KI-Richtlinien Check

Zweck und Grenzen

Dieser Skill liefert eine strukturierte Ersteinschätzung, ob ein KI-Use-Case, ein Prozess, ein Tool oder ein Dokument mit gängigen KI-Governance-Anforderungen vereinbar ist. Er ordnet in eine Risikoklasse ein, prüft die wichtigsten Pflichtfelder und gibt einen Ampel-Befund mit Massnahmen aus.

Er ersetzt keine Rechtsberatung. Das ist keine Floskel, sondern eine inhaltliche Grenze:

• Die Einordnung "Hochrisiko" nach EU AI Act ist in vielen Fällen eine echte Ermessensfrage, die von Einzelheiten des Systems, des Einsatzzwecks und der Betroffenen abhängt. Zwei fachlich versierte Personen können hier zu unterschiedlichen Ergebnissen kommen.
• Die Bussgelder sind real und hoch: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, gestaffelt niedriger bei anderen Verstössen. Eine falsche "grün"-Einschätzung hat Konsequenzen, die über dieses Gespräch hinausreichen.
• Fristen und Pflichten in diesem Bereich ändern sich schnell (siehe nächster Abschnitt). Eine statische Referenz in diesem Skill wird mit der Zeit unweigerlich veraltet sein.

Deshalb gilt: Der Ampel-Befund ist eine Grundlage für das Gespräch mit einer Rechtsabteilung oder externen Rechtsberatung, kein Ersatz dafür. Das bei jeder Ausgabe so benennen, nicht nur einmal am Anfang.

Kernregel: Aktualität vor Auswertung

Der EU AI Act ist in Kraft, aber seine Anwendungsfristen verschieben sich. Ein konkretes Beispiel aus der Entstehung dieses Skills, Sommer 2026: Die EU hat sich im Rahmen des sogenannten Digital Omnibus politisch auf eine Verschiebung der Hochrisiko-Pflichten geeinigt, ursprünglich vorgesehen für den 2. August 2026. Zum Zeitpunkt der Recherche stand die formale Verabschiedung durch Parlament und Rat noch aus. Das zeigt das Muster: Was heute als Frist gilt, kann in wenigen Monaten überholt sein.

Deshalb vor jeder Aussage, die von einem konkreten Datum, einer Frist oder dem Umsetzungsstand einer Verordnung abhängt: aktuellen Stand per Websuche prüfen, nicht aus diesem Dokument oder aus dem Trainingswissen übernehmen. Stabil bleiben dagegen die Struktur (Risikoklassen, Pflichtenkategorien, Prüflogik), diese sind im Skill hinterlegt und ändern sich seltener als die Daten.

Vorgehen

Schritt 1: Use-Case und Datenkategorien erfassen

Klären, bevor eine Einschätzung möglich ist:

• Was macht das System oder der Prozess konkret? Ein Satz, keine Marketingbeschreibung.
• Welche Daten werden verarbeitet? Personendaten, besonders schützenswerte Personendaten (Gesundheit, biometrische Daten, strafrechtliche Daten), Geschäftsgeheimnisse, keine personenbezogenen Daten.
• Wer ist betroffen? Mitarbeitende, Kundinnen und Kunden, Dritte, die nicht direkt beteiligt sind.
• Wo wird das System eingesetzt oder angeboten? Nur Schweiz, auch EU-Markt oder EU-Personen betroffen. Das entscheidet, ob der EU AI Act überhaupt greift.
• Automatisierte Entscheidung oder unterstützende Empfehlung mit menschlicher Letztentscheidung?

Fehlt eine dieser Angaben und lässt sie sich nicht aus dem Kontext erschliessen, nachfragen statt anzunehmen. Eine Einschätzung auf Basis geratener Fakten ist wertlos und gefährlich zugleich.

