Public Edition
Executive Manual · Public Edition · Version 1.0 · Rechtsstand 24. Juli 2026
AI Governance Leitfaden
EU AI Act
Klarer Orientierungs- und Umsetzungsrahmen für Geschäftsleitung, Verwaltungsrat, Aufsichtsrat, Beirat, Compliance, Recht, IT und Fachbereiche.
4Risikostufen
€ 35 Mio.höchste feste Bussgeldobergrenze
7 %höchster Umsatzsatz
90 Tagepragmatischer Startplan
The Calm Intelligence Behind Autonomous Enterprises
Profitabilitäts- und Produktivitätspartner für Bauindustrie und Industrie
Profitabilitäts- und Produktivitätspartner für Bauindustrie und Industrie
hubert@synnexus.ch
pankaj@synnexus.ch
www.synnexus.ch
pankaj@synnexus.ch
www.synnexus.ch
01
Rechtsstand und Executive Summary
Was ab August 2026 tatsächlich gilt – und was nicht.
Wichtige Präzisierung: Der EU AI Act trat am 1. August 2024 in Kraft. Ein grosser Teil der Bestimmungen wird ab 2. August 2026 anwendbar. Die Aussage, der AI Act trete am 1. August 2026 „vollständig“ in Kraft, ist daher nicht exakt. Nach der 2026 beschlossenen Vereinfachung gelten die zentralen Hochrisiko-Pflichten für eigenständige Systeme spätestens ab 2. Dezember 2027 und für in regulierte Produkte eingebettete Systeme spätestens ab 2. August 2028.
Seit 02.02.2025
Verbote & AI Literacy
Verbotene Praktiken sowie die Pflicht, ein angemessenes Niveau an KI-Kompetenz sicherzustellen, sind bereits relevant.
Ab 02.08.2026
Breite Anwendbarkeit
Transparenzpflichten, Aufsicht und weitere allgemeine Regelungen greifen. GPAI-Vollzugskompetenzen der Kommission werden wirksam.
2027 / 2028
Hochrisiko-Regime
Die umfassenden Pflichten werden nach aktueller EU-Gesetzgebung zeitlich gestaffelt später anwendbar.
Management-Kernaussage
Der EU AI Act ist kein reines IT-Thema. Er verlangt ein belastbares Zusammenspiel aus Inventar, Klassifikation, Verantwortlichkeit, Dokumentation, menschlicher Aufsicht, Daten- und Modellkontrollen, Lieferantensteuerung sowie laufendem Monitoring. Das Betriebsmodell – On Premise, Hybrid oder Cloud – ändert die Risikoklasse nicht automatisch, beeinflusst aber die Kontrollarchitektur wesentlich.
Leitgedanke: Nicht „Welche KI nutzen wir?“, sondern „In welchem konkreten Zweck, mit welcher Wirkung, in welcher Betreiberrolle und mit welchen Kontrollen wird sie eingesetzt?“
02
Geltungsbereich: Wann ist ein Unternehmen betroffen?
Der AI Act kann auch Schweizer Unternehmen erfassen.
Territorialer Anwendungsbereich
- Anbieter, die KI-Systeme oder GPAI-Modelle in der EU in Verkehr bringen oder in Betrieb nehmen.
- Betreiber mit Sitz oder Niederlassung in der EU.
- Anbieter und Betreiber ausserhalb der EU, wenn der von einem KI-System erzeugte Output in der EU verwendet wird.
- Importeure, Händler und Produkthersteller in der EU-Wertschöpfungskette.
Praktische Relevanz für Schweizer Firmen
- EU-Kunden, EU-Projekte, EU-Niederlassungen oder EU-Arbeitskräfte können den Bezug herstellen.
- Ein Schweizer Anbieter kann regulatorisch zum „Provider“ werden, obwohl er die Basismodelle nicht selbst entwickelt.
- Eine wesentliche Änderung, ein Rebranding oder eine Zweckänderung kann Rollen und Pflichten verschieben.
