KI-Tool im KMU prüfen: Welche Datenschutzfragen gehören dazu?

Das Problem

Ein Anbieter wirbt für ein KI-Werkzeug, das Protokolle zusammenfasst, Mails vorbereitet oder Rechnungen auswertet. Ihre Mitarbeitenden sind begeistert, und das Testkonto läuft schon. Nun verlangt die Geschäftsleitung eine Einschätzung: Können wir das datenschutzkonform einsetzen?

Ohne Struktur ist diese Frage kaum zu beantworten. Auf den Webseiten der Anbieter stehen Sätze wie «Wir nehmen Datenschutz ernst» und «Ihre Daten gehören Ihnen». Das beruhigt, aber es beantwortet nicht, was konkret passiert: wohin die Daten gehen, wer sie sieht, ob sie in Modelle einfliessen und wie lange sie bleiben.

Mit einer Liste klarer Fragen lässt sich das in einer guten Stunde klären. Sie müssen keine Juristin sein, um die richtigen Fragen zu stellen und die Antworten einzuordnen. Die abschliessende Beurteilung bei Personendaten gehört aber in fachkundige Hände.

So lösen Sie es mit KI – Schritt für Schritt

1. Einsatz beschreiben: Wofür soll das Werkzeug dienen, und welche Daten sollen hinein? Ohne diese Beschreibung ist keine Prüfung möglich. Ziehen Sie die Daten-Ampel heran.
2. Unterlagen beschaffen: Laden Sie die Nutzungsbedingungen, die Datenschutzerklärung, Vereinbarungen zur Datenverarbeitung und Sicherheitsinformationen des konkreten Tarifs herunter. Datum notieren.
3. Sechs Kernfragen stellen: (a) Welche Daten werden verarbeitet? (b) Wo und durch wen, inklusive Unterauftragnehmer? (c) Wird zu Training oder Produktverbesserung verwendet? (d) Wie lange wird gespeichert? (e) Wie lässt sich löschen und exportieren? (f) Welche Sicherheitsmassnahmen und Zusagen gibt es? Die Hintergründe zu Speicherort und Weitergabe finden Sie unter Speicherort prüfen und Unterauftragnehmer und Datenwege.
4. Mit KI die Unterlagen lesen lassen: Lassen Sie die öffentlichen Bedingungen mit Fundstellen zusammenfassen (Vorlage unten) und prüfen Sie die Stellen im Original nach.
5. Offene Fragen an den Anbieter senden: Stellen Sie unklare Punkte schriftlich. Eine Vorlage bietet Sicherheitsfragen an KI-Anbieter.
6. Zugänge und Verwaltung prüfen: Gibt es Einzelkonten, zweiten Faktor, Rollen und Protokolle? Kann der Betrieb Zugänge zentral sperren?
7. Test mit harmlosen Daten: Probieren Sie das Werkzeug mit Beispieldaten aus, bevor echte Daten hineinkommen.
8. Entscheid dokumentieren: Halten Sie fest, was geprüft wurde, welche Einschränkungen gelten und wer freigegeben hat. Siehe Freigabevorlage für KI-Tools.
9. Datenschutz-Fachstelle einbeziehen: Bei Personendaten, besonders schützenswerten Daten und grösseren Einsätzen sprechen Sie mit Ihrer Datenschutzberatung.

Vorlage zum Kopieren

Mit diesem Auftrag werten Sie die öffentlichen Unterlagen eines Anbieters aus. Fügen Sie nur öffentliche Texte ein:

Du unterstützt ein Schweizer KMU bei der Vorprüfung eines KI-Werkzeugs. Einsatz: [Aufgabe, z. B. Zusammenfassung von Sitzungsprotokollen]. Daten, die verarbeitet würden: [Datenarten].
Lies die folgenden öffentlichen Unterlagen des Anbieters (Tarif: [Tarif]) und beantworte in einer Tabelle mit den Spalten Frage | Antwort | Fundstelle (Abschnitt, kurzes Zitat) | Offen/Unklar:
1. Welche Daten werden verarbeitet und gespeichert? 2. Wo (Länder) und von wem (Unterauftragnehmer)? 3. Training oder Produktverbesserung mit Kundendaten? 4. Speicherdauer? 5. Löschung und Datenexport? 6. Sicherheitsmassnahmen, Zugriffsrechte, Zertifikate? 7. Vereinbarung zur Auftragsverarbeitung vorhanden?
Schreibe «nicht geregelt», wenn nichts steht. Erfinde nichts. Gib am Ende eine Liste offener Fragen für den Anbieter und für eine Datenschutzfachperson.

[Text einfügen]

Prüfen Sie die Fundstellen im Original. Die KI kann sich irren und Aussagen erfinden.

Worauf Sie achten müssen

• Personendaten: Werden solche verarbeitet, braucht es eine Rechtsgrundlage, Information der Betroffenen und meist einen Vertrag zur Auftragsbearbeitung. Siehe Auftragsverarbeitung erkennen.
• Ausland: Datenübermittlung in andere Länder setzt voraus, dass ein angemessener Schutz besteht oder Garantien vereinbart sind. Das gilt in der Schweiz und in der EU. Details sind fachlich zu klären.
• Marketing und Wirklichkeit: Prüfen Sie Zusagen anhand der Vertragsunterlagen, nicht anhand der Werbung.
• Zertifikate: Sicherheitsnachweise sagen etwas über einen Teil der Organisation aus, nicht über alles. Siehe Sicherheitsnachweise einordnen.
• Änderungen: Anbieter ändern Bedingungen und Funktionen. Planen Sie regelmässige Kontrollen.
• Keine Rechtsberatung: Die Prüfung dient der Vorbereitung. Verbindlich beurteilen muss eine Fachperson.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Gemeinde im Kanton Luzern möchte ein KI-Werkzeug für Sitzungsprotokolle einsetzen.

Vorher: Ein Mitarbeiter hat ein Testkonto eröffnet und lädt Gemeinderatsprotokolle hoch. Niemand weiss, wohin die Daten gehen.

Nachher: Die Verwaltung stoppt den Test, sammelt die Unterlagen und lässt sie mit der Vorlage auswerten. Zwei Fragen bleiben offen: Standort der Verarbeitung und Training. Der Anbieter antwortet schriftlich, und die Datenschutzstelle des Kantons wird einbezogen. Erst danach gibt die Gemeinde das Werkzeug für nicht personenbezogene Protokolle frei.

So hilft Ihnen Alpasana

Wenn Sie KI-Werkzeuge im Betrieb einführen und die Auswahl, Prüfung und Einsatzregeln begleiten lassen möchten, unterstützt Alpasana mit KI-Beratung und digitaler Transformation. Laut Beschreibung gehören dazu die Analyse von KI-Potenzialen, Pilotprojekte mit Einsatzregeln und die Dokumentation der Umsetzung. Eine rechtliche Datenschutzprüfung ist darin nicht enthalten.

Häufige Fragen

Wie lange dauert eine solche Prüfung?

Die Vorprüfung mit der Fragenliste dauert oft einen halben Tag, mit Rückfragen an den Anbieter einige Tage. Bei Personendaten kommt die Fachprüfung dazu.

Muss ich jedes Werkzeug so prüfen?

Je heikler die Daten, desto gründlicher. Für ein Werkzeug, das nur öffentliche Texte verarbeitet, genügt eine kurze Prüfung. Für Personendaten ist eine ausführliche nötig.

Was, wenn der Anbieter nicht antwortet?

Das ist ein Warnzeichen. Verwenden Sie das Werkzeug dann nur für unkritische Aufgaben oder wählen Sie einen Anbieter, der Auskunft gibt.

Wer im Betrieb sollte die Prüfung machen?

Idealerweise eine Person aus IT oder Verwaltung gemeinsam mit der Datenschutzverantwortlichen und einer Vertretung der Anwender.