EU AI Act im Betrieb: Welche Angaben braucht die Prüfung?

Das Problem

Sie haben vom EU AI Act gehört, dem europäischen Gesetz über Künstliche Intelligenz. Kunden fragen, ob Ihr Betrieb betroffen ist, und Zeitungsartikel sprechen von Risikoklassen, Pflichten und Bussen. Sie führen einen Schweizer Betrieb und wissen nicht, ob und wie dieses Gesetz Sie betrifft, und noch weniger, wo Sie anfangen sollen.

Die Einordnung ist tatsächlich nicht trivial. Sie hängt davon ab, welche KI-Systeme Sie einsetzen, wofür, in welcher Rolle Sie handeln (Anbieter oder Betreiber), wen das System betrifft und ob ein Bezug zur EU besteht. Ohne diese Angaben kann niemand seriös sagen, welche Pflichten gelten. Mit ihnen können Fachleute eine Einschätzung vornehmen.

Dieser Beitrag hilft Ihnen, die Angaben zusammenzutragen. Er ersetzt keine rechtliche Beurteilung, und Fristen sowie Auslegung sind im Fluss; prüfen Sie den aktuellen Stand.

So lösen Sie es mit KI – Schritt für Schritt

1. Beginnen Sie mit dem KI-Inventar. Alle KI-Systeme und -Funktionen, die Ihr Betrieb nutzt oder entwickelt, in einer Liste. Ohne diese Basis lässt sich nichts einordnen. Siehe KI-Inventar erstellen.

1. Beschreiben Sie den Verwendungszweck. Wofür wird jedes System eingesetzt: Texte schreiben, Kundenanfragen beantworten, Bewerbungen sortieren, Kredite beurteilen, Personen überwachen? Der Verwendungszweck entscheidet wesentlich über die Risikoklasse. Siehe Risikoklassen.

1. Bestimmen Sie Ihre Rolle. Setzen Sie ein fertiges System im Betrieb ein (Betreiber), entwickeln Sie eines und bringen es unter eigenem Namen auf den Markt (Anbieter), bauen Sie ein bestehendes System wesentlich um? Die Pflichten unterscheiden sich. Siehe Anbieter oder Betreiber.

1. Klären Sie den EU-Bezug. Nutzen Sie KI für Personen in der EU, liefert Ihr System Ergebnisse, die in der EU verwendet werden, haben Sie eine Niederlassung oder Kundschaft dort? Der AI Act hat räumlich einen weiten Anwendungsbereich. Siehe EU AI Act und die Schweiz und Schweiz-EU-Bezug prüfen.

1. Notieren Sie Betroffene und Daten. Wen betrifft das System (Kunden, Mitarbeitende, Bewerber, Schüler, Patienten)? Welche Daten fliessen ein, und gibt es besonders sensible Bereiche wie Biometrie, Emotionserkennung, Personalwesen oder Kreditwürdigkeit?

1. Prüfen Sie verbotene und hochriskante Anwendungen. Bestimmte Praktiken sind verboten, etwa Emotionserkennung am Arbeitsplatz oder Social Scoring; bestimmte Anwendungsbereiche gelten als hochriskant. Wenn Ihr Einsatz in die Nähe kommt, brauchen Sie dringend fachliche Prüfung.

1. Dokumentieren Sie Schulung und Aufsicht. Der AI Act verlangt von Anbietern und Betreibern Massnahmen für ausreichende KI-Kompetenz des Personals und bei Hochrisiko-Systemen menschliche Aufsicht. Halten Sie fest, was Sie dafür tun; siehe KI-Schulungen nachweisen. Bündeln Sie alle Angaben und übergeben Sie sie der Fachperson.

Angaben pro KI-System (Auszug für die Prüfung)

Vorlage zum Kopieren

Ein Prompt ist der Arbeitsauftrag an die KI. Mit dieser Vorlage erstellen Sie einen Erhebungsbogen für die Fachprüfung; geben Sie keine vertraulichen Details ein.

Wir sind ein Schweizer Betrieb mit [Anzahl] Mitarbeitenden in der Branche [Branche]. Wir wollen fachlich prüfen lassen, ob und wie uns der EU AI Act betrifft. Wir haben [EU-Kundschaft/EU-Niederlassung/keinen EU-Bezug/unklar].
Erstelle: 1. einen Erhebungsbogen pro KI-System mit höchstens fünfzehn Feldern (Name, Anbieter, Verwendungszweck, unsere Rolle, Betroffene, Datenarten, EU-Bezug, Entscheidungsauswirkung, menschliche Aufsicht, Schulung, Verträge, Dokumentation),
2. eine Liste von Fragen, die uns helfen zu erkennen, ob ein System in einem sensiblen Bereich liegt (Personal, Kredit, Bildung, Biometrie, Emotionserkennung, Überwachung),
3. eine Zusammenfassung für die Fachperson in einer Seite mit Lücken als [klären].
Keine Rechtsaussagen, keine Einstufung, keine Fristen nennen. Unsicheres mit [klären] markieren. Schweizer Rechtschreibung, Sie-Form.

