KI und Datenschutz: Das müssen Schweizer KMU wissen

Warum Datenschutz bei KI nicht verhandelbar ist

KI-Systeme sind Datenhungrige: Chatbots lernen aus Gesprächsprotokollen, Prognose-Tools analysieren Kundenverhalten, automatisierte Prozesse verarbeiten Mitarbeiterdaten. Wer KI einsetzt, verarbeitet automatisch Daten – und damit greift das Schweizer Datenschutzgesetz (DSG) sowie die Europäische DSGVO.

Das ist nicht bloss theoretisch: Bussgelder für Verstösse reichen in die Millionen. Aber noch wichtiger ist der Vertrauensschutz: Kunden und Mitarbeiter möchten wissen, dass ihre Daten sicher sind. Eine solide Datenschutz-Strategie ist deshalb nicht nur Pflicht, sondern auch gutes Business.

DSG vs. DSGVO: Wer braucht was?

Das Schweizer Datenschutzgesetz (DSG 2023) gilt für alle Unternehmen in der Schweiz – egal wie gross. Die Europäische DSGVO greift zusätzlich, wenn Sie Kunden oder Partner in der EU haben oder personenbezogene Daten von EU-Bürgern verarbeiten.

Kurz gefasst:

• DSG: Regelt Datenschutz in der Schweiz, etwas flexibler als die EU-Regelung, aber immer noch streng
• DSGVO: Greift bei Kundendaten von EU-Bürgern, sehr detailliert, viele Dokumentationspflichten
• Beide gleichzeitig: Das ist der Standard für viele Schweizer KMU mit grenzüberschreitendem Geschäft – hier gelten die strengeren DSGVO-Regeln

Faustregel: Wenn Sie nicht sicher sind, ob die DSGVO Sie betrifft – wahrscheinlich tut sie das. Besser vorsichtig als zu spät.

KI-Tools und Datenschutz: 5 konkrete Anforderungen

Ob CloudLösung, lokales Modell oder ChatGPT – diese Punkte müssen Sie klären:

• Datenherkunft: Dürfen die Daten, die Sie der KI eingeben, dort verarbeitet werden? Kundendaten brauchen Zustimmung, Mitarbeiterdaten erfordern transparente Kommunikation.
• Verarbeiter-Verträge: Wenn Sie externe KI-Dienste nutzen (z.B. ChatGPT, Microsoft Copilot), brauchen Sie einen Datenverarbeitungsvertrag (Data Processing Agreement, DPA). Das regelt rechtlich, dass der Anbieter Ihre Daten nur nach Ihren Vorgaben nutzt.
• Datenspeicherung: Wo landen Ihre Daten? Bei US-Anbietern ist das oft umstritten – die Schweiz und die EU sind sicherer. Fragen Sie nach.
• Automatisierte Entscheidungen: Nutzt Ihre KI Daten, um Entscheidungen zu treffen (Kreditvergabe, Einstellungen, Preisgestaltung), müssen Betroffene informiert werden und ein Einspruchsrecht haben.
• Datenschutz-Folgenabschätzung: Bei risikoreichen KI-Projekten ist eine DPIA (Datenschutz-Folgenabschätzung) Pflicht – ein Dokument, in dem Sie analysieren, welche Risiken entstehen und wie Sie diese mindern.

Praktische Tipps für datenschutzkonforme KI

1. Kennen Sie Ihre Daten: Vor der KI-Implementierung: Welche Daten haben Sie? Wer darf sie sehen? Machen Sie ein Datenverzeichnis.

2. Minimieren Sie: Je weniger personenbezogene Daten die KI braucht, desto besser. Anonymisieren oder pseudonymisieren Sie, wo möglich. Ein Prognose-Tool braucht nicht den Namen des Kunden – die Kundennummer reicht.

3. Kommunizieren Sie transparent: Schreiben Sie in Ihre Datenschutzerklärung, dass und wie Sie KI einsetzen. Kunden und Mitarbeiter sollten das wissen.

4. Verträge regeln: Bevor Sie einen KI-Dienst nutzen, lesen Sie die Datenschutzbestimmungen. Fordern Sie einen angepassten Datenverarbeitungsvertrag an – viele Anbieter haben Standardvorlagen.

5. Interne Verantwortung: Bestimmen Sie eine Person oder ein Team, das für Datenschutz bei KI zuständig ist. Bei grösseren KI-Projekten hilft ein Datenschutzbeauftragter (DSB).

Konkret für diese Woche: Die Checkliste

Wenn Sie KI in Ihrem Unternehmen nutzen oder einführen möchten, gehen Sie diese Schritte durch:

• Inventarisieren Sie alle KI-Tools, die Sie nutzen (auch ChatGPT auf privaten Geräten von Mitarbeitern)
• Prüfen Sie für jeden Service: Gibt es einen DPA? Wo werden Daten gespeichert?
• Aktualisieren Sie Ihre Datenschutzerklärung
• Dokumentieren Sie Ihre Entscheidungen – das ist im Compliance-Fall wertvoll

Datenschutz bei KI ist kein Hindernis für Innovation – es ist die Grundlage für vertrauenswürdige KI. Wer diese Regeln ernst nimmt, spart sich später teure Probleme und gewinnt das Vertrauen seiner Kunden.