Tag 23: Gilt der EU AI Act für Schweizer KI-Projekte?

Marc

Willkommen zu Tag 23 des AI Business Specialist an der Graduate School of Applied Technology and Management in Zürich. Heute ist Samstag, der 17. Oktober 2026. Die Klasse trifft sich von 08:30 bis 16:30 Uhr im Launchspace in Zürich Altstetten, zweiter Stock. Es ist der letzte ganze Präsenztag vor dem Abschlusstag. Das Thema: Recht und EU AI Act, genauer der Vertiefungstag. Der Dozent ist Thomas Kuster. Er ist Partner bei der Kanzlei LEXR, leitet dort das Team für Tech, Verträge und geistiges Eigentum und ist Rechtsanwalt und Notar im Kanton St. Gallen. Für die Kohorte ist er neu, er unterrichtet nur diesen einen Tag.

Stefan

Ich würde gleich einordnen, wer da im Raum sitzt. Es sind 23 Teilnehmende, Fachkräfte und Führungskräfte. Es sind weder Juristinnen und Juristen noch Entwicklerinnen und Entwickler. Das prägt den ganzen Tag. Niemand soll nachher Anwalt sein. Aber jede und jeder soll ein eigenes AI Projekt rechtlich einordnen und die Pflichten daraus ableiten können. So steht es im Projektauftrag der Kurs-App. Und ein Hinweis vorweg, der für diese Folge genauso gilt wie für alle Unterlagen: Das hier ist keine Rechtsauskunft. Wir erklären, wie man die richtigen Fragen stellt. Der Rechtsstand ist der vom 8. Oktober 2026.

Marc

Der Tag knüpft an zwei Stellen an. Gestern Abend, an Tag 22, hat Marc Ruef online Cyber Security und Threat Modeling für KI Systeme unterrichtet, ausdrücklich ohne Rechtsteil. Er hat den Übergang zu Thomas Kuster angekündigt. Die zweite Anknüpfung liegt länger zurück. An Tag 20 hat Thomas Wengi über Compliance Monitoring gesprochen. Dabei sind juristische Fragen aufgekommen, zu grenzüberschreitenden Datenflüssen, zu Protokollfunktionen, die plötzlich einfach laufen, und zum Monitoring selbst. Er hat sie notiert und ausdrücklich auf diesen Rechtstag verwiesen. Heute werden diese Fragen eingelöst.

Stefan

Dazu gehört auch der Fall, der den Kurs seit Tag 9 begleitet: ISA Desk. Das ist ein eingekaufter KI Assistent einer Verbandsgeschäftsstelle. Der vierte Nachtrag springt in den Juni 2027. Der Vorstand verlangt bis Mittwoch, den 30. Juni, ein Verzeichnis aller KI Lösungen im Verband, und zwar mit einer rechtlichen Einordnung je Lösung. Der Projektleiter Beat Hofstetter hat acht Zeilen im Entwurf. Die Spalten zur Rechtslage sind leer. Und die Geschäftsführerin Andrea Bühler stellt die Frage, die in vielen Schweizer Unternehmen gestellt wird: Betrifft uns der EU AI Act überhaupt? Wir sind ein Schweizer Verband.

Marc

Genau diese Frage ist die erste Lücke. Ich lese die Unterlagen mit dem Blick auf das, was die Klasse schon hat. Recht kam an sieben Tagen in einem eigenen Block vor. Die Risikopyramide war an Tag 4 eine ganze Lektion, mit Übung am eigenen Projekt. An Tag 2 hat jede Person schon einmal Rolle, Risikoklasse und nächste Frist für das eigene Projekt notiert. An Tag 5 und 6 ging es um das Datenschutzgesetz an Fällen des Datenschutzbeauftragten. An Tag 10 kamen Anbieter und Betreiber dran, mit dem Satz, man solle die Einordnung an Tag 23 vertiefen. Und an Tag 17 stand der Grundsatz: Der Rechtsstand ist eine Annahme mit Datum. Deshalb beginnt der vorgeschlagene Tagesablauf nicht mit einem Vortrag über die Pyramide, sondern mit einem Quiz.

Stefan

Das Briefing der Kursleitung zählt auf, was dafür offen blieb. Erstens: Gilt der EU AI Act für ein Schweizer Unternehmen überhaupt? Das wurde zweimal auf heute verschoben. Zweitens: die Ausnahme in Artikel 6 Absatz 3. Drittens: die Datenschutzfolgenabschätzung als Methode, bisher nur als Checklistenfrage. Viertens: der Vergleich zwischen dem Schweizer Datenschutzgesetz und der europäischen Datenschutz-Grundverordnung. Fünftens: die Haftung. Air Canada kam an Tag 11 vor, das Schweizer Recht dazu nie. Und sechstens: Swissmedic und die KESB. Zur KESB sagt die Kursleitung offen, dass sie keine belastbare Quelle gefunden hat. Dort hofft sie auf die Praxis von Thomas Kuster.

Marc

Wichtig ist uns folgender Hinweis. Alles in diesem Paket ist ein Vorschlag. Lektionsplan, Folien, Werkstätten, auch der Ablauf, den ich gleich skizziere. Thomas Kuster ist frei, den Tag so zu gestalten, wie er es möchte. Vorgegeben sind nur fünf Pflichtthemen: der EU AI Act im Detail, der Fahrplan seit dem Digital Omnibus, das Schweizer Datenschutzgesetz gegenüber der europäischen Regelung, die Branchenregulierung mit FINMA, Swissmedic und KESB, und die Einordnung des eigenen Projekts. Wenn wir also sagen, was am Vormittag oder am Nachmittag geschieht, dann ist das der Plan der Kursleitung. Wie der Dozent es am Ende gewichtet, entscheidet er selbst.