Abgrenzung: Nicht jede Automatisierung ist ein KI-System
Konventionelle, deterministische Regelautomatisierung ohne inferenzbasierte Funktionsweise kann ausserhalb der AI-Act-Definition liegen. Bei kombinierten Lösungen ist jedoch die KI-Komponente separat zu beurteilen. Entscheidend sind technische Funktionsweise, Autonomiegrad, Anpassungsfähigkeit, Zielsetzung und die Fähigkeit, Outputs wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen zu erzeugen.
Compliance-Regel: Die Einordnung darf nicht allein auf Marketingbegriffen wie „Agent“, „Copilot“ oder „Automation“ beruhen. Für jedes System ist eine dokumentierte Funktions- und Zweckanalyse erforderlich.
Zusammenspiel mit weiteren Rechtsgebieten
| Regelwerk | Typischer Berührungspunkt |
|---|---|
| DSGVO / Schweizer DSG | Personendaten, Profiling, automatisierte Einzelentscheidungen, Datenschutz-Folgenabschätzung, Auftragsbearbeitung. |
| Produktsicherheitsrecht | KI als Sicherheitskomponente von Maschinen, Aufzügen, Bauprodukten, Robotik oder anderen regulierten Produkten. |
| Arbeitsrecht / Mitbestimmung | Mitarbeiterüberwachung, Leistungsbewertung, Einsatzplanung, Recruiting und Personalentscheidungen. |
| Cybersecurity / NIS2 / CRA | Zugriffsschutz, Resilienz, Incident Management, Software-Lieferkette. |
| Vertrags- und Haftungsrecht | Leistungsbeschreibung, Fehlerfolgen, Freigaben, Gewährleistung, Regress, Audit- und Informationsrechte. |
03
Regulatorische Rollen und Verantwortungszuordnung
Pflichten hängen stärker von der Rolle als von der Technologie ab.
Anbieter / Provider
Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr bzw. nimmt es in Betrieb. Die umfassendsten Pflichten liegen typischerweise hier.
Betreiber / Deployer
Verwendet ein KI-System in eigener Verantwortung im beruflichen Kontext. Private, nicht berufliche Nutzung fällt grundsätzlich nicht darunter.
Importeur
Bringt ein System eines ausserhalb der EU ansässigen Anbieters in der EU in Verkehr und muss die vorgelagerte Konformität prüfen.
Händler / Distributor
Stellt ein System in der Lieferkette bereit und hat Prüf-, Informations- und Kooperationspflichten.
Produkthersteller
Kann als Anbieter gelten, wenn ein KI-System gemeinsam mit einem regulierten Produkt unter eigenem Namen in Verkehr gebracht wird.
GPAI-Anbieter
Anbieter eines General-Purpose-AI-Modells. Je nach systemischem Risiko gelten zusätzliche Dokumentations-, Sicherheits- und Evaluationspflichten.
Wann kann ein Kunde zum Anbieter werden?
Typische Auslöser
- Eigenes Branding oder Weitervertrieb
- Wesentliche Änderung
- Änderung des vorgesehenen Verwendungszwecks
- Integration in ein eigenes Produkt
Governance-Folge
- RACI vor Projektstart festlegen
- Vertragliche Rollen konsistent definieren
- Technische Dokumentation und Logs sichern
- Änderungsmanagement formalisieren
Synnexus-Prinzip: In jedem Projekt wird eine Rollenmatrix erstellt, die Kunde, Synnexus, Plattformanbieter, Modellanbieter, Integratoren und Unterauftragnehmer eindeutig zuordnet.
