KI und Datenschutz: was KMU in der Schweiz wissen müssen

1. Welche Regeln gelten

Das DSG ist technologieneutral. Es fragt nicht, ob eine KI oder ein Mensch die Daten bearbeitet, sondern ob die Grundsätze eingehalten sind: Die Bearbeitung muss verhältnismässig sein, einem erkennbaren Zweck dienen, und die Daten müssen sicher sein. Der Bundesrat hat im Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht dafür anzupassen. Bis dahin bleibt das DSG der Massstab.

2. Auftragsbearbeitung: der Vertrag mit dem Anbieter

Bearbeitet ein Anbieter Personendaten für Sie, etwa die Mails Ihrer Kundschaft, ist das eine Auftragsbearbeitung (Art. 9 DSG). Sie bleiben verantwortlich. Das Gesetz verlangt:

• einen Vertrag, der regelt, was der Anbieter mit den Daten tun darf,
• dass der Anbieter die Daten nur so bearbeitet, wie Sie es selbst dürften,
• dass Sie sich vergewissern, dass er die Datensicherheit gewährleisten kann,
• dass er weitere Unternehmen nur mit Ihrer Genehmigung beizieht.

Fragen Sie nach diesem Vertrag (oft «AVV» oder «DPA» genannt) und nach der Liste der eingesetzten Dienste.

3. Daten im Ausland

Viele KI-Dienste bearbeiten Daten ausserhalb der Schweiz. Das ist erlaubt, wenn der Schutz angemessen ist (Art. 16 DSG). Für die Staaten der EU und des EWR hat der Bundesrat das festgestellt. Für die USA gilt es bei Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind. In anderen Fällen braucht es zusätzliche Garantien, zum Beispiel Standarddatenschutzklauseln.

Für Sie heisst das: Lassen Sie sich schriftlich geben, wo die Daten bearbeitet werden und worauf sich die Übermittlung stützt.

4. Transparenz und automatisierte Entscheide

• Informieren. Ihre Datenschutzerklärung sollte sagen, dass und wofür Sie KI-Dienste einsetzen und in welche Länder Daten gehen können.
• Maschine oder Mensch. Wer mit einem Chatbot schreibt, soll das erkennen können. Der EDÖB verlangt das ausdrücklich.
• Automatisierte Einzelentscheide. Entscheidet eine Maschine allein über etwas mit erheblicher Wirkung für eine Person, muss diese informiert werden und kann verlangen, dass ein Mensch den Entscheid prüft (Art. 21 DSG). Wer Entwürfe prüft und selbst freigibt, ist davon in der Regel nicht betroffen.

5. Besondere Daten und Geheimnisse

Gesundheitsdaten, Daten über Massnahmen der sozialen Hilfe, über strafrechtliche Verfolgungen und ähnliche Angaben sind besonders schützenswert. Birgt eine Bearbeitung ein hohes Risiko, verlangt das Gesetz vorab eine Datenschutz-Folgenabschätzung (Art. 22 DSG). Wer einem Berufs- oder Geschäftsgeheimnis untersteht, klärt zusätzlich, ob und wie ein externer Dienst beigezogen werden darf.

6. Checkliste vor dem Start

1. Welche Personendaten berührt der Ablauf, und braucht es alle davon?
2. Gibt es einen Vertrag zur Auftragsbearbeitung mit dem Anbieter?
3. Welche Dienste werden eingesetzt, und wo bearbeiten sie die Daten?
4. Werden die Daten zum Trainieren von KI-Modellen verwendet? Lassen Sie sich die Antwort schriftlich geben.
5. Wer hat Zugriff, und wie lange werden die Daten aufbewahrt?
6. Ist die Datenschutzerklärung angepasst?
7. Prüft ein Mensch, bevor etwas mit Wirkung nach aussen geht?
8. Wissen Ihre Mitarbeitenden, welche Daten sie in welche Werkzeuge eingeben dürfen?

7. Wie AIONI damit umgeht

Welche Dienste wir einsetzen und wo Daten bearbeitet werden, hängt von der Lösung ab. Wir halten es vor dem Start schriftlich fest, wo nötig in einem Vertrag zur Auftragsbearbeitung. Prüfen und Freigeben bleiben bei Ihnen. Die Einzelheiten stehen in unserer Datenschutzerklärung.