directly-applicable-ai. ↩

  3. DSG Art. 60-63 sehen Bussen von bis zu CHF 250’000 für vorsätzliche Verstösse vor (Verletzung von Informations- oder Mitwirkungspflichten, Verletzung der Sorgfaltspflichten bei der Datensicherheit, Verletzung der beruflichen Schweigepflicht oder Missachtung einer Verfügung des EDÖB). Die Haftung trifft nach Art. 64 des Bundesgesetzes über das Verwaltungsstrafrecht in erster Linie die verantwortliche Einzelperson, typischerweise in leitender Stellung, nicht das Unternehmen als solches; nur wenn die Ermittlung dieser Person einen unverhältnismässigen Untersuchungsaufwand erfordern würde und die Busse CHF 50’000 nicht überstiege, kann stattdessen das Unternehmen gebüsst werden. Es handelt sich nur um Vorsatzdelikte; für eine fahrlässige Verletzung gibt es keine Strafe. Schweiz-spezifisch. Amtlicher Text: https://www.fedlex.admin.ch/eli/cc/2022/491/de. Zusammenfassung des EDÖB, «Criminal law»: https://www.edoeb.admin.ch/edoeb/en/home/datenschutz/grundlagen/strafbestimmungen.html. ↩

  4. EU-KI-Verordnung (AI Act), Verordnung (EU) 2024/1689, Artikel 2 Abs. 1 Bst. c: Die Verordnung gilt für Anbieter und Betreiber mit Sitz ausserhalb der EU, wenn das von ihrem KI-System erzeugte Ergebnis in der EU verwendet wird, zusätzlich zu allen, die ein System auf dem EU-Markt in Verkehr bringen oder dort in Betrieb nehmen, unabhängig vom Sitz des Anbieters. Nicht Schweiz-spezifisch; EU-Recht, das über seinen räumlichen Anwendungsbereich in die Schweiz hineinwirkt. Amtlicher Text: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng. ↩

  5. Zeitplan zur Umsetzung der EU-KI-Verordnung (AI Act), wie durch das KI-Vereinfachungspaket «Digital Omnibus» geändert, das das Europäische Parlament am 16. Juni 2026 und der Rat der EU am 29. Juni 2026 angenommen haben: Transparenzpflichten (Art. 50) und die meisten Durchsetzungsstrukturen gelten ab dem 2. August 2026; die Frist für eigenständige Hochrisiko-Systeme nach Anhang III (zum Beispiel Rekrutierung, Kreditscoring, Werkzeuge der Strafverfolgung) wurde vom 2. August 2026 auf den 2. Dezember 2027 verschoben; die Frist für Hochrisiko-KI in regulierten Produkten nach Anhang I (zum Beispiel Medizinprodukte, Maschinen) wurde vom 2. August 2027 auf den 2. August 2028 verschoben. Nicht Schweiz-spezifisch. Rat der EU, «Artificial intelligence: Council gives final green light to simplify and streamline rules», Medienmitteilung, 29. Juni 2026: https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/. Amtlicher Text des AI Act (Konsolidierung der Änderung ausstehend): https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng. ↩

  6. EU-KI-Verordnung (AI Act), Artikel 99 Abs. 3: Bussen von bis zu EUR 35 Millionen oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist, gelten speziell für Verstösse gegen das Verbot von KI-Praktiken mit unannehmbarem Risiko nach Artikel 5 (zum Beispiel Social Scoring oder manipulative oder ausbeuterische Systeme), nicht für Verstösse gegen den AI Act allgemein. Die meisten übrigen Pflichten der Akteure sind auf bis zu EUR 15 Millionen oder 3 % des Umsatzes begrenzt; falsche oder irreführende Angaben an Behörden auf bis zu EUR 7.5 Millionen oder 1 %. Nicht Schweiz-spezifisch. Amtlicher Text: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng. ↩

  7. Bundesrat, «AI regulation: Federal Council to ratify Council of Europe Convention», Medienmitteilung, 12. Februar 2025: Die Schweiz wird das Rahmenübereinkommen des Europarats über künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit in erster Linie durch gezielte, branchenspezifische Änderungen des bestehenden Rechts umsetzen und nicht durch ein übergreifendes KI-Gesetz. Die Schweiz hat das Übereinkommen am 27. März 2025 unterzeichnet; bei unserer letzten Prüfung war es nicht ratifiziert, und die Umsetzungsgesetzgebung wurde im Verlauf von 2026 vorbereitet. Schweiz-spezifisch. https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-104110.html. ↩

  8. ISPE, GAMP 5 Guide, Second Edition (Juli 2022; GAMP 5 erschien erstmals 2008), der Standardrahmen der Pharmaindustrie für die Validierung computergestützter Systeme. Er ist älter als adaptive, lernende KI-Systeme in dem Sinn, wie die Branche den Begriff heute verwendet, und bietet keinen eigenen Validierungsansatz für ein System, dessen Verhalten sich nach der Validierung ändern kann; das ist ISPEs eigene Begründung für einen eigenen KI-Leitfaden. https://ispe.org/publications/guidance-documents/gamp-5-guide-2nd-edition. ↩

  9. ISPE, «ISPE GAMP® Guide: Artificial Intelligence», veröffentlicht im Juli 2025 (290 Seiten), gedacht zur Verwendung zusammen mit GAMP 5 (Second Edition), um das GxP-Validierungsdenken über den gesamten Lebenszyklus auf KI-gestützte computergestützte Systeme auszudehnen. https://ispe.org/publications/guidance-documents/gamp-guide-artificial-intelligence/. ↩

  10. Europäische Kommission / Europäische Arzneimittelagentur, «Stakeholders’ Consultation on EudraLex Volume 4 - Good Manufacturing Practice Guidelines: Chapter 4, Annex 11 and New Annex 22», öffentliche Konsultation vom 7. Juli 2025 bis 7. Oktober 2025, mit einem neuen Annex 22, der Anforderungen an KI und maschinelles Lernen bei der Herstellung von Arzneimitteln und Wirkstoffen festlegt. Bei unserer letzten Prüfung war keine endgültige Fassung veröffentlicht; die Arbeitsgruppe wertete die Kommentare aus, die endgültige Verabschiedung wird bis Ende 2026 erwartet. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en. ↩