Schwerer KI-Vorfall: Wer muss was melden?

Das Problem

Stellen Sie sich vor: Ein KI-System in Ihrem Betrieb trifft eine Fehlentscheidung mit schlimmen Folgen. Eine Person kommt zu Schaden, eine Anlage fällt aus, oder Daten gelangen an Unbefugte. Es ist Freitagnachmittag. Wer muss informiert werden? Bis wann? Und wer macht das?

Im Ernstfall fehlt die Zeit, solche Fragen erst zu klären. Wer vorbereitet ist, handelt ruhig und rechtzeitig. Wer es nicht ist, verliert Stunden mit Suchen, und das kann Folgen haben, rechtlich wie menschlich.

Der EU AI Act sieht für Hochrisiko-KI Meldepflichten bei schwerwiegenden Vorfällen vor. Daneben gibt es Meldepflichten im Datenschutz und in Verträgen. Diese Seite zeigt einen einfachen Ablauf, damit Sie im Ernstfall wissen, was zu tun ist. Sie ersetzt keine Rechtsberatung. Die Einordnung im Einzelfall, auch ob der AI Act für Sie gilt, gehört in fachkundige Hände. Anwendungstermine wurden 2026 angepasst.

So lösen Sie es mit KI – Schritt für Schritt

Diesen Ablauf legen Sie am besten vorab fest und üben ihn einmal.

1. Sofort sichern: Schützen Sie Menschen und Sachen. Stoppen oder begrenzen Sie das System, wenn Gefahr besteht. Sicherheit geht vor Dokumentation.
2. Ruhe bewahren und Ereignis festhalten: Notieren Sie Zeitpunkt, was geschehen ist, welches System, wer beteiligt war. Verändern Sie nichts an Daten und Protokollen. Siehe Fehler und Beweise sichern.
3. Intern alarmieren: Informieren Sie die zuständige Person oder Gruppe laut Notfallplan: Geschäftsleitung, IT, Datenschutz, Rechtsberatung.
4. Einordnen: Ist es ein schwerwiegender Vorfall? Der AI Act nennt unter anderem Tod oder schwere Gesundheitsschäden, schwere und nicht umkehrbare Störungen kritischer Infrastruktur, Verletzungen von Grundrechten schützendem EU-Recht sowie schwere Schäden an Eigentum oder Umwelt. Lassen Sie das fachlich beurteilen.
5. Anbieter informieren: Als Betreiber informieren Sie den Anbieter ohne unnötige Verzögerung. Dieser hat eigene Meldepflichten gegenüber den Behörden. Der Gesetzestext nennt kurze Fristen, im Regelfall höchstens 15 Tage und in besonders schweren Fällen kürzer. Prüfen Sie den aktuellen Wortlaut.
6. Datenschutz prüfen: Sind Personendaten betroffen? Dann kann eine Meldung an die Datenschutzbehörde nötig sein. Siehe Datenpanne melden und Sofortmassnahmen bei Datenpanne.
7. Betroffene und Vertragspartner informieren: Klären Sie, wer informiert werden muss oder sollte, und formulieren Sie sachlich.
8. Aufarbeiten: Analysieren Sie die Ursache, passen Sie Prozesse an, und aktualisieren Sie den Notfallplan.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie ein Vorfallprotokoll vor, das Sie im Ernstfall nur noch ausfüllen müssen. Es ersetzt keine Meldung:

Wir sind [Betrieb, Branche, Grösse, Schweiz] und setzen KI-Systeme ein. Wir möchten ein Vorfallprotokoll und einen Notfallablauf vorbereiten.
Erstelle: 1. ein Formular für ein Vorfallprotokoll mit den Feldern: Datum und Uhrzeit, entdeckt durch, betroffenes System und Version, Beschreibung des Vorfalls, Folgen für Personen/Sachen/Daten, Sofortmassnahmen, informierte Personen, gesicherte Protokolle, offene Fragen.
2. eine Checkliste für die ersten 24 Stunden (Sicherheit, Sichern, Alarmieren, Einordnen, Informieren).
3. eine Liste mit Fragen, die wir vorab mit Anbietern, Datenschutzstelle und Rechtsberatung klären sollten (Meldewege, Fristen, Kontakte).
Nenne keine gesetzlichen Fristen als sicher und gib keine Rechtsberatung. Markiere Punkte, die fachlich zu prüfen sind.

