Wie prüfe ich den Datenstandort eines Schweizer KI-Angebots?

Das Problem

Ein KI-Anbieter wirbt mit «Schweizer Lösung» oder «Daten bleiben in der Schweiz». Das klingt beruhigend, und viele Betriebe verlassen sich darauf. Doch was heisst das genau? Werden Ihre Eingaben nur in der Schweiz gespeichert, oder auch dort verarbeitet? Wo liegen die Sicherungskopien? Wer kann im Störungsfall auf Daten zugreifen? Und welche Firmen sind im Hintergrund beteiligt?

Je nach Antwort kann der Unterschied gross sein, besonders wenn Sie Personendaten, Kundendaten oder Berufsgeheimnisse verarbeiten. Das Schweizer Datenschutzgesetz regelt unter anderem die Bekanntgabe von Personendaten ins Ausland. Deshalb sollten Sie nachvollziehen können, wohin Daten fliessen.

Eine systematische Prüfung klingt aufwendig, lässt sich aber mit einer Checkliste und ein paar schriftlichen Fragen gut bewältigen.

So lösen Sie es mit KI – Schritt für Schritt

1. Aussage festhalten: Notieren Sie die Werbeaussage des Anbieters wörtlich und das Datum.
2. Datenarten bestimmen: Legen Sie fest, welche Daten Sie dort verarbeiten möchten: harmlose Texte, Geschäftsdaten oder Personendaten. Je sensibler, desto strenger die Prüfung.
3. Fragenliste erstellen: Nutzen Sie die Vorlage unten und lassen Sie sich eine Liste mit Fragen zu Verarbeitung, Speicherung, Backups, Zugriffen und Dienstleistern erstellen.
4. Schriftlich nachfragen: Senden Sie die Fragen an den Anbieter und bitten Sie um eine schriftliche Antwort. Mündliche Zusagen sind schwer nachweisbar.
5. Unterlagen lesen: Prüfen Sie Datenschutzerklärung, Vertrag und eine allfällige Liste der Unterauftragnehmer. Notieren Sie Länder und Firmen.
6. Antworten abgleichen: Vergleichen Sie Werbung, schriftliche Antworten und Vertrag. Weichen sie voneinander ab, hat der Vertrag Vorrang. Fragen Sie nach.
7. Fachperson beiziehen: Bei Personendaten, Berufsgeheimnissen oder unklaren Antworten lassen Sie Vertrag und Datenfluss von einer Fachperson beurteilen.
8. Ergebnis dokumentieren: Legen Sie Fragen, Antworten, Datum und Entscheid ab. Prüfen Sie jährlich oder bei Änderungen erneut.

Checkliste: Wo liegen Ihre Daten wirklich?

Wenn Sie mehr zur Frage wissen möchten, wie sich Herkunft und Betrieb unterscheiden, lesen Sie Schweizer KI oder Schweizer Hosting: Was ist der Unterschied?. Für europäische Angebote hilft Europäische KI auswählen: Fragen für das Anbietergespräch.

Zur Bewertung der Antworten hilft eine einfache Einteilung. Klar: Der Anbieter nennt Orte, Firmen und Zugriffe konkret und bestätigt sie im Vertrag. Teilweise: Er nennt Orte, aber nicht alle Dienstleister oder Zugriffe. Unklar: Er weicht aus oder verweist nur auf allgemeine Werbeaussagen. Bei «teilweise» fragen Sie gezielt nach, bei «unklar» verarbeiten Sie keine sensiblen Daten. Diese Einteilung lässt sich in die Tabelle oben eintragen und macht den Vergleich mehrerer Anbieter einfacher.

Vorlage zum Kopieren

Wir prüfen ein KI-Angebot, das mit «[wörtliche Aussage, z. B. Daten bleiben in der Schweiz]» wirbt.
Wir möchten damit folgende Daten verarbeiten: [Datenarten, ohne echte Beispiele].
Erstelle eine Liste mit 15 Fragen an den Anbieter, gegliedert nach: Verarbeitung, Speicherung und Backups,
Zugriffe und Support, Unterauftragnehmer, Vertrag und Eigentümerstruktur, Training mit Eingaben, Löschung.
Formuliere sie einfach und so, dass der Anbieter schriftlich antworten kann.
Gib keine rechtlichen Beurteilungen ab; schreibe «Fachperson klären», wenn eine Rechtsfrage berührt ist.

Ersetzen Sie die Angaben. Die Antworten holen Sie beim Anbieter ein und lassen sie bei Bedarf prüfen.

Worauf Sie achten müssen

• Datenschutz: Wenn Sie Personendaten verarbeiten, tragen Sie als Betrieb die Verantwortung für die Auswahl. Klären Sie, ob ein Vertrag zur Auftragsbearbeitung nötig ist. Lassen Sie die Beurteilung im Einzelfall von einer Fachperson vornehmen.
• Vage Aussagen: Formulierungen wie «hauptsächlich in der Schweiz» oder «wo immer möglich» sind keine Zusage.
• Zugriffe aus dem Ausland: Auch bei Servern in der Schweiz kann Personal im Ausland Zugriff haben. Fragen Sie danach.
• Berufsgeheimnis: Anwältinnen, Ärztinnen und andere Berufsgeheimnisträger haben besondere Pflichten. Siehe Warum spielt der Serverstandort bei KI eine Rolle?.
• Änderungen: Anbieter können Dienstleister und Standorte wechseln. Verlangen Sie Meldungen bei Änderungen.
• Nachweis: Bewahren Sie Antworten und Vertrag auf, damit Sie Entscheide begründen können.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Arztpraxis in Winterthur möchte eine Diktier-KI mit «Schweizer Hosting» einsetzen. Vorher verlässt sich die Praxisleiterin auf den Werbetext.

Nachher stellt sie schriftliche Fragen. Die Antwort zeigt, dass Speicherung in der Schweiz erfolgt, die Verarbeitung der Sprachdaten jedoch über einen Dienstleister im Ausland läuft. Die Praxis verzichtet vorläufig auf den Einsatz mit Patientendaten und lässt die Lösung von ihrer Datenschutzberaterin prüfen. Für nichtpersonenbezogene Texte nutzt sie das Angebot vorerst mit erfundenen Beispielen.

So hilft Ihnen Alpasana

Wenn Sie KI-Angebote systematisch vergleichen und klären möchten, welche Anforderungen Ihr Vorhaben stellt, unterstützt Sie die KI-Beratung und digitale Transformation von Alpasana. Beschrieben sind das Aufnehmen von Prozessen, die Analyse von KI-Potenzialen, die Priorisierung von Vorhaben und ein Umsetzungsplan. Projekte werden individuell offeriert. Eine rechtliche Prüfung ersetzt das nicht.

Häufige Fragen

Reicht die Aussage «DSG-konform»?

Nein, sie ist eine Behauptung des Anbieters. Fragen Sie, worauf sie sich stützt, und lassen Sie sich Verträge und Zusagen schriftlich geben.

Was, wenn der Anbieter nicht antwortet?

Das ist ein Warnsignal. Ohne klare Antworten sollten Sie keine sensiblen Daten verarbeiten und sich nach Alternativen umsehen.

Muss ich das für jede KI-Anwendung prüfen?

Je sensibler die Daten, desto gründlicher. Für Texte ohne Personenbezug genügt eine einfachere Prüfung. Legen Sie intern fest, welche Datenarten wohin dürfen.