KI und Datenschutz in der Schweiz: Was Unternehmen beachten müssen
Der Einsatz von künstlicher Intelligenz ist in der Schweiz erlaubt – aber nicht bedingungslos. Sobald Mitarbeitende Personendaten in ein KI-Tool eingeben, liegt eine Datenbearbeitung im Sinne des revidierten Datenschutzgesetzes (revDSG) vor. Das Unternehmen bleibt dafür verantwortlich, auch wenn die Verarbeitung beim KI-Anbieter stattfindet. Wer Kundinnen und Kunden in Deutschland oder Österreich hat, muss zusätzlich die DSGVO erfüllen – die Grundsätze ähneln sich, die Nachweispflichten sind dort formaler.
Dieser Artikel zeigt, welche Regeln beim KI-Einsatz gelten, wo die typischen Risiken liegen und wie Unternehmen KI datenschutzkonform einführen – vom Auslandtransfer bis zum Auftragsverarbeitungsvertrag.
Warum KI-Tools ein Datenschutzthema sind
Bei jedem Prompt fließen Daten an den Anbieter des KI-Modells. Enthalten Eingaben oder hochgeladene Dokumente Namen, Kundendaten oder Gesundheitsinformationen, bearbeitet das Unternehmen Personendaten – mit allen Pflichten aus dem revDSG. Kritisch wird es, wenn Anbieter Eingaben zum Training ihrer Modelle verwenden oder Daten in Drittstaaten ohne angemessenes Datenschutzniveau verarbeiten.
Hinzu kommt: Viele Mitarbeitende nutzen KI privat und übertragen diese Gewohnheit ins Büro. Ohne klare Regeln entsteht Schatten-KI – unkontrollierte Nutzung, von der die IT nichts weiß.
Welche Regeln gelten: revDSG und DSGVO
Das revDSG ist seit dem 1. September 2023 in Kraft und verlangt unter anderem Transparenz über die Bearbeitung, Datensicherheit nach dem Stand der Technik und bei hohem Risiko eine Datenschutz-Folgenabschätzung. Bei vorsätzlichen Verstößen drohen Bußen bis CHF 250 000 – gerichtet an verantwortliche Privatpersonen, nicht an das Unternehmen.
Wer Kunden im EU-Raum bedient, muss zusätzlich die DSGVO beachten. Dort liegen die Bußen deutlich höher: bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Auslandtransfer: Das Problem mit US-Anbietern
Die meisten großen KI-Anbieter sitzen in den USA. Der US CLOUD Act von 2018 verpflichtet amerikanische Anbieter, Behörden auf Anordnung Daten herauszugeben – unabhängig davon, wo die Server stehen. Für vertrauliche Kunden- und Geschäftsdaten ist das ein strukturelles Risiko, das sich mit Vertragsklauseln nur begrenzt entschärfen lässt.
Die robusteste Antwort ist Datenhaltung in der Schweiz oder der EU bei einem Anbieter, der Eingaben nicht zum Training verwendet und einen Auftragsverarbeitungsvertrag (AVV) anbietet.
Checkliste: KI datenschutzkonform einführen
Die Einführung von KI ist kein reines IT-Projekt, sondern eine Governance-Aufgabe. Diese Punkte gehören auf die Liste:
- Bestandesaufnahme: Welche KI-Tools werden bereits genutzt – offiziell und inoffiziell?
- KI-Richtlinie: Welche Daten dürfen in welche Tools? Was ist tabu?
- Anbieterwahl: Hosting in der Schweiz oder der EU, kein Training mit Firmendaten, AVV
- Zugriffe: Rollen und Rechte zentral verwalten statt privater Accounts
- Schulung: Mitarbeitende für Datenschutz und Halluzinationen sensibilisieren
- Dokumentation: Nutzung nachvollziehbar machen, etwa über Audit-Logs
Häufige Fragen
Ist ChatGPT in der Schweiz datenschutzkonform?
Die Nutzung ist nicht per se verboten. Problematisch wird es, wenn Personendaten in Consumer-Versionen eingegeben werden, die Eingaben zum Training verwenden oder in die USA übertragen. Unternehmen brauchen eine Unternehmenslösung mit AVV, klarer Datenregelung und idealerweise Hosting in der Schweiz oder der EU.
Braucht es für KI-Nutzung eine Einwilligung der Kunden?
Nicht grundsätzlich. Das revDSG erlaubt Datenbearbeitung, wenn die Grundsätze eingehalten werden. Eine Einwilligung braucht es vor allem bei besonders schützenswerten Personendaten oder wenn die Bearbeitung für die Betroffenen nicht erkennbar wäre.
Wer haftet bei Datenschutzverstößen durch KI-Nutzung?
Verantwortlich bleibt das Unternehmen, das die Daten bearbeitet – nicht der KI-Anbieter. Bußen nach revDSG richten sich zudem an die verantwortlichen natürlichen Personen, etwa Geschäftsleitungsmitglieder.
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Vidimas mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten