KI-Datenstandort prüfen: Reicht die Angabe Schweiz oder EU?

Das Problem

Auf der Webseite eines KI-Anbieters steht gross: «Daten gespeichert in der Schweiz» oder «Hosting in der EU». Das beruhigt. Aber stimmt damit alles? Wo wird die Eingabe tatsächlich von der KI verarbeitet? Wer kann im Fehlerfall auf Ihre Daten zugreifen? Wohin gehen die Protokolle?

Der Datenstandort ist nicht nur ein Ort auf der Landkarte. Es gibt mehrere Stationen: Speicherung der Eingaben und Ergebnisse, Verarbeitung durch das KI-Modell, Sicherungskopien, Protokolle, Support-Zugriffe und Unterauftragnehmer. Jede kann an einem anderen Ort liegen.

Eine einfache Standortangabe deckt daher nicht automatisch alle Datenwege ab. Sie müssen kein Technikexperte sein, um das zu klären. Mit gezielten Fragen und einer Übersicht erkennen Sie, wo Klärungsbedarf besteht.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie, welche Daten betroffen sind. Personendaten, Geschäftsgeheimnisse, öffentliche Texte? Je sensibler die Daten, desto wichtiger die Antworten. Eine Orientierung bietet Ampel für Daten im KI-Einsatz.
2. Zeichnen Sie den Datenweg einfach auf. Von Ihrem Computer zum Anbieter: Eingabe, Verarbeitung, Speicherung, Sicherung, Protokolle, Support. Ein Blatt Papier mit Kästchen genügt.
3. Fragen Sie pro Station nach dem Ort. Wo werden die Eingaben gespeichert? Wo verarbeitet das Modell sie? Wo liegen Backups und Protokolle? Lassen Sie sich Länder oder Regionen nennen.
4. Fragen Sie nach Zugriffen. Wer kann auf Daten zugreifen, etwa Support oder Entwicklung, und von wo aus? Gibt es Zugriffe aus Drittländern, auch ohne dass Daten dorthin gespeichert werden?
5. Fragen Sie nach Unterauftragnehmern. Setzt der Anbieter andere Firmen ein, zum Beispiel für Rechenleistung? Wo sitzen sie? Eine Liste gehört in die Vertragsunterlagen.
6. Lassen Sie sich die Antworten schriftlich bestätigen. Mündliche Zusagen am Telefon genügen nicht. Prüfen Sie, ob die Angaben im Vertrag oder in verbindlichen Dokumenten stehen.
7. Übergeben Sie das Ergebnis an die Fachprüfung. Ob die Datenwege im Einzelfall zulässig sind, beurteilt eine Fachperson. Siehe KI-Vertrag zur Datenverarbeitung prüfen.

Vorlage zum Kopieren

Mit einer KI können Sie eine Fragenliste und eine Übersicht für den Anbieter erstellen. Geben Sie keine vertraulichen Daten ein:

Ich prüfe den Datenstandort eines KI-Anbieters für ein Schweizer KMU.
Erstelle eine Fragenliste mit 12 Fragen, gegliedert nach den Stationen:
Speicherung der Eingaben, Verarbeitung durch das Modell, Sicherungskopien,
Protokolle, Support- und Entwicklerzugriffe, Unterauftragnehmer, Datenrückgabe und Löschung.
Formuliere die Fragen so, dass sie konkrete Länder oder Regionen verlangen
und eine schriftliche Antwort ermöglichen.
Füge eine Tabelle mit den Spalten «Station», «Ort laut Anbieter», «Beleg im Vertrag (ja/nein)» bei.
Beurteile nicht, ob die Antworten rechtlich genügen.

Schicken Sie die Fragen an den Anbieter und tragen Sie die Antworten in die Tabelle ein.

Was «Schweiz» oder «EU» alles meinen kann

Worauf Sie achten müssen

• Marketingaussagen sind keine Zusagen. Entscheidend sind Vertrag und verbindliche Dokumente. Übertragen Sie die Antworten in Ihre Unterlagen.
• Standort ist nicht alles. Auch bei Datenhaltung in der Schweiz oder EU können Zugriffe aus anderen Ländern stattfinden. Ob und wie das datenschutzrechtlich zulässig ist, klären Sie mit einer Fachperson. Das Schweizer Datenschutzgesetz regelt unter anderem die Bekanntgabe von Daten ins Ausland (DSG).
• Angaben ändern sich. Anbieter wechseln Rechenzentren und Partner. Fragen Sie nach der Benachrichtigung bei Änderungen und prüfen Sie regelmässig.
• Kein Pauschalurteil nach Land. Ob ein Land «gut» oder «schlecht» ist, lässt sich nicht pauschal sagen. Es kommt auf Rechtslage, Vertrag und Schutzmassnahmen an.
• KI ersetzt keine Prüfung. Ein Assistent kann Fragen formulieren, aber er kennt die tatsächlichen Datenwege des Anbieters nicht. Verlassen Sie sich auf dessen schriftliche Angaben. Weitere Hilfe: Speicherort einer KI prüfen.

Was, wenn der Anbieter nicht antwortet?

Das ist ein Hinweis. Ein Anbieter, der seine Datenwege nicht erklären kann oder will, eignet sich für sensible Daten kaum. Prüfen Sie dann, ob Sie das Werkzeug nur für unkritische Texte verwenden oder eine Alternative wählen. Eine Entscheidungshilfe zum Vergleich bietet die Bewertungsmatrix für KI-Anbieter.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Frau Müller prüft für einen Handwerksbetrieb in Thun ein KI-Werkzeug. Der Anbieter wirbt mit «Schweizer Hosting». Sie fragt nach den Stationen und erfährt, dass die Verarbeitung durch das Modell bei einem Partner in einem anderen Land erfolgt.

Vorher hätte sie sich auf den Werbetext verlassen. Nachher dokumentiert sie die Antworten und übergibt sie der Datenschutzverantwortlichen. Der Betrieb entscheidet, das Werkzeug nur für Texte ohne Kundendaten zu verwenden. Für Kundenschreiben sucht er eine Lösung mit klaren Zusagen.

So hilft Ihnen Alpasana

Alpasana unterstützt bei KI-Beratung und digitaler Transformation, unter anderem beim Aufnehmen von Prozessen, Konzipieren von Schnittstellen und dem Dokumentieren der Umsetzung. Das hilft, Datenflüsse nachvollziehbar zu beschreiben.

Die rechtliche Beurteilung des Datenstandorts bleibt eine Fachfrage. Alpasana ersetzt hier keine Datenschutzprüfung.

Häufige Fragen

Ist ein Anbieter mit Sitz in der Schweiz automatisch sicherer?

Nicht automatisch. Entscheidend sind Verarbeitung, Unterauftragnehmer, Zugriffe und Vertrag. Der Firmensitz ist nur ein Faktor.

Spielt der Standort bei harmlosen Texten eine Rolle?

Weniger. Bei öffentlichen oder allgemeinen Texten ohne Personendaten sind die Risiken kleiner. Bei Kundendaten, Personal- oder Gesundheitsdaten ist er wichtig.

Wie oft sollte ich das prüfen?

Bei Vertragsbeginn und bei Änderungen, mindestens aber einmal jährlich. Hintergründe zum Standort: Serverstandort und Datenschutz.