Gilt der EU AI Act für mein Schweizer Unternehmen, wenn wir keine EU-Niederlassung haben?

Ja, sobald Ihre KI-Systeme Outputs erzeugen, die in der EU genutzt werden. Der extraterritoriale Geltungsbereich nach Artikel 2(1)(c) orientiert sich am Nutzungsort, nicht am Firmensitz. Beispiel: KI-gestützte Kundenberatung für EU-Kunden unterliegt dem Act, interne Prozesse ohne EU-Bezug nicht.

Was macht einen KI-Agenten hochriskant im Sinne des AI Act?

Entscheidend ist die autonome Entscheidungsfindung in kritischen Bereichen: Finanzen (Kreditwürdigkeitsprüfung, Versicherungsprämien), HR (Recruiting, Performance-Bewertung, Entlassungen), Zugang zu wesentlichen Dienstleistungen, kritische Infrastruktur. Sobald der Agent eigenständig Handlungen auslöst, die Rechte oder Vermögen von Personen beeinflussen, fällt er typischerweise unter Annex III. Reine Assistenzsysteme ohne Entscheidungsgewalt sind meist ausgenommen.

Welche Fristen sind trotz AI Omnibus bereits jetzt verbindlich?

Seit Februar 2025 gelten verbotene KI-Praktiken (z. B. Social Scoring, biometrische Echtzeit-Identifikation im öffentlichen Raum) und AI-Literacy-Pflichten. Seit August 2025 sind GPAI-Vorgaben (10 Jahre Dokumentation, Code of Practice), Governance-Strukturen und das Sanktionsregime in Kraft. Transparenzpflichten (Art. 50) greifen ab August 2026. Ab 2. Dezember 2026 gilt das Nudifier-Verbot. Nur Hochrisiko-Annex-III-Systeme erhalten Aufschub bis 2. Dezember 2027.

Was bedeutet 'Human Oversight' konkret für den Betrieb von KI-Agenten?

Hochrisiko-KI darf nicht vollständig autonom operieren. Qualifizierte Mitarbeitende müssen jederzeit eingreifen, Entscheidungen überprüfen und überstimmen können. Technisch: Eskalationsmechanismen, Genehmigungsworkflows, Override-Funktionen. Organisatorisch: definierte Verantwortlichkeiten, Schulungen (AI Literacy), Incident-Protokolle. Deployer müssen gemäss Art. 26 dafür sorgen, dass die zuständigen Personen kompetent sind und über tatsächliche Eingriffsbefugnis verfügen.

Wie lange müssen wir KI-Dokumentation aufbewahren?

Der GPAI Code of Practice fordert zehn Jahre Aufbewahrung für Logs, technische Dokumentation und Risikoanalysen. Für Hochrisiko-Systeme gilt gemäss Art. 26: Logs müssen mindestens sechs Monate aufbewahrt werden, technische Dokumentation solange das System im Einsatz ist plus Nachweiszeitraum für mögliche Haftungsansprüche – praktisch mindestens zehn Jahre.

Kann ein KI-Outsourcing-Partner die AI-Act-Compliance vollständig übernehmen?

Nein. Die rechtliche Verantwortung als 'Deployer' verbleibt beim Unternehmen, das die KI einsetzt (Art. 26). Ein qualifizierter Partner kann jedoch Compliance-Infrastruktur bereitstellen: Audit Trails, technische Dokumentation, Risikobewertungen, Vendor Management, Human-Oversight-Workflows. Entscheidend ist die vertragliche Klärung von Rollen, Pflichten und Haftung – insbesondere bei autonomen Agenten, die eigenständig Entscheidungen treffen.

Profitiert mein Schweizer KMU von den neuen SME-Vereinfachungen?

Ja, wenn Ihr Unternehmen bis zu 750 Mitarbeitende beschäftigt und einen Jahresumsatz von maximal €150 Millionen erzielt (neu; zuvor 250 Mitarbeitende). Sie profitieren von vereinfachter Guidance, reduzierten Bussenrahmen, Zugang zu regulatorischen Sandboxes und standardisierten Dokumentations-Templates. Die materiellen Governance-Anforderungen bleiben allerdings bestehen – die Vereinfachungen betreffen Nachweisführung und Prozesse, nicht die Substanz.

