Ein KI-System, vier Rechtsräume: DE, EU27, UK, CH

Die meisten Governance-Konzepte für KI werden für einen Rechtsraum geschrieben und danach mühsam auf die anderen erweitert. In der Praxis läuft es umgekehrt: Ein Unternehmen betreibt ein Modell für Betrugserkennung, ein Sprachmodell im Kundenservice oder ein Scoring-System — und dieses eine System berührt gleichzeitig Deutschland, weitere EU27-Mitgliedstaaten, das Vereinigte Königreich und die Schweiz. Vier Rechtsräume, vier unterschiedliche Regulierungslogiken, ein technischer Stack.

Wer das erst beim Rollout merkt, baut Governance viermal. Wer die Unterschiede vorher kennt, baut sie einmal — und dokumentiert differenziert.

Die EU: ein Gesetz, aber keine einheitliche Vollzugslandschaft

Rechtlich ist die EU der klarste Fall. Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzung. Die Risikoklassifizierung, die Anbieter- und Betreiberpflichten, die Anforderungen an technische Dokumentation und Protokollierung — all das steht im selben Text und liest sich in Dublin wie in München.

Der Unterschied entsteht darunter. Die Verordnung überlässt den Mitgliedstaaten die Benennung der zuständigen nationalen Behörden und, innerhalb der von Artikel 99 gesetzten Obergrenzen, die konkrete Ausgestaltung des Sanktionsregimes. Das heißt: Ein Unternehmen mit Tochtergesellschaften in mehreren Mitgliedstaaten hat eine materielle Pflichtenlage, aber potenziell mehrere Ansprechpartner in der Marktüberwachung — mit unterschiedlicher Prüftiefe, unterschiedlichen Nachfragegewohnheiten und unterschiedlicher Geschwindigkeit.

Für Deutschland kommt hinzu, dass die Aufsicht sektoral vorgeprägt ist: Finanzaufsicht, Datenschutzaufsicht, Produktsicherheitsbehörden und Arbeitsschutz haben jeweils eigene Zugriffe auf denselben KI-Einsatz. Wer nur eine Behörde adressiert, hat die Nachweislage nicht abgedeckt.

Der maßgebliche Zeitpunkt für die Durchsetzung der Hochrisiko-Pflichten ist der 02.12.2027 (Digital Omnibus). Das ist kein weicher Zielkorridor, sondern das Datum, gegen das Programme geplant werden sollten.

Das Vereinigte Königreich: keine Verordnung, aber Erwartungen

Das UK hat sich bewusst gegen ein umfassendes KI-Gesetz entschieden. Grundlage ist weiterhin das AI-White-Paper von 2023 mit fünf sektorübergreifenden Prinzipien — Sicherheit, Transparenz, Fairness, Rechenschaft und Anfechtbarkeit —, die nicht als bindende Norm, sondern als Leitlinie an die bestehenden Regulierer ausgegeben wurden. ICO, FCA, MHRA, Ofcom und andere wenden sie in ihrem jeweiligen Zuständigkeitsbereich an.

Ein Trugschluss wäre, daraus abzuleiten, im UK gebe es nichts nachzuweisen. Die Pflichten stecken in den bestehenden Regimen: Datenschutzrecht, Finanzmarktaufsicht, Medizinprodukterecht, Verbraucherschutz. Die Regulierer haben im Januar 2026 Aufforderungen erhalten, jeweils darzulegen, wie sie sichere KI-gestützte Innovation in ihrem Sektor ermöglichen wollen — das erhöht die Wahrscheinlichkeit sektorspezifischer Erwartungsdokumente, nicht die eines einheitlichen Gesetzes. Der im Kontext der letzten Regierungsprogrammatik angekündigte "Regulating for Growth"-Ansatz zielt zudem eher auf kontrollierte Erprobungsräume als auf zusätzliche Pflichtenlagen.

Praktisch bedeutet das für ein grenzüberschreitend eingesetztes System: Die Nachweise sind dieselben — Datenherkunft, Testergebnisse, menschliche Aufsicht, Protokollierung —, aber sie werden nicht gegen eine Verordnung, sondern gegen die Erwartungen des jeweils zuständigen Sektorregulierers vorgelegt.

