Ihre Anwendung nutzt eine API, um Kunden zu antworten, Texte zu verfassen oder Bilder zu erzeugen. Wer muss die Nutzer informieren? Wer muss die Kennzeichnung der Inhalte sicherstellen? Und betrifft dies auch ein Schweizer Unternehmen?
Die Transparenzpflichten nach Artikel 50 des EU AI Act gelten seit dem 2. August 2026. Für die Kennzeichnungspflichten nach Artikel 50 Absatz 2 besteht eine Übergangsfrist bis zum 2. Dezember 2026, ausschliesslich für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.
Der Einsatz eines fremden Modells allein bestimmt Ihre Pflichten noch nicht. Auch Ihre Rolle, Ihre Anwendung und deren Nutzung sind entscheidend.
Die wichtigsten Termine
Der AI Act, Verordnung (EU) 2024/1689, trat am 1. August 2024 in Kraft. Seine Anforderungen gelten schrittweise.
| Datum | Etappe |
|---|---|
| 2. Februar 2025 | Erste Verbote von KI-Praktiken und Bestimmungen zur KI-Kompetenz gelten |
| 2. August 2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten, mit Übergangsregeln für bestehende Modelle |
| 2. August 2026 | Transparenzpflichten nach Artikel 50 gelten |
| 2. Dezember 2026 | Frist nach Artikel 50 Absatz 2 für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden |
| 2. Dezember 2027 | Wesentliche Anforderungen für Hochrisiko-Systeme nach Anhang III gelten |
| 2. August 2028 | Wesentliche Anforderungen für Hochrisiko-Systeme im Zusammenhang mit regulierten Produkten nach Anhang I gelten |
Die letzten beiden Termine berücksichtigen die Verordnung (EU) 2026/1744, den Digital Omnibus zur KI. Die Verschiebung eines Teils der Hochrisiko-Regeln verschiebt nicht sämtliche Transparenzpflichten.
Quellen: Artikel 113, Artikel 111 und Änderungsverordnung.
Entwickler, Anbieter oder Betreiber?
Der Modellanbieter entwickelt und vermarktet das zugrunde liegende Modell. Der Systemanbieter entwickelt eine KI-Anwendung oder lässt sie entwickeln und bringt sie unter seinem Namen in Verkehr oder nimmt sie in Betrieb. Der Betreiber verwendet ein System in eigener Verantwortung, ausser im Rahmen persönlicher, nicht beruflicher Tätigkeiten.
Kauft Ihr Unternehmen einen bestehenden Assistenten für Mitarbeitende? Dann handelt es in der Regel als Betreiber. Vermarktet es einen eigenen Support-Assistenten auf Basis einer fremden API? Dann kann es Systemanbieter sein, auch ohne das Modell selbst trainiert zu haben.
Eine Organisation kann mehrere Rollen übernehmen. Die Konformität Ihres Modellanbieters belegt nicht automatisch die Konformität Ihrer Anwendung.
Quelle: Begriffsbestimmungen in Artikel 3.
Was Artikel 50 praktisch verlangt
Menschen über die Interaktion mit KI informieren
Bei Systemen, die direkt mit Menschen interagieren sollen, müssen Anbieter sicherstellen, dass diese wissen, dass sie mit KI kommunizieren, sofern dies im Kontext nicht offensichtlich ist. Die Information muss klar, zugänglich und spätestens bei der ersten Interaktion verfügbar sein. Ein versteckter Hinweis in den Geschäftsbedingungen ist praktisch ungeeignet.
Synthetische Inhalte kennzeichnen
Anbieter von Systemen, die Texte, Bilder, Audio oder Video erzeugen, müssen unter den Bedingungen von Artikel 50 Absatz 2 eine maschinenlesbare Kennzeichnung und die Erkennbarkeit des künstlichen Ursprungs sicherstellen. Ein sichtbarer Hinweis in der Oberfläche und eine technische Kennzeichnung erfüllen unterschiedliche Funktionen.
Ausnahmen umfassen bestimmte Standardbearbeitungen. Die Leitlinien erläutern zudem, dass Quellcode und bestimmte Ergebnisse, die ausschliesslich zwischen Maschinen verarbeitet werden und keinen Menschen erreichen, ausserhalb dieser Pflicht liegen. Ein Aufruf zwischen Ihrem Server und einer API schliesst Inhalte, die anschliessend einem Menschen gezeigt werden, nicht automatisch aus.
Bestimmte Nutzungen und Veröffentlichungen offenlegen
Besondere Pflichten betreffen Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung, Deepfakes sowie Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden.