Was sind 'Nudifier'-Anwendungen und warum sind sie ab Dezember 2026 verboten?

Nudifier-Anwendungen sind KI-Systeme, die nicht-einvernehmliche sexuell explizite oder intime Darstellungen (Deepfakes) einer identifizierbaren Person erzeugen oder manipulieren, ohne deren ausdrückliche Zustimmung – oder die CSAM (Child Sexual Abuse Material) generieren. Sie werden ab 2. Dezember 2026 als verbotene KI-Praktik eingestuft (Art. 5 AI Act, Omnibus-Änderung). Verstösse können mit Bussen bis €35 Mio. oder 7% des weltweiten Jahresumsatzes geahndet werden.

Alle Beiträge

KI-Ratgeber

EU AI Act Omnibus 2026: Was Schweizer KMU bei KI-Agenten und Hochrisiko-KI jetzt beachten müssen

Chris Jon Graf · KI-Stratege & CEOVeröffentlicht am 25. Juni 2026

Auf den Punkt

Am 29. Juni 2026 verabschiedete der EU-Rat den AI Omnibus final: Hochrisiko-KI-Systeme (Anhang III) erhalten eine 16-monatige Fristverlängerung bis 2. Dezember 2027; KMU und mittelständische Unternehmen bis 750 Mitarbeitende profitieren von vereinfachten Compliance-Wegen, reduzierten Bussen und Sandbox-Zugang. Ab 2. Dezember 2026 sind 'Nudifier'-Anwendungen (nicht-einvernehmliche Deepfakes) verboten. Schweizer Unternehmen, die KI-Agenten mit EU-Outputs einsetzen, unterliegen unabhängig vom Standort dem extraterritorialen Geltungsbereich (Art. 2(1)(c)) – kritische Bereiche wie Finanzen, HR oder Vertragsprozesse fallen typischerweise in die Hochrisiko-Kategorie mit strengen Audit-, Überwachungs- und Dokumentationspflichten.

2. Dezember 2027

Neue Compliance-Frist für Hochrisiko-KI-Systeme (Anhang III) nach EU AI Act Omnibus

750 Mitarbeitende & €150 Mio. Umsatz

Neue Schwelle für vereinfachte SME-Compliance (statt 250 MA) – inkl. reduzierte Bussen, Sandbox-Zugang, Templates

2. Dezember 2026

Verbot von Nudifier-Anwendungen (nicht-einvernehmliche Deepfakes / CSAM) tritt in Kraft

Der EU AI Omnibus 2026: Finale Annahme und was sie für Schweizer Unternehmen bedeutet

Am 7. Mai 2026 erzielten das Europäische Parlament und der Rat eine politische Einigung über den sogenannten AI Omnibus – ein Paket, das den EU AI Act in zentralen Punkten nachschärft und Fristen anpasst. Das Europäische Parlament stimmte der Vereinbarung am 16. Juni 2026 formell zu; der EU-Rat verabschiedete sie am 29. Juni 2026. Die Veröffentlichung im Amtsblatt der EU wird im Juli 2026 erwartet – rechtzeitig vor dem ursprünglichen Stichtag 2. August 2026 (Quelle: DLA Piper, 30. Juni 2026).

Für Schweizer Unternehmen, die Produkte oder Dienstleistungen im EU-Raum anbieten, ist diese Entwicklung unmittelbar relevant: Der extraterritoriale Geltungsbereich des EU AI Act (Art. 2(1)(c)) erfasst auch Unternehmen ausserhalb der EU, sobald ihre KI-Systeme in der EU genutzt werden oder deren Outputs dort Wirkung entfalten.

