EU AI ACT

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Wie man diesen Leitfaden benutzt

Dieser Leitfaden ist kein Kommentar zum EU AI Act. Er ist ein Arbeitsinstrument.

Er enthält Entscheidungsbäume, Vertragskommentare, Branchenprofile und eine Liste typischer Fehler aus der Praxis – Punkte, die in vielen Leitfäden unterbelichtet bleiben, weil sie konkrete Festlegungen erfordern. Aus der Praxis heraus treffen wir diese Festlegungen.

1. Bin ich betroffen? – Entscheidungslogik

Stopp. Bevor Sie weiterlesen: Beantworten Sie die folgenden Fragen der Reihe nach. Sie ersparen sich damit den Rest des Leitfadens – oder wissen genau, welche Teile relevant sind.

1.1 Der Schnelltest in vier Schritten

1.2 Rollen im Überblick

1.3 Risikoklassen – was sie für Sie bedeuten

Als didaktisches Modell werden oft „vier Risikoklassen" genannt. Das ist eine Vereinfachung – die gesetzliche Systematik umfasst zusätzlich GPAI-Regeln und rollenspezifische Pflichten, und „Minimal Risk" ist keine definierte gesetzliche Klasse. Wichtig ausserdem: Hochrisiko-KI entsteht auf zwei Wegen – als produktbezogene Sicherheitskomponente über Art. 6 Abs. 1 + Anhang I (z. B. Medizinprodukte, Maschinen), oder über die eigenständigen Anwendungsfälle des Anhang III. Entscheidend ist nicht, welche Technologie Sie einsetzen, sondern wofür – und in welcher Rolle.

2. Was wird von mir verlangt?

Dieser Abschnitt ist nach Rolle strukturiert. Lesen Sie nur den für Sie relevanten Teil.

2.1 Provider-Pflichten (Sie entwickeln oder vermarkten KI)

Technische Dokumentation

Was Sie haben müssen – nicht als Selbstzweck, sondern weil EU-Kunden es verlangen:

AI System Card: Zweck, Funktionsweise, Trainingsdaten, Grenzen, bekannte Risiken, Einsatzbedingungen

Model Card: Architektur, Performance-Metriken, Bias-Tests, Evaluationsverfahren

Architekturübersicht: Schnittstellen, Datenflüsse, Abhängigkeiten von Drittkomponenten (Cloud, APIs)

Risikomanagement-Dokumentation: Identifizierte Risiken, Massnahmen, Testprotokolle

Logging und Monitoring

Für High-Risk-KI gesetzlich vorgeschrieben; für alle anderen von EU-Kunden faktisch verlangt:

Eine dem Zweck und Risiko angemessene automatische Ereignisprotokollierung; welche Eingaben, Ausgaben, Statusinformationen und Entscheidungen gespeichert werden, ist rechts- und risikobasiert festzulegen (auch mit Blick auf Datenschutz und Datenminimierung)

Performance-Monitoring muss nachweisbar sein

Anomalien müssen erkennbar und eskalierbar sein

Aufbewahrungspflicht: Provider und Deployer von Hochrisiko-KI müssen die automatisch erzeugten Logs, soweit diese ihrer Kontrolle unterliegen, grundsätzlich mindestens sechs Monate aufbewahren, sofern kein anderes anwendbares Recht eine abweichende Frist vorsieht (Art. 19 für Provider, Art. 26 Abs. 6 für Deployer)

Human Oversight

Das ist der Punkt, bei dem viele KMU zu wenig konkret sind. 'Human Oversight' bedeutet nicht, dass ein Mensch dabei sitzt – es bedeutet, dass ein Mensch die KI-Entscheidung korrigieren oder stoppen kann, bevor sie Wirkung entfaltet.

Freigabeprozesse für KI-Entscheidungen mit hoher Auswirkung dokumentieren

Eskalationspfade definieren und testen

Zuständigkeiten namentlich zuordnen, nicht nur rollenbasiert

2.2 Deployer-Pflichten (Sie setzen fremde KI ein)

Als Deployer tragen Sie weniger Pflichten als ein Provider – aber mehr als die meisten KMU annehmen.

Einsatz gemäss Anweisungen: Sie müssen die Nutzungsbedingungen des Providers einhalten. Abweichungen können Sie zum Provider machen.

Zweckbindung: KI-Systeme dürfen nicht für andere als die vorgesehenen Zwecke eingesetzt werden.

Mitarbeiterinformation: Betroffene Mitarbeitende müssen informiert werden, wenn KI Entscheidungen über sie trifft.

Kundentransparenz: Kunden müssen wissen, wenn sie mit einem KI-System interagieren.

Incident-Meldung: Schwerwiegende Vorfälle müssen an den Provider und – je nach Setup – an zuständige Stellen kommuniziert werden.

