KI und Datenschutz: Das müssen Schweizer Firmen wissen

Die Datenschutz-Realität für KI in der Schweiz

Künstliche Intelligenz ist längst kein Zukunftsthema mehr – sie sitzt bereits in vielen Schweizer Unternehmen am Tisch. Chatbots beantworten Kundenanfragen, Algorithmen optimieren Personalentscheidungen, und Machine-Learning-Modelle analysieren Kundendaten. Doch während die technologischen Möglichkeiten beeindruckend sind, stellt sich eine wichtige Frage: Sind diese Systeme datenschutzkonform?

Die Antwort ist differenziert. Das neue Schweizer Datenschutzgesetz (DSG), das seit September 2023 in Kraft ist, hat die Anforderungen verschärft. Zusätzlich müssen Schweizer Firmen, die mit EU-Kunden oder Partnern arbeiten, auch die Datenschutz-Grundverordnung (DSGVO) beachten. Was viele Unternehmer unterschätzen: KI-Systeme sind aus Datenschutzsicht besonders kritisch, weil sie oft mit grossen Datenmengen arbeiten und Entscheidungen automatisiert treffen.

DSG vs. DSGVO: Was ist der Unterschied?

Das Schweizer DSG ist deutlich schlanker als die europäische DSGVO. Der Grundgedanke ist aber identisch: Personendaten müssen geschützt werden. Das DSG gilt für alle Schweizer Unternehmen, die Personendaten bearbeiten – egal, wo die betroffene Person sitzt.

Die DSGVO hingegen ist verpflichtend, wenn Ihr Unternehmen:

• Kunden oder Mitarbeitende in der EU hat,
• Services für EU-Bürger erbringt oder
• Daten aus der EU verarbeitet.

Das Wichtigste: Die DSGVO ist strenger als das DSG. Wenn Ihr Unternehmen bereits DSGVO-konform ist, erfüllt es meist auch die Schweizer Anforderungen. Umgekehrt nicht automatisch.

Die fünf kritischsten Punkte für KI-Systeme

1. Transparenz und Dokumentation
KI-Systeme müssen erklärbar sein. Das klingt einfach, ist aber für Deep-Learning-Modelle eine Herausforderung. Das DSG und die DSGVO verlangen, dass Unternehmen dokumentieren, wie die KI Entscheidungen trifft. Das gilt besonders bei automatisierten Entscheidungen, die Menschen betreffen (Kreditvergabe, Bewerbungsverfahren, Versicherungsprämiuen).

2. Rechtsgrundlage für die Datennutzung
Bevor Sie KI-Systeme mit Kundendaten trainieren, brauchen Sie eine klare Rechtsgrundlage. Meist ist das die ausdrückliche Einwilligung. «Wir nutzen Ihre Daten für KI-Optimierung» in den AGBs verstecken? Das funktioniert nicht mehr.

3. Datensparsamkeit
Sammeln Sie wirklich nur die Daten, die die KI braucht. Ein Chatbot für Kundenservice braucht keine detaillierten Browsing-Profile – das ist ein klassischer Fall von Über-Datenerfassung.

4. Betroffenenrechte
Menschen haben das Recht zu wissen, dass eine KI eine Entscheidung über sie trifft. Sie haben auch das Recht auf Auskunft, Berichtigung und teilweise auf Widerspruch. Diese Rechte müssen Sie in Ihre Prozesse einbauen.

5. Drittländertransfers
Vorsicht: Viele beliebte KI-Tools (OpenAI, Google Cloud, Microsoft Azure) speichern oder verarbeiten Daten teilweise in den USA. Das ist ein grösseres Datenschutzrisiko, besonders unter der DSGVO. Sie brauchen dann zusätzliche Massnahmen wie Standard-Vertragsklauseln.

Praktische Massnahmen für Ihr Unternehmen

Nicht alle KI-Systeme sind gleich kritisch. Ein Klassifizierungstool für interne E-Mails ist unkritischer als ein automatisiertes Bewerbungssystem. Hier ist ein pragmatischer Ansatz:

• Risikobewertung machen: Welche Daten nutzt Ihre KI? Wie sensibel sind sie? Betreffen die Entscheidungen Menschen direkt?
• Datenschutz-Folgenabschätzung (DSFA) durchführen: Bei hochriskanten Systemen ist das verpflichtend. Das ist weniger Bürokratie als praktische Risikoanalyse.
• Verträge mit KI-Anbietern klären: Wer verarbeitet die Daten? Wo? Wie lange? Das muss in den Datenverarbeitungsverträgen (AV-Verträge) stehen.
• Mitarbeitende schulen: Ihre Teams müssen verstehen, dass KI-Systeme datenschutzrechtliche Anforderungen haben – nicht nur technische.

Der praktische Tipp für diese Woche

Starten Sie mit einem KI-Datenschutz-Audit: Machen Sie eine Liste aller KI-Tools, die Ihr Unternehmen nutzt (ChatGPT, Canva mit KI, CRM-Automationen, Analytics-Tools, etc.). Notieren Sie für jedes Tool: Welche Daten gehen rein? Wo werden sie verarbeitet? Haben Sie eine rechtliche Grundlage für diese Nutzung?

Diese halbe Stunde Arbeit zeigt schnell, wo Sie handeln müssen – und wo Sie bereits konform sind. Das ist der erste Schritt zu vertrauenswürdiger KI in Ihrem Unternehmen.