revDSG und künstliche Intelligenz: Was Schweizer Unternehmen 2026 wissen müssen
Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Einschätzungen zur Konformität Ihres Unternehmens mit der nLPD konsultieren Sie eine qualifizierte Rechtsfachperson.
Das neue Bundesgesetz über den Datenschutz (nLPD, revidiertes DSG) ist seit dem 1. September 2023 in Kraft. Fast drei Jahre später haben viele Schweizer Unternehmen immer noch nicht geklärt, wie es auf die Lösungen der künstlichen Intelligenz anzuwenden ist, die sie einsetzen oder deren Einführung sie prüfen.
Die häufigste Frage, die wir erhalten, lautet: «Sind die Daten unserer Kunden sicher, wenn wir einen KI-Agenten oder eine Dokumenten-Pipeline nutzen?»
Die Antwort hängt davon ab, wie das System aufgebaut ist. Nicht alle KI-Systeme sind aus Sicht der nLPD-Konformität gleich – und der Unterschied zwischen einem konformen und einem nicht konformen System ist von aussen nicht immer erkennbar.
1. Die nLPD in Kürze – was sich gegenüber dem alten DSG ändert
Die nLPD hat den Schweizer Datenschutzrahmen modernisiert und ihn an die europäische DSGVO angenähert, während sie zugleich Merkmale beibehält, die dem Schweizer Rechtssystem eigen sind.
Die wichtigsten Änderungen für Unternehmen, die KI einsetzen:
Erweiterung der Definition von Personendaten. Die nLPD nimmt genetische und biometrische Daten ausdrücklich in die Kategorien der besonders schützenswerten Daten auf.
Pflicht zu Privacy by Design. Systeme, die Personendaten bearbeiten, müssen so gestaltet sein, dass der Datenschutz ein grundlegendes Element ist – und keine nachträgliche Ergänzung.
Mehr Transparenz. Betroffene Personen haben das Recht zu erfahren, wann ihre Entscheidungen durch automatisierte Systeme beeinflusst werden, und eine menschliche Überprüfung zu verlangen.
Meldepflicht bei Verletzungen. Datenschutzverletzungen müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) innerhalb festgelegter Fristen gemeldet werden.
Strengere Sanktionen. Verstösse können Bussen von bis zu 250’000 CHF für die verantwortlichen natürlichen Personen nach sich ziehen.
2. Warum KI der nLPD besondere Herausforderungen stellt
KI-Systeme verarbeiten Daten anders als herkömmliche Software, was besondere Herausforderungen für die nLPD-Konformität mit sich bringt.
KI-Modelle lernen aus Daten. Ein KI-System, das mit Kundendaten trainiert wird, nimmt diese Informationen in das Modell auf.
Automatisierte Entscheidungen erfordern Transparenz. Wenn ein KI-Agent Entscheidungen trifft oder beeinflusst, die Personen betreffen – die Genehmigung eines Kredits, die Antwort auf eine Versicherungsanfrage, die Einstufung eines Kunden –, verlangt die nLPD, dass die betroffenen Personen eine Erklärung und eine menschliche Überprüfung verlangen können.
Daten überschreiten Grenzen. Viele kommerzielle KI-Systeme verarbeiten Daten auf ausländischen Servern – typischerweise in den Vereinigten Staaten.
Protokolle und Konversationen sind Personendaten. Konversationen mit einem KI-Agenten enthalten Personendaten. Sie müssen gemäss den Grundsätzen der nLPD verwaltet, gespeichert und gelöscht werden.
3. Die vier zentralen Anforderungen an nLPD-konforme KI-Systeme
Ein nLPD-konformes KI-System muss diese vier grundlegenden Anforderungen erfüllen.
1. Schweizer oder gleichwertige Data Residency. Die Personendaten Schweizer Kunden müssen auf einer Infrastruktur mit Servern in der Schweiz oder in Ländern verarbeitet werden, deren Schutzniveau als gleichwertig anerkannt ist.
2. Keine Nutzung der Daten für das Training. Kundendaten dürfen nicht zum Training von KI-Modellen Dritter verwendet werden. Dies ist ein kritischer Punkt: Viele kommerzielle KI-Anbieter nutzen die Konversationen und Daten der Nutzer, um ihre eigenen Modelle zu verbessern.
