Entschärft ist nicht abgeschafft

Was ist tatsächlich passiert?

Die Digital-Omnibus-Verordnung zur KI ist im Sommer 2026 in Kraft getreten. Sie tut zweierlei. Alle Angaben zu dieser Verordnung stützen sich auf mehrere übereinstimmende Fachpublikationen, nicht auf den Verordnungstext im Amtsblatt.

Eine Einschränkung vorweg, sie gilt für den ganzen Beitrag: Wir konnten die geänderte Fassung bis heute nicht im Amtsblatt einsehen. Was hier steht, stützt sich auf mehrere übereinstimmende Fachpublikationen. Deshalb nennen wir bewusst weder Verordnungsnummer noch Inkrafttretensdatum auf den Tag genau. Eine Nummer aus zweiter Hand sieht aus wie ein Beleg und ist keiner.

Erstens verschiebt sie Fristen. Die Pflichten für Hochrisiko-KI nach Anhang III gelten neu ab dem 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Die Begründung ist unspektakulär und einleuchtend: Die harmonisierten technischen Normen, ohne die eine Konformitätsbewertung praktisch nicht durchführbar ist, sind nicht fertig, und die Benennung der zuständigen Stellen hinkt hinterher.

Zweitens fasst sie Artikel 4 neu. Und das ist keine Verschiebung, sondern eine inhaltliche Änderung. Die Kompetenzpflicht wurde nicht auf später vertagt, sie gilt weiter, aber mit einem anderen Massstab.

EU AI Act, Artikel 4

Verordnung (EU) 2024/1689, Artikel 4, in der Fassung der Digital-Omnibus-Verordnung zur KI. Nach mehreren übereinstimmenden Fachquellen, nicht am Verordnungstext im Amtsblatt geprüft. Rechtsstand 19. August 2026, ohne Gewähr.

Was verlangt die Pflicht zur KI-Kompetenz heute noch?

Die alte Fassung verlangte von Anbietern und Betreibern, "nach besten Kräften sicherzustellen", dass ihr Personal über ein ausreichendes Mass an KI-Kompetenz verfügt. Die neue Fassung verlangt Massnahmen, welche die KI-Kompetenz fördern. Ein bestimmtes Kompetenzniveau bei einer einzelnen Person muss nach dieser Fassung nicht erreicht werden. Der Auftrag, KI-Kompetenz zu fördern, liegt zusätzlich bei der Kommission und den Mitgliedstaaten.

Aus "sicherstellen" wurde damit "fördern". Das ist eine echte Entlastung, und wer heute noch mit Sanktionsdrohungen für unzureichend geschulte Einzelpersonen arbeitet, argumentiert mit einer Fassung, die es nicht mehr gibt.

Drei Dinge bleiben, und sie sind es, auf die es jetzt ankommt.

Die Pflicht ist nicht weg, nur anders

Sie richtet sich weiterhin an Anbieter und Betreiber. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, ausgenommen die rein persönliche, nicht berufliche Nutzung. Wer im Unternehmen KI einsetzt, ist damit erfasst, auch wenn er nie selbst etwas entwickelt hat.

Es war nie eine Prüfungs- oder Zertifizierungspflicht

Weder Inhalt noch Format noch Stundenzahl sind vorgeschrieben. Es gibt keine Zertifizierungspflicht und keine vorgeschriebene Wissensprüfung. Das galt vorher und gilt weiterhin. Wer Ihnen etwas anderes erzählt, verkauft Ihnen etwas.

Der Massstab bleibt die Rolle

Vorkenntnisse, Erfahrung, Ausbildung und der Einsatzkontext sind nach unserer Lesart zu berücksichtigen. Eine Entwicklerin, die ein Modell einbindet, und eine Sachbearbeiterin, die ein Sprachmodell für Kundenantworten nutzt, brauchen nicht dasselbe. Eine einheitliche Pflichtschulung für alle ist bequem, trifft die Norm aber schlechter als eine abgestufte.

Wenn nicht mehr das Ergebnis zählt, sondern die Massnahme, dann ist die Massnahme das, was Sie zeigen müssen.

