KI & Datenschutz: Das müssen Schweizer Unternehmen wissen

Warum Datenschutz bei KI nicht optional ist

Künstliche Intelligenz verarbeitet oft grosse Mengen an Daten – von Kundeninfos über Transaktionsdaten bis hin zu Verhaltensmustern. Für Schweizer Unternehmen gilt hier eine klare Regelung: Das Bundesgesetz über den Datenschutz (DSG) schreibt vor, wie personenbezogene Daten behandelt werden müssen. Wer zusätzlich mit EU-Kunden oder Partnern arbeitet, muss auch die DSGVO einhalten – und die ist deutlich strenger.

Das Risiko ist real. Busskgelder, Reputationsschäden und verlorenes Kundenvertrauen sind die Konsequenzen von Datenschutzverletzungen. Gleichzeitig bietet KI enormes Potenzial – wenn es richtig gemacht wird.

Die rechtlichen Grundlagen: DSG vs. DSGVO

Das neue DSG (gültig seit September 2023) bringt der DSGVO näher, bleibt aber in einigen Punkten flexibler. Beide Gesetze teilen aber einen Kern-Gedanken: Datenverarbeitung braucht Zweck, Rechtsgrundlage und Transparenz.

• Lawful Basis: Sie dürfen Daten nur verarbeiten, wenn ein legitimer Grund vorliegt – Kundenvertrag, explizite Einwilligung, gesetzliche Verpflichtung oder berechtigte Interessen.
• Datensparsamkeit: Nutzen Sie nur die Daten, die Sie wirklich brauchen. KI-Modelle zu füttern mit "alles, was wir haben" ist datenschutzrechtlich problematisch.
• Transparenz: Kunden und Mitarbeiter müssen wissen, dass KI ihre Daten verarbeitet. Das gilt auch für automatisierte Entscheidungen.
• Betroffenenrechte: Personen haben das Recht, Zugang zu ihren Daten zu erhalten und – in vielen Fällen – dem Einsatz von KI zu widersprechen.

KI-Einsatz praktisch absichern

Wie macht man KI rechtskonform? Hier sind die wichtigsten Schritte:

1. Impact Assessment durchführen

Bevor Sie ein KI-System einführen, analysieren Sie die Datenschutz-Risiken. Was sind die potentiellen Schäden für Personen? Wie wahrscheinlich ist eine Verletzung? Bei hochriskanten Systemen (z.B. automatisierte Kreditvergabe, Mitarbeiter-Scoring) ist ein formelles Datenschutz-Impact Assessment (DPIA) Pflicht.

2. Datenquellen prüfen

Woher kommen die Trainingsdaten? Wurden Personen informiert und haben zugestimmt? Besonders bei generativer KI (ChatGPT, etc.) muss klar sein, ob Kundendaten ins Training fliessen dürfen. Die Antwort ist oft: nein. Deshalb nutzen viele Unternehmen lieber On-Premise- oder Private-Cloud-Lösungen ohne externe Datenfreigabe.

3. Anbieter-Verträge richtig gestalten

Nutzen Sie externe KI-Anbieter oder Cloud-Services? Dann brauchen Sie einen Datenverarbeitungsvertrag (Data Processing Agreement, DPA). Dieser muss klar regeln, wer was mit den Daten tut, wo diese gespeichert werden und welche Sicherheitsmassnahmen gelten. Grosse Anbieter wie Microsoft, Google oder OpenAI bieten diese Verträge an – fragen Sie nach, wenn nicht.

4. Dokumentation und Verantwortlichkeit

Beide Gesetze fordern Accountability: Sie müssen nachweisen können, dass Sie datenschutzkonform handeln. Das bedeutet Dokumentation – wer entschied welche KI einzuführen, welche Massnahmen wurden ergriffen, wie wird überwacht? Diese Papiere sind nicht nur rechtlich wichtig, sondern auch bei Audits oder Kontrollen durch Datenschutzbehörden entscheidend.

Besonderheiten für die Schweiz

Ein Vorteil für Schweizer Unternehmen: Das Schweizer DSG ist weniger komplex als die DSGVO. Die Bussgelder sind geringer (max. 100'000 Franken statt potentiell Millionen). Allerdings wächst die Kontrolltätigkeit der Schweizer Datenschutzbehörden.

Wichtig auch: Das DSG unterscheidet zwischen Unternehmen und Privatpersonen. Viele KMU sind nur dann verpflichtet, wenn sie regelmässig grössere Datenmengen verarbeiten. Eine Zahnärztin mit fünf Mitarbeitern? Eher nicht. Ein Versand-E-Commerce mit Kundendatenbank? Definitiv ja.

Praktischer Tipp: Die KI-Datenschutz-Checkliste

Speichern Sie diese vier Fragen, bevor Sie ein KI-Projekt starten:

• Welche personenbezogenen Daten verarbeitet das System – und habe ich dafür eine Rechtsgrundlage?
• Habe ich eine Datenschutzerklärung, in der ich KI-Nutzung transparent erkläre?
• Gibt es einen Datenverarbeitungsvertrag mit meinen KI-Anbietern?
• Wie stelle ich sicher, dass nur notwendige Daten ins Training oder in die Verarbeitung fliessen?

Wer diese vier Punkte abhakt, ist bereits auf dem richtigen Weg. KI und Datenschutz sind kein Widerspruch – nur eine Frage der richtigen Planung.