Die wichtigsten Änderungen im Überblick

Das Omnibus-Paket bringt vier wesentliche Neuerungen, die Schweizer KMU und mittelständische Unternehmen direkt betreffen:

Hochrisiko-KI (Anhang III): Frist verschoben von 2. August 2026 auf 2. Dezember 2027 (+16 Monate)
Hochrisiko-KI (Anhang I, in Produkte eingebettet): Frist verschoben von 2. August 2027 auf 2. August 2028 (+12 Monate)
SME-Vereinfachungen: Neu bis 750 Mitarbeitende & €150 Mio. Umsatz (statt 250 MA): vereinfachte Guidance, reduzierte Bussen, Sandbox-Zugang, Templates
Nudifier-Verbot: Ab 2. Dezember 2026 verboten: KI-Systeme für nicht-einvernehmliche Deepfakes (intime Inhalte) oder CSAM. Bussen bis €35 Mio. / 7% Jahresumsatz
GPAI-Pflichten (General Purpose AI): Unverändert seit August 2025 in Kraft: 10 Jahre Dokumentation, Code of Practice

Die SME-Vereinfachungen sind für Schweizer mittelständische Unternehmen besonders relevant: Betriebe mit bis zu 750 Mitarbeitenden und einem Jahresumsatz bis €150 Millionen erhalten Zugang zu vereinfachter Dokumentation, reduzierten Bussenrahmen, regulatorischen Sandboxes und standardisierten Templates. Diese Erleichterungen gelten allerdings nur, wenn die materiellen Governance-Anforderungen konsequent umgesetzt werden (Quelle: Latham & Watkins, 13. Mai 2026).

Achtung: Fristverlängerung ≠ Freistellung

Die Fristverlängerung durch den Omnibus ändert nichts an den materiellen Compliance-Anforderungen. Sie gibt lediglich mehr Zeit für die Umsetzung. Wer bis Dezember 2027 nicht compliant ist, riskiert Bussen von bis zu €35 Millionen oder 7% des weltweiten Jahresumsatzes.

Hochrisiko-KI und KI-Agenten

Autonome KI-Agenten, die in den Bereichen Personal (Recruiting, Performance-Bewertung, Entlassungen), Finanzen (Kreditwürdigkeitsprüfung, Risikobewertung, Versicherungsprämien), kritische Infrastruktur oder wesentliche Dienstleistungen eingesetzt werden, fallen nach Massgabe von Anhang III des EU AI Act fast ausnahmslos in die Hochrisiko-Kategorie. Die Fristverlängerung durch den Omnibus ändert nichts an den materiellen Anforderungen – sie gibt nur mehr Zeit für die Umsetzung. Betroffen sind insbesondere <a href="/ratgeber/ki-agenten-sicherheit-warum-autonome-ki-systeme-zum-grossten-angriffsvektor-2026">autonome KI-Systeme mit eigenständiger Entscheidungsgewalt</a>, die ohne menschliche Genehmigung Handlungen auslösen.

Extraterritorialität: Warum der EU AI Act die Schweiz direkt betrifft

Die Schweiz hat den EU AI Act nicht übernommen. Dennoch sind Schweizer Unternehmen direkt betroffen: Art. 2(1)(c) des EU AI Act stellt auf den Ort der Wirkung ab, nicht auf den Sitz des Anbieters. Ein Schweizer KMU, das ein KI-System betreibt, dessen Output in der EU genutzt wird – etwa ein KI-gestütztes Kundenservice-Tool, das EU-Kunden bedient, oder ein autonomer Vertragsagent, der Verträge mit EU-Partnern verhandelt – unterliegt dem EU AI Act. Nicht Formalitäten, sondern wirtschaftliche Realität zählt (Quelle: Lenz & Staehelin, Juni 2026).

Zusätzlich gilt: Der Schweizer revDSG ist seit September 2023 in Kraft und stellt eigenständige Anforderungen an automatisierte Entscheidungssysteme. Eine doppelte Compliance-Perspektive – EU AI Act und revDSG – ist für Schweizer Unternehmen mit EU-Geschäftsbeziehungen Pflicht.