Wiederholen Sie die Vorlage für jedes System. Für eingebaute Funktionen genügt eine kurze Zeile.

Worauf Sie achten müssen

• Keine Einstufung durch KI: Lassen Sie sich von einer KI nicht die Risikoklasse bestimmen. Sprachmodelle können Pflichten und Fristen falsch wiedergeben. Die Einordnung gehört in die Hände einer Fachperson mit Kenntnis des Gesetzes (siehe Quelle zum Verordnungstext).
• Fristen und Auslegung ändern sich: Der AI Act wird stufenweise anwendbar, und Änderungen sowie Leitlinien sind in Arbeit. Prüfen Sie den aktuellen Stand bei einer Fachperson. Siehe AI-Act-Fristen.
• Die Schweiz hat keinen eigenen AI Act: Ob und wie die Schweiz regelt, ist in Entwicklung. Für Schweizer Betriebe kann der AI Act über den EU-Bezug trotzdem relevant sein.
• Die meisten KMU nutzen einfache Anwendungen: Textassistenten und Übersetzung sind oft nicht in den strengen Klassen, lösen aber Pflichten wie KI-Kompetenz oder Transparenz aus. Beachten Sie auch Datenschutz und Branchenrecht.
• Anbieter nach Informationen fragen: Wenn Sie Betreiber sind, brauchen Sie Angaben des Anbieters zu Zweck, Grenzen und Einsatzbedingungen.
• Kosten und Bussen: Der AI Act sieht erhebliche Bussen vor; ob und in welchem Umfang sie Ihren Betrieb treffen können, klärt die Fachperson.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Schweizer Personaldienstleister in Zürich mit Kundschaft in Deutschland nutzt ein Werkzeug, das Bewerbungen vorsortiert. Ein Kunde fragt nach der Einordnung nach dem EU AI Act. Frau Müller aus der Geschäftsleitung bekommt die Aufgabe, die Grundlagen zu liefern.

Sie nutzt den Erhebungsbogen für drei Systeme, beschreibt Zweck, Rolle (Betreiber), Betroffene (Bewerber), Datenarten und EU-Bezug und erkennt, dass die Bewerbervorauswahl in einem sensiblen Bereich liegt. Mit diesen Unterlagen holt sie eine Fachberatung ein, die in einem halben Tag die Einordnung und Folgeschritte klärt. Ohne die vorbereiteten Angaben hätte das Mehrfache gekostet.

So hilft Ihnen Alpasana

Mit Linup: KI sicher am Arbeitsplatz erhalten Ihre Mitarbeitenden einen Online-Kurs mit acht Modulen und Quiz, der laut Beschreibung zwei bis drei Stunden dauert und keine Technikkenntnisse voraussetzt. Themen sind der Umgang mit Daten, die Prüfung von KI-Ergebnissen und das Erkennen von Betrugsversuchen. Pro Person gibt es ein privates Zertifikat mit QR-Code und öffentlicher Verifikation sowie eine Nachweismappe; für Teams gibt es Einladungen, Erinnerungen, ein Fortschrittsdashboard und einen Firmen-Rapport als PDF. Ein kostenloser KI-Risiko-Check ist ebenfalls angegeben.

Ob ein Schulungsnachweis die Anforderungen des AI Act erfüllt, hängt von Ihrem Einsatz ab und gehört in die fachliche Prüfung.

Häufige Fragen

Betrifft der AI Act auch Betriebe, die nur ChatGPT nutzen?

Er kann in Form von Pflichten für Betreiber auftreten, zum Beispiel bei KI-Kompetenz oder Transparenz, abhängig von Einsatz und EU-Bezug. Die Risikoklasse hängt vom Verwendungszweck ab. Eine Fachperson ordnet das ein.

Ab wann gelten die Pflichten?

Der AI Act wird in Stufen anwendbar, und Fristen sowie Anpassungen sind im Fluss. Lassen Sie sich den aktuellen Stand bestätigen, statt sich auf ältere Angaben zu verlassen.

Muss ich für jedes Werkzeug einen eigenen Bogen ausfüllen?

Ja, für wesentliche Systeme. Bei vielen kleinen Funktionen genügt eine Sammelzeile mit Hinweis auf den gemeinsamen Zweck.