Die EU-KI-Verordnung für ein normales Unternehmen

Seit dem 2. August 2026 gilt der grösste Teil der EU-KI-Verordnung (AI Act). Für die grosse Gruppe von Unternehmen, die KI einfach nutzen, in einem Chatbot auf der Website, in generierten Bildern für eine Kampagne oder in einem Assistenten an jedem Arbeitsplatz, ist die Frage einfacher: Welche Pflichten sind unsere, und ab wann.

So steht es nach den Änderungen dieses Sommers. Es ist ein Überblick, keine Rechtsberatung.

Was seit 2025 gilt

Die Verordnung ist am 1. August 2024 in Kraft getreten und kommt in Stufen. Seit dem 2. Februar 2025 sind acht Praktiken ganz verboten. Dazu gehören schädliche Manipulation und Täuschung, das Ausnutzen der Schwächen von Menschen, Social Scoring, Emotionserkennung am Arbeitsplatz und in der Bildung, das ungezielte Auslesen von Gesichtern für Erkennungsdatenbanken und die biometrische Kategorisierung, die geschützte Merkmale ableitet. Ein neuntes Verbot, für Systeme, die ohne Einwilligung sexuelle Inhalte oder Material über sexuellen Kindesmissbrauch erzeugen, gilt ab dem 2. Dezember 2026. Nur wenige gewöhnliche Unternehmen kommen diesen Verboten nahe. Emotionserkennung in einem Callcenter oder in einem Tool für Bewerbungsgespräche schon.

Am selben Datum kam die Pflicht zur KI-Kompetenz. Sie gilt für Anbieter und für jedes Unternehmen, das ein KI-System bei der Arbeit einsetzt. Der Omnibus hat den Wortlaut diesen Sommer abgeschwächt: Unternehmen müssen nun Massnahmen ergreifen, um den Aufbau von KI-Kompetenz zu fördern, und der Text sagt, dass sie für einzelne Personen kein bestimmtes Niveau garantieren müssen. Die Pflicht selbst bleibt.

Seit dem 2. August 2025 tragen die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck eigene Pflichten: technische Dokumentation, Informationen für die Unternehmen, die auf ihren Modellen aufbauen, eine Strategie zur Einhaltung des EU-Urheberrechts und eine öffentliche Zusammenfassung der für das Training verwendeten Inhalte. Diese treffen die Modellhersteller, nicht ihre Kunden. Ein Unternehmen, das ein Modell feinabstimmt, wird nur in Ausnahmefällen zum Anbieter eines neuen Modells. Der Richtwert der Kommission ist eine Änderung, die mehr als ein Drittel des Rechenaufwands des ursprünglichen Trainings beansprucht.

Was seit August gilt

Die Transparenzregeln kamen am 2. August 2026 mit dem Rest der Verordnung, und sie sind jene, denen die meisten Unternehmen begegnen. Menschen muss gesagt werden, wenn sie mit einer Maschine interagieren, etwa mit einem Chatbot. Anbieter generativer KI müssen das, was ihre Systeme erzeugen, maschinenlesbar markieren, damit es als generiert erkannt werden kann. Betreiber müssen Deepfakes kennzeichnen: Bilder, Audio oder Video, die echten Personen, Objekten, Orten oder Ereignissen ähneln und fälschlich echt erscheinen würden. Auch Texte, die zur Information der Öffentlichkeit über Themen von öffentlichem Interesse veröffentlicht werden, müssen offengelegt werden, es sei denn, ein Mensch hat sie geprüft und jemand trägt die redaktionelle Verantwortung.

Die Kommission hat am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Markierung und Kennzeichnung veröffentlicht, mit einem Satz EU-Symbole für die Labels. Bis Ende Juli hatten ihn rund 190 Organisationen unterzeichnet. Anbieter generativer Systeme, die vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die Markierung nachzurüsten.

Die Durchsetzung hat am selben Tag begonnen, durch die nationalen Behörden und das KI-Büro der Kommission. Die Bussen reichen bis 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes bei verbotenen Praktiken und bis 15 Millionen Euro oder 3 Prozent bei Verstössen von Modellanbietern.

Was der Omnibus verschoben hat

Die grösste Änderung des Jahres ist die Verordnung (EU) 2026/1744, der digitale Omnibus zur KI. Die Kommission hat sie am 19. November 2025 vorgeschlagen, Parlament und Mitgliedstaaten haben sich am 7. Mai 2026 politisch geeinigt, und sie ist am 27. Juli 2026 in Kraft getreten.

Sie verschiebt die Regeln für Hochrisikosysteme. Systeme in den sensiblen Bereichen von Anhang III, etwa Sortierung von Lebensläufen, Bonitätsbewertung, Bildung, Biometrie und Migration, müssen ihre Pflichten nun ab dem 2. Dezember 2027 erfüllen statt ab dem 2. August 2026. Hochrisiko-KI, die in Produkte eingebaut ist, die das EU-Produktrecht bereits regelt, folgt am 2. August 2028.