Passen Sie Betrieb und Systeme an. Lassen Sie Formular und Ablauf von Datenschutz und Rechtsberatung prüfen und üben Sie den Ernstfall einmal im Jahr.

Worauf Sie achten müssen

• Gilt der AI Act für Sie? Nur bei EU-Bezug und Hochrisiko-Systemen gelten diese Meldepflichten. Prüfen Sie Ihre Lage. Siehe EU AI Act und die Schweiz.
• Anbieter und Betreiber: Die Pflichten unterscheiden sich. Als Betreiber informieren Sie den Anbieter, die Meldung an die Behörde obliegt grundsätzlich dem Anbieter. Siehe Betreiberpflichten.
• Fristen sind kurz: Der Gesetzestext nennt knappe Fristen. Prüfen Sie den aktuellen Wortlaut, und lassen Sie sich bei Unsicherheit beraten.
• Datenschutzmeldung: Das Schweizer Datenschutzrecht verlangt bei Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko eine rasche Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Prüfen Sie die Voraussetzungen im Einzelfall.
• Nichts vertuschen: Eine verspätete oder unterlassene Meldung kann Folgen haben. Offenheit gegenüber Anbieter, Behörde und Betroffenen ist langfristig besser.
• Protokolle sichern: Ohne Aufzeichnungen lässt sich ein Vorfall schwer aufklären. Siehe KI-Protokolle aufbewahren.

Übung macht ruhig: Spielen Sie einmal im Jahr einen erfundenen Vorfall durch: Ein Assistent hat einer Kundin falsche, folgenreiche Auskünfte gegeben, oder ein System hat Personendaten an die falsche Stelle geschickt. Wer erfährt es zuerst, wen rufen Sie an, wo liegen Protokolle, wer entscheidet über Meldungen? Notieren Sie, wo es hakt, und passen Sie den Ablauf an. Halten Sie Notfallkontakte, auch ausserhalb der Bürozeiten, auf einer Seite fest und legen Sie diese so ab, dass sie auch bei einem Ausfall der IT erreichbar sind, etwa gedruckt oder auf einem getrennten Gerät.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Pflegeheim im Kanton Bern mit einer EU-Partnerorganisation setzt ein KI-System zur Dienstplanung ein. Eines Abends führt eine fehlerhafte Planung dazu, dass eine Nachtschicht unterbesetzt bleibt. Ein Bewohner stürzt, bleibt aber unverletzt.

Vorher: Niemand weiss, ob das «gemeldet» werden muss. Die Pflegedienstleiterin wartet bis Montag.

Nachher: Das Heim hat einen Ablauf. Die Leiterin sichert den Dienstplan und die Protokolle, informiert die Geschäftsleitung und den Anbieter und notiert den Vorfall. Gemeinsam mit einer Fachperson prüft sie, ob es sich um einen meldepflichtigen Vorfall handelt und ob Personendaten betroffen sind. Der Plan wird angepasst, und die Regel, dass eine Person jeden Plan gegenliest, wird verbindlich.

So hilft Ihnen Alpasana

Wenn Sie KI-Systeme mit klaren Zuständigkeiten, Einsatzregeln und Dokumentation einführen möchten, begleitet Sie Alpasana bei der KI-Beratung und digitalen Transformation. Laut Beschreibung gehören dazu Prozessaufnahme, Umsetzungsplan, Dokumentation der Umsetzung und die Integration von KI-Agenten mit Anwendungsfall, Pilot und Einsatzregeln.

Projekte werden individuell offeriert. Rechtsberatung und die eigentliche Meldung an Behörden gehören nicht zum Angebot.

Häufige Fragen

Wann ist ein Vorfall «schwerwiegend»?

Der AI Act definiert das über schwere Folgen, etwa für Gesundheit, kritische Infrastruktur, Grundrechte, Eigentum oder Umwelt. Die Einordnung im Einzelfall braucht Fachwissen.

Muss ich als Betreiber selbst die Behörde informieren?

Nach dem Grundsatz informieren Betreiber den Anbieter, und dieser meldet an die Behörde. Prüfen Sie den aktuellen Gesetzestext und Ihre Rolle.

Was gilt in der Schweiz?

Der AI Act gilt nicht direkt, aber bei EU-Bezug kann er relevant werden. Das Datenschutzrecht kennt unabhängig davon Meldepflichten bei Datenverletzungen.

Wie bereite ich mich vor?

Legen Sie Zuständigkeiten, Notfallkontakte und ein Vorfallformular fest, und üben Sie den Ablauf einmal jährlich.