KI sicher nutzen

Nein – nicht ohne Schutzmassnahmen. Bei der Eingabe von Personendaten oder vertraulichen Mandatsinformationen in öffentliche KI-Tools wie ChatGPT (Free oder Plus) besteht kein Auftragsbearbeitungsvertrag mit dem Anbieter. Das verstösst gegen das Schweizer Datenschutzgesetz (CH-DSG). Mit der richtigen Governance-Schicht werden sensible Daten automatisch anonymisiert, bevor sie das Unternehmen verlassen – Ihre Mitarbeitern können KI trotzdem produktiv nutzen.

Schatten-KI entsteht, wenn Mitarbeiter KI-Tools über private Accounts nutzen, weil keine offizielle Alternative vorhanden ist. Das ist selten böswillig – meist geht es um Produktivität. Das Risiko: Kundendaten, Finanzzahlen und interne Dokumente verlassen das Unternehmen unkontrolliert, ohne dass IT oder Geschäftsleitung davon wissen. Ein Verbot löst das Problem nicht – es verlagert es nur.

Nicht grundsätzlich – aber sobald Personendaten oder vertrauliche Geschäftsinformationen in externe KI-Systeme eingegeben werden, wird es rechtlich heikel. Das CH-DSG verlangt, dass Unternehmen wissen, wo und wie personenbezogene Daten verarbeitet werden. Viele KI-Dienste stammen von US- oder anderen internationalen Anbietern, was zusätzliche Anforderungen mit sich bringt. Mit einer klaren Governance-Lösung bleiben Sie auf der sicheren Seite.

Eine KI-Richtlinie legt fest, welche Tools erlaubt sind, welche Datenkategorien eingegeben werden dürfen und wie Mitarbeiter im Umgang mit KI geschult werden. Nur rund ein Drittel der Schweizer KMU hat heute solche Regeln schriftlich definiert – in der Mehrheit der Betriebe entscheiden Mitarbeiter selbst. Wir helfen Ihnen, eine praxistaugliche Richtlinie zu erstellen und technisch umzusetzen.

Nein. Die Free- und Plus-Versionen von ChatGPT sind für den professionellen Einsatz mit vertraulichen Daten nicht geeignet – es gibt keine Möglichkeit, einen rechtskonformen Auftragsbearbeitungsvertrag abzuschliessen. Für den sicheren Unternehmenseinsatz braucht es entweder eine Business-Version mit entsprechendem Vertrag oder eine Schutzschicht, die sensible Daten vor der Übermittlung automatisch anonymisiert.

Eine erste Schutzschicht mit zentralen Richtlinien ist typischerweise innerhalb von vier bis sechs Wochen produktiv – ohne Systemwechsel, ohne Migration. Wir starten mit den häufigsten Risikodatenkategorien, schulen die Pilot-Abteilung und erweitern dann. So vermeiden Sie monatelange Governance-Projekte, die am Ende niemand nutzt.