EU AI Act: Was gilt für KMU in der Schweiz und in Liechtenstein?

Der AI Act gilt auch für Firmen ohne Sitz in der EU, sobald ihre KI in der EU wirkt. Artikel 2 der Verordnung erfasst Anbieter, die KI-Systeme in der EU in Verkehr bringen. Er erfasst ausserdem Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe ihres KI-Systems in der EU verwendet wird. Dasselbe Prinzip gilt beim Cyber Resilience Act für Software und vernetzte Geräte, die in der EU angeboten werden. Mehr dazu im Ratgeber «Cyber Resilience Act: Was gilt für Software von KMU aus der Schweiz und Liechtenstein?».

Für ein Schweizer KMU heisst das: Ein Chatbot auf Ihrer Website, den Kundinnen und Kunden aus Deutschland oder Österreich nutzen, fällt darunter. Ebenso KI-erzeugte Bilder in einer Kampagne für den EU-Markt oder eine KI-gestützte Vorauswahl von Bewerbungen für eine Niederlassung in der EU. Wer KI nur intern und für Schweizer Kundschaft einsetzt, ist vom AI Act in der Regel nicht direkt betroffen.

Noch nicht unmittelbar. Als EWR-Staat übernimmt Liechtenstein den AI Act erst, wenn er ins EWR-Abkommen aufgenommen ist. Laut EFTA prüfen Island, Liechtenstein und Norwegen die Verordnung noch für diese Übernahme. Ein Beschluss des Gemeinsamen EWR-Ausschusses liegt Stand November 2026 nicht vor.

Danach braucht Liechtenstein ein Durchführungsgesetz, das die zuständigen Behörden und die Sanktionen festlegt. Die Stabsstelle für Digitale Innovation der Landesverwaltung erarbeitet es. Ein Datum für das Inkrafttreten nennt sie nicht.

Für die Praxis ändert das wenig. Liechtensteiner KMU, deren KI-Ergebnisse in der EU verwendet werden, fallen nach dem Marktortprinzip schon heute unter den AI Act, genau wie Schweizer Firmen. Die Stabsstelle empfiehlt, sich jetzt vorzubereiten. Sobald die Übernahme vollzogen ist, gilt der AI Act in Liechtenstein auch für rein inländische Fälle.

Der Digital Omnibus verschiebt die Hochrisiko-Pflichten, nicht die Transparenzpflichten. Rat und Parlament haben sich am 7. Mai 2026 politisch geeinigt. Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.

Unverändert bleiben die Fristen für die Verbote, die KI-Kompetenz, die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und die Transparenzpflichten nach Artikel 50. Die Zeitleiste zeigt alle Fristen und die wichtigsten Änderungen für KMU.

Für ein KMU, das KI als Betreiber ohne Hochrisiko-Anwendung nutzt, sind es fünf Punkte: KI-Kompetenz nach Artikel 4, erkennbare Chatbots, offengelegte KI-Inhalte, ein Inventar der KI-Nutzung und Datenschutz, in der Schweiz nach dem Datenschutzgesetz, in Liechtenstein und der EU nach der DSGVO. Keiner davon verlangt eine Zertifizierung oder eine Meldung an eine Behörde. Die Checkliste für die nächsten 90 Tage weiter unten setzt die fünf Punkte in konkrete Schritte um.

Wer mit einem KI-System chattet, muss das wissen, ausser es ist offensichtlich. Die Pflicht trifft den Anbieter. Prüfen Sie als Betreiber, ob Ihr Werkzeug den Hinweis zeigt, und ergänzen Sie ihn sonst selbst.

Wie Sie KI-Abläufe mit menschlicher Freigabe, Prüfpfad und Datenschutzkonzept aufbauen, beschreibt unser Ratgeber «KI-Automation im KMU» ausführlich.

Hochrisiko betrifft wenige, klar umrissene Einsatzbereiche. Betreiber solcher Systeme müssen ab dem 2. Dezember 2027 unter anderem eine menschliche Aufsicht durch geschulte Personen sicherstellen, Protokolle aufbewahren und Mitarbeitende sowie betroffene Personen informieren.

Typische Hochrisiko-Fälle in einem KMU:

Für die meisten KI-Automationen im KMU-Alltag gelten keine Hochrisiko-Pflichten. Belegerkennung, E-Mail-Sortierung und Offertentwürfe stehen nicht auf der Liste der Hochrisiko-Bereiche in Anhang III. Sie bewerten keine Menschen, sondern lesen Dokumente und schlagen vor. Ein Mensch prüft und gibt frei.

Auch die Kennzeichnung von KI-Texten greift hier nicht. Eine Offerte oder eine Antwort an einen Kunden ist keine Veröffentlichung zu Themen von öffentlichem Interesse. Die maschinenlesbare Markierung KI-erzeugter Inhalte ist Sache des Modellanbieters, nicht Ihre.

Prüfen Sie trotzdem jeden Ablauf einzeln. Sobald er Mitarbeitende oder Bewerbende bewertet, ändert sich die Einordnung.

Mit diesen Schritten erfüllen Sie die Pflichten, die heute gelten, und erkennen früh, ob ein Hochrisiko-Fall dabei ist. Für ein KMU ist das ein überschaubarer Aufwand, kein Grossprojekt.