3. Nachvollziehbarkeit und Audit Trail. Jede Operation des KI-Systems muss nachvollziehbar sein: auf welche Daten es zugegriffen hat, welche Aktionen es ausgeführt hat und wann.
4. Recht auf menschliche Überprüfung. Wenn das KI-System Entscheidungen beeinflusst, die Personen betreffen, müssen diese das Recht haben zu verlangen, dass die Entscheidung von einem menschlichen Bearbeiter überprüft wird.
4. Schweizer Data Residency: Was das konkret bedeutet
«Schweizer Data Residency» bedeutet nicht nur, dass das Anbieterunternehmen seinen Sitz in der Schweiz hat. Es bedeutet, dass sich die physischen Server, auf denen die Daten verarbeitet und gespeichert werden, physisch in der Schweiz befinden.
Diese Unterscheidung ist wichtig, weil viele IT-Anbieter ihren Rechtssitz in der Schweiz haben, aber ausländische Cloud-Infrastruktur nutzen – typischerweise AWS, Google Cloud oder Azure mit Regionen in Deutschland, Irland oder den Vereinigten Staaten.
Um die tatsächliche Data Residency eines KI-Systems zu überprüfen, fragen Sie den Anbieter:
- In welcher Cloud-Region werden die Daten verarbeitet? (z. B. Switzerland North bei Azure, eu-central-1 bei AWS)
- Werden die Daten jemals für Backup oder Disaster Recovery in ausländische Regionen repliziert oder übertragen?
- Wo werden die Konversationen und Protokolle des Systems gespeichert?
- Wo werden die KI-Modelle ausgeführt, welche die Daten verarbeiten?
Atenek nutzt für alle Schweizer Kunden standardmässig eine Infrastruktur mit Data Residency in der Schweiz – nicht als zusätzliche Option.
5. Was Sie Ihren KI-Anbieter fragen sollten
Bevor Sie ein KI-System einsetzen, das die Personendaten Ihrer Kunden bearbeitet, verlangen Sie vom Anbieter eine schriftliche Antwort auf diese Fragen:
- Wo werden die Daten unserer Kunden physisch verarbeitet und gespeichert?
- Werden die Daten unserer Kunden zum Training von KI-Modellen verwendet? In welcher Form?
- Gibt es einen vollständigen Audit Trail aller Operationen des Systems?
- Wie wird die Löschung von Daten auf Anfrage gehandhabt?
- Wie werden Datenschutzverletzungen gehandhabt und innerhalb welcher Fristen werden sie gemeldet?
- Wurde das System von einer Rechtsfachperson auf nLPD-Konformität geprüft?
Wenn der Anbieter diese Fragen nicht präzise beantworten kann oder vage Antworten gibt, ist dies ein Warnsignal.
Die nLPD-Konformität ist kein optionales Merkmal eines KI-Systems – sie ist eine gesetzliche Anforderung.
FAQ
Gilt die nLPD auch für kleine Schweizer Unternehmen? Ja. Die nLPD gilt für jede private Einheit, die in der Schweiz Personendaten bearbeitet, unabhängig von ihrer Grösse.
Was riskiert ein Unternehmen, das nicht nLPD-konform ist? Die Bussen betragen bis zu 250’000 CHF für die verantwortlichen natürlichen Personen.
Ist ein KI-System auf Basis von ChatGPT nLPD-konform? Das hängt davon ab, wie es konfiguriert ist und welche Infrastruktur es nutzt. Die kommerziellen Modelle von OpenAI, Google und anderen verarbeiten Daten auf Servern, die sich hauptsächlich in den Vereinigten Staaten befinden.
Woran erkenne ich, ob mein KI-Anbieter wirklich nLPD-konform ist? Verlangen Sie eine schriftliche Erklärung, die angibt, wo die Daten verarbeitet werden, ob sie für das Training verwendet werden und wie das Recht auf menschliche Überprüfung gewährleistet wird.
Ist Atenek nLPD-konform? Ja. Für alle Schweizer Kunden nutzen wir eine Infrastruktur mit Data Residency in der Schweiz, die Daten werden niemals zum Training von Modellen Dritter verwendet, jede Operation wird mit einem vollständigen Audit Trail nachvollzogen und jedes System enthält Mechanismen zur menschlichen Überprüfung.