KI-Projekte scheitern selten an der Technik – oft an der Frage: «Dürfen wir das mit unseren Daten überhaupt?» Seit dem revidierten Datenschutzgesetz (nDSG, in Kraft seit September 2023) gelten für Schweizer Unternehmen klarere Pflichten. Wer KI einsetzt, muss sie kennen. Dieser Leitfaden bringt Ordnung ins Thema – praxisnah und ohne Juristendeutsch.
Warum KI und Datenschutz zusammengehören
KI-Systeme verarbeiten Daten – oft personenbezogene Daten: Kundennamen, E-Mails, Anfragen, Verhalten. Genau hier greift das nDSG. Und für Unternehmen mit Kunden in der EU zusätzlich die DSGVO. Beide verfolgen dasselbe Ziel: Menschen sollen wissen und kontrollieren können, was mit ihren Daten geschieht.
Die wichtigsten nDSG-Prinzipien für KI
1. Rechtmässigkeit und Treu und Glauben
Datenverarbeitung braucht einen legitimen Zweck. KI darf nicht heimlich Daten für Zwecke nutzen, die die betroffene Person nicht erwarten kann.
2. Zweckbindung
Daten, die für den Kundenservice erhoben wurden, dürfen nicht ungefragt zum Training eines beliebigen Modells zweckentfremdet werden.
3. Verhältnismässigkeit und Datenminimierung
Verarbeiten Sie nur die Daten, die der Zweck wirklich erfordert. Ein KI-Agent braucht selten Zugriff auf alles.
4. Transparenz
Betroffene müssen informiert werden. Für KI heisst das konkret: KI-Kennzeichnung. Wenn ein Chatbot antwortet, muss erkennbar sein, dass es kein Mensch ist.
5. Richtigkeit
KI kann falsch liegen («halluzinieren»). Bei Entscheidungen mit Wirkung auf Menschen braucht es deshalb menschliche Kontrolle.
Automatisierte Einzelentscheidungen
Das nDSG (wie die DSGVO) adressiert automatisierte Einzelentscheidungen mit erheblichen Auswirkungen. Faustregel für KMU: Entscheidungen, die eine Person spürbar betreffen (Ablehnung, Bonität, Kündigung), gehören nicht in die alleinige Hand eines Agenten. Prinzip: Human-in-the-Loop.
Datenübermittlung ins Ausland
Viele KI-Dienste laufen auf Servern ausserhalb der Schweiz. Bei Datenübermittlung ins Ausland ist zu prüfen, ob das Zielland einen angemessenen Datenschutz bietet oder ob zusätzliche Garantien nötig sind. Für sensible Daten kann eine Verarbeitung mit klaren vertraglichen und technischen Garantien nötig sein.
Checkliste: KI-Projekt datenschutzkonform aufsetzen
- Zweck definiert – wofür genau wird KI eingesetzt?
- Datenarten erfasst – welche (personenbezogenen) Daten fliessen ein?
- Rechtsgrundlage geklärt – Einwilligung, Vertrag oder berechtigtes Interesse?
- Datenminimierung geprüft – nur das Nötige?
- KI-Kennzeichnung umgesetzt – für alle kundenseitigen Agenten
- Human-in-the-Loop definiert – wo gibt der Mensch frei?
- Auslandtransfer geprüft – wo werden Daten verarbeitet?
- Auftragsbearbeitung geregelt – Verträge mit Dienstleistern (AVV)
- Betroffenenrechte gewährleistet – Auskunft, Löschung möglich?
- Bearbeitungsverzeichnis geführt – Dokumentation vorhanden?
- Protokollierung aktiviert – KI-Aktionen nachvollziehbar
Häufige Fehler – und wie man sie vermeidet
| Fehler | Besser |
|---|---|
| Kundendaten in öffentliche Chatbots kopieren | Kontrollierte, dokumentierte Verarbeitung |
| Chatbot ohne KI-Kennzeichnung | Klare Kennzeichnung als KI |
| Vollautomatik bei Kundenmails | Human-in-the-Loop-Freigabe |
| «Wir sammeln mal alles» | Datenminimierung von Anfang an |
So arbeitet AgenticIT
Compliance ist bei uns kein Nachgedanke, sondern Teil des Designs: KI-Kennzeichnung, Human-in-the-Loop bei allen Aktionen mit Aussenwirkung, Datenminimierung und nDSG/DSGVO-konforme Verarbeitung sind Standard – nicht Option. Mehr dazu auf unserer Seite Sicherheit.
Fazit
Datenschutzkonforme KI ist kein Widerspruch – sie ist gut geplante KI. Wer die Prinzipien von Anfang an mitdenkt, baut Systeme, die nicht nur rechtlich sauber, sondern auch vertrauenswürdig sind. Und Vertrauen ist im B2B die härteste Währung.
Rechtlicher Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für Ihren konkreten Fall konsultieren Sie bitte eine Fachperson.