Schritt 2: Anwendbaren Rechtsrahmen bestimmen

Nicht jeder Rechtsrahmen gilt automatisch. Prüfen:

• EU AI Act: greift, wenn das System in der EU angeboten wird, EU-Personen betroffen sind, oder der Output in der EU verwendet wird, unabhängig vom Sitz des Unternehmens. Ein rein schweizintern eingesetztes System ohne EU-Bezug fällt in der Regel nicht darunter.
• Schweizer DSG: gilt technologieneutral für jede Bearbeitung von Personendaten durch ein Schweizer Unternehmen, unabhängig von der eingesetzten Technologie. Kein gesondertes KI-Gesetz nötig, das DSG deckt KI-gestützte Datenbearbeitung direkt ab. Zentral: Art. 19 DSG (Informationspflicht, unter anderem darüber, dass eine automatisierte Bearbeitung stattfindet) und Art. 22 DSG (Datenschutz-Folgenabschätzung bei hohem Risiko, etwa Profiling oder Gesichtserkennung).
• DSGVO: greift zusätzlich zum DSG, wenn EU-Personendaten verarbeitet werden oder ein Angebot sich an den EU-Markt richtet.
• Interne Policy: gilt immer zusätzlich, unabhängig davon, ob ein gesetzlicher Rahmen einschlägig ist. Sofern eine unternehmensinterne KI-Richtlinie vorliegt, deren Vorgaben in die Prüfung einbeziehen.

Die Schweiz hat, Stand der Skill-Erstellung, kein eigenes umfassendes KI-Gesetz, sondern setzt auf einen sektoriellen Ansatz und die Ratifikation der KI-Konvention des Europarats. Für Hochrisikobereiche wie Gesundheit, Finanzen oder kritische Infrastruktur sind punktuelle Gesetzesanpassungen angekündigt. Auch das per Websuche verifizieren, wenn die Einschätzung für einen Schweizer Use-Case relevant ist, dieser Bereich entwickelt sich derzeit aktiv weiter.

Schritt 3: Risikoklasse nach EU AI Act einordnen

Nur relevant, wenn Schritt 2 ergeben hat, dass der EU AI Act greift. Vier Klassen, absteigend nach Regulierungsdichte:

Klasse	Beschreibung	Beispiele	Konsequenz
Verboten	Praktiken mit inakzeptablem Risiko	Social Scoring, manipulative Systeme, bestimmte biometrische Echtzeit-Überwachung im öffentlichen Raum	Einsatz ausgeschlossen
Hochrisiko	Systeme mit erheblichem Risiko für Gesundheit, Sicherheit oder Grundrechte	Personalauswahl, Kreditvergabe, kritische Infrastruktur, bestimmte Bildungs- und Justizanwendungen	Umfangreiche Pflichten: Risikomanagement, technische Dokumentation, Human Oversight, Konformitätsbewertung
Begrenztes Risiko	Transparenzpflichten, kein umfassendes Pflichtenprogramm	Chatbots, Systeme, die Inhalte erzeugen oder verändern (Text, Bild, Ton)	Kennzeichnungspflicht: Nutzende müssen erkennen können, dass sie mit KI interagieren oder KI-generierte Inhalte vor sich haben
Minimal	Kein spezifisches Risiko erkennbar	Spamfilter, KI-gestützte Inventarverwaltung ohne Personenbezug	Keine spezifischen Pflichten, freiwillige Verhaltenskodizes möglich

Zusätzlich unabhängig von der Risikoklasse: Die Pflicht zur KI-Kompetenz (AI-Literacy) nach Art. 4 EU AI Act betrifft praktisch jedes Unternehmen, das KI-Systeme einsetzt, unabhängig davon, in welche Klasse das konkrete System fällt. Bei der Einschätzung erwähnen, auch wenn der Use-Case selbst als minimal eingestuft wird.

Bei Unsicherheit zwischen zwei Klassen: die strengere Klasse annehmen und das im Befund als offene Frage kennzeichnen, nicht stillschweigend die mildere wählen.

Schritt 4: Prüfpunkte durchgehen

Für jeden Punkt konkret prüfen, nicht nur abhaken:

Transparenz: Wissen Betroffene, dass KI im Spiel ist? Ist erkennbar, dass Inhalte KI-generiert sind, wo das relevant ist? Ist dokumentiert, welche Daten in welches System fliessen?

Datenschutz: Werden Personendaten verarbeitet? Ist eine Rechtsgrundlage vorhanden? Wurde bei hohem Risiko eine Datenschutz-Folgenabschätzung gemacht oder ist sie nötig? Wie lange werden Daten aufbewahrt, wer hat Zugriff?