Unsere Lesart, keine Rechtsberatung und kein Wortlaut.

Warum löst die Entschärfung die Nachweisfrage nicht auf?

Das ist der Punkt, an dem die Erleichterung in vielen Häusern zu früh kommt. Solange die Pflicht "sicherstellen" hiess, war die naheliegende Absicherung eine bestandene Prüfung. Jetzt, wo sie "Massnahmen ergreifen" heisst, ist die Massnahme selbst das, was zählt.

Eine Pflicht, die auf ergriffene Massnahmen lautet, wird genau dann unangenehm, wenn niemand sagen kann, welche Massnahmen ergriffen wurden. Und das ist in der Praxis der Normalfall.

Aus den Gesprächen der letzten Monate kenne ich vor allem ein Muster, und es ist nicht das erwartete. Fast alle haben eine KI-Richtlinie. Sie steht im Intranet, sie ist sorgfältig geschrieben, sie wurde einmal per Mail angekündigt. Was fehlt, ist der Schritt danach.

Eine Richtlinie ist schneller geschrieben als der Beleg, dass sie angekommen ist. Die Wissenslücke ist meist kleiner als gedacht. Die Nachweislücke ist meist grösser.

Was heisst das für Schweizer Unternehmen?

Für rein schweizerische Sachverhalte gilt die EU-Verordnung nicht unmittelbar. Sie wirkt über den EU-Bezug: über Tochtergesellschaften in der EU, über KI-Systeme, die in der Union in Verkehr gebracht werden, und darüber, ob die Ausgabe eines Systems in der Union verwendet wird. Massgeblich ist nicht der Firmensitz, sondern wo die Wirkung eintritt. Ein Schweizer KMU, das ausschliesslich im Inland tätig ist, ist von Artikel 4 in der Regel nicht unmittelbar erfasst.

Parallel bereitet der Bund eine Vorlage zur Ratifikation der KI-Konvention des Europarats vor, zusammen mit sektoriellen Anpassungen bestehender Gesetze. Der EU AI Act wird vorerst nicht unverändert übernommen. Wer heute eine tragfähige Struktur aufbaut, arbeitet dieser Vorlage nicht entgegen.

Was sich geändert hat

Gegenüberstellung des Wortlauts vor und nach dem Digital-Omnibus.

Was enthält ein brauchbarer Nachweis?

Unabhängig vom Anbieter sind es dieselben Bestandteile, an denen sich eine dokumentierte Schulungsmassnahme messen lassen muss:

Diese Bestandteile gelten unabhängig vom Anbieter. Ein KALYX-Zertifikat ist ein selbst ausgestellter Schulungsnachweis, kein amtlicher Branchenabschluss.

Bei KALYX entsteht dieser Nachweis aus Ihrem eigenen Dokument: Sie laden Ihre KI-Weisung hoch, daraus werden Module und Prüffragen, und am Ende steht ein Nachweis je Person, öffentlich prüfbar als Open Badge. Geschult wird, was in Ihrem Haus gilt, nicht eine allgemeine Fassung. Datenhaltung auf Servern in der Schweiz und der EU. Die KI-Verarbeitung läuft über ein europäisches Inferenzprofil, ohne Training auf Ihren Inhalten. Unsere Unterauftragnehmer sind in der Datenschutzerklärung einzeln aufgeführt.

Ein möglicher erster Schritt

Wenn Sie nur eine Sache aus diesem Beitrag mitnehmen wollen, dann diese Reihenfolge. Sie kostet einen halben Tag und schafft mehr Klarheit als jede Grundsatzdiskussion.

1. Erfassen Sie, wer im Haus tatsächlich KI nutzt. Nicht nur die IT. In der Regel beginnt es in Marketing, Verkauf und Administration, oft mit Werkzeugen, die nie offiziell eingeführt wurden.
2. Ordnen Sie diese Personen zwei oder drei Stufen zu, statt eine Schulung für alle zu planen.
3. Halten Sie fest, welche Massnahmen Sie bereits ergriffen haben. Viele Unternehmen haben mehr vorzuweisen, als sie glauben, es ist nur nirgends dokumentiert. Genau das ist jetzt die entscheidende Währung.