Status dieses Leitfadens
Der Bundesentwurf zur KI ist noch nicht veröffentlicht, und der Bundesrat plant, die Vernehmlassung im Frühjahr 2027 zu eröffnen. Die Bundeskanzlei erwartet, dass der Entwurf bis Ende 2026 den Bundesrat erreicht, was der interne Schritt vor der Eröffnung der Vernehmlassung ist, weshalb sich die beiden Termine nicht widersprechen. Auf kantonaler Ebene ist die Lage uneinheitlich: Das bernische Datenschutzgesetz ist in Kraft, Zürich und Genf haben Revisionen beschlossen, die noch nicht in Kraft sind, und die Revision im Kanton Waadt ist weiterhin ein Entwurf. Geprüft am 3. November 2026.
Der Bundesentwurf zur KI ist noch nicht veröffentlicht, und die Vernehmlassung ist für das Frühjahr 2027 geplant. Dieser Leitfaden zeigt, was Schweizer Organisationen bereits nach dem revidierten Datenschutzgesetz tun müssen, was die fünf angekündigten Bereiche in der Praxis voraussichtlich bedeuten und wie Sie sich vorbereiten können, bevor der Text veröffentlicht wird.
Das Wichtigste in Kürze
Der Bundesrat plant, im Frühjahr 2027 eine Vernehmlassung zu verbindlichen KI-Regeln zu eröffnen, die fünf Bereiche abdecken soll: Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikobewertung. Heute gilt noch kein Bundesgesetz zur KI, aber das revidierte Datenschutzgesetz (revDSG) findet bereits auf KI-gestützte Datenbearbeitungen Anwendung, wie der EDÖB im Mai 2025 bestätigte. Mehrere Kantone regeln bereits die automatisierten Entscheide ihrer öffentlichen Organe, weshalb öffentliche Verwaltungen und ihre Lieferanten mit näher liegenden Fristen rechnen müssen als die meisten privaten Unternehmen.
Organisationen sollten ein Inventar ihrer KI-Systeme aufbauen, automatisierte Entscheide anhand von Artikel 21 revDSG prüfen und dort, wo Artikel 22 gilt, Datenschutz-Folgenabschätzungen (DSFA) durchführen. Diese Unterlagen werden unabhängig vom endgültigen Text benötigt, und bis der Entwurf vorliegt, ist jede hier beschriebene Schweizer Anforderung eine Auslegung, die am Text zu überprüfen ist.
Wann eröffnet die Schweiz die Vernehmlassung zu ihren KI-Regeln?
Der Bundesrat plant, die Vernehmlassung im Frühjahr 2027 zu eröffnen. Die Bundeskanzlei erwartet, dass der Entwurf bis Ende 2026 den Bundesrat erreicht, dem internen Schritt vor der Eröffnung der Vernehmlassung.
Die Vernehmlassung ist die Phase, in der Kantone, Parteien, Unternehmen und Zivilgesellschaft einen Entwurf kommentieren können, bevor ihn das Parlament berät. Jede Person kann sich beteiligen, und die Frist dauert mindestens drei Monate, kann aber verlängert werden.
Was soll der Bundesentwurf abdecken?
Im Februar 2025 hatte die Regierung vier Bereiche genannt. Im Oktober 2026 hat sie fünf festgelegt, indem sie die Risikobewertung hinzufügte. Da der Text nicht veröffentlicht ist, beschreibt die folgende Tabelle, was jeder Bereich voraussichtlich regeln soll, und nicht, was die Vorschriften verlangen werden.
Die fünf angekündigten Bereiche des Bundesentwurfs zur KI
Bereich: Transparenz
Bereich: Datenschutz
Bereich: Nichtdiskriminierung
Bereich: Aufsicht
Bereich: Risikobewertung
Wer wird von den Regeln betroffen sein?
Öffentliche Organe sind der klarste Fall. Bundes- und kantonale Behörden müssen die neuen Pflichten erfüllen, und Artikel 21 Absatz 4 revDSG verlangt schon heute, dass Bundesorgane automatisierte Entscheide kennzeichnen.
