Wie wähle ich eine KI für vertrauliche Firmendaten aus?

Das Problem

Ihre Geschäftsleitung fragt: «Dürfen wir KI nutzen, wenn es um Kundendaten, Offerten oder Personalunterlagen geht?» Sie sollen eine Antwort liefern, die nicht nur auf Bauchgefühl beruht. Im Internet finden Sie widersprüchliche Aussagen, und die Anbieter selbst erklären vieles in langen Bedingungen.

Das Risiko ist real: Wer vertrauliche Angaben in ein falsches Konto eingibt, gibt sie möglicherweise aus der Hand. Umgekehrt führt ein pauschales Verbot dazu, dass Mitarbeitende heimlich private Konten verwenden.

Eine nachvollziehbare Auswahl mit Checkliste und Freigabe schafft Klarheit für alle Beteiligten.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenarten sammeln: Welche Informationen sollen mit KI bearbeitet werden? Kundendaten, Personaldaten, Verträge, Finanzzahlen, Konstruktionspläne? Teilen Sie sie in «offen», «intern» und «vertraulich» ein.
2. Rechtliche Rahmen klären: Das Schweizer Datenschutzgesetz (DSG) gilt für Personendaten. Bei EU-Bezug kann die DSGVO relevant sein. Für Berufsgeheimnisse (etwa bei Anwälten, Ärztinnen, Treuhändern) gelten besondere Regeln. Siehe DSG und DSGVO bei der Modellwahl.
3. Kandidaten bestimmen: Prüfen Sie nur Angebote für Geschäftskunden (Business-, Team- oder Enterprise-Tarife oder die KI in Ihren Büroprogrammen) und keine privaten Gratis-Konten.
4. Fragen an den Anbieter stellen: Wird mit meinen Eingaben trainiert? Wo werden Daten gespeichert und wie lange? Wer hat Zugriff, auch Mitarbeitende des Anbieters? Gibt es einen Vertrag zur Auftragsbearbeitung? Siehe Fragen an Anbieter.
5. Antworten dokumentieren: Halten Sie Quelle, Datum und Wortlaut fest. Verlassen Sie sich nicht auf Werbeaussagen.
6. Zugriffe regeln: Wer im Betrieb darf welche Daten eingeben? Siehe Firmenzugriffe regeln.
7. Pilot mit unkritischen Daten: Testen Sie Funktion und Einstellungen mit erfundenen Beispielen.
8. Freigabe und Regel: Die Geschäftsleitung entscheidet schriftlich, welche Datenarten in welches Werkzeug dürfen. Teilen Sie das den Mitarbeitenden in einem Merkblatt mit.
9. Regelmässig prüfen: Anbieter ändern Bedingungen. Legen Sie einen Termin fest, etwa jährlich, für die Überprüfung.

Vorlage zum Kopieren

Auswahlblatt KI-Anbieter für vertrauliche Daten
Werkzeug/Tarif: [Name, Tarif]   Geprüft am: [Datum]   Geprüft von: [Name]
Vorgesehene Datenarten: [z. B. Kundenkorrespondenz, Offerten]
1. Training mit Eingaben: [ja/nein/nicht beantwortbar] Quelle: [Link, Datum]
2. Speicherort und Aufbewahrung: [Land, Dauer] Quelle: [Link]
3. Vertrag zur Auftragsbearbeitung verfügbar: [ja/nein]
4. Zugriff durch Mitarbeitende des Anbieters: [Regelung laut Anbieter]
5. Administration: Benutzerverwaltung, Protokolle, Löschung: [ja/nein, Details]
6. Zwei-Faktor-Schutz und Anmeldung über Firmenkonto: [ja/nein]
7. Offene Fragen an den Anbieter: [Liste]
Entscheid: [freigegeben für ... / nicht freigegeben] durch [Name, Datum]

Füllen Sie das Blatt für jedes Werkzeug aus und legen Sie es zusammen mit den Belegen ab. Wo der Anbieter keine Antwort gibt, notieren Sie das ebenfalls.

Worauf Sie achten müssen

• Privat und geschäftlich trennen: Private Konten haben oft andere Datenregeln. Mitarbeitende sollen nicht privat nutzen, was dienstlich ist.
• Training: Prüfen Sie, ob Eingaben zur Verbesserung der Modelle verwendet werden können und wie sich das abschalten lässt.
• Standort und Weitergabe: Daten können im Ausland verarbeitet werden. Für Personendaten gelten Regeln für die Bekanntgabe ins Ausland.
• Berufsgeheimnis und Geschäftsgeheimnis: Hier gelten strengere Anforderungen. Klären Sie, ob und wie KI überhaupt eingesetzt werden darf.
• Zugriff im Betrieb: Wenn ein Assistent auf Ihre Dateien zugreifen darf, sieht er alles, was die Person sieht. Siehe Berechtigungen prüfen.
• Keine Rechtsberatung: Diese Seite gibt Orientierung. Bei Unsicherheit ziehen Sie Ihre Datenschutzberatung oder eine Fachperson bei. Eine Übersicht bietet der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
• Menschliche Kontrolle: Auch im zugelassenen Werkzeug prüfen Sie Ergebnisse, bevor sie nach aussen gehen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in St. Gallen mit zehn Mitarbeitenden möchte KI für Briefe und Zusammenfassungen nutzen. Mehrere Personen verwenden bereits private Chat-Konten.

Vorher: Es gibt keine Regel. Niemand weiss, welche Daten in welchen Programmen landen.

Nachher: Die Inhaberin lässt die Datenarten einteilen, sammelt die Antworten von zwei Anbietern in Geschäftstarifen anhand des Auswahlblatts und holt eine Rückmeldung der Datenschutzberatung ein. Sie gibt ein Werkzeug frei, aber nur für Texte ohne Klientennamen. Alles andere bleibt vorerst gesperrt. Ein Merkblatt und eine jährliche Kontrolle sind festgehalten.

So hilft Ihnen Alpasana

Wenn Sie die KI-Auswahl und Einführung in Ihrem Betrieb strukturiert angehen möchten, begleitet Sie KI-Beratung und digitale Transformation von Alpasana. Laut Beschreibung gehören Prozessaufnahme, KI-Potenziale analysieren, Vorhaben priorisieren, ein Umsetzungsplan sowie Einsatzregeln bei der Integration von KI-Agenten dazu. Projekte werden individuell offeriert. Eine Rechtsberatung ersetzt das nicht.

Häufige Fragen

Reicht es, wenn der Anbieter «Datenschutz» verspricht?

Nein. Verlangen Sie konkrete Aussagen zu Training, Speicherort, Zugriff und Vertrag, und dokumentieren Sie diese. Allgemeine Zusagen reichen nicht.

Darf ich Personendaten überhaupt in eine KI eingeben?

Das kommt auf Zweck, Rechtsgrundlage, Vertrag und Sicherheitsmassnahmen an. Gesicherte Grundsätze nennt der EDÖB. Im Einzelfall brauchen Sie eine fachliche Prüfung.

Hilft anonymisieren?

Oft ja. Wenn Namen und Angaben entfernt sind, die Personen erkennbar machen, sinkt das Risiko deutlich. Beachten Sie, dass Zusammenhänge Personen dennoch verraten können.

Wie oft muss ich die Auswahl überprüfen?

Mindestens jährlich und bei grossen Änderungen der Bedingungen oder des Tarifs.