Schweizer Datenschutz und KI-Modelle: Das unterschätzte Risiko beim Prompt-Input

Das Problem: Sensible Daten in KI-Modellen

Viele Schweizer KMU nutzen ChatGPT, Claude oder Copilot, um alltägliche Aufgaben zu lösen. Dabei eingeben sie oft sensible Informationen: Kundennamen, Adressen, Verträge, interne Budgets oder Personaldetails. Doch hier lauert ein Risiko, das viele unterschätzen.

Wer personenbezogene oder geschäftskritische Daten in ein öffentlich verfügbares KI-Modell eingibt, könnte gegen die Schweizer Bundesverfassung (FADP) oder die EU-Datenschutzgrundverordnung (DSGVO) verstossen.

Rechtliche Grundlagen in der Schweiz und der EU

Die Schweizer Datenschutzgesetze (Datenschutzgesetz DSG, Teil der FADP) und die europäische DSGVO verpflichten Unternehmen, personenbezogene Daten angemessen zu schützen. Das gilt auch dann, wenn die Daten an einen Dienstleister übermittelt werden – einschliesslich KI-Anbieter.

Nächster Schritt

Was heisst das für KI-Regeln und Nachweise?

Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.

KI-Regelcheck starten

DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.

Kritische Fragen:

Ist der KI-Anbieter ein zertifizierter Datenverarbeiter?
Erfolgt die Datenübermittlung auf Basis eines rechtmässigen Abkommens?
Wo werden die Eingaben verarbeitet und gespeichert?

Viele KI-Modelle (OpenAI, Anthropic) erfassen und nutzen Eingaben zu Trainings- oder Verbesserungszwecken. Das ist keine Datenschutzverletzung, wenn die Eingaben keine personenbezogenen Daten enthalten – aber es ist ein Risiko für jedes Unternehmen mit Datenschutzpflichten.

Praktische Leitplanken für KMU

1. Vor der Nutzung prüfen: Welche KI-Modelle nutzen wir? Welche Daten geben wir ein? Gilt die FADP oder DSGVO?

2. Datenklassifizierung: Markiere sensitive Informationen. Verwende in KI-Modellen nur Daten, die du öffentlich machen würdest.

3. Technische Schutzmassnahmen: Wenn deine KI-Nutzung intensiv ist, nutze ein lokales Modell (Ollama, GPT4All) statt cloudbasierte Dienste.

4. Vertragliche Absicherung: Falls du CloudKI-Dienste im geschäftlichen Kontext nutzt, verhandle einen Datenverarbeitungsvertrag (DPA) mit dem Anbieter.

Was heisst das für Ihr KMU?

KI-Tools sind wertvoll – aber ohne Datenschutzbewusstsein werden sie zum Risiko. Ein einfaches Rezept: Vor Nutzung klären, ob sensible Daten betroffen sind. Wenn ja, nutze entweder lokale Modelle, anonymisierte Auszüge oder Datenverarbeitungsverträge. So bleibt die KI ein Werkzeug, kein Compliance-Problem.

Weiterführende Quellen

Checkliste für Ihre KMU: Nutze die KI-Regelmappe Datenschutz-Checkliste zur Schnellprüfung deiner KI-Nutzung.