Stefan

Und dann gibt es einen Kernsatz, der als roter Faden vorgeschlagen wird. Ich sage ihn langsam, weil er den ganzen Tag trägt: Die Risikoklasse sagt, wie viel der EU AI Act verlangt. Das Datenschutzgesetz verlangt immer etwas. Der Grund steht im Briefing. Die Projekte der Kohorte sind interne Assistenten, Auswertungen, Chatbots und Automatisierungen in Schweizer Unternehmen. Für die allermeisten davon ist nicht die Hochrisiko Liste das Thema. Es sind das Datenschutzgesetz, die Transparenzpflichten, die Branche und die Verträge mit den Anbietern. Für die wenigen Hochrisiko Projekte ist der Tag umso wichtiger.

Marc

Dazu kommt der Prüfungsbezug, den man nicht unterschätzen sollte. Heute wird die Handlungskompetenz E3 vertieft, Compliance Anforderungen überwachen. Sie ist laut Kurs-App im Prüfungsteil 2 am 30. Oktober prüfbar und in den Critical Incidents von Prüfungsteil 3. Die Wochenaufgabe 5 ist morgen um 18:00 Uhr fällig. Und die Wochenaufgabe 6, Verbesserung, Security, Recht und Abschluss, setzt den Stoff von heute direkt voraus. Wer heute ein sauber begründetes Einordnungsblatt für sein Projekt mitnimmt, hat also gleich mehrfach etwas davon.

Stefan

Beginnen wir dort, wo auch die Einordnung beginnt, und zwar nicht bei der Pyramide. Die erste Frage lautet: Gilt der EU AI Act für uns? Das entscheidet Artikel 2. Dort stehen drei Wege, auf denen eine Schweizer Firma erfasst werden kann. Erstens als Anbieter, der ein KI System in der EU in Verkehr bringt, egal wo er sitzt. Zweitens als Betreiber, der in der EU niedergelassen ist, also etwa mit einer Tochter oder Filiale. Und drittens als Anbieter oder Betreiber aus einem Drittstaat wie der Schweiz, wenn das Ergebnis des Systems in der EU verwendet wird. Das ist Artikel 2 Absatz 1 Buchstabe c.

Marc

Der dritte Weg ist der heikelste, und das Themenpaper sagt auch warum. Erwägungsgrund 22 nennt als Beispiel eine Verarbeitung, die ausserhalb der EU stattfindet, deren Ergebnis aber in die EU zurückgeliefert wird. Der Gesetzgeber wollte damit Umgehungen verhindern. Was «in der EU verwendet» aber im Einzelfall heisst, hat die Kommission bisher nicht in Leitlinien geklärt. Das ist keine Randnotiz. Es ist genau die Stelle, an der die Praxis eines Anwalts gebraucht wird. Die Kursleitung hat bei dieser Folie ausdrücklich um Beispiele aus der Praxis gebeten, aus der Exportindustrie, von Konzernen mit EU Töchtern und von Dienstleistern mit Kundschaft in der EU.

Stefan

Der Fall ISA Desk zeigt gut, wie unterschiedlich die Antwort je Lösung ausfällt. ISA Desk selbst beantwortet Anfragen von Kontaktpersonen der 1'850 Mitgliedfirmen, alle mit Sitz in der Schweiz. Die Antworten werden in der Schweiz verwendet. Die Einschätzung der Kursleitung lautet: Für den Verband als Betreiber gilt der EU AI Act hier wohl nicht. Das ist eine Einschätzung, die der Dozent prüfen und korrigieren soll. Bemerkenswert ist etwas anderes. In der Fallakte vom Herbst stand «ohne Hochrisiko Pflichten», und Beat Hofstetter sagt im Nachtrag selbst: Das hat damals jemand so hingeschrieben, ob es stimmt, hat niemand geprüft.

Marc

Die Kursleitung sagt dazu sinngemäss: Das Ergebnis mag stimmen, aber die Begründung war falsch. Entscheidend ist nicht, dass ein Werkzeug intern ist und ein Mensch freigibt. Entscheidend sind Geltungsbereich und Anhang III. Ich finde das einen schönen Punkt für alle, die im Betrieb schnell «intern, also harmlos» sagen. Das ist eine Behauptung, keine Herleitung. Und bei einem Verzeichnis, das ein Vorstand liest, zählt die Herleitung.

Stefan

Ganz anders sieht es bei der Kursberatung aus, dem Chatbot Kursi auf der Website. Er begrüsst mit «Hallo, ich bin Kursi, deine Kursberatung». Rund 8 Prozent der Kursteilnehmenden 2026 kamen aus Deutschland und Österreich. Damit wird das Ergebnis des Systems in der EU verwendet, und der dritte Weg in Artikel 2 wird zu einer ernsthaften Frage. Dazu kommt die Datenschutz-Grundverordnung der EU. Nach ihrem Artikel 3 Absatz 2 kann sie auch für Schweizer Unternehmen gelten, die Personen in der EU Angebote machen oder ihr Verhalten beobachten. Die Kursleitung nennt Kursi die interessanteste Lösung im Verzeichnis, obwohl sie harmlos aussieht.

Marc

Ich ergänze die nüchternen Zahlen aus dem Fall. Die Gespräche mit Kursi werden zwölf Monate gespeichert. Und sie werden, so steht es im Vertrag der Agentur mit ihrem Modellanbieter, zur Verbesserung der Dienste verwendet. Eine Datenschutzerklärung zum Bot gibt es nicht, nur die allgemeine der Website von 2021. Wer einen Kurs bucht, tut das auf der Website, nicht im Bot. Wer ist da Betreiber, der Verband oder die Webagentur? Das ist eine offene Frage aus dem Nachtrag, und sie steht ausdrücklich auf der Liste für heute.

Stefan

Zweite Frage: Ist es überhaupt ein KI System? Artikel 3 Nummer 1 beschreibt ein maschinengestütztes System, das aus Eingaben ableitet, wie es Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Die Kommission hat am 6. Februar 2025 Leitlinien dazu veröffentlicht. Sie nehmen einfache Datenverarbeitung, klassische mathematische Optimierung wie die lineare Regression und klassische Heuristiken ausdrücklich aus. Die Leitlinien sind nicht verbindlich. Als Grenzfall im Verzeichnis dient die Belegerkennung der Buchhaltungssoftware, die Rechnungen einliest und Konten vorschlägt. Ist eine Kontierungshilfe ein KI System? Das ist eine gute Frage für die Gruppenarbeit.

Marc

Dritte Frage: Welche Rolle habe ich? Anbieter ist, wer ein KI System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Betreiber ist, wer es in eigener Verantwortung verwendet. Die meisten in der Kohorte sind Betreiber eingekaufter Lösungen. Beim Anbieter von ISA Desk steht in den Unterlagen, er sei «Provider» und der Verband «Deployer». Der externe IT Partner Tobias Kern sagt im Fall, er könne nicht beurteilen, welche Rolle der Verband rechtlich hat. Technisch sei alles dokumentiert. Auch das ist typisch: Die technische Dokumentation beantwortet die Rollenfrage nicht.

Stefan

Und dann kommt die Stelle, die ich die Anbieter Falle nennen würde. Nach Artikel 25 wird ein Betreiber selbst zum Anbieter, wenn er ein Hochrisikosystem unter eigenem Namen oder eigener Marke anbietet, wenn er es wesentlich verändert und es hochriskant bleibt, oder wenn er den Zweck so ändert, dass es hochriskant wird. Im Fall hat Mirjam Lüthi eine Idee. Der Verband könnte ein Bewerbungswerkzeug später den Mitgliedfirmen unter dem Namen des Verbands anbieten, als «ISA Talent». Viele kleine Mitgliedfirmen hätten Mühe, Lernende zu finden. Das ist freundlich gedacht. Rechtlich würde der Verband damit nach Artikel 25 Absatz 1 Buchstabe a zum Anbieter eines Hochrisikosystems, mit allen Pflichten. Die Empfehlung der Kursleitung ist deshalb: ISA Talent jetzt nicht, erst nach rechtlicher Klärung der Anbieterrolle.

Marc

Das hat eine Logik, die über den Fall hinausgeht. Ein Verband ist für seine Mitglieder eine Vertrauensinstanz. Wenn er ein Werkzeug anbietet, sieht die Mitgliedfirma den Verbandsnamen, nicht den Anbieter in München. Für die Kundschaft ist der Verband damit der Ansprechpartner. Rechtlich folgt daraus, dass er sich dann auch an dieser Rolle messen lassen muss. Das Themenpaper hält fest, dass eine solche Rolle auch haftungsrechtlich zu klären ist. Die Frage geht ausdrücklich an den Dozenten.

Stefan

Vierte Frage: Welche Stufe? Hier wird von oben nach unten geprüft, und die Reihenfolge ist wichtig. Zuerst Artikel 5, die Verbote. Sie gelten seit dem 2. Februar 2025. Genannt werden manipulative Techniken, Social Scoring, ungezieltes Sammeln von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in der Bildung und weitere. Mit dem Digital Omnibus kommen ab dem 2. Dezember 2026 zwei Verbote dazu: Systeme, die nicht einvernehmliche intime Bilder realer Personen erzeugen, und solche, die Material über sexuellen Kindesmissbrauch erzeugen. Dann folgen Anhang I mit Produkten wie Medizinprodukten und Anhang III mit acht Bereichen. Danach Transparenz nach Artikel 50, und was übrig bleibt, ist minimal.

Marc

Ein Detail daraus: Die Stufe wird je Nutzung festgehalten, nicht je Produkt. Dasselbe Sprachmodell kann für Texte minimal sein und für die Bewertung von Bewerbungen hochriskant. Das Themenpaper formuliert es so, dass ein Sprachmodell für Texte zum Hochrisikosystem wird, wenn es Bewerbungen bewertet. Das ist für Projekte in der Praxis relevant, denn ein Werkzeug wandert oft von der ersten Anwendung in eine zweite, die niemand mehr rechtlich angeschaut hat.

Stefan

Anhang III nennt im Bereich Beschäftigung ausdrücklich Systeme, die Bewerbungen analysieren und filtern und Kandidatinnen und Kandidaten bewerten. Hier setzt die Ausnahme in Artikel 6 Absatz 3 an, die an Tag 4 nicht behandelt wurde. Ein System aus Anhang III ist nicht hochriskant, wenn es kein erhebliches Risiko birgt, weil es nur eine eng begrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer abgeschlossenen menschlichen Tätigkeit verbessert, Muster oder Abweichungen erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe übernimmt. Wer sich auf die Ausnahme beruft, muss das nach Artikel 6 Absatz 4 vor dem Inverkehrbringen dokumentieren. Und jetzt die harte Grenze: Bei Profiling natürlicher Personen greift die Ausnahme nie.

