EU AI Act und Schweiz: Warum KI-Kompetenz zum Security-Thema wird
Regulierungen wie der EU AI Act lösen bei vielen IT- und Sicherheitsverantwortlichen in der Schweiz denselben Reflex aus: Sie hoffen, dass der Kelch an ihnen vorbeigeht, oder schieben das Thema auf die lange Bank der Rechtsabteilung. Doch wer den EU AI Act als reine Compliance-Übung abtut, übersieht den entscheidenden Hebel für die eigene Cyber-Security.
Besonders ein Begriff rückt dabei in den Fokus: AI Literacy (KI-Kompetenz).
Seit dem 2. Februar 2025 verlangt die EU von Anbietern und Betreibern konkrete Massnahmen, um die KI-Kompetenz der Mitarbeitenden sicherzustellen, eine Anforderung, deren behördliche Durchsetzung ab August 2026 nochmals drastisch an Schärfe gewinnt.
Das hat direkte Auswirkungen auf die Schweiz. Denn über internationale Lieferketten, EU-Kunden, globale Konzerne oder digitale Services geraten Schweizer Unternehmen viel schneller in den Anwendungsbereich, als es ein Blick auf die Landesgrenzen vermuten lässt. Die entscheidende Frage ist daher nicht mehr, ob uns die Regulierung betrifft, sondern wie wir KI-Kompetenz pragmatisch nutzen, um unsere eigene Sicherheitsarchitektur widerstandsfähiger zu machen.
Warum der EU AI Act die Schweizer Wirtschaft indirekt reguliert
Auch ohne direkte gesetzliche Pflicht in der Schweiz entstehen regulatorische Anforderungen zunehmend indirekt. Kunden, Partner, Haftpflichtversicherer oder Auditoren in der EU werden künftig standardisiert wissen wollen, wie Schweizer Zulieferer und Dienstleister KI einsetzen, absichern und nachvollziehbar steuern.
Wer mit europäischen Partnern kooperiert oder Teil einer globalen Supply Chain ist, sollte darauf vorbereitet sein, im nächsten Audit Fragen wie diese präzise zu beantworten:
- Inventar: Welche KI-Werkzeuge sind im Unternehmen tatsächlich im Einsatz?
- Datenschutz: Welche Datenklassen werden in welchen Prompts verarbeitet?
- Access Management: Wer darf welche KI-Modelle für welche Use Cases nutzen?
- Risiko-Assessment: Wie werden die Risiken neuer KI-Anwendungsfälle bewertet?
- Visibility: Können wir die KI-Nutzung technisch sichtbar machen und steuern?
- Awareness: Sind die Mitarbeitenden geschult, um KI sicher und verantwortungsvoll einzusetzen?
Gleichzeitig bewegt sich auch die Schweiz regulatorisch weiter. Es besteht zwar noch keine übergreifende, spezifische KI-Gesetzgebung, der Bundesrat hat jedoch entschieden, die KI-Konvention des Europarats ratifizieren zu wollen. Die geplante Umsetzung soll Transparenz, Datenschutz, Nichtdiskriminierung und die behördliche Aufsicht adressieren. Für Schweizer Unternehmen bedeutet das: KI-Governance, Datenschutz, IT-Security und Employee Awareness wachsen unaufhaltsam enger zusammen.
Die eigentliche Security-Frage
| Risiko | Security-Relevanz |
|---|---|
| Sensible Daten in KI-Tools | Prompts können vertrauliche Informationen, Personendaten oder internes Know-how enthalten, die ungesichert an Drittsysteme fliessen. |
| Shadow AI | Nicht freigegebene Tools entziehen sich Kontrolle der IT-Security, Logging und Risikobewertung. |
| Ungeprüfte KI-Ergebnisse | Blindes Vertrauen in KI-Outputs kann dazu führen, dass manipulierte, fehlerhafte oder veraltete Daten in Geschäftsprozesse einfliessen. |
| Deepfakes und KI-Phishing | Durch generative KI werden Angriffe über E-Mail oder Social Engineering realistischer, hochgradig personalisiert und im Alltag schwerer erkennbar. |
| Unklare Verantwortung | Ohne definierte Governance bleibt offen, wer die Nutzung, die Freigaben und das kontinuierliche Monitoring der Systeme verantwortet. |
Klassische technische Kontrollen wie IAM, DLP, CASB, EDR, Mail Security oder SIEM bleiben das unverzichtbare Fundament. Gerade bei Künstlicher Intelligenz geht es jedoch um mehr als reine Technik. Es geht um Kontext, menschliche Einschätzung und das richtige Verhalten im Moment der Nutzung.
AI Literacy braucht Mensch und Technik
Der EU AI Act versteht unter AI Literacy die Fähigkeit, die Chancen, Grenzen und Risiken von KI-Systemen je nach eigener Rolle, Erfahrung und Nutzungskontext fundiert einschätzen zu können.
Aus unserer Perspektive als Cybersecurity-Spezialisten bedeutet das: Eine sichere KI-Nutzung funktioniert niemals über reine Verbots-Richtlinien auf dem Papier. Sie muss im Alltag verstanden, trainiert und durch moderne Technologie begleitet werden. Erst an der Schnittstelle von menschlicher Awareness und technischen Security Controls entsteht echter Schutz.
Die Human-Ebene: Awareness mit SoSafe
Mitarbeitende müssen keine KI-Entwickler werden, aber sie müssen ein feines Gespür für Datenflüsse und KI-gestützte Angriffe entwickeln. Moderne Awareness-Plattformen wie SoSafe adressieren genau diese menschliche Komponente. Durch personalisierte Trainings, kontinuierliche Angriffssimulationen und direktes Feedback lernen Teams im Alltag, Risiken bei der Tool-Nutzung richtig einzuschätzen, Deepfakes zu entlarven und Anomalien sofort zu melden. Das Ziel ist es, sicheres Verhalten messbar in der Unternehmenskultur zu verankern.
Die Technische Ebene: AI Security mit Cato Networks
Die beste Schulung stösst an Grenzen, wenn die technische Visibilität fehlt. Hier greift Cato AI Security (ehemals AIM Security) auf der Netzwerk- und Security-Ebene ein. Die Plattform macht die dezentrale Nutzung von Generativer KI im Unternehmen überhaupt erst sichtbar, deckt unkontrollierte Schatten-KI auf und erzwingt definierte Sicherheits-Policies in Echtzeit. Dadurch wird verhindert, dass sensible Daten per Copy-Paste in nicht autorisierte Sprachmodelle abfliessen, während legitime Business-Use-Cases geschützt weiterlaufen können.
Beide Ansätze schliessen sich nicht aus, sondern bilden eine untrennbare Einheit:
| Ebene | Beitrag zur Resilienz |
|---|---|
| Governance | Definiert die Regeln, Rollen, Verantwortlichkeiten und Freigabeprozesse (z. B. über das Inseya-Governance-Modell). |
| AI Security (Cato) | Schafft Visibilität, blockiert Datenabfluss (DLP) und setzt Policies technisch im Datenstrom durch. |
| Awareness (Sosafe) | Befähigt die Mitarbeitenden im Alltag, Risiken proaktiv zu erkennen, Prompts sicher zu formulieren und Angriffe abzuwehren. |
Unser Blick als Inseya AG
Wir bei der Inseya AG betrachten den EU AI Act und die Diskussion um AI Literacy nicht als bürokratische Hürde, sondern als strategische Chance. Es ist der perfekte Anlass, um die unkontrollierte Schatten-KI anzusprechen, die Nutzung in sichere Bahnen zu lenken und Unternehmen gezielt zu befähigen, mit KI produktiver und innovativer zu werden.
