Kein Spezialgesetz nötig – das bestehende revDSG deckt KI-gestützte Datenbearbeitung bereits ab. Was das für Ihr Unternehmen konkret bedeutet.
Viele Unternehmer:innen warten mit dem Thema «Datenschutz und KI», weil sie glauben, es gäbe noch keine klaren Regeln dazu. Ein Irrtum: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat bereits 2023 klargestellt und seither mehrfach bestätigt, dass das bestehende Datenschutzgesetz direkt auf KI-gestützte Datenbearbeitungen anwendbar ist.
Was sagt das Gesetz dazu?
Das revidierte Datenschutzgesetz (revDSG), seit 1. September 2023 in Kraft, ist technologieneutral formuliert. Es unterscheidet also nicht danach, ob Personendaten von Menschen oder mithilfe von KI bearbeitet werden. Der EDÖB weist Hersteller, Anbieter und Verwender von KI-Anwendungen deshalb ausdrücklich darauf hin, dass sie bereits bei der Entwicklung und Planung eines KI-Einsatzes sicherstellen müssen, dass Betroffene ein möglichst hohes Mass an digitaler Selbstbestimmung behalten. Ein eigenes KI-Gesetz braucht es dafür nicht.
Für die betriebliche Praxis heisst das konkret:
- Transparenzpflicht (Art. 19 ff. DSG) – Sie müssen offenlegen, dass und wozu Sie KI zur Bearbeitung von Personendaten einsetzen.
- Bearbeitungsverzeichnis (Art. 12 DSG) – KI-gestützte Bearbeitungen gehören ins bestehende Verzeichnis, inklusive eingesetzter Tools und Zweck.
- Datenschutz-Folgenabschätzung (Art. 22 DSG) – bei KI-Anwendungen mit hohem Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen ist vorab eine DSFA nötig.
- Wer als Auftragsbearbeiter Personendaten für Sie mit KI bearbeitet, braucht einen Vertrag nach Art. 9 DSG – das gilt auch für ausländische Cloud-KI-Anbieter.
Praktische Schritte / Checkliste
- Erfassen Sie alle im Unternehmen genutzten KI-Tools, die mit Personendaten arbeiten (auch ChatGPT, Copilot & Co. gehören dazu).
- Ergänzen Sie Ihr Bearbeitungsverzeichnis um diese KI-gestützten Bearbeitungen.
- Prüfen Sie bei jedem neuen KI-Einsatz, ob eine Datenschutz-Folgenabschätzung nötig ist.
- Schliessen Sie mit externen KI-Anbietern die nötigen Auftragsbearbeitungsverträge ab.
- Informieren Sie Kundschaft und Mitarbeitende transparent, wo KI im Einsatz ist.
Häufige Fehler
«Die KI hat das gemacht, nicht wir» ist keine gültige Ausrede. Wer eine KI einsetzt, bleibt datenschutzrechtlich voll verantwortlich für die Bearbeitung – unabhängig davon, von wem das Modell stammt.
Fazit
Sie müssen nicht auf ein neues Gesetz warten, um datenschutzkonform mit KI zu arbeiten. Die Pflichten aus dem revDSG gelten schon heute – Transparenz, Verzeichnis und bei hohem Risiko eine Folgenabschätzung.
Unsicher, ob Ihre KI-gestützten Datenbearbeitungen den Anforderungen entsprechen? Auf meiner Seite zur Datenschutzberatung erfahren Sie, wie ich Sie dabei als externer Datenschutzberater unterstütze – oder schreiben Sie mir kurz, worum es geht, ich melde mich innerhalb von zwei Werktagen.