BYTEC Ratgeber · Beitrag 5 von 8
KI und Datenschutz in der Schweiz: worauf Geschäftsleitungen achten
Das Schweizer Datenschutzgesetz (DSG) verbietet KI nicht. Es verlangt Transparenz, Sorgfalt und klare Verantwortung. Diese sechs Punkte sollten vor jedem KI-Projekt geklärt sein.
Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.
1. Wissen, welche Daten der Agent sieht
Bearbeitet der Agent Personendaten? Sind besonders schützenswerte Daten darunter, etwa zur Gesundheit (Art. 5 DSG)? Geben Sie ihm nur so viel, wie er für seine Aufgabe braucht (Art. 6 DSG).
2. Betroffene informieren
Wer Personendaten beschafft, muss die betroffenen Personen informieren (Art. 19 DSG). Passen Sie Ihre Datenschutzerklärung an. Trifft ein System allein, ohne Menschen, einen Entscheid, der für die betroffene Person eine Rechtsfolge hat oder sie erheblich beeinträchtigt, gilt zusätzlich eine besondere Informationspflicht (Art. 21 DSG). Ein guter Grund, Entscheidungen bei Menschen zu lassen.
3. Anbieter vertraglich einbinden
KI-Dienste bearbeiten Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag über die Auftragsbearbeitung (Art. 9 DSG). Prüfen Sie auch, ob der Anbieter Ihre Daten für das Training eigener Modelle verwendet.
4. Wissen, wohin die Daten fliessen
Daten dürfen nur in Länder mit angemessenem Schutz oder mit geeigneten Garantien gehen (Art. 16 DSG). Für die USA gilt das Swiss-U.S. Data Privacy Framework für zertifizierte Anbieter. Wo das nicht reicht, gibt es Modelle, die in der Schweiz oder in Ihrer eigenen Umgebung laufen.
5. Für Sicherheit sorgen
Das DSG verlangt angemessene technische und organisatorische Massnahmen (Art. 8 DSG). Bei KI-Agenten heisst das: abgestufte Zugriffsrechte, Protokollierung, Freigaben durch Menschen und eine Abschaltmöglichkeit.
6. Bei hohem Risiko vorher abschätzen
Kann eine Bearbeitung ein hohes Risiko für die Betroffenen mit sich bringen, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten, ist vorher eine Datenschutz-Folgenabschätzung nötig (Art. 22 DSG).
Was zusätzlich gelten kann
- Berufsgeheimnisse, zum Beispiel in Arztpraxen, Anwaltskanzleien oder Treuhandbüros.
- Aufsichtsrechtliche Vorgaben, etwa für Banken und Versicherungen.
- Für Kundinnen und Kunden in der EU die DSGVO und die KI-Verordnung der EU.
Wie wir Datenschutz in Projekten umsetzen, besprechen wir gerne konkret: Erstgespräch buchen.