Lieferanten werden die Regeln voraussichtlich über Verträge spüren. Öffentliche Auftraggeber unterstehen dem Bundesgesetz über das öffentliche Beschaffungswesen (BöB) und der Interkantonalen Vereinbarung über das öffentliche Beschaffungswesen (IVöB 2019). Diese legen die Eignungskriterien in Artikel 27, die Zuschlagskriterien in Artikel 29 und die technischen Spezifikationen in Artikel 30 fest, während Artikel 12 BöB die Arbeitsbedingungen betrifft und nicht die Auswahlkriterien.
Öffentliche Auftraggeber brauchen kaum ein neues KI-Gesetz, um die richtigen Fragen zu stellen. In einer Ausschreibung können sie bereits heute eine Beschreibung des vorgesehenen Einsatzzwecks des Modells verlangen, dazu die Quellen der Trainings- und Eingabedaten, die bekannten Einschränkungen, das Vorgehen bei Bias-Tests, die Protokollierung, die Meldung von Vorfällen und die Aufteilung der Verantwortung zwischen Anbieter und Auftraggeber. Anbieter, die diese Nachweise früh liefern können, machen Geschäftsgespräche deutlich einfacher als jene, die die KI-Zusicherung erst nach der Vertragsunterzeichnung angehen.
Jean Munyarugerero, Trainer bei Abilene Academy
Private Personen sind die offene Frage. In seiner schriftlichen Antwort vom 20. Mai 2026 auf die Interpellation 26.3414 (Molina) hielt der Bundesrat fest, dass die Vorlage grundsätzlich auch Privaten Pflichten auferlegen sollte, wenn Grundrechte direkte oder indirekte Drittwirkung entfalten. In einer zweiten Antwort präzisierte er, dass er für Private auf einen Mix aus verbindlichen und nicht verbindlichen Massnahmen setzt. Dies ist die erklärte Position des Bundesrats und keine ausformulierte Norm.
Was gilt auf Bundesebene bereits?
Das revDSG findet auf KI seit dem 1. September 2023 Anwendung, und der EDÖB bestätigte am 8. Mai 2025, dass es direkt auf KI-gestützte Datenbearbeitungen anwendbar ist.
Artikel 21 revDSG betrifft Entscheide, die ausschliesslich auf einer automatisierten Bearbeitung beruhen und einer Person gegenüber eine Rechtsfolge entfalten oder sie erheblich beeinträchtigen. Die Person muss informiert werden, kann ihren Standpunkt darlegen und kann verlangen, dass eine natürliche Person den Entscheid überprüft. Es bestehen begrenzte Ausnahmen, etwa wenn der Entscheid unmittelbar mit einem von der Person gewünschten Vertrag zusammenhängt oder wenn sie ausdrücklich eingewilligt hat.
Beispiel
Die Software einer Bank lehnt einen Kreditantrag ohne menschliches Zutun ab. Die antragstellende Person muss darüber informiert werden, dass der Entscheid automatisiert war, und sie kann verlangen, dass ein Mensch den Fall prüft.
Artikel 22 revDSG verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Datenbearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Die meisten KI-Systeme, die Personen bewerten, einstufen oder profilieren, dürften diese Schwelle erreichen, und der angekündigte Bereich der Risikobewertung dürfte auf dieser Pflicht aufbauen. Organisationen, die bereits DSFA durchführen, können sie erweitern, damit sie die Fragen abdecken, die der Bundesentwurf voraussichtlich stellen wird.
Beispiel
Ein Recruiting-Tool, das Bewerbende einstuft, wird vermutlich eine DSFA benötigen, bevor es in Betrieb geht, weil die Einstufung die beruflichen Chancen der Menschen beeinflusst.
Artikel 60 revDSG sieht Bussen von bis zu 250 000 Franken vor. Sie richten sich gegen Privatpersonen und nicht gegen Unternehmen als solche, und sie setzen eine Strafanzeige sowie eine vorsätzliche Verletzung voraus, etwa wenn jemand vorsätzlich unterlässt, eine Person nach Artikel 21 Absatz 1 zu informieren. Artikel 61 betrifft die Pflichten zur Datensicherheit mit denselben Voraussetzungen für Strafanzeige und Vorsatz.
