KI und Datenschutz: Das müssen Schweizer Firmen wissen

Wie Schweizer Unternehmen KI-Systeme datenschutzkonform einsetzen: Die wichtigsten Anforderungen des DSG und der DSGVO im Überblick mit praktischen Tipps.

Die Datenschutz-Realität für KI in der Schweiz

Künstliche Intelligenz ist längst kein Zukunftsthema mehr – sie sitzt bereits in vielen Schweizer Unternehmen am Tisch. Chatbots beantworten Kundenanfragen, Algorithmen optimieren Personalentscheidungen, und Machine-Learning-Modelle analysieren Kundendaten. Doch während die technologischen Möglichkeiten beeindruckend sind, stellt sich eine wichtige Frage: Sind diese Systeme datenschutzkonform?

Die Antwort ist differenziert. Das neue Schweizer Datenschutzgesetz (DSG), das seit September 2023 in Kraft ist, hat die Anforderungen verschärft. Zusätzlich müssen Schweizer Firmen, die mit EU-Kunden oder Partnern arbeiten, auch die Datenschutz-Grundverordnung (DSGVO) beachten. Was viele Unternehmer unterschätzen: KI-Systeme sind aus Datenschutzsicht besonders kritisch, weil sie oft mit grossen Datenmengen arbeiten und Entscheidungen automatisiert treffen.

DSG vs. DSGVO: Was ist der Unterschied?

Das Schweizer DSG ist deutlich schlanker als die europäische DSGVO. Der Grundgedanke ist aber identisch: Personendaten müssen geschützt werden. Das DSG gilt für alle Schweizer Unternehmen, die Personendaten bearbeiten – egal, wo die betroffene Person sitzt.

Die DSGVO hingegen ist verpflichtend, wenn dein Unternehmen:

Kunden oder Mitarbeitende in der EU hat,
Services für EU-Bürger erbringt oder
Daten aus der EU verarbeitet.

Das Wichtigste: Die DSGVO ist strenger als das DSG. Wenn dein Unternehmen bereits DSGVO-konform ist, erfüllt es meist auch die Schweizer Anforderungen. Umgekehrt nicht automatisch.

Die fünf kritischsten Punkte für KI-Systeme

1. Transparenz und Dokumentation
KI-Systeme müssen erklärbar sein. Das klingt einfach, ist aber für Deep-Learning-Modelle eine Herausforderung. Das DSG und die DSGVO verlangen, dass Unternehmen dokumentieren, wie die KI Entscheidungen trifft. Das gilt besonders bei automatisierten Entscheidungen, die Menschen betreffen (Kreditvergabe, Bewerbungsverfahren, Versicherungsprämien).

2. Rechtsgrundlage für die Datennutzung
Bevor du KI-Systeme mit Kundendaten trainierst, brauchst du eine klare Rechtsgrundlage. Meist ist das die ausdrückliche Einwilligung. Einen Satz zur «KI-Optimierung» in den AGB verstecken? Das funktioniert nicht mehr.

3. Datensparsamkeit
Sammle wirklich nur die Daten, die die KI braucht. Ein Chatbot für Kundenservice braucht keine detaillierten Browsing-Profile – das ist ein klassischer Fall von Über-Datenerfassung.

4. Betroffenenrechte
Menschen haben das Recht zu wissen, dass eine KI eine Entscheidung über sie trifft. Sie haben auch das Recht auf Auskunft, Berichtigung und teilweise auf Widerspruch. Diese Rechte musst du in deine Prozesse einbauen.

5. Drittländertransfers
Vorsicht: Viele beliebte KI-Tools (OpenAI, Google Cloud, Microsoft Azure) speichern oder verarbeiten Daten teilweise in den USA. Das ist ein grösseres Datenschutzrisiko, besonders unter der DSGVO. Du brauchst dann zusätzliche Massnahmen wie Standard-Vertragsklauseln.

Praktische Massnahmen für dein Unternehmen

Nicht alle KI-Systeme sind gleich kritisch. Ein Klassifizierungstool für interne E-Mails ist unkritischer als ein automatisiertes Bewerbungssystem. Hier ist ein pragmatischer Ansatz:

Risikobewertung machen: Welche Daten nutzt deine KI? Wie sensibel sind sie? Betreffen die Entscheidungen Menschen direkt?
Datenschutz-Folgenabschätzung (DSFA) durchführen: Bei hochriskanten Systemen ist das verpflichtend. Das ist weniger Bürokratie als praktische Risikoanalyse.
Verträge mit KI-Anbietern klären: Wer verarbeitet die Daten? Wo? Wie lange? Das muss in den Datenverarbeitungsverträgen (AV-Verträge) stehen.
Mitarbeitende schulen: Deine Teams müssen verstehen, dass KI-Systeme datenschutzrechtliche Anforderungen haben – nicht nur technische.

Der praktische Tipp für diese Woche

Starte mit einem KI-Datenschutz-Audit: Mach eine Liste aller KI-Tools, die dein Unternehmen nutzt (ChatGPT, Canva mit KI, CRM-Automationen, Analytics-Tools, etc.). Notiere für jedes Tool: Welche Daten gehen rein? Wo werden sie verarbeitet? Hast du eine rechtliche Grundlage für diese Nutzung?

Diese halbe Stunde Arbeit zeigt schnell, wo du handeln musst – und wo du bereits konform bist. Das ist der erste Schritt zu vertrauenswürdiger KI in deinem Unternehmen.