04
Die vier Risikostufen des EU AI Act
Die Klassifikation ist use-case-, zweck- und wirkungsbezogen.
| Stufe | Charakter | Beispiele | Konsequenz |
|---|---|---|---|
| Unzulässig | Klare Bedrohung für Sicherheit, Lebensgrundlagen oder Grundrechte. | Schädliche Manipulation; Social Scoring; bestimmte biometrische Kategorisierung; ungezieltes Scraping für Gesichtsdatenbanken; Emotionserkennung am Arbeitsplatz ausser engen Ausnahmen. | Verbot. Nicht implementieren oder betreiben. |
| Hochrisiko | Erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte. | Sicherheitskomponenten regulierter Produkte; bestimmte Anwendungen in kritischer Infrastruktur, Beschäftigung, Bildung, wesentlichen privaten/öffentlichen Leistungen, Strafverfolgung, Migration und Justiz. | Umfassendes Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersecurity und Konformität. |
| Transparenzrisiko | Interaktion oder Inhalte können für Menschen irreführend sein. | Chatbots; synthetische Inhalte; Deepfakes; bestimmte Emotionserkennungs- oder biometrische Kategorisierungssysteme. | Klare Information, Kennzeichnung oder maschinenlesbare Markierung nach Art. 50, soweit anwendbar. |
| Minimal / kein | Keine der besonderen Hochrisiko- oder Transparenzkonstellationen. | Interne Dokumentensuche, Assistenz bei Berichten, Prognosen ohne rechtlich relevante Individualentscheidung, administrative Automatisierung. | Keine systemspezifischen Zusatzpflichten des Risikoregimes; allgemeine Pflichten, insbesondere AI Literacy, bleiben relevant. |
Hochrisiko-Prüfung in drei Schritten
Ist die KI Sicherheitskomponente eines regulierten Produkts?
Prüfung Art. 6 Abs. 1 in Verbindung mit Anhang I und dem jeweiligen Produkterecht.
Prüfung Art. 6 Abs. 1 in Verbindung mit Anhang I und dem jeweiligen Produkterecht.
Fällt der Zweck unter einen Bereich von Anhang III?
Zum Beispiel Beschäftigung, kritische Infrastruktur oder Zugang zu wesentlichen Leistungen.
Zum Beispiel Beschäftigung, kritische Infrastruktur oder Zugang zu wesentlichen Leistungen.
Greift eine Ausnahme wegen fehlenden erheblichen Risikos?
Nur bei dokumentierter Begründung; Profiling natürlicher Personen bleibt besonders kritisch.
Nur bei dokumentierter Begründung; Profiling natürlicher Personen bleibt besonders kritisch.
Praxiswarnung: „Human in the loop“ verhindert eine Hochrisiko-Einstufung nicht automatisch. Es ist primär eine Kontrollmassnahme. Ausschlaggebend bleiben Zweck, Einsatzkontext und Wirkung.
05
Pflichten nach Risikoklasse
Vom Mindeststandard bis zum vollständigen Compliance-System.
Für alle professionellen Anbieter und Betreiber
AI Literacy
Rollen- und risikogerechte Schulung der Mitarbeitenden; reine Bedienungsanleitungen reichen häufig nicht.
Inventar & Zweck
Systeme, Modelle, Schnittstellen, Daten, Verantwortliche, Verwendungszweck und Betroffenengruppen dokumentieren.
Kontrollierte Nutzung
Zugriffe, Freigaben, Datenschutz, Security, Lieferantensteuerung und Änderungsprozesse etablieren.
Zusätzliche Anforderungen für Hochrisiko-Systeme
| Kontrollfeld | Kernanforderung | Typischer Nachweis |
|---|---|---|
| Risikomanagement | Kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus. | Risk Register, Tests, Massnahmen, Residualrisiko-Freigabe. |
| Daten-Governance | Geeignete, hinreichend repräsentative und fehlerarme Daten; Bias-Kontrollen. | Data Sheets, Herkunft, Qualität, Versionierung, Prüfprotokolle. |
| Technische Dokumentation | Nachweis der Konformität und verständliche Systembeschreibung. | Systemakte, Architektur, Modell-/Prompt-Version, Grenzen. |
| Logging | Automatische Aufzeichnungen zur Nachvollziehbarkeit. | Audit Trail, Input-/Output-Metadaten, Freigabe- und Eskalationslogs. |
| Transparenz | Klare Gebrauchsanweisung, Leistungsgrenzen und vorgesehener Zweck. | User Guide, Model Card, Known Limitations. |
| Menschliche Aufsicht | Kompetente Personen können überwachen, interpretieren, eingreifen und stoppen. | Vier-Augen-Prinzip, Stop-Funktion, Eskalationsmatrix. |
| Genauigkeit & Robustheit | Angemessene Leistungswerte, Fehlertoleranz und Cybersecurity. | Abnahmetests, Red Teaming, Security Controls, Monitoring. |
| Konformität & Betrieb | Konformitätsbewertung, Registrierung, Post-Market Monitoring und Incident Reporting. | EU-Konformitätserklärung, CE soweit einschlägig, Monitoring-Plan. |
Pflichten des Betreibers eines Hochrisiko-Systems
- Nutzung gemäss Gebrauchsanweisung und organisatorische Verankerung menschlicher Aufsicht.
