Website besuchen →
← Zurück zum Blog

KI-Gesetz in der Schweiz: Stand 2026 und Pflichten für Firmen

3. November 2026
KI-Gesetz in der Schweiz: Stand 2026 und Pflichten für Firmen

Die Schweiz hat derzeit kein eigenes, übergreifendes KI-Gesetz. Rechtsfrei ist der Einsatz von künstlicher Intelligenz deshalb nicht. Das Datenschutzgesetz (DSG), die Bundesverfassung, das Gleichstellungsgesetz sowie Haftungs- und Strafrecht gelten bereits heute für jedes KI-Tool. Der Bundesrat hat zudem entschieden, die KI-Konvention des Europarats umzusetzen. Eine Vernehmlassungsvorlage ist für den Frühling 2027 vorgesehen. Wer Kunden in der EU bedient oder US-Anbieter nutzt, muss ausserdem den EU AI Act und amerikanische Regeln im Blick behalten. Dieser Überblick zeigt, was heute gilt, was kommt und welche Massnahmen Unternehmen jetzt umsetzen sollten.

Nectos
KI nutzen, Daten in der Schweiz halten
Nectos bietet einen souveränen KI-Arbeitsbereich mit Schweizer Hosting, lokal gehosteten Modellen und nDSG-konformer Datenverarbeitung.
Nectos entdecken

Kurz gesagt

  • Kein KI-Spezialgesetz: In der Schweiz besteht laut BAKOM bisher keine übergreifende Gesetzgebung spezifisch zu KI.
  • Geltendes Recht greift: DSG, Bundesverfassung, Gleichstellungsgesetz, Zivilhaftung und Strafrecht gelten auch für KI-Anwendungen.
  • Datenschutz zuerst: Der EDÖB stuft das DSG als direkt anwendbar auf KI-gestützte Datenbearbeitungen ein. Transparenz, Betroffenenrechte und bei hohen Risiken eine Datenschutz-Folgenabschätzung sind Pflicht.
  • Gesetzgebung in Arbeit: Die Umsetzung der KI-Konvention des Europarats soll Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikoabschätzung regeln. Die Vernehmlassung ist für Frühling 2027 geplant.
  • EU und USA wirken mit: Der EU AI Act erfasst Schweizer Firmen, deren KI-Systeme oder Ergebnisse in der EU genutzt werden. In den USA gilt ein Flickenteppich aus Regeln der Bundesstaaten und Behörden.

Inhaltsverzeichnis

Der aktuelle Stand: Regulierung ohne eigenes KI-Gesetz

In der Schweiz gibt es kein Gesetz, das künstliche Intelligenz als Technologie umfassend regelt. Das Bundesamt für Kommunikation (BAKOM) hält fest, dass bisher noch keine übergreifende Schweizer KI-Gesetzgebung besteht. Das unterscheidet die Schweiz von der EU, die mit dem AI Act eine eigene Verordnung für KI geschaffen hat.

Für die Praxis heisst das: Ein Unternehmen, das ChatGPT-ähnliche Tools, automatisierte Bewerbungsfilter oder KI-gestützte Dokumentenanalyse einsetzt, bewegt sich im bestehenden Rechtsrahmen. Massgeblich sind die Normen, die schon heute für jede Bearbeitung von Personendaten, für Diskriminierungsverbote und für Haftungsfragen gelten. Die Frage lautet also nicht, ob KI reguliert ist, sondern welche bestehenden Regeln im konkreten Anwendungsfall greifen.

Der aktuelle Stand: Regulierung ohne eigenes KI-Gesetz

Der Schweizer Regulierungsansatz des Bundesrats

Am 12. Februar 2025 hat der Bundesrat seinen Regulierungsansatz für KI festgelegt. Laut BAKOM stützt er sich auf drei Elemente:

  • Ratifikation der KI-Konvention des Europarats: Die Schweiz übernimmt die Konvention ins Schweizer Recht. Unterzeichnet hat sie Bundesrat Albert Rösti am 27. März 2025.
  • Sektorbezogene Anpassungen: Gesetze werden möglichst dort angepasst, wo KI in einem bestimmten Bereich Fragen aufwirft, etwa im Gesundheitswesen oder im Verkehr.
  • Begrenzte allgemeine Regulierung: Eine sektorübergreifende Regelung ist nur in grundrechtsrelevanten Bereichen vorgesehen.

