Künstliche Intelligenz ist im Unternehmensalltag angekommen. Mitarbeitende nutzen KI für Texte, Analysen oder Softwareentwicklung, teilweise offiziell erlaubt, teilweise unkontrolliert als Schatten-IT. Gleichzeitig entwickeln sich KI-Systeme von unterstützenden Werkzeugen zu «Agenten», die selbstständig Ziele verfolgen und ganze Geschäftsprozesse abdecken.

Damit ist KI längst keine reine IT-Angelegenheit mehr. Fehlerhafter Output, Datenabfluss, die Bearbeitung von Personendaten und autonome Handlungen führen zu neuen Haftungs- und Governance-Fragen. International kommt hinzu, dass ein zentral entwickeltes oder beschafftes System je nach Einsatzland unterschiedlichen Regeln unterliegt.

Der EU AI Act als Treiber, aber nicht als globale Einheitslösung

Der EU AI Act setzt als Produktsicherheits- und Regulierungsgesetz einen umfassenden, risikobasierten Standard. Er griff als eines der ersten KI-Gesetze Themen wie Risikoklassifikation, Datenqualität, Dokumentation, Transparenz, menschliche Aufsicht und technische Sicherheit auf und wird daher bereits von vielen Unternehmen als Referenzrahmen für eine gruppenweite KI-Governance genutzt.

Damit ist das internationale Compliance-Problem jedoch nicht gelöst. Immer mehr Staaten schaffen eigene KI-Gesetze, Leitlinien oder sektorspezifische Vorgaben. Diese behandeln oft ähnliche Grundfragen, unterscheiden sich aber bei Anwendungsbereich, Risikokategorien und Pflichten. Möglich sind etwa zusätzliche Transparenz- oder Registrierungspflichten, lokale Vertreter oder Vorgaben zur Datenverarbeitung im Inland.

Für Unternehmensgruppen entsteht daraus eine zusätzliche Komplexität: Ein KI-System soll möglichst einheitlich betrieben werden, muss aber verschiedene lokale Anforderungen erfüllen. Für jedes neue Gesetz ein separates Compliance-Projekt aufzusetzen, ist weder effizient noch skalierbar.

Thailand als Beispiel für die Regulierungsvielfalt

Thailand zeigt, wie nationale Regulierungen internationale Vorbilder aufnehmen und zugleich eigene Schwerpunkte setzen. Der im Juli 2026 veröffentlichte Entwurf eines thailändischen KI-Gesetzes verfolgt ebenfalls einen risikobasierten Ansatz. Vorgesehen sind unter anderem verbotene Anwendungen, Hochrisiko-Systeme und Systeme mit besonderen Transparenzpflichten. Der Entwurf soll auch ausserhalb Thailands entwickelte oder betriebene Systeme erfassen können, wenn sie Personen in Thailand betreffen.

Neben Risikomanagement, Dokumentation und menschlicher Aufsicht enthält der Entwurf mögliche lokale Besonderheiten. Dazu gehören ein lokaler Koordinator oder Vertreter, Offenlegungspflichten für KI-generierte Inhalte sowie Datenlokalisierung und zwingende Vertragsvorgaben bei Leistungen für Behörden oder kritische Infrastrukturen. Als Durchsetzungsmassnahmen sind nicht nur Geldbussen, sondern auch die Aussetzung, der Rückruf oder die Sperrung eines KI-Systems vorgesehen.

Das Beispiel verdeutlicht das Kernproblem: Ein Schweizer Unternehmen kann dasselbe KI-System in der Schweiz, der EU und Thailand einsetzen. Die technische Anwendung bleibt weitgehend identisch, die rechtlichen Anforderungen sind ebenfalls ähnlich aber nicht ganz gleich.

Gruppenweite KI-Governance als Base Layer

Die Antwort auf diese Regulierungsvielfalt ist eine robuste gruppenweite KI-Governance. Sie bildet einen gemeinsamen Base Layer mit verbindlichen Mindeststandards. Lokale Vorschriften werden als zusätzliche regulatorische Ebene darauf aufgesetzt.