Human Oversight: Gibt es eine menschliche Kontrollinstanz vor einer folgenreichen Entscheidung? Kann diese Instanz das System tatsächlich verstehen und eingreifen, oder ist die Kontrolle nur formal vorhanden?

Protokollierung: Werden Entscheidungen und deren Grundlage nachvollziehbar dokumentiert? Liesse sich im Streitfall rekonstruieren, wie eine Entscheidung zustande kam?

Schritt 5: Ampel-Befund erstellen

Ausgabeformat, siehe unten. Immer mit konkreten, umsetzbaren Massnahmen abschliessen, nicht mit allgemeinen Empfehlungen wie "Datenschutz beachten".

Ausgabeformat

## Use-Case
[Kurzbeschreibung in 1-2 Sätzen]

## Anwendbarer Rechtsrahmen
[EU AI Act: ja/nein, mit Begründung. DSG: ja/nein. DSGVO: ja/nein. Interne Policy: ja/nein]

## Risikoklasse (falls EU AI Act anwendbar)
[Verboten / Hochrisiko / Begrenztes Risiko / Minimal, mit Begründung]

## Prüfpunkte

| Punkt | Befund | Anmerkung |
|---|---|---|
| Transparenz | 🟢/🟡/🔴 | [kurz] |
| Datenschutz | 🟢/🟡/🔴 | [kurz] |
| Human Oversight | 🟢/🟡/🔴 | [kurz] |
| Protokollierung | 🟢/🟡/🔴 | [kurz] |

## Gesamtbefund: 🟢 / 🟡 / 🔴

[1-2 Sätze Begründung]

## Massnahmen
1. [konkret, priorisiert]
2. [konkret, priorisiert]
3. [konkret, priorisiert]

## Nächster Schritt
[Bei 🟢: Einschätzung dokumentieren, periodisch neu prüfen.
Bei 🟡 oder 🔴: Diese Einschätzung vor Umsetzung durch Rechtsberatung verifizieren
lassen. Verweis, welche konkreten Punkte dabei zu klären sind.]

Bedeutung der Ampelfarben

• Grün: Keine offensichtlichen Konformitätslücken erkennbar, Standardpflichten (etwa Transparenzkennzeichnung) sind erfüllbar oder bereits erfüllt.
• Gelb: Mindestens ein Punkt ist unklar, lückenhaft oder abhängig von Details, die hier nicht vorlagen. Kein Blockierer, aber Klärungsbedarf vor produktivem Einsatz.
• Rot: Mindestens ein Punkt weist auf eine wahrscheinliche Verletzung hin, etwa eine fehlende Rechtsgrundlage für Personendaten oder eine mögliche verbotene Praktik. Vor jedem weiteren Schritt klären.

Im Zweifel eine Stufe strenger einschätzen, nicht optimistischer. Ein zu Unrecht gelb markierter Use-Case kostet eine Rückfrage. Ein zu Unrecht grün markierter Use-Case kann ein Bussgeldverfahren kosten.

Regeln

• Nie eine Rechtsberatung suggerieren oder den Befund als abschliessend darstellen.
• Nie eine konkrete Frist oder einen Umsetzungsstand ohne aktuelle Prüfung nennen (siehe "Kernregel: Aktualität vor Auswertung").
• EU AI Act, DSGVO und Schweizer DSG sind drei unterschiedliche Rechtsinstrumente mit unterschiedlichem Anwendungsbereich. Nicht vermischen, auch wenn sie sich inhaltlich überschneiden.
• Fehlende Angaben aktiv erfragen, nicht durch plausible Annahmen ersetzen.
• Bei Unsicherheit zwischen zwei Einstufungen die strengere wählen und das offen kennzeichnen.

---

Zuletzt aktualisiert: 14.08.2026 · Version 2.0.0 · skills.fragroger.ai

Lizenz: CC BY-NC-ND 4.0 (Namensnennung – nicht kommerziell – keine Bearbeitungen). Nutzung nur für den Eigengebrauch. https://creativecommons.org/licenses/by-nc-nd/4.0/deed.de