KI für Bonitätsprüfungen: Wann gelten Hochrisiko-Pflichten?

Das Problem

Ihr Betrieb verkauft auf Rechnung oder mit Ratenzahlung, und der Anbieter einer Software verspricht, dass eine KI «in Sekunden» die Zahlungsfähigkeit Ihrer Kundschaft bewertet. Sie sollen entscheiden, ob Sie das Werkzeug einsetzen. Dabei fragen Sie sich: Ist das rechtlich heikel? Was verlangt der EU AI Act, und gilt er überhaupt für uns?

Bonitätsbewertungen betreffen Menschen unmittelbar. Ein schlechter Score kann bedeuten, dass jemand keine Wohnung, keinen Kredit oder keinen Vertrag erhält. Deshalb hat der EU-Gesetzgeber solche Anwendungen besonders geregelt. Gleichzeitig ist nicht jede Prüfung gleich: Es kommt darauf an, wen das System bewertet, wofür und mit welchem Einfluss auf die Entscheidung.

Diese Seite erklärt die Grundsätze verständlich. Sie ersetzt keine Rechtsberatung. Die Einstufung hängt vom konkreten Werkzeug, vom Verwendungszweck und vom Bezug zur EU ab, und Fristen sowie Übergangsregeln wurden 2026 angepasst.

So lösen Sie es mit KI – Schritt für Schritt

1. Verwendungszweck beschreiben: Wofür genau soll das Werkzeug dienen? Bonitätsprüfung vor einem Kauf auf Rechnung, Kreditvergabe, Mietinteressenten bewerten? Notieren Sie es in zwei Sätzen.
2. Betroffene bestimmen: Werden Privatpersonen (natürliche Personen) bewertet oder Unternehmen? Die einschlägige Regel im Anhang III des AI Act nennt ausdrücklich natürliche Personen.
3. Funktion klären: Bewertet das System die Kreditwürdigkeit oder erstellt es einen Kredit-Score? Dient es nur der Erkennung von Betrug? Für reine Betrugserkennung sieht das Gesetz eine Ausnahme vor.
4. EU-Bezug prüfen: Gilt der AI Act für Sie? Das hängt unter anderem davon ab, ob das System in der EU bereitgestellt oder dessen Ergebnis in der EU verwendet wird. Siehe Gilt der EU AI Act auch für Schweizer Unternehmen?.
5. Rolle klären: Sind Sie Anbieter (Sie entwickeln das System) oder Betreiber (Sie setzen es ein)? Die Pflichten unterscheiden sich. Siehe Anbieter oder Betreiber.
6. Anbieter befragen: Verlangen Sie schriftlich Auskunft zur Einstufung, zu Konformitätsunterlagen, Gebrauchsanweisung, Datenherkunft und menschlicher Aufsicht.
7. Datenschutz prüfen: Klären Sie Zweck, Rechtsgrundlage und Information der Betroffenen, besonders bei automatisierten Entscheiden. Siehe Automatisierte Einzelentscheidungen.
8. Fachperson beiziehen: Lassen Sie die Einstufung und die nötigen Massnahmen von einer Fachperson beurteilen, bevor Sie das System produktiv einsetzen. Halten Sie Ihre Gründe schriftlich fest.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Prüfung eines Bonitäts-Werkzeugs vor. Er liefert eine Arbeitsgrundlage, keine rechtliche Einstufung:

Wir sind [Betrieb, Branche, Grösse, Sitz Schweiz] und prüfen ein KI-Werkzeug zur Bonitätsbewertung.
Verwendungszweck: [z. B. Entscheid über Kauf auf Rechnung].
Bewertete Personen: [Privatpersonen/Firmen]. Kundschaft in der EU: [ja/nein/unklar].
Werkzeug und Anbieter: [Name].
Erstelle: 1. eine Liste mit Fragen, die wir dem Anbieter schriftlich stellen sollten (Einstufung, Konformität, Daten, Aufsicht, Dokumentation), 2. eine Liste mit Punkten, die intern zu klären sind (Rolle, Zuständigkeit, Information der Betroffenen, Freigabe), 3. eine Tabelle «Frage | Antwort | Quelle | offen».
Gib keine rechtliche Einstufung ab und nenne keine Fristen als sicher. Weise auf Unsicherheiten hin.

Setzen Sie Ihre Angaben ein und besprechen Sie das Ergebnis mit einer Fachperson.

