Was sollte ein KI-Vertrag zur Vertraulichkeit regeln?

Das Problem

Ihr Betrieb hat Rezepturen, Preislisten, Kundenverzeichnisse und Offerten, die nicht in fremde Hände gehören. Gleichzeitig möchten Ihre Leute einen KI-Dienst nutzen, um schneller zu schreiben und zu analysieren. Dabei landen diese Informationen in den Systemen eines Anbieters, den Sie vielleicht kaum kennen.

Die entscheidende Frage lautet: Was verspricht der Anbieter in Bezug auf Vertraulichkeit, und ist das verbindlich? Werbeaussagen wie «Ihre Daten sind sicher» sind kein Vertrag. Verbindlich ist nur, was in den Vertragsbedingungen steht.

Vertraulichkeit heisst dabei zweierlei: Der Anbieter darf Ihre Informationen nicht an Unbefugte weitergeben, und er muss sie technisch und organisatorisch schützen. Dieser Leitfaden zeigt, welche Punkte ein Vertrag dazu enthalten sollte.

Ein Beispiel für den Unterschied: «Wir behandeln Ihre Daten mit grösster Sorgfalt» ist eine Absichtserklärung. «Der Anbieter verpflichtet sich, Inhalte des Kunden vertraulich zu behandeln, nur zur Leistungserbringung zu verwenden und Zugriff nur befugten, zur Verschwiegenheit verpflichteten Personen zu gewähren» ist eine Zusage, auf die Sie sich berufen können.

Sie müssen nicht alles selbst beurteilen. Ihre Aufgabe ist es, die richtigen Fragen zu stellen und die Antworten schriftlich festzuhalten.

So lösen Sie es mit KI – Schritt für Schritt

1. Schutzbedarf bestimmen: Teilen Sie Ihre Informationen in Stufen ein: öffentlich, intern, vertraulich, streng vertraulich. Entscheiden Sie, welche Stufe in welchen Dienst darf.
2. Verträge sammeln: Besorgen Sie die Bedingungen, die zum Tarif gehören, besonders Geschäftskundenbedingungen und Zusatzvereinbarungen.
3. Vertraulichkeitsklausel suchen: Suchen Sie nach Wörtern wie «vertraulich», «Geheimhaltung», «Confidential Information». Prüfen Sie, ob Ihre Eingaben und Ergebnisse ausdrücklich als vertraulich gelten.
4. Zugriff klären: Wer beim Anbieter darf Ihre Inhalte sehen, und unter welchen Bedingungen? Sind Mitarbeitende zur Verschwiegenheit verpflichtet?
5. Unterauftragnehmer prüfen: Wird die Verarbeitung an Dritte ausgelagert, etwa an Rechenzentren? Dann sollte die Vertraulichkeit auch für sie gelten. Siehe Unterauftragsverarbeiter.
6. Dauer und Ausnahmen: Gilt die Pflicht auch nach Vertragsende? Welche Ausnahmen gibt es, etwa bei behördlichen Anordnungen, und wird man dann informiert?
7. Vorfälle regeln: Muss der Anbieter Sie melden, wenn Daten abfliessen? Innerhalb welcher Frist?
8. Interne Regeln erlassen: Legen Sie fest, welche Informationen nie eingegeben werden, auch wenn der Vertrag gut ist. Siehe Geschäftsgeheimnisse schützen.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie eine Prüfung der Vertraulichkeitszusagen vor. Fügen Sie ausschliesslich öffentliche Vertragstexte ein:

Du hilfst einem Schweizer KMU, die Vertraulichkeitszusagen eines KI-Anbieters zu prüfen. Lies die folgenden Vertragsbedingungen.
Erstelle eine Checkliste mit den Punkten: Definition vertraulicher Informationen, Zugriff durch Mitarbeitende des Anbieters, Unterauftragnehmer, Geheimhaltungsdauer, Ausnahmen (z. B. behördliche Anordnungen) und Information darüber, Meldung bei Sicherheitsvorfällen, Rückgabe oder Löschung bei Vertragsende.
Gib für jeden Punkt an: vorhanden / nicht geregelt / unklar, mit Fundstelle und kurzem Zitat. Fasse am Ende drei Fragen zusammen, die ich dem Anbieter schriftlich stellen sollte.
Erfinde nichts, gib keine Rechtsberatung.

[Text einfügen]

Ergänzen Sie weitere Punkte, die für Ihre Branche wichtig sind, und kontrollieren Sie die Fundstellen im Original.

Worauf Sie achten müssen

• Gesetzliche Grundlagen: Mitarbeitende dürfen Geschäftsgeheimnisse ihres Arbeitgebers nicht verwerten oder preisgeben (Art. 321a Abs. 4 OR). Der Betrieb sollte sicherstellen, dass vertrauliche Informationen nicht unbedacht an Dienstleister gelangen.
• Verträge mit Kundschaft: Haben Sie selbst Geheimhaltung gegenüber Kundschaft zugesagt, dürfen Sie deren Informationen nicht an einen KI-Dienst weitergeben, der diesen Schutz nicht bietet. Siehe NDA-Dokumente und KI.
• Personendaten: Für sie gelten zusätzlich die Regeln des Datenschutzes.
• Eigene Vorsicht: Auch bei guter Klausel gilt: Geben Sie nur so viel ein wie nötig.
• Durchsetzung: Ein Anspruch gegen einen ausländischen Anbieter ist praktisch schwer durchzusetzen. Das ist ein Grund für Zurückhaltung.
• Rechtsprüfung: Wichtige Verträge lassen Sie fachlich prüfen.

• Kleingedrucktes bei Gratisdiensten: Kostenlose Angebote sehen Vertraulichkeit oft gar nicht oder nur eingeschränkt vor. Für vertrauliche Informationen sind sie deshalb meist ungeeignet.
• Mitarbeitende einbeziehen: Regeln wirken nur, wenn sie bekannt sind. Besprechen Sie im Team, was als vertraulich gilt, mit konkreten Beispielen aus dem Alltag.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Maschinenbauer in Winterthur möchte technische Offerten mit KI formulieren.

Vorher: Die Mitarbeitenden kopieren Zeichnungsbeschreibungen und Preiskalkulationen in einen frei verfügbaren Chat. Eine Vertraulichkeitszusage gibt es nicht.

Nachher: Die Geschäftsleitung teilt Informationen in Stufen ein. Preise und Konstruktionsdetails gelten als streng vertraulich und bleiben ausserhalb der KI. Für allgemeine Textentwürfe nutzt der Betrieb einen Geschäftstarif, dessen Bedingungen Vertraulichkeit und Unterauftragnehmer regeln. Die Prüfung wurde mit der Vorlage vorbereitet und von der Rechtsberaterin bestätigt.

So hilft Ihnen Alpasana

Bei der Einführung von KI im Betrieb, von der Auswahl geeigneter Anwendungsfälle bis zu Einsatzregeln, unterstützt Alpasana mit KI-Beratung und digitaler Transformation. Laut Beschreibung gehören dazu die Analyse von KI-Potenzialen, Pilotprojekte und Einsatzregeln für KI-Agenten sowie die Dokumentation der Umsetzung. Juristische Vertragsprüfungen sind nicht Teil dieser Beschreibung.

Häufige Fragen

Reicht eine allgemeine Datenschutzerklärung als Vertraulichkeitszusage?

Meist nicht. Sie betrifft Personendaten und beschreibt, was der Anbieter tut, begründet aber nicht unbedingt eine verbindliche Geheimhaltungspflicht für Ihre Geschäftsinformationen.

Brauche ich ein separates Geheimhaltungsabkommen?

Bei sensiblen Informationen kann das sinnvoll sein. Viele grosse Anbieter bieten dafür nur Standardverträge an. Fragen Sie nach, was für Geschäftskunden möglich ist.

Was, wenn ein Mitarbeitender trotzdem Geheimes eingibt?

Das ist ein Vorfall. Dokumentieren Sie ihn, löschen Sie, wenn möglich, die Daten beim Anbieter und informieren Sie die Verantwortlichen. Siehe Fehler und Beweise sichern.

Gilt das auch für lokale KI auf eigenem Rechner?

Dann bleibt die Information im Haus, und die Vertragsfrage entfällt weitgehend. Sie müssen aber trotzdem Zugriffsrechte und Sicherheit klären. Siehe lokale KI und Datenschutz.