KI rechtssicher im KMU einzusetzen ist einfacher, als viele denken. In der Schweiz gilt das revidierte Datenschutzgesetz (nDSG) auch für KI-Anwendungen, in Deutschland und Österreich die DSGVO. Dazu kommt der EU AI Act: Seit August 2026 gelten Transparenzpflichten, zum Beispiel für Chatbots, während die strengen Regeln für Hochrisiko-KI durch den sogenannten Digital Omnibus auf Ende 2027 und 2028 verschoben wurden. Für die meisten KMU heisst das konkret: klare interne Regeln, Transparenz gegenüber Kunden und sorgfältiger Umgang mit Daten.
In diesem Beitrag fassen wir zusammen, was heute gilt, was Sie nicht in ChatGPT eingeben sollten und wie Sie mit wenig Aufwand eine solide Grundlage schaffen.
Warum das Thema jetzt wichtig ist
KI ist in den meisten Unternehmen längst angekommen, oft ohne dass es jemand entschieden hat. Mitarbeitende nutzen ChatGPT, Copilot oder Übersetzungstools auf eigene Faust und geben dabei manchmal Kundendaten, Verträge oder interne Zahlen ein. Ohne klare Regeln entstehen so Risiken für den Datenschutz und für Geschäftsgeheimnisse.
Was in der Schweiz gilt: das nDSG
Die Schweiz hat kein eigenes KI-Gesetz. Das revidierte Datenschutzgesetz, in Kraft seit dem 1. September 2023, ist technologieneutral formuliert und gilt laut dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) direkt auch für KI-gestützte Datenbearbeitung. Wichtig sind vor allem:
Transparenz: Betroffene müssen erkennen können, wann und wie ihre Daten mit KI bearbeitet werden.
Datensicherheit: Sie müssen angemessene technische und organisatorische Massnahmen treffen.
Datenschutz-Folgenabschätzung: Bei Bearbeitungen mit hohem Risiko für die Betroffenen ist sie Pflicht.
Bekanntgabe ins Ausland: Werden Daten an KI-Anbieter im Ausland übermittelt, muss das Datenschutzniveau angemessen sein oder vertraglich abgesichert werden.
Was in Deutschland und Österreich gilt: DSGVO und EU AI Act
In der EU gilt für personenbezogene Daten weiterhin die DSGVO, auch wenn sie mit KI bearbeitet werden. Dazu kommt der EU AI Act, der schrittweise in Kraft tritt:
Seit / ab | Was gilt |
|---|---|
Februar 2025 | Verbot bestimmter KI-Praktiken, zum Beispiel manipulative Systeme oder Social Scoring |
August 2025 | Pflichten für Anbieter von KI-Basismodellen (GPAI) |
2. August 2026 | Allgemeiner Anwendungsbeginn, unter anderem Transparenzpflichten für Chatbots und KI-generierte Inhalte |
2. Dezember 2027 | Pflichten für Hochrisiko-KI nach Anhang III, etwa im Personalwesen oder bei der Kreditvergabe (verschoben durch den Digital Omnibus) |
2. August 2028 | Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I |
Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744) ist am 27. Juli 2026 in Kraft getreten. Er verschiebt vor allem die Hochrisiko-Pflichten und entlastet KMU. Auch die Pflicht zur KI-Kompetenz nach Artikel 4 wurde angepasst: Unternehmen müssen die Entwicklung von KI-Kompetenz bei ihren Mitarbeitenden fördern und dies dokumentieren können, ohne für jede Person ein bestimmtes Niveau garantieren zu müssen.
Gilt der AI Act auch für Schweizer Unternehmen? Ja, wenn Sie KI-Systeme in der EU anbieten oder wenn die Ergebnisse Ihrer KI in der EU verwendet werden, zum Beispiel ein Chatbot auf Ihrer Website, den Kunden aus Deutschland nutzen.
Was Sie nicht in ChatGPT und Co. eingeben sollten
Öffentliche KI-Tools sind praktisch, aber nicht jede Information gehört hinein. Ohne geprüfte Unternehmensversion und klare Vereinbarung mit dem Anbieter sollten Mitarbeitende Folgendes nicht eingeben:
Namen, Adressen und Kontaktdaten von Kunden oder Mitarbeitenden
Gesundheitsdaten, Lohndaten und andere besonders schützenswerte Daten
Verträge, Offerten mit Konditionen und vertrauliche Finanzzahlen
Passwörter, Zugangsdaten und technische Details zur IT-Sicherheit
Geschäftsgeheimnisse wie Rezepturen, Quellcode oder Strategiepapiere
Eine KI-Richtlinie in 5 Punkten
Eine kurze, verständliche Richtlinie bringt mehr als ein langes Dokument, das niemand liest. Diese fünf Punkte reichen für den Anfang:
Erlaubte Tools: Legen Sie fest, welche KI-Tools genutzt werden dürfen, idealerweise Unternehmensversionen mit Datenschutzvereinbarung.