Marc

Genau dort liegt die Bewerbungsvorsortierung, und ich nehme die Zahlen aus dem Nachtrag. Der Verband sucht drei Personen für die Auskunft. Auf die Ausschreibung im April kamen 214 Bewerbungen, 31 davon aus Deutschland. Patrick Huber hat zwei Wochen für die Sichtung gebraucht. Das Werkzeug, das er an einer Messe gesehen hat, kostet 290 Franken pro Monat und vergibt einen Passungswert von 0 bis 100. Es erstellt eine Rangliste und bietet eine automatische Absage unter einem Schwellenwert an. Voreinstellung: unter 40 Punkten, Versand sofort. Der Anbieter wirbt mit 70 Prozent weniger Sichtungszeit. Eine Erklärung des Werts sei nicht vorgesehen, das Modell sei zu komplex für eine Erklärung, aber sehr treffsicher. Und Patrick Huber sagt: Wer unter 40 hat, hätte ich auch abgesagt.

Stefan

Dieser Satz ist ein schönes Beispiel dafür, wie ein Score eine menschliche Einschätzung zu ersetzen beginnt. Die Einschätzung der Kursleitung ist klar. Das Sichten und Filtern von Bewerbungen fällt unter Anhang III Ziffer 4 Buchstabe a. Der Passungswert ist ein Profiling, also greift die Ausnahme nicht. Für den Verband als Betreiber in der Schweiz gilt der EU AI Act wohl nicht, für den Anbieter in München schon, und zwar ab dem 2. Dezember 2027. Und warum man diesen Fall ernst nehmen muss, zeigt ein Bericht von Reuters vom 10. Oktober 2018. Amazon hatte seit 2014 ein Modell eingesetzt, das auf Lebensläufen aus zehn Jahren trainiert war. Weil sie überwiegend von Männern stammten, stufte das Modell Hinweise auf Frauen schlechter ein. Amazon stellte das Projekt ein.

Marc

Aus Sicht des Arbeitsmarkts sind zwei Schweizer Regeln dazu wichtig, die nichts mit dem EU AI Act zu tun haben. Artikel 328b des Obligationenrechts erlaubt dem Arbeitgeber nur Daten über Bewerbende zu bearbeiten, soweit sie deren Eignung betreffen oder für den Vertrag nötig sind. Und das Gleichstellungsgesetz verbietet Diskriminierung, auch indirekt, etwa durch Trainingsdaten. Als Referenz dient ein Verfahren in den USA, Mobley gegen Workday. Ein Bewerber klagt gegen den Anbieter einer Recruiting Software, nicht gegen die Arbeitgeber, die sie nutzen. Er sei von über hundert Firmen abgelehnt worden. Im Mai 2025 liess das Gericht eine Sammelklage für Bewerbende ab 40 Jahren vorläufig zu. Ein Urteil gibt es nicht. Der Kern ist aber, dass auch der Anbieter haften kann.

Stefan

Jetzt der Fahrplan, denn hier hat sich seit Juli viel verändert. Der Digital Omnibus, die Verordnung (EU) 2026/1744, ist am 24. Juli 2026 im Amtsblatt erschienen und am 27. Juli 2026 in Kraft getreten. Die Pflichten für Hochrisikosysteme nach Anhang III gelten jetzt ab dem 2. Dezember 2027, für Produkte nach Anhang I ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Für die Kennzeichnung erzeugter Inhalte nach Absatz 2 gibt es für bestehende Systeme eine Übergangsfrist bis zum 2. Dezember 2026. Der Lektionenplan vom August nennt zwei dieser Daten, es fehlen Anhang I, die Übergangsfrist und die neuen Verbote. Die Folien führen den vollständigen Stand.

Marc

Wichtig ist der Gedanke dahinter, den das Themenpaper formuliert. Fristen sind keine Erlaubnis, bis dahin zu warten. Wer heute ein Hochrisikosystem plant, baut es für den Stand von Dezember 2027. Wer heute einen Vertrag mit einem Anbieter schliesst, sollte diesen Stand schon abdecken. Gleichzeitig zeigt der Omnibus, dass sich Pflichten ändern. Artikel 4 zur KI Kompetenz war eine Pflicht, ein bestimmtes Niveau sicherzustellen. Jetzt müssen Anbieter und Betreiber Massnahmen ergreifen, um die Entwicklung der KI Kompetenz zu unterstützen, ohne ein Niveau garantieren zu müssen. Eine Einordnung, die vor Juli gemacht wurde, kann heute falsch sein. Deshalb gehört zu jeder Einordnung ein Datum und eine Person, die beobachtet.

Stefan

Zu Artikel 50 noch ein Punkt, weil er genau die Systeme trifft, die es in Unternehmen am häufigsten gibt. Wer mit Menschen spricht oder Inhalte erzeugt, muss erkennbar machen, dass eine KI im Spiel ist, ausser es ist offensichtlich. Der Direktversand bei ISA Desk zeigt, warum das wichtig wird. Der Anbieter kündigt ihn für Oktober 2027 an, optional. Einfache Auskünfte zu Öffnungszeiten, Fristen und Formularen gehen ohne Freigabe direkt an das Mitglied. Das würde rund 30 Prozent der Freigaben sparen. Die Charta des Verbands sagt aber: Jede Antwort wird freigegeben. Wenn der EU AI Act gilt, wird Artikel 50 Absatz 1 relevant, und die Pflicht liegt beim Anbieter. Nach Schweizer Datenschutzrecht erwartet der Datenschutzbeauftragte ohnehin, dass man weiss, dass man mit einer Maschine spricht.

