Für Datenschutz- und Compliance-Verantwortliche zwischen revDSG, DSGVO und AI Act
Aktualisiert: 2026-09
Wer Datenschutz verantwortet, muss für den AI Act nicht bei null anfangen. Verzeichnis, Risikobewertung und Nachweisführung existieren bereits. Neu sind die Klassifizierung nach Artikel 6, die Rollenunterscheidung zwischen Anbieter und Betreiber und eigenständige Transparenzpflichten.
Der AI Act stellt für Compliance-Verantwortliche ein Einordnungsproblem, kein Wissensproblem. Vieles klingt vertraut: Risikobewertung, Dokumentation, technische und organisatorische Massnahmen. Das verleitet zu einer von zwei falschen Schlussfolgerungen — entweder sei alles mit der bestehenden Struktur abgedeckt, oder es müsse etwas völlig Neues entstehen.
Beides kostet. Die erste Annahme erzeugt Lücken bei Klassifizierung und Transparenz, die zweite Doppelstrukturen, die im Alltag niemand pflegt.
Die Fragen, die in dieser Rolle wiederkehren
Was können wir an bestehende Strukturen anschliessen?
Das Verzeichnis der Verarbeitungstätigkeiten ist der natürliche Ort für die KI-Systemliste. Auch Zuständigkeiten, Nachweisführung und Massnahmenverfolgung sind anschlussfähig. Zwei getrennte Register bedeuten doppelte Pflege und garantieren, dass eines veraltet.
Was ist tatsächlich neu?
Die Klassifizierungslogik nach Artikel 6, die je Rolle unterschiedlichen Pflichtenkataloge für Anbieter und Betreiber, die Transparenzpflichten nach Artikel 50 — die unabhängig von der Risikoklasse greifen — und die Pflicht zur KI-Kompetenz nach Artikel 4.
Wie hängen DSFA und AI-Act-Einstufung zusammen?
Gar nicht direkt. Die Folgenabschätzung fragt nach dem Risiko für die Rechte betroffener Personen durch die Datenverarbeitung; die Einstufung fragt nach Einsatzbereich und Zweck des Systems. Beide sind nötig, keine ersetzt die andere.
Was gilt für uns als Schweizer Organisation?
Das revDSG immer, die DSGVO bei EU-Bezug, der AI Act bei Marktbezug zur EU. Die drei überschneiden sich in den Grundsätzen und weichen in Details ab — bei Meldefristen, beim Verzeichnis und bei den Sanktionen, die im revDSG natürliche Personen treffen.
Brauchen wir eine eigene Rolle für KI-Governance?
In kleineren Organisationen nicht. Die Aufgabe liegt sinnvoll bei der Person, die bereits Datenschutz oder Qualität verantwortet. Entscheidend ist, dass sie ausdrücklich zugewiesen ist statt implizit bei allen.
Womit wir helfen
- —Wir arbeiten von der bestehenden Struktur aus, nicht daneben. Was sich anschliessen lässt, wird angeschlossen; was neu ist, wird als neu benannt.
- —Die technische Seite gehört dazu: Eine Einstufung ist wenig wert, wenn niemand sagen kann, wo die Daten des Systems tatsächlich liegen und wer darauf zugreift.
- —Wir dokumentieren Abwägungen so, dass sie einer späteren Präzisierung standhalten. Wo die Praxis noch fehlt, steht das ausdrücklich in der Begründung.
Wann wir nicht die richtige Adresse sind
- —Für eine verbindliche rechtliche Beurteilung strittiger Einstufungen brauchen Sie eine spezialisierte Kanzlei. Wir strukturieren die Prüfung, wir ersetzen kein Mandat.
- —Wenn Sie eine Zertifizierung nach einer bestimmten Norm anstreben, ist eine akkreditierte Stelle der richtige Partner für die Prüfung selbst.
- —Für sektorspezifische Aufsichtsanforderungen — etwa im regulierten Finanzbereich — braucht es zusätzlich jemanden mit genau dieser Aufsichtserfahrung.
Passende Inhalte für diese Rolle
EU-AI-Act-Konformität
Der erste vollständige Durchgang, mit Erledigt-Kriterien.
KI-Kompetenz nach Artikel 4
Vom Anspruch zum belastbaren Nachweis.
AVV prüfen
Worauf es beim Gegenlesen ankommt.
Datenschutz intern oder extern
Was für welche Grösse trägt.
KI-Governance aufbauen
Ein abgegrenztes Engagement mit benanntem Ergebnis.
Häufige Fragen
Wir haben ein ISMS. Deckt das den AI Act mit ab?
Teilweise. Ein ISMS liefert Struktur für Nachweisführung, Zuständigkeiten und Massnahmenverfolgung. Was es nicht liefert, ist die Klassifizierungslogik nach Artikel 6 und die Rollenunterscheidung.
Wie gehen wir mit zugekaufter Software um?
Als Betreiber treffen Sie eigene Pflichten, unabhängig von den Zusicherungen des Herstellers. Lassen Sie sich Einstufung und Konformitätsangaben schriftlich geben und legen Sie diese zu Ihrer Dokumentation.
Was, wenn ein System schwer einzuordnen ist?
Dokumentieren Sie die Abwägung samt geprüfter Alternativen. Eine nachvollziehbar begründete Einordnung ist im Prüffall deutlich mehr wert als eine unbegründet richtige.
Dreissig Minuten, die Ihre Lage einordnen
Sie schildern die Ausgangslage, wir sagen, was wir tun würden — und was Sie nicht brauchen.