Strafrahmen und Durchsetzung

Die Sanktionen des EU AI Act sind erheblich: Verstösse gegen die Hochrisiko-Pflichten können mit Bussen von bis zu €15 Millionen oder 3% des weltweiten Jahresumsatzes geahndet werden (je nachdem, was höher ist); Verstösse gegen verbotene Praktiken (z. B. Nudifier-Anwendungen ab 2. Dezember 2026) mit bis zu €35 Millionen oder 7% des weltweiten Jahresumsatzes. Für KMU gilt dabei: Es zählt jeweils der niedrigere Betrag (Quelle: EU AI Act, Art. 99). Für mittelständische Schweizer Unternehmen kann ein einziger Compliance-Fehler dennoch existenzbedrohlich sein.

Handlungsempfehlungen für Schweizer Unternehmen

Inventar erstellen: Welche KI-Systeme im Einsatz könnten unter Anhang III fallen? Klassifikation nach Anwendungsbereich (Personal, Finanzen, kritische Infrastruktur, wesentliche Dienstleistungen).
Risikoklassifizierung dokumentieren: Schriftliche Begründung, weshalb ein System als Hochrisiko oder Nicht-Hochrisiko eingestuft wird – als Basis für die Compliance-Argumentation.
GPAI-Anforderungen prüfen: Falls eigene KI-Modelle entwickelt oder fine-getuned werden, gelten seit August 2025 zusätzliche Transparenz- und Dokumentationspflichten (10 Jahre Aufbewahrung).
SME-Status prüfen: Mittelständische Unternehmen bis 750 Mitarbeitende und €150 Mio. Umsatz profitieren von vereinfachten Compliance-Wegen – sofern Governance-Anforderungen erfüllt sind.
Rechtsbeistand hinzuziehen: Die extraterritoriale Anwendung des EU AI Act auf Schweizer Unternehmen ist komplex. Spezialisierte Kanzleien wie Lenz & Staehelin bieten hierzu Orientierung.
Governance-Struktur aufbauen: Benennen Sie einen KI-Compliance-Owner auf Geschäftsführungsebene. <a href="/ratgeber/von-der-pilot-falle-zum-roi-wie-schweizer-kmu-ki-agenten-erfolgreich-skalieren">Nur wenn KI Chefsache ist</a>, können Compliance-Anforderungen systematisch erfüllt werden.

Für die konkreten Deployer-Pflichten ab August 2026 gemäss Art. 26 des EU AI Act empfehlen wir den spezifischen Beitrag <a href="/ratgeber/eu-ai-act-august-2026-der-deployer-pflichtenkatalog-fur-schweizer-unternehmen">«EU AI Act August 2026: Der Deployer-Pflichtenkatalog für Schweizer Unternehmen»</a>. Eine übergeordnete strategische Einordnung – einschliesslich Governance, Führungskompetenz und Entscheidungsrahmen – bietet der <a href="/ratgeber/der-schweizer-ki-podcast-strategische-ki-orientierung-fur-die-chefetage">Schweizer KI-Podcast</a>, der regelmässig hochrangige Compliance-Experten zu Gast hat.

