Hochrisiko-KI ↔ CH-Sektorrecht: Mapping & Unterschiede

Für Schweizer Unternehmen mit EU-Marktzugang ist kaum ein Begriff so folgenreich wie „Hochrisiko-KI". Er entscheidet in der EU über einen ganzen Pflichtenkatalog. Im Schweizer Recht sucht man den Begriff vergeblich — was nicht heißt, dass es keine vergleichbaren Anforderungen gäbe. Sie sind nur anders organisiert. Diese Seite übersetzt das EU-Konzept in die Schweizer Rechtslogik und zeigt, wo die beiden Systeme auseinanderlaufen.

EU-Seite: Hochrisiko-KI nach Art. 6 und Anhang III

Der EU AI Act (Verordnung (EU) 2024/1689) definiert Hochrisiko-KI über zwei Wege. Der erste Weg (Art. 6 Abs. 1) erfasst KI-Systeme, die als Sicherheitsbauteil eines Produkts dienen, das bereits unter EU-Produktsicherheitsrecht nach Anhang I fällt — etwa Maschinen, Medizinprodukte oder Fahrzeuge. Der zweite Weg (Art. 6 Abs. 2) verweist auf Anhang III, der acht Anwendungsbereiche auflistet: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen privaten und öffentlichen Diensten (einschließlich Kreditwürdigkeitsprüfung), Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.

Fällt ein System in eine dieser Kategorien, greift der volle Pflichtenkatalog aus Kapitel III: Risikomanagementsystem (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12), Transparenz gegenüber Deployern (Art. 13), menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15). Hinzu kommt eine Konformitätsbewertung vor Inverkehrbringen. Die Einstufung ist also kein Etikett, sondern der Auslöser einer umfassenden Governance-Pflicht.

CH-Seite: kein horizontaler Risikobegriff, sondern Sektorlogik

Die Schweiz kennt bislang kein horizontales KI-Gesetz und damit auch keine allgemeine Kategorie „Hochrisiko-KI". Wo die EU eine einheitliche, use-case-basierte Liste vorgibt, verteilt die Schweiz vergleichbare Anforderungen auf bestehende, sektorspezifische Regelwerke. Risikoregulierung entsteht dort nicht aus einem KI-Anhang, sondern aus dem jeweiligen Fachrecht.

Konkret bedeutet das: Im Finanzsektor prägen die Aufsicht und die Rundschreiben der FINMA, wie Institute Modelle und automatisierte Entscheidungen zu steuern haben. Bei Medizinprodukten greift das Heilmittelrecht mit seinen Konformitäts- und Sicherheitsanforderungen. Für den Umgang mit Personendaten — und damit für einen Großteil der KI-Anwendungen mit Personenbezug — ist das revidierte Datenschutzgesetz (DSG, in Kraft seit 1. September 2023) maßgeblich. Es adressiert automatisierte Einzelentscheidungen und Profiling, verlangt unter bestimmten Voraussetzungen eine Datenschutz-Folgenabschätzung und schreibt Transparenz vor. Die „Risikohöhe" eines Systems ergibt sich in der Schweiz also aus dem Zusammenspiel von Datenschutzrecht, Produktsicherheitsrecht und Branchenaufsicht — nicht aus einer einzigen KI-Klassifizierung.

Diese verteilte Logik hat eine praktische Folge: Die Frage „Ist mein System hochrisikoreich?" lässt sich im Schweizer Recht nicht mit einem einzigen Blick in eine Liste beantworten. Stattdessen ist zu prüfen, welche Fachgesetze auf die konkrete Anwendung anwendbar sind — und ob deren Anforderungen im Ergebnis dem entsprechen, was der AI Act für Hochrisiko-Systeme verlangt. Für Anwendungsfelder, die im Anhang III stehen, aber in der Schweiz keiner spezifischen Sektoraufsicht unterliegen, kann die faktische Regulierungsdichte niedriger ausfallen. Umgekehrt kann der Schweizer Finanz- oder Heilmittelbereich in Einzelaspekten strenger sein als der AI Act.

