Die EU hat ein eigenes KI-Gesetz mit Risikoklassen, Fristen und Bussen. Die Schweiz hat sich bewusst dagegen entschieden. Wer hierzulande eine Anwendung einführt, braucht trotzdem Antworten, nur an anderen Stellen.
Der Entscheid, der die Richtung vorgibt
Der Bundesrat hat im Februar des vergangenen Jahres festgelegt, wie er vorgehen will: Die Rahmenkonvention des Europarats über künstliche Intelligenz soll ratifiziert werden, dazu kommen gezielte Anpassungen im bestehenden Recht, ergänzt um Branchenlösungen und Selbstverpflichtungen. Ein eigenes Gesetz nach Vorbild der EU ist nicht vorgesehen. Die Konvention hat die Schweiz im März unterzeichnet, eine Vorlage für die Vernehmlassung ist bis Ende dieses Jahres angekündigt.
Der teuerste Irrtum: «bei uns gilt nichts»
Der Umkehrschluss «in der Schweiz gilt also nichts» ist der teuerste Irrtum in diesem Feld. Was für eine KI-Anwendung gilt, steht schon heute im Datenschutzgesetz, im Verwaltungsverfahrensrecht, im Arbeitsrecht und in den kantonalen Erlassen. Drei Punkte betreffen fast jedes Vorhaben:
- Wer Personendaten bearbeitet, muss erklären können, wozu, und muss Auskunft geben können.
- Wer eine Entscheidung ganz oder teilweise automatisiert, muss die betroffene Person darüber informieren und ihr eine Überprüfung ermöglichen.
- Wer Daten an einen Auftragsbearbeiter im Ausland gibt, braucht eine gültige Grundlage dafür, auch wenn dieser Auftragsbearbeiter ein Sprachmodell betreibt.
Das EU-Recht wirkt bis hierher
Zwei Gründe sprechen dagegen, das EU-Recht zu ignorieren. Erstens gilt es für Schweizer Anbieter, sobald deren System in der EU eingesetzt wird oder das Ergebnis dort verwendet wird. Zweitens wandert der EU-Massstab über Ausschreibungen und Lieferantenfragebögen ohnehin in Schweizer Projekte. Dort drüben sind die Verbote seit einem Jahr in Kraft, die Pflichten für Anbieter grosser Allzweckmodelle seit letztem August, und für die Hochrisiko-Anwendungen ist der kommende August angekündigt.
| Frage | EU | Schweiz |
|---|---|---|
| Grundlage | ein eigenes Gesetz für KI | bestehendes Recht plus die Konvention des Europarats |
| Einstufung | feste Risikoklassen mit Fristen | keine Klassen, dafür Anpassungen je Sachgebiet |
| Aufsicht | eigens benannte Behörden | die Stellen, die schon heute zuständig sind |
Vier Dinge, die ohnehin verlangt sind
Unabhängig davon, wie die Vernehmlassung ausgeht, sind vier Dinge in jedem Fall verlangt und in jedem Fall nützlich:
- ein Verzeichnis, welche KI-Anwendung wofür eingesetzt wird und wer sie verantwortet
- eine Klassierung der Daten, die in diese Anwendungen fliessen dürfen
- eine Stelle, an der eine Person freigibt, bevor etwas nach aussen geht
- ein Protokoll, das diese Freigaben festhält
Das ist kein Compliance-Theater. Es sind genau die vier Angaben, die Sie brauchen, wenn ein Jahr später jemand fragt, wie eine bestimmte Auskunft zustande kam.
Fazit: Der Schweizer Weg verschiebt die Arbeit, er streicht sie nicht
Wo die EU Pflichten in einem Gesetz bündelt, verteilt die Schweiz sie über bestehende Erlasse. Das macht die Lage unübersichtlicher, nicht lockerer. Wer jetzt Verzeichnis, Datenklassen, Freigabe und Protokoll aufsetzt, ist für beide Rechtsordnungen vorbereitet und muss nicht hoffen, dass die kommende Vorlage zufällig zur eigenen Bauweise passt.
