KI im Unternehmen nutzen, Datenschutz wahren: Expertenrat für Schweizer KMU

Die Nutzung von Künstlicher Intelligenz (KI) in Schweizer KMU nimmt rasant zu. Zwei von drei Schweizer KMU experimentieren bereits mit KI oder setzen sie produktiv ein – doch der Umgang mit KI ist bei der Mehrheit der Unternehmen noch nicht klar geregelt, zeigt die diesjährige KMU-Arbeitsmarktstudie der AXA. Rechtsanwalt und Experte für IT- und Datenschutzrecht Marco S. Meier erklärt, wie Sie als KMU einen sicheren Umgang mit KI finden und das Risiko für Datenschutzverletzungen minimieren.

Warum ist Datenschutz im Umgang mit KI entscheidend?

Die Mehrheit der KMU sieht in der Anwendung von KI Chancen für Effizienz und Wachstum, Bedenken schwinden. Mit dieser Entwicklung einher geht die Herausforderung, die datenschutzkonforme Eingabe und Verarbeitung personenbezogener Daten in KI-Tools zu gewährleisten.

Das 2023 revidierte Datenschutzgesetz (DSG) verlangt eine transparente Datennutzung und Datensicherheit. Im Gesetz ist KI zwar nicht explizit erwähnt, gemäss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) müssen bei der Nutzung von KI jedoch dieselben Anforderungen erfüllt werden. Bei Verstössen drohen hohe Bussen und Reputationsschäden.

Das Problem: Nur ein Drittel der Schweizer KMU schreibt klare Regeln für den Umgang mit KI vor, wie die KMU-Arbeitsmarktstudie 2025 zeigt. In der Mehrheit der Firmen entscheiden Mitarbeitende selbst, welches Tool sie wofür nutzen und welche Daten sie dort eingeben – ohne sich der möglichen Konsequenzen bewusst zu sein. 

Expertenrat für KI und Datenschutzrecht

Marco S. Meier, Rechtsanwalt, MLaw, CIPP/E, Informatiker EFZ, zeigt im Interview auf, wo datenschutzrechtliche Stolperfallen bestehen, wer die Konsequenzen einer Datenschutzverletzung trägt und wie diese aussehen, und was Sie als KMU unternehmen können, um das Risiko von Datenschutzverletzungen zu minimieren.

Welche datenschutzrechtlichen Stolperfallen bestehen, wenn Mitarbeitende KI-Dienste nutzen?

In der Praxis zeigen sich beim Einsatz von KI-Diensten verschiedene datenschutzrechtliche Herausforderungen. Die grösste Gefahr bei der Nutzung von KI-Diensten durch Mitarbeitende ist, dass diese nicht wissen, welche Daten sie in einem spezifischen KI-Tool überhaupt eingeben dürfen. Eine essenzielle Massnahme, um Datenschutzverletzungen zu vermeiden, ist die gründliche Prüfung der KI-Dienste seitens des Unternehmens, bevor sie für die Nutzung freigegeben werden. Dadurch können klare Handlungsanweisungen für den datenschutzkonformen Umgang mit den KI-Diensten entwickelt und den Mitarbeitenden vermittelt werden.

Insofern empfiehlt es sich, den Mitarbeitenden klare Vorgaben zu machen, welche Dienste unter welchen Bedingungen genutzt und vor allem, welche Daten überhaupt in den jeweilige KI-Dienst eingegeben werden dürfen. Es stellt sich beispielsweise folgende Frage: Dürfen Personendaten oder geheimnisgeschützte Daten in ein KI-Tool eingegeben werden oder nicht?

Eine weitere Stolperfalle ist, dass Mitarbeitende auf eigene, privat genutzte KI-Tools ausweichen. Oft werden kostenlose Versionen genutzt, die vom Unternehmen weder geprüft noch freigegeben wurden. Durch die Eingabe von Personendaten können rasch Datenschutzverletzungen entstehen.

Um diesen Stolperfallen vorzubeugen, ist es unerlässlich, dass das Unternehmen sowohl eine sorgfältige Evaluation und Risikoanalyse der KI-Dienste vornimmt als auch klare Richtlinien für die interne Nutzung festlegt und entsprechende Schulungen durchführt.

Wer trägt die Verantwortung, wenn jemand im Unternehmen durch die Nutzung von KI das Datenschutzrecht verletzt?

Nutzt ein Unternehmen einen KI-Dienst eines Drittanbieters, handelt es datenschutzrechtlich als sogenannte Verantwortliche. Als Verantwortliche ist das Unternehmen dazu verpflichtet, die Einhaltung des Datenschutzgesetzes sicherzustellen.

