KI-Regulierung Schweiz 2026: Was bereits gilt und was erst geplant ist

KI-Regulierung Schweiz 2026 bedeutet für Kanzleien nicht, auf ein neues KI-Gesetz zu warten. Ein solches Gesetz gilt derzeit nicht. Trotzdem erfassen das Datenschutzrecht, das anwaltliche Berufsrecht und das Strafrecht viele KI-Anwendungen schon heute. Bis Ende 2026 ist erst eine Vernehmlassungsvorlage angekündigt. Für die Praxis zählt deshalb die Trennung zwischen geltendem Recht und politischem Fahrplan.

Die kurze Antwort: Was gilt, was ist geplant?

Die Schweiz verfolgt bislang keinen umfassenden "AI Act" nach dem Vorbild der EU. Die Bundeskanzlei und das Bundesamt für Justiz halten weiterhin fest, dass es keine übergreifende Gesetzgebung spezifisch zu KI gibt. Das heisst aber nicht, dass KI in einem rechtsfreien Raum eingesetzt wird.

Für eine Schweizer Kanzlei oder ein Legal Team sind heute vor allem vier bestehende Rechtsbereiche relevant:

1. Das Datenschutzgesetz gilt, sobald mit dem KI-System Personendaten bearbeitet werden.

2. Für Anwältinnen und Anwälte bleiben Sorgfalt und gewissenhafte Berufsausübung nach Art. 12 BGFA massgeblich.

3. Das Berufsgeheimnis nach Art. 13 BGFA und Art. 321 StGB entfällt nicht, wenn ein externer Dienstleister einbezogen wird; die Einordnung und vertragliche Absicherung der beteiligten Personen sind gesondert zu prüfen.

4. Je nach Einsatz können weitere Regeln hinzukommen, etwa Vertrags-, Arbeits-, Urheber- oder Verfahrensrecht.

Geplant ist eine Vernehmlassungsvorlage zur KI-Regulierung. Das BJ soll sie bis Ende 2026 ausarbeiten. Vorgesehen sind gesetzliche Massnahmen insbesondere zu Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Parallel sollen nicht verbindliche Instrumente wie Branchenlösungen oder Selbstverpflichtungen geprüft werden. Weder der Arbeitsauftrag noch eine künftige Vernehmlassungsvorlage begründen heute schon neue Pflichten für Kanzleien.

Die Rechtslage für Legal Work auf einen Blick

Diese Übersicht ist bewusst funktionsbezogen. Ob eine Vorschrift eingreift, hängt nicht vom Etikett "KI" ab, sondern davon, welche Daten bearbeitet werden, welche Aufgabe das System erfüllt, wer entscheidet und wohin Informationen fliessen.

Das Datenschutzgesetz gilt bereits für KI

Der EDÖB stellt ausdrücklich klar, dass das Schweizer Datenschutzgesetz technologieneutral formuliert und direkt auf KI-gestützte Bearbeitungen von Personendaten anwendbar ist. Für Legal Work ist das häufig der erste konkrete Prüfpunkt: Enthalten ein Vertrag, ein Schriftsatz, ein E-Mail-Verlauf oder ein Datenraum Informationen über bestimmbare natürliche Personen, ist der KI-Einsatz auch eine Datenbearbeitung.

Das bedeutet nicht, dass jede KI-Nutzung gleich behandelt wird. Eine Recherche in veröffentlichten Gesetzen und Entscheiden hat ein anderes Risikoprofil als die Analyse eines arbeitsrechtlichen Dossiers mit Gesundheitsdaten. Relevant sind insbesondere Zweck, Art und Umfang der Daten, Zugriffsrechte, Speicherung, Modelltraining, Unterauftragnehmer und mögliche Bekanntgaben ins Ausland.

Art. 6 revDSG enthält die allgemeinen Bearbeitungsgrundsätze. Art. 7 revDSG verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Wird ein Anbieter mit der Bearbeitung beauftragt, ist Art. 9 revDSG zu prüfen. Das verlangt eine konkrete Rollen- und Vertragsanalyse. Ein Anbieter ist nicht schon deshalb in jeder Konstellation Auftragsbearbeiter, weil sein Produkt KI verwendet.

