Bankgeheimnis und KI: Welche Kundendaten sind geschützt?

Das Problem

Ein Kundenberater möchte ein langes Schreiben eines Kunden mit KI zusammenfassen lassen. Es enthält Kontonummern, Vermögensangaben, Namen der Angehörigen. Eine Kollegin schlägt vor, die Analyse von Kontobewegungen mit einem öffentlichen Chatprogramm zu erleichtern. Beides klingt praktisch. Beides ist heikel.

Banken in der Schweiz unterliegen dem Bankgeheimnis. Es verpflichtet Bankmitarbeitende, Informationen über Kundenbeziehungen vertraulich zu behandeln. Daneben gelten Datenschutzrecht und aufsichtsrechtliche Vorgaben. Wer Kundendaten an einen KI-Dienst übermittelt, gibt sie an Dritte weiter, oft ins Ausland. Das kann gegen interne Weisungen, aufsichtsrechtliche Anforderungen und gesetzliche Pflichten verstossen.

Dieser Text vermittelt Grundsätze und ist keine Rechtsberatung. Für den Einzelfall gelten die internen Regeln Ihres Instituts, und bei Unsicherheit entscheidet Compliance oder die Rechtsabteilung, nicht Sie allein und schon gar nicht die KI.

So lösen Sie es mit KI – Schritt für Schritt

1. Interne Weisungen kennen. Lesen Sie die KI-Richtlinie Ihres Instituts, falls vorhanden. Viele Banken haben festgelegt, welche Werkzeuge erlaubt sind und welche Daten eingegeben werden dürfen. Ohne Richtlinie fragen Sie Compliance.

1. Datenarten unterscheiden. Ordnen Sie ein: Kundenidentität, Konto- und Depotdaten, Vermögens- und Einkommensangaben, Korrespondenz, interne Beurteilungen. Alles, was einer Kundin oder einem Kunden zugeordnet werden kann, ist besonders vertraulich.

1. Zweck prüfen. Wofür brauchen Sie die KI? Viele Aufgaben, etwa Formulierungshilfen oder Erklärungen von Fachbegriffen, kommen ohne Kundendaten aus. Machen Sie diese Aufgaben zuerst.

1. Werkzeug prüfen. Zugelassen sind nur Werkzeuge, die Ihr Institut freigegeben hat. Entscheidend sind Datenverarbeitung, Serverstandort, Speicherung und Verwendung der Eingaben, Verträge und Sicherheit. Siehe Serverstandort und Datenschutz.

1. Anonymisieren, wenn erlaubt. Entfernen Sie alles, was auf die Person schliessen lässt: Namen, Kontonummern, Adressen, aber auch seltene Details. Beachten Sie: Echte Anonymisierung ist schwer. Siehe Anonymisieren und Pseudonymisieren.

1. Mit erfundenen Daten üben. Nutzen Sie fiktive Fälle, um zu lernen, wie die KI arbeitet. Echte Kundendaten sind für Übungen nicht nötig.

1. Fehler melden. Wenn Sie versehentlich Daten eingegeben haben, melden Sie das sofort intern, statt es zu verschweigen. Die Meldung ermöglicht Schadensbegrenzung.

1. Ergebnisse schützen. Auch Zusammenfassungen und Analysen enthalten vertrauliche Informationen. Speichern Sie sie wie andere Kundendokumente.

1. Regeln aktuell halten. Besprechen Sie im Team regelmässig, was erlaubt ist, und passen Sie die Regeln an neue Werkzeuge an.

Vorlage zum Kopieren

Du hilfst mir, für unser Institut eine kurze interne Merkhilfe zum Umgang mit Kundendaten und KI-Werkzeugen zu entwerfen. Du bist keine Juristin, gibst keine Rechtsberatung und erfindest keine Gesetzesartikel oder Aufsichtsvorgaben. Weise am Ende darauf hin, dass der Entwurf von Compliance und Rechtsdienst geprüft werden muss.

Institut: [Art, z. B. Regionalbank mit 40 Mitarbeitenden]
KI-Werkzeuge, die aktuell erlaubt sind: [Namen oder «keine geklärt»]
Aufgaben, bei denen KI helfen soll: [z. B. Texte formulieren, Fachbegriffe erklären, Dokumente strukturieren]

Erstelle eine Merkhilfe von höchstens einer Seite mit den Abschnitten:
1. Was nie eingegeben werden darf
2. Was nur anonymisiert und mit Freigabe erlaubt ist
3. Was ohne Kundendaten unproblematisch ist
4. Wen ich im Zweifel frage
5. Was ich bei versehentlicher Eingabe tue
Sprache: einfach, Sie-Form, Schweizer Rechtschreibung.

Passen Sie die Angaben an Ihr Institut an. Verbindlich wird die Merkhilfe erst durch die Freigabe der zuständigen Stelle.

Worauf Sie achten müssen

• Mehrere Regelwerke: Neben dem Bankgeheimnis gelten Datenschutz, aufsichtsrechtliche Vorgaben und vertragliche Pflichten. Das Zusammenspiel ist komplex. Quellen in den Kopfdaten, Prüfung im Einzelfall durch Fachleute.
• Auslagerung: Wenn ein externer Dienst Kundendaten verarbeitet, kann das als Auslagerung gelten und besondere Anforderungen auslösen. Das klärt Compliance, nicht die einzelne Mitarbeiterin.
• Ausland: Viele KI-Dienste verarbeiten Daten im Ausland. Das ist rechtlich zu prüfen und mit dem Bankgeheimnis in Einklang zu bringen.
• Schatten-IT vermeiden: Private KI-Konten für Arbeitsdaten sind riskant. Nutzen Sie nur, was freigegeben ist.
• Kundenerwartung: Kundinnen vertrauen darauf, dass ihre Daten die Bank nicht unkontrolliert verlassen.
• Haftung und Konsequenzen: Verstösse gegen das Bankgeheimnis können strafrechtliche und arbeitsrechtliche Folgen haben.

Ein Beispiel aus der Praxis

Ein Beispiel: In einer Bank in St. Gallen fragt eine Beraterin, ob sie ein Kundenschreiben von einer KI zusammenfassen lassen darf. Ihr Teamleiter verweist auf die interne Richtlinie: Öffentliche Chatdienste sind verboten, ein intern freigegebenes Werkzeug ist für Texte ohne Identifikationsmerkmale erlaubt.

Die Beraterin ersetzt Namen und Nummern durch Platzhalter und lässt im freigegebenen Werkzeug nur den Sachverhalt zusammenfassen. Die Zusammenfassung prüft sie am Original. Später übt das Team mit erfundenen Fällen, wie sich Fehler bemerkbar machen. Die Compliance-Abteilung ergänzt die Richtlinie um eine Meldestelle für Fehler bei der Eingabe. Aus einer Verbotsliste wird so eine praxistaugliche Regel.

So hilft Ihnen Alpasana

Damit Ihr Team KI sicher einsetzt, hilft eine gemeinsame Grundlage. Die KI-Weiterbildung für Unternehmen von absofort behandelt Datenschutz mit Schweizer Praxisbezug und den verantwortungsvollen Umgang mit Unternehmensdaten als Lerninhalte, bei EU-Bezug auch den EU AI Act. Sie lernen online im eigenen Tempo und erhalten verifizierbare Abschlüsse. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Aufsichtsrechtliche Beratung für Banken bietet das nicht. Dafür sind Ihre Compliance und Fachleute zuständig.

Häufige Fragen

Gilt das Bankgeheimnis auch für anonymisierte Daten?

Wenn die Anonymisierung wirklich gelingt und die Person nicht mehr erkennbar ist, ist der Personenbezug weg. In der Praxis ist das schwieriger als gedacht. Klären Sie das im Einzelfall mit Compliance.

Darf ich eine KI nutzen, die mein Institut bezahlt?

Wenn sie freigegeben wurde, ja, im Rahmen der Regeln. Fragen Sie nach, welche Daten erlaubt sind, und halten Sie sich an die Vorgaben.

Was gilt für Mitarbeitende von Treuhand- oder Vermögensverwaltungsbüros?

Je nach Tätigkeit gelten andere Pflichten, zum Beispiel Vertraulichkeits- oder Berufspflichten. Einen Überblick zu Daten im Treuhandbereich gibt KI-Datenschutz für Mandantendaten.