KI-Regulierung in der Schweiz: Stand, Europarats-Konvention und Bezug zum EU AI Act

Kurzantwort: Die Schweiz hat noch kein eigenes KI-Gesetz. Der Bundesrat entschied am 12. Februar 2025, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht gezielt anzupassen; die Vernehmlassung zu einem Bundesgesetz ist für Frühling 2027 vorgesehen. Bis dahin gilt für KI-Anwendungen das Datenschutzgesetz. Schweizer Unternehmen, deren KI-Systeme oder -Ergebnisse in der EU genutzt werden, fallen zudem unter den EU AI Act.

Dieser Beitrag richtet sich an General Counsel, Compliance- und Datenschutzverantwortliche in Schweizer Unternehmen und Finanzinstituten. Er zeigt den Stand der KI-Regulierung in der Schweiz, was die Europarats-Konvention bedeutet, wie der EU AI Act hineinwirkt und welche Rollen die Umsetzung braucht.

Worum geht es bei der KI-Regulierung in der Schweiz?

Die Schweiz reguliert künstliche Intelligenz nicht mit einem umfassenden Gesetz nach EU-Vorbild, sondern setzt die KI-Konvention des Europarats um. Das hat der Bundesrat am 12. Februar 2025 auf Grundlage einer Auslegeordnung entschieden. Gesetzesanpassungen sollen möglichst sektorbezogen ausfallen; eine allgemeine Regulierung beschränkt sich auf grundrechtsrelevante Bereiche wie den Datenschutz.

Die Arbeiten laufen seither auf zwei Spuren (BAKOM, Stand 28. Oktober 2026):

• Rechtlich verbindliche Massnahmen: Das EJPD (Bundesamt für Justiz) erarbeitet mit dem UVEK und dem EDA die Vernehmlassungsvorlage für ein Bundesgesetz. Es soll Regeln zu Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikoabschätzung enthalten.
• Rechtlich nicht verbindliche Massnahmen: Das BAKOM koordiniert Branchendialoge, Leitlinien, Branchenstandards und Selbstverpflichtungen. Als erste Ergebnisse liegen ein Bericht über sektorielle Massnahmen und eine Handreichung für einen KI-Kodex vor, beide vom 26. Oktober 2026.

Die Europarats-Konvention

Die Rahmenkonvention des Europarats über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit ist der erste verbindliche internationale Vertrag zu KI. Bundesrat Albert Rösti hat sie am 27. März 2025 in Strassburg für die Schweiz unterzeichnet. Ratifiziert ist sie noch nicht: Das setzt das Umsetzungsgesetz voraus. Als völkerrechtlicher Vertrag richtet sich die Konvention an Staaten; Pflichten für Unternehmen entstehen erst über das Schweizer Umsetzungsrecht.

Wer ist betroffen?

Heute betrifft die KI-Regulierung Schweizer Unternehmen auf drei Wegen: über das geltende Datenschutzrecht, über den EU AI Act und – für Finanzinstitute – über die Aufsichtspraxis der FINMA.

• Alle Unternehmen, die mit KI Personendaten bearbeiten: Das Datenschutzgesetz ist laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) direkt auf KI-gestützte Datenbearbeitungen anwendbar.
• Unternehmen mit EU-Bezug: Der AI Act erfasst auch Anbieter ausserhalb der EU, wenn sie KI-Systeme in der EU in Verkehr bringen oder wenn die Ergebnisse ihrer Systeme in der EU verwendet werden (Art. 2 Abs. 1 lit. a und c AI Act). Das betrifft etwa Softwareanbieter mit EU-Kunden und Gruppen mit EU-Tochtergesellschaften.
• Banken, Versicherungen und andere FINMA-Beaufsichtigte: Die FINMA hat in der Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 ihre Erwartungen an Governance und Risikomanagement beim Einsatz von KI beschrieben.
• Künftig: Wen das neue Bundesgesetz erfasst, zeigt erst die Vernehmlassungsvorlage.

Fristen und Stand: Schweiz, Europarat und EU AI Act

Für die Schweiz selbst gibt es noch keine KI-spezifischen Fristen; verbindlich sind derzeit die Daten des EU AI Act für Unternehmen mit EU-Bezug. Die Tabelle zeigt den Stand am 10. November 2026.

Alle AI-Act-Stichtage und die Rollen nach der Verordnung erklärt der Beitrag AI Act: Fristen, Pflichten und Kapazität.

Was Unternehmen jetzt tun müssen

Unternehmen sollten nicht auf das Schweizer Gesetz warten, sondern die geltenden Pflichten erfüllen und ihre KI-Governance so aufbauen, dass sie spätere Regeln aufnehmen kann. Ein praxistaugliches Vorgehen:

1. KI-Inventar erstellen: eingesetzte und eingekaufte KI-Anwendungen erfassen, mit Zweck, Datenquellen, Verantwortlichen und Nutzung in der EU. Die FINMA stellte bei Finanzinstituten Lücken bei Inventaren, Datenqualität, Tests und Erklärbarkeit fest.
2. Datenschutz prüfen: über Zweck, Funktionsweise und Datenquellen informieren, automatisierte Einzelentscheidungen auf Wunsch durch eine Person überprüfen lassen und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG). Den Vergleich mit der DSGVO zeigt der Beitrag DSGVO und revDSG im Vergleich.
3. EU-Bezug klären: für jedes System prüfen, ob es in der EU angeboten wird oder Ergebnisse dort verwendet werden, und die eigene Rolle nach dem AI Act bestimmen (Anbieter, Betreiber, Einführer).
4. Governance festlegen: Zuständigkeiten, Freigaben, Modellrisiken wie Robustheit, Bias und Erklärbarkeit sowie die Due Diligence bei eingekaufter Software regeln. Ein Vorgehen beschreibt der Beitrag AI Governance aufbauen.
5. Selbstverpflichtung prüfen: die Handreichung des BAKOM für einen KI-Kodex nutzen, wenn Branche oder Unternehmen freiwillige Regeln festlegen wollen.
6. Vernehmlassung beobachten: die Vorlage im Frühling 2027 auswerten und eine Stellungnahme über Verband oder direkt einplanen.