Auch eine Datenschutz-Folgenabschätzung ist keine automatische Folge des Wortes "KI". Nach Art. 22 revDSG ist sie erforderlich, wenn eine geplante Bearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Der EDÖB nennt neue Technologien als einen möglichen Risikofaktor, stellt aber auf Art, Umfang, Umstände und Zweck der Bearbeitung ab. Ein dokumentierter Trigger-Test ist deshalb belastbarer als die pauschale Regel "KI braucht immer eine DSFA".

Besondere Aufmerksamkeit verdient die automatisierte Einzelentscheidung. Wenn ein System ohne menschliches Zutun eine Entscheidung trifft, die für eine Person Rechtsfolgen hat oder sie erheblich beeinträchtigt, können besondere Informations- und Überprüfungsrechte greifen. Der EDÖB erläutert zu Art. 21 DSG, dass die betroffene Person grundsätzlich informiert werden und eine menschliche Überprüfung verlangen können muss. Eine KI, die einer Juristin einen Vertragsentwurf oder Recherchehinweis liefert, ist davon zu unterscheiden: Dort entscheidet weiterhin ein Mensch. Diese Rollenverteilung sollte nicht nur behauptet, sondern im Prozess tatsächlich gelebt und dokumentiert werden.

Der vertiefende Beitrag KI und Schweizer DSG behandelt Datenschutz, DSFA, Auftragsbearbeitung und Auslandtransfers im Detail. Der neue Regulierungsartikel ersetzt diese Detailseite nicht, sondern ordnet das DSG in den gesamten Schweizer Rechtsrahmen ein.

Berufsrecht und Berufsgeheimnis warten nicht auf ein KI-Gesetz

Für eingetragene Anwältinnen und Anwälte kommt zum Datenschutzrecht das Berufsrecht hinzu. Art. 12 BGFA verpflichtet zur sorgfältigen und gewissenhaften Berufsausübung. Art. 13 BGFA schützt das Berufsgeheimnis; Art. 321 StGB sichert bestimmte Berufsgeheimnisse strafrechtlich ab. Keine dieser Regeln enthält eine Ausnahme für generative KI.

Die praktische Konsequenz ist zweigeteilt.

Erstens bleibt die fachliche Verantwortung bei der Anwältin oder beim Anwalt. Ein KI-Output ist eine Arbeitshilfe, kein Beweis für die Richtigkeit einer Rechtsaussage. Quellen müssen existieren, zum Sachverhalt passen und den aktuellen Rechtsstand wiedergeben. Bei Vertragsklauseln sind Parteiperspektive, Verhandlungskontext und Wechselwirkungen mit anderen Bestimmungen zu prüfen. Je höher die rechtliche Tragweite, desto weniger genügt eine Plausibilitätskontrolle.

Zweitens muss das Berufsgeheimnis entlang des tatsächlichen Datenflusses geprüft werden. Entscheidend ist nicht nur, wo die Benutzeroberfläche gehostet wird. Zu klären sind auch Inferenzregionen, Protokollierung, Aufbewahrungsfristen, menschliche Zugriffsmöglichkeiten, Modelltraining sowie alle Unterauftragnehmer. Ebenso wichtig ist die vertragliche Einbindung. Ob und unter welchen Voraussetzungen eine Anbieterin oder einzelne Personen als Hilfspersonen eingeordnet werden können, ist eine konkrete rechtliche Frage und keine automatische Produkteigenschaft.

Die SAV-Wegleitung zu KI ist hierfür eine nützliche Praxisquelle. Sie ist jedoch selbst kein Gesetz und keine eigenständige Sanktionsnorm. Ihr Wert liegt darin, bestehende Pflichten für KI-Workflows zu konkretisieren. Wer wissen will, was die Wegleitung für Toolauswahl, Output-Prüfung und interne Regeln bedeutet, findet dort die Detailanalyse.

