KI im Verarbeitungsverzeichnis erfassen: So gehen Sie vor

Das Problem

In Ihrem Betrieb wird KI eingesetzt: ein Assistent für Textentwürfe, ein Transkriptionsdienst für Sitzungen, ein Chatbot auf der Website. Nun sollen Sie diese Anwendungen dokumentieren, weil Datenschutz und Verzeichnis gefordert sind, oder weil die Revision, die Kundschaft oder die Geschäftsleitung danach fragen. Sie öffnen eine Vorlage und stehen vor Spalten wie «Datenkategorien», «Empfängerkategorien» und «Löschfristen».

Das ist keine Spezialaufgabe, sondern Aufräumarbeit: Sie schreiben auf, was Sie wofür mit welchen Daten tun. Das nützt auch intern, denn viele Betriebe wissen nach einigen Monaten nicht mehr, welche Dienste im Haus gebraucht werden und was dort eingegeben wird.

Hier lernen Sie, welche Angaben das Verzeichnis verlangt, wie Sie KI-Anwendungen darin erfassen und wie Sie vorgehen, ohne sich zu verzetteln. Rechtsberatung ersetzt das nicht.

Einfach erklärt

Das revidierte Schweizer Datenschutzgesetz verpflichtet Verantwortliche und Auftragsbearbeiter grundsätzlich, ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen. Darin stehen unter anderem die Identität des Verantwortlichen, der Bearbeitungszweck, die Kategorien der betroffenen Personen und der Personendaten, die Kategorien der Empfänger und, wenn möglich, die Aufbewahrungsdauer sowie Massnahmen der Datensicherheit. Wird in das Ausland bekanntgegeben, sind Staat und Garantien zu nennen.

Für Unternehmen mit weniger als 250 Mitarbeitenden sieht die Datenschutzverordnung eine Ausnahme vor, es sei denn, sie bearbeiten in grossem Umfang besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch. Auch Betriebe mit Ausnahme profitieren davon, ihre Bearbeitungen zu kennen. Die DSGVO kennt eine ähnliche Pflicht mit engeren Ausnahmen. Bei EU-Bezug siehe DSGVO für Schweizer Firmen.

Für KI heisst das: Jede Anwendung, die Personendaten verarbeitet, wird zu einer Zeile oder einem Eintrag.

So lösen Sie es mit KI – Schritt für Schritt

So erfassen Sie Ihre KI-Anwendungen:

1. Bestandsaufnahme machen: Fragen Sie im Betrieb, wer welche KI-Dienste nutzt, auch private Konten für Arbeitsaufgaben. Notieren Sie jeden Dienst.
2. Zweck pro Dienst festhalten: Wofür wird er genutzt? Ein Dienst kann mehrere Zwecke haben, dann gibt es mehrere Einträge.
3. Datenarten bestimmen: Welche Personendaten gelangen hinein? Siehe Personendaten in KI-Prompts erkennen.
4. Rollen und Empfänger klären: Wer verarbeitet die Daten, mit welchem Vertrag? Siehe Auftragsverarbeitung erkennen.
5. Ausland prüfen: Wo wird verarbeitet? Wo greift Support zu? Siehe Datenübermittlung ins Ausland.
6. Aufbewahrung festlegen: Wie lange bleiben Eingaben und Ergebnisse? Wer löscht? Siehe Löschkonzept für KI-Daten.
7. Sicherheit beschreiben: Wer hat Zugriff, welche Einstellungen sind aktiv (etwa Trainingsnutzung aus), welche Schulungen gab es?
8. Risiko einschätzen und pflegen: Prüfen Sie, ob eine vertiefte Prüfung nötig ist, siehe Datenschutz-Folgenabschätzung. Überprüfen Sie das Verzeichnis mindestens jährlich und bei jedem neuen Dienst.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie die Eintragungen vor. Beschreiben Sie Ihre Anwendungen allgemein, ohne echte Daten:

Wir sind ein [Betrieb, Branche, Mitarbeitende] in der Schweiz. Wir nutzen folgende KI-Anwendungen: [Liste, z. B. Textassistent im Sekretariat, Transkription von Sitzungen, Chatbot auf der Website].
Erstelle für jede Anwendung eine Tabellenzeile mit den Spalten: Bezeichnung, Zweck, betroffene Personen, Datenkategorien, Empfänger, Ausland (ja/nein, Staat), Aufbewahrung/Löschung, Sicherheitsmassnahmen, offene Fragen.
Fülle nur aus, was ich angegeben habe, und schreibe bei Lücken «zu klären». Erfinde keine Angaben zu Anbietern oder Rechtsgrundlagen und gib keine Rechtsberatung.

Ergänzen Sie Ihre Anwendungen. Die Zeilen «zu klären» sind Ihre Aufgabenliste für Anbieter und Beratung.

Worauf Sie achten müssen

• Pflicht und Ausnahme: Ob Ihr Betrieb von der Ausnahme profitiert, hängt von Grösse und Art der Daten ab. Prüfen Sie das im Einzelfall.
• Schatten-KI: Dienste, die einzelne Mitarbeitende nutzen, fehlen oft im Verzeichnis. Eine Umfrage im Betrieb schafft Überblick.
• Besonders schützenswerte Daten: Wo solche Daten im Spiel sind, steigen die Anforderungen, siehe Sensible Daten und KI.
• Aktualität: Ein veraltetes Verzeichnis ist wenig wert. Neue Dienste und Funktionen sofort ergänzen.
• Keine Geheimnisse im Verzeichnis: Es enthält Beschreibungen, keine echten Personendaten.
• Verknüpfung mit anderen Pflichten: Informationspflichten, Auskunftsrechte und Verträge hängen am selben Überblick.
• Rechtliche Prüfung: Für verbindliche Aussagen ziehen Sie Datenschutzfachleute bei.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Ingenieurbüro in Aarau mit 40 Mitarbeitenden nutzt KI für Textentwürfe, Übersetzungen und Protokolle. Eine Kundin verlangt im Rahmen eines Auftrags Auskunft, welche Dienste mit ihren Projektdaten arbeiten.

Vorher: Die Geschäftsleitung weiss, dass «irgendwie» mit KI gearbeitet wird, kann aber keine Liste vorlegen. Drei Teams nutzen unterschiedliche Dienste, zwei davon mit privaten Konten.

Nachher: Eine Mitarbeiterin befragt alle Teams, erfasst vier Dienste in einer Tabelle, klärt für jeden Zweck, Datenkategorien, Anbieter und Standort und trägt die offenen Punkte ein. Zwei private Konten werden durch Firmenkonten ersetzt. Die Tabelle wird zum Verzeichnis, und die Auskunft an die Kundin ist in einer Stunde möglich. Einmal jährlich überprüft das Büro die Liste.

So hilft Ihnen Alpasana

Wer Datenschutz und KI im Betrieb verständlich einordnen lernen möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Häufige Fragen

Muss mein kleiner Betrieb ein Verzeichnis führen?

Unter bestimmten Bedingungen sieht die Verordnung eine Ausnahme für Betriebe mit weniger als 250 Mitarbeitenden vor. Sie entfällt etwa bei grossem Umfang besonders schützenswerter Daten. Prüfen Sie es im Einzelfall, auch bei EU-Bezug.

Muss jede KI-Anwendung hinein?

Jede, die Personendaten verarbeitet. Reine Anwendungen ohne Personendaten, etwa eine Bildidee für ein Plakat, sind nicht erfasst. Klären Sie im Zweifel, ob Personendaten im Spiel sind.

Wer führt das Verzeichnis?

Der Verantwortliche, in der Praxis oft die Datenschutzverantwortliche oder die Geschäftsleitung. Die Fachbereiche liefern die Angaben.

In welcher Form?

Eine Tabelle genügt. Wichtig ist, dass sie vollständig, aktuell und auffindbar ist.