Am 28. Oktober 2026 hat der Bundesrat den Zwischenstand der KI-Regulierung zur Kenntnis genommen. Damit ist klarer, wohin die Reise geht. Hier fassen wir zusammen, was entschieden ist, was heute schon gilt und wie Sie mit dem neuen Baukasten des Bundes in wenigen Wochen zu eigenen KI-Regeln kommen.
Das Wichtigste in Kürze
- Ein KI-Gesetz kommt, aber später als geplant. Die Vernehmlassung ist laut Bundesrat für Frühling 2027 vorgesehen, ursprünglich war Ende 2026 das Ziel.
- Das Datenschutzgesetz gilt schon heute für KI. Der Datenschutzbeauftragte des Bundes (EDÖB) hält fest, dass das DSG direkt auf KI anwendbar ist, sobald Personendaten im Spiel sind.
- Der Bund liefert eine Vorlage für Ihre KI-Regeln. Die Handreichung für einen KI-Kodex enthält fertige Textbausteine zu 10 Themen, freiwillig und frei kombinierbar.
Der Fahrplan: von der Europarats-Konvention zum Gesetz
Die Schweiz schreibt kein eigenes KI-Gesetz nach dem Vorbild der EU. Stattdessen übernimmt sie die KI-Konvention des Europarats ins Schweizer Recht. Das hat der Bundesrat am 12. Februar 2025 entschieden. Seither sieht der Fahrplan so aus:
| Wann | Was passiert |
|---|---|
| 12. Februar 2025 | Der Bundesrat entscheidet, die KI-Konvention des Europarats zu ratifizieren, und erteilt zwei Aufträge: ein Gesetz und freiwillige Massnahmen |
| 26. Oktober 2026 | Das BAKOM veröffentlicht einen Bericht über KI-Massnahmen in allen Bundesstellen und die Handreichung für einen KI-Kodex |
| 28. Oktober 2026 | Der Bundesrat nimmt den Stand der Arbeiten zur Kenntnis |
| Frühling 2027 | Vernehmlassung zum Gesetz, also die öffentliche Konsultation, bevor das Parlament darüber berät |
Zwei Spuren: verbindliches Gesetz und freiwillige Regeln
| Verbindlich: Bundesgesetz | Freiwillig: Leitlinien und Kodizes | |
|---|---|---|
| Inhalt | Transparenz, Datenschutz, Nichtdiskriminierung, Aufsicht, Risikoabschätzung | Branchendialoge, Leitlinien, Standards, Selbstverpflichtungen |
| Zuständig | Bundesamt für Justiz, mit BAKOM und EDA | BAKOM, mit EJPD, EDA und WBF |
| Betrifft vor allem | Den öffentlichen Sektor, Private nur dort, wo Grundrechte betroffen sind | Verbände und Unternehmen, die sich selbst Regeln geben wollen |
| Was das für Sie heisst | Gemeinden, Kantone und Gesundheitsorganisationen sollten das Gesetz eng verfolgen | Sie können schon heute eigene Regeln aufstellen, mit der Vorlage des Bundes |
Quellen: BAKOM, Bericht über sektorielle Massnahmen, S. 4
Alles, was nicht die Grundrechte betrifft, soll laut Swiss IT Magazine möglichst in den einzelnen Branchen geregelt werden, etwa im Gesundheitswesen, im Verkehr oder bei den Medien.