Was die Schweiz bis Ende 2026 erst vorbereitet

Der Bundesrat hat die Verwaltung beauftragt, bis Ende 2026 eine Vernehmlassungsvorlage für neue Regeln zur Nutzung von KI auszuarbeiten. Nach dem aktuellen Informationsstand des Bundes soll das Gesetzesprojekt insbesondere Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht umfassen. Daneben erarbeitet der Bund einen Plan für rechtlich nicht verbindliche Massnahmen wie Branchenlösungen oder Selbstverpflichtungen.

Mehr lässt sich vor Veröffentlichung des Entwurfs nicht belastbar sagen. Es wäre zu früh, heute konkrete Pflichten, Risikoklassen oder Sanktionen für Schweizer Kanzleien aus einem noch nicht publizierten Gesetzestext abzuleiten. Ebenso offen ist, welche bestehenden Gesetze angepasst werden, welche sektoralen Regeln hinzukommen und welche Übergangsfristen ein später verabschiedeter Erlass enthalten würde.

Der Zeitplan ist zudem ein politischer und gesetzgeberischer Fahrplan, kein Inkrafttretensdatum. Auf eine Vernehmlassung folgen Auswertung, Botschaft, parlamentarische Beratung und gegebenenfalls ein Referendum. Auch wenn der Entwurf Ende 2026 erscheint, entsteht daraus nicht über Nacht geltendes Recht.

Für Legal Teams folgt daraus eine einfache Monitoring-Regel: Jetzt die bestehenden Pflichten sauber umsetzen. Nach Veröffentlichung der Vorlage den tatsächlichen Text prüfen. Erst dann eine Gap-Analyse zwischen aktueller Governance und den vorgeschlagenen neuen Pflichten erstellen.

Die Europaratskonvention ist unterzeichnet, aber nicht ratifiziert

Die Schweiz hat die Rahmenkonvention des Europarats über künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit am 27. März 2025 unterzeichnet. Die offizielle Vertragstabelle des Europarats weist für die Schweiz weiterhin eine Unterzeichnung, aber keine Ratifikation aus. Nach dem dort ausgewiesenen Vertragsstatus ist auch die Schwelle für das internationale Inkrafttreten der Konvention noch nicht erreicht.

Diese Unterscheidung ist zentral. Die Konvention ist ein völkerrechtlicher Referenzrahmen. Aus der Schweizer Unterzeichnung allein folgt aber nicht, dass jede materielle Bestimmung bereits unmittelbar als neues Schweizer Kanzleirecht gilt. Nach Darstellung des BJ soll die geplante Schweizer Regelung gerade die Voraussetzungen schaffen, damit die Schweiz die Konvention ratifizieren kann.

Für die Praxis darf die Konvention daher als Orientierung für künftige Themen dienen, etwa Grundrechte, Transparenz, Nichtdiskriminierung und Aufsicht. Sie ersetzt aber nicht die Prüfung der heute geltenden Normen und rechtfertigt keine Aussage wie "die neue Schweizer KI-Regulierung gilt bereits".

Der EU AI Act ist eine separate Anwendungsbereichsfrage

Der EU AI Act darf nicht als Schweizer KI-Gesetz dargestellt werden. Er ist ein eigener EU-Rechtsrahmen mit einem eigenen persönlichen, sachlichen und räumlichen Anwendungsbereich. Für eine Schweizer Kanzlei kann er relevant werden, doch ein EU-Mandat oder eine EU-Klientin führt nicht automatisch für jeden internen KI-Workflow zur gleichen rechtlichen Einordnung.

Zu prüfen sind mindestens die Rolle der Organisation, das konkrete KI-System, sein Verwendungszweck und der tatsächliche EU-Bezug. Welche Pflichten zu welchem Zeitpunkt gelten, muss anschliessend für genau diese Konstellation geprüft werden. Pauschale Sätze über eine einheitliche Geltung für alle Systeme und Rollen sind zu grob.

Die Einzelheiten gehören in die bestehende Analyse EU AI Act und Legal Tech. Der Schweizer Regulierungsartikel beschränkt sich bewusst auf die Abgrenzung: Schweizer Recht zuerst anhand des Schweizer Workflows prüfen, den EU AI Act anschliessend als eigenständige zweite Ebene.

