{"id":2721,"date":"2026-08-15T12:05:57","date_gmt":"2026-08-15T12:05:57","guid":{"rendered":"https:\/\/nomadlaw.ch\/?p=2721"},"modified":"2026-08-15T12:06:04","modified_gmt":"2026-08-15T12:06:04","slug":"wie-konnen-ki-in-internationalen-unternehmen-rechtssicher-organisiert-werden","status":"publish","type":"post","link":"https:\/\/nomadlaw.ch\/de\/wie-konnen-ki-in-internationalen-unternehmen-rechtssicher-organisiert-werden\/","title":{"rendered":"Wie k\u00f6nnen KI in internationalen Unternehmen rechtssicher organisiert werden?"},"content":{"rendered":"\n

K\u00fcnstliche Intelligenz ist im Unternehmensalltag angekommen. Mitarbeitende nutzen KI f\u00fcr Texte, Analysen oder Softwareentwicklung, teilweise offiziell erlaubt, teilweise unkontrolliert als Schatten-IT. Gleichzeitig entwickeln sich KI-Systeme von unterst\u00fctzenden Werkzeugen zu \u00abAgenten\u00bb, die selbstst\u00e4ndig Ziele verfolgen und ganze Gesch\u00e4ftsprozesse abdecken. <\/p>\n\n

Damit ist KI l\u00e4ngst keine reine IT-Angelegenheit mehr. Fehlerhafter Output, Datenabfluss, die Bearbeitung von Personendaten und autonome Handlungen f\u00fchren zu neuen Haftungs- und Governance-Fragen. International kommt hinzu, dass ein zentral entwickeltes oder beschafftes System je nach Einsatzland unterschiedlichen Regeln unterliegt. <\/p>\n\n

Der EU AI Act als Treiber, aber nicht als globale Einheitsl\u00f6sung<\/h1>\n\n

Der EU AI Act setzt als Produktsicherheits- und Regulierungsgesetz einen umfassenden, risikobasierten Standard. Er griff als eines der ersten KI-Gesetze Themen wie Risikoklassifikation, Datenqualit\u00e4t, Dokumentation, Transparenz, menschliche Aufsicht und technische Sicherheit auf und wird daher bereits von vielen Unternehmen als Referenzrahmen f\u00fcr eine gruppenweite KI-Governance genutzt. <\/p>\n\n

Damit ist das internationale Compliance-Problem jedoch nicht gel\u00f6st. Immer mehr Staaten schaffen eigene KI-Gesetze, Leitlinien oder sektorspezifische Vorgaben. Diese behandeln oft \u00e4hnliche Grundfragen, unterscheiden sich aber bei Anwendungsbereich, Risikokategorien und Pflichten. M\u00f6glich sind etwa zus\u00e4tzliche Transparenz- oder Registrierungspflichten, lokale Vertreter oder Vorgaben zur Datenverarbeitung im Inland. <\/p>\n\n

F\u00fcr Unternehmensgruppen entsteht daraus eine zus\u00e4tzliche Komplexit\u00e4t: Ein KI-System soll m\u00f6glichst einheitlich betrieben werden, muss aber verschiedene lokale Anforderungen erf\u00fcllen<\/a>. F\u00fcr jedes neue Gesetz ein separates Compliance-Projekt aufzusetzen, ist weder effizient noch skalierbar. <\/p>\n\n

Thailand als Beispiel f\u00fcr die Regulierungsvielfalt<\/h1>\n\n

Thailand zeigt, wie nationale Regulierungen internationale Vorbilder aufnehmen und zugleich eigene Schwerpunkte setzen. Der im Juli 2026 ver\u00f6ffentlichte Entwurf eines thail\u00e4ndischen KI-Gesetzes verfolgt ebenfalls einen risikobasierten Ansatz. Vorgesehen sind unter anderem verbotene Anwendungen, Hochrisiko-Systeme und Systeme mit besonderen Transparenzpflichten. Der Entwurf soll auch ausserhalb Thailands entwickelte oder betriebene Systeme erfassen k\u00f6nnen, wenn sie Personen in Thailand betreffen. <\/p>\n\n

