Rechtliche Herausforderungen bei KI-Einführungen

Künstliche Intelligenz (KI) wird in Schweizer Unternehmen längst produktiv eingesetzt und verändert Datenflüsse, Entscheidungsprozesse und Verantwortlichkeiten. Rechtlich entscheidend ist daher das Zusammenspiel von Datenschutzgesetz (DSG), Vertrags- und Haftungsrecht, branchenspezifischer Aufsicht sowie – bei EU-Bezug – Datenschutzgrundverordnung (DSGVO) und Artificial Intelligence Act (AI Act).


Ein umfassendes KI-Gesetz existiert in der Schweiz noch nicht. Der Bundesrat hat jedoch beschlossen, die KI-Konvention des Europarats zu ratifizieren; das Bundesamt für Justiz erarbeitet hierzu bis Ende 2026 eine Vernehmlassungsvorlage.1 Zugleich erklärt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) das DSG als direkt anwendbar auf KI-gestützte Datenbearbeitungen.2

Rechtliche Kernfragen

Die erste Kernfrage lautet: Welches Regelwerk greift? Das DSG gilt für Sachverhalte mit Wirkung in der Schweiz. Werden Personen in der EU Waren oder Dienstleistungen angeboten, kann auch die DSGVO anwendbar sein. Bei EU-Marktzugang kann zudem der risikobasierte AI Act relevant sein. Seit 2025 gelten erste Verbote sowie Pflichten zur Förderung der KI-Kompetenz (AI Literacy) und für General-Purpose AI (GPAI)-Modelle. Weitere Verpflichtungen treten gestaffelt in Kraft.3

Die zweite Kernfrage betrifft Datenschutz und automatisierte Entscheidungen. Der EDÖB fordert bei KI-Systemen Transparenz über Zweck, Funktionsweise und Datenquellen. Betroffene sollen erkennen können, ob sie mit einer Maschine interagieren, Eingaben weiterverwendet werden oder eine automatisierte Einzelentscheidung vorliegt. 2 Bei hohen Risiken ist nach DSG und DSGVO eine Datenschutz-Folgenabschätzung (DSFA) erforderlich, etwa bei umfangreichen oder besonders sensiblen Datenbearbeitungen.2


Die dritte Kernfrage betrifft Haftung und Vertragsgestaltung. KI verschiebt Verantwortlichkeit nicht auf das System; das bestehende Zivil- und Haftungsrecht bleibt anwendbar, auch wenn Beweisführung und Kausalitätsnachweis komplex sein können.4 Praktisch folgt daraus: Verträge sollten insbesondere Leistungsbeschreibung, Datenquellen, IP-Rechte, Sicherheitsstandards, Auditrechte, Unterauftragsbearbeiter, Incident-Pflichten und die Haftungsallokation regeln.

KI wirft auch Outsourcing- und Cloud-Fragen auf. Werden KI-Anfragen extern bearbeitet, können Daten an KI-, Plattform- oder Cloud-Anbieter übermittelt werden. Cloud-Nutzung entbindet den Verantwortlichen nicht von seiner datenschutzrechtlichen Verantwortung. Sicherheitsmassnahmen, Unterauftragsbearbeiter und Auslandtransfers sind vertraglich und organisatorisch zu regeln. Lassen sich erforderliche Schutzmassnahmen nicht umsetzen, empfiehlt der EDÖB einen alternativen Dienst oder den Verzicht auf die Auslagerung.5 Für Finanzinstitute konkretisiert die FINMA diese Anforderungen insbesondere hinsichtlich Governance, Risikoklassifizierung, Datenqualität, Überwachung und Erklärbarkeit wesentlicher KI-Anwendungen.6

Die vierte Kernfrage betrifft operationelle Risiken, Erklärbarkeit und Auditierbarkeit. Technisch leistungsfähige Systeme sind rechtlich nicht automatisch zulässig. Die FINMA benennt mangelnde Robustheit, Korrektheit, Bias und Erklärbarkeit als operationelle Risiken.6 Für Hochrisiko-KI-Systeme schreibt der AI Act unter anderem Risikomanagement, hochwertige Datensätze, technische Dokumentation, Rückverfolgbarkeit, Human Oversight, Genauigkeit, Robustheit und Cybersicherheit vor.3

Schliesslich sind IP-Fragen Teil jeder frühen Due-Diligence. KI-generierte Ergebnisse sind nach schweizerischem Urheberrecht geschützt, soweit eine menschliche geistige Schöpfung mit individuellem Charakter vorliegt. Der Bundesrat verfolgt einen sektorbezogenen Regulierungsansatz und hat das Eidgenössische Institut für Geistiges Eigentum (IGE) mit Vorschlägen zur Regelung urheberrechtlich geschützter Trainingsdaten beauftragt.7 Der AI Act verpflichtet GPAI-Anbieter insbesondere zu technischer Dokumentation, einer Strategie zur Einhaltung des EU-Urheberrechts sowie zur Veröffentlichung einer detaillierten Zusammenfassung der für das Training verwendeten Inhalte.8 Wer fremde Inhalte für Training, Fine-Tuning oder RAG einsetzt, sollte daher vor dem Go-Live Rechtekette, Nutzungsarten und erforderliche Lizenzen sowie die Rechte an generierten Outputs klären.

Praxisempfehlungen und Fazit

IT-Verantwortliche sollten KI-Einführungen als Governance-Projekt organisieren: mit Bestandsaufnahme, Rechts- und Risikoanalyse, gegebenenfalls DSFA, Vertrags- und Transferprüfung, klaren Human-Oversight-Rollen sowie definierten Test-, Freigabe- und Review-Prozessen. Die rechtliche Herausforderung liegt dabei weniger in fehlender Regulierung als in der Transparenz darüber, welche KI-Systeme wie, wo und zu welchem Zweck eingesetzt werden. Entscheidend sind klare Verantwortlichkeiten, belastbare Verträge, dokumentierte Risikoabwägungen und überprüfbare Daten- und Modellqualität.