Sie dehnt auch Erleichterungen von kleinen Unternehmen auf kleine Midcap-Unternehmen aus, definiert als Unternehmen mit weniger als 750 Beschäftigten und einem Umsatz von bis zu 150 Millionen Euro. Sie dürfen die vereinfachte technische Dokumentation und ein verhältnismässiges Qualitätsmanagementsystem nutzen.

Für ein Unternehmen, das KI einsetzt statt entwickelt, ändert der Aufschub wenig. Die Pflicht zur KI-Kompetenz und die Transparenzpflichten gelten jetzt. Die zusätzliche Zeit ist für die engere Gruppe wichtig, deren Systeme über Menschen entscheiden: wer eingestellt wird und wer Kredit bekommt.

Schweizer Unternehmen, die in die EU verkaufen

Die Verordnung ist EU-Recht, aber ihre Reichweite folgt dem Markt. Sie gilt für Anbieter, die KI-Systeme oder Modelle mit allgemeinem Verwendungszweck auf dem EU-Markt in Verkehr bringen, ob sie in der Union oder in einem Drittland ansässig sind, und für Anbieter und Betreiber in Drittländern, deren Systeme Ergebnisse erzeugen, die in der Union verwendet werden. Ein Anbieter eines Hochrisikosystems von ausserhalb der EU muss dort vor dem Verkauf schriftlich einen Bevollmächtigten benennen.

In der Praxis sollte ein Schweizer Unternehmen mit einem Chatbot auf der deutschen Version seiner Website oder mit einer Kampagne mit generierten Bildern für Käufer in Frankreich die Transparenzpflichten als eigene behandeln.

Im Inland geht die Schweiz ihren eigenen Weg. Ein KI-Gesetz gibt es nicht. Am 12. Februar 2025 hat der Bundesrat beschlossen, das KI-Übereinkommen des Europarats zu ratifizieren und das Recht wo möglich sektoriell anzupassen, und ein Vernehmlassungsentwurf soll bis Ende 2026 vorliegen. Bis dahin gilt das Datenschutzgesetz direkt für KI, und der EDÖB erwartet weitgehend dasselbe: Menschen haben ein Recht zu wissen, ob sie mit einer Maschine sprechen oder schreiben, und manipulierte Gesichter, Bilder oder Stimmen identifizierbarer Personen müssen stets klar gekennzeichnet werden.

Eine kurze Checkliste

Listen Sie jedes KI-System im Einsatz auf: wer es bereitstellt, wer es nutzt, was es entscheidet und welche Märkte sein Output erreicht.

Prüfen Sie es gegen die Verbote, zuerst die Emotionserkennung bei Mitarbeitenden oder Bewerbenden.

Sagen Sie, wenn Menschen mit einer Maschine sprechen: im Chatfenster, am Telefon, in der E-Mail, die ein Agent geschrieben hat.

Kennzeichnen Sie generierte Bilder und Videos, die echt aussehen, und bewahren Sie die Originale und die Prompts dahinter auf.

Schulen Sie die Menschen, die KI nutzen, halten Sie schriftlich fest, was sie gelernt haben, und wiederholen Sie es, wenn sich die Tools ändern.

Markieren Sie die Systeme, die über Menschen entscheiden, bei Einstellung, Kredit oder Bildung, und nutzen Sie die Zeit bis Dezember 2027, um sie vorzubereiten.

Fragen Sie Ihre Anbieter schriftlich, wie sie ihre eigenen Pflichten erfüllen: Markierung, Dokumentation, Urheberrechtsstrategie. Und bestimmen Sie dann eine Person, die die Liste verantwortet.

Wo Menschen die Verantwortung behalten

Im Kern ist die Verordnung eine Regel über Verantwortung. Eine Maschine darf entwerfen, sortieren und vorschlagen, während eine benannte Person für das geradesteht, was hinausgeht. Das ist eine gute Regel, und zwar aus Gründen, die mit Bussen nichts zu tun haben: Urteilsvermögen und Verantwortlichkeit sind das, worauf sich ein Kunde verlässt, und sie lassen sich nicht automatisieren.

Unsere Produkte sind nach derselben Linie gebaut. Twin gibt jeder Rolle nur den Teil des Firmengehirns, den sie braucht, mit Freigaben pro Rolle, und jeder Schritt wird protokolliert. Reel hält jedes Bild und jeden Clip in einer Medienbibliothek fest, mit jeder Version und dem Rezept dahinter, und ein Mensch wählt jedes verwendete Bild aus, sodass sich eine Frage zur Herkunft aus den Unterlagen beantworten lässt. Eigna, gebaut von unserem Partner Eigna Labs, ist ein privates Modell, das in der eigenen Cloud eines Unternehmens oder auf eigenen Servern läuft, ausgelegt für die DSGVO und die EU-KI-Verordnung.

Die Fristen werden sich weiter verschieben. Ein Unternehmen, das weiss, welche KI es einsetzt und wer dafür geradesteht, kann sich mit ihnen bewegen.