- Relevanz und Eignung der Eingabedaten sicherstellen, soweit sie unter eigener Kontrolle liegen.
- Logs aufbewahren, soweit verfügbar; Betrieb überwachen und Risiken bzw. schwere Vorfälle melden.
- Beschäftigte und gegebenenfalls Arbeitnehmervertretungen vor Einsatz am Arbeitsplatz informieren.
- Betroffene Personen informieren, wenn Entscheidungen über natürliche Personen unterstützt werden.
- Je nach öffentlichem oder besonders grundrechtsrelevantem Einsatz eine Grundrechte-Folgenabschätzung durchführen.
06
Sanktionen und wirtschaftliches Risiko
Die Obergrenzen sind erheblich; zugleich gelten Verhältnismässigkeit und Einzelfallprüfung.
| Verstosskategorie | Maximale Geldbusse | Für Unternehmen |
|---|---|---|
| Verbotene KI-Praktiken oder Verstoss gegen bestimmte Datenanforderungen | bis € 35 Mio. | Bis 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres; grundsätzlich gilt der höhere Betrag, bei KMU der niedrigere. |
| Andere Verstösse gegen Pflichten des AI Act | bis € 15 Mio. | Bis 3 % des weltweiten Jahresumsatzes; gleiche KMU-Systematik. |
| Unrichtige, unvollständige oder irreführende Angaben gegenüber Behörden | bis € 7,5 Mio. | Bis 1 % des weltweiten Jahresumsatzes; gleiche KMU-Systematik. |
| GPAI-Anbieter | bis € 15 Mio. | Bis 3 % des weltweiten Jahresumsatzes. |
Keine automatische Tarifbusse: Behörden berücksichtigen unter anderem Art, Schwere, Dauer, Folgen, Vorsatz/Fahrlässigkeit, Kooperation, frühere Verstösse, Unternehmensgrösse und Massnahmen zur Schadensminderung. Nationale Rechtsordnungen können weitere Sanktionen und Organhaftungsfolgen vorsehen.
Neben der Geldbusse relevant
Betriebsrisiko
Untersagung, Rückruf, Einschränkung oder Nachbesserung eines Systems.
Vertragsrisiko
Gewährleistung, Schadenersatz, Projektverzug, Regress und Ausschluss aus Vergaben.
Reputationsrisiko
Vertrauensverlust bei Kunden, Mitarbeitenden, Behörden, Investoren und Versicherern.
07
Verantwortung von Geschäftsführung und Aufsichtsorganen
Der AI Act schafft keine pauschale persönliche Organhaftung – Governance bleibt dennoch Leitungsaufgabe.
Juristische Einordnung: Der AI Act adressiert primär Unternehmen und sonstige „Operatoren“. Er enthält keine allgemeine Sondernorm, wonach Geschäftsleitung, Verwaltungsrat oder Aufsichtsrat automatisch persönlich für jeden AI-Act-Verstoss haften. Persönliche Verantwortung kann sich jedoch aus nationalem Gesellschafts-, Aufsichts-, Arbeits-, Straf- oder Haftungsrecht ergeben, insbesondere bei Organisations-, Auswahl-, Überwachungs- oder Eskalationsversagen.
Geschäftsführung / Vorstand
- AI-Governance-System beschliessen, Ressourcen bereitstellen und Verantwortlichkeiten festlegen.
- Risikoappetit, verbotene Anwendungen und Freigabeschwellen definieren.
