Das revidierte Bundesgesetz über den Datenschutz (DSG, oft «nDSG» genannt) gilt seit dem 1. September 2023. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellt klar: Das DSG ist technologieneutral und damit direkt auf KI-gestützte Datenbearbeitungen anwendbar. Ein eigenes Schweizer KI-Gesetz ist dafür nicht nötig.
Diese Seite fasst die Kernpunkte für Schweizer KMU zusammen. Sie ersetzt keine Rechtsberatung.
Wer ist betroffen?
Der EDÖB richtet sich an Hersteller, Anbieter und Verwender von KI-Applikationen. Wer Personendaten mit KI bearbeitet – intern oder über einen Cloud-Dienst – bleibt datenschutzrechtlich verantwortlich und muss die gesetzlichen Pflichten einhalten.
Transparenz und Information
Zweck, Funktionsweise und Datenquellen KI-gestützter Bearbeitungen müssen transparent ausgewiesen werden. Bei Sprachmodellen, die direkt mit Nutzerinnen und Nutzern kommunizieren, haben diese das Recht zu erfahren:
- ob und inwieweit sie mit einer Maschine korrespondieren;
- ob eingegebene Daten zur Verbesserung selbstlernender Programme oder zu weiteren Zwecken weiterverwendet werden.
Auch Anwendungen, die Gesichter, Bilder oder Sprachnachrichten von identifizierbaren Personen verfälschen können, müssen klar erkennbar sein.
Widerspruch und menschliche Überprüfung
Das Transparenzrecht ist eng verbunden mit dem Anspruch, einer automatischen Datenbearbeitung zu widersprechen oder zu verlangen, dass automatisierte Einzelentscheidungen von einem Menschen überprüft werden.
Hohe Risiken und Datenschutz-Folgenabschätzung
KI-gestützte Bearbeitungen mit hohen Risiken sind dem Grundsatz nach zulässig, erfordern aber angemessene Schutzmassnahmen. Bei hohen Risiken verlangt das DSG eine Datenschutz-Folgenabschätzung (DSFA).
Anwendungen, die auf eine Aushöhlung der Privatsphäre und informationellen Selbstbestimmung abzielen – etwa flächendeckende Gesichtserkennung in Echtzeit oder «Social Scoring» – sind datenschutzrechtlich verboten.
Was KMU jetzt tun können
- Inventar: Welche KI-Tools bearbeiten Personendaten?
- Transparenztexte und interne Richtlinien anpassen.
- Bei hohem Risiko eine DSFA planen.
- Mit Anbietern klären: Auftragsbearbeitung, Trainingsnutzung, Speicherort.
- Menschliche Kontrolle bei automatisierten Entscheiden mit erheblicher Wirkung sicherstellen.
Hinweis
Diese Seite ist informativ und keine Rechtsberatung. Bei konkreten Vorhaben empfiehlt sich die Prüfung durch Fachpersonen oder Rechtsberatung.