Wann ist eine KI-Entscheidung rechtlich automatisiert?

Das Problem

Ihr Betrieb setzt ein System ein, das Kundenanfragen bewertet, Bewerbungen vorsortiert oder über Konditionen mitentscheidet. Jemand sagt: «Das ist eine automatisierte Einzelentscheidung, da gelten besondere Regeln.» Sie fragen sich, ab wann das zutrifft. Ihr System «schlägt ja nur vor», und am Ende klickt ein Mensch auf «Bestätigen».

Die Frage ist zentral, denn davon hängen Informationspflichten, Rechte der Betroffenen und teilweise die Zulässigkeit der Verarbeitung ab. Es kommt nicht auf den Namen der Funktion an, sondern darauf, ob die menschliche Beteiligung echte Wirkung hat. Wenn der Mensch nur abnickt, entscheidet in Wirklichkeit das System.

Hier erfahren Sie, was das Gesetz unter einer automatisierten Einzelentscheidung versteht, welche Rechte Betroffene haben und wie Sie die menschliche Prüfung sinnvoll gestalten. Rechtsberatung ersetzt das nicht.

Einfach erklärt

Das revidierte Schweizer Datenschutzgesetz spricht von einer automatisierten Einzelentscheidung, wenn die Entscheidung ausschliesslich auf einer automatisierten Bearbeitung beruht und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. In solchen Fällen muss der Verantwortliche die Person informieren. Auf Antrag erhält sie Gelegenheit, ihren Standpunkt darzulegen, und kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.

Die DSGVO regelt das in Artikel 22: Betroffene haben das Recht, nicht einer ausschliesslich automatisierten Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung unterworfen zu werden, mit Ausnahmen, etwa bei Vertragserfüllung, gesetzlicher Erlaubnis oder ausdrücklicher Einwilligung, jeweils mit Schutzmassnahmen. Der Europäische Gerichtshof hat in einem Urteil zur Kreditauskunft (SCHUFA, 2023) angenommen, dass schon ein automatisiert erzeugter Wert, an dem sich die Entscheidung massgeblich ausrichtet, selbst eine solche Entscheidung sein kann.

So lösen Sie es mit KI – Schritt für Schritt

So klären Sie, ob Ihr System betroffen ist:

1. Entscheidung beschreiben: Was wird entschieden: Zusage oder Absage, Preis, Zugang, Priorität? Wer ist betroffen?
2. Folgen einschätzen: Hat die Entscheidung Rechtsfolgen oder beeinträchtigt sie die Person erheblich, etwa durch Ablehnung oder Nachteil?
3. Rolle des Systems klären: Entscheidet das System allein, oder liefert es nur Informationen für eine menschliche Entscheidung?
4. Echtheit der menschlichen Prüfung prüfen: Hat die prüfende Person Wissen, Zeit, Zugang zu den Hintergründen und die Befugnis, abzuweichen? Wie oft weicht sie tatsächlich ab?
5. Informationspflichten prüfen: Werden Betroffene darüber informiert, dass eine automatisierte Entscheidung erfolgt? Siehe Datenschutzerklärung für KI.
6. Verfahren für Stellungnahme und Prüfung einrichten: Betroffene sollen ihren Standpunkt darlegen und eine Überprüfung durch einen Menschen verlangen können.
7. Weitere Pflichten bedenken: Bei Personalentscheiden, Krediten und ähnlichen Bereichen können zusätzliche Regeln gelten, siehe KI bei der Personalauswahl und Datenschutz-Folgenabschätzung.
8. Dokumentieren und überprüfen: Halten Sie den Ablauf fest, und prüfen Sie regelmässig, ob die menschliche Kontrolle tatsächlich funktioniert.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Einordnung Ihres Systems vor. Beschreiben Sie das Verfahren allgemein:

Wir sind ein [Betrieb, Branche] in der Schweiz [mit/ohne EU-Kundschaft]. Wir setzen ein KI-System ein für: [Zweck, z. B. Vorsortierung von Bewerbungen / Entscheid über Zahlungsziele].
Ablauf: [Wer gibt was ein, was gibt das System aus, wer entscheidet am Ende, wie viel Zeit und Wissen hat die entscheidende Person, wie oft wird vom Vorschlag abgewichen].
Folgen für Betroffene: [z. B. Absage ohne Gespräch / schlechtere Konditionen].
Erstelle eine Liste mit Fragen, anhand derer eine Datenschutzfachperson beurteilen kann, ob eine ausschliesslich automatisierte Einzelentscheidung vorliegt,
welche Information, Stellungnahme und Überprüfung für Betroffene vorzusehen sind und wie wir die menschliche Prüfung wirksam gestalten.
Gib keine Rechtsberatung, kennzeichne Unsicherheiten und erfinde keine Gesetzesstellen oder Urteile.

Beschreiben Sie Ihr Verfahren. Die Fragen besprechen Sie mit einer Fachperson.

Worauf Sie achten müssen

• Formale Prüfung genügt nicht: Wenn der Mensch das Ergebnis des Systems regelmässig unbesehen übernimmt, kann dennoch eine automatisierte Entscheidung vorliegen.
• Scores und Empfehlungen: Auch Werte, an denen sich die Entscheidung in der Praxis ausrichtet, können erfasst sein.
• Informationspflicht: Betroffene sollen wissen, dass automatisiert entschieden wird, und wie sie sich äussern können.
• Diskriminierung und Fairness: Systeme können Verzerrungen enthalten. Prüfen Sie Ergebnisse auf unzulässige Benachteiligung, siehe Recruiting und Diskriminierung.
• EU AI Act: Für bestimmte Hochrisiko-Anwendungen kommen weitere Pflichten hinzu, siehe KI-Auskunft zur Entscheidung.
• Besonders schützenswerte Daten: Hier gelten verschärfte Anforderungen.
• Rechtliche Prüfung: Die Einordnung ist komplex und einzelfallabhängig. Ziehen Sie Fachleute bei, und beachten Sie die Hinweise des Eidgenössischen Datenschutzbeauftragten.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Vermietungsfirma in Zürich nutzt ein KI-System, das Interessenten für eine Wohnung bewertet. Ein Sachbearbeiter bestätigt die Vorschläge am Ende per Klick.

Vorher: Der Geschäftsführer sagt, es gebe keine automatisierte Entscheidung, weil ein Mensch klicke. In der Praxis übernimmt der Sachbearbeiter die Empfehlung fast immer, ohne Unterlagen zu prüfen. Abgelehnte Interessenten erhalten keine Erklärung.

Nachher: Die Firma erkennt, dass die menschliche Beteiligung zur Formalität geworden ist. Sie ändert den Ablauf: Das System liefert nur eine Übersicht, der Sachbearbeiter prüft die Unterlagen, begründet seine Entscheidung und kann abweichen. Abgelehnte Personen werden informiert und können sich äussern. Die Datenschutzberatung prüft das Verfahren, und die Firma dokumentiert Abweichungsquoten.

So hilft Ihnen Alpasana

Wer KI-Entscheidungen im Betrieb verantwortungsvoll gestalten möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte, den EU AI Act bei EU-Bezug sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Rechtsberatung ersetzt das nicht.

Häufige Fragen

Reicht es, dass ein Mensch am Ende klickt?

Nicht unbedingt. Entscheidend ist, ob die Person die Entscheidung inhaltlich prüft und abweichen kann. Reines Abnicken genügt nicht.

Gilt das auch für Empfehlungen oder Scores?

Wenn die Entscheidung sich massgeblich nach ihnen richtet, kann das der Fall sein. Prüfen Sie die tatsächliche Wirkung.

Was dürfen Betroffene verlangen?

In der Schweiz Information, Gelegenheit zur Stellungnahme und Überprüfung durch einen Menschen. In der EU gelten ähnliche Rechte mit Besonderheiten.

Gilt das auch bei internen Entscheidungen über Mitarbeitende?

Ja, die Grundsätze gelten auch im Arbeitsverhältnis, mit zusätzlichen arbeitsrechtlichen Regeln. Siehe KI am Arbeitsplatz.