Die Schweiz: sektoral, konventionsgetrieben, im Werden

Die Schweiz verfolgt einen sektorspezifischen Ansatz und verzichtet auf ein KI-Gesetz nach EU-Vorbild. Der Bundesrat hat das Rahmenübereinkommen des Europarats über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit unterzeichnet; die zuständigen Departemente sind beauftragt, bis Ende 2026 eine Vernehmlassungsvorlage zur Umsetzung vorzulegen. Im Fokus stehen dabei Anpassungen in grundrechtsrelevanten Bereichen — namentlich Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Ergänzend ist ein nicht bindender Massnahmenplan mit Leitlinien und Selbstregulierungselementen für den Privatsektor vorgesehen.

Wichtiger als der Schweizer Rechtsrahmen selbst ist für viele Unternehmen aber ein zweiter Punkt: Ein Schweizer Anbieter fällt über das Marktort-Prinzip der EU-Verordnung in deren Anwendungsbereich, sobald sein System in der Union in Verkehr gebracht oder in Betrieb genommen wird — oder sobald dessen Ausgabe in der Union verwendet wird (Art. 2 Abs. 1 lit. c). Für Hochrisiko-Systeme kommt dann die Pflicht zur Benennung eines Bevollmächtigten in der Union nach Art. 22 hinzu. Die Schweizer Regulierungsfrage ist damit selten die erste, die beantwortet werden muss.

Wer die Schweizer Entwicklung im Detail verfolgen will, findet die laufende Einordnung auf ki-regulierung.ch.

Was sich nicht unterscheidet: die Evidenz

Vergleicht man die vier Rechtsräume nicht auf Normebene, sondern auf Nachweisebene, schrumpft der Unterschied erheblich. In jedem der vier Fälle muss ein Unternehmen dieselben Fragen belegen können:

• Welche KI-Systeme setzen wir ein, in welcher Rolle (Provider oder Deployer), in welchem Markt?
• Welche Daten sind eingeflossen, aus welcher Quelle, mit welcher Qualitätsprüfung?
• Welche Tests wurden durchgeführt, mit welchem Ergebnis, wer hat freigegeben?
• Wie ist menschliche Aufsicht organisiert, und lässt sich nachvollziehen, dass sie stattgefunden hat?
• Was passiert bei einem Vorfall — und was davon ist rekonstruierbar?

Unterschiedlich ist die Adressierung: Gegenüber der EU-Marktüberwachung ist es technische Dokumentation nach Verordnungslogik, gegenüber der FCA ein Aufsichtsgespräch, gegenüber einer Schweizer Sektorbehörde künftig vermutlich ein Transparenz- und Diskriminierungsnachweis. Die Substanz ist dieselbe.

Genau hier liegt der Effizienzgewinn eines Managementsystems nach ISO/IEC 42001: Es ist rechtsraumneutral formuliert. Ein AIMS erzeugt Inventar, Risikobewertung, Kontrollen und Wirksamkeitsnachweise, ohne sich auf eine Jurisdiktion festzulegen — und liefert damit die Grundschicht, aus der sich jede der vier Vorlagepflichten bedienen lässt.

Konsequenz für die Programmplanung

Drei Ableitungen aus dem Vergleich:

Erstens ist die EU der strengste Maßstab. Wer die Anforderungen der KI-Verordnung erfüllt, hat für UK und Schweiz in der Regel mehr als genug Substanz — der Aufwand liegt dort in der Aufbereitung, nicht in der Erhebung.

Zweitens ist die Rollenfrage rechtsraumübergreifend zu klären, nicht pro Markt. Ob ein Unternehmen Provider oder Deployer ist, entscheidet sich am Verhalten, nicht am Vertrag — und ändert sich potenziell durch Anpassungen am System.

Drittens ist die Vollzugsvielfalt innerhalb der EU27 der unterschätzte Faktor. Nicht die Pflicht unterscheidet sich, sondern wer wann was sehen will. Nachweise, die nur in einer Sprache, nur in einem Format und nur zu einem Stichtag existieren, werden hier teuer.

Ein einziges System, vier Rechtsräume — das ist kein Compliance-Problem mit vier Lösungen, sondern ein Evidenzproblem mit einer. Wer die Nachweiskette einmal sauber aufbaut, versioniert und prüfbar hält, bedient alle vier Adressaten aus derselben Quelle.

Mehr dazu, wie sich eine belastbare, rechtsraumübergreifende Nachweisbasis aufbauen lässt: aegira.ai.