Side-by-Side

Gemeinsamkeiten

Beide Rechtsräume verfolgen im Kern denselben risikobasierten Gedanken: Je größer die potenziellen Auswirkungen eines Systems auf Grundrechte, Sicherheit oder finanzielle Existenz, desto höher die Anforderungen an Dokumentation, Nachvollziehbarkeit und menschliche Kontrolle. Datenqualität, Transparenz und die Möglichkeit, automatisierte Entscheidungen zu überprüfen, sind in beiden Systemen zentrale Bausteine. Wer für den EU-Markt bereits nach Anhang III arbeitet, erfüllt viele der Schweizer Erwartungen faktisch mit.

Unterschiede

• Struktur: Die EU arbeitet mit einer geschlossenen, horizontalen Liste (Anhang III); die Schweiz mit verteiltem Sektorrecht ohne zentrale KI-Kategorie.
• Auslöser: In der EU löst die Einstufung als Hochrisiko-KI automatisch den vollen Pflichtenkatalog aus. In der Schweiz entstehen Pflichten aus dem jeweils anwendbaren Fachgesetz, nicht aus einer KI-spezifischen Klassifizierung.
• Konformitätsbewertung: Der AI Act verlangt eine formalisierte Konformitätsbewertung vor Inverkehrbringen. Ein KI-spezifisches Schweizer Pendant existiert nicht; Konformität ergibt sich sektoral (z. B. Heilmittelrecht) oder gar nicht.
• Aufsicht: Die EU baut eine dedizierte Governance-Architektur auf. In der Schweiz gibt es keine zentrale KI-Aufsicht; zuständig sind die jeweiligen Branchen- und Datenschutzaufsichten.
• Reichweite: Der EU-Katalog erfasst gezielt Anwendungsfelder wie Migration oder Justiz; im Schweizer Recht sind diese Bereiche über allgemeines Verwaltungs- und Verfahrensrecht geregelt, nicht über ein KI-Risikoraster.

Praxis-Konsequenz für Cross-Border-Akteure

Für ein Schweizer Unternehmen, das ein KI-System in der EU anbietet oder einsetzt, ist die Anhang-III-Prüfung nicht optional: Sobald EU-Marktbezug besteht, gilt die EU-Einstufung unmittelbar, unabhängig davon, dass das Schweizer Recht den Begriff nicht kennt. Umgekehrt sollten sich Unternehmen nicht darauf verlassen, dass die Erfüllung Schweizer Sektorpflichten automatisch AI-Act-Konformität bedeutet — die formale Konformitätsbewertung und die technische Dokumentation nach Art. 11 haben kein direktes CH-Äquivalent und müssen gesondert aufgebaut werden.

Der pragmatische Weg für beide Rechtsräume: die Anhang-III-Klassifizierung als führenden Maßstab nehmen und die Nachweise so strukturieren, dass sie sowohl die AI-Act-Pflichten als auch die DSG- und sektoralen Anforderungen bedienen. Eine evidenzbasierte, audit-ready dokumentierte Governance zahlt in beide Systeme gleichzeitig ein. Wer diese Nachweise ohnehin für den EU-Markt aufbaut, verliert wenig, wenn er sie zugleich am Schweizer Fachrecht spiegelt — das umgekehrte Vorgehen, erst rein schweizerisch zu dokumentieren und später auf AI-Act-Niveau nachzurüsten, ist deutlich aufwendiger.

Ein zweiter Punkt betrifft die Richtung der Entwicklung. Auch wenn die Schweiz heute keinen horizontalen Hochrisiko-Begriff kennt, orientiert sich die Diskussion um KI-Regulierung an internationalen Bezugspunkten, und der EU AI Act wirkt über den Marktzugang faktisch standardsetzend. Für die Praxis heißt das: Unternehmen sollten die Anhang-III-Systematik nicht als reine EU-Formalie behandeln, sondern als belastbaren Rahmen, um das eigene KI-Portfolio nach Auswirkungshöhe zu ordnen — unabhängig davon, welche Schweizer Norm im Einzelfall greift. Eine solche Portfolio-Sicht erleichtert es, bei künftigen Rechtsänderungen schnell nachzuweisen, welche Systeme welcher Kontrolltiefe unterliegen.

Eine CH-spezifische Vertiefung zu FINMA und DSG findet sich auf ki-regulierung.ch. Den vollständigen EU-Kontext zu Hochrisiko-KI und dem Forcing Event am 02.12.2027 behandelt der Leitfaden auf eu-ai-verordnung.de.

AEGIRA AI Navigator deckt EU AI Act und Schweizer Anforderungen in einer einheitlichen Trust-Infrastructure ab: aegira.ai.