Der Einstieg in eine sichere KI-Zukunft muss dabei nicht hochkomplex sein. Jedes Unternehmen sollte sich initial folgende Kernfragen stellen:
- Sind die Mitarbeitenden an Board?
- Verstehen alle, was das Ziel ist?
- Welche KI-Tools werden genutzt?
- Welche Daten und Prozesse sind betroffen?
- Welche Risiken entstehen daraus?
- Welche technischen Kontrollen greifen bereits?
- Wo braucht es klare Leitplanken?
- Wie wird KI-Kompetenz sinnvoll aufgebaut?
Wir unterstützen Sie dabei, diese Fragen pragmatisch zu beantworten. Aus einer ganzheitlichen Perspektive, die Governance, technische Security und menschliche Awareness nahtlos miteinander verzahnt. In Kombination mit marktführenden Lösungen wie Cato AI Securityund SoSafe machen wir KI-Sicherheit in Ihrem Unternehmen umsetzbar: technisch kontrolliert, organisatorisch sauber geregelt und für Ihre Mitarbeitenden verständlich und einfach im Alltag lebbar.
Fazit: Wettbewerbsfähigkeit durch gesteuerte digitale Reife
Der EU AI Act mag für viele Schweizer KMU rechtlich (noch) nicht zwingend sein, gilt dennoch als ein entscheidender Impulsgeber. Die Arbeitswelt verändert sich durch KI in einer rasanten Geschwindigkeit. Um wettbewerbsfähig zu bleiben, müssen Schweizer Unternehmen diese Technologien konsequent und gezielt in ihre Geschäftsprozesse integrieren.
Pauschale Verbote sind im Zeitalter von BYOD und mobiler Arbeit keine Lösung, und das Ignorieren von Schatten-KI birgt unkalkulierbare Risiken. Der einzige zukunftsfähige Weg ist die kontrollierte Befähigung.
Wenn es uns gelingt, eine klare KI-Governance, technische Security-Kontrollen und zielgerichtete Awareness ineinandergreifen zu lassen, verwandelt sich regulatorischer Druck in einen echten Wettbewerbsvorteil. Es entsteht ein solides Fundament für Effizienzsteigerung und Innovation, ohne unkontrollierte Risiken einzugehen.
Quellen und weiterführende Hinweise
- Europäische Union: Verordnung (EU) 2024/1689 über künstliche Intelligenz, veröffentlicht im Amtsblatt der Europäischen Union.
- Europäische Kommission: Überblick zum EU AI Act und zum Anwendungszeitplan.
- Europäische Kommission: AI Literacy — Questions & Answers zu Artikel 4 des EU AI Acts.
- Bundesrat / admin.ch: KI-Regulierung — Bundesrat will Konvention des Europarats ratifizieren, Medienmitteilung vom 12. Februar 2025.
- BAKOM: Künstliche Intelligenz — Informationen zur Schweizer Auslegeordnung und zum weiteren Vorgehen.
- SoSafe: Herstellerinformationen zur Human Risk Management Platform, personalisiertem Training, Angriffssimulationen, Monitoring und Reporting.
- Cato Networks: Herstellerinformationen zu Cato AI Security, GenAI-Kontrolle, Shadow-AI-Erkennung und Policy Enforcement.
Hinweis: Dieser Beitrag dient der allgemeinen Information und Orientierung im Markt. Er stellt keine rechtliche Beratung dar. In welchem Umfang Ihr Unternehmen direkt oder indirekt vom EU AI Act betroffen ist, erfordert eine individuelle Analyse Ihres Geschäftsmodells und Ihrer Datenströme.
Möchten Sie wissen, wie Sie KI-Governance und technische Kontrollen in Ihrer Organisation pragmatisch zusammenführen?
Lassen Sie uns in einem kurzen, unverbindlichen Fachgespräch Ihre aktuelle KI-Nutzung einordnen und Ihren individuellen Weg definieren:
