KI in der Schweiz: der Rahmen, der zählt.

Das revidierte Datenschutzgesetz (nDSG) gilt jetzt

Das totalrevidierte Schweizer Datenschutzgesetz (nDSG, SR 235.1) ist seit dem 1. September 2023 in Kraft. Es regelt jede Bearbeitung von Personendaten, auch dann, wenn diese durch ein KI-System erfolgt. Für Unternehmen heisst das konkret: Wer Personendaten in ChatGPT, Copilot oder Claude eingibt, betreibt eine Datenbearbeitung im Sinne des Gesetzes und muss die Grundsätze einhalten: Bearbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Verhältnismässigkeit und Datensicherheit.

• Transparenz gegenüber betroffenen Personen, wenn deren Daten verarbeitet werden.
• Ein Bearbeitungsverzeichnis und, bei höherem Risiko, eine Datenschutz-Folgenabschätzung.
• Auftragsbearbeitungsvertrag (AVV/DPA) mit dem Anbieter und Klarheit über Datenstandort und Bekanntgabe ins Ausland.

Der Schweizer Weg: Europarats-Konvention plus sektorielle Regeln

Am 12. Februar 2025 hat der Bundesrat den Grundsatzentscheid gefällt, die KI-Konvention des Europarats zu ratifizieren und das bestehende Recht sektoriell anzupassen, statt eines horizontalen Gesetzes nach EU-Vorbild. Die Schweiz unterzeichnete die Konvention am 27. März 2025. Das EJPD erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage, namentlich zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Für KMU gibt es also vorerst kein zusätzliches KI-Spezialgesetz. Der Rahmen ergibt sich aus dem nDSG und den fachspezifischen Regeln der jeweiligen Branche.

EU AI Act: relevant, auch ohne EU-Mitgliedschaft

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird gestaffelt anwendbar. Er greift auch für Schweizer Unternehmen, nämlich dann, wenn sie KI-Systeme auf dem EU-Markt anbieten oder wenn deren Ergebnisse in der EU genutzt werden. Verbotene Praktiken gelten bereits, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025. Mit dem «Digital Omnibus» (politische Einigung vom Mai 2026) werden die Pflichten für Hochrisiko-Systeme verschoben: Anhang-III-Systeme neu ab 2. Dezember 2027, in Produkte eingebettete Systeme ab 2. August 2028. Die Transparenzpflichten nach Artikel 50 bleiben jedoch beim Termin 2. August 2026; die formelle Verabschiedung stand Mitte 2026 noch aus.