KI im KMU und Datenschutz: Was ist nach nDSG erlaubt?

Das Wichtigste in Kürze

• Das revidierte Datenschutzgesetz (nDSG) gilt seit dem 1. September 2023 – auch für KMU.
• KI-Werkzeuge sind nicht verboten. Es gelten dieselben Grundsätze wie für jede andere Software: Zweck, Verhältnismässigkeit, Transparenz und Datensicherheit.
• Heikel wird es, wenn Personendaten (Namen, Adressen, Gesundheitsangaben, Lohndaten) an einen Anbieter im Ausland gehen.
• Für viele Aufgaben braucht es gar keine Personendaten – oder sie lassen sich vorher entfernen.

Welche Daten sind heikel?

Personendaten sind alle Angaben, die sich einer bestimmten Person zuordnen lassen. Besonders schützenswert sind unter anderem Gesundheitsdaten, Angaben zu Religion oder Gewerkschaft und Daten über strafrechtliche Verfolgung. Für eine Physiotherapie, ein Treuhandbüro oder eine Personalabteilung gelten also strengere Massstäbe als für einen Handwerksbetrieb, der Werbetexte schreibt.

Faustregel: Was Sie nicht auf eine Postkarte schreiben würden, gehört nicht ungeprüft in ein KI-Werkzeug aus dem Internet.

Cloud-KI: worauf achten?

Wenn Sie ChatGPT, Claude, Copilot oder ähnliche Dienste nutzen, gibt Ihr Betrieb Daten an einen Anbieter weiter. Das ist eine Auftragsbearbeitung. Achten Sie auf:

1. Business-Version statt Privatkonto. Business-Angebote versprechen in der Regel, Eingaben nicht zum Training zu verwenden. Prüfen Sie die aktuellen Bedingungen – sie ändern sich.
2. Vertrag zur Auftragsbearbeitung. Seriöse Anbieter stellen einen solchen Vertrag (oft „DPA“ genannt) bereit.
3. Datenstandort. Gehen Daten in ein Land ohne angemessenen Datenschutz, braucht es zusätzliche Garantien. Für die USA gibt es seit 2024 das Swiss-U.S. Data Privacy Framework für zertifizierte Firmen. Manche Anbieter bieten auch Rechenzentren in der EU oder der Schweiz.
4. Datenschutzerklärung. Informieren Sie Ihre Kundschaft, wenn Sie deren Daten mit KI-Diensten bearbeiten.

Lokale KI: wenn Daten das Haus nicht verlassen dürfen

Für heikle Daten gibt es eine einfache Lösung: Das Sprachmodell läuft bei Ihnen – auf einem Rechner im Büro oder auf einem Server in der Schweiz. Werkzeuge wie Ollama machen das heute auch für kleine Betriebe machbar. Typische Einsätze: Belege auslesen, E-Mails vorsortieren, interne Dokumente durchsuchen.

Der Nachteil: Lokale Modelle sind etwas weniger leistungsfähig als die grössten Cloud-Modelle und brauchen passende Hardware. Für Routineaufgaben im Büro reichen sie meist gut aus.

Eine Seite Regeln fürs Team

Am meisten Risiko entsteht nicht durch die Technik, sondern durch fehlende Regeln. Halten Sie schriftlich fest:

• Erlaubte Werkzeuge – und dass private Konten tabu sind
• Was nie hineingehört – z. B. Gesundheitsdaten, Lohnlisten, Passwörter
• Wer prüft – die KI schlägt vor, ein Mensch entscheidet
• Wen man fragt – eine Ansprechperson im Betrieb

So gehen wir vor

Im KI-Einstieg prüfen wir, welche Daten bei Ihnen anfallen, welche Werkzeuge passen und wo eine lokale KI sinnvoll ist. Am Schluss haben Sie konkrete Einsatzideen und Regeln fürs Team. Im KI-Workshop üben Ihre Mitarbeitenden den sicheren Umgang an eigenen Beispielen.

Häufige Fragen