Der EU AI Act und seine Reichweite bis Basel

Die Europäische Union verabschiedete im Juni 2024 die Verordnung (EU) 2024/1689, allgemein als AI Act (KI-Verordnung) bekannt. Die Verordnung trat am 1. August 2024 in Kraft und wird stufenweise anwendbar. Ihre Verbote bestimmter Praktiken, etwa des Social Scoring durch Behörden und manipulativer Techniken, gelten seit Februar 2025, die Vorschriften über KI-Modelle mit allgemeinem Verwendungszweck seit August 2025.¹ Die meisten Pflichten für Hochrisikosysteme sollten ursprünglich ab August 2026 gelten, mit einer weiteren Übergangsfrist bis August 2027 für Systeme, die in regulierte Produkte eingebettet sind. Im November 2025 schlug die Europäische Kommission in einem sogenannten digitalen Omnibus vor, Teile des Hochrisikoregimes aufzuschieben und ihre Anwendung an die Verfügbarkeit harmonisierter Normen zu knüpfen.²

Der AI Act stuft bestimmte Verwendungen im Finanzdienstleistungsbereich als hochriskant ein. Anhang III nennt KI-Systeme, die bestimmungsgemäss die Kreditwürdigkeit natürlicher Personen prüfen oder ihre Kreditpunktzahl ermitteln sollen, mit einer Ausnahme für Systeme zur Aufdeckung von Finanzbetrug. Ebenso nennt er Systeme, die für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen in der Lebens- und Krankenversicherung verwendet werden.³ Die Anbieter solcher Systeme müssen ein Risikomanagementsystem einrichten, die Qualität der Trainingsdaten sicherstellen, technische Dokumentationen und Protokolle führen, den Betreibern Transparenz bieten, menschliche Aufsicht ermöglichen und ein angemessenes Mass an Genauigkeit, Robustheit und Cybersicherheit erreichen. Die Betreiber, etwa die Banken und Versicherer, welche die Systeme einsetzen, müssen sie gemäss der Gebrauchsanweisung verwenden, sie überwachen und in bestimmten Fällen eine Abschätzung ihrer Auswirkungen auf die Grundrechte vornehmen.⁴

Die Verordnung reicht über die Grenzen der Union hinaus. Sie gilt für Anbieter, die KI-Systeme in der Union in Verkehr bringen oder in Betrieb nehmen, unabhängig von ihrem Sitz, sowie für Anbieter und Betreiber in Drittstaaten, wenn die vom System erzeugten Ergebnisse in der Union verwendet werden.⁵ Eine Basler Bank, die für Kundinnen und Kunden mit Wohnsitz in Deutschland oder Frankreich ein KI-gestütztes Kreditscoring-Modell verwendet, ein Versicherer, der Lebensversicherungspolicen für Grenzgängerinnen und Grenzgänger im Elsass tarifiert, oder ein Softwareunternehmen im Kanton, das ein Compliance-Werkzeug an Banken in der Union verkauft, muss daher prüfen, ob es in den Anwendungsbereich der Verordnung fällt. Für die trinationale Wirtschaft, die Teil H beschrieben hat und in der Kundinnen und Kunden, Mitarbeitende und Dienstleistungen täglich die Grenze überqueren, ist diese extraterritoriale Reichweite für viele Unternehmen eine praktische Frage.⁶

Die Vorschriften über KI-Modelle mit allgemeinem Verwendungszweck betreffen eher die Anbieter grosser Modelle als die Finanzinstitute, die sie nutzen. Die Anbieter müssen eine technische Dokumentation erstellen, nachgelagerten Anbietern Informationen zur Verfügung stellen, eine Strategie zur Einhaltung des Urheberrechts festlegen und eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen. Modelle mit systemischem Risiko, die unter anderem über die für das Training eingesetzte Rechenleistung definiert werden, unterliegen zusätzlichen Pflichten zur Evaluierung, zur Meldung schwerwiegender Vorfälle und zur Cybersicherheit.⁷ Für Schweizer Nutzer haben diese Vorschriften einen mittelbaren Nutzen, weil sie die Anbieter verpflichten, Informationen bereitzustellen, die Banken und Versicherer für ihr eigenes Risikomanagement gemäss den Erwartungen der FINMA benötigen.

Anmerkungen

1. Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung), ABl. L, 12. Juli 2024; Art. 113 zu Inkrafttreten und Geltungsbeginn. ↩
2. Europäische Kommission, Vorschlag für einen digitalen Omnibus zur KI vom 19. November 2025 zur Änderung des Zeitplans des AI Act. ↩
3. Anhang III Nummer 5 Buchstaben b und c Verordnung (EU) 2024/1689. ↩
4. Art. 9 bis 15 (Anforderungen an Hochrisikosysteme), Art. 26 (Pflichten der Betreiber) und Art. 27 (Grundrechte-Folgenabschätzung) der Verordnung (EU) 2024/1689. ↩
5. Art. 2 Abs. 1 Buchstaben a und c der Verordnung (EU) 2024/1689. ↩
6. Zur trinationalen Wirtschaft und zu grenzüberschreitenden Dienstleistungen in der Region Basel vgl. Teil H, Kapitel II. ↩
7. Art. 51 bis 55 der Verordnung (EU) 2024/1689; der von der Europäischen Kommission im Juli 2025 veröffentlichte General-Purpose AI Code of Practice. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.