Die vier Fragen, die vor jedem KI-Projekt zu klären sind
1. Welche Daten verlassen dein Unternehmen?
Das ist die Frage, die fast nie gestellt wird. Wenn Mitarbeitende Kundendaten, Offerten oder Verträge in ein KI-Werkzeug kopieren, verlassen diese Daten dein Unternehmen — oft auf Server ausserhalb der Schweiz. Das revDSG verlangt, dass du weisst, welche Personendaten wohin fliessen, und dass du es begründen kannst.
Praktisch heisst das: eine Datenklassifizierung, bevor ein Werkzeug freigegeben wird. Nicht danach.
2. Bist du vom EU AI Act betroffen?
Die Schweiz ist nicht Teil der EU — der EU AI Act gilt trotzdem für viele Schweizer Unternehmen. Betroffen ist, wer KI-Systeme in der EU in Verkehr bringt oder deren Ergebnisse in der EU verwendet werden. Für ein Basler Unternehmen mit deutschen oder französischen Kunden ist das schnell der Fall.
Die Verpflichtungen greifen gestaffelt: Verbote seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025, Hochrisiko-Anwendungen ab August 2026.
3. Was plant die Schweiz selbst?
Der Bundesrat hat sich gegen ein umfassendes Schweizer KI-Gesetz nach EU-Vorbild entschieden. Stattdessen: Ratifikation der KI-Konvention des Europarats und ein sektorieller Ansatz — KI wird über bestehende Gesetze reguliert, ergänzt um Datenschutz, Transparenz und Nichtdiskriminierung.
Ein Vernehmlassungsentwurf wird bis Ende 2026 erwartet. Für KMU heisst das: kein Freibrief, sondern die Pflicht, die bestehenden Regeln der eigenen Branche auf KI anzuwenden.
4. Wer haftet, wenn die KI falsch liegt?
Du. Ein KI-System ist kein Rechtssubjekt. Wenn ein Chatbot einem Kunden eine falsche Zusage macht oder ein KI-gestützter Entscheid jemanden benachteiligt, ist dein Unternehmen verantwortlich — und in der Regel die Geschäftsleitung persönlich.
Wann Schweizer Hosting nötig ist — und wann nicht
Datensouveränität ist zu einem Verkaufsargument geworden, und nicht jedes Angebot hält, was es verspricht. Ehrlich betrachtet:
- Nötig bei Gesundheitsdaten, bei Mandanten- und Patientengeheimnissen, bei Finanzdaten unter FINMA-Aufsicht und überall dort, wo ein Berufsgeheimnis greift.
- Sinnvoll bei Personaldaten, Lohndaten und sensiblen Verhandlungsunterlagen.
- Oft entbehrlich bei internen Texten ohne Personenbezug, öffentlich zugänglichen Informationen und allgemeiner Recherche.
Der Unterschied ist keine Meinungsfrage — er lässt sich in einer Datenklassifizierung sauber abbilden. Danach ist klar, welche Werkzeuge du wofür freigeben kannst.
Was du dokumentieren musst, bevor ein KI-Werkzeug live geht
- Ein Verzeichnis der eingesetzten KI-Systeme und ihrer Zwecke
- Welche Datenkategorien verarbeitet werden und wo sie liegen
- Die Rechtsgrundlage der Bearbeitung und, wo nötig, die Einwilligung
- Eine Datenschutz-Folgenabschätzung bei hohem Risiko
- Eine interne Nutzungsrichtlinie, die Mitarbeitende tatsächlich gelesen haben
- Die Auftragsverarbeitungsverträge mit den Anbietern
Diese Seite ist eine Orientierung, keine Rechtsberatung. Für eine verbindliche Beurteilung deines konkreten Falls braucht es eine Prüfung — genau die bieten wir an.
Häufige Fragen
Dürfen unsere Mitarbeitenden ChatGPT im Unternehmen nutzen?
Ja — wenn geregelt ist, welche Daten hineindürfen und welche nicht, und wenn das dokumentiert ist. Ohne Richtlinie und ohne Datenklassifizierung ist es ein unkontrolliertes Risiko, kein Werkzeug.
Gilt der EU AI Act für unser Schweizer KMU?
Möglicherweise. Entscheidend ist nicht dein Sitz, sondern ob deine KI-Systeme oder deren Ergebnisse in der EU verwendet werden. Bei Kunden in Deutschland oder Frankreich ist die Prüfung zwingend.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Immer dann, wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Bei KI-gestützten Entscheiden über Menschen — Bewerbungen, Kreditwürdigkeit, Leistungsbeurteilung — ist das der Regelfall.
Was kostet eine Prüfung?
Die Sicherheits-Freigabe wird als Festpreis nach Umfang offeriert und dauert in der Regel zwei Wochen. Du kennst den Preis, bevor du zusagst — und er ändert sich danach nicht. Du erhältst eine schriftliche, unterschriebene Beurteilung.
Sicherheits-Freigabe
Datenschutz nach revDSG, Sicherheitsprüfung, Haftungsfragen, Betroffenheit vom EU AI Act — schriftlich und unterschrieben, bevor irgendetwas produktiv geht.