Marc

Eine Ebene fehlt noch, nämlich das Sprachmodell darunter. Fast alle Projekte bauen auf einem Modell mit allgemeinem Verwendungszweck auf, im EU AI Act GPAI genannt. Seit dem 2. August 2025 gelten für deren Anbieter eigene Pflichten nach Artikel 53: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zum Urheberrecht und eine öffentliche Zusammenfassung der Trainingsinhalte. Die Kommission hat am 10. Juli 2025 einen Verhaltenskodex veröffentlicht. Wer ein Modell nutzt, trägt diese Pflichten nicht, bleibt aber für sein eigenes System verantwortlich. Im Fall ist die Kette dreistufig: ein US Modellanbieter, ein Produktanbieter in Irland und der Verband als Betreiber. Im Februar 2027 wechselte der Produktanbieter das Modell, ohne dass es jemand bemerkte, und die Qualität sank. Für Oktober 2027 kündigt er den nächsten automatischen Wechsel an.

Stefan

Was der Produktanbieter dem Verband vor einem Modellwechsel schuldet, steht nicht im EU AI Act. Das muss im Vertrag stehen. Das ist ein gutes Beispiel dafür, dass Recht nicht nur aus Gesetzen besteht. Und ein Satz zu den Bussen, weil in Blogs oft hohe Beträge kursieren. Der Rahmen ist hoch: bis 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes bei Verboten, bis 15 Millionen oder 3 Prozent bei anderen Pflichten. Eine amtlich belegte Busse nach dem EU AI Act gibt es aber bis heute nicht. Das Cheat Sheet der Klasse führt dafür eine einzige Zahl: null. Stand 8. Oktober 2026. Berichte mit Beträgen widersprechen sich und sollte man nicht weiterverwenden.

Marc

Jetzt zur zweiten Hälfte des Kernsatzes, dem Datenschutzgesetz. Es ist seit dem 1. September 2023 in Kraft und technologieneutral. Der Eidgenössische Datenschutzbeauftragte, kurz EDÖB, hält seit 2023 fest und hat es am 8. Mai 2025 bekräftigt: Das geltende Datenschutzgesetz ist auf KI direkt anwendbar. Die Schweiz hat kein eigenes KI Gesetz. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI Konvention des Europarats zu ratifizieren und KI vor allem über Anpassungen bestehender Gesetze zu regeln. Die Schweiz hat die Konvention am 27. März 2025 unterzeichnet, ratifiziert ist sie noch nicht. Das Justizdepartement erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage, eröffnet ist die Vernehmlassung noch nicht.

Stefan

Kommen wir zu den Unterschieden zur europäischen Datenschutz-Grundverordnung, die in der Praxis zählen. Erster Unterschied: wer gebüsst wird. Im Schweizer Gesetz trifft die Busse bei Vorsatz und auf Antrag in der Regel die verantwortliche natürliche Person, bis 250'000 Franken. Das Unternehmen wird nur ausnahmsweise gebüsst, bis 50'000 Franken. In der EU geht es um bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes gegen das Unternehmen. Für eine Projektleiterin oder einen Abteilungsleiter in der Schweiz ist das eine andere Art von Risiko. Es ist ein persönliches.

Marc

Zweiter Unterschied: Private brauchen in der Schweiz keinen Rechtsgrund für eine Bearbeitung. Eine Rechtfertigung wird erst nötig, wenn die Persönlichkeit verletzt wird. Dritter Unterschied: Automatisierte Einzelentscheidungen sind nicht verboten, aber an Bedingungen geknüpft. Vierter Punkt: Verletzungen der Datensicherheit sind dem EDÖB so rasch als möglich zu melden, wenn ein hohes Risiko besteht, nicht innert 72 Stunden wie in der EU. Das Themenpaper betont, dass das Schweizer Recht der Datenschutz-Grundverordnung angenähert wurde, damit die EU der Schweiz weiterhin ein angemessenes Schutzniveau bescheinigt. Das hat die EU am 15. Januar 2024 bestätigt. Ähnlich also, aber nicht gleich. Und wer Personen in der EU anspricht, kann beide Regelwerke beachten müssen.

Stefan

Der Kernsatz für die Praxis lautet: Personendaten stecken auch dort, wo man sie nicht erwartet. Das Bundesgericht hat 2010 im Fall Logistep entschieden, dass IP Adressen Personendaten waren, weil die Empfänger die Personen dahinter bestimmen konnten. Für KI heisst das, dass auch Logs oder Trainingsdaten Personendaten sein können. Die Umfrageauswertung bei ISA Desk ist dafür ein Lehrbeispiel. Die Freitextantworten der Mitgliederumfrage sollen in einem öffentlichen KI Tool mit Gratiskonto ausgewertet werden. Firmennamen sind keine Personendaten. Aber in den Freitexten stehen teils Namen von Personen und Kritik an Kolleginnen und Kollegen anderer Firmen. Und ein Gratiswerkzeug darf Eingaben womöglich weiterverwenden. Die Einschätzung der Kursleitung: vorher anonymisieren, oder ein Werkzeug mit Vertrag verwenden.

