Darf ich Firmenfotos und Aufnahmen in KI-Tools hochladen?

Das Problem

Im Betrieb fallen laufend Bilder und Aufnahmen an: Fotos von Baustellen, vom Lager, von der Weihnachtsfeier, Sprachnotizen, Aufnahmen von Sitzungen und Kundengesprächen. KI-Werkzeuge versprechen, daraus Berichte, Beschriftungen, Zusammenfassungen oder Verbesserungen zu machen. Das Hochladen dauert Sekunden.

Gerade deshalb lohnt sich ein Moment des Nachdenkens. Auf einem Baustellenfoto sind vielleicht Mitarbeitende und der Name des Kunden zu sehen, im Hintergrund hängt ein Plan, auf dem Bildschirm steht eine Rechnung. Eine Sprachnotiz enthält Namen und Beträge. Mit dem Upload geben Sie diese Informationen an einen Anbieter weiter.

Hier erfahren Sie, was Sie prüfen müssen, ohne Juristin zu sein. Es sind Grundsätze, keine Rechtsberatung.

So lösen Sie es mit KI – Schritt für Schritt

1. Inhalt ansehen. Was ist auf dem Bild oder in der Aufnahme zu sehen und zu hören? Personen, Gesichter, Namen, Autokennzeichen, Bildschirme, Pläne, Preise, Adressen? Auch Dinge im Hintergrund zählen.

1. Einordnen. Sortieren Sie in drei Gruppen: unkritisch (z. B. Produktfoto ohne Personen), vertraulich (z. B. Kundenobjekte, interne Pläne), besonders heikel (z. B. Gesundheits-, Personal- oder Kundendaten). Nutzen Sie die Tabelle unten.

1. Zweck prüfen. Wofür soll das Medium im KI-Werkzeug verwendet werden? Ist der Zweck mit dem Anlass der Aufnahme vereinbar? Brauchen Sie wirklich alle Daten?

1. Rechtsgrundlage klären. Bei Personen braucht es Information und oft Einwilligung. Für Kundendaten gelten Verträge und Vertraulichkeit. In der Schweiz gilt das Datenschutzgesetz, bei Bezug zur EU je nach Fall zusätzlich die Datenschutz-Grundverordnung. Im Zweifel fragen Sie die Datenschutzverantwortlichen.

1. Anbieter prüfen. Wo werden die Daten verarbeitet? Werden sie für Training verwendet? Wie lange gespeichert? Gibt es eine Vereinbarung zur Datenbearbeitung? Siehe Medien und Freigabe-Checkliste.

1. Daten reduzieren. Schneiden Sie Bilder zu, schwärzen Sie Namen und Kennzeichen, entfernen Sie Standortangaben aus den Bilddateien und kürzen Sie Aufnahmen auf das Nötige. Siehe PDF vor dem KI-Upload schwärzen.

1. Testen mit unkritischen Beispielen. Probieren Sie Werkzeuge zuerst mit Bildern ohne Personenbezug aus.

1. Löschen und dokumentieren. Löschen Sie hochgeladene Dateien im Dienst, wenn sie nicht mehr gebraucht werden, und notieren Sie, was Sie wann wohin hochgeladen haben. Siehe Hochgeladene Dateien löschen.

Vorlage zum Kopieren

Du bist eine erfahrene Datenschutzberaterin für kleine und mittlere Unternehmen in der Schweiz. Ich möchte klären, ob Bilder oder Aufnahmen aus unserem Betrieb in ein externes KI-Werkzeug hochgeladen werden dürfen. Du gibst keine Rechtsberatung und erfindest keine Gesetzesartikel. Bei rechtlichen Fragen schreibst du «mit Fachperson klären».

Art der Medien: [z. B. Baustellenfotos, Sprachnotizen aus Kundengesprächen]
Was darauf zu sehen oder zu hören ist: [Stichworte, ohne Namen]
Zweck der KI-Nutzung: [z. B. Beschriftung, Zusammenfassung]
KI-Werkzeug: [Name oder «noch offen»]

Erstelle:
1. Eine Prüfliste mit zwölf Fragen, die ich vor dem Hochladen beantworten muss (Inhalt, Personen, Zweck, Anbieter, Speicherort, Löschung).
2. Eine Einschätzung, welche Teile unkritisch, vertraulich oder heikel sind.
3. Vorschläge, wie ich die Medien vor dem Hochladen reduzieren kann.
4. Eine Liste mit Fragen an den Anbieter und an die Datenschutzverantwortlichen.
Regeln: Erfinde keine Fristen, Bussen oder Artikel. Erkläre Fachwörter in einem Halbsatz.