Ergänzend sind rechtlich unverbindliche Instrumente geplant: Branchendialoge, Leitlinien, Standards und Selbstverpflichtungen. Der Bundesrat will damit den Innovationsstandort stärken, die Grundrechte schützen und das Vertrauen der Bevölkerung in KI fördern.

Die Fachliteratur stützt diese Richtung. Eine Publikation der Universität Zürich empfiehlt, konkrete rechtlich relevante Schäden zu adressieren, also Diskriminierung, Manipulation, Datenschutzverletzungen, Intransparenz und Haftungsrisiken, statt KI pauschal als Technologie zu regulieren.

Zeitplan: Was bis 2027 ansteht

Die folgende Übersicht fasst die wichtigsten Etappen der Schweizer KI-Regulierung zusammen. Den aktuellen Stand publiziert das BAKOM laufend auf seiner Themenseite.

ZeitpunktEtappeBedeutung für Unternehmen
12. Februar 2025Bundesrat beschliesst RegulierungsansatzRichtung festgelegt: Konvention, Sektorrecht, punktuelle allgemeine Regeln
27. März 2025Unterzeichnung der KI-Konvention des EuroparatsVölkerrechtliche Verpflichtung in Vorbereitung
Bis Ende 2026Bundesamt für Justiz erarbeitet VernehmlassungsvorlageInhalt der künftigen Pflichten wird konkretisiert
Frühling 2027Vernehmlassung zur Umsetzung der KonventionUnternehmen und Verbände können Stellung nehmen
Nach der VernehmlassungBotschaft, parlamentarische Beratung, InkraftsetzungVerbindliche Pflichten frühestens nach Abschluss des Gesetzgebungsverfahrens

Dass das Bundesamt für Justiz bis Ende 2026 an der Vorlage arbeitet, bestätigt die Bundeskanzlei. Inhaltlich soll der geplante Rahmen Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht und Risikoabschätzung regeln. Wie streng die einzelnen Pflichten ausfallen, entscheidet sich erst im parlamentarischen Verfahren.

Welche Gesetze heute schon für KI gelten

Die rechtliche Basisanalyse des Bundesamts für Justiz aus dem Jahr 2024 stellt klar: Die geltende Schweizer Rechtsordnung gilt auch für KI. Die UZH-Publikation ordnet zusätzlich die horizontalen Regeln des Privatrechts ein. Die wichtigsten Normen im Überblick:

RechtsgrundlageRelevanz beim KI-Einsatz
Bundesverfassung (Art. 7 ff. BV)Grundrechte gelten in der gesamten Rechtsordnung; Einschränkungen müssen Art. 36 BV genügen
Datenschutzgesetz (DSG)Jede KI-gestützte Bearbeitung von Personendaten unterliegt dem DSG
GleichstellungsgesetzSchutz vor Diskriminierung, relevant etwa bei KI in Rekrutierung und Lohnfragen
Persönlichkeitsrecht (Art. 28 ZGB)Schutz vor widerrechtlicher Verletzung der Persönlichkeit, etwa durch Deepfakes oder Profilbildung
Lauterkeitsrecht (Art. 2 UWG)Generalklausel gegen unlauteres Verhalten, etwa irreführende KI-gestützte Werbung
Deliktsrecht (Art. 41 ff. OR)Haftung für Schäden, die durch fehlerhafte KI-Ergebnisse entstehen
StrafrechtStrafrechtliche Verantwortlichkeit bleibt bei Menschen und Organisationen
SektorrechtSpezifische Vorgaben, etwa für Medizinprodukte oder automatisierte Fahrzeuge

Für die Bundesverwaltung hat die Bundeskanzlei einen Orientierungsrahmen für den Umgang mit KI publiziert. Er ordnet KI ausdrücklich in die bestehende nationale und internationale Rechtsordnung ein, insbesondere Bundesverfassung und Europäische Menschenrechtskonvention. Obwohl er sich an die Verwaltung richtet, bietet er Unternehmen eine nützliche Orientierung: Der konkrete Einsatzkontext bestimmt, welche rechtlichen und ethischen Leitlinien besonders stark zu gewichten sind.