Was heute schon gilt: das Datenschutzgesetz
Kein eigenes KI-Gesetz heisst nicht: keine Regeln. Das Datenschutzgesetz (DSG) gilt seit dem 1. September 2023, und laut EDÖB gilt es auch für jede KI, die Personendaten bearbeitet. Für den Alltag heisst das:
| Pflicht | Was das konkret heisst |
|---|---|
| Transparenz | Zweck, Funktionsweise und Datenquellen der KI offenlegen |
| Chatbots erkennbar machen | Wer mit einer KI schreibt oder spricht, hat ein Recht, das zu wissen, und muss erfahren, ob die Eingaben zur Verbesserung des Systems genutzt werden |
| Deepfakes kennzeichnen | Veränderte Bilder, Videos oder Stimmen echter Personen müssen klar als solche erkennbar sein |
| Hohe Risiken prüfen | Bei hohem Risiko für die Betroffenen braucht es eine Datenschutz-Folgenabschätzung und Schutzmassnahmen |
| Mensch auf Verlangen | Betroffene können verlangen, dass ein Mensch einen automatisierten Entscheid überprüft |
| Verboten | Gesichtserkennung in Echtzeit im grossen Stil und «Social Scoring», also das Bewerten von Menschen nach ihrem Verhalten |
Quelle: EDÖB, Geltendes Datenschutzgesetz ist auf KI direkt anwendbar
Diese Pflichten gelten heute, egal was das künftige KI-Gesetz bringt.
Der KI-Kodex des Bundes: ein Baukasten für Ihre eigenen Regeln
Der praktischste Teil des Zwischenstands ist die Handreichung für einen KI-Kodex. Auf 22 Seiten liefert das BAKOM fertige Textbausteine für eine interne KI-Richtlinie, geschrieben in der Wir-Form, sodass man sie direkt übernehmen kann. Die Bausteine decken 10 Themen ab, vom Zweck und Geltungsbereich über Rollen und Verantwortlichkeiten bis zum Umgang mit Vorfällen.
Jedes Thema gibt es in drei Detailgraden. Sie wählen pro Thema, wie streng Sie es haben wollen:
| Detailgrad | Was er festlegt | Passt für |
|---|---|---|
| Tief: Grundsatz | Was grundsätzlich gelten soll | Kleine Teams, die erste Regeln brauchen |
| Mittel: konkretisierter Grundsatz | Mindestanforderungen und Schutzvorkehrungen | Die meisten KMU und Verwaltungen |
| Hoch: enge Leitplanken | Dokumentation, Freigaben, wer eine Anwendung stoppen darf | Sensible Bereiche wie Gesundheit oder Personalentscheide |
Quelle: BAKOM, Handreichung für einen KI-Kodex. Die Spalte «Passt für» ist unsere Einschätzung.
Zwei Sätze aus der Handreichung lohnen sich für jede Richtlinie: Personendaten gehören nur in KI-Systeme, die dafür zugelassen sind. Und bei wichtigen Entscheiden genügt eine «lediglich formale Bestätigung» durch einen Menschen nicht, er muss das Ergebnis wirklich prüfen. Wichtig auch: Die Handreichung ist eine Hilfe, kein Nachweis, dass Sie alle Gesetze einhalten.
In fünf Schritten zur eigenen KI-Richtlinie
Die Handreichung beschreibt einen Prozess in acht Schritten. Für eine kleine oder mittlere Organisation haben wir ihn auf fünf verdichtet. Das ist unsere Empfehlung aus der Praxis, keine Rechtsberatung:
- Leitung ins Boot holen, kleines Team bilden. Eine Person aus der Geschäftsleitung, jemand aus der IT, jemand, der täglich mit KI arbeitet. Mehr braucht es zu Beginn nicht.
- Inventar machen. Welche KI-Tools nutzt Ihr Team, offiziell und inoffiziell? Mit welchen Daten? Wo werden sie verarbeitet, und werden sie zum KI-Training verwendet? Bei vielen Gratis-Tools lautet die ehrliche Antwort: unklar.
- Regeln mit dem Baukasten schreiben. Pro Thema den passenden Detailgrad wählen. Festlegen, welche Tools für welche Daten erlaubt sind und welche Entscheide immer ein Mensch trifft.
- Erklären und befähigen. Eine Seite, die alle verstehen, ist besser als ein Dokument, das niemand liest. Dazu eine kurze Schulung und eine Ansprechperson für Fragen.
- Anwenden und nachbessern. Nach drei Monaten prüfen: Was funktioniert, wo gibt es Lücken, welche neuen Tools sind dazugekommen?
