KI und Datenschutz in der Schweiz: Was KMU wissen müssen

29 Prozent der Schweizer Unternehmen erlauben ihren Mitarbeitenden, KI über private Accounts zu nutzen. Das zeigt eine EY-Befragung von 604 Mitarbeitenden, zusammengefasst auf dem KMU-Portal des Bundes. Genau hier entsteht das Risiko bei KI und Datenschutz: nicht durch die Technologie, sondern durch fehlende Regeln.

Denn wer Kundendaten in ein privates ChatGPT-Konto tippt, bearbeitet Personendaten mit einem Werkzeug, über das das Unternehmen keine Kontrolle hat. Die gute Nachricht: Sie brauchen dafür kein Rechtsprojekt. Sie brauchen eine Entscheidung, ein Konto und eine Seite Regeln.

KI und Datenschutz: Was das Gesetz heute verlangt

Es gibt in der Schweiz kein KI-Gesetz. Das Bundesamt für Justiz erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage zur Umsetzung der KI-Konvention des Europarats, so der Fahrplan des Bundesrats. Bis dahin gilt: Das Datenschutzgesetz von 2023 ist technologieneutral formuliert und direkt auf KI-gestützte Datenbearbeitungen anwendbar, wie der EDÖB festhält.

Für ein KMU heisst das drei Dinge:

Transparenz. Wer KI einsetzt, muss Zweck, Funktionsweise und Datenquellen offenlegen. Betroffene Personen müssen erkennen können, ob sie mit einer Maschine sprechen. Der EDÖB hat diesen Punkt im Januar 2026 erneut betont.
Menschliche Kontrolle bei Entscheiden. Wer automatisiert über Menschen entscheidet, etwa bei Bewerbungen oder Kreditvergaben, muss eine Überprüfung durch eine Person ermöglichen.
Folgenabschätzung bei hohem Risiko. Bearbeiten Sie heikle Daten in grossem Stil, braucht es eine Datenschutz-Folgenabschätzung.

Das Verzeichnis der Bearbeitungstätigkeiten ist für viele KMU keine Pflicht: Unternehmen mit weniger als 250 Mitarbeitenden sind bei geringem Risiko davon befreit. Nützlich ist es trotzdem, weil es Ihnen selbst zeigt, welche Daten wo liegen.

Ich bin keine Juristin, und dieser Beitrag ersetzt keine Rechtsberatung. Für den Alltag zählt etwas anderes: die fünf Schritte unten decken den Grossteil der Fälle in einem KMU-Büro ab.

Schritt 1: Klären, welche Daten Sie überhaupt eingeben

Nehmen Sie die drei häufigsten KI-Aufgaben in Ihrem Betrieb und schauen Sie, welche Daten dabei ins Tool wandern. In der Regel sind es drei Kategorien:

Datenart	Beispiel	Regel
Unkritisch	Blogtext, Stelleninserat, Formulierungshilfe	Ohne Bedenken
Personendaten	Kundenmail, Bewerbungsdossier, Protokoll mit Namen	Nur im Geschäftskonto, wo nötig anonymisiert
Besonders schützenswert	Gesundheitsdaten, Lohndaten, Vertragsdetails Dritter	Nur mit ausdrücklicher Regelung, im Zweifel gar nicht

Diese Zuordnung dauert eine halbe Stunde und beantwortet neunzig Prozent der Fragen, die im Team auftauchen.

Eine Frage taucht in Kursen immer wieder auf: Darf ich eine Kundenmail zum Umformulieren einfügen? In der mittleren Kategorie und im Geschäftskonto ist das vertretbar. Heikel wird es, wenn Sie die Mail samt Namen, Adresse und Vertragsdetails hineinkopieren, obwohl es um zwei Sätze Formulierung geht. Kürzen Sie, bevor Sie einfügen. Das ist der ganze Trick.

Schritt 2: Ein Geschäftskonto einrichten

Der wirksamste Datenschutzschritt ist der langweiligste: ein bezahltes Team- oder Business-Konto statt privater Gratis-Zugänge. Bei den Business-Plänen von Claude und ChatGPT werden Ihre Inhalte standardmässig nicht fürs Modelltraining verwendet. Bei den Gratisversionen müssen Sie das aktiv abschalten, und niemand kontrolliert, ob Ihre Mitarbeitenden das getan haben.

