Datenschutz
Künstliche Intelligenz und DSG: was ein Schweizer KMU wissen muss
Redaktion ERUNNA SAVeröffentlicht 8 Min. Lesezeit
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (DSG). Ein eigenes KI-Gesetz gibt es nicht: Laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) ist das technologieneutral formulierte DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar.
Wann das DSG greift
Das Gesetz gilt immer dann, wenn Personendaten bearbeitet werden: Namen, Adressen, E-Mails, Daten von Kunden, Mitarbeitenden oder Lieferanten als natürliche Personen. Stehen solche Daten in einem Prompt, einem hochgeladenen Dokument oder einer Aufnahme, ist die Nutzung des KI-Werkzeugs eine Bearbeitung von Personendaten.
Arbeitet man dagegen mit Texten ohne Personenbezug – etwa einer Produktbeschreibung –, ist das DSG in der Regel nicht betroffen. Das ist die erste Frage, vor allen anderen.
Die wichtigsten Pflichten
- —Informieren: Betroffene müssen wissen, dass und wozu ihre Daten bearbeitet werden; die Datenschutzerklärung ist anzupassen, wenn neue Werkzeuge dazukommen (Art. 19 DSG).
- —Automatisierte Einzelentscheidungen: Trifft allein die Maschine einen Entscheid mit rechtlichen oder erheblichen Folgen für eine Person, ist sie zu informieren und kann eine Überprüfung durch einen Menschen verlangen (Art. 21 DSG).
- —Datenschutz-Folgenabschätzung: Kann eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen, ist sie vorab zu beurteilen (Art. 22 DSG).
- —Datensicherheit: angemessene technische und organisatorische Massnahmen wie persönliche Zugänge, Zwei-Faktor-Authentifizierung und Trennung der Daten (Art. 8 DSG).
- —Bekanntgabe ins Ausland: Bearbeitet der Anbieter die Daten ausserhalb der Schweiz, muss das Land angemessenen Schutz bieten oder es braucht Garantien, etwa Standardvertragsklauseln (Art. 16 DSG).
Wo die Daten landen
Viele KI-Dienste bearbeiten Daten in den USA oder in der EU. Die EU/EWR-Staaten stehen auf der Liste der Länder mit angemessenem Schutz. Für die USA anerkennt der Bundesrat seit dem 15. September 2024 Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind.
Praktisch heisst das: Vor der Einführung eines Werkzeugs Ort der Bearbeitung, Auftragsbearbeitungsvertrag (AVV/DPA) und die Frage prüfen, ob die Daten zum Training verwendet werden. Business-Versionen der grossen Dienste erlauben meist, dies auszuschliessen; Gratisversionen nicht immer.
Bussen treffen Personen
Eine Schweizer Besonderheit: Die Bussen des DSG von bis zu CHF 250'000 richten sich gegen die verantwortlichen natürlichen Personen, nicht gegen das Unternehmen – und nur bei vorsätzlicher Verletzung bestimmter Pflichten (Art. 60–63 DSG). Ein Grund mehr, dass die Geschäftsleitung weiss, welche Werkzeuge mit welchen Daten genutzt werden.
Checkliste für KMU
- —Liste aller KI-Werkzeuge im Unternehmen, auch der von einzelnen Mitarbeitenden «getesteten».
- —Für jedes Werkzeug: welche Daten, wo bearbeitet, Nutzung fürs Training ja oder nein.
- —Schriftliche interne Regel, welche Daten nie eingegeben werden (z. B. Gesundheits- oder Lohndaten).
- —Aktualisierte Datenschutzerklärung.
- —Menschliche Kontrolle bei jedem Entscheid über Kunden oder Mitarbeitende.
- —Datenschutz-Folgenabschätzung bei heiklen oder umfangreichen Bearbeitungen.
Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.
Häufige Fragen
Darf ich ChatGPT im Unternehmen nach DSG nutzen?+
Ja, wenn die Pflichten des Gesetzes eingehalten werden: keine Personendaten ohne Grundlage und Information, Prüfung von Bearbeitungsort und Anbieterbedingungen, menschliche Kontrolle bei Entscheiden.
Braucht es eine Datenschutzberaterin oder einen -berater?+
Für private Unternehmen ist das nicht Pflicht. Eine Ernennung kann aber Abläufe vereinfachen, etwa die Konsultation des EDÖB nach einer Folgenabschätzung (Art. 10 und 23 DSG).
Gilt der EU AI Act auch in der Schweiz?+
Nicht direkt. Er kann aber ein Schweizer Unternehmen betreffen, das KI-Systeme in der EU anbietet oder dessen Ergebnisse dort genutzt werden. Das ist im Einzelfall zu prüfen.