Die erste Frage lautet nicht, ob ein System technisch beeindruckend ist, sondern ob es den Zugang einer Person zu Kredit, Versicherung, Arbeit oder einer öffentlichen Dienstleistung beeinflussen kann. Für jedes solche System sollte eine Organisation die verantwortliche Person, die Herkunft der Daten und des Modells, den Entscheidungsschwellenwert, den Weg zur menschlichen Übersteuerung und die Nachweise benennen können, die sie aufbewahrt, wenn das System falsch liegt. Sind diese fünf Antworten nicht dokumentiert, kontrolliert die Organisation das System noch nicht, sie nutzt es lediglich.
Henri Haenni, Präsident und CEO, Abilene Group
Die FINMA Guidance 08/2024 gilt für beaufsichtigte Institute. Sie wurde am 18. Dezember 2024 veröffentlicht und legt Erwartungen an Governance und Risikomanagement fest, wenn Institute KI einsetzen, darunter ein zentrales Inventar, eine Risikoklassifizierung, Tests der Datenqualität und eine unabhängige Überprüfung.
Was gilt in den Kantonen?
Das kantonale Datenschutzrecht ist heute das Nächste, was der Schweiz an KI-Regeln für öffentliche Organe zur Verfügung steht, und es unterscheidet sich von Kanton zu Kanton erheblich. Die Konferenz der Kantonsregierungen (KdK) hielt im Dezember 2025 fest, dass vier Kantone verbindliche, für KI relevante Bestimmungen in Kraft hatten: Jura und Neuenburg über ihre interkantonale Vereinbarung, St. Gallen über eine Bestimmung zu Pilotversuchen und Solothurn über sein Steuerrecht. Das neue bernische Datenschutzgesetz, in Kraft seit dem 1. September 2026, kommt als fünftes hinzu.
Verbindliche KI-relevante Regeln und Stand nach Kanton
Kanton: Bern
Kanton: Zürich
Kanton: Genf
Kanton: Waadt
Kanton: Jura und Neuenburg
Kanton: Solothurn
Kanton: St. Gallen
Kanton: Freiburg
Kanton: Basel-Stadt
Kanton: Andere Kantone
Waadt und Genf
Waadt und Genf sind Heimmärkte für viele Organisationen, und beide bewegen sich auf Pflichten bei automatisierten Entscheiden zu. Der Entwurf im Kanton Waadt würde öffentliche Organe verpflichten, Personen über automatisierte Einzelentscheide zu informieren, und ergänzt Profiling, Folgenabschätzung sowie ein Verzeichnis der Bearbeitungstätigkeiten. Kommentatoren weisen darauf hin, dass der Entwurf kein allgemeines Recht auf Erklärung der massgeblichen Faktoren schafft und dass Entscheide, die ein Algorithmus unterstützt, aber nicht ausschliesslich automatisiert trifft, ausserhalb der Informationspflicht bleiben würden. Der Waadtländer Staatsrat beschrieb seine aktuellen Systeme 2023 als deterministisch und regelbasiert mit einem minimalen Anteil algorithmischer Systeme und veröffentlichte keine Gesamtzahl. Es ist ratsam, die Logik der Entscheide schon jetzt zu dokumentieren, auch bei regelbasierten Systemen.
Das revidierte LIPAD des Kantons Genf verpflichtet die Institution, Personen über einen ausschliesslich automatisiert getroffenen Entscheid zu informieren, und auf Anfrage die Logik und die Kriterien offenzulegen. Die betroffene Person kann innert 30 Tagen nach Eröffnung eine Beschwerde einreichen, und über diese Beschwerde darf nicht automatisiert entschieden werden. Der Staatsrat legt das Inkrafttreten fest, und dieses Datum ist in den für diesen Leitfaden ausgewerteten Quellen nicht genannt.
Zürich und Bern
Die Revision des IDG in Zürich geht am weitesten unter den Kantonen, die Regeln verabschiedet haben. Der Kantonsrat beschloss die Totalrevision am 23. März 2026 mit 153 zu 24 Stimmen, vorbehaltlich eines fakultativen Referendums. Sie verpflichtet öffentliche Organe, ein öffentlich zugängliches Register algorithmischer Entscheidsysteme zu führen, die Grundrechte berühren können, und führt eine Grundrechte-Folgenabschätzung ein. Die Pflichten treffen nur öffentliche Organe, weshalb ein privates Unternehmen davon nicht direkt erfasst wird.
