Wo speichert ein KI-Dienst unsere Daten?

Das Problem

Auf der Website eines KI-Dienstes steht eine Schweizer Kontaktadresse. Sie möchten deshalb annehmen, dass auch Ihre Dokumente in der Schweiz bleiben. Die Firma kann jedoch technische Leistungen in anderen Ländern beziehen oder Supportzugriffe aus dem Ausland ermöglichen.

«Speicherort» ist deshalb nur ein Teil der Frage. Zur Verarbeitung gehören etwa das Erzeugen einer Antwort, technische Protokolle und Sicherungskopien. Eine auswählbare Datenregion kann sich nur auf bestimmte Bestandteile des Angebots beziehen.

Sie brauchen keine Liste sämtlicher Server. Sie benötigen eine nachvollziehbare Beschreibung der Datenwege, damit die verantwortliche Person den vorgesehenen Einsatz beurteilen kann. Unklare Antworten sind ein Grund für Rückfragen, keine Grundlage für eine Freigabe.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie Ihren Anwendungsfall. Notieren Sie, ob Sie allgemeine Texte bearbeiten oder personenbezogene Dokumente hochladen möchten. Halten Sie das verwendete Konto und die aktivierten Zusatzfunktionen fest. Ohne diesen Umfang kann ein Anbieter nur allgemein antworten.
2. Öffnen Sie die offiziellen Unterlagen. Suchen Sie Datenschutzinformationen, Vertragsunterlagen und Angaben zur Datenregion. Eine Auftragsbearbeitung bedeutet, dass ein Dienstleister Daten im Auftrag Ihres Betriebs verarbeitet; dazu können besondere Vertragsunterlagen gehören. Lassen Sie diese von der zuständigen Person prüfen.
3. Trennen Sie die verschiedenen Datenarten. Erstellen Sie Zeilen für Eingaben, Anhänge, Antworten, Kontodaten, technische Protokolle und Sicherungen. Fragen Sie für jede Zeile nach dem Ort und der Aufbewahrung. So fällt auf, wenn eine regionale Zusage nur die gespeicherten Chats umfasst.
4. Prüfen Sie weitere beteiligte Unternehmen. Suchen Sie die Liste der Unterauftragnehmer, also weiterer Dienstleister des Anbieters. Fragen Sie, welche davon Ihre Daten tatsächlich erhalten und in welchen Ländern. Eine allgemeine Liste muss für Ihren gewählten Dienst eingeordnet werden.
5. Fragen Sie nach Zugriffen aus anderen Ländern. Auch bei einer regionalen Speicherung können Personen anderswo administrative Aufgaben erledigen. Lassen Sie erklären, welche Zugriffe möglich sind und wie diese abgesichert werden. Verwechseln Sie einen verschlüsselten Transport nicht mit einem Ausschluss aller Anbieterzugriffe.
6. Vergleichen Sie Zusage und Einstellung. Wenn Sie eine Datenregion auswählen können, prüfen Sie die tatsächlich gespeicherte Auswahl und ihren Geltungsbereich. Klären Sie, ob bestehende Inhalte eingeschlossen sind. Dokumentieren Sie auch Funktionen, für die eine andere Regel gilt.
7. Lassen Sie die Datenwege beurteilen. Geben Sie die gesammelten Informationen an die zuständige Datenschutz- oder IT-Fachperson weiter. Diese prüft Vertragslage, Auslandsbezug und die geplanten Datenarten. Bis dahin verwenden Sie nur bereits freigegebene Inhalte oder erfundene Beispiele.
8. Halten Sie Änderungen nach. Bestimmen Sie, wer Mitteilungen zu neuen Dienstleistern oder Regionen liest. Wiederholen Sie die Prüfung bei neuen Verbindungen, grösseren Funktionsänderungen oder einem anderen Angebot. Auch eine frühere Freigabe hat einen definierten Umfang.

Vorlage zum Kopieren

Wir prüfen [Dienst und Angebot] für [allgemeine Aufgabe].
Bitte erläutern Sie getrennt für Eingaben, Dateien, Antworten,
Kontodaten, technische Protokolle und Sicherungen:
1. In welchen Ländern erfolgen Speicherung und Verarbeitung?
2. Welche weiteren Dienstleister erhalten welche Daten?
3. Aus welchen Ländern sind Support- oder Verwaltungszugriffe möglich?
4. Welche Datenregion können wir vertraglich und technisch festlegen?
5. Welche Ausnahmen gelten für Zusatzfunktionen?
6. Wie werden Änderungen und Löschfristen mitgeteilt?
Bitte verweisen Sie auf die passenden Vertragsunterlagen.

