Checkliste: Datenschutz und Compliance bei der KI-Implementierung

Die Einführung von KI-Tools bietet enorme Effizienzpotenziale, bringt jedoch komplexe regulatorische Anforderungen mit sich. Diese Checkliste unterstützt Schweizer Unternehmen dabei, die Vorgaben des revidierten Datenschutzgesetzes (nDSG) systematisch umzusetzen und Haftungsrisiken zu minimieren.

Warum Compliance bei KI für Schweizer Unternehmen entscheidend ist

Der Einsatz von KI-Tools wie ChatGPT, Copilot oder spezialisierten Modellen ist in der Schweizer Wirtschaft längst Realität. Doch mit der technologischen Chance wächst die regulatorische Verantwortung. Für Schweizer Unternehmen ist das revidierte Datenschutzgesetz (nDSG) der zentrale Massstab. Ein unbedachter Umgang mit KI-Tools kann nicht nur zu Reputationsschäden führen, sondern zieht gemäss nDSG auch persönliche Haftungsrisiken für Entscheidungsträger nach sich – Bussen von bis zu CHF 250'000 sind möglich.

Datensouveränität und Haftung: Viele KI-Anbieter operieren aus Drittstaaten, insbesondere den USA. Wenn Schweizer Unternehmen Kundendaten in diese Systeme einspeisen, findet ein Datentransfer statt. Ohne entsprechende Auftragsbearbeitungsverträge (AVV) und eine Prüfung der Datenspeicherung (Jurisdiktion) handeln Unternehmen fahrlässig. Es gilt sicherzustellen, dass keine sensiblen Geschäftsgeheimnisse oder Personendaten in öffentliche KI-Modelle fliessen, die diese Daten möglicherweise zum Training ihrer Algorithmen verwenden.

Vertrauen als Wettbewerbsvorteil: Kunden und Geschäftspartner erwarten heute Transparenz. Wer offenlegt, wo und wie KI eingesetzt wird, schafft Vertrauen. Eine strukturierte Compliance-Strategie schützt nicht nur vor rechtlichen Konsequenzen, sondern ist ein wesentlicher Bestandteil einer modernen Corporate Governance. Unternehmen, die ihre KI-Prozesse dokumentieren, sind zudem besser auf künftige regulatorische Entwicklungen vorbereitet, etwa im Kontext der internationalen KI-Regulierung oder spezifischer Branchenvorgaben wie jener der FINMA.

Aktuelle Trends in der KI-Governance

Der Markt für KI-Compliance in der Schweiz ist in einer Konsolidierungsphase. Unternehmen bewegen sich weg von einer 'Wild-West-Mentalität' hin zu einer strukturierten AI Governance. Ein zentraler Trend ist die Tool-Whitelist: Anstatt Mitarbeitenden den Zugriff auf beliebige KI-Tools zu erlauben, definieren Unternehmen klare Listen zugelassener Anwendungen, die datenschutzrechtlich geprüft wurden (z.B. Enterprise-Versionen mit Firmen-Single-Sign-On).

Transparenzpflichten: Seit August 2026 rücken Transparenzpflichten in den Fokus. KI-generierte Inhalte, insbesondere Deepfakes oder automatisierte Chatbots, müssen für Nutzer klar als solche erkennbar sein. Dies ist nicht nur eine ethische Frage, sondern eine direkte Anforderung des EDÖB, um Täuschungen zu vermeiden.

Technische Compliance-Lösungen: Es entstehen vermehrt Plattformen, die sich als 'Compliance-Layer' zwischen den Nutzer und das KI-Modell schalten. Diese Lösungen erzwingen technisch, dass keine sensiblen Daten an das Modell übertragen werden, und protokollieren die Nutzung für Revisionszwecke. Dies entlastet die IT-Abteilungen und bietet eine automatisierte Dokumentation für Datenschutz-Folgenabschätzungen (DSFA).

Kulturwandel: Die Einführung von KI wird zunehmend als Kulturprojekt verstanden. Unternehmen investieren in Schulungen, um das Bewusstsein für 'Prompt-Hygiene' zu schärfen. Mitarbeitende lernen, dass KI-Tools keine 'Blackbox' sind, sondern Werkzeuge, deren Output stets einer menschlichen Prüfung (Human-in-the-loop) bedarf, bevor er das Unternehmen verlässt. Dieser Trend zur 'Human-Centric AI' ist entscheidend, um die Qualität der Ergebnisse zu sichern und die Haftung bei Fehlern zu begrenzen.