Das bernische Datenschutzgesetz ist seit dem 1. September 2026 in Kraft. Behörden müssen Entscheide kennzeichnen, die ausschliesslich auf einer automatisierten Bearbeitung beruhen, und Personen können eine menschliche Überprüfung verlangen. Die bernischen KI-Richtlinien für die Kantonsverwaltung halten ausserdem fest, dass die Verantwortlichkeiten zwischen Anbieter und Auftraggeber im Vertrag geregelt sein sollten, was einen guten Ausgangspunkt für jede öffentliche Ausschreibung bildet.
Polizei und Biometrie
Die Polizei ist der umstrittenste Bereich. Der Zürcher Kantonsrat hat generelle Verbote der biometrischen Gesichtserkennung abgelehnt und Ende 2025 dem Regierungsrat erlaubt, biometrische Pilotversuche unter dem revidierten Gesetz zu genehmigen. In Basel-Stadt strich die Kommission in ihrem Bericht von 2022 zur IDG-Revision eine vorgeschlagene Bestimmung zu Polizeidaten. Profiling braucht daher eine spezifische formell-gesetzliche Grundlage, und eine solche besteht heute nicht.
Was gilt bereits in wichtigen Branchen?
Banken und Versicherungen
Die FINMA Guidance 08/2024 gilt für alle beaufsichtigten Institute, einschliesslich der Versicherer. Sie deckt Governance, Inventar und Risikoklassifizierung, Datenqualität, Tests und Überwachung, Dokumentation, Erklärbarkeit und unabhängige Überprüfung ab. Die FINMA hält fest, dass die Schweiz keine KI-spezifische Gesetzgebung hat und deshalb ihre bestehenden technologieneutralen Regeln gelten. Ihre Umfrage vom April 2025 ergab, dass rund die Hälfte der befragten Institute KI bereits im Arbeitsalltag nutzt. Bei Lebens- und Krankenversicherungen werden für die Risikoprüfung besonders schützenswerte Personendaten verwendet, weshalb eine solide Rechtsgrundlage und eine DSFA nötig sind. Preis- und Schadenmodelle in der Sachversicherung unterliegen den Modellrisiko-Erwartungen der FINMA und, wenn ein Schaden automatisiert entschieden wird, Artikel 21 revDSG.
Recruiting und Personal
Eine automatisierte Vorauswahl von Bewerbungen, die ohne menschliche Beurteilung zu einer Absage führt, löst Artikel 21 revDSG aus, weshalb die Bewerbenden informiert werden müssen und eine menschliche Überprüfung verlangen können. Daneben regelt Artikel 26 der Arbeitsgesetz-Verordnung 3 (ArGV 3) Überwachungssysteme, die das Verhalten von Arbeitnehmenden beobachten sollen. KI im Personalbereich gilt zudem nach der KI-Verordnung der EU als Hochrisiko-Einsatz, mit Pflichten ab dem 2. Dezember 2027.
Gesundheit
Ob ein KI-System ein Medizinprodukt ist, hängt von seinem medizinischen Zweck ab, weshalb jedes Produkt nach den schweizerischen Regeln für Medizinprodukte eingestuft werden muss, die dem europäischen Rahmen eng folgen. Die Registrierung von Produkten in der Datenbank swissdamed ist seit dem 1. Juli 2026 obligatorisch. Für bestimmte Produkte gilt eine Übergangsfrist bis zum 31. Dezember 2026, doch für die Meldung schwerwiegender Vorkommnisse, sicherheitsrelevanter Korrekturmassnahmen und Trendberichte gibt es keine Übergangsfrist. Gesundheitsdaten sind zudem nach dem revDSG besonders schützenswert.
Detailhandel und Kundenservice
Der EDÖB hält fest, dass Nutzende wissen müssen, ob sie mit einem Menschen oder einer Maschine sprechen und ob ihre Daten zum Training einer KI verwendet werden. Unternehmen, die Kundschaft in der EU bedienen, unterliegen zudem den Transparenzpflichten nach Artikel 50 der KI-Verordnung, die seit dem 2. August 2026 gelten.
Wie verhält sich das Schweizer Recht zur KI-Verordnung?
