Der Einsatz von ChatGPT und vergleichbaren Tools mit Unternehmensdaten ist in der Schweiz legal, sofern Sie die Anforderungen des revidierten Datenschutzgesetzes (DSG, oft «nDSG» genannt) und, wo Sie Nutzer in der EU bedienen, des EU AI Act erfüllen. Nicht die Tools sind das Problem, sondern ungesteuerte Nutzung. Dieser Beitrag ist allgemeine Information, keine Rechtsberatung. Holen Sie eigenen Rat ein, bevor Sie sich darauf verlassen.
Was das revidierte Schweizer DSG verlangt
Das revidierte DSG gilt seit dem 1. September 2023 und regelt jede Bearbeitung von Personendaten durch private und Bundesorgane (Schweizerische Eidgenossenschaft, 2020). Geben Sie Personendaten in ein KI-Tool ein, gelten die Kernpflichten weiter.
Eine Rechtsgrundlage und Transparenz. Sie brauchen eine ordentliche Grundlage für die Bearbeitung und müssen die betroffenen Personen informieren, dem Sinne nach auch darüber, dass KI-Werkzeuge beteiligt sind.
Datensparsamkeit und Zweckbindung. Geben Sie dem Tool nur die Personendaten, die eine Aufgabe wirklich braucht, und nutzen Sie sie nur zum erhobenen Zweck.
Ein Bearbeitungsvertrag mit Anbietern. Bearbeitet ein Anbieter Personendaten in Ihrem Auftrag, verlangt das DSG dieselben Garantien, an die Sie gebunden sind, in der Praxis einen Auftragsbearbeitungsvertrag, bevor die Bearbeitung beginnt.
Eine Rechtsgrundlage für die grenzüberschreitende Übermittlung. Daten an ein ausserhalb der Schweiz gehostetes Modell zu senden, ist eine grenzüberschreitende Übermittlung und braucht eine angemessene Rechtsgrundlage, etwa einen Angemessenheitsbeschluss oder geeignete vertragliche Garantien. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Einhaltung und veröffentlicht Leitfäden.
Was der EU AI Act hinzufügt
Sind Sie in der EU tätig oder bedienen Sie EU-Kunden, legt die Verordnung (EU) 2024/1689, der Rechtsakt über künstliche Intelligenz, ein risikobasiertes Regime über das Datenschutzrecht (Europäisches Parlament und Rat der Europäischen Union, 2024). Die Pflichten steigen mit der Art der Nutzung: Wenige Praktiken sind ganz verboten, hochriskante Nutzungen tragen erhebliche Anforderungen, und die meisten Produktivitätsanwendungen fallen in risikoärmere Kategorien mit Transparenzpflichten. Der Rechtsakt trat 2024 in Kraft, und seine Pflichten greifen gestaffelt, sodass das massgebliche Datum vom Anwendungsfall abhängt. Selbst bei risikoarmer Nutzung gelten Erwartungen an Transparenz und menschliche Aufsicht.
Wie konforme Nutzung tatsächlich aussieht
In der Praxis ruht sicherer KI-Einsatz auf wenigen Kontrollen, die das Recht in Technik und Richtlinie übersetzen.
- Least-Privilege-Zugriff. Die KI erreicht nur die Daten, die eine Aufgabe braucht, nicht mehr, technisch durchgesetzt, nicht per Vertrauen.
- Ein Bearbeitungsvertrag und bekannte Datenlokation. Sie wissen, wohin Daten gehen, wer sie berührt und zu welchen Bedingungen.
- Leitplanken und Protokollierung. Klare Regeln, was das Tool darf und nicht darf, mit einem Prüfpfad.
- Keine ungeprüften Personen- oder vertraulichen Daten in Prompts an Consumer-Tools ohne Enterprise-Vertrag und angemessene Datenbedingungen.
- Eine Dokumentation des Anwendungsfalls und seiner Risikoeinstufung, damit eine AI-Act-Bewertung, falls einschlägig, einfach statt nachträglich ist.
Governance ist hier kein Aufsatz. Sie macht diese Tools in einem regulierten Unternehmen überhaupt erst nutzbar: Ohne sie schafft dieselbe Fähigkeit, die Stunden spart, unverhältnismässige rechtliche und Reputationsrisiken.
KI sicher und legal in Ihren Workflow zu bringen, mit den Zugriffskontrollen, Bearbeitungsbedingungen und Leitplanken, die DSG und EU AI Act genügen, ist Teil unseres Knowledge-Systems-Service.
Quellen
Europäisches Parlament und Rat der Europäischen Union. (2024). Verordnung (EU) 2024/1689 vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Rechtsakt über künstliche Intelligenz). Amtsblatt der Europäischen Union. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Schweizerische Eidgenossenschaft. (2020). Bundesgesetz über den Datenschutz (DSG) vom 25. September 2020 (SR 235.1). Fedlex. https://www.fedlex.admin.ch/eli/cc/2022/491/de