- AI-Inventar, Klassifikation, Compliance-Nachweise und Incident-Prozess sicherstellen.
- Bei wesentlichen Risiken oder Hochrisiko-Systemen informierte Managemententscheide dokumentieren.
Verwaltungsrat / Aufsichtsrat
- Angemessene Aufsicht über Strategie, wesentliche KI-Risiken und interne Kontrollsysteme.
- Regelmässiges Reporting zu Systembestand, Risikoklassen, Vorfällen, Ausnahmen und Audit-Feststellungen.
- Nachfragen zur Wirksamkeit von Datenschutz, Cybersecurity, menschlicher Aufsicht und Lieferantenkontrolle.
- Bei materiellen Abweichungen Massnahmen, Fristen und Verantwortliche verlangen.
Beirat
Ein Beirat hat nur die rechtlichen Befugnisse und Pflichten, die sich aus Satzung, Vertrag und nationalem Recht ergeben. Als beratendes Gremium kann er fachlich unterstützen, ersetzt aber weder die Geschäftsführungsverantwortung noch die gesetzliche Aufsicht eines Verwaltungs- oder Aufsichtsrats.
Empfohlenes Quartalsreporting
| KPI | Inhalt |
|---|---|
| AI Inventory Coverage | Anteil vollständig erfasster Systeme und Use Cases. |
| Classification Coverage | Anteil mit dokumentierter Rollen- und Risikoklassifikation. |
| Control Effectiveness | Offene Kontrolldefizite, überfällige Massnahmen, Ausnahmegenehmigungen. |
| Incident & Override | Fehlentscheidungen, manuelle Übersteuerungen, Beschwerden, schwere Vorfälle. |
| Supplier Assurance | Verträge, Nachweise, Modelländerungen und Audit-Ergebnisse kritischer Anbieter. |
| AI Literacy | Schulungsquote nach Rolle und Risikoprofil. |
08
Synnexus AI Governance Framework
Ein schlanker, auditierbarer Kontrollrahmen für operative Unternehmen.
Discover – AI-Inventar erstellen
Systeme, Modelle, Schatten-KI, Anbieter, Daten, Schnittstellen, Nutzergruppen und Entscheidungen erfassen.
Systeme, Modelle, Schatten-KI, Anbieter, Daten, Schnittstellen, Nutzergruppen und Entscheidungen erfassen.
Classify – Rolle und Risiko bestimmen
AI-System-Definition, Provider/Deployer-Rolle, verbotene Praxis, Hochrisiko, Transparenzpflicht und weitere Rechtsgebiete prüfen.
AI-System-Definition, Provider/Deployer-Rolle, verbotene Praxis, Hochrisiko, Transparenzpflicht und weitere Rechtsgebiete prüfen.
Control – Kontrollen designen
Human Oversight, Freigaben, Zugriff, Datenschutz, Security, Logging, Qualität, Lieferanten- und Änderungsmanagement festlegen.
Human Oversight, Freigaben, Zugriff, Datenschutz, Security, Logging, Qualität, Lieferanten- und Änderungsmanagement festlegen.
Evidence – Nachweise erzeugen
System Card, Risk Assessment, Datenblatt, Testnachweise, Entscheidungen, Versionen, Verträge und Schulungen revisionssicher dokumentieren.
System Card, Risk Assessment, Datenblatt, Testnachweise, Entscheidungen, Versionen, Verträge und Schulungen revisionssicher dokumentieren.
Operate – Laufend überwachen
Leistung, Drift, Fehler, Beschwerden, Overrides, Vorfälle und regulatorische Änderungen überwachen.
Leistung, Drift, Fehler, Beschwerden, Overrides, Vorfälle und regulatorische Änderungen überwachen.
Assure – Management und Audit
Kontrolltests, interne Reviews, unabhängige Assessments und Management-Reporting durchführen.
Kontrolltests, interne Reviews, unabhängige Assessments und Management-Reporting durchführen.