Marc

Jetzt zu Artikel 21, der automatisierten Einzelentscheidung, weil er für die Bewerbungsvorsortierung zentral ist. Eine solche liegt vor, wenn eine Entscheidung ausschliesslich automatisiert getroffen wird und für die betroffene Person eine Rechtsfolge hat oder sie erheblich beeinträchtigt. Dann muss die Person informiert werden, sie kann ihren Standpunkt darlegen und die Überprüfung durch einen Menschen verlangen. Die automatische Absage unter 40 Punkten ist genau so ein Fall. Die Datenschutzberaterin Nadia Frei sagt im Fall, bei der Bewerbungssache lasse sie die automatische Absage so nicht durch. Die Kursleitung empfiehlt: Ja unter Bedingungen. Keine automatische Absage, die Rangliste ist eine Hilfe, und jede Absage entscheidet ein Mensch nach eigener Sichtung. Dazu eine Folgenabschätzung vorher, ein Hinweis im Inserat und in der Datenschutzerklärung, ein Vertrag ohne Training mit den Bewerbungen und eine Stichprobe von Hand.

Stefan

Daran schliesst eine Frage an, die das Themenpaper als wichtigste Lehre bezeichnet: Wann ist ein Mensch im Ablauf wirklich ein Mensch im Ablauf? Das Berufungsgericht in Amsterdam hat am 4. April 2023 über Fahrerinnen und Fahrer von Uber und Ola entschieden, die wegen Betrugsverdachts automatisch deaktiviert worden waren. Die Unternehmen sagten, ein Mensch habe jeden Fall geprüft. Das Gericht befand, diese Prüfung sei nur symbolisch gewesen. Die Entscheidungen galten als ausschliesslich automatisiert, und die Unternehmen mussten ihre Bewertungslogik offenlegen. Bei ISA Desk gibt Sandra Keller jede Antwort in durchschnittlich 3.7 Minuten frei. Ist das eine echte Prüfung? Die Frage steht auf der Fallkarte, und sie ist nicht rhetorisch gemeint.

Marc

Zwei weitere Urteile des Europäischen Gerichtshofs helfen bei der Frage, was eine Entscheidung ist und was man erklären muss. Im Fall SCHUFA vom 7. Dezember 2023 ging es um einen Kredit, den eine Bank gestützt auf den Score einer Auskunftei ablehnte. Der Gerichtshof entschied, dass der automatisch berechnete Score selbst eine automatisierte Entscheidung sein kann, wenn die Bank sich massgeblich darauf stützt. Im Fall Dun und Bradstreet Austria vom 27. Februar 2025 verlangte eine Kundin, die einen Handyvertrag nicht bekam, eine Erklärung. Betroffene haben Anspruch auf eine verständliche Erklärung, welche Daten wie eingeflossen sind. Die Formel allein genügt nicht, Geschäftsgeheimnisse sind kein Freipass. Der Hinweis des Münchner Anbieters, das Modell sei zu komplex für eine Erklärung, wäre damit ein Problem.

Stefan

Wichtig ist die Einschränkung, die auch die Unterlagen machen. Für die Schweiz sind Urteile des Europäischen Gerichtshofs nicht verbindlich. Sie zeigen aber, wie Begriffe ausgelegt werden, die das Schweizer Gesetz ähnlich kennt. Und das Themenpaper sagt offen: Ein Schweizer Gerichtsentscheid zu Artikel 21 ist uns nicht bekannt. Wie weit die europäischen Urteile tragen, ist deshalb eine ausdrückliche Frage an Thomas Kuster. Hier ist die Einordnung eines Praktikers mehr wert als jede Folie.

Marc

Dann die Datenschutzfolgenabschätzung nach Artikel 22. Sie ist vorab zu machen, wenn eine Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte der Betroffenen mit sich bringen kann, insbesondere bei neuen Technologien, umfangreicher Bearbeitung besonders schützenswerter Daten und bei Profiling. Das Themenpaper beschreibt fünf Schritte. Erstens die Bearbeitung beschreiben: Daten, Zweck, Mittel, Zugriff, Dauer, Ausland. Zweitens die Risiken aus Sicht der Betroffenen erkennen, nicht aus Sicht des Unternehmens. Drittens Wahrscheinlichkeit und Schwere bewerten. Viertens Massnahmen festlegen. Fünftens das Restrisiko prüfen. Bleibt ein hohes Risiko, ist nach Artikel 23 vorher der EDÖB zu konsultieren.

Stefan

Bei ISA Desk lässt sich das gut durchspielen. Nadia Frei sagt: Für ISA Desk haben wir nie eine Folgenabschätzung gemacht, und im Verzeichnis der Bearbeitungstätigkeiten steht ISA Desk nicht. Den Volldump der Mitgliederdatenbank jede Nacht habe sie erst im März gesehen. Dieser Volldump zieht jede Nacht alle 1'850 Datensätze, mit Name, Funktion und Mailadresse. Das kollidiert mit der Datenminimierung und der Zweckbindung. Die Kursleitung hält fest, dass für ISA Desk eine Folgenabschätzung eher nicht zwingend scheint, weil kein hohes Risiko erkennbar ist. Aber der Volldump gehört trotzdem geprüft. Das ist ein Beispiel für eine Pflicht, die nicht grossartig klingt und dennoch fehlt.