Ein juristischer Sieben-Punkte-Check für jeden KI-Workflow

Statt ein abstraktes "KI-Risiko" zu bewerten, lässt sich jeder Anwendungsfall mit sieben konkreten Fragen prüfen.

1. Aufgabe: Unterstützt das System Recherche, Entwurf oder Analyse, oder trifft es eine Entscheidung über eine Person?

2. Daten: Werden öffentliche Quellen, Personendaten, besonders schützenswerte Personendaten oder geheimnisgeschützte Mandatsinformationen bearbeitet?

3. Rollen: Wer bestimmt Zweck und Mittel der Bearbeitung? Welche Anbieter und Unterauftragnehmer sind beteiligt?

4. Datenfluss: Wo erfolgen Inferenz, Speicherung und Supportzugriff? Werden Eingaben protokolliert oder für Training verwendet?

5. Risikotrigger: Besteht voraussichtlich ein hohes Datenschutzrisiko? Sind automatisierte Einzelentscheidungen oder systematische Bewertungen betroffen?

6. Menschliche Kontrolle: Wer prüft Quellen, Rechtsstand, Klauseln und Schlussfolgerungen, bevor das Ergebnis rechtlich verwendet wird?

7. Nachweis: Sind Freigabe, Anbieterprüfung, Verwendungsgrenzen und Überprüfung so dokumentiert, dass der tatsächliche Prozess nachvollziehbar ist?

Diese Fragen führen zu unterschiedlichen Ergebnissen. Eine Recherche in öffentlichen Entscheiden kann ohne Mandatsdaten auskommen, verlangt aber eine zuverlässige Quellenkontrolle. Eine Massenanalyse von Personalakten kann dagegen umfangreiche besonders schützenswerte Personendaten betreffen und eine DSFA-Prüfung auslösen. Ein Vertragsentwurf mit identifizierenden Mandatsinformationen berührt möglicherweise Datenschutz und Berufsgeheimnis, auch wenn das System keine automatisierte Einzelentscheidung trifft.

Ein Beispiel zeigt die notwendige Trennung: Nutzt eine Anwältin KI, um in veröffentlichten Bundesgerichtsentscheiden nach einer Rechtsfrage zu suchen, liegt der Schwerpunkt auf Quellenqualität, Aktualität und fachlicher Kontrolle. Lädt sie anschliessend den unveröffentlichten Vertragsentwurf der Klientschaft hoch, kommen Datenfluss und Berufsgeheimnis hinzu. Lässt ein Unternehmen schliesslich Bewerbungen ohne menschliche Zwischenprüfung bewerten, können besonders schützenswerte Daten, ein hohes Risiko und eine automatisierte Einzelentscheidung relevant werden. Es handelt sich technisch vielleicht dreimal um dasselbe Sprachmodell, rechtlich aber um drei verschiedene Bearbeitungen.

Deshalb sollte eine Freigabe nie nur für einen Produktnamen erteilt werden. Sie gehört zu einem beschriebenen Anwendungsfall mit erlaubten Daten, festgelegter Konfiguration und verantwortlicher Kontrolle. Ändern sich Zweck, Datenmenge oder Automatisierungsgrad, muss die Bewertung erneut geöffnet werden. Diese use-case-bezogene Governance schützt auch vor der falschen Annahme, ein einmal geprüfter Anbieter mache jede spätere Nutzung automatisch zulässig.

Auch bei CASUS bleibt die fachliche Kontrolle beim Menschen: Die CASUS-KI liefert Entwürfe und Vorschläge, die unvollständig oder fehlerhaft sein können und vor der Verwendung von einer juristischen Person geprüft werden müssen.

Was Kanzleien jetzt tun sollten

Der sinnvollste nächste Schritt ist keine Prognose über den endgültigen Schweizer Gesetzestext, sondern ein begrenztes Inventar der heute verwendeten Systeme. Pro Tool sollten Anwendungsfälle, Datenkategorien, Rollen, Datenflüsse und menschliche Kontrollen festgehalten werden. Danach lassen sich die bestehenden Anforderungen gezielt zuordnen.