So machen es andere schon
Der Bericht über sektorielle Massnahmen zeigt, wie Bundesstellen und Kantone heute schon mit KI umgehen. Drei Beispiele:
- Bundesverwaltung: Der KI-Assistent KOBY des Bundesamts für Informatik läuft auf Infrastruktur, die der Bund selbst konfiguriert und betreibt. So darf er auch interne und vertrauliche Daten verarbeiten.
- Bildung: Fast alle kantonalen Bildungsdirektionen haben bereits KI-Leitlinien.
- Gesundheit: KI als Medizinprodukt untersteht dem Heilmittelrecht. Für Sprachmodelle im Praxisalltag verweist das BAG auf Empfehlungen der Ärzteverbindung FMH.
Das Muster ist überall gleich: Vertrauliche Daten und KI schliessen sich nicht aus. Entscheidend ist, wo die Daten verarbeitet werden und wer die Kontrolle darüber hat.
Häufige Fragen zum KI-Gesetz in der Schweiz
Gibt es in der Schweiz ein KI-Gesetz?
Noch nicht. Die Vernehmlassung ist für Frühling 2027 geplant, danach berät das Parlament. Bis dahin gelten das Datenschutzgesetz und die Regeln der einzelnen Branchen.
Müssen wir den KI-Kodex des Bundes übernehmen?
Nein, er ist freiwillig. Er ist aber die schnellste Vorlage, wenn Sie eigene KI-Regeln aufstellen wollen.
Dürfen wir KI mit Kundendaten nutzen?
Ja, wenn Sie das Datenschutzgesetz einhalten: Zweck klar, Betroffene informiert, und die Daten landen in einem System, das Sie dafür freigegeben haben. Prüfen Sie vorher, wo die Daten verarbeitet und ob sie zum Training verwendet werden.
Betrifft das neue Gesetz Gemeinden stärker als Unternehmen?
Voraussichtlich ja. Die verbindlichen Regeln richten sich laut Bericht in erster Linie an den öffentlichen Sektor, Private sind nur dort betroffen, wo Grundrechte berührt werden.
Gilt der EU AI Act für Schweizer Unternehmen?
Er kann gelten, etwa wenn Sie KI-Systeme in der EU anbieten oder deren Ergebnisse dort verwendet werden (Verordnung (EU) 2024/1689, Art. 2). Ob das für Sie zutrifft, hängt vom Einzelfall ab.
Was das für die Wahl Ihrer KI-Plattform bedeutet
Transparenz, Datenschutz und Aufsicht sind genau die Themen, die das kommende Gesetz regeln will. Wer heute eine KI-Plattform wählt, sollte deshalb drei Fragen stellen: Wo werden die Daten verarbeitet? Wer kann darauf zugreifen? Und wird nachvollziehbar protokolliert, was die KI tut?
Bei Evoya AI werden Ihre Daten in der Schweiz oder in der EU verarbeitet und nie zum KI-Training verwendet. Sie arbeiten mit über 30 Sprachmodellen, darunter das Schweizer Modell Apertus. Für besonders sensible Daten gibt es Private KI auf Schweizer Infrastruktur oder On-Premise direkt bei Ihnen.
Wo steht Ihre Organisation? Kostenloses Erstgespräch buchen → oder Evoya kostenlos testen
Neues zu KI und Regulierung, direkt ins Postfach
Wenn sich beim KI-Gesetz etwas bewegt, erfahren Sie es im Evoya-Newsletter. Dazu praktische Tipps für KI im Arbeitsalltag.
Newsletter abonnierenQuellen: Bundesrat, Medienmitteilung vom 28.10.2026 · Bundesrat, Medienmitteilung vom 12.2.2025 · BAKOM, Künstliche Intelligenz · BAKOM, Handreichung für einen KI-Kodex (PDF) · BAKOM, Bericht über sektorielle Massnahmen (PDF) · EDÖB · Swiss IT Magazine
Mehr zum Thema: Private KI – KI mit voller Kontrolle über Ihre Daten, und php2shell – wie KI Angriffe billiger und Verteidiger schneller macht.