Der Base Layer regelt, wie KI-Systeme gruppenweit erfasst, klassifiziert, beschafft, freigegeben, überwacht und ausser Betrieb genommen werden. Ebenso braucht es klare Verantwortlichkeiten zwischen Geschäftsleitung, IT, Datenschutz, Legal, Compliance und Fachabteilungen.

Bei einem neuen nationalen Gesetz wird geprüft, welche bestehenden Kontrollen bereits genügen und welche lokalen Ergänzungen notwendig sind. Die gruppenweite Governance ersetzt damit die lokale Rechtsprüfung nicht. Sie verhindert aber, dass bei jeder neuen Regulierung wieder bei null begonnen werden muss.

Bewährte IT-Prozesse als Ausgangspunkt

Der Weg zur KI-Compliance beginnt nicht im luftleeren Raum, sondern baut auf einer bestehenden IT-Compliance auf. Jede KI ist im Kern eine Software, die auf einer technischen Infrastruktur läuft, Daten verarbeitet und auf weitere Systeme zugreift. Deshalb gelten zunächst dieselben grundlegenden Prüfmechanismen wie bei der Einführung klassischer Software.

Unternehmen, die bereits über etablierte Prozesse für Softwarebeschaffung, Informationssicherheit, Zugriffsmanagement und Data-Governance verfügen, können diese als Fundament nutzen und gezielt um KI-spezifische Anforderungen ergänzen. Wo eine solche Grundlage bisher fehlt oder nur unzureichend dokumentiert ist, müssen zunächst diese Hausaufgaben erledigt werden.

Die neuen und komplexeren Rechtsfragen der KI lassen sich nicht zuverlässig beantworten, wenn bereits unklar ist, wo die Daten liegen, wer darauf zugreifen darf oder welche Risiken die eingesetzte Software mit sich bringt.

Das grundlegende Assessment betrachtet daher weiterhin die klassischen IT-Schichten:

• Infrastruktur: Wo werden das KI-System und die Daten betrieben? Werden Cloud-Dienste oder eigene Rechenzentrumskapazitäten genutzt? In welchen Ländern befinden sich die Systeme und welche Anbieter oder Konzerngesellschaften erhalten Zugriff?
• Daten und Datenbanken: Welche Qualität, Herkunft und rechtliche Grundlage haben die verarbeiteten Daten? Zu welchem Zweck dürfen sie genutzt werden? Bei KI stellt sich zusätzlich die Frage, ob Daten für Training, Fine-Tuning oder die Verbesserung eines Modells verwendet werden.
• Software and applications: What legal and security-related risks does the solution pose? Is it a SaaS or an on-premises solution? Which access rights does the system receive, and which data may it retrieve, modify or pass on?

Erst wenn diese Ebenen sauber geprüft und dokumentiert sind, beginnt die eigentliche KI-Compliance-Prüfung. Das bestehende IT-Assessment wird somit nicht ersetzt. Die KI-Compliance kommt als zusätzliche Prüfungsebene obendrauf.

KI-Compliance

Auf dem IT-Fundament sitzt die neue KI-Ebene. Sie bringt insbesondere zwei neue Dimensionen mit sich.

Zum einen erzeugt KI neue und teilweise unvorhersehbare Informationen. Nutzt beispielsweise eine Personalabteilung KI zur Vorauswahl von Bewerbungen, generiert das System eine Empfehlung. Es muss geprüft werden, ob eine darauf gestützte automatische Absage arbeits- oder datenschutzrechtliche Vorgaben verletzt. Ebenso ist zu beurteilen, ob das System durch Prompt-Injection, ungeeignete Daten oder algorithmischen Bias beeinflusst werden kann.

Zum anderen steigt die Autonomie der Systeme. Die KI generiert nicht mehr nur Informationen, sondern greift allenfalls als «Agent» selbstständig in Geschäftsprozesse ein.

KI-Agenten handeln autonom und schaffen damit ein neues Haftungsrisiko. Anders als ein reines Werkzeug können sie rechtlich relevante Handlungen vornehmen, die dem Unternehmen zugerechnet werden. Der Mensch steht nicht mehr bei jedem Schritt zwischen dem System und der Aussenwelt. Das braucht dann zusätzliche Regeln.

