KI in Compliance und Datenschutz: Schweizer Regeln, die du brauchst

KI in Compliance und Datenschutz: Schweizer Regeln, die du brauchst

Die zentrale Frage: Wer haftet, wenn die KI einen Fehler macht?

Ein Schweizer Finanzberater nutzt ChatGPT zur Erstellung von Anlageempfehlungen. Das Tool gibt eine mathematisch falsche Berechnung ab. Ein Kunde verliert CHF 50’000. Wer haftet? Der Berater? OpenAI? Der Versicherer? Nirgends ist das klar definiert.

Die gute Nachricht: In der Schweiz gibt es seit September 2023 das neue Datenschutzgesetz (nDSG). Das neue Gesetz definiert Grenzen. Doch die KI-Spezifika sind noch Leerraum.

Die wichtigsten Schweizer Regeln für KI-Einsatz (Stand 2026)

1. Das Datenschutzgesetz (nDSG) als Rahmen

Das Schweizer neue Datenschutzgesetz (nDSG) gilt seit 1. September 2023. Es regelt nicht KI direkt, aber es gibt Pflichten, die jeden KI-Einsatz betreffen:

• Datenschutz-Folgenabschätzung (DPIA): Wenn deine KI mit sensiblen Daten arbeitet (Kunden, Mitarbeiter, Gesundheit, Finanz), musst du eine DPIA durchführen.
• Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden. Wenn eine Kundeninfo für die Rechnungsprüfung erhoben wurde, darfst du sie nicht für Marketing-KI nutzen.
• Transparenz: Der Kunde muss wissen, dass KI seine Daten verarbeitet.
• Datensparsamkeit: Das Prinzip “Minimale notwendige Daten” gilt. Wenn deine KI alles Kundendaten sehen kann, hast du ein Transparenz-Problem.
• Speicherbegrenzung: Du darfst Daten nicht ewig speichern. Nach dem Zweck müssen sie gelöscht werden.

Das neue nDSG ist ähnlich streng wie die DSGVO, hat aber einige Unterschiede (z.B. niedrigere Bussgelder, aber ähnliche Anforderungen).

2. Finanzmarktaufsicht (FINMA) und KI

Die Finanzmarktaufsicht (FINMA) der Schweiz hat 2024 explizit gewarnt vor KI-Risiken bei Banken und Versicherungen. Die Anforderungen sind streng:

• Explainability: Wenn KI eine Kreditentscheidung trifft, muss die Bank erklären können, wieso.
• Audit-Trail: Jede KI-Entscheidung muss dokumentiert sein.
• Menschliche Kontrolle: Hochriskante Entscheidungen (Kredit, Versicherungsablehnung) dürfen nicht rein automatisch sein.
• Testing: Vor dem Einsatz muss getestet werden, ob die KI diskriminiert (z.B. Frauen/Männer unterschiedlich behandelt).

Das gilt nicht nur für Banken, sondern auch für Finanzberater und Vermögensverwalter.

3. Das Bundesamt für Statistik und Datenqualität

Das Schweizer Bundesamt für Statistik hat Richtlinien publiziert, wie Algorithmen Datenqualität prüfen müssen. Besonders bei Prognosen (KI sagt voraus, wer ein Produkt kauft) gibt es hohe Anforderungen.

4. Europäischer AI Act – Einfluss auf die Schweiz

Die Schweiz ist nicht Teil der EU, aber der EU AI Act (ab 2025/2026) beeinflusst Schweizer Unternehmen indirekt:

• Wenn dein Geschäft auch EU-Kunden bedient, musst du EU-AI-Act-konform sein.
• High-Risk-KI (Kreditentscheidung, Jobvergabe, medizinische Diagnose) braucht Dokumentation, Audit, Transparenz.
• Generative KI (ChatGPT, Claude) muss Trainingsdaten offenlegen und eine “System Card” publizieren.

Das bedeutet: Schweizer Unternehmen sollten jetzt schon mit EU-AI-Act-Standards arbeiten, nicht erst bei EU-Kundengeschäften.

Praktisches Regelwerk für schweizer KMU

Regel 1: Klassifizierung nach Risiko-Stufe

Low-Risk KI: Copywriting (ChatGPT für Werbetexte), Zusammenfassung von Dokumenten, Vorschläge zur Zeitplanung.
➜ Anforderungen: Gering. Du musst nur dem Kunden transparent sagen “Das ist KI-generiert.”

Medium-Risk KI: Automatische E-Mail-Sortierung, Kundenservice-Chatbots, Dokumenten-Klassifizierung.
➜ Anforderungen: Mittelhoch. Du musst testen, ob Fehler schaden anrichten. Hast du DPIA gemacht? Kann dein System Fehler erkennen und Menschen benachrichtigen?

High-Risk KI: Kreditentscheidung, Krankenversicherungs-Bewertung, Stellenvergabe, Strafentscheidungs-Prognose.
➜ Anforderungen: Sehr hoch. Du brauchst: dokumentierte Regeln, unabhängige Audit, Diskriminierungs-Tests, Transparenz für betroffene Personen, Recht auf Erklärung, Recht auf menschliche Überprüfung.