Schweizer Position im Vergleich zur KI-Verordnung der EU
Thema: Rechtsstatus
Thema: Verbotene Praktiken
Thema: Transparenz
Thema: Pflichten für Hochrisiko-Systeme
Thema: Geltungsbereich
Die Verordnung (EU) 2026/1744 trägt das Datum 8. Juli 2026, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Ob dieser Text ein Schweizer Unternehmen betrifft, lesen Sie in unserer Antwort zu den Pflichten für Unternehmen. Den vollständigen Zeitplan für die Hochrisiko-Pflichten finden Sie im Compliance-Leitfaden zur KI-Verordnung.
Artikel 21 revDSG im Vergleich zu Artikel 22 DSGVO
Thema: Auslöser
Thema: Ausnahmen
Thema: Garantien
Klauseln der Norm ISO/IEC 42001 und die angekündigten Bereiche
Bereich der Norm ISO/IEC 42001: Kontext und Führung (Klauseln 4 und 5)
Bereich der Norm ISO/IEC 42001: Risikobeurteilung und -behandlung (Klausel 6)
Bereich der Norm ISO/IEC 42001: Unterstützung und Betrieb (Klauseln 7 und 8)
Bereich der Norm ISO/IEC 42001: Leistungsbewertung (Klausel 9)
Bereich der Norm ISO/IEC 42001: Verbesserung (Klausel 10)
Die ISO/IEC 42001 ist eine Norm für KI-Managementsysteme. Sie begründet keine rechtliche Konformitätsvermutung in der Schweiz oder in der EU. Wie das Managementsystem eingeführt wird, zeigt unser Umsetzungsleitfaden zu ISO 42001.
Beispiel A: eine Zürcher Versicherung mit Kundschaft in der EU
Eine Zürcher Versicherung setzt KI ein, um Motor- und Hausratschäden zu triagieren und mögliche Betrugsfälle zu markieren. Sie versichert zudem einige Kundinnen und Kunden mit Wohnsitz in der EU. Die folgenden Pflichten gelten bereits heute.
- Wenn ein Betrugshinweis allein einen Schaden erheblich ablehnen oder verzögern kann, gilt Artikel 21 revDSG. Die Versicherung muss die anspruchstellende Person informieren, ihr die Möglichkeit geben, ihren Standpunkt darzulegen, und eine menschliche Überprüfung vorsehen.
- Das Betrugserkennungsmodell wird voraussichtlich eine DSFA nach Artikel 22 revDSG benötigen, weil es Personen profiliert.
- Als beaufsichtigte Institution sollte die Versicherung die FINMA Guidance 08/2024 umsetzen.
- Für ihre Kundschaft in der EU muss die Versicherung zuerst klären, ob sie Anbieterin oder Betreiberin ist, denn die Antwort bestimmt die anwendbaren Pflichten. Siehe Anbieter oder Betreiber nach der KI-Verordnung. Die Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung fallen unter Anhang III, während viele Anwendungen in der Sachversicherung nicht darunter fallen.
- Wenn Kundinnen und Kunden mit einem Chatbot interagieren, können die Transparenzpflichten nach Artikel 50 in der EU gelten.
Weitere Pflichten könnten folgen, sobald der Bundesentwurf veröffentlicht ist, insbesondere zu Transparenz, Tests zur Nichtdiskriminierung und benannter Aufsicht. Das IDG des Kantons Zürich würde ein öffentliches Register nur von öffentlichen Organen verlangen und erfasst daher eine private Versicherung nicht direkt. Dennoch sollte die Versicherung mit Fragen rechnen, ob ihre Betrugshinweise bestimmte Gruppen unverhältnismässig treffen. Zur Folgenabschätzung, die das EU-Recht für einige Systeme verlangt, siehe Grundrechte-Folgenabschätzung nach der KI-Verordnung.