Marc

Und dann das Ausland, das Thomas Wengi an Tag 20 offen gelassen hat. Die Bekanntgabe von Personendaten ins Ausland ist nach den Artikeln 16 und 17 in Staaten mit angemessenem Schutz erlaubt, sonst nur mit Garantien. Die USA gelten seit dem 15. September 2024 als angemessen für Unternehmen, die nach dem Data Privacy Framework zwischen der Schweiz und den USA zertifiziert sind. Bei ISA Desk wollte der Anbieter ab 1. April 2027 Anfragen bei hoher Last in den USA verarbeiten. Der Verband zahlt 1'800 Franken mehr, damit es bei EU und Schweiz bleibt. Die Frage im Fall lautet, ob dieser Aufpreis nötig war oder ob es andere Wege gegeben hätte. Als Antwort kommen Zertifizierung, Vertragsgarantien und Auftragsbearbeitung nach Artikel 9 in Betracht.

Stefan

Die Protokollfunktion rundet das Bild ab. Das Videokonferenz Tool eines US Anbieters fasst Sitzungen automatisch zusammen. Ein Update hat diese Funktion in Vorstandssitzungen eingeschaltet, niemand hat es beschlossen. Dort sitzen auch externe Gäste. Zu klären sind die Information aller Teilnehmenden, die Vertraulichkeit und die Bekanntgabe in die USA. Das ist laut der Kursleitung ein typischer Critical Incident, also genau die Art von Vorfall, die in Prüfungsteil 3 auftaucht. Wichtig ist dort weniger das Detailwissen zu Artikeln als das Vorgehen: erkennen, melden, wer entscheidet, welche Frist.

Marc

Auf diese Grundlage legt die Branche ihre eigenen Regeln. Für Banken und Versicherungen hat die FINMA am 18. Dezember 2024 die Aufsichtsmitteilung 08/2024 veröffentlicht. Sie erwartet Governance, ein Inventar mit Risikoklassifizierung, Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und eine unabhängige Überprüfung wesentlicher Anwendungen. Das Themenpaper vermerkt, dass das fast deckungsgleich mit dem ist, was an Tag 20 als Portfolio und Monitoring aufgebaut wurde. Die Mitteilung schafft keine neuen Pflichten, sie beschreibt Aufsichtserwartungen, proportional zur Bedeutung der Anwendung. Dass die Aufsicht hinschaut, zeigt eine Umfrage der FINMA vom 24. April 2025: Rund die Hälfte der Institute setzt KI ein.

Stefan

Im Gesundheitsbereich lautet die Frage: Ist die Software ein Medizinprodukt? Swissmedic hat kein eigenes KI Merkblatt. Massgebend sind die Medizinprodukteverordnung und das Merkblatt zur Medizinprodukte Software. Wer Software baut, die eine Diagnose stützt, ist schnell im Medizinprodukterecht. Und die Schweiz gilt seit Mai 2021 bei Medizinprodukten gegenüber der EU als Drittstaat. Für Produkte wäre das zusätzlich der Weg über Anhang I des EU AI Act, ab dem 2. August 2028. Auch dort werden aus der Praxis konkrete Beispiele erwartet, wie Institute das umsetzen und was die Aufsicht prüft.

Marc

Für die öffentliche Hand gilt der Grundsatz: zuerst die gesetzliche Grundlage, dann das Werkzeug. Das Bundesgericht hat am 7. Oktober 2019 entschieden, dass die automatische Erfassung von Kontrollschildern durch die Thurgauer Polizei ein schwerer Eingriff in die informationelle Selbstbestimmung ist. Das kantonale Polizeigesetz war als Grundlage zu unbestimmt, und die so gewonnenen Beweise durften nicht verwertet werden. 2024 hob das Bundesgericht auch Bestimmungen des Luzerner Polizeigesetzes zur automatisierten Fahndung auf. Hinzu kommt das Urteil aus Den Haag vom 5. Februar 2020 zu SyRI. Das System verknüpfte Daten verschiedener Behörden zu Risikoprofilen für Sozialbetrug, und das Gericht sah darin einen Verstoss gegen Artikel 8 der Menschenrechtskonvention. Die Schweiz ist an diese Konvention gebunden.

Stefan

Damit sind wir bei der KESB, und ich will hier ehrlich sein. Die Kurs-App nennt sie als Pflichtthema. Die Kursleitung schreibt aber, sie habe zu KI in der Kindes- und Erwachsenenschutzbehörde keine belastbare Quelle gefunden, auch keine KI spezifische Leitlinie. Sozialhilfedaten sind nach dem Datenschutzgesetz besonders schützenswert, das ist belegt. Mehr will ich dazu nicht behaupten. Der Inhalt soll vom Dozenten kommen, nicht von der Kursleitung, und genau deshalb ist es eine der Stellen, an denen sich der Tag mit einem Praktiker vom Papier unterscheidet.

Marc

Dann die Haftung. Das ist laut Briefing die greifbarste Frage für die Kohorte. Der Fall Moffatt gegen Air Canada vom Februar 2024: Der Chatbot einer Fluggesellschaft versprach einem Kunden fälschlich eine nachträgliche Ermässigung nach einem Todesfall. Die Gesellschaft argumentierte, der Chatbot sei für seine Aussagen selbst verantwortlich. Das Schlichtungsgericht in British Columbia verwarf das. Die Gesellschaft haftet für alle Informationen auf ihrer Website. Es ging um eine kleine Forderung, aber die Signalwirkung war gross. Philipp Zemp, der Leiter Fachdienste, sagt im Fall sinngemäss: Wenn der Assistent eine Rechtsfrage falsch beantwortet und das Mitglied sich darauf verlässt, haben wir ein Problem, egal was im EU AI Act steht.

