Bleiben Chatbot-Daten trotz Schweizer Website-Server hier?

Das Problem

Ihre Website läuft bei einem Schweizer Hoster. Der Chatbot-Anbieter sagt: «Alles bei uns in der Schweiz.» Sie gehen davon aus, dass Kundenfragen und Firmendokumente die Schweiz nicht verlassen. Doch hinter dem Chatfenster arbeitet ein Sprachmodell, und das kann an einem ganz anderen Ort stehen.

Sie möchten wissen, ob Ihr Schweizer Website-Server Daten trotzdem an einen ausländischen KI-Dienst sendet. Die Antwort ist oft: ja, wenn der Chatbot ein externes Modell über eine API (eine Schnittstelle, über die ein Programm ein anderes beauftragt) nutzt. Dann wandern Frage und passende Textausschnitte zu diesem Dienst und kommen als Antwort zurück.

Das ist nicht automatisch verboten oder gefährlich. Aber Sie sollten es wissen, damit Sie bewusst entscheiden und Ihre Kundschaft korrekt informieren können.

So lösen Sie es mit KI – Schritt für Schritt

1. Zeichnen Sie den Weg einer Frage. Besucher tippt, die Website sendet an den Chatbot-Server, der Server sucht in den Dokumenten, sendet Frage plus Ausschnitte an das Modell, das Modell antwortet. Wo steht jedes Kästchen?

1. Fragen Sie nach dem Modell. «Welches Sprachmodell nutzt der Chatbot, von welchem Betreiber, wo läuft es?» Verlangen Sie eine schriftliche Antwort.

1. Fragen Sie nach der Schnittstelle. Wenn der Chatbot ein externes Modell nutzt, welche Vertragsbedingungen gelten für diese Verbindung?

1. Klären Sie, welche Daten übermittelt werden. Nur die Frage? Auch Gesprächsverlauf? Textausschnitte aus Dokumenten? Namen und Kundennummern?

1. Klären Sie die Speicherung. Speichert der externe Dienst Eingaben, und wie lange? Gibt es einen Vertrag, der verbietet, sie zum Training zu verwenden? Siehe Daten für Modelltraining.

1. Prüfen Sie Alternativen. Manche Anbieter bieten Modelle auf Schweizer Servern oder dedizierte Umgebungen an. Fragen Sie nach Preis und Qualität.

1. Sparen Sie sensible Daten aus. Wenn ein externes Modell im Spiel ist, lassen Sie Personendaten und Vertrauliches aussen vor, etwa durch Anonymisierung. Siehe Personendaten anonymisieren.

1. Informieren Sie transparent. Die Datenschutzerklärung sollte beschreiben, dass und wohin Daten übermittelt werden. Lassen Sie den Text von Ihrer Datenschutzberatung prüfen.

Vorlage zum Kopieren

Mit dieser Vorlage entsteht Ihre Checkliste für den Anbieter:

Du bist Assistent für die Vorbereitung einer Anbieterprüfung in einem Schweizer KMU. Erstelle eine Checkliste mit Fragen zur Modell-Schnittstelle (API) eines Chatbots. Du gibst keine rechtliche Beurteilung.

Unser Chatbot-Anbieter: [Name]
Daten, die der Chatbot nutzt: [z. B. Produktdaten, Kundenfragen, interne Handbücher]
Besonders vertrauliche Daten: [ja/nein, welche]

Erstelle eine Tabelle mit den Spalten: Frage, Antwort des Anbieters (leer), Bewertung (leer).
Behandle: Welches Modell, welcher Betreiber, Standort der Verarbeitung, Standort der Speicherung, Übermittlung von Gesprächsverlauf und Dokumentausschnitten, Speicherdauer beim Modellbetreiber, Verwendung zum Training, Zugriff durch Mitarbeitende des Modellbetreibers, vertragliche Zusicherungen, Möglichkeit eines Modells in der Schweiz.
Formuliere kurz und höflich, in Sie-Form.

Senden Sie die Fragen an den Anbieter. Bewerten Sie die Antworten gemeinsam mit Ihrem Datenschutzverantwortlichen.

Worauf Sie achten müssen

• Datenschutzgesetz: Das DSG enthält Regeln zur Bekanntgabe von Personendaten ins Ausland. Welche Voraussetzungen für Ihren Fall gelten, klären Sie mit einer Fachperson.
• Transparenz: Besucher sollten wissen, dass ihre Eingaben an ein externes KI-System gehen können.
• Weniger ist mehr: Senden Sie nur Daten an das Modell, die für die Antwort nötig sind. Bei Personendaten ist das besonders wichtig.
• Vertrag statt Versprechen: Standort- und Trainingszusagen gehören schriftlich in den Vertrag oder in die Datenverarbeitungsvereinbarung.
• Änderungen: Modelle und Anbieter wechseln. Vereinbaren Sie, dass Sie bei einem Wechsel informiert werden.
• Prüfrhythmus: Wiederholen Sie die Abfrage einmal im Jahr. Siehe Datenflüsse dokumentieren.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Autogarage in Wettingen betreibt einen Chatbot für Terminfragen und Preise. Der Betreiber ist stolz: «Unser Server steht in der Schweiz». Die Geschäftsführerin fragt nach dem Modell und erfährt, dass ein Dienst eines ausländischen Anbieters genutzt wird.

Vorher: Kundenfragen mit Namen und Fahrzeugdaten werden unbemerkt an diesen Dienst gesendet. Nachher: Sie verlangt Auskunft zu Speicherdauer und Training und lässt die Datenschutzerklärung anpassen. Namen und Kennzeichen werden vor dem Senden entfernt, und Termine bucht ein Formular statt des Chatbots. So sinkt die Menge der übermittelten Personendaten deutlich.

So hilft Ihnen Alpasana

Wenn Sie Datenflüsse zwischen Website, Chatbot und KI-Modell verstehen und gestalten möchten, hilft die KI-Beratung und digitale Transformation der Alpasana GmbH. Nach Leistungsbeschreibung umfasst sie das Konzipieren von Schnittstellen, das Verbinden von Systemen, das Dokumentieren der Umsetzung und die Integration von KI-Agenten mit Einsatzregeln. Die rechtliche Beurteilung im Einzelfall bleibt bei einer Fachperson. Projekte werden individuell offeriert.

Häufige Fragen

Woran erkenne ich, ob ein externes Modell genutzt wird?

Am sichersten durch eine schriftliche Auskunft des Anbieters. Hinweise geben auch die Datenschutzerklärung und die Liste der Unterauftragnehmer. Heisst es «KI-Funktionen werden von Partnern erbracht», fragen Sie nach.

Ist eine externe Modell-API grundsätzlich schlecht?

Nein. Sie liefert oft sehr leistungsfähige Modelle. Entscheidend sind Vertrag, Datenschutz und Ihre Daten. Für allgemeine Informationen ohne Personendaten ist das Risiko meist gering.

Kann ich die Übermittlung selbst prüfen?

Technisch versierte Personen können den Netzwerkverkehr ansehen. Für die meisten ist die schriftliche Auskunft des Anbieters der praktische Weg. Lassen Sie diese bei Bedarf von Ihrer IT-Betreuung plausibilisieren.

Reicht es, wenn der Anbieter «keine Speicherung» verspricht?

Ein Versprechen ist ein Anfang, aber verlangen Sie es schriftlich und fragen Sie, was genau nicht gespeichert wird. Manche Dienste speichern Eingaben kurzzeitig für Missbrauchsprüfung. Auch das gehört in die Auskunft.