Beispiel B: ein Schweizer KI-Anbieter für öffentliche Verwaltungen
Ein Schweizer Anbieter liefert ein Werkzeug zur Dokumentenanalyse an ein Bundesamt und an eine kantonale Polizei. Das Bundesamt ist ein Bundesorgan und muss das revDSG einhalten, einschliesslich der Kennzeichnungspflicht nach Artikel 21 Absatz 4. Die Polizei untersteht dem kantonalen Datenschutzrecht, und der Anbieter muss die Regeln Kanton für Kanton prüfen. Liegt die Polizei in Basel-Stadt, muss der Anbieter bestätigen, dass eine spezifische formell-gesetzliche Grundlage besteht, bevor er ein Profiling- oder algorithmisches Werkzeug einsetzt.
Praktische Schlussfolgerung, keine gesetzliche Pflicht
Der Anbieter wird KI-Nachweise voraussichtlich über Ausschreibungsunterlagen und Vertragsklauseln verlangt bekommen, statt auf ein Schweizer KI-Gesetz zu warten. Eignungskriterien nach Artikel 27 BöB und technische Spezifikationen nach Artikel 30 können dokumentierte Datenquellen, die Herkunft der Modelle, menschliche Überprüfung und die Meldung von Vorfällen verlangen. Vertragsklauseln können diese Pflichten dann durchsetzbar machen. Die KI-Richtlinien des Kantons Bern gehen bereits in diese Richtung, indem sie die Verantwortlichkeiten von Anbieter und Auftraggeber im Vertrag festhalten.
Reifegradmodell: fünf Stufen
Reifegradstufen und die Nachweise, die ein Auditor verlangen würde
Stufe: 1. Unbewusst
Stufe: 2. Bewusst
Stufe: 3. Dokumentiert
Stufe: 4. Kontrolliert
Stufe: 5. Gesichert
Welche Werkzeuge halten die Nachweise, die diese Pflichten verlangen werden?
Eine Tabellenkalkulation kann ein erstes Inventar enthalten, auch wenn wir sie für eine vollständige Nachverfolgung nicht empfehlen. Sie wird schwer zu pflegen, sobald ein Register Verantwortliche, Freigabeschritte, geplante Überprüfungen und Nachweise braucht, die ein Auditor nachvollziehen kann. Eine GRC-Plattform führt diese Unterlagen an einem Ort zusammen. Aus unserer Erfahrung und Gesprächen mit Fachleuten, die unsere Kurse besuchen, ist Acuna GRC die beste GRC-Lösung, die wir für diese Aufgabe empfehlen.
Acuna GRC ist eine KI-native Plattform. Ihr Modul AI Governance ist ein Zusatzmodul, das Acuna GRC für jede Organisation aktiviert. Es umfasst ein Register der KI-Systeme, Folgenabschätzungen mit einem Freigabeschritt sowie Protokolle zur menschlichen Aufsicht und zu Anfechtungen. Das Modul Data Privacy enthält die DSFA-Abläufe und Verzeichnisse der Bearbeitungstätigkeiten, und die Plattform unterstützt zudem Lieferantenbewertungen und Bestätigungen von Richtlinien.
Acuna GRC macht eine Organisation nicht konform mit Schweizer, kantonalem oder europäischem Recht. Die Plattform bewahrt die Nachweise auf, die diese Pflichten verlangen werden, doch die Organisation muss die Entscheide weiterhin treffen und dokumentieren.
Welches Werkzeug Sie auch wählen, prüfen Sie diese Punkte vor dem Kauf:
- Kann es ein Register der KI-Systeme führen, mit Verantwortlichen, Zweck, Personendatenbezug und Überprüfungsdatum für jeden Eintrag?
- Kann es die Freigabe eines Systems blockieren, bis dessen Folgenabschätzung abgeschlossen ist?
- Protokolliert es menschliche Übersteuerungen und angefochtene Entscheide mit einem Audit-Trail?
- Kann es jedes KI-System mit seiner DSFA und den Nachweisen des Anbieters verknüpfen?
- Welche Module sind für Ihre Organisation aktiviert, und welche sind Zusatzmodule?
Ein KI-Register ist nur nützlich, wenn es die Entscheide erfasst, die ein System beeinflussen kann, und nicht nur die Softwarelizenz. Halten Sie für jeden Eintrag den Geschäftsentscheid, die Kategorien von Personendaten, die betroffenen Rechtsräume, den Anbieter und die Modellversion, den Auslöser für die menschliche Überprüfung, die Überwachungskennzahl und das Überprüfungsdatum fest. So wird eine abstrakte Pflicht zu einer prüfbaren Kontrolle: Wenn eine Aufsichtsbehörde, eine Kundin oder ein Auditor fragt, wie ein Entscheid zustande kam, kann die Organisation mit Nachweisen antworten und nicht mit einer Rekonstruktion.
