Datenschutz von Anfang an: Wie plane ich einen KI-Prozess?

Das Problem

Ihr Betrieb will einen neuen Ablauf mit KI aufbauen: Eingehende Bewerbungen sollen vorsortiert, Kundenfragen automatisch beantwortet oder Sitzungsprotokolle erstellt werden. Man startet, weil der Nutzen auf der Hand liegt. Erst später kommt die Frage: «Dürfen wir das so? Wo liegen die Daten? Wer sieht sie?»

Nachträglich ändern ist mühsam. Der Dienst ist bereits eingeführt, Mitarbeitende haben sich daran gewöhnt, Daten sind schon beim Anbieter. Eine Umstellung kostet Zeit und Geld, und manchmal ist der Schaden schon passiert.

Das Datenschutzrecht verlangt deshalb, dass der Schutz von Anfang an mitgedacht wird. Das Schweizer DSG spricht von Datenschutz durch Technik und datenschutzfreundlichen Voreinstellungen, die DSGVO von «Data protection by design and by default».

Was heisst das konkret?

Mehr zu zwei dieser Grundsätze: Datenminimierung bei KI und Löschkonzept für KI.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie den geplanten Ablauf. Von der Eingabe bis zur Ablage: Wer macht was, mit welchen Daten, in welchem Werkzeug? Zeichnen Sie ihn auf einem Blatt auf.
2. Fragen Sie: Brauchen wir Personendaten? Streichen Sie Daten, die für den Zweck nicht nötig sind. Oft genügt ein anonymisierter Text.
3. Bestimmen Sie die Datenarten und Betroffenen. Gibt es besonders schützenswerte Daten, verletzliche Gruppen, grosse Mengen? Das entscheidet, wie viel Aufwand nötig ist, und ob eine Datenschutz-Folgenabschätzung ansteht.
4. Wählen Sie das Werkzeug mit Blick auf den Datenschutz. Geschäftsvertrag, Zusagen zu Training und Speicherort, Unterauftragnehmer. Eine Prüfliste finden Sie unter Vertrags-Checkliste für KI-Anbieter.
5. Stellen Sie die Voreinstellungen ein. Training mit Ihren Daten ausschalten, Verlauf und Speicherdauer begrenzen, Freigaben und Rechte setzen. Dokumentieren Sie die Einstellungen.
6. Legen Sie Zugriffe, Löschfristen und Kontrollen fest. Wer darf Eingaben sehen? Wie lange bleiben Ergebnisse gespeichert? Wer prüft Ergebnisse?
7. Testen Sie mit erfundenen Daten. Bevor echte Daten fliessen, prüfen Sie den Ablauf mit Testdaten. Siehe Synthetische Testdaten.
8. Schulen Sie die Beteiligten und starten Sie klein. Ein Pilot mit wenigen Personen zeigt Probleme früh. Überprüfen Sie danach den Ablauf und passen Sie ihn an.

Vorlage zum Kopieren

Mit diesem Auftrag lassen Sie sich eine Checkliste für Ihren Ablauf erstellen. Beschreiben Sie nur den Ablauf, keine echten Personendaten:

Wir planen als [Betrieb, Branche, Ort in der Schweiz] folgenden KI-Ablauf: [Beschreibung, z. B. Eingehende Kundenmails werden von einem KI-Dienst zusammengefasst und als Entwurf beantwortet].
Beteiligte: [Rollen]. Datenarten: [z. B. Namen, E-Mail-Adressen, Inhalt der Anfrage]. Werkzeug: [Name oder «noch offen»].
Erstelle eine Checkliste für «Datenschutz von Anfang an» mit den Gruppen: Datenminimierung, Zweck, Voreinstellungen, Zugriff, Löschung, Information der Betroffenen, menschliche Kontrolle, Anbieter.
Formuliere zu jeder Gruppe 3 bis 4 konkrete Prüffragen für unseren Ablauf und nenne ein Beispiel für eine mögliche Massnahme.
Gib keine Rechtsberatung. Markiere Punkte, die wir mit einer Fachperson klären sollten.

Gehen Sie die Checkliste im Team durch und halten Sie Entscheide schriftlich fest.

Worauf Sie achten müssen

• Voreinstellungen prüfen: Viele Dienste haben Standardeinstellungen, die für Privatpersonen gedacht sind, nicht für Betriebe. Kontrollieren Sie diese aktiv.
• Schattennutzung: Wenn der offizielle Ablauf zu umständlich ist, weichen Mitarbeitende auf private Konten aus. Der beste Schutz ist ein praktikabler, erlaubter Weg, siehe Private Konten bei der Arbeit.
• Nicht nur Technik: Auch Regeln, Schulung und Kontrolle gehören zum Schutz. Eine Technik ohne Menschen, die sie einhalten, schützt wenig.
• Änderungen: Neue Funktionen oder Anbieteränderungen können die Lage verändern. Überprüfen Sie den Ablauf regelmässig.
• Rechtliche Einordnung: Welche Anforderungen im Einzelfall gelten, hängt vom Vorhaben ab. Lassen Sie wichtige Projekte von einer Fachperson begleiten und beachten Sie die Hinweise des EDÖB.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Personalberatung in Basel möchte mit KI Lebensläufe zusammenfassen, bevor sie an Kunden gehen.

Vorher: Die Mitarbeitenden laden Lebensläufe samt Foto, Adresse und Geburtsdatum direkt in einen KI-Dienst im Browser. Niemand hat geprüft, was mit den Daten geschieht.

Nachher: Vor dem Start klärt das Team Zweck und Daten. Es legt fest, dass nur Berufserfahrung und Ausbildung eingegeben werden, ohne Namen, Foto und Adresse. Es wählt ein Werkzeug mit Geschäftsvertrag, schaltet das Training aus, begrenzt die Speicherdauer und definiert, dass jede Zusammenfassung von einer Beraterin geprüft wird. Die Bewerbenden werden in der Datenschutzerklärung informiert. Ein Pilot mit zwei Personen läuft vier Wochen.

So hilft Ihnen Alpasana

Wer einen KI-Ablauf von Anfang an sauber plant, braucht Überblick über Prozesse, Systeme und Zuständigkeiten. Die KI-Beratung und digitale Transformation von Alpasana hilft, Prozesse aufzunehmen, KI-Potenziale zu analysieren, Vorhaben zu priorisieren und einen Umsetzungsplan zu erstellen, ausserdem digitale Workflows zu entwickeln und die Umsetzung zu dokumentieren. Zur Integration von KI-Agenten gehören Anwendungsfall, Pilot, Einsatzregeln und Skalierung. Projekte werden individuell offeriert.

Rechtliche Datenschutzberatung ist darin nicht beschrieben.

Häufige Fragen

Gilt das nur für grosse Firmen?

Nein. Der Grundsatz gilt für alle, die Personendaten bearbeiten. Der Aufwand richtet sich nach Risiko und Umfang. Bei einem kleinen, harmlosen Ablauf genügt eine einfache Checkliste.

Wie viel Zeit soll ich für die Planung einrechnen?

Bei kleinen Abläufen ein paar Stunden im Team, bei umfangreichen Vorhaben mit sensiblen Daten deutlich mehr. Eine frühe Klärung spart in der Regel später Aufwand.

Was, wenn der Dienst schon im Einsatz ist?

Dann holen Sie die Planung nach: Ablauf beschreiben, Einstellungen prüfen, Datenminimierung einführen, Verträge klären. Je früher, desto besser.