Recht & Datenschutz

DSG-konformer KI-Einsatz in der Schweiz

Andrii Yermakov · Mirostudio · 26. Mai 2026 · 2 Min. Lesezeit

Ob ein KI-Einsatz zum Schweizer DSG passt, entscheidet sich nicht am Etikett «CH-Hosting». Relevant sind der ganze Datenfluss, der Zweck, die beteiligten Anbieter und die Schutzmassnahmen im konkreten Prozess.

Vor dem Start

Zweck, Datenkategorien und Verantwortlichkeiten schriftlich festhalten.
Auch Protokolle, Supportzugriffe und Unterauftragsbearbeiter prüfen.
Bei hohem Risiko eine Datenschutz-Folgenabschätzung abklären.

Das DSG gilt auch für KI

Das Schweizer Datenschutzgesetz (DSG) ist technologieneutral. Der EDÖB weist ausdrücklich darauf hin, dass es auf KI-gestützte Datenbearbeitungen anwendbar ist. Für ein KMU bedeutet das nicht, dass KI verboten wäre. Es bedeutet, dass die üblichen Datenschutzfragen auch hier konkret beantwortet werden müssen.

Besonders wichtig sind Transparenz, Verhältnismässigkeit, Zweckbindung und angemessene Sicherheit. Werden Entscheide vollständig automatisiert und haben sie erhebliche Auswirkungen auf eine Person, können zusätzliche Informations- und Überprüfungsrechte relevant sein. Die rechtliche Einordnung hängt immer vom Anwendungsfall ab.

Den tatsächlichen Datenfluss zeichnen

Eine belastbare Prüfung beginnt mit einem einfachen Diagramm: Wo entstehen Daten, welche Ausschnitte erhält das Modell, wo werden Eingaben oder Ausgaben gespeichert und wer kann darauf zugreifen? Dazu gehören nicht nur der Modellanbieter, sondern auch Hosting, Datenbank, Monitoring, Backups und Support.

Eine Region in der Schweiz oder EU kann ein Baustein sein, ist aber keine vollständige Garantie. Zu prüfen sind unter anderem vertragliche Rollen, Unterauftragsbearbeiter, Aufbewahrungsfristen, mögliche Auslandübermittlungen und die Frage, ob Eingaben für Produktverbesserungen verwendet werden.

Eine praktische Prüfliste für KMU

Zweck: Welche klar umrissene Aufgabe soll das System erfüllen?
Daten: Sind Personendaten nötig, oder reichen reduzierte beziehungsweise pseudonymisierte Angaben?
Zugriff: Welche Mitarbeitenden, Systeme und Anbieter dürfen lesen oder schreiben?
Kontrolle: Welche Ergebnisse werden automatisch übernommen, welche vorab geprüft?
Vertrag und Löschung: Sind Bearbeitung, Aufbewahrung, Rückgabe und Löschung nachvollziehbar geregelt?
Risiko: Ist wegen Umfang, Sensibilität oder Auswirkungen eine Datenschutz-Folgenabschätzung zu prüfen?

In Bereichen wie Gesundheit, Recht oder Treuhand kommen Berufsgeheimnisse und branchenspezifische Pflichten hinzu. Eine technische Konfiguration ersetzt deshalb keine rechtliche Prüfung. Für die Umsetzung helfen klar begrenzte Pilotdaten, ein dokumentiertes Berechtigungskonzept und ein benannter Verantwortlicher im Unternehmen.