FAQ: KI und Datenschutz für Schweizer KMU

Nein. Das Schweizer DSG gilt auch, wenn KI Personendaten bearbeitet. Für eine erste Textübung können Sie im freigegebenen Werkzeug mit erfundenen Angaben arbeiten. Eine echte Kundenmail oder Personalakte braucht eine Freigabe für genau diese Daten und Aufgabe.

Nutzen Sie für Arbeitsinhalte das von Ihrem Unternehmen freigegebene Konto. Eine private Anmeldung oder eine Firmen-E-Mail-Adresse allein sagt nichts über Vertrag und Einstellungen aus. Prüfen Sie vor dem Einfügen einer Kundenmail, ob Sie im richtigen Firmenbereich angemeldet sind. Fehlt eine Freigabe, fragen Sie intern nach und arbeiten Sie vorerst mit erfundenen Angaben.

Nein. Der Tarifname ist keine DSG-Freigabe. Lassen Sie für den konkreten Dienst Zweck, Vertragsbedingungen, Berechtigungen und Löschung klären. Fragen Sie beispielsweise: «Ist dieser Tarif für Kundenanfragen freigegeben, und dürfen auch Anhänge verarbeitet werden?» Eine Freigabe für Texte deckt nicht automatisch jede Zusatzfunktion ab.

Nein. Training und Speicherung sind verschiedene Vorgänge. Klären Sie getrennt, ob Eingaben für Modelltraining genutzt werden, wie lange Chats oder Dateien aufbewahrt werden und wer darauf zugreifen kann. Halten Sie die Antworten für den tatsächlich verwendeten Tarif fest; ein deaktivierter Trainingsschalter beantwortet die Speicherfrage nicht.

Der Standort allein reicht als Beurteilung nicht aus. Fragen Sie den Anbieter, wo Eingaben verarbeitet, Sicherungskopien gespeichert und Supportzugriffe ausgeführt werden und welche weiteren Dienstleister beteiligt sind. Lassen Sie mögliche Datenübermittlungen ins Ausland mitprüfen. «Schweizer Hosting» ersetzt weder passende Zugriffsrechte noch die Prüfung des konkreten Einsatzes.

Nicht automatisch. In einem Bauprotokoll können etwa Adresse, Projektdatum und ein seltener Schaden weiterhin eine Person erkennbar machen. Prüfen Sie auch Anhänge und vertrauliche Geschäftsinformationen. Für eine Zusammenfassungsübung ist ein vollständig erfundener Fall einfacher; echte Dokumente verwenden Sie erst innerhalb der dafür geklärten Freigabe.

Die KI kann zusätzliche Inhalte erreichen. Prüfen Sie vor dem Verbinden das verwendete Konto, erreichbare Ordner sowie Lese- und Schreibrechte. Für einen Test mit Handbüchern sollte nicht beiläufig auch der Personalordner erreichbar sein. Lassen Sie die Verbindung samt Suchindex und gespeicherten Antworten gesondert freigeben.

Eine mögliche Startregel lautet: «Im freigegebenen Firmenkonto üben wir mit erfundenen Fällen. Echte Kundenunterlagen laden wir erst hoch, wenn die zuständige Person diese Aufgabe und Daten dafür freigegeben hat.» Ergänzen Sie den Namen des Werkzeugs und die interne Ansprechperson. So weiss das Team, was es jetzt tun kann und wen es bei einer neuen Aufgabe fragt.

Ja. Artikel 2 erfasst beispielsweise Anbieter, die KI-Systeme in der EU in Verkehr bringen, sowie Anbieter und Betreiber ausserhalb der EU, wenn die erzeugten Ausgaben in der EU verwendet werden. Halten Sie deshalb fest, wer das System anbietet und wo seine Ergebnisse eingesetzt werden, und lassen Sie daraus die anwendbaren Pflichten bestimmen. Ein Schweizer Firmensitz allein schliesst den Geltungsbereich nicht aus.

Beschreiben Sie eine konkrete Aufgabe, etwa «Kundenanfragen zusammenfassen», und nennen Sie Datenarten, Dienst, Tarif, Konto und aktivierte Verbindungen. Ergänzen Sie, wer Eingaben und Ergebnisse sehen kann, sowie die Anbieterangaben zu Training, Aufbewahrung und Löschung. Verwenden Sie zur Erklärung ein erfundenes Muster statt einer echten Kundenakte.

Stoppen Sie weitere Übermittlungen und informieren Sie umgehend die intern zuständige Stelle. Notieren Sie Dienst, Konto, Zeitpunkt und betroffene Datenarten; verteilen Sie den Inhalt nicht erneut. Die Verantwortlichen prüfen Löschung, mögliche Empfänger und allfällige Meldepflichten. Ein gelöschter Chat allein bestätigt nicht, dass alle Kopien entfernt sind.

Benennen Sie im Betrieb eine verantwortliche Person. Die Fachabteilung beschreibt die Aufgabe; IT und bei Bedarf Datenschutz- oder Rechtsverantwortliche prüfen ihren Bereich. Die Entscheidung sollte konkret lauten, etwa «Textentwürfe aus freigegebenen Produktinformationen, ohne Kundendaten». Dokumentieren Sie auch, wer bei neuen Daten oder verbundenen Diensten erneut entscheidet.