Die Schweiz hat 2026 kein eigenes „KI-Gesetz", sondern verfolgt einen technologieneutralen, sektorspezifischen Ansatz, der auf bestehenden Rechtsrahmen aufbaut: DSG, OR, FINMA-Recht, MepV/HMG, Antidiskriminierungsrecht. Der Bundesrat hat im Februar 2025 entschieden, die Europaratskonvention über künstliche Intelligenz (CETS Nr. 225, „Framework Convention") zu ratifizieren und ergänzend punktuelle Anpassungen in geltendem Recht vorzubereiten. Eine eigenständige horizontale KI-Verordnung nach Vorbild der EU-VO 2024/1689 ist nicht geplant.

Dieser Beitrag beleuchtet den Stand 2026 und den realistischen Ausblick:

• Der Bundesratsentscheid vom Februar 2025 und die laufenden Vernehmlassungen
• Die Europaratskonvention KI: was sie verbindlich verlangt, was sie offen lässt
• Sektorspezifische Überlagerungen: FINMA, Swissmedic, BAKOM, NCSC
• Die Position des EDÖB zu KI und automatisierten Einzelentscheidungen
• Faktische Relevanz des EU AI Act für CH-Unternehmen (Brüssel-Effekt)
• Was Schweizer Organisationen heute schon vorbereiten müssen

Wichtig: technologieneutral heisst nicht „regulierungsfrei". KI-Anwendungen, die personenbezogene Daten verarbeiten, fallen unter Art. 5–22 DSG. KI-Systeme mit Auswirkungen auf Konsumenten unterstehen dem UWG und dem KKG. KI in der Personalvorsorge fällt unter BVG/FZG-Aufsicht. Die Behauptung, in der Schweiz sei „KI ungeregelt", ist juristisch falsch.

Am 12. Februar 2025 hat der Bundesrat zum KI-Bericht von EJPD/UVEK Stellung bezogen und drei Stossrichtungen festgelegt. Erstens: Ratifikation der Europaratskonvention über KI bis Ende 2026 mit zugehöriger Vernehmlassung zu nötigen Gesetzesanpassungen. Zweitens: punktuelle sektorspezifische Anpassungen in geltendem Recht statt einer horizontalen KI-Verordnung. Drittens: rechtlich nicht verbindliche Massnahmen wie Branchen-Selbstregulierung, Best Practices und Leitlinien der zuständigen Bundesbehörden.

Die Vernehmlassung zur Umsetzung der KI-Konvention soll Ende 2026 eröffnet werden, mit einer Botschaft des Bundesrates an das Parlament voraussichtlich 2027. Realistisch ist ein Inkrafttreten frühestens 2028. In dieser Zeit gilt der heutige Rechtsrahmen weiter – mit der Ergänzung, dass FINMA, EDÖB, Swissmedic und andere Aufsichtsbehörden ihre eigenen Aufsichts- und Auslegungsdokumente kontinuierlich präzisieren.

Die am 5. September 2024 in Vilnius zur Zeichnung aufgelegte Rahmenkonvention des Europarats über KI und Menschenrechte, Demokratie und Rechtsstaatlichkeit (CETS Nr. 225) ist das erste völkerrechtlich verbindliche Instrument zur KI-Regulierung. Ihre materiellen Vorgaben sind allgemeiner gehalten als der EU AI Act: Schutz der Menschenrechte, demokratische Prozesse und Rechtsstaatlichkeit; Transparenz und Aufsicht; Verantwortlichkeit und Rechenschaft; Gleichheit und Nichtdiskriminierung; Datenschutz; Zuverlässigkeit; sichere Innovation.

Die Konvention adressiert den öffentlichen Sektor verbindlich und überlässt es den Vertragsparteien, ob und wie sie auf den privaten Sektor anwendbar wird (Art. 3 Abs. 1 lit. b). Die Schweiz wird voraussichtlich für den privaten Sektor die Anwendbarkeit über bestehende Sektorgesetze und das DSG sicherstellen, statt eine eigene horizontale Pflicht zu schaffen. Praktisch heisst das: KI-Anbieter, die mit dem DSG, MepV, FINMA-RS und ggf. ProdHG konform sind, erfüllen voraussichtlich auch die Konventionsanforderungen.

FINMA: Die Aufsichtsmitteilung 08/2024 vom Dezember 2024 konkretisiert die Erwartungen an Bewilligungsträger beim KI-Einsatz – Governance, Bias-Kontrollen, Erklärbarkeit, Outsourcing-Anforderungen nach RS 18/03 wenn KI von Drittanbietern bezogen wird. Die Mitteilung verlangt insbesondere für Modelle, die in Risikoentscheidungen einfliessen (Kreditscoring, Anti-Geldwäscherei-Triage, Versicherungsbepreisung), eine dokumentierte Modell-Risk-Management-Funktion.

