Belege, Kundenlisten und Lohnzahlen enthalten Personendaten und Geschäftsgeheimnisse. Bevor solche Daten in ein KI-Werkzeug gelangen, sollten fünf Fragen beantwortet sein.
1. Wer bearbeitet die Daten?
Ein KI-Anbieter, der in Ihrem Auftrag Daten bearbeitet, ist ein Auftragsbearbeiter im Sinne von Art. 9 DSG. Dafür braucht es einen Vertrag, und Sie müssen sich vergewissern, dass der Anbieter die Datensicherheit gewährleistet.
2. Wo werden sie bearbeitet?
Für die Bekanntgabe ins Ausland gilt Art. 16 DSG: ohne Weiteres in Staaten mit angemessenem Datenschutz gemäss Liste des Bundesrats (dazu gehören die EU- und EWR-Staaten), sonst nur mit zusätzlichen Garantien wie Standardvertragsklauseln. Für die USA gilt dies nur bei Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind.
3. Wird mit Ihren Daten trainiert?
Viele Geschäftsangebote schliessen das Training mit Kundendaten aus, Gratisversionen oft nicht. Lassen Sie sich das schriftlich bestätigen.
4. Wer hat Zugriff?
Legen Sie Rollen fest: Wer darf Belege hochladen, wer Vorschläge freigeben? Protokollieren Sie Freigaben – das hilft auch bei der Revision.
5. Wie lange wird gespeichert?
Buchungsbelege müssen Sie zehn Jahre aufbewahren (Art. 958f OR). Das heisst nicht, dass der KI-Anbieter sie so lange speichern soll. Trennen Sie Archiv und Verarbeitung.
Checkliste
| Punkt | Erledigt, wenn … |
|---|---|
| Vertrag | Auftragsbearbeitungsvertrag liegt vor |
| Datenort | Land und Rechenzentrum sind bekannt |
| Training | Ausschluss ist schriftlich bestätigt |
| Rollen | Zugriffe und Freigaben sind festgelegt |
| Löschung | Speicherdauer beim Anbieter ist begrenzt |
| Transparenz | Datenschutzerklärung ist angepasst |
Diese Übersicht ersetzt keine Rechtsberatung. Bei Unsicherheit hilft der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder eine Fachperson.