2.3 Lieferkettenakteur-Pflichten

Wenn Sie Daten, Modelle oder Infrastruktur für EU-Kunden bereitstellen, die selbst KI-Systeme betreiben:

Data Governance: Herkunft, Qualität und Nutzungsrechte Ihrer Daten müssen nachvollziehbar sein

Bias-Prüfung: Wenn Ihre Daten in KI-Entscheidungen einfliessen, erwarten EU-Kunden Nachweise zur Verzerrungskontrolle

Incident-Kommunikation: Wenn ein Datenproblem einen Vorfall beim Kunden auslöst, müssen Sie schnell und strukturiert informieren können

Subdienstleister-Transparenz: Wenn Sie selbst auf Cloud-Provider oder Drittmodelle angewiesen sind, müssen Sie das offenlegen und in Ihre Governance einbinden

3. Was können Sie von Ihren EU-Kunden verlangen?

Dieser Abschnitt ist andernorts oft unterbelichtet. Viele Compliance-Dokumente behandeln Schweizer KMU vor allem als passive Empfänger von Anforderungen. Das ist falsch. Sie haben eigene Rechte – und die müssen Sie aktiv einfordern.

3.1 Informationen, die Sie brauchen – und verlangen können

Um Ihren Teil der AI-Act-Compliance zu erfüllen, brauchen Sie von Ihren EU-Kunden folgende Informationen. Wenn diese nicht geliefert werden, können Sie Ihre eigenen Pflichten nicht erfüllen – und das ist ein Vertragsrisiko für den Kunden, nicht für Sie.

3.2 Vertragsklauseln: Was ist akzeptabel, was nicht

Hier folgen typische Klauseltypen aus der Praxis – mit einer klaren Einschätzung, wo die Verhandlungslinie liegt.

Audit-Klauseln

Flow-Down-Klauseln (Weitergabe an Ihre Subdienstleister)

Incident-Meldepflichten

4. Die fünf häufigsten Fehler in der Praxis

Diese Fehler wiederholen sich in Mandantengesprächen regelmässig. Sie kosten Zeit, Geld und Verhandlungsposition.

Fehler 1: Rolle pauschal statt use-case-spezifisch bestimmen

Viele KMU entscheiden einmalig: «Wir sind Deployer.» Das ist falsch. Die Rolle hängt vom konkreten Use Case ab. Dasselbe Unternehmen kann für Produkt A Deployer sein und für Produkt B – weil es dort unter eigenem Namen vermarktet – Provider.

Fehler 2: Compliance-Dokumentation als einmalige Aufgabe behandeln

Die AI System Card, die Rollenmatrix und das Risikomanagement-Dokument werden erstellt – und dann vergessen. EU-Kunden merken das bei der ersten Nachfrage: veraltete Dokumente sind schlechter als gar keine, weil sie Vertrauen zerstören.

Fehler 3: Audit-Rechten pauschal zustimmen

Unter Zeitdruck werden Vertragsanhänge mit unbeschränkten Audit-Rechten unterschrieben. Das erzeugt operative Dauerbelastung und ist rechtlich riskant, weil Betriebsgeheimnisse kaum mehr schützbar sind.

Fehler 4: Over-Compliance aus Unsicherheit

Das Gegenteil von Fehler 3: Manche KMU implementieren High-Risk-Compliance-Prozesse für Use Cases, die klar in die Kategorie «Minimal Risk» fallen – weil sie nicht sicher sind und lieber zu viel tun. Das kostet Ressourcen und macht die eigene Dokumentation unglaubwürdig, weil alles gleich behandelt wird.

Fehler 5: Lieferkette nicht einbinden

Das eigene KI-Governance-Konzept ist erstellt – aber der Cloud-Provider, der das Modell hostet, der Annotationsdienstleister und die API, die das Modell antreibt, sind nicht eingebunden. EU-Kunden wollen End-to-End-Nachweise. Wenn Ihre Subdienstleister nicht auskunftsfähig sind, sind Sie es auch nicht.

5. Branchenprofile: Was bedeutet das konkret für Sie?

Abstrakte Regulierung wird erst nützlich, wenn sie auf konkrete Situationen angewendet wird. Hier sind vier Profile, die typische Schweizer KMU-Konstellationen abbilden.

Profil A: Schweizer SaaS-Anbieter mit KI-Funktion, EU-Kunden im Mittelstand

Profil B: Schweizer IT-Dienstleister, der KI-Tools für EU-Finanzinstitute integriert

Profil C: Schweizer Datenspezialist, der Trainingsdaten für EU-KI-Systeme liefert

Profil D: Schweizer Unternehmen, das intern KI-Tools (z.B. LLMs) einsetzt und EU-Kunden hat

6. Wenn AI Act, NIS2 und DORA gleichzeitig gelten

Für Schweizer KMU, die EU-Kunden im Finanzsektor oder in kritischen Infrastrukturen bedienen, sind häufig alle drei Regime gleichzeitig relevant. Das ist kein Zufall: Sie adressieren verschiedene Aspekte derselben digitalen Wertschöpfungskette.

7. Was Sie jetzt tun – priorisiert

Nicht alles ist gleich dringend. Hier ist die Priorisierung nach Aufwand und Wirkung:

Kontakt & weitere Informationen