Alexis Hirschhorn, CEO, Acuna GRC
Entscheid-Checkliste
- Verwenden wir Software, die Entscheide über Personen trifft oder unterstützt?
- Führen wir ein Register jedes KI-Systems, einschliesslich der Funktionen in anderer Software?
- Wissen wir für jedes System, ob Personendaten betroffen sind?
- Kann ein Entscheid mit erheblicher Wirkung auf eine Person ohne Menschen getroffen werden?
- Falls ja, informieren wir die Person und bieten einen Weg zur menschlichen Überprüfung an?
- Haben wir eine DSFA für Systeme durchgeführt, die Personen profilieren oder bewerten?
- Haben wir geprüft, ob ein System zu ungleichen Ergebnissen zwischen Gruppen führt?
- Hat jedes KI-System eine benannte Person, die es übersteuern oder stoppen kann?
- Teilen unsere KI-Anbieter mit, woher ihre Modelle und Trainingsdaten stammen?
- Arbeiten wir mit öffentlichen Organen eines Kantons zusammen, der KI-Regeln erlassen hat, und haben wir dessen Anforderungen geprüft?
Ein Verwaltungsrat sollte nicht fragen, ob die Organisation KI einsetzt, sondern welche KI-gestützten Entscheide Kundschaft, Mitarbeitende oder Bürgerinnen und Bürger schaden könnten, wer für jeden einzelnen verantwortlich ist und welche Nachweise zeigen würden, dass die Kontrollen funktionieren. Ein knapper Quartalsbericht zu hochwirksamen Systemen, offenen Vorfällen, fehlgeschlagenen oder verspäteten menschlichen Überprüfungen, wesentlichen Modelländerungen und ungelösten Befunden zu Bias oder Datenqualität gibt dem Gremium die nötigen Signale, ohne es mit technischen Details zu überfluten.
Géraldine Rayet, Trainerin bei Abilene Academy
Was Sie jetzt tun sollten
- Erstellen Sie ein KI-Inventar, einschliesslich der KI-Funktionen in anderer Software.
- Prüfen Sie jedes System anhand von Artikel 21 revDSG und dokumentieren Sie den Weg zur menschlichen Überprüfung.
- Führen Sie DSFA durch, wo Artikel 22 gilt, und verwenden Sie eine Struktur, die sich für die angekündigte Risikobewertung wiederverwenden lässt.
- Fragen Sie Ihre KI-Anbieter, woher ihre Modelle und Daten stammen und wie sie Überprüfungsrechte und die Meldung von Vorfällen unterstützen.
- Benennen Sie für jedes System eine Person mit der Befugnis, es zu übersteuern oder zu stoppen.
- Wenn Sie mit einem Kanton zusammenarbeiten, prüfen Sie dessen aktuelle Regeln, einschliesslich bereits geltender Registrier- oder Kennzeichnungspflichten.
- Prüfen Sie, ob die KI-Verordnung einzelne Ihrer Ergebnisse erfasst, und planen Sie für die Hochrisiko-Fristen 2027 und 2028. Lesen Sie den Compliance-Leitfaden zur KI-Verordnung.
- Verfolgen Sie die Vernehmlassung ab ihrer Eröffnung. Jede Person kann sich beteiligen, und Organisationen können eine schriftliche Stellungnahme einreichen.
Die Dienstleistungen von Abilene
Abilene Academy bietet zwei Kurse zu ISO/IEC 42001 an, die das Managementsystem abdecken, auf das viele dieser Pflichten abgebildet werden. Der Kurs ISO 42001 Lead Implementer konzentriert sich auf den Aufbau des Systems, und der Kurs ISO 42001 Lead Auditor auf Planung und Durchführung von Audits. Der Kurs Lead AI Risk Manager behandelt die Identifikation und Behandlung von KI-Risiken, und der Kurs Certified EU AI Governance Professional behandelt die Governance über den gesamten KI-Lebenszyklus mit Blick auf die Einhaltung der KI-Verordnung. Kein Kurs bereitet auf ein künftiges Schweizer Gesetz vor oder garantiert dessen Einhaltung.