Zahlen und Fakten zur KI-Compliance

Die regulatorische Landschaft ist durch das nDSG geprägt, das klare Sanktionen vorsieht. Hier sind die wichtigsten Eckpunkte für Schweizer KMU:

• Bussenrahmen: Bei vorsätzlichen Verstössen gegen das nDSG können natürliche Personen mit bis zu CHF 250'000 gebüsst werden. Dies unterstreicht die persönliche Verantwortung der Geschäftsleitung.
• EU-Relevanz: Schweizer Unternehmen mit Kunden in der EU müssen zusätzlich die DSGVO beachten, wo Bussen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes drohen können.
• Transparenz-Frist: Seit dem 2. August 2026 gelten verschärfte Kennzeichnungspflichten für KI-Inhalte, um die Nutzer vor Täuschung durch KI-generierte Medien zu schützen.
• Risikobewertung: Studien zeigen, dass Unternehmen, die eine strukturierte KI-Inventur durchführen, ihre Compliance-Risiken um schätzungsweise 60 % senken können, da sie 'Schatten-KI' (ungenehmigte Tools) eliminieren.

Quellen: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), MyData AG (2026), Hedinger-Digital (2026).

Branchenperspektiven und Expertenmeinungen

Experten betonen, dass eine Checkliste allein keine Sicherheit garantiert. Die Implementierung muss in eine bestehende Informationssicherheits-Strategie eingebettet sein. Ein häufiger Fehler in Schweizer KMU ist das Fehlen eines Auftragsverarbeitungsvertrags (AVV) bei der Nutzung von Cloud-basierten KI-Tools. Sobald ein Tool Personendaten verarbeitet, ist ein solcher Vertrag zwingend erforderlich.

Die Rolle des Datenschutzbeauftragten (DSB): Auch wenn in der Schweiz nicht jedes Unternehmen einen DSB ernennen muss, ist dies bei KI-Projekten dringend empfohlen. Der DSB fungiert als zentrale Anlaufstelle für Fragen zur Datenklassifikation. Ein bewährter Ansatz ist die 'Ampel-Regel' für Daten:

• Grün: Öffentlich zugängliche Informationen (darf in jedes KI-Tool).
• Gelb: Interne, nicht-sensible Daten (nur in freigegebene Enterprise-Tools).
• Rot: Personenbezogene Daten oder Geschäftsgeheimnisse (striktes Verbot in öffentlichen KI-Modellen).

Exit-Strategien: Ein oft unterschätzter Punkt ist die Abhängigkeit vom Anbieter (Vendor Lock-in). Experten raten dazu, bei der Auswahl von KI-Infrastruktur stets eine Exit-Strategie zu dokumentieren. Was passiert, wenn der Anbieter die Nutzungsbedingungen ändert oder der Dienst eingestellt wird? Die Datenhoheit muss jederzeit beim Unternehmen verbleiben.

Menschliche Kontrolle: Die Industrie ist sich einig: KI-Output ist ein Entwurf, kein fertiges Produkt. Besonders bei HR-Prozessen, Kreditentscheidungen oder rechtlichen Dokumenten ist eine menschliche Prüfung (Human-in-the-loop) nicht verhandelbar. Dies dient nicht nur der Compliance, sondern auch der Qualitätssicherung.

Best Practices für die KI-Implementierung

Um KI-Tools rechtssicher einzuführen, sollten Unternehmen folgende Schritte befolgen:

• KI-Inventur: Erstellen Sie eine Liste aller aktuell genutzten KI-Tools. Nutzen Sie anonyme Umfragen, um 'Schatten-KI' aufzudecken.
• Datenklassifikation: Definieren Sie, welche Daten in welche KI-Systeme fliessen dürfen. Nutzen Sie die Ampel-Logik (Grün/Gelb/Rot).
• Vertragliche Absicherung: Schliessen Sie für jedes Tool, das Personendaten verarbeitet, einen Auftragsbearbeitungsvertrag (AVV) ab. Prüfen Sie die Trainingsklauseln: Werden Ihre Daten zum Training der Modelle verwendet? (Dies sollte für Firmendaten deaktiviert sein).
• Transparenz: Kennzeichnen Sie KI-generierte Inhalte konsequent. Ein Hinweis bei Chatbots oder in E-Mails ist Pflicht.
• Schulung: Sensibilisieren Sie Mitarbeitende für die Risiken von 'Prompt Injection' und den Schutz von Geschäftsgeheimnissen.
• Dokumentation: Führen Sie ein Verzeichnis der KI-Anwendungen und dokumentieren Sie die durchgeführten Datenschutz-Folgenabschätzungen (DSFA).
• Monitoring: Überprüfen Sie regelmässig, ob die genutzten Tools noch den aktuellen Sicherheitsstandards entsprechen und ob die Anbieter ihre AGB angepasst haben.

• Bundesamt für Justiz: Künstliche Intelligenz
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
• KI-Compliance-Checkliste (nine.ch)