Folgende Pflichten müssen durch das Unternehmen umgesetzt werden:

• die Gewährleistung der Transparenz durch das Bereitstellen von Informationen (sog. Informationspflicht)
• der Abschluss eines Auftragsverarbeitungsvertrags bei der Inanspruchnahme eines Drittanbieters
• die Sicherstellung eines angemessenen Datenschutzniveaus bei der Übermittlung von Daten ins Ausland
• gegebenenfalls die Durchführung einer Datenschutz-Folgenabschätzung
• die Gewährleistung der Datensicherheit

Diese Pflichten, mit Ausnahme der Datenschutz-Folgenabschätzung, sind strafbewehrt, können also bei Nichterfüllung zu Sanktionen führen. Im Gegensatz zum europäischen Recht zielt die Bestrafung jedoch nicht auf das Unternehmen ab, sondern auf die individuell handelnde verantwortliche Person innerhalb des Unternehmens. 

Was sind die Konsequenzen einer Datenschutzrechtsverletzung?

Bei einer Verletzung des Datenschutzgesetzes droht der verantwortlichen Person im Unternehmen eine Busse von bis zu CHF 250'000. Ausnahmsweise kann das Unternehmen selbst gebüsst werden, nämlich dann, wenn die Ermittlung der verantwortlichen Personen unverhältnismässig wäre. In diesem Fall droht dem Unternehmen lediglich eine Busse von bis zu CHF 50'000. 

Bislang sind mir keine Bussen bekannt, die den Bussenrahmen ausgeschöpft haben. Datenschutzverstösse mit Sanktionen sind bis zum jetzigen Zeitpunkt ohnehin selten. 

Neben den Bussen verfügt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seit der Revision des Schweizer Datenschutzgesetzes über erweiterte Kompetenzen. Er ist befugt, Untersuchungen einzuleiten und anzuordnen, dass bestimmte Datenbearbeitungsprozesse, wie beispielsweise der Einsatz von KI-Diensten, angepasst, unterbrochen oder eingestellt werden. In der Regel agiert der EDÖB vor einem formellen Untersuchungsverfahren auf informeller Ebene, indem er Verantwortliche auf einen Datenschutzverstoss hinweist und Anpassungen empfiehlt. Diese Massnahmen dienen dazu, das Unternehmen und die verantwortlichen Personen für den datenschutzkonformen Einsatz von KI in der Datenbearbeitung zu sensibilisieren und mögliche Risiken zu minimieren.

Wie kann Datenschutzrechtsverletzungen vorgebeugt werden? 

Die Gewährleistung des datenschutzkonformen Einsatzes von KI-Tools in KMU beginnt mit der Sensibilisierung. Um Datenschutzrechtsverletzungen vorzubeugen, sollten Mitarbeitende regelmässig geschult und über Risiken im Umgang mit Personendaten und KI-Tools aufgeklärt werden. Die Sensibilisierung soll einerseits sicherstellen, dass das Thema Datenschutz frühzeitig in neue Projekte wie die Einführung eines KI-Dienstes einfliesst. Andererseits trägt sie dazu bei, dass das Bewusstsein für die Risiken im Umgang mit Personendaten und KI-Tools geschärft wird.

Ferner ist in der Praxis neben einer internen Datenschutzrichtline, die den allgemeinen Umgang mit Personendaten im Unternehmen regelt, eine spezifische KI-Richtlinie empfehlenswert, auf deren Basis die Governance-Struktur im Umgang mit KI geschaffen werden kann. In der KI-Richtlinie wird beispielsweise festgelegt, welche KI-Dienste mit welchen Daten (z. B. Personendaten, besonders schützenswerte Daten, geheimnisgeschützte Daten etc.) genutzt werden dürfen und wie mit den generierten Ergebnissen des KI-Dienstes umgegangen werden muss. Auch ethische Leitlinien im Unternehmen (z.  B. in Bezug auf Themen wie Transparenz, Fairness, Nichtdiskriminierung oder menschliche Prüfung) sollten darin verankert werden.

Welche Tipps haben Sie zur datenschutzkonformen Nutzung von KI(-Tools) für KMU?

Um die datenschutzkonforme Nutzung von KI-Tools zu gewährleisten, gilt es, vor dem Einsatz eines KI-Tools zentrale Abklärungen vorzunehmen:

• Eine umfassende Risikoanalyse, die auch die Aspekte der Datenschutzkonformität berücksichtigt – beispielsweise auf der Basis einer erweiterten Datenschutz-Folgenabschätzung
• Eine sorgfältige Prüfung des KI-Anbieters sowie die saubere Ausarbeitung der vertraglichen Grundlagen bzw. eine Prüfung der Vertragsgrundlagen, auch dann, wenn die Verhandlung der Vertragsbedingungen schwierig erscheint
• Ermittlung der vertraglichen Risiken und ggf. ein Entgegenwirken mit internen Richtlinien oder technischen Mitteln und Einschränkungen

Neben den rechtlichen Risiken empfiehlt es sich, beim Einsatz von KI-Tools auch die technischen Aspekte zu berücksichtigen, um mögliche Risiken zu erkennen und Datenschutzverletzungen zu vermeiden.