KI & Datenschutz: Das müssen Schweizer Unternehmen wissen

Warum Datenschutz bei KI nicht optional ist

Künstliche Intelligenz verarbeitet oft grosse Mengen an Daten – von Kundeninfos über Transaktionsdaten bis hin zu Verhaltensmustern. Für Schweizer Unternehmen gilt hier eine klare Regelung: Das Bundesgesetz über den Datenschutz (DSG) schreibt vor, wie personenbezogene Daten behandelt werden müssen. Wer zusätzlich mit EU-Kunden oder Partnern arbeitet, muss auch die DSGVO einhalten – und die ist deutlich strenger.

Das Risiko ist real. Bussgelder, Reputationsschäden und verlorenes Kundenvertrauen sind die Konsequenzen von Datenschutzverletzungen. Gleichzeitig bietet KI enormes Potenzial – wenn es richtig gemacht wird.

Die rechtlichen Grundlagen: DSG vs. DSGVO

Das neue DSG (gültig seit September 2023) bringt die Schweiz näher an die DSGVO, bleibt aber in einigen Punkten flexibler. Beide Gesetze teilen aber einen Kern-Gedanken: Datenverarbeitung braucht Zweck, Rechtsgrundlage und Transparenz.

• Lawful Basis: Du darfst Daten nur verarbeiten, wenn ein legitimer Grund vorliegt – Kundenvertrag, explizite Einwilligung, gesetzliche Verpflichtung oder berechtigte Interessen.
• Datensparsamkeit: Nutze nur die Daten, die du wirklich brauchst. KI-Modelle zu füttern mit "alles, was wir haben" ist datenschutzrechtlich problematisch.
• Transparenz: Kunden und Mitarbeiter müssen wissen, dass KI ihre Daten verarbeitet. Das gilt auch für automatisierte Entscheidungen.
• Betroffenenrechte: Personen haben das Recht, Zugang zu ihren Daten zu erhalten und – in vielen Fällen – dem Einsatz von KI zu widersprechen.

KI-Einsatz praktisch absichern

Wie macht man KI rechtskonform? Hier sind die wichtigsten Schritte:

1. Impact Assessment durchführen

Bevor du ein KI-System einführst, analysiere die Datenschutz-Risiken. Was sind die potenziellen Schäden für Personen? Wie wahrscheinlich ist eine Verletzung? Bei hochriskanten Systemen (z.B. automatisierte Kreditvergabe, Mitarbeiter-Scoring) ist eine formelle Datenschutz-Folgenabschätzung (DPIA) Pflicht.

2. Datenquellen prüfen

Woher kommen die Trainingsdaten? Wurden Personen informiert und haben zugestimmt? Besonders bei generativer KI (ChatGPT, etc.) muss klar sein, ob Kundendaten ins Training fliessen dürfen. Die Antwort ist oft: nein. Deshalb setzen manche Unternehmen lieber auf On-Premise- oder Private-Cloud-Lösungen ohne externe Datenfreigabe.

3. Anbieter-Verträge richtig gestalten

Nutzt du externe KI-Anbieter oder Cloud-Services? Dann brauchst du einen Datenverarbeitungsvertrag (Data Processing Agreement, DPA). Dieser muss klar regeln, wer was mit den Daten tut, wo diese gespeichert werden und welche Sicherheitsmassnahmen gelten. Grosse Anbieter wie Microsoft, Google oder OpenAI bieten diese Verträge an – frag nach, wenn nicht.

4. Dokumentation und Verantwortlichkeit

Beide Gesetze fordern Accountability: Du musst nachweisen können, dass du datenschutzkonform handelst. Das bedeutet Dokumentation – wer hat entschieden, welche KI eingeführt wird, welche Massnahmen wurden ergriffen, wie wird überwacht? Diese Papiere sind nicht nur rechtlich wichtig, sondern auch bei Audits oder Kontrollen durch Datenschutzbehörden entscheidend.

Besonderheiten für die Schweiz

Ein Vorteil für Schweizer Unternehmen: Das Schweizer DSG ist weniger komplex als die DSGVO. Die Bussen sind tiefer (bis 250'000 Franken, und sie treffen die verantwortliche Person statt des Unternehmens) als bei der DSGVO, wo es um Millionen gehen kann. Allerdings wächst die Kontrolltätigkeit der Schweizer Datenschutzbehörden.

Wichtig auch: Das DSG gilt grundsätzlich für alle Unternehmen, die Personendaten bearbeiten – unabhängig von der Grösse. Erleichterungen gibt es nur bei einzelnen Pflichten: So brauchen Unternehmen mit weniger als 250 Mitarbeitenden in der Regel kein Verzeichnis der Bearbeitungstätigkeiten, solange sie nicht in grossem Umfang besonders schützenswerte Daten bearbeiten oder ein Profiling mit hohem Risiko durchführen. Eine Zahnarztpraxis bearbeitet Gesundheitsdaten und muss deshalb besonders sorgfältig sein – ein Versand-E-Commerce mit grosser Kundendatenbank ebenso.

Praktischer Tipp: Die KI-Datenschutz-Checkliste

Speichere diese vier Fragen, bevor du ein KI-Projekt startest:

• Welche personenbezogenen Daten verarbeitet das System – und habe ich dafür eine Rechtsgrundlage?
• Habe ich eine Datenschutzerklärung, in der ich KI-Nutzung transparent erkläre?
• Gibt es einen Datenverarbeitungsvertrag mit meinen KI-Anbietern?
• Wie stelle ich sicher, dass nur notwendige Daten ins Training oder in die Verarbeitung fliessen?

Wer diese vier Punkte abhakt, ist bereits auf dem richtigen Weg. KI und Datenschutz sind kein Widerspruch – nur eine Frage der richtigen Planung.