Minimaler Dokumentensatz je Use Case
AI System Card und vorgesehener Zweck
Rollen- und Verantwortungsmatrix
Risikoklassifikation mit Begründung
Daten- und Datenschutzbewertung
Human-Oversight-Konzept
Test-, Abnahme- und Leistungsnachweise
Logging- und Aufbewahrungskonzept
Security- und Zugriffsmodell
Lieferanten- und Vertragsakte
Change- und Incident-Prozess
AI-Literacy-Nachweise
Managementfreigabe bei wesentlichem Risiko
Governance by Design: Kontrollen werden in Prozess und Plattform eingebaut – nicht erst nachträglich als Dokumentationsübung ergänzt.
09
Vorläufige Klassifikation der Synnexus-Leistungen
Die nachfolgende Einordnung ist eine typische Ausgangsbewertung; die finale Klassifikation erfolgt je Kunden-Use-Case.
| Synnexus-Modul / Tätigkeit | Typische Einstufung | Wann höhere Einstufung droht | Governance-Standard |
|---|---|---|---|
| Dokumenten-, Plan- und Vertragsintelligenz | Minimal | Automatisierte Entscheidungen über natürliche Personen oder sicherheitskritische Freigaben. | Quellenbezug, Confidence, Review, Versionierung, Datenschutz. |
| Nachtrags- und Rechnungsprüfung | Minimal | Automatisierte rechtliche Bindungswirkung ohne menschliche Freigabe; personenbezogenes Profiling. | Vier-Augen-Freigabe, Prüfregeln, Audit Trail, Ausnahmeprozess. |
| Meeting & Decision Intelligence | Minimal / Transparenz | Verdeckte Aufzeichnung, biometrische Auswertung oder Emotionserkennung. | Teilnehmerinformation, Einwilligungs-/Rechtsgrundlage, Freigabe des Protokolls. |
| Executive Cost Intelligence / Cockpit | Minimal | Entscheidungen über Einzelpersonen oder Zugang zu wesentlichen Leistungen. | Datenqualität, Erklärbarkeit, Schwellenwerte, Managementfreigabe. |
| Contractor & Planner Intelligence | Minimal | Bewertung natürlicher Personen im Beschäftigungs- oder Zugangsprozess; umfassendes personenbezogenes Profiling. | Bewertung juristischer Personen bevorzugen, Kriterien offenlegen, Einspruchs- und Reviewprozess. |
| AI-automatisierte Mängelerfassung | Minimal | KI steuert unmittelbar eine sicherheitskritische Anlagenfunktion oder ersetzt zwingende Fachprüfung. | Foto-/Datenrechte, menschliche Validierung, Beweiskette, Eskalationslogik. |
| Kalkulations-, Schema- und Komponentenassistenz | Minimal | Direkte Sicherheitsauslegung regulierter Produkte oder kritischer Infrastruktur ohne qualifizierte Prüfung. | Technische Freigabe durch Fachperson, Normenbezug, Versions- und Änderungsnachweis. |
| Baustellensteuerung, Logistik und Ressourcen | Minimal | Personaleinsatz- oder Leistungsbewertung mit erheblicher Wirkung; KI als Sicherheitskomponente von Maschinen. | Trennung Betriebsoptimierung/Personalentscheidung, Sicherheits- und Override-Konzept. |
| HR-, Recruiting- oder Mitarbeiter-Scoring | Potenziell hoch | Bereits bei Auswahl, Zuweisung, Beförderung, Kündigung, Leistungs- oder Verhaltensbewertung natürlicher Personen. | Nur nach vertiefter Rechtsprüfung und vollständigem Hochrisiko-Programm. |
| Generative Kunden- oder Mitarbeiter-Chatbots | Transparenz | Zusätzliche Hochrisiko-Nutzung im Hintergrund oder Erstellung kennzeichnungspflichtiger Inhalte. | KI-Hinweis, Eskalation zu Menschen, Content- und Datenschutzkontrollen. |
Klare Synnexus-Grenze: Verbotene Praktiken werden weder angeboten noch implementiert. Hochrisiko-Use-Cases werden nur mit expliziter Klassifikation, Rechtsprüfung, Rollenklärung, vollständigem Kontrollrahmen und dokumentierter Kundenfreigabe umgesetzt.