Häufige Fragen

Gilt der EU AI Act für mein Schweizer Unternehmen, wenn wir keine EU-Niederlassung haben?: Ja, sobald Ihre KI-Systeme Outputs erzeugen, die in der EU genutzt werden. Der extraterritoriale Geltungsbereich nach Artikel 2(1)(c) orientiert sich am Nutzungsort, nicht am Firmensitz. Beispiel: KI-gestützte Kundenberatung für EU-Kunden unterliegt dem Act, interne Prozesse ohne EU-Bezug nicht.
Was macht einen KI-Agenten hochriskant im Sinne des AI Act?: Entscheidend ist die autonome Entscheidungsfindung in kritischen Bereichen: Finanzen (Kreditwürdigkeitsprüfung, Versicherungsprämien), HR (Recruiting, Performance-Bewertung, Entlassungen), Zugang zu wesentlichen Dienstleistungen, kritische Infrastruktur. Sobald der Agent eigenständig Handlungen auslöst, die Rechte oder Vermögen von Personen beeinflussen, fällt er typischerweise unter Annex III. Reine Assistenzsysteme ohne Entscheidungsgewalt sind meist ausgenommen.
Welche Fristen sind trotz AI Omnibus bereits jetzt verbindlich?: Seit Februar 2025 gelten verbotene KI-Praktiken (z. B. Social Scoring, biometrische Echtzeit-Identifikation im öffentlichen Raum) und AI-Literacy-Pflichten. Seit August 2025 sind GPAI-Vorgaben (10 Jahre Dokumentation, Code of Practice), Governance-Strukturen und das Sanktionsregime in Kraft. Transparenzpflichten (Art. 50) greifen ab August 2026. Ab 2. Dezember 2026 gilt das Nudifier-Verbot. Nur Hochrisiko-Annex-III-Systeme erhalten Aufschub bis 2. Dezember 2027.
Was bedeutet 'Human Oversight' konkret für den Betrieb von KI-Agenten?: Hochrisiko-KI darf nicht vollständig autonom operieren. Qualifizierte Mitarbeitende müssen jederzeit eingreifen, Entscheidungen überprüfen und überstimmen können. Technisch: Eskalationsmechanismen, Genehmigungsworkflows, Override-Funktionen. Organisatorisch: definierte Verantwortlichkeiten, Schulungen (AI Literacy), Incident-Protokolle. Deployer müssen gemäss Art. 26 dafür sorgen, dass die zuständigen Personen kompetent sind und über tatsächliche Eingriffsbefugnis verfügen.
Wie lange müssen wir KI-Dokumentation aufbewahren?: Der GPAI Code of Practice fordert zehn Jahre Aufbewahrung für Logs, technische Dokumentation und Risikoanalysen. Für Hochrisiko-Systeme gilt gemäss Art. 26: Logs müssen mindestens sechs Monate aufbewahrt werden, technische Dokumentation solange das System im Einsatz ist plus Nachweiszeitraum für mögliche Haftungsansprüche – praktisch mindestens zehn Jahre.
Kann ein KI-Outsourcing-Partner die AI-Act-Compliance vollständig übernehmen?: Nein. Die rechtliche Verantwortung als 'Deployer' verbleibt beim Unternehmen, das die KI einsetzt (Art. 26). Ein qualifizierter Partner kann jedoch Compliance-Infrastruktur bereitstellen: Audit Trails, technische Dokumentation, Risikobewertungen, Vendor Management, Human-Oversight-Workflows. Entscheidend ist die vertragliche Klärung von Rollen, Pflichten und Haftung – insbesondere bei autonomen Agenten, die eigenständig Entscheidungen treffen.
Profitiert mein Schweizer KMU von den neuen SME-Vereinfachungen?: Ja, wenn Ihr Unternehmen bis zu 750 Mitarbeitende beschäftigt und einen Jahresumsatz von maximal €150 Millionen erzielt (neu; zuvor 250 Mitarbeitende). Sie profitieren von vereinfachter Guidance, reduzierten Bussenrahmen, Zugang zu regulatorischen Sandboxes und standardisierten Dokumentations-Templates. Die materiellen Governance-Anforderungen bleiben allerdings bestehen – die Vereinfachungen betreffen Nachweisführung und Prozesse, nicht die Substanz.
Was sind 'Nudifier'-Anwendungen und warum sind sie ab Dezember 2026 verboten?: Nudifier-Anwendungen sind KI-Systeme, die nicht-einvernehmliche sexuell explizite oder intime Darstellungen (Deepfakes) einer identifizierbaren Person erzeugen oder manipulieren, ohne deren ausdrückliche Zustimmung – oder die CSAM (Child Sexual Abuse Material) generieren. Sie werden ab 2. Dezember 2026 als verbotene KI-Praktik eingestuft (Art. 5 AI Act, Omnibus-Änderung). Verstösse können mit Bussen bis €35 Mio. oder 7% des weltweiten Jahresumsatzes geahndet werden.

Quellen

Möchten Sie dieses Thema für Ihr Unternehmen vertiefen?

Kapazität prüfen

Weitere Beiträge

KI-Gründungsboom: Was er für Schweizer KMU bedeutet Chinas KI-Ökosystem: Die Lektion für Schweizer KMU jenseits des Modell-Hypes SAP Autonomous Enterprise und Joule Studio: Was die neue KI-Agenten-Plattform für Schweizer KMU bedeutet