Worauf Sie achten müssen

• Zweck entscheidet: Dieselbe Software kann je nach Einsatz anders eingestuft werden. Prüfen Sie den konkreten Verwendungszweck.
• Natürliche Personen: Die Hochrisiko-Regel bezieht sich nach dem Gesetzestext auf natürliche Personen. Bei Firmenkundschaft stellen sich andere Fragen.
• Betrugserkennung: Systeme, die ausschliesslich Betrug erkennen sollen, werden gesondert behandelt. Lassen Sie klären, ob das auf Ihr Werkzeug zutrifft.
• Pflichten bei Hochrisiko: Dazu gehören nach dem Gesetz unter anderem Risikomanagement, Datenqualität, Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht. Für Betreiber gelten eigene Pflichten, siehe Betreiberpflichten.
• Fristen: Die Anwendungstermine der Hochrisiko-Regeln wurden 2026 angepasst. Prüfen Sie den aktuellen Stand, siehe Ab wann gelten welche Pflichten?.
• Datenschutz bleibt zusätzlich: Das Schweizer Datenschutzgesetz und bei EU-Bezug die DSGVO gelten unabhängig vom AI Act.
• Menschliche Entscheidung: Verlassen Sie sich nicht allein auf einen Score. Eine Person sollte Ergebnisse prüfen und Ausnahmen zulassen.

Wichtig für die Praxis: Fragen Sie Anbieter nicht nur, ob das System «konform» sei, sondern verlangen Sie die Unterlagen: Welche Daten werden verwendet, wie wird die Genauigkeit gemessen, wie werden Verzerrungen geprüft, welche Rolle spielt der Mensch? Wenn ein Anbieter dazu keine Auskunft geben kann, ist das ein Warnzeichen. Dokumentieren Sie Ihre Anfrage und die Antwort. Bei Verträgen sollten Auskunfts- und Unterstützungspflichten des Anbieters schriftlich geregelt sein, damit Sie im Falle einer Prüfung oder einer Beschwerde Betroffener nachweisen können, wie das System funktioniert.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Schweizer Onlinehändler für Fahrräder mit Kundschaft in Deutschland und Österreich möchte «Kauf auf Rechnung» anbieten und prüft ein Werkzeug, das Interessenten automatisch einen Score zuweist.

Vorher: Die Marketingleiterin will es sofort einsetzen. Der Anbieter versichert, es sei «gesetzeskonform», legt aber keine Unterlagen vor.

Nachher: Mit der Vorlage klärt das Team Zweck, Betroffene (Privatpersonen), EU-Bezug und Rolle. Es verlangt vom Anbieter schriftlich Einstufung, Gebrauchsanweisung und Angaben zur menschlichen Aufsicht. Parallel lässt es mit einer Fachperson prüfen, ob es sich um ein Hochrisiko-System handelt und welche Datenschutzpflichten gelten. Der Einsatz startet erst nach Freigabe und mit der Regel, dass eine Mitarbeiterin Ablehnungen prüft.

So hilft Ihnen Alpasana

Damit Ihr Team solche Fragen sicher einordnen kann, bietet absofort die KI-Weiterbildung für Unternehmen. Laut Beschreibung gehören Datenschutz, der verantwortungsbewusste Umgang mit Unternehmensdaten und bei EU-Bezug der EU AI Act zu den Lerninhalten. Gelernt wird online im eigenen Tempo, für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Eine rechtliche Einstufung Ihres konkreten Werkzeugs ist nicht Teil des Angebots.

Häufige Fragen

Gilt der AI Act für mich als Schweizer Händler?

Nur bei Bezug zur EU, etwa wenn Sie Kundschaft in der EU beliefern und das Ergebnis dort verwendet wird. Der Einzelfall ist fachlich zu prüfen. Siehe EU AI Act und die Schweiz.

Ist eine klassische Bonitätsauskunft auch KI?

Nicht jedes Scoring ist ein KI-System im Sinne des Gesetzes. Entscheidend ist die Definition im AI Act. Siehe Was gilt als KI-System?.

Darf eine KI allein über einen Kauf auf Rechnung entscheiden?

Datenschutzrechtlich gelten Regeln für automatisierte Einzelentscheidungen. Eine menschliche Prüfung ist ratsam. Klären Sie den Einzelfall mit einer Fachperson.

Was, wenn der Anbieter die Einstufung nicht nennt?

Fragen Sie schriftlich nach und lassen Sie sich Unterlagen zeigen. Ohne Auskunft sollten Sie auf den Einsatz verzichten oder externe Beratung einholen.