Für solche Texte gilt eine Ausnahme, wenn eine menschliche Überprüfung oder redaktionelle Kontrolle den Inhalt sachlich prüft und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt. Eine Rechtschreibprüfung reicht nicht aus. Diese Ausnahme hebt andere anwendbare Pflichten für das System nicht auf.
Quellen: Artikel 50 und FAQ der Kommission.
Drei Situationen, die Sie in Ihrer Anwendung prüfen sollten
| Situation | Zu prüfende Pflicht oder Ausnahme | Praktische Prüfung |
|---|---|---|
| Ein Chatbot antwortet Kunden direkt | Der Systemanbieter muss Menschen ab der ersten Interaktion informieren, sofern der KI-Einsatz nicht offensichtlich ist. Auch die Kennzeichnung der Antworten ist zu prüfen. | Den Hinweis auf Mobilgeräten und in jeder Sprache testen; die Kennzeichnung nach Streaming oder Export prüfen. |
| Ein Werkzeug erzeugt Quellcode | Die Leitlinien nehmen Quellcode von der Kennzeichnungspflicht nach Artikel 50 Absatz 2 aus. Andere Inhalte und Interaktionen müssen weiterhin geprüft werden. | Code von natürlichsprachlichen Erklärungen trennen und jede Ausgabe separat beurteilen. |
| Ein KI-Text informiert die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse | Der Betreiber muss den KI-Ursprung offenlegen, ausser bei sachlicher menschlicher Überprüfung oder redaktioneller Kontrolle mit übernommener redaktioneller Verantwortung. | Die geprüfte Fassung und Freigaben aufbewahren; die redaktionell verantwortliche Person oder Organisation bestimmen. |
Diese Beispiele folgen den Unterscheidungen in der FAQ der Kommission. Sie helfen, Ihre Prüfungen zu organisieren; sie sind keine Konformitätsbescheinigung.
Kann ein Schweizer Unternehmen betroffen sein?
Ja. Artikel 2 erfasst unter anderem bestimmte Anbieter ausserhalb der Union, die ein System oder Modell auf den EU-Markt bringen. Er erfasst auch Anbieter und Betreiber in Drittstaaten, wenn die Ergebnisse ihres Systems in der Union verwendet werden.
Bei einem Schweizer KI-Produkt für europäische Kunden muss daher der Anwendungsbereich geprüft werden. Hosting in der Schweiz schafft keine automatische Ausnahme. Ausschliesslich schweizerische Tätigkeiten können ausserhalb des territorialen EU-Anwendungsbereichs liegen und dennoch dem anwendbaren Schweizer Recht unterstehen.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält fest, dass das Datenschutzgesetz bereits auf KI-gestützte Bearbeitungen von Personendaten anwendbar ist, wenn seine Voraussetzungen erfüllt sind.
Quellen: Artikel 2 und Position des EDÖB.
Beispiel: ein Support-Assistent für europäische Kunden
Ein Schweizer Unternehmen vermarktet seinen eigenen Support-Assistenten an europäische Unternehmen. Der Assistent nutzt eine Modell-API und antwortet direkt auf Anfragen der Kunden dieser Unternehmen.
Ein praktisches Vorgehen, das Sie an das Produkt anpassen können:
- Rollen klären. Das Schweizer Unternehmen kann Systemanbieter sein; sein Geschäftskunde kann Betreiber sein. Dokumentieren Sie, wer welche Pflicht übernimmt.
- Den Hinweis rechtzeitig anzeigen. Vor dem ersten Austausch etwa: «Sie sprechen mit einem KI-Assistenten. Seine Antworten können Fehler enthalten.» Passen Sie Sprache und Zugänglichkeit an die Nutzer an.
- Die Kennzeichnung prüfen. Fragen Sie den Anbieter, wie sie funktioniert, und prüfen Sie, ob Streaming, Formatumwandlung oder Export sie erhalten. Ein Feld
ai_generated: truebelegt für sich allein nicht, dass die Lösung die Anforderungen erfüllt. - Abhängigkeiten dokumentieren. Erfassen Sie das angefragte Modell, die veröffentlichte Route, relevante Bearbeitungsbedingungen und die Version des Nutzerhinweises. Planen Sie eine neue Prüfung bei einem Anbieterwechsel.
- Nützliche Nachweise aufbewahren. Speichern Sie eine Aufnahme des Hinweises und die Prüfergebnisse. Definieren Sie separat den Bedarf an Anwendungslogs, Zugriffsrechte und Aufbewahrungsfristen.