Daten: Definieren Sie, welche Daten eingegeben werden dürfen und welche nicht.
Kontrolle: KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft, besonders bei Kundenkommunikation und Zahlen.
Transparenz: Kunden werden informiert, wenn sie mit einem Chatbot sprechen oder Inhalte KI-generiert sind.
Schulung: Alle, die mit KI arbeiten, erhalten eine kurze Einführung. Halten Sie fest, wer wann geschult wurde.
Chatbots und Transparenz
Setzen Sie auf Ihrer Website einen KI-Chatbot ein, müssen Nutzer seit August 2026 klar erkennen können, dass sie mit einer KI kommunizieren. In der Praxis genügt ein gut sichtbarer Hinweis zu Beginn des Gesprächs. Ebenso wichtig: Der Chatbot sollte nur auf die Daten zugreifen, die er für seine Aufgabe braucht, und bei heiklen Anliegen an einen Menschen übergeben.
Die richtigen Tools wählen
Beim Aufbau von KI-Automatisierungen achten wir auf drei Punkte, die den Datenschutz deutlich vereinfachen:
Hosting in der Schweiz oder in der EU: Automatisierungsplattformen wie n8n lassen sich auf eigenen Servern betreiben. So bleiben Daten unter Ihrer Kontrolle.
KI-Anbieter mit klaren Verträgen: Nutzen Sie Business-Versionen oder APIs, bei denen Ihre Daten nicht für das Training verwendet werden.
Datensparsamkeit: Workflows übergeben der KI nur die Informationen, die für den jeweiligen Schritt nötig sind.
Checkliste für Ihr KMU
Erfassen Sie, welche KI-Tools in Ihrem Unternehmen heute schon genutzt werden.
Erstellen Sie eine kurze KI-Richtlinie mit den fünf Punkten oben.
Prüfen Sie Ihre Datenschutzerklärung und ergänzen Sie den Einsatz von KI.
Kennzeichnen Sie Chatbots und KI-generierte Inhalte.
Schulen Sie Ihr Team und dokumentieren Sie die Schulung.
Prüfen Sie, ob ein Einsatz in einen Hochrisiko-Bereich fällt, etwa Bewerbungsauswahl, und planen Sie dafür bis Ende 2027.
Häufige Fragen
Dürfen Mitarbeitende ChatGPT im Unternehmen nutzen?
Ja, wenn klar geregelt ist, welche Tools erlaubt sind und welche Daten eingegeben werden dürfen. Am sichersten sind Unternehmensversionen mit Datenschutzvereinbarung, bei denen Eingaben nicht für das Training verwendet werden.
Gilt der EU AI Act für Schweizer KMU?
Er gilt, wenn Sie KI-Systeme in der EU anbieten oder deren Ergebnisse in der EU verwendet werden, etwa durch einen Chatbot, den Kunden aus Deutschland nutzen. Für rein interne Anwendungen in der Schweiz gilt vor allem das nDSG.
Muss ich meine Mitarbeitenden zu KI schulen?
Der AI Act verlangt seit dem Digital Omnibus, dass Unternehmen die KI-Kompetenz ihrer Mitarbeitenden fördern und dies dokumentieren können. Eine kurze interne Einführung mit Teilnehmerliste ist ein guter Anfang.
Muss ein Chatbot auf der Website gekennzeichnet werden?
Ja. Seit August 2026 müssen Nutzer erkennen können, dass sie mit einer KI kommunizieren. Ein gut sichtbarer Hinweis zu Beginn des Gesprächs genügt in der Regel.
Fazit
Die Regeln sind für die meisten KMU gut umsetzbar. Wer klare Richtlinien hat, transparent kommuniziert und Tools mit sauberem Hosting wählt, kann KI ohne grosses Risiko nutzen und profitiert früher von den Vorteilen.
Wir entwickeln KI-Agenten und Automatisierungen, die Datenschutz von Anfang an mitdenken: mit Hosting in der Schweiz oder der EU, klaren Zugriffsrechten und menschlicher Kontrolle, wo sie nötig ist. Mehr dazu unter KI-Automatisierung.
Kostenloses Erstgespräch buchen →
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an eine Fachperson für Datenschutzrecht.
