Datenschutz & KI im Unternehmen

Datenschutz ist beim KI-Einsatz kein Nice-to-have, sondern Pflicht. Dieser Beitrag gibt Ihnen einen praxisnahen Überblick über die wichtigsten rechtlichen Grundlagen.

Die drei relevanten Gesetze

1. Schweizer DSG (revidiert seit September 2023) - Für alle Schweizer Unternehmen verbindlich - Regelt Datenverarbeitung, einschliesslich KI-basierte - Wichtige Neuerungen: automatisierte Entscheidungen, Bearbeitungsverzeichnis

2. EU DSGVO - Gilt, sobald Sie Daten von EU-Bürgern verarbeiten - Strenger als das DSG - Wichtig: Artikel 22 (automatisierte Entscheidungen)

3. EU AI Act (ab 2026 schrittweise in Kraft) - Weltweit erstes umfassendes KI-Gesetz - Kategorisiert KI-Systeme nach Risikograd - Transparenzpflichten bei Chatbots

Die fünf wichtigsten Regeln

Regel 1: Niemals sensible Daten in kostenlose Tools Die kostenlosen Versionen von ChatGPT, Claude und Gemini verwenden Ihre Eingaben potenziell für Modelltraining. Für Unternehmensdaten ausschliesslich Team- oder Enterprise-Lizenzen mit DPA nutzen.

Regel 2: Data Processing Agreement (DPA) abschliessen Bei jedem externen KI-Tool müssen Sie einen DPA (Auftragsverarbeitungsvertrag) abschliessen. Das gilt für ChatGPT Team/Enterprise, Claude Team, Microsoft Copilot, etc.

Regel 3: Internationale Transfers absichern Die meisten grossen KI-Anbieter sind US-Unternehmen. Stellen Sie sicher, dass EU-Standardvertragsklauseln im Vertrag sind. Ideal: Anbieter mit EU-Rechenzentren.

Regel 4: Transparenz bei Chatbots Wenn Ihr Unternehmen einen KI-Chatbot einsetzt (z.B. im Kundenservice), müssen Nutzer eindeutig erkennen, dass sie mit einer KI interagieren. Das ist ab 2026 EU-Pflicht.

Regel 5: Automatisierte Entscheidungen dokumentieren Wenn KI-Systeme Entscheidungen über Personen treffen (Kredite, Bewerbungen, Versicherungen), gelten strenge Regeln. Konsultieren Sie einen Datenschutzbeauftragten.

Praktische Umsetzung

1. KI-Richtlinie im Unternehmen Erstellen Sie eine schriftliche Richtlinie, die regelt: - Welche KI-Tools dürfen genutzt werden? - Welche Daten dürfen eingegeben werden? - Wer ist verantwortlich? - Wie wird mit Ergebnissen umgegangen?

2. Mitarbeiter-Schulung Die beste Richtlinie nützt nichts, wenn sie nicht verstanden wird. Schulen Sie Ihre Mitarbeiter regelmässig.

3. Technische Massnahmen - Zugriffsbeschränkungen auf Unternehmens-Accounts - Data Loss Prevention (DLP) für sensible Daten - Audit-Logs für KI-Nutzung

4. Kontinuierliche Überprüfung Der rechtliche Rahmen entwickelt sich schnell. Überprüfen Sie Ihre KI-Policy mindestens halbjährlich.

Die grössten Stolperfallen

• Kostenlose KI-Tools für Geschäftsdaten nutzen
• Kunden- oder Mitarbeiterdaten ohne Rechtsgrundlage in KI einspeisen
• Chatbot ohne Transparenzhinweis
• Automatisierte Entscheidungen ohne menschliche Überprüfung
• Fehlende Dokumentation im Bearbeitungsverzeichnis

Fazit

Rechtskonformer KI-Einsatz ist machbar, aber er verlangt bewusste Entscheidungen und klare Prozesse. Wer jetzt die Grundlagen schafft, kann KI selbstbewusst nutzen. Wer die Augen verschliesst, riskiert teure Bussgelder und Reputationsschäden.