10
On Premise, Hybrid und Cloud richtig einordnen
Das Hosting bestimmt nicht die Risikoklasse – wohl aber Datenschutz, Security und Kontrolltiefe.
| Betriebsmodell | Stärken | Governance-Schwerpunkte | Geeignet für |
|---|---|---|---|
| On Premise | Hohe Datenkontrolle, direkte Integration, abgeschottete Umgebungen. | Patch- und Modellmanagement, lokale Security, Rollenrechte, interne Betriebsverantwortung, Hardware-/Kapazitätsplanung. | Besonders sensible Unternehmensdaten, kritische Integrationen, strenge Datenresidenz. |
| Hybrid | Balance aus Kontrolle, Skalierung und spezialisierten Cloud-Modellen. | Klare Datenflüsse, Klassifikation vor Übertragung, Gateway-/DLP-Kontrollen, getrennte Logs, Verantwortungs- und Subprozessorenkette. | Unternehmen mit lokalen Kernsystemen und selektiver Cloud-Nutzung. |
| Cloud / SaaS | Schnelle Skalierung, laufende Modellverbesserung, geringere Infrastrukturbelastung. | Datenstandort, Auftragsverarbeitung, Unterauftragnehmer, Training mit Kundendaten, Exit, Modelländerungen, Verfügbarkeit, Audit- und Informationsrechte. | Standardisierte Use Cases mit beherrschbarem Schutzbedarf und guter Anbieter-Governance. |
Architektur-Entscheid in fünf Fragen
- Welche Datenkategorien und Geschäftsgeheimnisse werden verarbeitet?
- Wer ist Provider, Deployer, Modellanbieter und Auftragsverarbeiter?
- Werden Inputs oder Outputs zum Training oder zur Produktverbesserung verwendet?
- Wie werden Versionen, Prompts, Zugriffe, Ausgaben und menschliche Freigaben protokolliert?
- Wie kann der Kunde Anbieter wechseln, Daten exportieren und den Betrieb kontrolliert beenden?
Synnexus-Zielarchitektur: Datenminimierung, zweckgebundene Verarbeitung, kontrollierte Modellzugriffe, nachvollziehbare Orchestrierung, Human-in-the-loop, Audit Trails und ein dokumentierter Exit-Pfad – unabhängig vom Hostingmodell.
11
90-Tage-Umsetzungsplan
Pragmatischer Einstieg ohne überdimensioniertes Governance-Programm.
Tag 1–15Mandat, Sponsor, Policy, verbotene Praktiken, Inventarstart.
Tag 16–30Rollen, Risikoklassifikation, Lieferantenübersicht, Quick Wins.
Tag 31–50Kontrollstandard, Human Oversight, Datenschutz, Security, Logging.
Tag 51–70Pilotakten, Vertragsklauseln, Tests, Schulungen, Incident-Prozess.
Tag 71–90Managementreview, Audit-Sample, Massnahmenplan, Regelbetrieb.
Entscheidungsvorlage für Geschäftsleitung / Verwaltungsrat
| Entscheid | Erwartetes Ergebnis |
|---|---|
| Governance Owner benennen | Eine verantwortliche Stelle mit klaren Eskalationswegen. |
| AI Policy und Verbotsliste freigeben | Verbindliche Leitplanken für alle Bereiche und Lieferanten. |
| Inventar- und Klassifikationspflicht beschliessen | Keine produktive Nutzung ohne registrierten Use Case. |
| Freigabeschwellen definieren | Erhöhte Prüfung für personenbezogene, sicherheitskritische oder hochwirksame Anwendungen. |
| Reporting-Zyklus festlegen | Quartalsweise Steuerung wesentlicher Risiken und Massnahmen. |
Synnexus Leistungsbausteine
AI Governance Assessment
Inventar, Rollen, Risikoklassen, Gap Assessment und Executive Decision Paper.
Governance by Design
Kontrollen, Architektur, Human Oversight, Dokumentation und Lieferantenanforderungen im Projekt.