Für die Bekanntgabe ins Ausland gilt seit dem 15. September 2024 eine Erleichterung: Der Bundesrat hat die USA für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, auf die Liste der Staaten mit angemessenem Datenschutz gesetzt. Prüfen Sie beim Anbieter, ob er zertifiziert ist. Das ersetzt zusätzliche Garantien.

Schritt 3: Eine Seite Regeln schreiben, keine Policy

Zehn Zeilen, die jede Person im Betrieb versteht, wirken besser als ein zwölfseitiges Reglement, das niemand liest. Diese Punkte gehören hinein:

Welche Tools freigegeben sind, und dass private Accounts für Geschäftsdaten nicht erlaubt sind.
Welche Daten nie eingegeben werden (Ihre Liste aus Schritt 1).
Dass jedes KI-Ergebnis vor dem Versand von einem Menschen geprüft wird.
Wo Kundschaft erfährt, dass Sie KI einsetzen, etwa in der Datenschutzerklärung.
Wen man fragt, wenn ein Fall unklar ist. Mit Namen, nicht mit Funktion.

Punkt fünf entscheidet über den Rest. Ohne Ansprechperson entstehen im Zweifel zwei Verhaltensweisen: gar nichts tun oder heimlich weitermachen.

Schritt 4: Transparenz gegen aussen herstellen

Ergänzen Sie Ihre Datenschutzerklärung um einen kurzen Abschnitt: welche KI-Dienste Sie nutzen, wofür, und was mit den Daten passiert. Wo Kundschaft direkt mit einem KI-System spricht, etwa in einem Chat auf der Website, muss das erkennbar sein. Ein Satz genügt.

Schritt 5: Ablage klären, bevor Sie automatisieren

Dieser Punkt geht meist vergessen. Sobald Sie Sitzungen aufzeichnen und Protokolle automatisiert ablegen, entsteht eine wachsende Sammlung von Personendaten und internem Wissen. Das ist der wertvollste Teil, denn dort steht, wie Entscheide zustande kamen, nicht nur welche gefallen sind. Deshalb braucht es vorher zwei Antworten: Wer hat Zugriff, und wie lange bleiben Aufnahmen liegen? Legen Sie eine Aufbewahrungsfrist fest, bevor die erste Aufnahme entsteht. Nachträglich aufräumen ist ungleich aufwendiger.

Häufige Fehler

Verbieten statt regeln. Ein Verbot verlagert die Nutzung auf private Geräte, wo Sie nichts mehr sehen. Drei Prozent der befragten Unternehmen haben KI komplett verboten. Das löst kein Datenschutzproblem, es macht es unsichtbar.
Auf das KI-Gesetz warten. Das DSG gilt heute. Wer bis zur nächsten Vernehmlassung wartet, verliert zwei Jahre Lernzeit.
Anonymisieren vergessen. Für die meisten Aufgaben, etwa Textentwürfe oder Zusammenfassungen, braucht die KI keine echten Namen. «Kunde A» funktioniert gleich gut.
Alles auf eine Richtlinie setzen. Regeln ohne Schulung bleiben Papier. Rechnen Sie eine Stunde ein, in der Sie die Regeln am konkreten Fall zeigen.

Der nächste Schritt

Blocken Sie eine Stunde. Machen Sie die Datenliste aus Schritt 1, richten Sie ein Geschäftskonto ein, schreiben Sie die zehn Zeilen. Danach haben Sie mehr Datenschutz erreicht als mit jedem Reglement, das noch in der Entstehung steckt.

Wie diese Schritte in eine Gesamtplanung passen, zeigt der Beitrag zum Fahrplan für die ersten 90 Tage. Wenn Sie den Rahmen für Ihr Unternehmen sauber aufsetzen wollen, hilft eine KI-Roadmap. Für die Ausgangslage in Ihrem Betrieb besprechen wir das am besten im Erstgespräch.