Neben Risikomanagement, Dokumentation und menschlicher Aufsicht enth\u00e4lt der Entwurf m\u00f6gliche lokale Besonderheiten. Dazu geh\u00f6ren ein lokaler Koordinator oder Vertreter, Offenlegungspflichten f\u00fcr KI-generierte Inhalte sowie Datenlokalisierung und zwingende Vertragsvorgaben bei Leistungen f\u00fcr Beh\u00f6rden oder kritische Infrastrukturen. Als Durchsetzungsmassnahmen sind nicht nur Geldbussen, sondern auch die Aussetzung, der R\u00fcckruf oder die Sperrung eines KI-Systems vorgesehen. <\/p>\n\n

Das Beispiel verdeutlicht das Kernproblem: Ein Schweizer Unternehmen kann dasselbe KI-System in der Schweiz, der EU und Thailand einsetzen. Die technische Anwendung bleibt weitgehend identisch, die rechtlichen Anforderungen sind ebenfalls \u00e4hnlich aber nicht ganz gleich. <\/p>\n\n

Gruppenweite KI-Governance als Base Layer<\/h1>\n\n

Die Antwort auf diese Regulierungsvielfalt ist eine robuste gruppenweite KI-Governance. Sie bildet einen gemeinsamen Base Layer mit verbindlichen Mindeststandards. Lokale Vorschriften werden als zus\u00e4tzliche regulatorische Ebene darauf aufgesetzt. <\/p>\n\n

Der Base Layer regelt, wie KI-Systeme gruppenweit erfasst, klassifiziert, beschafft, freigegeben, \u00fcberwacht und ausser Betrieb genommen werden. Ebenso braucht es klare Verantwortlichkeiten zwischen Gesch\u00e4ftsleitung, IT, Datenschutz, Legal, Compliance und Fachabteilungen. <\/p>\n\n

Bei einem neuen nationalen Gesetz wird gepr\u00fcft, welche bestehenden Kontrollen bereits gen\u00fcgen und welche lokalen Erg\u00e4nzungen notwendig sind. Die gruppenweite Governance ersetzt damit die lokale Rechtspr\u00fcfung nicht. Sie verhindert aber, dass bei jeder neuen Regulierung wieder bei null begonnen werden muss. <\/p>\n\n

Bew\u00e4hrte IT-Prozesse als Ausgangspunkt<\/h1>\n\n

Der Weg zur KI-Compliance beginnt nicht im luftleeren Raum, sondern baut auf einer bestehenden IT-Compliance auf. Jede KI ist im Kern eine Software, die auf einer technischen Infrastruktur l\u00e4uft, Daten verarbeitet und auf weitere Systeme zugreift. Deshalb gelten zun\u00e4chst dieselben grundlegenden Pr\u00fcfmechanismen wie bei der Einf\u00fchrung klassischer Software. <\/p>\n\n

Unternehmen, die bereits \u00fcber etablierte Prozesse f\u00fcr Softwarebeschaffung, Informationssicherheit, Zugriffsmanagement und Data-Governance verf\u00fcgen, k\u00f6nnen diese als Fundament nutzen und gezielt um KI-spezifische Anforderungen erg\u00e4nzen. Wo eine solche Grundlage bisher fehlt oder nur unzureichend dokumentiert ist, m\u00fcssen zun\u00e4chst diese Hausaufgaben erledigt werden. <\/p>\n\n

Die neuen und komplexeren Rechtsfragen der KI lassen sich nicht zuverl\u00e4ssig beantworten, wenn bereits unklar ist, wo die Daten liegen, wer darauf zugreifen darf oder welche Risiken die eingesetzte Software mit sich bringt.<\/p>\n\n

Das grundlegende Assessment betrachtet daher weiterhin die klassischen IT-Schichten:<\/p>\n\n

    \n
  • Infrastruktur<\/strong>: Wo werden das KI-System und die Daten betrieben? Werden Cloud-Dienste oder eigene Rechenzentrumskapazit\u00e4ten genutzt? In welchen L\u00e4ndern befinden sich die Systeme und welche Anbieter oder Konzerngesellschaften erhalten Zugriff? <\/li>\n\n\n\n
  • Daten und Datenbanken:<\/strong> Welche Qualit\u00e4t, Herkunft und rechtliche Grundlage haben die verarbeiteten Daten? Zu welchem Zweck d\u00fcrfen sie genutzt werden? Bei KI stellt sich zus\u00e4tzlich die Frage, ob Daten f\u00fcr Training, Fine-Tuning oder die Verbesserung eines Modells verwendet werden. <\/li>\n\n\n\n
  • Software and applications:<\/strong> What legal and security-related risks does the solution pose? Is it a SaaS or an on-premises solution? Which access rights does the system receive, and which data may it retrieve, modify or pass on? <\/li>\n<\/ul>\n\n