Stefan

Im Schweizer Recht gelten die allgemeinen Regeln: die Haftung für eigenes Verschulden nach Artikel 41 des Obligationenrechts, die Haftung des Geschäftsherrn nach Artikel 55 und die Haftung für Hilfspersonen im Vertrag nach Artikel 101. Ob eine KI wie eine Hilfsperson behandelt wird, ist in der Lehre umstritten. Ein Bundesgerichtsurteil dazu gibt es nicht. In der EU erfasst die neue Produkthaftungsrichtlinie 2024/2853 Software und KI Systeme ausdrücklich als Produkt, für Produkte, die ab 9. Dezember 2026 in Verkehr gebracht werden. Auch Haftungsausschlüsse in Anbieterverträgen sind nur in Grenzen gültig. Der Dozent soll hier den Stand der Praxis nennen.

Marc

Beim Urheberrecht stehen sich zwei Urteile von 2025 gegenüber. Das Landgericht München I hat am 11. November 2025 im Fall GEMA gegen OpenAI entschieden, dass wortgetreu im Modell gespeicherte Liedtexte eine Vervielfältigung sind. Die Ausnahme für Text und Data Mining deckt das nicht. Das Urteil ist nicht rechtskräftig. Der High Court in London hatte eine Woche zuvor im Fall Getty Images gegen Stability AI befunden, die Modellgewichte seien keine Kopie der Bilder. Für den Verband stellt sich das konkret: Er hat 340 Dokumente in der Wissensbasis, und bei gekauften Vorlagen sind die Nutzungsrechte ungeklärt. In der Schweiz verlangt die Motion Gössi mehr Schutz für Werke gegenüber KI, der Ständerat hat sie am 20. März 2025 angenommen, der Nationalrat am 16. September 2025 eine abgeschwächte Fassung.

Stefan

Ein Entscheid zeigt, dass die Schweiz nicht überall strenger ist. Der EDÖB hat am 20. März 2025 seine Vorabklärung zu X und Grok abgeschlossen. Die Plattform trainiert ihr Sprachmodell mit öffentlichen Beiträgen, voreingestellt. Weil man seit Juli 2024 in den Einstellungen widersprechen kann, sah der EDÖB das Datenschutzgesetz als eingehalten. In der EU wird dieselbe Frage strenger diskutiert. Beim Bundesgericht gibt es ein Gegenstück zur Toleranz: Im Fall Google Street View von 2012 akzeptierte es eine Fehlerquote von rund einem Prozent bei der automatischen Verpixelung, wenn es ein einfaches, kostenloses Widerspruchsverfahren gibt. An sensiblen Orten wie Schulen musste vollständig anonymisiert werden. Welche Fehlerrate bei ISA Desk tragbar ist und welches Korrekturverfahren dazugehört, ist eine Frage der Werkstatt.

Marc

So fügt sich der Tag zusammen. Nach dem Programmvorschlag arbeitet die Klasse an Fällen und mit zwölf Fallkarten, am Vormittag am Verzeichnis und an der Bewerbungsvorsortierung. Am Nachmittag folgen das Datenschutzgesetz, die Branche und die Gerichte. Zwischen 15:20 und 16:15 Uhr gehört die Projektwerkstatt den Teilnehmenden. Sie füllen für ihr eigenes Projekt eine Vorlage mit sechs Fragen aus: Gilt der EU AI Act, ist es ein KI System, welche Rolle, welche Stufe, was verlangt das Datenschutzgesetz, was verlangt meine Branche. Am Ende steht ein Satz, so wie er im Verzeichnis stehen würde, etwa: Betreiber eines Systems mit Transparenzpflicht, nach Datenschutzgesetz Information und Folgenabschätzung nötig, keine Branchenaufsicht.

Stefan

Und was an der Prüfung hängen bleiben soll, steht ebenfalls im Cheat Sheet. Daran scheitert es: eine Risikoklasse nennen, ohne zu prüfen, ob der EU AI Act überhaupt gilt, und das Datenschutzgesetz vergessen. Wer dagegen zuerst die Geltung prüft, dann Rolle und Stufe herleitet, das Datenschutzgesetz und die Branche dazunimmt und die Einordnung mit Datum festhält, hat eine belastbare Grundlage. Und die letzte Zeile der Vorlage fragt: Wer beobachtet, ob sich am Recht etwas ändert, und wann schauen wir wieder hin? Quelle, Person, Frequenz, Auslöser, wie an Tag 20.

Marc

Wenn ich einen Satz mitgeben darf, dann den aus dem Fall. Beat Hofstetter muss bis zum 30. Juni eine Seite pro Lösung auf den Tisch legen, und die Geschäftsführerin Andrea Bühler will darauf lesen, ob der EU AI Act gilt, was das Datenschutzgesetz verlangt, bis wann, und wer es macht. Wer am Ende des Tages diese vier Antworten für sein eigenes Projekt aufschreiben kann, mit Datum, hat mehr als nur Stoff gelernt. Viel Erfolg heute im Launchspace.

Stefan

Noch einmal der Kernsatz zum Mitnehmen: Die Risikoklasse sagt, wie viel der EU AI Act verlangt. Das Datenschutzgesetz verlangt immer etwas. Bis zum nächsten Mal.