Besonders dringlich sind drei Lücken: nicht freigegebene Consumer-Tools, unklare Daten- und Zugriffsketten sowie fehlende Regeln zur fachlichen Prüfung von Outputs. Eine kurze, verbindliche Nutzungsrichtlinie kann festlegen, welche Daten in welche Systeme eingegeben werden dürfen, wann eine zusätzliche Freigabe nötig ist und wer Ergebnisse kontrolliert.

Die künftige Regulierung gehört als eigener Beobachtungspunkt in die Governance. Verantwortlich sollte eine benannte Person sein, die den Entwurf nach seiner Veröffentlichung auswertet. Bis dahin genügt es nicht, "AI Act ready" auf eine Einkaufsliste zu schreiben. Gefragt ist die nachweisbare Umsetzung des Rechts, das für den konkreten Workflow tatsächlich gilt.

Wenn du einen Legal-AI-Workflow mit prüfpflichtigen Entwürfen und Vorschlägen testen möchtest, kannst du CASUS kostenlos ausprobieren. Die rechtliche Bewertung des konkreten Einsatzes bleibt Aufgabe der verantwortlichen Organisation und ihrer Rechtsberatung.

FAQ

Gibt es 2026 ein Schweizer KI-Gesetz?

Nein. Am 18. September 2026 besteht nach Angaben von Bundeskanzlei und BJ keine übergreifende Schweizer Gesetzgebung spezifisch zu KI. Bis Ende 2026 ist eine Vernehmlassungsvorlage angekündigt. Bestehende Gesetze wie das DSG und das anwaltliche Berufsrecht gelten unabhängig davon bereits heute.

Gilt das Schweizer Datenschutzgesetz für KI?

Ja, sofern Personendaten bearbeitet werden. Das DSG ist technologieneutral und nach ausdrücklicher Einordnung des EDÖB direkt auf KI-gestützte Datenbearbeitungen anwendbar. Welche Pflichten konkret greifen, hängt von Zweck, Daten, Rollen, Risiko und Datenfluss des jeweiligen Anwendungsfalls ab.

Braucht jede Kanzlei für KI eine Datenschutz-Folgenabschätzung?

Nein. Eine DSFA ist nach Art. 22 revDSG bei einer geplanten Bearbeitung mit voraussichtlich hohem Risiko erforderlich. Neue Technologie ist ein Risikofaktor, aber nicht der einzige. Art, Umfang, Umstände und Zweck der Bearbeitung müssen im konkreten Fall bewertet werden.

Dürfen Anwältinnen und Anwälte generative KI verwenden?

Ein generelles Verbot besteht nicht. Der Einsatz muss jedoch mit Sorgfalt, Berufsgeheimnis, Datenschutz und den Pflichten des konkreten Mandats vereinbar sein. Besonders wichtig sind die Prüfung des Outputs sowie eine belastbare Klärung von Datenflüssen, Zugriffen, Aufbewahrung und Unterauftragnehmern.

Gilt die KI-Konvention des Europarats schon in der Schweiz?

Die Schweiz hat die Konvention am 27. März 2025 unterzeichnet, aber nach dem aktuellen Vertragsstatus noch nicht ratifiziert. Die Unterzeichnung allein ist nicht mit einer bereits umgesetzten neuen Schweizer Kanzleipflicht gleichzusetzen. Die geplante Vorlage soll die rechtlichen Voraussetzungen für eine Ratifikation schaffen.

Gilt der EU AI Act automatisch für Schweizer Kanzleien?

Nein. Seine Anwendbarkeit muss separat nach Rolle, System, Verwendungszweck und EU-Bezug geprüft werden. Er ist weder das Schweizer KI-Gesetz noch gilt er allein deshalb vollständig, weil eine Kanzlei gelegentlich ein EU-Mandat bearbeitet.

Was ist der wichtigste Schritt vor dem Einsatz eines KI-Tools?

Der konkrete Workflow muss vor der Freigabe beschrieben werden: Aufgabe, Daten, beteiligte Anbieter, Speicher- und Zugriffskette, mögliche Risikotrigger und menschliche Kontrolle. Erst danach lässt sich zuverlässig bestimmen, welche bestehenden Pflichten gelten und welche Nachweise benötigt werden.

*Stand: 18. September 2026. Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.*