Warum spielt der Serverstandort bei KI eine Rolle?

Das Problem

Sie nutzen ein KI-Programm im Betrieb und fragen sich: Wo stehen eigentlich die Computer, die meine Eingaben verarbeiten? In der Schweiz, in der EU, in den USA? Und warum soll das überhaupt wichtig sein, wenn doch alles über das Internet läuft?

Die Frage ist berechtigt. Daten sind nie «irgendwo». Sie werden auf Servern gespeichert und verarbeitet, die in einem bestimmten Land stehen. Für diese Orte gelten bestimmte Gesetze, und Behörden und Gerichte dort können unter Umständen Zugriff verlangen.

Gerade bei Kundendaten, Personalakten oder Geschäftsgeheimnissen sollten Sie wissen, wo diese hingelangen. Dieser Beitrag zeigt, worauf es ankommt.

So lösen Sie es mit KI – Schritt für Schritt

1. Prüfen, ob es überhaupt um sensible Daten geht: Wenn Sie nur allgemeine Texte ohne Personenbezug eingeben, ist der Standort weniger kritisch. Bei Personendaten und Geschäftsgeheimnissen ist er wichtig.
2. Anbieterunterlagen lesen: Suchen Sie in den Datenschutzhinweisen und Vertragsbedingungen nach Angaben zu Datenverarbeitung, Speicherort und Unterauftragnehmern.
3. Zwischen Speicherung und Verarbeitung unterscheiden: Daten können in einem Land gespeichert, aber in einem anderen verarbeitet oder gewartet werden. Fragen Sie nach beidem.
4. Konkrete Fragen stellen: Wo stehen die Server? Gibt es Wahlmöglichkeiten, etwa einen europäischen Standort? Welche Dienstleister haben Zugriff? Eine Liste finden Sie unten.
5. Rechtsgrundlage klären: Werden Personendaten ins Ausland übermittelt, gelten im Schweizer Datenschutz besondere Anforderungen an den Schutz im Zielland. Eine Übersicht bietet der Datenschutzbeauftragte des Bundes. Bei Unsicherheit holen Sie fachlichen Rat ein.
6. Schriftlich festhalten: Bitten Sie den Anbieter, seine Angaben zum Standort schriftlich zu bestätigen.
7. Alternative erwägen: Wenn der Standort nicht passt, prüfen Sie Anbieter mit Servern in der Schweiz oder EU oder eine lokal betriebene Lösung, siehe Was unterscheidet lokale KI und KI in der Cloud?.
8. Regelmässig prüfen: Anbieter ändern Bedingungen und Standorte. Prüfen Sie Ihre Wahl mindestens einmal im Jahr.

Fragen an den Anbieter

Weitere Hintergründe finden Sie unter Wohin gehen meine Daten, wenn ich eine KI nutze?.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie eine schriftliche Anfrage an den Anbieter vor.

Wir sind ein [Branche] in der Schweiz und prüfen den Einsatz Ihrer KI-Anwendung [Produktname] für [Aufgabe, z. B. Textentwürfe aus Kundenanfragen].
Wir möchten wissen:
1. In welchem Land werden unsere Eingaben verarbeitet und gespeichert?
2. Welche Unterauftragnehmer haben Zugriff, und wo sind sie ansässig?
3. Gibt es die Möglichkeit, einen Standort in der Schweiz oder der EU zu wählen?
4. Werden Eingaben für das Training von Modellen verwendet, und können wir das ausschliessen?
5. Wie lange werden Daten aufbewahrt, und wie können wir sie löschen lassen?
Bitte beantworten Sie die Fragen schriftlich.

Passen Sie Angaben an, senden Sie die Anfrage selbst und bewahren Sie die Antworten auf. Eine rechtliche Beurteilung ersetzt das nicht.

Worauf Sie achten müssen

• Rechtslage nicht pauschal beurteilen: Ob und unter welchen Bedingungen Daten ins Ausland dürfen, hängt vom Land, von der Art der Daten und von Vereinbarungen ab. Lassen Sie sich im Einzelfall fachlich beraten. Grundlage ist unter anderem das Datenschutzgesetz.
• Werbeaussagen genau lesen: «Europäische Cloud» oder «sichere Server» sind keine Belege. Verlangen Sie konkrete Angaben.
• Auch Verarbeitung zählt: Ein Schweizer Speicherort hilft wenig, wenn die Verarbeitung im Ausland erfolgt.
• Berufsgeheimnisse: Bei Anwaltskanzleien, Arztpraxen oder Treuhandbüros können besondere Pflichten gelten. Klären Sie diese vorab.
• Standort ist nicht alles: Auch ein inländischer Server kann schlecht gesichert sein.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Treuhandfirma in Olten möchte ein KI-Programm für Zusammenfassungen von Kundenkorrespondenz einsetzen. Vorher kennt niemand den Verarbeitungsort. Die Geschäftsleiterin sagt, es sei «bestimmt sicher».

Nachher schickt die Assistentin eine Anfrage mit den fünf Fragen an den Anbieter. Die Antwort zeigt, dass die Verarbeitung teils ausserhalb Europas stattfindet. Die Firma entscheidet sich, das Programm vorerst nur mit anonymisierten Beispieltexten zu nutzen und eine Alternative mit klarem Standort zu prüfen.

So hilft Ihnen Alpasana

Wenn Ihre Mitarbeitenden den Umgang mit Daten in KI-Programmen lernen sollen, ist Linup: KI sicher am Arbeitsplatz beschrieben. Der Online-Kurs hat acht Module mit Quiz, behandelt unter anderem den Umgang mit Daten, die Prüfung von KI-Ergebnissen und das Erkennen von Betrugsversuchen und liefert ein privates Zertifikat mit QR-Code und öffentlicher Verifikation. Ein kostenloser KI-Risiko-Check ist vorhanden.

Linup ersetzt keine Rechtsberatung und belegt nicht die Erfüllung aller gesetzlichen Pflichten.

Häufige Fragen

Ist ein Server in der Schweiz automatisch sicherer?

Nicht automatisch. Er kann aus rechtlicher Sicht Vorteile bieten, aber Sicherheit hängt von Technik, Organisation und Verträgen ab. Prüfen Sie beides.

Dürfen Schweizer Firmen Daten in die USA übermitteln?

Das lässt sich nicht pauschal sagen. Es hängt unter anderem vom Schutzniveau im Zielland, von Verträgen und von den Daten ab. Lassen Sie das im Einzelfall prüfen.

Wo finde ich Angaben zum Standort?

In den Datenschutzhinweisen, in den Vertragsbedingungen und in Listen der Unterauftragnehmer. Wenn Sie dort nichts finden, fragen Sie den Anbieter schriftlich.

Wäre eine lokale KI besser?

Eine lokal betriebene KI hält Daten im eigenen Haus, braucht aber Technik und Pflege. Welche Variante passt, hängt von Ihrem Bedarf ab, siehe Lokale KI oder Cloud am Arbeitsplatz.