    Erst wenn diese Ebenen sauber gepr\u00fcft und dokumentiert sind, beginnt die eigentliche KI-Compliance-Pr\u00fcfung. Das bestehende IT-Assessment wird somit nicht ersetzt. Die KI-Compliance kommt als zus\u00e4tzliche Pr\u00fcfungsebene obendrauf. <\/p>\n\n

    KI-Compliance<\/h1>\n\n

    Auf dem IT-Fundament sitzt die neue KI-Ebene. Sie bringt insbesondere zwei neue Dimensionen mit sich. <\/p>\n\n

    Zum einen erzeugt KI neue und teilweise unvorhersehbare Informationen. Nutzt beispielsweise eine Personalabteilung KI zur Vorauswahl von Bewerbungen, generiert das System eine Empfehlung. Es muss gepr\u00fcft werden, ob eine darauf gest\u00fctzte automatische Absage arbeits- oder datenschutzrechtliche Vorgaben verletzt. Ebenso ist zu beurteilen, ob das System durch Prompt-Injection, ungeeignete Daten oder algorithmischen Bias beeinflusst werden kann. <\/p>\n\n

    Zum anderen steigt die Autonomie der Systeme. Die KI generiert nicht mehr nur Informationen, sondern greift allenfalls als \u00abAgent\u00bb selbstst\u00e4ndig in Gesch\u00e4ftsprozesse ein. <\/p>\n\n

    KI-Agenten handeln autonom und schaffen damit ein neues Haftungsrisiko. Anders als ein reines Werkzeug k\u00f6nnen sie rechtlich relevante Handlungen vornehmen, die dem Unternehmen zugerechnet werden. Der Mensch steht nicht mehr bei jedem Schritt zwischen dem System und der Aussenwelt. Das braucht dann zus\u00e4tzliche Regeln. <\/p>\n\n

    Als konkretes Beispiel k\u00f6nnte ein autonomer Einkaufs-Agent den Lagerbestand verwalten. Da KI-Agentin, dann selbst\u00e4ndig Entscheidungen treffen, braucht es klare technische und organisatorische Leitplanken. <\/p>\n\n

    Der Agent k\u00f6nnte beispielsweise, dann nur bei vorab genehmigten Lieferanten und f\u00fcr freigegebene Produkte bestellen d\u00fcrfen. Zus\u00e4tzlich k\u00f6nnte ein definiertes Budget gelten, bei dessen \u00dcberschreitung zwingend eine manuelle Freigabe erforderlich wird. Fehler werden damit nicht vollst\u00e4ndig ausgeschlossen, das m\u00f6gliche Schadensausmass aber begrenzt. <\/p>\n\n

    International ist zus\u00e4tzlich zu kl\u00e4ren, ob der Agent \u00fcberall dieselben Befugnisse erhalten darf, welche Gesellschaft rechtlich handelt und ob lokale Regeln strengere Kontrollen verlangen.<\/p>\n\n

    Durch dynamische KI-Software wird Compliance zu einem stetigen Prozess <\/h1>\n\n

    Die gr\u00f6sste Herausforderung liegt nicht im initialen Assessment, sondern in der Operationalisierung einer bisher eher statischen Compliance. Modelle werden aktualisiert, Systemprompts angepasst, neue Datenquellen angebunden und Funktionen erweitert. Initiale Assessments k\u00f6nnen deshalb rasch \u00fcberholt sein. Pl\u00f6tzlich macht die KI mehr als urspr\u00fcnglich gepr\u00fcft. <\/p>\n\n

    In internationalen Gruppen versch\u00e4rft sich dieses Problem. Eine zentral ausgerollte \u00c4nderung kann mehrere Gesellschaften und Rechtsordnungen gleichzeitig betreffen. Eine neue Funktion kann dazu f\u00fchren, dass das System lokal neu als Hochrisiko-System gilt oder zus\u00e4tzliche Transparenz-, Registrierungs- oder Meldepflichten ausl\u00f6st. <\/p>\n\n

    Das bedarf neuer Compliance-Prozesse. \u00c4hnlich wie bei Mitarbeiterrichtlinien m\u00fcssen dem System klare Grenzen gesetzt werden. Im Gegensatz zu fr\u00fcher kann die Compliance-Abteilung jedoch nicht einfach eine PDF-Richtlinie erlassen. Es braucht eine technische \u00dcbersetzung und Integration der Regeln direkt ins System: Automated Guardrails oder Compliance-as-Code. Eine rein h\u00e4ndische \u00dcberwachung wird damit schnell \u00fcberfordert sein. <\/p>\n\n

