KI und Datenschutz: Das müssen Schweizer KMU wissen

Warum Datenschutz bei KI nicht verhandelbar ist

KI-Systeme sind datenhungrig: Chatbots lernen aus Gesprächsprotokollen, Prognose-Tools analysieren Kundenverhalten, automatisierte Prozesse verarbeiten Mitarbeiterdaten. Wer KI einsetzt, verarbeitet automatisch Daten – und damit greifen das Schweizer Datenschutzgesetz (DSG) und die europäische DSGVO.

Das ist nicht bloss theoretisch: Bussgelder für Verstösse reichen in die Millionen. Aber noch wichtiger ist der Vertrauensschutz: Kunden und Mitarbeiter möchten wissen, dass ihre Daten sicher sind. Eine solide Datenschutz-Strategie ist deshalb nicht nur Pflicht, sondern auch gutes Business.

DSG vs. DSGVO: Wer braucht was?

Das Schweizer Datenschutzgesetz (DSG 2023) gilt für alle Unternehmen in der Schweiz – egal wie gross. Die europäische DSGVO greift zusätzlich, wenn du Kunden oder Partner in der EU hast oder personenbezogene Daten von EU-Bürgern verarbeitest.

Kurz gefasst:

• DSG: Regelt Datenschutz in der Schweiz, etwas flexibler als die EU-Regelung, aber immer noch streng
• DSGVO: Greift bei Kundendaten von EU-Bürgern, sehr detailliert, viele Dokumentationspflichten
• Beide gleichzeitig: Das ist der Standard für viele Schweizer KMU mit grenzüberschreitendem Geschäft – hier gelten die strengeren DSGVO-Regeln

Faustregel: Wenn du nicht sicher bist, ob die DSGVO dich betrifft – wahrscheinlich tut sie das. Besser vorsichtig als zu spät.

KI-Tools und Datenschutz: 5 konkrete Anforderungen

Ob Cloud-Lösung, lokales Modell oder ChatGPT – diese Punkte musst du klären:

• Datenherkunft: Dürfen die Daten, die du der KI eingibst, dort verarbeitet werden? Kundendaten brauchen Zustimmung, Mitarbeiterdaten erfordern transparente Kommunikation.
• Verarbeiter-Verträge: Wenn du externe KI-Dienste nutzt (z.B. ChatGPT, Microsoft Copilot), brauchst du einen Datenverarbeitungsvertrag (Data Processing Agreement, DPA). Er regelt rechtlich, dass der Anbieter deine Daten nur nach deinen Vorgaben nutzt.
• Datenspeicherung: Wo landen deine Daten? Bei US-Anbietern ist das oft umstritten – die Schweiz und die EU sind sicherer. Frag nach.
• Automatisierte Entscheidungen: Nutzt deine KI Daten, um Entscheidungen zu treffen (Kreditvergabe, Einstellungen, Preisgestaltung), müssen Betroffene informiert werden und ein Einspruchsrecht haben.
• Datenschutz-Folgenabschätzung: Bei risikoreichen KI-Projekten ist eine DPIA (Datenschutz-Folgenabschätzung) Pflicht – ein Dokument, in dem du analysierst, welche Risiken entstehen und wie du diese minderst.

Praktische Tipps für datenschutzkonforme KI

1. Kenne deine Daten: Vor der KI-Implementierung: Welche Daten hast du? Wer darf sie sehen? Leg ein Datenverzeichnis an.

2. Minimiere: Je weniger personenbezogene Daten die KI braucht, desto besser. Anonymisiere oder pseudonymisiere, wo möglich. Ein Prognose-Tool braucht nicht den Namen des Kunden – die Kundennummer reicht.

3. Kommuniziere transparent: Schreib in deine Datenschutzerklärung, dass und wie du KI einsetzt. Kunden und Mitarbeiter sollten das wissen.

4. Verträge regeln: Bevor du einen KI-Dienst nutzt, lies die Datenschutzbestimmungen. Fordere einen angepassten Datenverarbeitungsvertrag an – viele Anbieter haben Standardvorlagen.

5. Interne Verantwortung: Bestimme eine Person oder ein Team, das für Datenschutz bei KI zuständig ist. Bei grösseren KI-Projekten hilft ein Datenschutzbeauftragter (DSB).

Konkret für diese Woche: Die Checkliste

Wenn du KI in deinem Unternehmen nutzt oder einführen möchtest, geh diese Schritte durch:

• Inventarisiere alle KI-Tools, die ihr nutzt (auch ChatGPT auf privaten Geräten von Mitarbeitenden)
• Prüfe für jeden Service: Gibt es einen DPA? Wo werden Daten gespeichert?
• Aktualisiere deine Datenschutzerklärung
• Dokumentiere deine Entscheidungen – das ist im Compliance-Fall wertvoll

Datenschutz bei KI ist kein Hindernis für Innovation – es ist die Grundlage für vertrauenswürdige KI. Wer diese Regeln ernst nimmt, spart sich später teure Probleme und gewinnt das Vertrauen seiner Kunden.