Welche Rollen und Kapazitäten nötig sind

KI-Compliance ist eine Querschnittsaufgabe: Recht, Datenschutz, Compliance und IT müssen gemeinsam arbeiten, und der Aufwand fällt vor allem beim Inventar und bei der Dokumentation an.

Beispiel (Annahme): Ein Unternehmen erfasst 40 KI-Anwendungen und rechnet für Erhebung, Einordnung und Dokumentation sechs Stunden je Anwendung. Das ergibt 240 Stunden, dazu für zehn Anwendungen mit hohem Risiko je 16 Stunden für eine Folgenabschätzung, zusammen rund 400 Stunden. Bei 1’600 produktiven Stunden je Vollzeitstelle und Jahr entspricht das etwa fünf Monaten in einem Pensum von 60 %.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte bringen Spezialwissen für Inventar, Folgenabschätzungen und AI-Act-Einordnung, solange das Projekt läuft, und das Unternehmen behält die Steuerung. Alpinum Solutions stellt Datenschutz- und IT-Juristinnen und -Juristen, Compliance-Spezialisten und Projektteams über Personalverleih (Staff Leasing) und Freelancing bereit, in Teilzeit oder Vollzeit von 20 bis 100 %. Im Personalverleih liegt das fachliche Weisungsrecht beim Kunden; Freelancer arbeiten eigenverantwortlich im Rahmen des vereinbarten Mandats. Für den Personalverleih in der Schweiz verfügt Alpinum über die kantonale Bewilligung.

• Projektverstärkung: Spezialistinnen und Spezialisten für KI-Inventar, Datenschutz-Folgenabschätzungen und Vertragsprüfungen mit KI-Anbietern.
• Vertretung: erfahrene Datenschutzjuristen bei Vakanzen, siehe Datenschutzbeauftragter: Vakanz mit Interim überbrücken.
• Teams: gemischte Teams aus Legal und Compliance, wenn EU- und Schweizer Pflichten parallel umgesetzt werden.

Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung; ob eine Anwendung unter den AI Act fällt, beurteilt das Unternehmen im Einzelfall.

Häufige Fragen zur KI-Regulierung in der Schweiz

Gibt es in der Schweiz ein KI-Gesetz?

Nein, noch nicht. Die Schweiz hat derzeit keine spezifische Gesetzgebung zu künstlicher Intelligenz. Der Bundesrat hat das EJPD beauftragt, eine Vernehmlassungsvorlage für ein Bundesgesetz zur Umsetzung der KI-Konvention des Europarats zu erarbeiten. Die Vernehmlassung ist laut BAKOM für Frühling 2027 vorgesehen. Bis dahin gelten Datenschutzgesetz und Branchenregeln.

Gilt der EU AI Act für Schweizer Unternehmen?

Nicht als Schweizer Recht, aber über seinen Anwendungsbereich. Schweizer Unternehmen sind betroffen, wenn sie KI-Systeme in der EU in Verkehr bringen oder wenn Ergebnisse ihrer Systeme in der EU verwendet werden (Art. 2 Abs. 1 lit. a und c AI Act). Gruppen mit EU-Tochtergesellschaften sind dort zusätzlich als Betreiber erfasst. Für rein inländische Anwendungen gilt das Schweizer Recht.

Was ist die KI-Konvention des Europarats?

Die Rahmenkonvention über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit ist der erste verbindliche internationale Vertrag zu KI. Sie verpflichtet die Vertragsstaaten, beim Einsatz von KI Grundrechte, Demokratie und Rechtsstaat zu schützen. Die Schweiz hat sie am 27. März 2025 unterzeichnet und will sie ratifizieren, sobald das Umsetzungsgesetz steht.

Was gilt heute für KI und Datenschutz in der Schweiz?

Das Datenschutzgesetz ist laut EDÖB direkt auf KI-gestützte Datenbearbeitungen anwendbar. Unternehmen müssen über Zweck, Funktionsweise und Datenquellen informieren. Betroffene können verlangen, dass eine automatisierte Einzelentscheidung von einer Person überprüft wird. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nötig (Art. 22 DSG); gefälschte Bilder, Stimmen oder Gesichter sind zu kennzeichnen.

Was erwartet die FINMA beim Einsatz von KI?

Die FINMA verlangt, dass Finanzinstitute die Risiken aus KI angemessen erkennen, begrenzen und überwachen. In der Aufsichtsmitteilung 08/2024 nennt sie vor allem Modellrisiken wie fehlende Robustheit, Bias und mangelnde Erklärbarkeit sowie IT- und Cyberrisiken. Sie stellte fest, dass Institute Datenschutzrisiken stärker beachten als Modellrisiken, und sah Lücken bei Inventaren, Datenqualität und Tests.

Nächster Schritt

Wenn KI-Inventar, Folgenabschätzungen oder die AI-Act-Einordnung mehr Kapazität brauchen, als Ihr Team hat, besprechen Sie Umfang und Profil mit uns. Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance in der Schweiz; Ihr Unternehmen steuert den Einsatz. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Datenschutz und AI Governance: Fachkräfte und Projektteams
• Interim Legal und Compliance in der Schweiz
• AI Act: Fristen, Pflichten und Kapazität
• Regulatorik-Radar: alle Artikel zu regulatorischen Veränderungen
• Bedarf besprechen

Stand: 10. November 2026.