    Solche technische Leitplanken k\u00f6nnen unzul\u00e4ssige Eingaben blockieren, Zugriffe auf vertrauliche Daten verhindern, Transaktionen beschr\u00e4nken, finanzielle Schwellenwerte durchsetzen oder eine menschliche Freigabe verlangen. Der gruppenweite Base Layer sollte diese Kontrollen m\u00f6glichst einheitlich definieren. Lokale Gesellschaften erg\u00e4nzen sie dort, wo nationales Recht strengere Anforderungen stellt. <\/p>\n\n

    Zudem braucht es eine fortlaufende \u00dcberwachung. Nicht jede kleine Anpassung l\u00e4sst sich manuell nachpr\u00fcfen. Bei Anomalien, Budget\u00fcberschreitungen, blockierten Prompts oder ungew\u00f6hnlichen Zugriffen sollten automatisierte Alarme ausgel\u00f6st werden. Ohne eine proaktive Kontrolle der Systemarchitektur und ihrer Leitplanken droht ein schleichender Rechtsverstoss. <\/p>\n\n

    Fazit: Aktive \u00dcberwachung als strategischer Vorteil<\/h1>\n\n

    Ein rechtssicherer und international skalierbarer KI-Einsatz ist kein einmaliges Projekt, sondern das Ergebnis eines strukturierten und kontinuierlichen Prozesses. Er basiert auf bew\u00e4hrter Software-, Daten- und IT-Compliance, erg\u00e4nzt um eine KI-spezifische Pr\u00fcfungsebene. <\/p>\n\n

    Der EU AI Act kann daf\u00fcr einen Referenzrahmen bilden. Da jedoch immer mehr Staaten eigene Regulierungen schaffen, reicht es nicht aus, ausschliesslich auf einen einzelnen Rechtsrahmen abzustellen. Unternehmen ben\u00f6tigen eine gruppenweite KI-Governance als stabilen Base Layer, auf den lokale Anforderungen gezielt aufgesetzt werden k\u00f6nnen. <\/p>\n\n

    Entscheidend ist die F\u00e4higkeit, die dynamische Natur der KI-Software zu managen. Unternehmen m\u00fcssen von einer statischen Projekt-Mentalit\u00e4t zu einem dynamischen \u00dcberwachungsprozess \u00fcbergehen. So schaffen sie die Voraussetzung f\u00fcr robuste und vertrauensw\u00fcrdige KI-Anwendungen, k\u00f6nnen neue nationale Regulierungen effizienter adaptieren und verwandeln regulatorische Pflichterf\u00fcllung in einen strategischen Wettbewerbsvorteil. <\/p>\n","protected":false},"excerpt":{"rendered":"

    In diesem Artikel wird erl\u00e4utert, wie internationale Unternehmen eine konzernweite KI-Governance als gemeinsame Grundlage etablieren und diese durch lokale gesetzliche Anforderungen erg\u00e4nzen k\u00f6nnen. Ausserdem wird aufgezeigt, warum die KI-Compliance auf bestehenden IT-Prozessen aufbauen und durch technische Schutzma\u00dfnahmen sowie eine kontinuierliche \u00dcberwachung unterst\u00fctzt werden muss. <\/p>\n","protected":false},"author":1,"featured_media":2720,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[60,53,51],"tags":[1228,1233,1234,1235,1236,1226,1231,1230,1232,1229,1227],"class_list":["post-2721","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-business-law","category-digitale-nomaden","category-juristisches-projektmanagement","tag-ai-governance","tag-ai-risk-management","tag-automatische-leitplanken","tag-compliance-as-code","tag-globale-ki-regulierung","tag-internationale-ki-compliance","tag-internationale-unternehmen","tag-it-compliance","tag-ki-agenten","tag-ki-regulierung-thailand","tag-thai-ki-recht"],"_links":{"self":[{"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/posts\/2721","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/comments?post=2721"}],"version-history":[{"count":1,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/posts\/2721\/revisions"}],"predecessor-version":[{"id":2722,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/posts\/2721\/revisions\/2722"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/media\/2720"}],"wp:attachment":[{"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/media?parent=2721"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/categories?post=2721"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/nomadlaw.ch\/de\/wp-json\/wp\/v2\/tags?post=2721"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}