Tragen Sie das konkrete Angebot ein und schicken Sie keine echten Kundendokumente als Beilage mit.

Wie halten Sie die Antworten fest?

Ergänzen Sie zu jeder Antwort Datum und Geltungsbereich. Wenn der Anbieter nur «Europa» schreibt, fragen Sie nach den konkreten Ländern und danach, worauf sich die Aussage bezieht. Ein ordentlich ausgefülltes Formular ersetzt die Fachprüfung nicht, macht sie aber gezielter.

Worauf Sie achten müssen

• Ausland bedeutet eine zusätzliche Prüfung. Der EDÖB erläutert die Voraussetzungen für Datenbekanntgaben ins Ausland. Ob Schutz, Garantien und Information im konkreten Fall genügen, muss fachlich geprüft werden.
• Schweizer Speicherung ist keine Gesamtgarantie. Zugriffsschutz, zulässiger Zweck und Vertragsbedingungen bleiben wichtig. Die Landesgrenze allein entscheidet nicht über die Eignung.
• KI kennt Ihren Vertrag nicht. Eine automatisch erzeugte Zusammenfassung kann Regionen oder Ausnahmen verwechseln. Vergleichen Sie jeden wichtigen Punkt mit dem Originaldokument.
• Trainingsnutzung ist eine andere Frage. Prüfen Sie zusätzlich, ob Inhalte für die Verbesserung von KI-Modellen verwendet werden dürfen.
• Öffentliche Formulare sparsam ausfüllen. Für eine erste Anbieteranfrage genügt eine Beschreibung der Datenkategorien. Vertrauliche Musterdateien sind dafür meist unnötig.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Berner Planungsbüro möchte mit KI interne Besprechungsnotizen ordnen. Frau Müller sieht eine europäische Datenregion in den Einstellungen. Bei ihrer Prüfung stellt sie fest, dass die Unterlagen offenlassen, ob auch technische Protokolle und Supportzugriffe darunterfallen.

Sie trägt diese Punkte als «ungeklärt» ein und bittet um eine schriftliche Ergänzung. Die verantwortliche Person entscheidet danach über den zulässigen Umfang. Vorher beruhte die Planung auf einem geografischen Schlagwort; nachher auf einer dokumentierten Beschreibung des konkreten Angebots.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation unterstützt dabei, Abläufe aufzunehmen, KI-Vorhaben einzuordnen und ihre Umsetzung zu planen. Für diese Frage lässt sich zunächst klären, welche Daten ein geplanter Prozess überhaupt benötigt und welche Systeme beteiligt sind.

Das schafft eine Grundlage für die technischen und rechtlichen Abklärungen mit den zuständigen Fachpersonen. Eine pauschale Garantie für einen bestimmten Speicherort oder eine beliebige Anbieterprüfung wird daraus nicht abgeleitet.

Häufige Fragen

Ist eine Länderangabe in der Datenschutzerklärung ausreichend?

Sie ist ein wichtiger Ausgangspunkt, muss aber zu Ihrem konkreten Angebot passen. Prüfen Sie Datenarten, Zusatzfunktionen und beteiligte Dienstleister. Offene Punkte sollten vor vertraulichen Eingaben geklärt sein.

Kann ich durch ein privates Browserfenster den Speicherort ändern?

Ein privates Browserfenster verändert die Anbieterinfrastruktur nicht. Es betrifft vor allem lokale Spuren im Browser und ersetzt keine Datenregion oder Vertragsregel. Wählen Sie dafür keine vermeintliche Abkürzung.

Was tun, wenn der Anbieter keine klare Antwort gibt?

Dokumentieren Sie die fehlende Auskunft und geben Sie entsprechende Daten nicht frei. Prüfen Sie mit der verantwortlichen Person Alternativen oder eine Aufgabe ohne Personenbezug. Nutzen Sie dazu auch die Checkliste für kostenlose KI-Werkzeuge.