Datenschutz: Was das DSG beim KI-Einsatz verlangt

Der Datenschutz ist für die meisten Unternehmen der wichtigste Prüfpunkt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest, dass das technologieneutral formulierte DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Daraus ergeben sich konkrete Pflichten für Hersteller, Anbieter und Anwender:

  • Transparenz: Zweck, Funktionsweise und Datenquellen einer KI-Bearbeitung müssen offengelegt werden. Betroffene sollen erkennen können, ob sie mit einer Maschine kommunizieren.
  • Betroffenenrechte: Auskunfts- und Widerspruchsrechte gelten auch bei KI. Bei automatisierten Einzelentscheidungen besteht das Recht, die eigene Sichtweise darzulegen und eine Überprüfung durch einen Menschen zu verlangen.
  • Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko für die Persönlichkeit oder Grundrechte der Betroffenen ist sie vorab durchzuführen.
  • Angemessene Schutzmassnahmen: Technische und organisatorische Massnahmen müssen das Risiko für die Datensicherheit begrenzen.
  • Verbotene Eingriffe: Bearbeitungen, die die Privatsphäre und die informationelle Selbstbestimmung untergraben, bleiben unzulässig.

Typische Risiken im Arbeitsalltag

Das häufigste Risiko entsteht nicht durch spezialisierte KI-Systeme, sondern durch den alltäglichen Gebrauch von Chat-Assistenten. Mitarbeitende kopieren Vertragsentwürfe, Kundenkorrespondenz, Lohnlisten oder Patientendaten in ein Eingabefeld. Daraus entstehen drei Prüffragen:

  1. Wo werden die Daten verarbeitet und gespeichert? Bei einer Bekanntgabe ins Ausland sind die Vorgaben des DSG zur grenzüberschreitenden Datenbekanntgabe einzuhalten.
  2. Werden Eingaben zum Training von Modellen verwendet? Die Nutzungsbedingungen vieler Consumer-Dienste unterscheiden sich deutlich von Unternehmensverträgen.
  3. Liegt ein Auftragsbearbeitungsvertrag vor? Wer einen Dienstleister mit der Bearbeitung von Personendaten beauftragt, muss die Bearbeitung vertraglich regeln und die Datensicherheit sicherstellen.

Zur Sensibilisierung haben der EDÖB und das Bundesamt für Cybersicherheit (BACS) eine gemeinsame Kampagne zu den Risiken von KI am Arbeitsplatz lanciert. Unternehmen sollten die Ergebnisse dieser drei Prüffragen in einer internen KI-Richtlinie festhalten.

Wann der EU AI Act Schweizer Unternehmen betrifft

Der EU AI Act ist eine EU-Verordnung, gilt aber nicht nur für Unternehmen mit Sitz in der EU. Er ist auf Schweizer Unternehmen anwendbar, wenn sie KI-Systeme in der EU anbieten oder wenn die Ergebnisse ihrer Systeme dort verwendet werden sollen. Ein Zürcher Softwarehaus mit Kunden in Deutschland oder ein Treuhandbüro, das KI-generierte Analysen an Mandanten in Österreich liefert, kann damit in den Anwendungsbereich fallen.

Fristen, die bereits gelten

  • Seit 2. August 2026: Laut dem AI Act Service Desk der EU-Kommission sind die Bestimmungen zu verbotenen KI-Praktiken, die Transparenzpflichten für bestimmte KI-Systeme und die Regeln für KI-Modelle mit allgemeinem Verwendungszweck durchsetzbar.
  • Übergangsregel zu Art. 50 Abs. 2: Anbieter von KI-Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben für die Pflichten zur Kennzeichnung und Erkennbarkeit KI-generierter Inhalte bis 2. Dezember 2026 Zeit.

Verschobene Fristen für Hochrisiko-KI

Mit dem sogenannten Digital Omnibus hat die EU die Fristen für Hochrisiko-Systeme verschoben. Nach der politischen Einigung vom 7. Mai 2026 gelten die Pflichten für Hochrisiko-Systeme nach Anhang III, etwa in Personalwesen oder Kreditvergabe, ab dem 2. Dezember 2027. Für KI in Produkten nach Anhang I verschiebt sich der Termin auf den 2. August 2028. Schweizer Unternehmen mit EU-Bezug gewinnen damit Zeit, sollten die Einstufung ihrer Systeme aber jetzt vornehmen.

Zeitachse der verschobenen EU-KI-Fristen

USA: Flickenteppich statt Bundesgesetz

Für Leserinnen und Leser in den USA sowie für Schweizer Firmen mit US-Geschäft ist eine dritte Ebene relevant. Die Vereinigten Staaten haben kein umfassendes KI-Bundesgesetz erlassen. Die Regulierung verteilt sich auf Gesetze einzelner Bundesstaaten und Städte sowie auf Richtlinien von Ministerien, Behörden und Branchen.