Als konkretes Beispiel könnte ein autonomer Einkaufs-Agent den Lagerbestand verwalten. Da KI-Agentin, dann selbständig Entscheidungen treffen, braucht es klare technische und organisatorische Leitplanken.

Der Agent könnte beispielsweise, dann nur bei vorab genehmigten Lieferanten und für freigegebene Produkte bestellen dürfen. Zusätzlich könnte ein definiertes Budget gelten, bei dessen Überschreitung zwingend eine manuelle Freigabe erforderlich wird. Fehler werden damit nicht vollständig ausgeschlossen, das mögliche Schadensausmass aber begrenzt.

International ist zusätzlich zu klären, ob der Agent überall dieselben Befugnisse erhalten darf, welche Gesellschaft rechtlich handelt und ob lokale Regeln strengere Kontrollen verlangen.

Durch dynamische KI-Software wird Compliance zu einem stetigen Prozess

Die grösste Herausforderung liegt nicht im initialen Assessment, sondern in der Operationalisierung einer bisher eher statischen Compliance. Modelle werden aktualisiert, Systemprompts angepasst, neue Datenquellen angebunden und Funktionen erweitert. Initiale Assessments können deshalb rasch überholt sein. Plötzlich macht die KI mehr als ursprünglich geprüft.

In internationalen Gruppen verschärft sich dieses Problem. Eine zentral ausgerollte Änderung kann mehrere Gesellschaften und Rechtsordnungen gleichzeitig betreffen. Eine neue Funktion kann dazu führen, dass das System lokal neu als Hochrisiko-System gilt oder zusätzliche Transparenz-, Registrierungs- oder Meldepflichten auslöst.

Das bedarf neuer Compliance-Prozesse. Ähnlich wie bei Mitarbeiterrichtlinien müssen dem System klare Grenzen gesetzt werden. Im Gegensatz zu früher kann die Compliance-Abteilung jedoch nicht einfach eine PDF-Richtlinie erlassen. Es braucht eine technische Übersetzung und Integration der Regeln direkt ins System: Automated Guardrails oder Compliance-as-Code. Eine rein händische Überwachung wird damit schnell überfordert sein.

Solche technische Leitplanken können unzulässige Eingaben blockieren, Zugriffe auf vertrauliche Daten verhindern, Transaktionen beschränken, finanzielle Schwellenwerte durchsetzen oder eine menschliche Freigabe verlangen. Der gruppenweite Base Layer sollte diese Kontrollen möglichst einheitlich definieren. Lokale Gesellschaften ergänzen sie dort, wo nationales Recht strengere Anforderungen stellt.

Zudem braucht es eine fortlaufende Überwachung. Nicht jede kleine Anpassung lässt sich manuell nachprüfen. Bei Anomalien, Budgetüberschreitungen, blockierten Prompts oder ungewöhnlichen Zugriffen sollten automatisierte Alarme ausgelöst werden. Ohne eine proaktive Kontrolle der Systemarchitektur und ihrer Leitplanken droht ein schleichender Rechtsverstoss.

Fazit: Aktive Überwachung als strategischer Vorteil

Ein rechtssicherer und international skalierbarer KI-Einsatz ist kein einmaliges Projekt, sondern das Ergebnis eines strukturierten und kontinuierlichen Prozesses. Er basiert auf bewährter Software-, Daten- und IT-Compliance, ergänzt um eine KI-spezifische Prüfungsebene.

Der EU AI Act kann dafür einen Referenzrahmen bilden. Da jedoch immer mehr Staaten eigene Regulierungen schaffen, reicht es nicht aus, ausschliesslich auf einen einzelnen Rechtsrahmen abzustellen. Unternehmen benötigen eine gruppenweite KI-Governance als stabilen Base Layer, auf den lokale Anforderungen gezielt aufgesetzt werden können.

Entscheidend ist die Fähigkeit, die dynamische Natur der KI-Software zu managen. Unternehmen müssen von einer statischen Projekt-Mentalität zu einem dynamischen Überwachungsprozess übergehen. So schaffen sie die Voraussetzung für robuste und vertrauenswürdige KI-Anwendungen, können neue nationale Regulierungen effizienter adaptieren und verwandeln regulatorische Pflichterfüllung in einen strategischen Wettbewerbsvorteil.