ChatGPT im Unternehmen: Was das Schweizer DSG wirklich verlangt

«Dürfen unsere Leute ChatGPT nutzen?» ist die häufigste Frage in meinen Erstgesprächen, meist gestellt, nachdem es längst alle tun. Die gute Nachricht: Die Rechtslage ist handhabbar. Die schlechte: Der Status quo in vielen Betrieben ist es nicht.

Was das DSG grundsätzlich verlangt

Das revidierte Schweizer Datenschutzgesetz ist seit dem 1. September 2023 in Kraft. Für den KI-Einsatz sind vor allem drei Grundsätze relevant:

1. Verantwortung bleibt bei Ihnen. Wer Personendaten bearbeitet, auch über ein KI-Tool, bleibt für deren Schutz verantwortlich. «Das Tool war’s» gilt nicht.
2. Transparenz. Betroffene müssen erkennen können, wozu ihre Daten bearbeitet werden. Kundendaten in ein KI-Tool zu kippen, dessen Datenverwendung Sie selbst nicht kennen, verträgt sich damit schlecht.
3. Auftragsverarbeitung braucht einen Vertrag. Wenn ein Dienstleister (auch ein KI-Anbieter) für Sie Personendaten bearbeitet, braucht es eine vertragliche Grundlage: üblicherweise ein Data Processing Agreement (DPA), inklusive Regelung der Datenübermittlung ins Ausland.

Wo es mit Consumer-ChatGPT heikel wird

Die Browser-Versionen für Privatnutzer sind für den Firmeneinsatz aus drei Gründen problematisch:

• Training: Eingaben können, abhängig von Kontoeinstellungen, zur Verbesserung der Modelle verwendet werden. Bei Kundendaten oder Geschäftsgeheimnissen ist das ein Kontrollverlust, den Sie kaum rechtfertigen können.
• Keine zentrale Kontrolle: Jede Person entscheidet selbst, was sie eingibt. Es gibt kein Protokoll, keine Übersicht, keine Durchsetzung von Regeln.
• Kein Vertrag: Ohne Firmenvertrag mit DPA fehlt die Grundlage, um die Bearbeitung von Personendaten sauber zu regeln.

Wichtig: Das Problem ist nicht die Technologie, sondern die Vertragsform. Dieselben Modelle sind über Enterprise-Versionen und APIs mit klaren Zusicherungen verfügbar, inklusive vertraglichem Ausschluss der Trainingsnutzung.

Consumer vs. Enterprise in einer Tabelle

	Consumer (Browser, Free/Plus)	Enterprise / API
Training mit Ihren Daten	je nach Einstellung möglich	vertraglich ausgeschlossen
Vertrag (DPA)	nein	ja
Zentrale Steuerung & Protokoll	nein	ja
DSG-Nachweis	kaum führbar	dokumentierbar

Fünf Regeln für Schweizer KMU

1. Verschaffen Sie sich ein Bild. Fragen Sie nicht, ob KI genutzt wird, sondern wie. In fast jedem Betrieb existiert bereits «Schatten-KI» auf Privatkonten.
2. Erlassen Sie eine KI-Weisung. Eine Seite reicht: Welche Tools sind erlaubt, welche Daten dürfen hinein (und welche nie), an wen wendet man sich bei Unsicherheit. Verständlich formuliert, nicht juristisch.
3. Stellen Sie einen sicheren Kanal bereit. Verbote ohne Alternative funktionieren nicht. Ein Firmenzugang über Enterprise-Verträge oder eine API-Integration nimmt den Druck vom Schatten-Weg.
4. Regeln Sie die Verträge. DPA mit dem KI-Anbieter, Klärung der Auslandsübermittlung, bei Bedarf Schweizer Hosting (z. B. Google Cloud oder Azure, beide mit Rechenzentrum Zürich) oder lokale Modelle.
5. Schulen Sie das Team. Die beste Weisung nützt nichts, wenn niemand versteht, warum sie gilt. Eine halbtägige Schulung mit echten Beispielen wirkt mehr als jedes Merkblatt.

Checkliste: Ihre KI-Weisung in fünf Punkten

• Erlaubte Tools und Konten (Firmenzugang, nicht privat)
• Verbotene Eingaben: besonders schützenswerte Personendaten, Kundendaten ohne Grundlage, Geschäftsgeheimnisse in Consumer-Tools
• Kennzeichnungs- und Prüfpflicht: KI-Entwürfe werden vor Versand von Menschen geprüft
• Zuständigkeit: eine benannte Person für Fragen und Freigaben
• Gültigkeit und Aktualisierung: die Weisung wird jährlich überprüft

---

Dieser Beitrag gibt Praxiserfahrung wieder und ersetzt keine Rechtsberatung im Einzelfall. Für die datenschutzkonforme Einrichtung Ihrer KI-Umgebung: Erstgespräch buchen. Der Ready-Check enthält die DSG-Einschätzung für Ihren konkreten Fall.