Dies ist ein Beispiel für die technische Organisation. Die rechtliche Einordnung hängt vom Produkt und seiner Nutzung ab.
Ist eine unabhängige Prüfung erforderlich?
Artikel 50 verlangt keine allgemeine unabhängige Prüfung für jedes Unternehmen, das eine KI-API verwendet. Dokumentations-, Protokollierungs- und Konformitätsbewertungspflichten für Hochrisiko-Systeme ergeben sich aus anderen Bestimmungen; die Verfahren hängen vom jeweiligen System ab.
Trotzdem können Kunden oder Sicherheitsteams fragen: Welches Modell bearbeitet Anfragen, welche Organisationen erhalten Daten und welche Informationen werden aufbewahrt? Vorbereitete Antworten erleichtern Anbieterprüfungen.
Quellen: Artikel 12, Artikel 26 und Artikel 43.
Wie RouterLab dieses Vorgehen unterstützt
RouterLab zentralisiert den Zugang zu veröffentlichten Modellrouten, Berechtigungen, Nutzungsverfolgung und Credits. Das Dashboard zeigt die veröffentlichte logische Route und den Verbrauch; es legt das detaillierte interne Routing nicht offen.
Die von RouterLab angebotenen Open-Source-Modelle laufen auf seiner Infrastruktur in der Schweiz und in Deutschland. Proprietäre Routen verwenden je nach ausgewähltem Modell und Route externe Anbieter. Deren Bedingungen zur Datenbearbeitung und Aufbewahrung gelten.
RouterLab protokolliert oder archiviert die Inhalte von Prompts und Antworten nicht dauerhaft. Der technische Antwortcache ist mit einer Gültigkeitsdauer von 10 Minuten konfiguriert. Er kann daher Inhalte eines Austauschs vorübergehend speichern; dies ist keine Zusage einer Aufbewahrungsdauer von null. Diese Dauer gilt für den RouterLab-Cache, nicht für die Aufbewahrungsregeln externer Anbieter. Betriebliche Ereignisse und Metadaten werden für Nutzung, Credits und Support aufbewahrt.
Diese Transparenz hilft, Ihre Abhängigkeiten zu beschreiben. Sie ersetzt keine Hinweise in Ihrer Anwendung, keine Herkunftsnachweise für Inhalte, keine Konformitätsnachweise und keine Logs für Ihren konkreten Anwendungsfall. Rechtliche Zusagen richten sich nach den anwendbaren Vertragsdokumenten.
Lesen Sie mehr über unsere Infrastruktur und ihre Grenzen und die Funktionsweise von RouterLab.
Ihre erste Checkliste
- Ihre Rolle für jede Anwendung bestimmen.
- Den territorialen Anwendungsbereich prüfen, besonders bei europäischen Kunden.
- Hinweise in Interaktionen mit Menschen testen.
- Kennzeichnung und Umwandlung von Inhalten prüfen.
- Anbieter und Bearbeitungsbedingungen dokumentieren.
- Nützliche Nachweise und angemessene Aufbewahrung festlegen.
Für den Einstieg in die Infrastruktur stehen Ihnen die API-Dokumentation und der Modellkatalog zur Verfügung. Ihre Anwendung sollte nachvollziehbar bleiben, wenn sich Modell, Anbieter oder Nutzerablauf ändern.
Ihren ersten API-Ablauf testen
Starten Sie einen RouterLab-Testzugang, wählen Sie ein im Test verfügbares Modell und folgen Sie der API-Anleitung, um eine erste Anfrage mit synthetischen Daten auszuführen. Prüfen Sie anschliessend den Verbrauch im Dashboard und den KI-Hinweis in Ihrer eigenen Oberfläche. Der Test hilft, Integration und Nutzungsverfolgung zu prüfen; er bestätigt nicht die rechtliche Konformität Ihrer Anwendung.
Regulatorische Informationen geprüft am 10. Oktober 2026. Dieser Artikel enthält allgemeine technische und regulatorische Informationen und stellt keine Rechtsberatung dar. Die Pflichten hängen vom System, seinem Zweck, der Rolle der Organisation und der anwendbaren Rechtsordnung ab.
Testen Sie die RouterLab-API
Gehen Sie von einem Artikel zu einer tatsächlichen Abfrage über: Erstellen Sie eine Testversion, rufen Sie einen Schlüssel ab und rufen Sie Modelle über eine OpenAI-kompatible API auf.