Einsatz von KI und Datenschutz: Checkliste vor dem Start

Das Problem

Eine Schule oder ein Betrieb möchte KI einsetzen: für Texte, Protokolle, Elternbriefe oder Kundenanfragen. Frau Keller leitet das Projekt und merkt rasch, dass viele Fragen offen sind. Welche Daten dürfen eingegeben werden? Wer entscheidet, welcher Dienst genutzt wird? Was passiert, wenn etwas schiefgeht?

Ohne Klärung vorab entstehen Schattenlösungen: Einzelne nutzen private Konten, geben Namen oder interne Dokumente ein und verlassen sich darauf, dass es schon gut geht. Später ist kaum nachvollziehbar, wohin Daten gelangt sind. Das ist nicht nur ein Rechtsrisiko, sondern auch eine Vertrauensfrage gegenüber Lernenden, Eltern und Kundschaft.

Datenschutz heisst, Personen vor einem Missbrauch ihrer Daten zu schützen. Datensicherheit bedeutet, Daten technisch und organisatorisch vor Verlust, Zugriff und Manipulation zu bewahren. Beides gehört vor den Start. Die Schweiz kennt dafür das Datenschutzgesetz (DSG, seit September 2023 in revidierter Fassung in Kraft); öffentliche Schulen und Verwaltungen unterstehen oft zusätzlich dem kantonalen Datenschutzrecht.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie den Anwendungsfall. Halten Sie in zwei Sätzen fest, wofür KI eingesetzt werden soll und was sie nicht tun soll. Ein klar umrissener Zweck ist die Basis jeder Datenschutzbeurteilung. Beginnen Sie mit einem Fall, in dem keine Personendaten nötig sind.

1. Listen Sie die Daten auf. Welche Informationen würden eingegeben: Texte, Bilder, Beurteilungen, Kundenangaben? Markieren Sie Personendaten und besonders schützenswerte Angaben wie Gesundheit oder Sozialhilfe. Je weniger, desto besser; auf Datensparsamkeit zielt Datensparsamkeit im Rollenspiel üben.

1. Klären Sie die Verantwortung. Wer entscheidet über Dienst und Einsatz: Schulleitung, Geschäftsleitung, IT, Datenschutzverantwortliche? Benennen Sie eine Ansprechperson und schreiben Sie sie auf.

1. Prüfen Sie den Anbieter. Lesen Sie Datenschutzerklärung und Nutzungsbedingungen. Wichtig sind: Werden Eingaben gespeichert oder zum Training verwendet? Wo werden Daten verarbeitet? Gibt es einen Vertrag zur Auftragsbearbeitung, in dem der Anbieter Daten nur nach Ihren Weisungen verarbeitet? Bei Bearbeitung im Ausland braucht es zusätzliche Vorkehrungen.

1. Bewerten Sie die Sicherheit. Welche Konten gibt es, wer hat Zugriff, ist eine Zwei-Faktor-Anmeldung möglich? Nutzen Sie geschäftliche statt private Konten und legen Sie fest, wie lange Verläufe aufbewahrt werden.

1. Beurteilen Sie das Risiko. Bei einem hohen Risiko für die betroffenen Personen verlangt das Gesetz eine Datenschutz-Folgenabschätzung, also eine schriftliche Risikoanalyse. Klären Sie mit der Datenschutzstelle, ob das bei Ihnen zutrifft.

1. Informieren Sie die Betroffenen. Lernende, Eltern, Mitarbeitende oder Kundschaft sollen wissen, wo KI zum Einsatz kommt. Klären Sie mit der zuständigen Datenschutzstelle, ob Information, Einwilligung oder eine andere Rechtsgrundlage erforderlich ist; siehe Einwilligung und Information als Lernaufgabe.

1. Legen Sie Regeln fest. Ein kurzes Merkblatt mit Ampelstufen schafft Klarheit; die Vorlage dazu bietet KI und Datenschutz als Merkblatt.

1. Schulen Sie die Beteiligten. Regeln wirken nur, wenn sie verstanden werden. Üben Sie mit erfundenen Daten und besprechen Sie typische Fehler.

1. Planen Sie Kontrolle und Pannen. Wer prüft stichprobenartig, ob die Regeln eingehalten werden? Was ist zu tun, wenn doch Daten falsch eingegeben wurden? Legen Sie fest, an wen sich Betroffene wenden. Ob eine Meldung an die Aufsicht nötig ist, klärt die Datenschutzstelle im Einzelfall.

Die Checkliste auf einen Blick

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Klärung eines Anwendungsfalls vor. Geben Sie keine echten Daten ein.