Operational Assurance
Monitoring, Audit Readiness, Schulung, Managementreporting und kontinuierliche Verbesserung.
12
Executive AI Governance Assessment
Von der regulatorischen Orientierung zu einem belastbaren, unternehmensspezifischen Governance-Modell.
Ist Ihr Unternehmen für den EU AI Act vorbereitet?
Synnexus bewertet die bestehende AI-Landschaft, priorisiert Handlungsfelder und entwickelt einen pragmatischen Governance- und Umsetzungsrahmen für Geschäftsleitung, Verwaltungsrat und operative Verantwortliche.
- AI-Inventar und Rollenklärung
- Risikoklassifikation und Gap Assessment
- Human Oversight, Kontrollen und Dokumentation
- Deployment- und Lieferanten-Governance
- Executive Decision Paper und 90-Tage-Roadmap
Synnexus Executive Series
Executive Assessment anfragen
Synnexus GmbH
AI Governance · Autonomous Operations · Executive Intelligence
hubert@synnexus.ch
pankaj@synnexus.ch
www.synnexus.ch
+41 79 522 53 06
Public Edition: Dieses Dokument ist öffentlich zugänglich und dient der allgemeinen fachlichen Orientierung. Es stellt keine Rechtsberatung dar. Die konkrete rechtliche und regulatorische Beurteilung ist stets für den jeweiligen Anwendungsfall vorzunehmen.
© 2026 Synnexus GmbH. Alle Inhalte, Konzepte, Darstellungen und Grafiken sind urheberrechtlich geschützt. Eine Vervielfältigung, Weitergabe oder kommerzielle Nutzung ist nur mit schriftlicher Zustimmung der Synnexus GmbH zulässig.
13
Rechtshinweis und Primärquellen
Kompakter Leitfaden – kein Ersatz für einzelfallbezogene Rechtsberatung.
Rechtshinweis: Dieses Manual dient der strukturierten Orientierung und operativen Governance. Es stellt keine Rechtsberatung dar. Die konkrete Einstufung hängt von technischer Ausgestaltung, vorgesehenem Zweck, Betroffenen, Daten, Entscheidungswirkung, Vertragsrollen, Markt und jeweils geltendem Recht ab. Vor Hochrisiko-Einsatz, wesentlichen personenbezogenen Entscheidungen, Produktsicherheitsbezug oder Behördenkontakt ist eine qualifizierte rechtliche Prüfung erforderlich.
Primärquellen und offizieller Umsetzungsstand
Regulation (EU) 2024/1689 – Artificial Intelligence Act
EUR-Lex, verbindlicher Ausgangstext
EUR-Lex, verbindlicher Ausgangstext
Europäische Kommission – AI Act Regulatory Framework
Risikostufen, Verbote, Zeitplan, Compliance und Vollzug
Risikostufen, Verbote, Zeitplan, Compliance und Vollzug
Rat der Europäischen Union – finale Zustimmung zur Vereinfachung
Neue Fristen für Hochrisiko-Systeme, 29. Juni 2026
Neue Fristen für Hochrisiko-Systeme, 29. Juni 2026
Europäische Kommission – AI Literacy Q&A
Praxisorientierte Auslegung von Art. 4
Praxisorientierte Auslegung von Art. 4
Europäische Kommission – Transparenzpflichten
Art. 50 und Kennzeichnung KI-generierter Inhalte
Art. 50 und Kennzeichnung KI-generierter Inhalte
Europäische Kommission – GPAI Guidelines
Pflichten und Vollzug für General-Purpose-AI-Modelle
Pflichten und Vollzug für General-Purpose-AI-Modelle
Grundlage dieses Manuals
Das frühere Synnexus White Paper wurde als inhaltliche Ausgangsbasis verwendet und zu einem kompakten, regulatorisch präzisierten Governance-Leitfaden weiterentwickelt. Übernommen wurden insbesondere die Business-first-Positionierung, Governance by Design, Human-in-the-loop, Auditierbarkeit sowie die Architekturperspektive auf TruGenie und Automation Anywhere AA360.