Schweizer Datenschutz und KI-Training: Die neuen Regeln der DSG 2024

Schweizer Datenschutz und KI-Training: Die neuen Regeln der DSG 2024

Das Wichtigste in Kürze: Die revidierte Datenschutzgesetzgebung (DSG 2024) bringt neue Regeln für den Einsatz von Künstlicher Intelligenz mit sich. Unternehmen müssen verstehen, welche Transparenzpflichten, Einwilligungsanforderungen und technischen Massnahmen gelten – besonders beim Trainieren von KI-Modellen mit Kundendaten. Diese Regelmappe zeigt Ihnen die wichtigsten Compliance-Anforderungen.

Warum Schweizer Datenschutz beim KI-Training kritisch ist

Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten. Doch beim Training von KI-Modellen entstehen neue Datenschutzrisiken: Kundendaten, interne Prozessdaten oder vertrauliche Informationen können in KI-Systeme einfliessen und dort analysiert oder verarbeitet werden. Die Schweizer Datenschutzgesetzgebung – insbesondere das revidierte Datenschutzgesetz – stellt klare Anforderungen daran, wie Sie diese Daten verantworten müssen.

Besonders wichtig ist das Konzept der Transparenzpflicht. Sie müssen jederzeit dokumentieren können, welche Daten in welche KI-Modelle einfliessen und welche Effekte das hat. Das ist nicht nur eine technische Anforderung – es ist eine rechtliche Pflicht.

Was ändert die revidierte Datenschutzgesetzgebung 2024

Die neuen Regeln bringen drei zentrale Veränderungen:

• Transparenzpflicht: Sie müssen klar dokumentieren, wenn und wie KI-Systeme Personendaten verarbeiten. Das umfasst den Trainingsprozess, die verwendeten Datenquellen und die eingebauten Sicherheitsmechanismen. Das Schweizer Fedlex-Portal enthält die exakten gesetzlichen Anforderungen.
• Einwilligungspflicht: Für sensible Datentypen (wie Gesundheitsdaten, Biometrische Informationen oder politische Überzeugungen) benötigen Sie explizite Zustimmung, bevor diese Daten in KI-Training einfliessen. Eine pauschale Einwilligung ist nicht ausreichend.
• Technische Massnahmen: Sie müssen nachweisen, dass angemessene Sicherheitskontrollen vorhanden sind – etwa Pseudonymisierung, Verschlüsselung oder Zugriffskontrolle. Das ist nicht optional.

Das neue KI-Trainings-Register: Pflichten für Unternehmen

Die Schweizer Datenschutzbehörden – insbesondere der Eidgenössische Datenschutzbeauftragte (EDÖB) – erwarten, dass Unternehmen ein KI-Trainings-Register führen. Dieses Register muss dokumentieren:

1. Datenquellen: Woher kommen die Daten? (interne Datenbanken, externe Quellen, Kundendaten)
2. Datentypen und Volumes: Welche Art von Daten, in welcher Menge?
3. Sicherheitsmassnahmen: Wie sind die Daten geschützt? (Verschlüsselung, Zugriffskontrolle, Anonymisierung)
4. Retention und Löschung: Wie lange werden die Daten gespeichert und nach welchen Kriterien werden sie gelöscht?
5. Audit-Logs: Wer hat Zugriff auf die Trainingsdaten? Wann? Für welche Zwecke?

Das Register ist nicht optional – es ist eine Compliance-Anforderung. Unternehmen, die diese Dokumentation nicht führen, riskieren Verwarnungen und Bussgelder.

Praktische Compliance-Checkliste für KMU

So setzen Sie die neuen Anforderungen um:

1. Datenbestandsaufnahme durchführen: Erfassen Sie alle Datenquellen, die möglicherweise in KI-Systeme einfliessen. Klassifizieren Sie sie nach Sensitivität (normal, sensitiv, sehr sensitiv).
2. KI-Trainings-Register erstellen: Dokumentieren Sie für jedes KI-Projekt: Datenquellen, Sicherheitsmassnahmen, Aufbewahrungsdauer, Zugriffskontrolle. Verwenden Sie Templates wie die SECO-Dokumentation als Referenz.
3. Einwilligungen einholen: Für sensitive Daten: explizite, spezifische Zustimmung von betroffenen Personen. Formulieren Sie diese klar und nachvollziehbar.
4. Sicherheitsmassnahmen implementieren: Setzen Sie technische Kontrollen um: Daten-Pseudonymisierung vor dem Trainieren, Verschlüsselung in Transit und im Speicher, Zugriffskontrolle auf Trainingsdaten.
5. Verantwortlichkeit klären: Bestimmen Sie einen Datenschutzverantwortlichen und einen technischen Owner für KI-Systeme. Beide müssen zusammenarbeiten.

Fazit: Compliance ist kein Nice-to-Have

Die neuen Datenschutzregeln für KI sind ernst gemeint. Schweizer Behörden kontrollieren zunehmend, wie Unternehmen mit Daten beim KI-Training umgehen. Eine klare Dokumentation, transparente Prozesse und nachvollziehbare Sicherheitsmassnahmen sind der Schlüssel zur Compliance.

Starten Sie damit, Ihre Datenquellen zu erfassen und ein KI-Trainings-Register zu führen. Das ist der erste, wichtigste Schritt – und oft der Unterschied zwischen Compliance und Verwarnungen.

Abonnieren Sie unseren wöchentlichen Newsletter für die neuesten KI-Richtlinien – und bleiben Sie über neue Regeln, Best Practices und regulatorische Änderungen informiert.