Sie unterstützen mich bei der Vorbereitung einer Datenschutzklärung für KI.
Organisation: [z. B. Primarschule / Treuhandbüro mit 12 Mitarbeitenden].
Anwendungsfall: [z. B. Elternbriefe entwerfen].
Geplanter Dienst: [Name, falls bekannt].
Erstellen Sie eine Liste mit Fragen, die wir vor dem Start beantworten müssen,
gegliedert nach: Zweck, Datenarten, Verantwortung, Anbieter und Verträge,
Sicherheit, Information der Betroffenen, Regeln, Schulung, Pannen.
Kennzeichnen Sie Fragen, bei denen eine Fachperson für Datenschutz
beigezogen werden sollte.
Machen Sie keine rechtlichen Aussagen über einzelne Anbieter und erfinden Sie nichts.

Passen Sie Organisation und Anwendungsfall an und besprechen Sie die Fragen im Team.

Worauf Sie achten müssen

• Personendaten vermeiden: Der sicherste Einstieg sind Anwendungsfälle ohne Personenbezug, zum Beispiel allgemeine Unterrichtsideen oder Vorlagen mit Platzhaltern.
• Anbieterangaben prüfen statt glauben: Werbeaussagen wie «sicher» oder «DSGVO-konform» sind keine Garantie. Lesen Sie Verträge und Einstellungen; die Auswahl erleichtert KI mit gutem Datenschutz auswählen.
• Rechtliche Details im Einzelfall klären: Welches Recht gilt und welche Pflichten bestehen, hängt von Träger, Kanton und Datenart ab. Hinweise bietet der EDÖB; bei Unsicherheit entscheidet die zuständige Datenschutzstelle.
• Schülerdaten besonders schützen: Beurteilungen, Gesundheitsangaben und Lernverläufe gehören nicht in öffentliche KI-Dienste. Orientierung bietet educa.ch.
• Sicherheit nicht vergessen: Phishing, schwache Passwörter und gemeinsam genutzte Konten sind häufige Ursachen für Probleme. Das Nationale Zentrum für Cybersicherheit (NCSC) stellt Informationen bereit.
• Dokumentation führen: Halten Sie fest, was Sie wann geklärt haben. So können Sie Entscheide später erklären und anpassen.
• Bei EU-Bezug zusätzliche Regeln: Wenn Sie Personen in der EU bedienen, können weitere Vorschriften gelten. Das ist eine Frage für die Fachprüfung.

Ein Beispiel aus der Praxis

Ein fiktives Beispiel: Frau Keller leitet die Schulverwaltung einer Schulgemeinde im Kanton Graubünden. Die Lehrpersonen wünschen sich KI-Unterstützung für Elternbriefe und Unterrichtsmaterial.

Sie arbeitet die Checkliste durch. Der Anwendungsfall «Elternbriefe mit Platzhaltern entwerfen» braucht keine Personendaten, daher beginnen sie damit. Der Wunsch, Beurteilungstexte mit Namen zu formulieren, wird zurückgestellt und der Datenschutzstelle des Trägers vorgelegt.

Die Gemeinde wählt einen Dienst mit geschäftlichen Konten, vermerkt die Ansprechperson und erstellt ein einseitiges Merkblatt. Nach drei Monaten wertet das Team die Erfahrungen aus und passt die Regeln an.

So hilft Ihnen Alpasana

Wenn Ihre Einsatz-Checkliste auch eine Schulung des Teams vorsieht, behandelt Linups Online-Kurs «KI sicher am Arbeitsplatz» den Umgang mit Daten, die Prüfung von KI-Ergebnissen und das Erkennen von Betrugsversuchen. Ihre Datenschutzfragen müssen Sie weiterhin selbst prüfen.

Häufige Fragen

Muss ich vor dem Einsatz von KI immer eine Datenschutz-Folgenabschätzung machen?

Nicht immer. Sie ist bei einem voraussichtlich hohen Risiko für die betroffenen Personen vorgesehen, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten. Ob das auf Ihren Fall zutrifft, klären Sie mit der Datenschutzstelle.

Dürfen wir private KI-Konten für die Arbeit verwenden?

Besser nicht. Bei privaten Konten fehlen Vertrag, Kontrolle und Zugriffsverwaltung der Organisation. Geschäftliche Konten mit klaren Regeln sind in der Regel die sicherere Lösung.

Was, wenn ein Anbieter seinen Sitz im Ausland hat?

Dann spielt die Bekanntgabe von Daten ins Ausland eine Rolle, für die zusätzliche Voraussetzungen gelten. Ohne Personendaten ist das Risiko deutlich kleiner. Bei Personendaten braucht es eine Prüfung im Einzelfall.

Wie oft sollen wir die Checkliste wiederholen?

Bei jedem neuen Anwendungsfall und mindestens einmal pro Jahr. Dienste ändern ihre Bedingungen, und neue Einsatzideen bringen neue Daten ins Spiel. Ein einfaches Merkblatt für den Alltag erleichtert die Umsetzung.