Drei wichtige ICT-Themen 2027

Für Schweizer Unternehmen, die ihre Produkte und Dienstleistungen auf dem EU-Markt anbieten, wird 2027 zum Jahr der Umsetzung. Vieles, was lange wie eine ferne regulatorische Ankündigung wirkte, schlägt sich nun in konkreten Pflichten, Prozessen und Nachweisen nieder. Die Zeit des blossen Beobachtens ist vorbei.

Dabei ist nicht allein entscheidend, wo ein Unternehmen seinen Sitz hat. Massgebend ist insbesondere, ob es Produkte oder Dienstleistungen gezielt in der EU anbietet, KI-Systeme auf dem europäischen Markt bereitstellt oder deren Ergebnisse in der EU verwendet werden. Die europäischen Regelwerke haben teilweise eine Wirkung über die EU-Grenzen hinaus. Schweizer Anbieter können deshalb betroffen sein, obwohl sie weder über eine Niederlassung noch über eigene Mitarbeitende in einem EU-Mitgliedstaat verfügen.

Ob ein Angebot auf den EU-Markt ausgerichtet ist, wird anhand verschiedener Kriterien beurteilt. Hinweise können beispielsweise eine speziell auf EU-Kunden zugeschnittene Website, Liefermöglichkeiten in EU-Staaten, Preisangaben in Euro oder Marketingaktivitäten innerhalb der EU sein. Ein einzelnes Merkmal ist noch nicht zwingend ausschlaggebend. Entscheidend ist das Gesamtbild. Schweizer ICT-Unternehmen sollten daher nicht erst bei der Vertragsunterzeichnung prüfen, ob europäisches Recht anwendbar ist.

Gleichzeitig bleiben die innerstaatlichen Vorgaben relevant. Datenschutz, Cybersicherheit, vertragliche Verantwortung und branchenspezifische Vorschriften greifen ineinander. Hinzu kommen neue technische Entwicklungen: Generative KI wird zunehmend in Geschäftsprozesse integriert, während KI-Agenten selbstständig Informationen beschaffen, Entscheidungen vorbereiten und Aktionen auslösen. Die Rechtskommission von swissICT ordnet ein, worauf Unternehmen 2027 besonders achten sollten.

1. EU-Regulierung

Ab dem 2. Dezember 2027 gelten für Hochrisiko-KI-Systeme gemäss Anhang III des EU AI Acts strenge Vorgaben. Betroffen sind unter anderem Anwendungen in Biometrie, kritischen Infrastrukturen, Bildung und Beschäftigung. Anbieter benötigen Risikomanagement, technische Dokumentation und menschliche Aufsicht. Ab dem 11. Dezember 2027 gilt zudem der Cyber Resilience Act vollständig. Produkte mit digitalen Elementen müssen dann die europäischen Cybersicherheitsanforderungen erfüllen. Schweizer Anbieter müssen Sicherheit deshalb über den gesamten Produktlebenszyklus nachweisen.

2. Schweizer Recht

Betreiber kritischer Infrastrukturen müssen meldepflichtige Cyberangriffe dem Bundesamt für Cybersicherheit innerhalb von 24 Stunden melden und fehlende Angaben innert 14 Tagen nachreichen. Das betrifft indirekt auch IT-Dienstleister, Cloud-Anbieter und Softwarelieferanten: Verträge sollten kurze Informationsfristen und klare Eskalationswege vorsehen. Zentral bleibt zudem der Datenschutz. Unternehmen müssen festlegen, welche KI-Werkzeuge zugelassen sind, welche Personendaten darin verarbeitet werden dürfen und ob Eingaben zum Training der Modelle verwendet werden.

3. KI-Recht

In der Schweiz gibt es derzeit kein einzelnes Gesetz, das sämtliche Fragen rund um künstliche Intelligenz abschliessend regelt. Daraus folgt jedoch nicht, dass beim Einsatz von KI ein rechtsfreier Raum ­besteht. Vielmehr ist das geltende Recht auf neue technische Sachverhalte anzuwenden. Je nach ­Anwendung greifen unter anderem Datenschutzrecht, Urheberrecht, Vertragsrecht, Arbeitsrecht, ­Lauterkeitsrecht, Produkthaftpflicht und branchenspezifische Vorschriften.

Besonders relevant bleiben die Themen Haftung, Immaterialgüterrecht, Leistungsverantwortung und Datenschutz.

Noch ungeklärt sind die Grenzen zwischen den Verantwortlichkeiten von Modellentwicklern, Plattformanbietern, Integratoren und Anwendern. Ebenso offen ist häufig, welche Rechte an KI-generierten Ergebnissen bestehen und ob Trainingsdaten oder Ausgaben geschützte Inhalte enthalten. Besondere Aufmerksamkeit verdienen KI-Agenten. Anders als ein klassischer Chatbot beantworten sie nicht nur Fragen, sondern können mehrere Arbeitsschritte miteinander verbinden.

Ausblick

2027 wird kein Jahr der Ankündigungen, sondern der Umsetzung und des Nachweises. Unternehmen müssen nicht nur erklären können, dass sie regulatorische Anforderungen beachten. Sie müssen dies mit Dokumentationen, Zuständigkeiten, Prozessen, Prüfungen und vertraglichen Regelungen belegen. Wer Verträge, Governance und Sicherheit frühzeitig aufeinander abstimmt, spart Zeit und reduziert Risiken. Dabei empfiehlt es sich, die Verantwortung nicht allein der Rechtsabteilung zu übertragen. Produktentwicklung, IT-Sicherheit, Datenschutz, Einkauf, Vertrieb und Geschäftsleitung müssen zusammenarbeiten. Erst wenn diese Bereiche dieselbe Risikoeinschätzung teilen, entsteht eine funktionierende Governance. Die grösste Herausforderung für Schweizer ICT-Unternehmen ist jedoch nicht die Regulierung allein. Entscheidend ist die Fähigkeit, Innovation, Sicherheit und Compliance gleichzeitig zu skalieren. Wer jede neue KI-Anwendung von Grund auf beurteilt, verliert Geschwindigkeit. Wer dagegen wiederverwendbare Prüfprozesse, Vertragsbausteine und technische Schutzmechanismen etabliert, kann neue Lösungen schneller und kontrollierter einführen.

Governance ist damit mehr als eine Pflichtübung. Richtig aufgebaut, schafft sie Vertrauen bei Kunden, verkürzt Beschaffungsprozesse und erleichtert den Zugang zum europäischen Markt. Unternehmen, die nachvollziehbar zeigen können, wie sie KI-Risiken, Datenschutz und Cybersicherheit beherrschen, machen regulatorische Anforderungen zu einem Wettbewerbsvorteil. Die Rechtskommission von swissICT bleibt dabei auch 2027 eine wichtige Ansprechpartnerin für Schweizer ICT-Unternehmen.