Regel 2: Daten-Sourcing und Consent

Kundendaten: Wenn du Kundendaten (Namen, Kaufhistorie, Verhalten) in KI nutzt, musst du transparente Consent haben. “Wir nutzen deine Daten zur KI-gestützten Personalisierung” – nicht versteckt in AGB Punkt 47.

Mitarbeiterdaten: Wenn du KI zur Leistungsbewertung oder Einstellungsentscheidung nutzt, brauchst du explizite Einwilligung der Mitarbeiter. Geheime KI-Bewertung ist nicht DSGVO/nDSG-konform.

Externe Datenquellen: Wenn du KI mit Daten trainierst, die du kaufst (z.B. Firmenlisten), musst du prüfen, ob die Datenquelle selbst DSGVO-konform ist. Gekaufte “Leak-Daten” sind illegal.

Regel 3: Speicherung und Löschung

Speicherdauer: Nach nDSG musst du Daten so lange wie nötig und nicht länger speichern. Das bedeutet:
– KI-Trainings-Daten: Gelöscht nach dem Training (es sei denn, es ist eine laufende Trainings-Pipeline).
– KI-Outputs: Speicher nur das Ergebnis, nicht die Eingabe-Daten (es sei denn, du brauchst sie für Audit).
– Logs: Speicher sie max. 90 Tage, dann lösch sie.

Löschungsrecht: Ein Kunde verlangt: “Löscht alle Daten, die ihr von mir habt!” Du musst es tun. Das bedeutet auch: Daten aus KI-Trainings löschen. Praktisch schwierig, aber gesetzlich erforderlich.

Regel 4: Haftung und Versicherung

Haftungsverteilung:
– Du nutzt ChatGPT: OpenAI haftet für KI-Fehler (im Rahmen ihrer AGB), du haftest dafür, dass du sie richtig nutzt.
– Du trainierst dein eigenes Modell: Du haftest für Fehler, Diskriminierung, Datenschutz-Verstösse.
– Du nutzt einen KI-Service (z.B. Google Vertex AI): Geteilt. Google haftet für technische Fehler, du für die Anwendung.
Clause in den AGB genau lesen, besonders “Limitation of Liability”.

Versicherung: Frag deinen Versicherer:
– Deckt die Haftpflicht KI-Fehler ab?
– Gibt es Ausschlüsse für generative KI?
– Welche Deckung für Datenschutz-Verstösse?

Regel 5: Dokumentation und Audit

Dies ist die wichtigste Verteidigungslinie bei KI-Problemen:

• Dokumentation: Halte fest: Welche KI nutzen wir? Wofür? Mit welchen Daten? Wer hat es genehmigt?
• Testing: Teste die KI vor dem Einsatz. Gibst du Kredit zu Unrecht? Diskriminiert sie Gruppen?
• Audit-Trail: Jede KI-Entscheidung muss nachverfolgbar sein. “System hat dies entschieden, deshalb.”
• Regelmässige Überprüfung: Einmal pro Quartal: Funktioniert die KI noch korrekt? Gibt es Fehler-Trends?

Eine Bank, die dokumentiert, dass sie die KI getestet hat, Fehler erkannt hat und sie gefixt hat, haftet weniger als eine Bank, die sagt “Das System war eine Black Box, wir wussten nicht, wie es funktioniert.”

Praktische nächste Schritte für dein Unternehmen

Diese Woche:

1. Inventarisiere: Welche KI-Tools nutzest du bereits? (ChatGPT im Kundendienst? Automatische E-Mail-Filterung?)
2. Klassifiziere: Ist das Low/Medium/High-Risk?
3. Frag deinen Versicherer: “Haben wir KI-Haftungsschutz?”

Dieser Monat:

1. Schreib fest: Für welche KI-Tools haben wir Kundenzustimmung? Wo fehlt sie?
2. Erstelle eine Datenschutz-Folgenabschätzung (DPIA) für jedes Medium/High-Risk-Tool.
3. Teste: Diskriminiert unsere KI oder favorisiert sie bestimmte Gruppen?

Diese Quartal:

1. Schreib KI-Regeln fest. Wer darf KI für was nutzen? Welche Daten sind off-limits?
2. Dokumentiere alle KI-Entscheidungen loggbar.
3. Review-Prozess einrichten: Quartalweise KI-Audit.

Fazit

KI ist in der Schweiz nicht illegal. Aber unbedachte KI ist ein Risiko. Mit klarer Klassifizierung, Datenschutz-Gedanken und guter Dokumentation wird KI zum Werkzeug, nicht zur Haftungs-Falle.

Der Startpunkt: Wissen, welche KI du nutzt. Der nächste Schritt: Testen, ob sie richtig funktioniert. Der letzte Schritt: Dokumentieren, dass du das getan hast.

Weitere Ressourcen: Laden Sie unseren KI-Compliance-Checklist herunter – speziell für schweizer Unternehmen mit nDSG und FINMA-Anforderungen.