Daraus ergeben sich zwei Berührungspunkte:

  • Eigene Angebote für den US-Markt: Wer Chatbots oder KI-Dienste in den USA anbietet, muss die Regeln der jeweiligen Bundesstaaten prüfen. Kalifornien gehört zu den Bundesstaaten, die eigene KI-Regeln erlassen, unter anderem zur Transparenz von Chatbots.
  • Nutzung von US-Tools in der Schweiz: Viele verbreitete KI-Dienste stammen von US-Anbietern. Für den Schweizer Datenschutz massgeblich bleibt jedoch das DSG, auch wenn ein Anbieter amerikanischen Regeln unterliegt. Entscheidend ist, wo Daten bearbeitet werden und welchem Zugriff sie dort ausgesetzt sind.

Branchen mit erhöhtem Prüfbedarf

Der Orientierungsrahmen des Bundes betont, dass der Einsatzkontext die Gewichtung der Pflichten bestimmt. Für die folgenden Branchen ergeben sich besondere Schwerpunkte:

  • Personalwesen (HR): KI bei Vorselektion, Leistungsbeurteilung oder Lohnanalysen berührt das Gleichstellungsgesetz und den Persönlichkeitsschutz. Die Datenschutz-Folgenabschätzung ist hier oft angezeigt. Mit EU-Bezug fallen solche Systeme zudem unter die Hochrisiko-Kategorie des AI Act.
  • Gesundheitswesen: Gesundheitsdaten sind besonders schützenswerte Personendaten. Zusätzlich gelten sektorspezifische Vorgaben, etwa für Software, die als Medizinprodukt qualifiziert.
  • Finanzen und Treuhand: Mandantendaten unterliegen neben dem DSG häufig vertraglichen und gesetzlichen Geheimhaltungspflichten sowie branchenspezifischen Aufsichtsvorgaben. Die Wahl des Verarbeitungsorts ist hier ein zentrales Kriterium.
  • Rechtsberatung: Anwaltskanzleien müssen beim Einsatz von KI-Tools das Berufsgeheimnis wahren. Eingaben mit Mandatsbezug gehören nicht in Dienste ohne vertraglich geregelte Datenbearbeitung.

Bei Unsicherheit über die Einstufung eines konkreten Anwendungsfalls empfiehlt sich die Prüfung durch die Datenschutzberaterin oder den Datenschutzberater des Unternehmens oder eine auf IT-Recht spezialisierte Anwaltskanzlei.

Checkliste: KI rechtskonform einführen

Unternehmen müssen nicht auf das künftige Gesetz warten. Die folgenden Schritte setzen die geltenden Pflichten um und bereiten auf die kommende Regulierung vor:

  1. Inventar erstellen: Alle im Unternehmen genutzten KI-Tools erfassen, inklusive privat genutzter Konten für Arbeitszwecke.
  2. Datenkategorien klassifizieren: Festlegen, welche Daten in KI-Tools eingegeben werden dürfen und welche nicht, insbesondere besonders schützenswerte Personendaten.
  3. Verarbeitungsort prüfen: Für jedes Tool dokumentieren, wo Daten gespeichert und verarbeitet werden und ob eine Bekanntgabe ins Ausland erfolgt.
  4. Verträge sichern: Auftragsbearbeitungsverträge abschliessen und Trainingsnutzung der Eingaben vertraglich ausschliessen.
  5. Datenschutz-Folgenabschätzung durchführen: Bei Anwendungen mit hohem Risiko, etwa in HR oder Gesundheit, vor dem Einsatz.
  6. Transparenz herstellen: Mitarbeitende, Kunden und Bewerbende über den KI-Einsatz informieren.
  7. Menschliche Kontrolle festlegen: Bestimmen, welche Entscheidungen eine Prüfung durch Menschen erfordern.
  8. Protokollierung einrichten: Nutzung, Zugriffe und Änderungen nachvollziehbar dokumentieren.
  9. EU-Bezug prüfen: Klären, ob Systeme oder Ergebnisse in der EU genutzt werden und der AI Act anwendbar ist.
  10. Richtlinie schulen: Eine interne KI-Richtlinie verabschieden und Mitarbeitende regelmässig schulen.