Swissmedic: Für Medizinprodukte mit KI-Komponente gilt die MepV in Verbindung mit der EU-MDR 2017/745; die EUDAMED-Registrierung und Konformitätsbewertung sind harmonisiert. BAKOM: Bei KI-gestützter Inhalte-Moderation in CH-Plattformen läuft eine Konsultation zu Plattform-Transparenz. NCSC/BACS: KI-spezifische Cyber-Empfehlungen für KRITIS-Betreiber adressieren Adversarial Attacks, Model Poisoning, Prompt Injection. Wer in einer regulierten Branche operiert, muss sektorspezifische und horizontale Anforderungen integriert führen.

Der EDÖB hat seit 2023 mehrere Stellungnahmen zu KI veröffentlicht. Zentrale Botschaft: das DSG ist technologieneutral und damit unmittelbar auf KI anwendbar. Anbieter und Betreiber von KI-Systemen müssen die Grundsätze nach Art. 6 DSG einhalten (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Datensicherheit). Bei profilbasierten Auswertungen sind die erhöhten Transparenzpflichten nach Art. 19 Abs. 2 lit. d) und – bei „Profiling mit hohem Risiko" – die ausdrückliche Einwilligungsanforderung nach Art. 6 Abs. 7 lit. b) zu beachten.

Besonders relevant: Art. 21 DSG zu automatisierten Einzelentscheidungen. Trifft eine ausschliesslich automatisierte Entscheidung mit rechtlicher Wirkung oder erheblicher Beeinträchtigung, muss die betroffene Person informiert werden und kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird. Der EDÖB stellt diese Pflicht in Audits bei Versicherern, Banken und HR-Plattformen aktiv. Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 22 DSG ist bei KI mit hohem Risiko in der Regel verpflichtend; der EDÖB hat 2024 einen Leitfaden zur DSFA mit KI-Bezug publiziert.

Auch ohne nationale KI-Verordnung sind Schweizer Unternehmen vom EU AI Act betroffen, wenn sie auf dem EU-Markt anbieten oder ihre KI-Outputs in der EU genutzt werden (Art. 2 Abs. 1 lit. a und c AI Act). Praktisch fast jede grössere CH-Firma fällt in Welle 3 oder Welle 4: B2B-SaaS mit EU-Kunden, Medizinproduktehersteller mit EU-Vertrieb, Personalvermittler über Grenzen hinweg, Finanzdienstleister mit EU-Branches.

Zusätzlich entsteht ein faktischer Brüssel-Effekt: EU-Konzernkunden ziehen ihre Schweizer Lieferanten in den AI-Act-Compliance-Kosmos, oft schon vertraglich, bevor Welle 3 anwendbar wird. Wer 2026 Verträge mit deutschen oder französischen Grosskunden verhandelt, sieht regelmässig AI-Act-Konformitätsklauseln, Audit-Rechte und Schadloshaltungen. Die rationale Antwort für CH-Anbieter ist nicht „abwarten bis zur CH-Regulierung", sondern frühzeitig AI-Act-Konformität als Marktzugangsbedingung zu behandeln.

Erstens: KI-Governance aufsetzen. Eine interne KI-Policy mit Rollen (KI-Verantwortlicher, Modell-Risk-Manager), zulässigen Use-Cases, verbotenen Use-Cases (auch wenn AI-Act-Verbote „nur" EU-rechtlich gelten – die ethische Argumentation gilt schweizweit), Freigabeprozess für neue Modelle und einem KI-Register. Zweitens: DSG-Compliance für jede KI-Anwendung mit Personendaten – Verzeichnis-Eintrag, Transparenz in der Datenschutzerklärung, DSFA bei hohem Risiko, Mechanismus für Art. 21-Rechte.

Drittens: Verträge prüfen. AVV-Klauseln mit KI-Anbietern müssen klären, ob Eingabedaten zum Modelltraining genutzt werden, ob Output urheberrechtlich nutzbar ist, wo die Verarbeitung stattfindet, wie Incident-Reporting funktioniert. Viertens: AI-Literacy nach Art. 4 AI Act für Mitarbeitende mit EU-Bezug – und de facto für alle, weil das auch DSG-Anforderungen an Sorgfalt erfüllt. Fünftens: Sektorspezifika prüfen – FINMA-AM 08/2024, Swissmedic-Guidance, NCSC-Empfehlungen.

Die Schweiz reguliert KI nicht mit einem einzigen Erlass, sondern mit einer Schichtung aus DSG, Sektorrecht, internationalen Verpflichtungen und faktischer EU-Anpassung. SIDD hilft, diese Schichten zu einer kohärenten KI-Governance zu integrieren: KI-Inventar, Klassifikation, Policy, DSFA-Verfahren, Lieferantenmanagement, AI-Literacy-Schulung. Wir verbinden den DSG-Pfad mit den AI-Act-Pflichten, damit Unternehmen mit EU-Bezug ihre Compliance einmal aufbauen und mehrfach nutzen. Vertiefend: Der EU-AI-Act für die Schweiz und AI Act × DSG × DSGVO. Für die DSB-Begleitung bei KI-Themen unter dem DSG siehe Datenschutzberater Schweiz. Eine konkrete Standortbestimmung beantragen Sie über das Offerte-Formular; vertrauliche Erstgespräche führen wir gerne über das Kontaktformular.