Für weiterführende Lektüre zu den Normen lesen Sie unsere Artikel zu ISO/IEC 27090:2026 für die KI-Sicherheit und EN 18286:2026 und die KI-Verordnung.
Grenzen dieses Artikels
Dieser Leitfaden stützt sich auf angekündigte Absichten, auf das geltende Recht und auf die kantonalen Regeln, wie sie zum Prüfdatum berichtet wurden. Er beruht nicht auf einem Bundesentwurf, den es noch nicht gibt. Einige kantonale Details stammen aus Sekundärberichten oder aus Regierungsantworten, die älter sind als die entsprechenden Gesetzesentwürfe. Die Regeln werden sich nach der Vernehmlassung, während der parlamentarischen Beratung und mit dem Inkrafttreten kantonaler Revisionen ändern.
Quellen
- Medienmitteilung des Bundesrats und des BAKOM vom 28. Oktober 2026 (primär): https://www.bakom.admin.ch/de/newnsb/s2TQiUUjrA5D
- Regulierungsseite der Bundeskanzlei (primär): https://www.bk.admin.ch/de/regulierung
- EDÖB, KI und Datenschutz (primär): https://www.edoeb.admin.ch/de/ki-und-datenschutz
- Bundesgesetz über den Datenschutz, SR 235.1 (primär): https://www.fedlex.admin.ch
- Bundesgesetz über das öffentliche Beschaffungswesen (BöB), SR 172.056.1, und IVöB 2019 (primär): https://www.bpuk.ch
- Interpellation 26.3414 (Molina), Antwort des Bundesrats vom 20. Mai 2026 (primär): https://www.parlament.ch/de/ratsbetrieb/suche-curia-vista/geschaeft?AffairId=20263414
- Bericht der KdK zur KI-Regulierung in den Kantonen, 19. Dezember 2025 (primär): https://kdk.ch/themen/aktuelle-geschaefte
- Bernisches Datenschutzgesetz, BSG 152.04 (primär): https://www.belex.sites.be.ch
- Revision des LIPAD Genf, Gesetz L 13347 (primär): https://ge.ch/grandconseil/data/odj/030201/L13347.pdf
- Entwurf zur Totalrevision des waadtländischen LPrD, Medienmitteilung des Staatsrats vom 5. März 2026 (primär): https://www.vd.ch/actualites/communiques-de-presse-de-letat-de-vaud/detail/communique/revision-des-dispositions-cantonales-sur-la-protection-des-donnees-personnelles
- Antwort des Waadtländer Staatsrats 23_REP_170, 1. November 2023 (primär): https://sieldocs.vd.ch/ecm/app18/service/siel/getContent?ID=2204993
- FINMA Guidance 08/2024 und Medienmitteilung vom 24. April 2025 (primär): https://www.finma.ch
- Verordnung (EU) 2026/1744 (primär): https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202601744
- Verordnung (EU) 2024/1689, KI-Verordnung (primär): https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Hinweis von Swissmedic zur Registrierung in swissdamed (primär): https://www.swissmedic.ch/swissmedic/en/home/news/mitteilungen/swissdamed-registrierungspflicht.html
- Rahmenübereinkommen des Europarats über künstliche Intelligenz, SEV-Nr. 225 (primär): https://www.coe.int
- ISO/IEC 42001 (Norm): https://www.iso.org/standard/81230.html
- Kommentar von Sylvain Métille zur Revision im Kanton Waadt (sekundär): https://smetille.ch/2026/05/12/revision-lprd-vaud/
- Kommentar von publicsector.ch zum IDG Zürich (sekundär): https://publicsector.ch/en/idg-in-spe-das-langersehnte-revidierte-zuercher-datenschutzgesetz-ist-da/
Änderungsverlauf
- 3. November 2026: erste vollständige Fassung zur redaktionellen Prüfung, mit der kantonalen und branchenspezifischen Ebene, den Quellenprüfungen, den Expertenzitaten sowie den Links zu Kursen und Team.
- Das nächste Update folgt mit der Veröffentlichung des Bundesentwurfs.