Unsere Einschätzung

Die Schweiz wählt einen pragmatischen Weg: kein Spezialgesetz, sondern konsequente Anwendung des bestehenden Rechts, ergänzt durch die Umsetzung der KI-Konvention. Für Unternehmen bedeutet das nicht weniger Verantwortung, sondern mehr Eigenverantwortung. Das DSG gilt heute, und die Pflichten zu Transparenz, Datensicherheit und Nachvollziehbarkeit gelten heute.

Aus unserer Sicht liegt das grösste Risiko im Verarbeitungsort. Sobald vertrauliche Daten in Systeme ausländischer Anbieter fliessen, werden Kontrolle und Nachweisbarkeit aufwendig. Deshalb haben wir Nectos so gebaut, dass sämtliche Daten ausschliesslich in der Schweiz gespeichert und verarbeitet und nie zum Training von Modellen verwendet werden.

Die kommenden Regeln werden Transparenz, Aufsicht und Risikoabschätzung verlangen. Wer heute Audit-Trails, Zugriffssteuerung und klare Verträge einführt, erfüllt nicht nur das geltende Recht, sondern ist auch auf die Vernehmlassungsvorlage von 2027 vorbereitet.

Adopt

Ein KI-Arbeitsbereich für den Schweizer Rechtsrahmen

Nectos ist ein souveräner Schweizer KI-Arbeitsbereich für Fachleute, Teams und Unternehmen. Alle Daten bleiben auf Schweizer Servern und werden gemäss nDSG und DSGVO verarbeitet. Zu den Funktionen gehören privater KI-Chat, Dokumentenanalyse, persönliche und geteilte Wissensdatenbanken, Meeting-Transkription, Prompt-Anonymisierung, umfassende Audit-Trails sowie Admin- und Zugriffssteuerung. Ein Auftragsbearbeitungsvertrag (DPA) ist auf Anfrage erhältlich.

Nectos

Die Abonnements beginnen mit Starter für CHF 29.90 pro Monat und Nutzer, Pro kostet CHF 49.90 und Pro+ CHF 99.90 pro Monat und Nutzer. Eine Testphase steht zur Verfügung. Für erhöhte Anforderungen ergänzt das Sicherheits- & Compliance-Paket die Pläne. Organisationen mit eigener Infrastruktur wählen das BYOC- oder On-Premise-Deployment, mit Support ab CHF 490 pro Monat. Details zur Datenresidenz zeigt die Seite zur Schweizer Souveränität.

Häufige Fragen

Gibt es in der Schweiz ein KI-Gesetz?

Nein, ein übergreifendes KI-Gesetz existiert derzeit nicht. Der Bundesrat hat jedoch beschlossen, die KI-Konvention des Europarats umzusetzen. Die Vernehmlassungsvorlage ist für den Frühling 2027 vorgesehen.

Ist der Einsatz von ChatGPT am Arbeitsplatz in der Schweiz erlaubt?

Kein Gesetz verbietet KI-Chat-Assistenten generell. Werden Personendaten eingegeben, gilt jedoch das DSG mit seinen Pflichten zu Transparenz, Datensicherheit und grenzüberschreitender Datenbekanntgabe. Unternehmen sollten in einer internen Richtlinie festlegen, welche Tools und Daten zulässig sind.

Gilt der EU AI Act für Schweizer Unternehmen?

Ja, wenn ein Schweizer Unternehmen KI-Systeme in der EU anbietet oder deren Ergebnisse in der EU verwendet werden sollen. Seit 2. August 2026 sind unter anderem die Verbote und Transparenzpflichten durchsetzbar. Die Hochrisiko-Pflichten nach Anhang III gelten nach dem Digital Omnibus ab 2. Dezember 2027.

Wer überwacht den Datenschutz bei KI in der Schweiz?

Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er stuft das DSG als direkt anwendbar auf KI-gestützte Datenbearbeitungen ein. Welche Behörde künftig spezifische KI-Aufsichtsaufgaben übernimmt, regelt die kommende Gesetzgebung.

Was sollten Unternehmen jetzt tun?

Ein Inventar der KI-Tools erstellen, Datenkategorien klassifizieren, Verarbeitungsorte und Verträge prüfen und bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen. Diese Schritte erfüllen das geltende Recht und bereiten auf die kommende Regulierung vor.

Quellen

Empfehlungen