Die EU hat im Mai die Fristen før Hochrisiko-KI um bis zu 16 Monate verschoben. Før Schweizer KMU klingt das nach Verschnaufpause. TatSächlich ist es die letzte saubere Vorbereitungszeit, bevor die Re...
Was sich konkret ändert
Nach Druck aus der europäischen Industrie haben sich Rat und Parlament der EU diesen Monat auf das sogenannte Omnibus-Paket geeinigt. Wie Steiger Legal in einer aktuellen Analyse aufzeigt, gelten die Regeln für eigenständige Hochrisiko-KI-Systeme neu erst ab Dezember 2027. Produktintegrierte Systeme bekommen sogar bis August 2028 Zeit. Zusätzlich werden kleine und mittlere Unternehmen bei Bussen und externen Audits bewusst entlastet. Die Privilegien gelten neu auch für «Small Mid-Caps» mit bis zu 200 Millionen Euro Umsatz. Das klingt nach Erleichterung. Es ist auch eine, aber nur, wenn Sie die Zeit nutzen.
Der EU AI Act folgt dem Marktortprinzip. Sobald Ihr KMU ein KI-System in der EU vertreibt, anbietet oder dort Wirkung entfaltet, fallen Sie unter die Verordnung. Die Schweiz selbst hat noch kein eigenes KI-Gesetz. Der Bundesrat will bis Ende 2026 eine Vernehmlassungsvorlage liefern, die sich faktisch am AI Act orientiert. Wer auf eine Schweizer Sonderlösung wartet, plant gegen die Realität.
Die KMU-Lage daneben
Die Verschnaufpause kommt nicht zufällig. Die Lage der Schweizer KMU ist ohnehin angespannt. Der aktuelle Raiffeisen KMU-PMI zeigt, dass die Geschäftsaktivität zwar noch wächst, das Momentum aber spürbar nachlässt. Mehr als zwei Drittel der befragten KMU melden steigende Einkaufspreise, ohne diese im Markt weitergeben zu können.
Gleichzeitig zeigt die Moneycab-Auswertung der OBT KMU-Studie 2026, dass eine grosse Mehrheit der Schweizer KMU KI inzwischen explizit auf der Agenda hat. Sie investieren also bereits in Anwendungen, deren Spielregeln gerade jetzt definiert werden. Genau darum ist die Frist keine Pause, sondern Vorbereitung.
Was die Schweizer Behörden parallel tun
Der Bundesrat hat sich diesen Monat den Umsetzungsstand der nationalen Cyberstrategie vorlegen lassen. Wie das WBF in seiner Mitteilung schreibt, geht es ausdrücklich auch um den Umgang mit KI-Risiken. Die Fachplattform SwissCybersecurity.net berichtet von rund 222 gemeldeten Vorfällen seit Einführung der Meldepflicht für kritische Infrastrukturen. KMU sind in vier von zehn Fällen betroffen. Compliance bei KI und Cybersicherheit lassen sich nicht mehr sauber trennen. Wer KI einführt, betreibt damit zugleich Datenverarbeitung mit haftungsrelevanten Folgen.
Erstens, KI-Inventar. Listen Sie schriftlich auf, welche KI-Systeme in Ihrem Unternehmen produktiv im Einsatz sind. Inklusive Schatten-IT und Tools, die einzelne Teams selbständig gebucht haben. Ohne Inventar gibt es kein Risikoprofil.
Zweitens, Governance leichtgewichtig aufsetzen. Sie brauchen keine eigene Compliance-Abteilung. Sie brauchen eine klare Zuständigkeit auf Geschäftsleitungsebene, eine einseitige interne Richtlinie und einen halbjährlichen Review. Das reicht für die meisten KMU als Fundament.
Drittens, Lieferkette prüfen. Ihre Software-Lieferanten setzen KI in ihren Produkten ein. Klären Sie vertraglich, wer welche Rolle einnimmt, also Anbieter, Anwender oder Importeur. Sonst übernehmen Sie unbemerkt fremde Pflichten.
Die EU schenkt Ihnen 16 Monate. Behandeln Sie diese Frist wie ein Projektbudget. Wer jetzt Inventar, Governance und Lieferketten ordnet, ist im Dezember 2027 nicht øberrascht, sondern bereit.
Quellen
Weiterführende Beiträge