Die Schweiz ist nicht in der EU — und trotzdem erreicht Sie der EU AI Act. Wie schon die DSGVO gilt er extraterritorial: Wird der Output Ihres KI-Systems in der EU genutzt, fallen Sie in den Anwendungsbereich. Für Schweizer Banken, Versicherer und Vermögensverwalter mit EU-Kundschaft oder -Niederlassungen betrifft das den grössten Teil des Geschäfts.
Unangenehm ist die Einstufung. «Hochriskant» meint nicht nur Gesichtserkennung und autonome Fahrzeuge. Ausdrücklich erfasst sind KI zur Beurteilung der Kreditwürdigkeit, zur Tarifierung und Zeichnung von Lebens- und Krankenversicherungen sowie bestimmte Anwendungen in Beschäftigung und Zugang zu wesentlichen Diensten. Auch ein «einfacher» Chatbot kann Transparenzpflichten auslösen. Viele Institute betreiben hochriskante KI, ohne sie je so benannt zu haben.
Was ein Verwaltungsrat jetzt tun sollte
- Jede KI-Nutzung inventarisieren — inklusive der Pilotprojekte und der Schatten-Tools, die ein Team auf einem SaaS-Konto hochgezogen hat.
- Jede Anwendung einstufen entlang der Risikostufen des Acts (verboten, hochriskant, begrenzt, minimal).
- Für alles Hochriskante die Kontrollen aufsetzen: menschliche Aufsicht, Protokollierung und Nachvollziehbarkeit, Data Governance, technische Dokumentation und klare Transparenz gegenüber Nutzern.
- Verantwortung zuweisen. «Compliance schaut später drauf» ist der Weg ins Nachrüsten — die teuerste Variante.
Warum das unsere ganze These ist
Nichts davon ist ein Grund, KI zu meiden. Es ist ein Grund, sie gleich beim ersten Mal richtig zu bauen. Bei Operal nennen wir das Jurisdictional Integrity: Systeme, die quellenbasiert sind («keine Quelle, keine Antwort»), durchgängig auditierbar, menschlich überwacht und standardmässig in der Schweiz gehostet.
Das ist keine Folie, die wir für den AI Act gebaut haben. So haben wir den preisgekrönten, konformen Chatbot für die Pensionskasse ASGA entwickelt — Tausende Mitgliederanfragen, rund um die Uhr, jede Antwort nachvollziehbar — lange bevor «Pflichten für Hochrisiko-Systeme» auf irgendeiner Roadmap stand.
Die Häuser, die Compliance als Architektur behandelt haben und nicht als Nachgedanken, haben keinen Kraftakt vor sich. Sie haben einen Vorsprung.