Setzen Sie Ihre Angaben ein. Die Antwort ist eine Prüfhilfe für das Gespräch mit den Verantwortlichen, keine Freigabe.

Ampel für Medien

Worauf Sie achten müssen

• Zweckbindung und Datenminimierung: Verwenden Sie nur, was Sie brauchen, und nur für den vorgesehenen Zweck. Reduzieren Sie die Daten vor dem Upload.
• Einwilligung und Information: Personen auf Bildern und in Aufnahmen müssen informiert sein. Siehe Fotos anderer Menschen mit KI bearbeiten.
• Verarbeitung im Ausland: Viele KI-Dienste verarbeiten Daten ausserhalb der Schweiz. Dafür gelten besondere Anforderungen. Klären Sie sie mit einer Fachperson.
• Verwendung für Training: Prüfen Sie, ob der Anbieter Ihre Medien zur Verbesserung seiner Modelle nutzt, und ob sich das abstellen lässt.
• Vertragliche Pflichten: Kundenverträge und Berufsgeheimnisse können das Hochladen verbieten, auch wenn das Datenschutzgesetz nichts dagegen hätte.
• Metadaten: Bilddateien können Aufnahmeort und Zeit enthalten. Entfernen Sie diese Angaben, wenn sie nicht nötig sind.

Ein Beispiel aus der Praxis

Ein Beispiel: Frau Bühler, 54, ist Büroleiterin einer Malerfirma in Frauenfeld. Die Mitarbeitenden fotografieren Baustellen und möchten die Bilder von einer KI beschriften lassen. Vorher: Die Fotos enthalten Hausfassaden mit Namensschildern, Autokennzeichen und manchmal Kundinnen im Bild, und niemand hat geprüft, was der Dienst mit den Bildern macht.

Frau Bühler legt mit der Prüfliste fest: Fotos werden vor dem Hochladen zugeschnitten, Schilder und Kennzeichen unkenntlich gemacht, Personen nicht fotografiert. Der Dienst wird mit unkritischen Testfotos geprüft. Nachher: Die Beschriftung funktioniert, die Kundschaft wird geschützt, und die Mitarbeitenden wissen, was sie hochladen dürfen.

So hilft Ihnen Alpasana

Wenn Mitarbeitende lernen sollen, mit Bildern, Aufnahmen und Unternehmensdaten in KI-Werkzeugen sorgfältig umzugehen, bietet Alpasana die KI-Weiterbildung für Unternehmen an. Beschrieben sind Schweizer Praxisbezug und Datenschutz als Lerninhalte, EU AI Act bei EU-Bezug, ein verantwortungsbewusster Umgang mit Unternehmensdaten, Lernen im eigenen Tempo mit verifizierbaren Abschlüssen sowie eine Kontaktmöglichkeit für Firmenlösungen und Teambuchungen.

Eine Rechtsberatung oder die Prüfung einzelner Anbieter gehört nicht zum Angebot. Dafür sind Ihre Datenschutzverantwortlichen oder eine Fachperson zuständig.

Häufige Fragen

Gilt das Datenschutzgesetz auch für Bilder?

Ja, sobald Personen erkennbar oder bestimmbar sind. Dann sind die Bilder Personendaten. Mehr zur Einordnung finden Sie bei Personendaten erkennen.

Was, wenn mein Betrieb EU-Kundschaft hat?

Dann kann zusätzlich die Datenschutz-Grundverordnung der EU gelten. Wann das der Fall ist, hängt vom Einzelfall ab. Eine Übersicht bietet Schweizer Firmen und EU-Kundschaft. Holen Sie im Zweifel fachlichen Rat ein.

Reicht es, das Gesicht zu verpixeln?

Oft hilft es, genügt aber nicht immer. Auch Kleidung, Umgebung oder Stimme können identifizieren. Prüfen Sie, ob das Bild ohne weitere Hinweise auskommt.